高可用架构通过分层设防实现故障隔离：物理网络层隔离故障域，服务实例层消除节点依赖，调用数据层切断级联失败，安全管控层防止单点失效。
高可用架构不是靠某一个组件“扛住所有压力”，而是通过分层设防、逐级拦截，把单点故障牢牢锁在最小影响范围内，不让它蔓延成系统性雪崩。
物理与网络层：隔离故障域
这是最底层的防线，目标是让硬件或机房级故障不跨出物理边界：
- 关键服务部署在不同可用区（AZ）甚至异地IDC，避免共用供电、网络出口或制冷系统
- 核心链路配置双线路（如电信+联通），主备自动切换，防止运营商单线中断导致全站不可达
- 服务器间通信走私有网络，配合VLAN或安全组策略，默认禁止跨业务域直连，阻断横向传播路径
服务与实例层：消除节点依赖
单台机器宕机不能让服务失效，必须让流量自动绕过坏节点：
- 无状态服务（如API网关、微服务）按“N+1”原则部署多实例，由Nginx/HAProxy/K8s Service做健康探测与自动摘除
- 有状态服务（如MySQL、Redis）采用主从+自动故障转移（MHA/Orchestrator/Redis Sentinel），主库挂了，从库秒级升主，应用连接池自动重连新地址
- 所有服务注册到统一服务发现中心（如Consul/Nacos），客户端只认逻辑服务名，不硬编码IP，节点变更对上游透明
调用与数据层：切断级联失败
下游服务抖动或超时，不能拖垮上游，更不能引发连锁崩溃：
- 接口调用强制设置超时与重试（如500ms超时、最多2次重试），避免线程/连接被长期占用
- 引入熔断器（如Hystrix、Sentinel），连续失败阈值触发后，直接返回降级结果，跳过真实调用
- 写操作通过消息队列（Kafka/RocketMQ）异步化，数据库或下游异常时，消息暂存，后续重投，保障主流程不卡顿
安全与管控层：防止单点成为攻击入口
安全设备本身若成单点，防护就形同虚设，必须自身也高可用：
- WAF部署双机热备或集群模式，通过VRRP漂移VIP，主设备故障毫秒级接管，策略配置实时同步
- 防火墙、负载均衡器等基础设施启用双机+心跳检测，避免因一台设备配置错误或重启导致整条链路中断
- Fail2Ban类防护工具不依赖单机进程，改为日志集中采集（Kafka）、判定外移（函数计算）、封禁多路径下发（iptables + 云安全组 + WAF黑名单）
不复杂但容易忽略。
