代理故障切换怎么设：连续失败、冷却时间、会话保持和恢复条件

代理线路出现一次超时，就立刻把所有请求切到备用线路，看起来反应很快，实际可能放大问题：短暂波动被误判成故障，仍然有效的会话被打断，备用线路在瞬间承受全部流量，而原线路还没留下足够的诊断证据。

更稳妥的代理故障切换，需要先回答四个问题：什么信号真正触发切换、切换影响哪些请求、故障线路冷却多久、满足什么条件才允许恢复。下面的流程适合整理成团队规则，但阈值应根据业务窗口、目标站和线路基线调整，不能把一组数字套到所有场景。

先区分单次失败和持续故障

单次超时、一次连接重置或一个异常状态码，只能说明这次请求失败，不能单独证明整条线路失效。触发切换前，至少要把信号分成连接层、响应层和会话层。

• 连接层：连续超时、连接被拒绝、连接重置、TLS 握手失败。
• 响应层：错误码在短窗口内集中出现，或成功率持续低于该线路的正常基线。
• 会话层：出口 IP 意外变化、粘性会话断开、同一业务窗口无法保持线路。

团队可以先用连续成功率和错误码记录建立正常基线。没有基线时，所谓“异常阈值”很容易只是临时感觉。

用连续失败和影响范围设置触发条件

故障切换不应只看失败次数，还要看失败是否集中在同一节点、同一目标域名、同一地区或全部请求。建议同时记录检测窗口、最小样本量、连续失败次数、失败占比和受影响范围。

例如，一个节点对单一目标域名连续失败，但访问其他目标正常，更像目标站路径或局部兼容问题；多个节点、多个目标同时失败，则应优先检查本地网络、认证或上游服务。此时可参考超时与连接重置的重试顺序，先限制重试，再决定是否切换，避免重试和切换同时放大流量。

决定切单个请求、单个会话还是整条路线

触发条件成立后，还要控制切换范围。无状态查询可以只重放失败请求；已经建立登录状态的任务，应优先保护会话边界；只有节点级健康检查和多目标探测同时失败时，才考虑把整条路线移出可用池。

切换前应核对地区、协议、认证方式、出口类型和会话策略是否一致。备用线路能连通，不代表它适合接管当前会话。可以沿用出口 IP 切换一致性清单，确认变化是计划内的，并记录切换前后的出口信息。

冷却时间要阻止线路来回抖动

故障线路被移出后，不要在下一次探测成功时立即恢复全部流量。短暂恢复可能只是间歇性正常，立刻回切会造成线路在“可用”和“不可用”之间反复变化。

冷却记录至少包括：移出时间、触发信号、最后一次失败、下一次探测时间、连续探测成功次数和允许回流比例。线路变更本身也要进入代理路线变更记录，否则团队无法解释某个会话为什么在中途改变出口。

恢复要经过探测、小流量和会话边界

恢复条件应比切换条件更严格。建议先做独立健康探测，再放入少量无状态请求，观察成功率、延迟和错误码是否回到正常范围。已经迁移到备用线路的活跃会话，不要因为原线路恢复就立即切回；等到自然会话边界，再决定下一批请求走哪条路线。

对于影响范围较大的路线，可借鉴小流量灰度测试和回滚条件：先验证少量、可停止、可记录的请求，再逐步扩大，而不是一次恢复全部流量。

代理故障切换判断表

哪些情况不应该自动切换

认证信息错误、白名单未更新、目标站明确拒绝、请求参数错误，以及会话必须固定出口但没有兼容备用线路时，都不适合靠自动切换解决。反复换线只会掩盖根因，并让后续记录更难解释。

如果故障信号无法稳定复现，或不同检测工具给出冲突结果，应暂停自动动作，保留原始日志并人工复核。代理故障切换的目标不是“永远不中断”，而是在证据足够时缩小影响范围，并让恢复过程可验证、可停止。

把切换规则放进代理资源规划

长期运行的代理资源不只需要主线路和备用线路，还需要触发、冷却、恢复和会话边界规则。可以从代理 IP 资源规划开始，为每组路线记录用途、地区、协议、认证、会话策略、健康检查和故障切换责任人。这样遇到异常时，团队执行的是已知规则，而不是临时换线。