分布式锁超时时间如何设置？
简化版
要分别设置获取超时、租约 TTL、续期超时和业务截止时间。获取超时受上游剩余预算约束；TTL 应覆盖临界区高分位耗时与暂停/网络余量，同时用续期支持合理长任务，并设置最大持锁时长防止无限占用。
详细版
不能凭经验统一写 30 秒。先测临界区 P99/P99.9、最长 GC、锁服务 RTT 和恢复目标：TTL > 业务高分位 + 暂停余量 + 网络余量。TTL 越短，宕机回收越快但误过期概率越高；越长，安全窗口宽但 RTO 变差。
获取等待必须小于请求 deadline 减去业务执行预算；续期间隔常取 TTL 的约三分之一但需压测。无论参数多保守，租约过期后旧进程仍可能运行，因此释放校验 owner，写资源使用 fencing，并监控等待、持锁、剩余 TTL 与误失锁。
完整版教学
一、先拆开四种“超时”
获取超时决定最多等锁多久，租约 TTL 决定失联 owner 多久被回收，续期请求超时决定一次网络调用等多久，业务 deadline 决定整个操作何时停止。混用一个配置会让上游早已超时而后台仍在抢锁，或业务仍运行但租约已经消失。
记忆钩子：等锁、持锁、续锁、做业务是四只不同的钟。
二、从观测数据估算 TTL
假设临界区 P99.9 为 800ms，历史最长可接受 JVM 暂停 1.5s，网络与调度余量 700ms，则固定 TTL 至少约 3s；若尾部不可控，应采用续期而非把 TTL 放大到数分钟。数据必须来自相同流量与发布环境。
TTL_min ≈ critical_section_high_percentile
+ process_pause_budget
+ network_and_scheduler_margin三、TTL 与恢复时间的矛盾
实例刚获取 60 秒租约就宕机，其他客户端最坏接近 60 秒才能接管。缩到 5 秒可改善 RTO，却更容易被长 GC 误判。关键任务可用较短 TTL 加稳定续期，并以 fencing 防止旧主恢复；没有资源侧栅栏时不能只追求快速接管。
| 参数方向 | 好处 | 代价 |
|---|---|---|
| 短 TTL | 回收快 | 误过期增加 |
| 长 TTL | 长任务稳定 | 故障恢复慢 |
| 自动续期 | 适配时长 | 控制面更复杂 |
| 无续期固定值 | 简单 | 难覆盖长尾 |
四、获取超时怎样对齐上游预算
若接口总预算 1000ms，锁后业务 P99 需要 450ms，网络回包预留 100ms，则获取等待最多约 450ms。等待到 900ms 才拿锁只会让业务注定超时，并继续占用资源。deadline 应跨 RPC 传播，重试共享剩余预算。
异步任务可以等待更久，但也要有取消与队列 SLA；无限 wait 会积累幽灵工作。
五、续期参数与最大持有时间
TTL=30s 时每 10s 续期可容忍一两次短暂失败，但间隔不是固定真理。续期线程池要隔离，单次超时小于间隔，并在租约安全余量耗尽前通知业务停止。设置最大持有时间，例如正常任务 P99 为 20s，超过 2 分钟转异常而不是无限续租。
长任务应拆 checkpoint，让接管者可幂等续做，从根本上减少大 TTL。
六、验证与动态调整
压测正常、长尾和故障三类场景：注入 GC 暂停、网络延迟、锁服务切主和任务卡死。观察误失锁率、故障回收时间与续期负载，并按业务类型配置，不能让 20ms 库存扣减与 30 分钟迁移共用参数。
监控 acquire P99、hold P99.9、lease remaining、renew failure、expired while running 和 takeover time；调整需灰度，避免新旧 TTL 语义不一致。
客户端 socket 超时必须短于本轮剩余 deadline，并为结果未知预留确认时间；否则一次卡住的续期或获取请求会吃掉全部恢复预算。
跨地域锁还要把广域 RTT 和抖动纳入余量，但更长 TTL 会同步拉长故障接管，因此应优先把锁服务靠近业务或减少跨地域临界区。
七、常见误区与追问
- 误区：TTL 设置得足够大就最安全。 宕机后会长时间阻塞接管。
- 误区：所有锁统一 30 秒最方便。 不同临界区时长和 RTO 完全不同。
- 误区：获取超时可以等于接口超时。 还必须给真正业务执行留预算。
- 误区：有续期就不需要最大时长。 卡死任务会永久占锁。
- 追问：为什么看 P99.9 而非平均值？ 租约错误通常由尾部暂停和慢调用触发。
- 追问：超长任务怎么办？ 拆分 checkpoint、续期并支持幂等接管。
- 追问：TTL 到期后旧任务怎么处理？ 停止副作用，并由资源侧 fencing 拒绝迟到写。
八、加强记忆
超时设计先分四只钟，再以高分位耗时和暂停预算算 TTL、以上游 deadline 算等待时间、以 RTO 检查回收代价。续期解决正常长尾，最大持有时间处理卡死，fencing 处理租约过期后的旧主；最终用故障注入验证，而不是迷信某个经验常数。