1. 课程导入

在银行核心系统里，故障不是“会不会发生”的问题，而是“何时发生、影响多大、多久恢复”的问题。一次联机交易超时、一个数据库连接池耗尽、一条消息队列积压，都可能沿着调用链迅速放大，从单点异常演变为渠道级不可用。故障隔离与降级设计，正是把“不可控的故障”转化为“可控的影响范围”的关键工程能力。

一、核心价值：为什么银行系统必须做隔离与降级

银行系统的特殊性在于：强监管、强一致性、强审计，同时又要面对高并发、多渠道、长链路。故障隔离与降级的价值，可以从四个维度理解。

• 资金安全优先：当账务、清算、风控等核心能力异常时，必须优先保证“不产生错账、不重复扣款、不丢失交易”，而不是盲目追求全量可用。
• 影响范围可控：通过舱壁、限流、熔断、线程池隔离等手段，把故障限制在单一渠道、单一产品、单一依赖内，避免“一处抖动、全行瘫痪”。
• 业务连续性可运营：降级不是简单关功能，而是按业务优先级分层：哪些必须保、哪些可延迟、哪些可关闭，并配套公告、补偿与对账。
• 监管与审计可解释：每一次降级、熔断、限流都应有日志、指标和决策依据，能够复盘、追溯和向监管说明。

下面这张图展示了银行系统从“单点故障”到“隔离与降级防线”的整体关系，帮助建立本章的全局视角。

二、学习目标：学完本课程你能做到什么

本课程不是泛泛而谈的架构原则，而是围绕银行真实系统场景，形成可落地的设计与实战能力。具体目标如下：

1. 建立体系认知：理解隔离与降级在银行系统稳定性体系中的位置，区分“高可用”“容灾”“隔离”“降级”“熔断”“限流”等概念的边界与联系。
2. 掌握核心方法：能够针对账务、支付、查询、风控等不同业务，设计合理的隔离边界与降级策略。
3. 具备实战能力：能编写熔断、限流、线程池隔离、兜底逻辑等关键代码与配置，并设计演练方案。
4. 形成复盘习惯：能通过日志、指标、链路追踪定位故障扩散路径，输出可执行的改进清单。

三、整体知识框架：从原则到落地的五层结构

课程整体知识框架可以概括为“一个中心、两条主线、五层落地”。一个中心是“资金安全与业务连续性”；两条主线是“隔离”和“降级”；五层落地从原则、架构、组件、代码到运营逐层展开。

在代码层，一个典型的降级兜底逻辑通常需要同时考虑超时、异常和业务兜底。例如：

// 伪代码：支付查询的降级兜底
try {
    result = paymentService.query(orderId, timeout = 200ms);
} catch (TimeoutException | ServiceException e) {
    // 降级：返回缓存中的最近状态，并标记为“待确认”
    result = cache.getLastKnownStatus(orderId);
    result.setDegraded(true);
    log.warn("payment query degraded, orderId={}", orderId, e);
}
// 后续通过对账任务补偿真实状态

四、实战路线图：30章如何一步步走完

本课程共30章，整体路线遵循“认知—设计—实现—演练—复盘”的闭环。你可以把它理解为一条从“知道”到“做到”的路径。

• 第1—5章 认知与原则：建立隔离与降级的核心概念、价值判断和设计原则，明确银行系统的特殊约束。
• 第6—12章 隔离设计：学习舱壁、线程池、集群、单元化、依赖分级等隔离手段，并针对账务、支付、查询等场景做边界设计。
• 第13—20章 降级设计：掌握熔断、限流、兜底、异步化、开关管理等降级策略，理解不同业务优先级的妥协方式。
• 第21—26章 实战与演练：通过真实案例和故障注入，验证隔离与降级策略是否有效，并优化参数与流程。
• 第27—30章 运营与复盘：建立监控、告警、对账、补偿和复盘机制，把一次性设计变成可持续运营的能力。