nginx多进程架构通过结构隔离提升健壮性：主进程仅做配置校验、端口绑定、fork和信号转发，不参与i/o；worker进程彼此独立、无锁设计、故障不扩散；支持零中断升级与优雅降级。
Nginx 多进程架构对 Web 服务器健壮性的提升，核心在于用结构隔离代替复杂容错——它不靠单个进程“扛住一切”，而是让故障止步于单个 Worker 进程，同时确保服务始终在线。
主进程只管调度，不碰请求
主进程以 root 权限运行，但仅做四件事：校验配置语法、绑定监听端口、fork 工作进程、转发系统信号。它不读请求头、不写响应体、不访问磁盘、不参与任何网络 I/O。这种极简路径让它几乎不会崩溃；即使因非法信号或配置错误退出，也会由 systemd 或 init 瞬间重启，且不影响正在运行的 Worker 进程。
Worker 进程彼此独立，故障不扩散
- 每个 Worker 是完整、独立的 Unix 进程，拥有私有内存空间、文件描述符表和定时器，不共享可写状态
- 某个 Worker 因正则回溯、Lua 错误或 upstream 超时而卡死或崩溃，其他 Worker 继续处理新连接和已有请求
- 主进程通过 waitpid 毫秒级捕获 SIGCHLD，立即 fork 新进程补位，用户无感知
- 没有锁、没有全局变量、没有跨进程内存引用，彻底规避多线程常见的竞争、死锁与内存污染问题
无锁设计支撑高负载下的持续可用
限流（limit_req）、缓存（proxy_cache）、连接超时等逻辑全部在单进程内闭环完成。例如滑动窗口限流使用基于时间戳哈希的本地桶，各 Worker 各自维护，无需同步；缓存元数据也按进程隔离，失效靠共享内存广播通知，读取仍走本地索引。这种设计避免了锁竞争和伪共享，单个 Worker CPU 打满或轻微泄漏，不会拖垮整机。
信号驱动实现零中断升级与优雅降级
- 执行 nginx -s reload 时，主进程解析新配置成功后 fork 新 Worker，再向旧 Worker 发送 QUIT 信号
- 旧 Worker 停止 accept 新连接，但继续处理完所有已建立连接上的请求，直到自然结束
- 若新配置语法错误，主进程拒绝加载，旧 Worker 全部照常运行——这是关键兜底机制
- 配合 worker_shutdown_timeout 可控制旧进程最长等待时间，防止长连接阻塞升级流程
