大促前一晚压测,一个重要下游依赖突然超时,我们的服务跟着雪崩,错误率冲到 40%。复盘时发现:我们根本没有像样的降级,依赖挂了就硬等、硬等就堆积、堆积就拖死。这次事故后,我把降级与兜底当成架构的一等公民来设计。 降级层次:从浅到深 降级不是"有/无"两个状态,而是分层的连续体。我按影响面从轻到重设计