容错不是消错

容错设计默认错误一定会发生，目标是限制错误传播范围，并让系统以降级形式继续服务。发散：高可用架构不是证明系统不会失败，而是让失败不再具有全局性。