知识卡片
故障默认状态
内容
故障时的默认状态是在可用性和未授权访问之间作选择。fail-open 让服务在断电等故障中继续可用，却可能暴露资产；fail-secure 保住边界，却可能妨碍正常使用或逃生。应按受保护对象和两类损失分别决策，不能把任一默认值当成通用安全答案。发散：把默认状态写进威胁模型，才能让产品、运维和安全团队讨论同一笔代价。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第1章《安全性与可靠性的交集》（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_025.html`）
- 结论依据：原文以电子锁在断电时保持打开或关闭为例，对比默认放过与默认保护造成的可用性和安全后果。
- 原始内容：在没有破坏者的情况下，系统通常会在故障发生时默认放过，例如电子锁默认在断电时保持打开状态。为了防御可能利用电源故障的人，可以将门设计为在故障发生时默认保护，并在不通电时保持关闭状态。