在大规模 GPU 集群运维中，单点故障的可怕之处不在于其本身，而在于其引发的级联效应。当一块 H100 因散热问题开始降频时，如果缺乏有效的阈值检测与隔离机制，紧随其后的可能是同节点其他 GPU 的热累积、PCIe 拓扑的带宽争用恶化，最终导致整个实例无法正常调度任务。Modal 在其超过 20,000 GPU 的全球分布式集群中积累的经验表明，建立一套分层的遥测阈值体系并配合自动化的故障阻断策略，是将集群可用性维持在四个九以上的关键基础设施。
遥测数据采集的核心维度
NVIDIA Data Center GPU Manager（DCGM）是工业界采集 GPU 遥测数据的事实标准，但它提供的指标并非同等重要。根据 Modal 的运维实践，有四类指标构成了故障预防的第一道防线：异常错误事件、显存健康状态、热性能边界、以及时钟与功耗约束。这四类指标分别对应 GPU 硬件的不同失效模式，且各自需要独立的阈值配置策略。
异常错误事件主要通过 Xid 系列错误码暴露。Xid 13（ECC 不可纠正错误）、Xid 31（内存迁移故障）、Xid 63（PCIe 链路训练重试）等错误一旦出现，往往意味着硬件层面的损伤已经发生。Modal 的做法是将 Xid 错误的容忍阈值设为每 GPU 每小时零次 —— 也就是说，任何一次 Xid 13 或 Xid 31 错误都会触发实例标记。这种激进策略的背后逻辑是：不可纠正的 ECC 错误会导致显存页面永久性标记为不可用，随着时间推移会累积到影响正常计算的程度。与其让一块 "带病"GPU 继续服务并最终演变成更难排查的故障，不如在错误首次出现时就将其隔离。
显存健康状态的监控则需要关注可纠正 ECC 错误（UCE）的速率。虽然单次 UCE 可以通过 ECC 机制自动修复，但当 UCE 速率超过某个阈值时，往往预示着显存芯片即将失效。Modal 在实践中将阈值设定为每 GPU 每分钟不超过 1 次可纠正错误，超过此速率的实例会被加入隔离队列等待人工复核。这个阈值并非一成不变 —— 对于新采购的 GPU 设备，初期可能会有较高的 UCE 速率（磨合期），运维团队需要根据设备生命周期动态调整阈值。
温度阈值的精细化设计
温度是 GPU 稳定性最直观的表征，但温度监控的难点在于阈值的设定并非简单的 "不超过某个最大值"。根据 NVIDIA 的官方文档和 Meta 在 LLaMA 3 训练中的经验反馈，H100 系列的 FLOP/s 性能从 70°C 左右的中期温度开始就会出现可测量的衰减，而当温度攀升至 85°C 至 90°C 区间时，性能下降可达 20% 至 30%。更严重的是，Cloud C（Modal 对某云厂商的匿名称呼）在 2025 年曾出现过 GPU 温度达到 94°C 的情况，此时性能几乎被腰斩。
基于上述数据，Modal 实施了三层温度阈值策略。第一层为警告阈值 80°C，当任何 GPU 超过此温度时触发日志记录但不触发调度干预；第二层为降级阈值 85°C，此时该 GPU 不再接收新任务，同时启动主动散热检查；第三层为危险阈值 88°C，一旦触发，实例立即被标记为不健康并进入驱逐流程。这个三层阈值的设计充分考虑了温度上升的渐进性，给运维系统留出了响应时间窗口，同时也避免了因短暂的温度尖峰导致的过度反应。
值得注意的是，温度监控应当尽可能接近 GPU 的热点位置。H100 系列显卡通常在靠近计算核心的位置布置多个热敏电阻，运维系统应当优先采集靠近显存和计算单元的热敏数据，而非仅依赖板载温度传感器的平均值。在多 GPU 节点上，还需要关注风道设计和热通道布局 —— 某些云厂商的机架设计可能导致特定槽位的 GPU 长期处于较高的环境温度中，这种结构性缺陷需要通过区域级别的监控来识别。
时钟与功耗事件的预警机制
除了温度和错误事件，DCGM 还提供了时钟状态和功耗事件的细粒度监控。HW_SLOWDOWN 和 HW_POWER_BRAKE 是两种常见的时钟降频原因，前者通常由 GPU 内部的功耗或温度管理触发，后者则与 PCIe 供电限制或板载功耗传感器异常有关。这两种事件对性能的影响是直接且显著的 —— 当 H100 从正常运行状态进入 HW_SLOWDOWN 时，其 TFLOPS 性能可能下降 30% 到 50%。
Modal 的实践是将 HW_SLOWDOWN 事件的检测频率作为关键的健康指标。具体而言，如果一个实例在 24 小时内出现超过 5 次 HW_SLOWDOWN 事件，无论单次持续时间长短，都会被标记为需要人工介入。这个阈值的设计基于一个观察：偶尔的时钟降频可能是瞬态负载峰值导致的正常保护行为，但频繁的降频则暗示着散热系统、供电系统或 BIOS 配置存在问题。配合温度阈值使用时，这种双重检查机制可以有效区分 "负载相关降频" 和 "硬件相关降频" 两种不同场景。
功耗事件的监控则需要与温度监控联动分析。当功耗传感器报告接近 TDP 上限但温度尚未达到警告阈值时，可能意味着风冷系统正在以最大能力散热，此时任何额外的负载或环境温度上升都可能导致温度阈值被突破。Modal 在其监控系统中实现了功耗 - 温度斜率预测模型：当功耗持续处于高位且温度上升斜率超过预设阈值时，即使当前温度尚未达到警告线，也会提前触发预防性调度。
故障级联阻断的工程实现
阈值体系的最终价值体现在故障级联阻断的能力上。在大规模集群中，故障级联通常遵循一个可预测的传播路径：单 GPU 故障导致同节点负载重新分配，负载重新分配导致剩余 GPU 利用率上升，利用率上升导致温度升高和功耗峰值，功耗峰值触发时钟降频或热保护，时钟降频导致任务执行时间延长，延长的时间又进一步加剧资源争用。如果在这个链条的早期环节没有有效的阻断机制，一个原本局部的故障可以在数小时内扩散到整个机架甚至更大范围。
Modal 实施的故障阻断策略基于 "实例粒度隔离" 原则。当任何被动健康检查（dmesg、dcgmi health）或主动健康检查（dcgmi diag、GPUBurn）发现异常时，整个物理主机会被标记为不健康，不再接收新的调度请求。已运行在该主机上的任务不会被强制终止（避免数据不一致），但系统会通过优先级调度逐渐将其驱逐。这种设计在可靠性和运维成本之间取得了平衡：它避免了故障扩散，但也不需要运维团队在深夜对每一个边缘案例做出即时响应。
对于多租户环境中的关键业务，Modal 还提供了可选的 "快速 failover" 机制。该机制会在检测到异常后的 60 秒内尝试将正在运行的任务迁移到健康的替代实例。对于支持 Checkpoint 的训练任务，这种快速迁移可以将故障恢复时间控制在分钟级别；对于推理服务，配合适当的重试逻辑和服务发现机制，最终用户几乎感知不到底层的故障切换过程。
阈值配置的最佳实践清单
基于上述分析，整理出一份可落地的 GPU 集群遥测阈值配置建议清单，供规模化 GPU 集群的运维团队参考。这份清单涵盖了最关键的几类监控指标，每项都给出了建议的阈值和触发后的响应动作。
在错误事件类别中，Xid 13 和 Xid 31（不可纠正 ECC 错误）的阈值应设为每 GPU 零容忍，任何一次出现都触发实例隔离；Xid 63（PCIe 链路错误）同理；可纠正 ECC 错误的速率阈值建议设为每分钟不超过 1 次，超过后加入隔离队列待人工复核。在温度类别中，警告阈值建议设为 80°C，触发后记录日志并增加监控频率；降级阈值建议设为 85°C，触发后停止向该 GPU 分配新任务；危险阈值建议设为 88°C，触发后立即标记整个实例为不健康并启动驱逐流程。在时钟与功耗类别中，HW_SLOWDOWN 事件在 24 小时内出现超过 5 次应触发人工介入检查；HW_POWER_BRAKE 事件同理；当功耗接近 TDP 峰值且温度上升斜率超过 0.5°C / 分钟时，应提前预警可能的温度突破。
这套阈值体系的价值不在于其绝对数值，而在于其背后的设计原则：分层检测、渐进响应、实例隔离。不同云厂商、不同 GPU 型号、不同机架散热条件下，具体的阈值可能需要微调，但原则本身是普遍适用的。
参考资料：
- Modal GPU 健康监控实践：https://modal.com/blog/gpu-health
- NVIDIA DCGM 健康监控文档：https://docs.nvidia.com/datacenter/dcgm/3.0/dcgm-api/dcgm-api-health-mon.html