PostgreSQL 高可用

与业务负责人确定可接受的数据丢失量、写中断时间、事务重试方式及停止条件，登记节点、故障域和当前备份位置。使用现有只读连接配置查看版本及角色，连接配置不得在终端输出口令。核对最近一次恢复记录，尚未做过恢复验证时先安排独立恢复，不把备份任务成功视为可恢复的证据。

SHOW server_version;
SELECT pg_is_in_recovery();

规划三个独立成员的 etcd 集群，核对成员不集中在同一宿主机或电源故障域，并为成员间通信启用证书与来源限制。通过已配置 TLS 的管理环境读取端点状态，记录成员 ID、任期和磁盘延迟基线。确认网络分区时哪一侧可形成多数，避免将两个成员误当成可容忍单节点故障的设计。

etcdctl endpoint status --cluster --write-out=table
etcdctl member list --write-out=table

根据业务取舍选择异步或 Patroni 管理的同步模式，记录最大允许复制滞后、同步副本数量及写入可用性要求。异步切换的数据丢失窗口还受 WAL 采样与租约周期影响，不能仅用一个滞后参数承诺零丢失。从已验证备份建立副本，检查扩展、校验和或 WAL 配置满足后续恢复需要，并预留复制槽滞留时的磁盘告警。

为 Patroni 配置经过环境验证的 watchdog 或外部 fencing 机制，说明失去租约、进程卡死和网络隔离分别由谁阻止旧主继续写入。需要 watchdog 的节点应在装置不可用时拒绝提升，确认重启风险和恢复通道。将隔离检查纳入提升条件，在测试节点验证完成后才开放自动切换，禁止把代理摘除当作唯一的防双主手段。

让 HAProxy 使用 Patroni 主角色健康端点判断写后端，管理 API 只开放给指定代理和管理员。建立单独的只读入口时同时考虑复制滞后，不以端口存活替代角色判断。先从测试客户端验证连接重建、连接池刷新和事务结果核对，再分批接入业务；对旧长连接的退出方式及代理自身冗余入口安排明确的验收。

先进行健康节点间的计划切换，再按批准的故障矩阵逐项测试主进程失效、单个 DCS 成员失效和网络隔离。每次仅引入一种故障，记录隔离、选主、代理切换及客户端恢复的时间线。用独立测试业务流水核对确认提交、失败和结果不明的事务；旧主回归前核对时间线分叉，并按既定重同步方案处理。

在隔离恢复环境执行一次备份恢复和指定时间点的数据核对，确认恢复过程不依赖发生故障的原主节点。将复制滞后、WAL 空间、DCS 状态、证书到期及代理后端异常纳入值班看板，明确告警负责人。整理配置版本、演练缺口与人工接管流程，按约定观察窗口完成验收；所有尚未执行的项目保持待验证状态。