健康检测的递增隔离与摘除比例上限

把故障实例从负载均衡池里移出后，如果它恢复了又重新出问题，每次移出的隔离时间会比上一次更长——这防止了一个不稳定、反复抖动的实例被频繁地摘除又加回，浪费探测成本还制造额外抖动，惩罚性递增的隔离时间逼着它要么真正稳定下来、要么被长期挡在外面。另一道保险是设置摘除比例上限：即使故障判定条件被大量实例同时触发（比如网络抖动导致误判），也最多只允许摘除一定比例的实例，防止健康检测本身的误判反而摘光了所有实例，导致剩下的少数实例被瞬间打爆。发散：两道机制都在防同一类风险——把”故障处理逻辑”本身当成一个可能出错的组件来设防，而不是假设它永远精确无误。