Day07-09｜2.9.3 性能设计：把性能目标落实为架构结构与运行机制

教材定位：系统架构设计师教程（第 2 版）第 2 章“计算机系统基础知识”第 2.9.3 节。

学习目标：理解性能设计的基本原则和主要技术；掌握缓存、异步、并发控制、负载均衡、数据分片、数据库优化、限流降级和资源隔离的适用条件；能够从性能目标出发选择架构措施，并在案例题和论文中说明收益、代价、风险和验证方法。

一、性能设计从需求开始

性能设计不是上线前发现慢了再优化，而是在需求和架构阶段就把性能目标转化为结构、算法、数据、部署和运行机制。一个完整的性能目标应包含场景、负载、数据规模、响应分位数、吞吐、成功率、资源和持续时间。没有这些前提，所谓“高性能”无法设计，也无法验收。

性能设计要遵循“先识别关键路径，再减少工作量；先测量瓶颈，再选择技术；优化局部时检查整体；性能收益必须抵消复杂度”的原则。缓存、异步和分片不是万能药，使用不当会引入脏数据、重复处理、乱序、热点和运维复杂度。

二、缓存设计

缓存通过保存近期或常用数据减少重复计算和后端访问。缓存可以位于浏览器、客户端、CDN、网关、服务进程、分布式缓存或数据库缓冲区。缓存设计必须明确缓存对象、键、有效期、更新策略、容量、淘汰、穿透、击穿、雪崩和一致性。

常见读缓存模式包括旁路缓存、读穿透和写穿透。旁路缓存由业务决定何时读缓存、何时访问数据库并回填；优点是控制灵活，缺点是代码需要处理失效和并发。写策略可以先写数据库再删除缓存，也可以更新缓存，但要结合事务、消息和并发场景分析。

缓存穿透是请求查询不存在的数据，持续绕过缓存打到后端；可使用空值缓存、布隆过滤器和参数校验。缓存击穿是热点数据失效瞬间大量请求同时访问后端；可使用互斥重建、逻辑过期和热点预热。缓存雪崩是大量缓存同时失效或缓存集群不可用；可使用随机过期、分批失效、限流、降级和多级缓存。

缓存不是越多越好。缓存命中率提高可能掩盖源数据更新问题；缓存集群容量不足会触发淘汰；大对象序列化和网络传输可能抵消收益；缓存故障会形成新的单点。架构设计要定义缓存不可用时的降级路径，并监控命中率、回源、内存、淘汰和错误。

三、异步处理与削峰填谷

同步调用要求调用方等待结果，链路直观但会叠加延迟并扩大故障传播；异步处理通过队列或事件把生产和消费解耦，能够削峰、提高吞吐和隔离暂时故障。适合异步的场景包括通知、索引、报表、图片处理、日志、批量计算和非核心后置动作。

异步不是免费并发。它会引入消息持久化、重复、顺序、延迟、一致性、积压、重试、死信、监控和补偿问题。消息必须有唯一标识和版本；消费者要幂等；失败要区分临时和永久；队列要有容量和保留策略；业务要定义“已受理”和“已完成”的语义。

削峰填谷要同时配置生产限速、队列容量和消费能力。队列无限增长只是在隐藏问题，最终会造成延迟过大、磁盘打满或过期业务失效。应监控积压量、最老消息年龄、消费速率、失败率和预计清空时间，超过阈值触发扩容、降级或告警。

四、并发控制与资源隔离

并发控制包括线程池、协程、连接池、信号量、锁、无锁结构和消息串行化。线程池可以避免频繁创建线程，但池过小导致排队，过大导致上下文切换和下游过载。连接池必须与数据库、外部服务和网络设备的承载能力匹配。

共享状态会带来锁竞争和一致性问题。可以通过减少共享、缩短临界区、分段锁、无锁数据结构、分片和消息传递降低竞争。数据库写入要关注行锁、索引、事务范围和热点记录。并发设计必须说明超时、取消、重试和异常释放，否则资源会在故障路径泄漏。

资源隔离可按租户、业务等级、线程池、队列、节点、数据库或网络分区进行。核心交易与非核心报表不能共用无限资源；单个租户的突发流量不能拖垮其他租户。隔离提升稳定性，但会降低资源共享效率，需要结合成本和服务等级确定。

五、负载均衡与水平扩展

负载均衡把请求分配到多个实例，常见策略包括轮询、加权、最少连接、哈希和基于负载的调度。选择策略要考虑无状态程度、会话、热点、实例能力差异和故障探测。

无状态服务更容易水平扩展；若必须保存会话，应把会话外置到共享存储或使用一致性哈希，并考虑节点失效和数据过期。健康检查不能只检查进程端口，还应区分存活、就绪和业务依赖状态，避免把已无法访问数据库的实例继续接收流量。

水平扩展还要处理数据库、缓存、消息和文件的扩展问题。只扩应用节点而数据库成为瓶颈，整体性能不会提升。分片、读写分离、热点隔离、异步写入和多级缓存可以缓解部分压力，但会引入路由、数据迁移和一致性成本。

六、数据和数据库性能设计

数据库优化通常从访问模式出发，而不是盲目增加硬件。应检查表结构、索引、查询条件、连接、事务、锁、分页、批量操作和数据生命周期。索引可以减少扫描，但会增加写入和存储成本；索引列顺序应结合过滤、排序和选择性；深分页可能造成大量无效扫描，可采用基于游标或范围的分页。

读多写少的系统可以使用读副本和缓存；写密集系统要控制事务范围、批量写入和热点竞争；历史数据可以归档或分层存储。读写分离会产生复制延迟，必须明确哪些查询允许最终一致，哪些必须读主库或使用会话一致策略。

分库分表和数据分片可以突破单节点容量，但会增加跨分片查询、事务、排序、聚合和迁移难度。分片键应考虑访问模式、数据均衡、扩展和热点。架构师要提前设计分片扩容、重平衡、备份和故障恢复，不能只在容量达到上限时临时切分。

七、限流、熔断、降级与超时

限流控制进入系统的请求速率或并发量，常见思想包括固定窗口、滑动窗口、令牌桶和漏桶。令牌桶允许一定突发，漏桶强调平滑输出。限流应按接口、用户、租户、来源和业务等级设置，返回明确的重试提示或降级结果。

熔断在依赖故障或错误率持续升高时暂时停止调用，避免故障扩散；降级则在资源不足或依赖不可用时保留核心能力、关闭非核心能力。超时必须设置在每一层，并保证总超时预算合理。无限重试、层层重试和没有退避的重试会形成重试风暴。

性能设计要明确降级后的业务语义。例如推荐服务不可用时可以返回默认内容，库存查询失败不能简单返回“有库存”，支付状态未知不能直接判定失败。降级本身也要监控、审计和恢复，避免长期处于静默降级状态。

八、可观测性与性能闭环

性能问题需要日志、指标、追踪和剖析共同支撑。指标包括请求率、错误率、响应分位数、队列、资源、缓存和业务成功率；追踪用于分解端到端时间；日志记录上下文、参数摘要、错误和关键状态；剖析用于定位 CPU、内存、锁和 I/O 热点。

监控要关注业务和技术两类信号。CPU 正常而支付成功率下降，说明技术资源指标不能解释业务问题；业务成功率正常但 P99 恶化，可能预示资源即将饱和。告警应有阈值、持续时间、责任人、处置手册和升级机制。

九、案例：秒杀系统性能设计

某秒杀系统面临瞬时高并发，商品库存有限，要求不能超卖，页面访问远高于实际成交。设计可以把静态页面、商品详情和活动规则放到 CDN 与缓存；通过网关和令牌桶限制请求；用排队或排队号把瞬时流量转为可处理速率；库存采用预扣、原子扣减或分段库存，并以订单幂等和最终对账保证正确；非核心通知和积分异步处理。

核心链路不能依赖缓存中的“看起来有库存”作为最终判断，库存扣减必须有明确的一致性和失败补偿。队列要监控积压和过期，用户要知道排队、成功、失败或处理中。数据库、缓存、消息和网关必须分别压测，并验证重复请求、超时、节点故障和库存恢复。

十、练习与详细答案

1. 缓存击穿、穿透和雪崩分别是什么？
2. 异步队列为什么必须设计幂等和死信？
3. 为什么只扩容应用节点可能无效？
4. 限流、熔断和降级分别保护什么？
5. 设计一个数据库读多写少系统的性能方案。

答案：1. 击穿是热点失效导致并发回源，穿透是大量请求不存在数据绕过缓存，雪崩是大量缓存同时失效或缓存集群故障；2. 消息可能重复投递，消费者失败可能无法自动处理，幂等避免重复副作用，死信保存无法处理的消息供告警和人工处理；3. 数据库、缓存、网络或下游可能才是真正瓶颈；4. 限流控制进入速率或并发，熔断阻断故障依赖，降级保留核心能力并关闭非核心功能；5. 结合访问模式设计索引和分页，使用缓存和读副本，明确读一致性，连接池和查询超时，历史数据归档，建立缓存失效、数据库故障和副本延迟的降级策略，并用读写混合压测验证。

案例题：某电商服务引入缓存后平均响应下降，但数据错误投诉增加。请分析并提出改进。

参考答案：缓存更新和数据库事务的顺序、并发写、删除失败、过期策略或读写分离延迟可能造成脏数据；缓存键和版本不完整也可能返回其他租户或旧版本数据。应明确数据一致性等级和允许延迟，选择先写库后失效、可靠消息补偿或版本校验等策略；为更新和删除建立重试、对账和异常告警；敏感数据按租户和权限隔离；监控命中率、失效失败、版本冲突和数据校验结果，并用并发更新、节点故障和消息重复测试验证。

十一、论文素材与复盘

论文中写性能设计应从目标出发：通过缓存减少重复读取，异步队列削峰，负载均衡和无状态支持横向扩展，索引和分片优化数据访问，限流熔断降级保护稳定性，资源隔离避免相互影响，最后用指标、追踪和压测形成闭环。每项措施都要写清适用条件和一致性、复杂度、成本等代价。

今日核心记忆句：缓存减少重复工作，异步平滑峰值，扩展增加容量，分片突破单点，限流控制入口，熔断阻断故障，降级保住核心，观测帮助定位。性能设计不是技术清单，而是“目标—瓶颈—措施—代价—验证”的完整推理过程。