什么是故障域？如何通过隔离控制故障半径？
简化版
故障域是一次故障可能影响的范围，故障半径越小，系统整体越稳定。控制故障半径的方式包括服务隔离、资源池隔离、线程池隔离、数据分片隔离、租户隔离、机房隔离、限流熔断降级和舱壁模式。
详细版
常见隔离手段：
- 服务隔离：核心服务和非核心服务拆开部署；
- 资源隔离：不同业务使用独立线程池、连接池、缓存池；
- 数据隔离：分库分表、租户独立库、大客户独立集群；
- 流量隔离：按用户、地域、租户、业务线限流；
- 依赖隔离：下游超时、熔断、降级，避免拖垮上游；
- 机房隔离：多 AZ、多机房部署，避免单地域影响全站。
面试回答要突出：高可用不仅追求不故障，还追求故障发生时不要扩散。隔离就是把系统分成多个舱室，某个舱室进水时不让整艘船沉没。
完整版教学
一、故障域帮助我们描述影响范围
一次故障影响一台机器、一个服务、一个租户、一个机房，严重程度完全不同。故障域就是用来描述影响范围的概念。高可用系统希望故障不可避免时，影响范围尽量小。
比如同样是数据库慢查询，如果所有业务共用一个数据库实例，慢查询可能拖垮全站；如果不同业务已经拆库，影响可能只在一个业务模块内；如果大客户有独立集群，它的流量异常不会拖累普通客户。这就是故障域设计的价值。
二、资源共享会放大故障
很多故障扩散都来自资源共享。一个下游接口慢了，上游线程一直等待，线程池耗尽；线程池耗尽后，其他正常接口也无法处理；请求堆积又把连接池打满，最后整个服务不可用。
如果核心接口和非核心接口共用同一个线程池、同一个连接池、同一个限流桶，非核心流量就可能挤占核心资源。隔离的目标是让不同业务之间不要无限制互相影响。
常见做法是为核心链路单独配置线程池、连接池、队列和限流策略。即使报表接口很慢，也不能占满下单接口的资源。
三、舱壁模式是隔离思想的形象表达
舱壁模式来自船舶设计。船被分成多个隔舱，一个隔舱进水时，水不会立刻流到所有区域。软件系统也可以这样设计：服务拆分、资源池隔离、租户隔离、机房隔离，都是在建舱壁。
例如支付链路可以独立部署、独立数据库、独立缓存、独立告警和值班；推荐、评论、营销等非核心功能失败时，不应影响支付主链路。这样的系统即使局部损坏，也能保住核心能力。
四、隔离也要避免过度拆分
隔离不是拆得越碎越好。每拆一个服务、一个库、一个资源池，都会增加调用链路、运维复杂度、数据一致性成本和容量碎片。过度隔离会让系统难以理解，也可能因为资源利用率低导致成本上升。
合理隔离要看故障风险和业务价值。核心业务、高风险依赖、大客户、资源消耗大的任务适合重点隔离；低风险、低流量、强关联的模块可以保持简单。隔离的目标是降低故障半径，不是制造架构迷宫。
五、隔离要和限流熔断配合
隔离是静态边界，限流、熔断、降级是动态保护。比如一个租户流量突然暴涨，租户级限流可以挡住它；某个下游接口异常，熔断可以让请求快速失败；非核心功能降级可以释放资源给核心链路。
没有动态保护，隔离边界可能仍被打穿。比如所有租户共用数据库，即使应用层隔离了线程池，数据库也可能被大租户拖慢。因此隔离要覆盖应用、缓存、数据库、消息和外部依赖多个层面。
六、隔离设计要从资源竞争链路下手
故障扩散经常不是因为代码直接调用失败，而是因为共享资源被耗尽。下游慢导致上游线程阻塞，线程池满导致正常请求排队，连接池耗尽导致所有接口访问数据库失败，日志写入阻塞导致业务线程卡住。这些都是资源竞争造成的故障扩散。
隔离设计要识别关键资源：线程池、连接池、队列、缓存容量、数据库实例、消息 Topic、磁盘 IO、CPU、限流配额。核心链路和非核心链路不要无限共享这些资源。比如订单创建使用独立线程池和数据库连接池，报表导出使用独立队列和只读库，大客户使用独立限流桶。
隔离还要配合配额。没有配额的共享资源，本质上仍可能被单个业务占满。租户级、接口级、用户级、任务级限流都是控制故障半径的工具。
七、隔离之后还要能观测每个故障域
如果服务拆了、资源池拆了、租户隔离了，但监控仍然只看全局平均值，故障会被掩盖。一个租户 P99 10 秒，整体平均可能仍然正常；一个分片磁盘快满，全局容量可能看起来还有很多。隔离之后，监控也要按故障域拆开。
常见维度包括服务、接口、租户、机房、分片、数据库实例、线程池、下游依赖。报警也要能定位到具体故障域，否则排障时仍然不知道是哪一舱进水。
面试里可以补充“隔离不是只拆架构，还要拆监控、拆限流、拆容量和拆预案”。这句话很关键。否则系统架构图看起来隔离了，实际故障时仍然因为共享监控和共享运维流程导致恢复缓慢。
八、常见误区与追问
这道题要紧扣「故障域隔离」本身回答，不能把它混成泛泛的高可用套话。面试官通常不是只听定义，而是看你能不能把适用场景、关键流程、失败边界和工程取舍串起来，尤其要说明故障域、冗余、健康检查、切换流程、RPO/RTO 和演练结果。
| 回答层次 | 要讲清的内容 | 容易漏掉的边界 |
|---|---|---|
| 核心结论 | 故障域隔离是把服务、数据和流量分散到不同机器、机架、可用区或地域，避免一次故障打穿全部副本 | 不要停在名词解释 |
| 流程机制 | 识别故障域 -> 跨域部署副本 -> 隔离流量和依赖 -> 设置容量冗余 -> 演练单域故障 -> 验证自动调度 | 要说清触发点、状态变化、确认点和失败兜底 |
| 工程取舍 | 3 副本如果都在同一机架，机架断电会同时丢失全部副本；跨 3 个机架才真正降低相关故障风险 | 高可用不是永不故障，而是用冗余、隔离、自动切换和演练降低故障影响 |
故障域隔离 面试拆解：
1. 识别故障域
2. 跨域部署副本
3. 隔离流量和依赖
4. 设置容量冗余
5. 演练单域故障
6. 验证自动调度记忆钩子：先给结论，再拆流程，再讲数字例子和失败边界；回答「故障域隔离」时要围绕题目问法收束，不要把相邻概念堆成一段没有重点的名词清单。
- 误区：多副本一定高可用。 副本如果在同一故障域，遇到机房、机架或交换机故障会一起失效。
- 误区：隔离只看物理机器。 还要看数据库、缓存、DNS、配置中心、账号权限等共享依赖。
- 误区：跨地域部署没有代价。 跨地域会增加延迟、复制滞后和一致性复杂度。
- 追问：什么是故障域？ 一次故障可能同时影响的一组资源边界，如机器、机架、AZ、地域。
- 追问：如何做单元化？ 按用户或租户把流量和数据绑定到独立单元，降低横向影响。
- 追问：如何验证隔离有效？ 做断机、断网、断 AZ 演练并观察业务是否按预期降级。
九、加强记忆
故障域就是“坏一次会影响多大范围”。控制故障半径的关键是隔离：服务隔离、资源隔离、数据隔离、租户隔离、机房隔离，再配合限流熔断降级。好的系统不是永远不坏，而是坏得小、坏得慢、坏了能保住核心链路。