定义
Cloak技术部署架构，指为Cloak（斗篷）系统设计的、以多活冗余和故障域隔离为核心目标的基础设施架构方案。多活冗余指在物理或逻辑上部署多个可同时承担流量处理的服务节点或集群，任一节点故障时其余节点可持续提供服务；故障域隔离指将不同服务实例部署在相互独立的电力、网络、硬件或地域环境中，使单一故障源的爆炸半径被限制在最小范围。
在Cloak技术体系中，部署架构的可靠性直接关系到业务连续性。Cloak判定服务的不可用会导致两类后果：一类是安全流量因无法判定而被错误放行，直接暴露真实页面；另一类是全部流量被拒，造成竞价广告预算空耗。多活冗余与故障域隔离设计的目的，是让系统在服务器宕机、机房断电、网络分区等异常条件下，仍能维持判定服务的可用性，并将故障影响控制在不触发风控的阈值内。
工作原理
服务分层与决策链分解
Cloak技术部署架构的底层逻辑是将判定流程拆解为多个可独立扩容和冗余的服务层。典型的架构分为三层：接入层、判定层、数据层。接入层负责终止TLS连接、解析HTTP请求头，并将请求标准化为内部格式；判定层运行核心的Cloak判定逻辑，根据设备指纹、IP信誉、行为特征等数据输出"放行"或"拦截"的决策；数据层负责存储指纹库、规则配置、会话状态和日志记录。
三个服务层均可独立部署多副本。接入层无状态，通过负载均衡器水平扩展；判定层是高时效性要求最高的环节，其单次决策的P99延迟通常要求控制在200毫秒以内；数据层则依赖分布式存储系统，要求数据写入的持久性达到99.99%以上。
多活冗余的实现路径
多活冗余的部署模式分为同城双活和异地多活两种。同城双活指在同一城市的不同机房分别部署完整服务栈，两个机房同时承接流量，通过专线互联保持数据同步；异地多活则跨越更大地理距离部署三个以上节点组，利用分布式共识算法（如Raft或Paxos）维持配置数据的一致。
实际工程中，Cloak系统通常采用"双活判定+三副本存储"的组合。判定层部署在两个可用区中，每个可用区内的判定服务均为多实例运行。当主用可用区出现故障时，流量调度系统在5秒内将全部请求切换至备用可用区。切换过程采用DNS加权轮询与HTTP层主动健康检查相结合的方式，确保切换动作自动完成且对客户端透明。
流量调度器的健康检查机制是判定节点状态的依据。调度器每2秒发送一次探测请求，连续三次失败即标记节点下线，停止向其分发新请求。该机制存在两种误判场景：一种是节点负载过高导致探测超时被误判为宕机，另一种是节点存活但处于半连接状态，导致部分请求被黑洞。
故障域隔离与爆炸半径控制
故障域隔离要求任何单一故障点都不能导致超过20%的判定容量丢失。实现该目标需遵循三条原则：其一，冗余节点的部署位置必须跨越独立的电力供应和网络路由；其二，不同可用区之间必须配备独立的入口IP段和TLS证书，防止单点证书泄露导致全量风险；其三，每个可用区的容量上限设置为总容量的60%，确保单一可用区故障后剩余节点仍能承载全量流量。
故障域隔离还涉及数据层面的隔离。Cloak系统维护的访客特征库和规则配置，需在多个可用区之间保持最终一致。如果规则配置在传播时出现分区，研判层可能使用过期规则进行决策，导致判定结果偏离当前风控要求。
降级与过载保护
当全量节点均处于异常状态时，部署架构必须提供明确的降级策略。降级策略的默认动作是"安全失败"，即将判定结果默认为拦截，阻断所有流量跳转。该策略优先保障真实白名单访客的体验，允许其直接访问白页，从而降低对手方批量识别Cloak系统的概率。
在流量突发超过系统承载上限时，过载保护机制按比例丢弃低优先级请求，优先保证已建立会话的连续性。拒绝服务比例通常设置为总容量的10%以内，防止出现雪崩效应。
技术分类
按网络时延要求
实时型架构要求判定结果在50毫秒内返回，适用于竞价广告点击后的即时跳转场景。近实时型架构允许500毫秒内的延迟窗口，通常配合异步日志分析，适用于对跳转时效要求不高的白帽SEO场景。延迟敏感度直接决定部署地点的选择范围，实时型架构要求节点与广告平台接口之间网络往返时延低于20毫秒，通常需在同一城市部署。
按数据同步方式
强同步架构使用分布式事务或共识算法保证多节点数据完全一致，适用于白名单规模小于10万条的场景。最终一致架构则依赖消息队列进行异步数据同步，同步延迟通常在100至300毫秒之间，适用于特征库更新频率高、单次更新数据量大于1万条的场景。对于直接嵌入HTML内容的判定方式，缓存命中率需维持在95%以上才能保证时延达标。
按故障转移粒度
节点级故障转移以单个服务实例为切换单位，切换粒度细且成本低。可用区级故障转移以整个机房为切换单位，需要投入双倍的硬件和带宽资源，但故障隔离效果更强。实践中，多数Cloak部署采用"节点级+可用区级"两级切换机制，先尝试排除节点故障，再在节点故障比例超过阈值时触发可用区切换。
应用场景
多活冗余架构在Cloak技术中的应用场景主要有三类。
第一类是竞价广告高消耗场景。当广告账户的单日预算超过5万元人民币时，Cloak判定服务中断30分钟即可能造成数万次点击无法正常跳转，直接损失和风控风险同步上升。多活架构可保证此类高消耗账户的判定可用性达到99.9%以上。
第二类是跨境业务场景。目标市场位于多个国家时，采用异地多活部署可以缩短判定节点与广告平台服务器之间的物理距离，降低网络延迟对判定时延的影响。同时，不同地域的故障域隔离可规避单一国家或地区的基础设施故障。
第三类是活动流量突发场景。大促期间流量峰值可达日常的10倍以上，多活架构的水平扩展能力可提前预置容量，避免因请求堆积导致的白屏或加载超时，这些异常状态会直接触发广告平台的风控机制。
第四类是私有化部署场景。部分客户要求Cloak服务完全部署在自有服务器内，通过双节点热备的方式实现故障转移，但客户需要自行承担跨机房数据同步的带宽和时延成本。
与相邻概念对比
Cloak技术部署架构常被误解为普通的高可用集群或故障转移方案，但两者在目标复杂度上存在显著区别。
普通高可用集群追求的是业务无感知的故障切换，切换时间通常在秒级；Cloak技术的多活架构不仅要保证切换速度，还要保证切换过程中判定结果的稳定。Cloak判定结果受部署节点历史数据和会话状态影响，节点的故障转移必须同步恢复会话上下文，否则可能出现白名单访客被误拦截的情况。
故障转移与容灾备份是操作层面的差异。容灾备份依赖定期的数据快照和冷备节点，恢复时间以分钟甚至小时计算，用于应对机房级灾难；故障转移则依赖实时的数据同步和健康检查，切换时间按秒计算，用于应对局部节点故障。
负载均衡与故障域隔离的范围不同。负载均衡解决的是流量在正常节点间的分配问题，目标是让所有节点平摊压力；故障域隔离解决的是故障影响的范围控制问题，目标是让任何故障都只影响一小部分节点。负载均衡通常与故障域隔离配合使用，但负载均衡无法替代故障域隔离的规划设计。
灰度发布与多活冗余均涉及流量切换机制，但两者目的不同。灰度发布是将新版本或新策略逐步引入生产环境的流量调度过程，其切换的粒度是配置和规则；多活冗余的切换粒度是物理节点或逻辑服务单元。
Cloak技术中的多活冗余并非单纯的"备份"，而是所有节点同时参与流量处理和决策计算的并行体系。每个活节点都是完整的决策单元，具备独立完成判定所需的全部数据和计算能力，不存在备节点和主节点的固定角色划分。
常见问题
Cloak技术的多活冗余会造成判定结果不一致吗？
会，但可控。只要多个判定节点使用相同的规则配置和特征库，判定结果的一致率可以保持在99.9%以上。数据同步延迟可能短暂导致部分节点输出不同结果，通常采用判定结果版本号校验机制来降低差异影响。
故障域隔离与高可用集群的区别是什么？
高可用集群多指在一个机架或一个机房内通过多台服务器实现冗余，共享同一电力供给和网络出口；故障域隔离则要求冗余节点必须位于相互独立的物理环境中。一个机房的电力中断即可导致整个高可用集群失效，但故障域隔离架构下，单机房故障的影响范围被限制在整体容量的三分之一以内。
故障切换时是否会导致真实访客被误伤？
这取决于会话粘性设计。如果Cloak系统未在节点间同步会话状态，切换后的节点无法识别已通过验证的访客，就会触发二次验证或直接拦截。采用分布式会话存储或客户端携带状态令牌的方式，可在切换过程中维持访客身份识别，减少误伤比例，但会增加约5%的响应开销。
边缘节点缓存与多活冗余是否冲突？
两者作用层级不同，不冲突。边缘节点缓存的是一次判定结果的短期复用，用于减少同类请求的重复计算；多活冗余保证的是判定服务的整体可用性。边缘节点失效时请求回源至多活判定集群，由核心节点完成决策。
单机房部署的Cloak系统是否完全没有冗余能力？
单机房部署也可在机架、交换机、服务器层面实现局部冗余，但由于共享电力供给和网络边界，无法抵御机房级别故障。对于实验性小额预算的广告账户，单机房的整机冗余方案可将可用性提升至99.5%左右，但无法支撑高预算账户的稳定性要求。
