Leader 选举超时时间如何设置？
简化版
选举超时必须明显大于正常心跳间隔和端到端延迟尾部，还要覆盖磁盘抖动、GC 暂停与调度延迟；否则健康 Leader 会被频繁误判。 超时太短会增加无效选举和不可用，太长则延长真实故障恢复。 Raft 节点在一个范围内随机选择超时，降低同时竞选造成 split vote 的概率。
详细版
先测 heartbeat/AppendEntries 的 P99.9 往返、fsync、最长可接受暂停和丢包重试，再留安全裕量。 例如心跳 100 ms，正常尾延迟 250 ms，偶发暂停 800 ms，则 300 ms 选举超时明显过短，可以从 1.5–3 s 随机范围起步再压测。
参数要满足 heartbeat interval 明显小于 election timeout，且广播时间远小于选举超时。 跨地域集群尾延迟更大，故障切换也会更慢。 监控 term 增长、选举次数、Leader tenure、无 Leader 时长和心跳尾延迟，用故障演练校准而非照搬固定倍数。
完整版教学
一、选举超时负责什么
Follower 在超时时间内收不到合法 Leader 心跳，就增加 term 并成为 Candidate。 它本质上是故障检测器阈值，不可能在异步网络中完美区分 Leader 宕机与消息延迟。 调参是在误报与发现速度之间取舍。
超时不是越短越高可用；频繁误选举本身就是可用性故障。
二、关键时间量
| 参数 | 含义 |
|---|---|
| heartbeat interval | Leader 正常发送心跳的周期 |
| broadcast time | 一轮 RPC 到多数派的耗时 |
| election timeout | Follower 发起选举的等待 |
| MTBF | 节点稳定运行的平均时间 |
Raft 的经验关系是 broadcast time 远小于 election timeout，election timeout 又远小于 MTBF。 工程上必须用本集群尾延迟验证“远小于”。
三、为何需要随机化
若所有节点都固定 1 秒超时，Leader 故障后可能同时成为 Candidate。 选票平均分散，任何人都拿不到多数，进入 split vote。 例如每个节点从 1500–3000 ms 独立随机选择，可让较早节点先发起并获得选票。 随机范围也不能太窄，否则调度抖动会让节点仍同时超时。
四、如何建立初始值
可以先用尾延迟建立可解释的下界，而不是照搬固定毫秒数：
electionTimeoutMin > P99.9(RPC + 排队 + fsync + 运行时暂停 + 一次重传)
electionTimeoutMax = electionTimeoutMin + 随机窗口例如测得上述路径的 P99.9 为 320 ms，再为偶发抖动留 2 倍裕量，可先把随机区间设为 700～1200 ms，然后用误选举率和真实故障切换时间校准。这个例子不是通用推荐值；跨地域 RTT、磁盘尾延迟和 GC 暂停不同，结果会明显变化。
采集跨节点 RPC P99.9、磁盘持久化尾延迟、GC/调度暂停与一次重传预算。 假设心跳 100 ms、RPC 尾延迟 250 ms、暂停可到 800 ms。 选举下限若只有 300 ms，会在正常暂停时频繁换主。 可以以 1.5–3 s 范围起步，随后用真实压测和恢复目标调整；数字不是通用答案。
五、太短与太长的表现
太短时 term 快速增长、Leader tenure 很短、写请求频繁失败、日志复制反复重置。 太长时真实 Leader 宕机后很久没有新 Leader，RTO 变差。 网络不稳定时单纯加长超时会掩盖问题，仍需修复丢包、IO 或暂停。 PreVote 可减少隔离节点恢复后无谓抬高 term，但不能替代合理超时。
六、跨地域与优先级
跨地域 RTT 与尾部抖动通常更大，参数必须覆盖最慢的投票路径。 把节点拉得过远会直接提高切换时间或误选概率。 某些实现支持优先转移、leader priority，但这些是策略优化，不能破坏多数派和日志新旧规则。 计划维护时主动 transfer leadership 比等待超时更快、更可控。
七、监控和演练
观察 election count、term rate、Leader changes、no-leader duration、vote rejection reason 和 heartbeat latency。 注入 Leader 进程退出、长 GC、单向丢包、磁盘卡顿和跨区延迟。 目标既包括真实故障的 P99 切换时间，也包括正常运行每周误选举次数。 变更参数先灰度到测试集群，避免所有节点不兼容配置。
八、常见误区与追问
- 误区：选举超时越短恢复越快。 误判会带来更多无 Leader 窗口。
- 误区：固定为心跳三倍适用于所有系统。 尾延迟、暂停和地域差异决定安全裕量。
- 误区：只看平均 RTT 调参。 选举由尾部抖动触发。
- 误区：随机化可以解决网络持续故障。 它主要减少候选者同时超时。
- 追问：为什么 heartbeat 要更短？ Leader 需在 Follower 超时前多次证明存活并容忍少量丢包。
- 追问：PreVote 有什么作用？ 隔离节点先试探票数，减少恢复时抬高集群 term。
- 追问：怎么验收参数？ 同时测故障切换 SLO 与健康期误选举率。
九、加强记忆
- 选举超时是有误差的故障检测阈值。
- 取值覆盖 RPC、fsync、暂停和重传的尾延迟。
- 心跳显著短于超时，超时使用足够宽的随机范围。
- 太短误选，太长恢复慢。
- 用 term、Leader 稳定性和故障演练数据闭环调优。