配置发布代际与 ACK Quorum：证明实例真正应用同一份配置

运维把超时从 30 秒改为 3 秒，配置中心返回成功，控制台也显示“已发布”。一半实例通过 watch 立即更新，另一半因连接压缩事件停在旧值；刚重启的实例又拿旧 Pod 身份补交 ACK。流量在两个行为世界间随机跳转，简单统计“收到 80 个 ACK”无法说明是哪 80 个实例、哪份摘要、是否真的健康。

Ansible 配置管理处理主机配置自动化，Feature Toggle控制功能暴露。本篇关注运行中后端配置的接受协议：配置对象已存储只是候选，只有目标成员以当前启动身份证明加载和健康，active pointer 才能切代。

发布不可变制品，而不是覆盖键值

configRelease.v1 绑定 config ID、generation、规范内容 digest、schema/validator digest、依赖版本、目标 selector、冻结 membership snapshot、最小程序版本、阶段计划、ACK policy、健康窗口、期限和 predecessor。敏感值只记录 secret version 引用，不进入 ACK。相同 generation 的内容不可修改；修正文案也创建下一代。

schema: configRelease.v1
config: checkout-routing
generation: 84
contentDigest: sha256:62e...
validator: routing-policy@7
membership: checkout-prod@epoch-551
ackPolicy: zone-quorum-v3
predecessor: 83
state: CANDIDATE

实例状态限定为 DISCOVERED -> DOWNLOADED -> VALIDATED -> STAGED -> APPLIED -> HEALTHY_ACKED，失败进入 REJECTED，被更新代替为 STALE。ACK 必须包含 instance workload identity、boot/session ID、membership epoch、generation、content digest、程序制品、validator 版本、apply monotonic sequence 和健康窗口结果。只下载文件不能 ACK，进程退出前的 ACK 也不能代表同名替代实例。

Kubernetes ConfigMap 可被 Pod 作为文件或环境变量消费，但环境变量不会随源对象自动更新，挂载更新也受同步路径影响；因此“API 对象已更新”不是应用证明。etcd watch revision 可帮助发现顺序和压缩缺口，客户端遇到 compacted revision 必须重新读快照，不能把下一条事件当连续历史。Kubernetes Deployment 的滚动状态提供工作负载发布信号，也不能替代进程对具体 config digest 的确认。

Quorum 是发布证据，不是共识算法

控制面按冻结 membership 计算 ACK 集合，要求每个故障域、关键角色和最低流量权重分别达标，而不是只数 Pod 名称。新扩容实例不应稀释正在评估的分母；成员退役必须有 membership generation 变更和原因。Quorum 只能说明预定义样本已经健康，不能证明未 ACK 实例安全，所以路由器在切代后仍拒绝把要求 generation 84 的请求送到 generation 83 实例。

唯一接受点 promoteConfig 对 active pointer 做 CAS。事务重查候选 digest、predecessor、membership epoch、ACK policy、所有 ACK 的 boot 身份、健康窗口和撤销标记，再把 active generation 从 83 指向 84并写 promotion receipt。两个候选并发时只有一个成功；响应丢失进入 PROMOTION_UNKNOWN，发布器读取 pointer 与 receipt 判定，不能再次盲切。

实例只按 active pointer 或明确 canary assignment 激活配置，不能选择“存储中最大的 generation”。旧 watch、迟到 ACK 和缓存回填必须携带 generation；当前指针已变化就只存审计。配置影响外部协议时还要做兼容矩阵，模型服务金丝雀发布的稳定分桶可复用，No-code 工作流代际则展示为何一次运行应固定同代配置。

在混代最容易发生的位置断网

故障注入覆盖 watch 丢事件与 compaction、内容下载一半、摘要正确但 validator 不同、实例 ACK 后重启、两个 zone 失联、membership 与 promotion 竞争、旧 generation ACK 迟到、健康窗口后错误率突升、pointer CAS ACK 丢失，以及回滚时新旧 watcher 乱序。断言错误 digest 晋级为 0、重复身份计入 quorum 为 0、未满足故障域门槛时切换为 0、任何请求都能追到实例 generation。

门禁要求目标实例 config digest 可观测覆盖率 100%，必需故障域 HEALTHY_ACKED 达标率 100%，混代不兼容请求为 0，watch 缺口在 60 秒内重建，promotion UNKNOWN 在 30 秒内收敛，canary 错误率和 p99 延迟不越过预注册预算。上线先 shadow 下载验证，再给内部实例 1%，随后按 zone 扩大。回滚用新 promotion receipt 把 pointer 切向仍保留的 predecessor，并提升 rollout epoch；实例 ACK 重新计算，不能原地把 generation 84 内容改回 83，也不能删除失败代的证据。