在分布式系统中，负载均衡器的健康检查机制直接影响故障检测速度与流量调度的准确性。不同健康检查协议在故障识别能力、计算开销与网络消耗上存在显著差异，选择不当会导致故障实例被持续投毒或健康实例被误切。本文从工程角度对比 TCP、HTTP 与 gRPC 三种主流健康检查协议的特性，为多模型部署场景提供可落地的选型指导。
三种协议的核心差异
健康检查协议的选择本质上是「检测深度」与「执行成本」之间的权衡。TCP 检查仅验证传输层连通性，HTTP 检查触达应用层逻辑，而 gRPC 检查则覆盖完整的 RPC 堆栈。
| 协议 | 检测层级 | 典型延迟 | 资源开销 | 故障识别范围 |
|---|---|---|---|---|
| TCP | 传输层 | 极低（毫秒级） | 最低 | 节点宕机、端口未监听、网络不可达 |
| HTTP | 应用层 | 较低（<10ms） | 中等 | 应用崩溃、依赖失效、配置错误 |
| gRPC | RPC 堆栈 | 较高（HTTP/2+Protobuf） | 较高 | gRPC 服务器故障、HTTP/2 管道异常、拦截器错误 |
TCP 健康检查的核心优势在于极低的延迟与开销。由于仅完成三次握手即可判定成功，在高可用性要求下可以将探测间隔压缩至秒级甚至亚秒级，而不会对后端造成显著压力。然而，这种协议无法感知应用层的健康状态 —— 即使服务进程已经完全卡死，只要端口仍在监听，TCP 检查就会返回成功。这意味着负载均衡器可能持续向已经完全不可用的实例投递流量，直到客户端超时才能发现故障。
HTTP 健康检查通过发送真实的 HTTP 请求并验证响应码，能够捕获应用层的多数故障场景。一个正确实现的 /healthz 端点应当检查关键依赖（数据库、缓存、外部服务）的可达性，并在任何一项失败时返回非 2xx 状态码。这种检查的代价是额外的 HTTP 解析开销与 TLS 握手成本（如果使用 HTTPS），但在现代硬件上这些开销通常可以忽略不计。值得注意的是，HTTP 健康检查的准确性高度依赖于端点的实现质量 —— 如果 /healthz 仅返回 200 而不执行任何实际检查，则与 TCP 检查无异。
gRPC 健康检查是 gRPC 生态系统中的标准方案，通过 gRPC Health Check Protocol（基于 HTTP/2 和 Protobuf）实现。这种检查方式的独特价值在于能够验证完整的 gRPC 堆栈，包括 HTTP/2 流管理、gRPC 拦截器以及服务特定的健康状态。Cloud Providers（如 GCP、AWS）明确建议对 gRPC 后端使用 gRPC 感知或 TCP 级别的健康检查，而非通用的 HTTP 检查。
故障检测延迟的量化分析
故障检测延迟是健康检查最关键的可运营指标。在实际生产环境中，检测延迟主要由三个参数决定：探测间隔（interval）、连续失败阈值（unhealthy_threshold）以及单次探测超时（timeout）。
假设采用典型的生产配置：interval 设置为 5 秒，unhealthy_threshold 为 3，则实例从故障到被标记为不健康的检测时间约为 15 秒。这一数值在多数业务场景下是可接受的，因为客户端通常配置了重试与超时机制，能够在数秒内发现故障并切换到其他实例。然而，对于延迟敏感型业务（如实时推理服务），15 秒的检测窗口可能导致大量请求失败。
可以通过调整参数来缩短检测时间：将 interval 降至 2 秒，unhealthy_threshold 降至 2，理论检测时间可压缩至 4 秒。但这种激进配置会增加误报风险 —— 如果后端因 GC 暂停或短暂的网络抖动导致单次探测超时，实例会被快速标记为不健康。对于存在明显毛刺的后端服务，建议将 unhealthy_threshold 设置为 3 或更高，并在 timeout 参数上留足余量。
timeout 参数的设置需要参考后端的 P99 延迟。建议将 timeout 设置为 P99 延迟的 2 到 3 倍，以确保正常流量波动不会被误判为故障。例如，如果服务的 P99 延迟为 500ms，则 timeout 设置为 1.5 秒至 2 秒较为稳妥。需要注意的是，timeout 是单次探测的等待时间，而 interval 是两次探测之间的间隔 —— 如果 timeout 接近或超过 interval，可能导致多个探测请求同时处于等待状态，增加后端压力。
资源开销与扩展性考量
在大规模部署中，健康检查的资源开销不可忽视。TCP 检查由于仅发送极少的字节，对 CPU 和网络的消耗几乎可以忽略不计，这使得它能够支持极高的探测频率。在一些对故障检测速度极为敏感的场景下，可以将 TCP 检查的 interval 设置为 1 秒甚至更低，通过高频探测来弥补协议层面的局限性。
HTTP 检查的 CPU 开销主要来自 HTTP 解析和可能的 TLS 握手。如果负载均衡器与后端之间使用 HTTPS，每次健康检查都可能触发新的 TLS 握手（除非复用连接），这会增加可观的 CPU 消耗。在 CPU 敏感的环境中，建议使用 HTTP 而非 HTTPS 进行健康检查，或者确保 TLS 会话复用正常工作。对于 Envoy 等支持 HTTP/2 的负载均衡器，HTTP/2 的连接复用能够显著降低健康检查的边际开销。
gRPC 健康检查的 overhead 是三者中最高的，原因在于 HTTP/2 连接建立的成本以及 Protobuf 序列化的 CPU 消耗。然而，在 gRPC 主导的架构中，这种开销是必要的 —— 只有 gRPC 健康检查能够检测到 HTTP/2 流错误、gRPC 拦截器故障等特定问题。另一个值得关注的点是 HTTP/2 PING 帧，它可以用于测量纯网络延迟而不触发任何应用逻辑，适合与 gRPC 健康检查配合使用。
多模型部署场景的选型建议
在多模型部署场景中，后端服务可能同时包含 REST API、gRPC 服务以及异构的推理引擎。不同的服务类型应采用不同的健康检查策略。
对于标准的 REST 后端，HTTP 健康检查是默认选择。关键在于设计一个有意义的健康检查端点：检查数据库连接池状态、缓存可用性以及关键下游依赖的连通性。如果健康检查端点与生产请求使用相同的代码路径，检查的准确性会大幅提升。建议将健康检查端点的路径标准化为 /healthz 或 /health，并确保所有服务实例使用一致的端点实现。
对于纯 gRPC 服务，强烈建议使用 gRPC 健康检查。这一建议不仅来自 Google Cloud 和 AWS 的官方文档，更因为 gRPC 服务的故障模式往往发生在 RPC 层面而非 TCP 层面。例如，gRPC 服务器可能成功接受 TCP 连接但在处理特定方法时挂起，或者 HTTP/2 流因协议错误而中断 —— 这些情况 TCP 检查无法发现，HTTP 检查也可能遗漏。
对于混合部署场景（同时暴露 REST 和 gRPC 接口），可以考虑组合策略：使用 HTTP 检查验证 REST 端点的可用性，使用 gRPC 检查验证 gRPC 堆栈的健康，再辅以 TCP 检查作为兜底。这种多层检查能够最大化故障检测的覆盖率，但也会增加配置复杂度和运维成本。
对于无状态推理服务（如大语言模型的推理引擎），健康检查的设计需要额外考虑模型加载状态。如果推理服务在模型加载完成前就接受 TCP 连接，TCP 检查会错误地认为服务健康。解决方案是在推理服务中实现专门的健康检查端点，该端点只有在校模型加载完成且可处理请求时才返回 200。
参数配置参考模板
以下给出一套针对中等延迟服务（p99 延迟约 100-150ms）的 Envoy 健康检查配置模板，可作为生产环境的起点：
health_checks:
timeout: 2s
interval: 5s
interval_jitter_percent: 20
unhealthy_threshold: 3
healthy_threshold: 2
unhealthy_interval: 5s
unhealthy_edge_interval: 2s
healthy_edge_interval: 2s
http_health_check:
path: /healthz
参数调优的核心原则如下：如果误报频繁出现，将 timeout 调整为 3 秒或将 unhealthy_threshold 提高至 4；如果故障检测过慢，将 interval 降至 3 秒或 unhealthy_threshold 降至 2，同时监控实例的波动情况。interval_jitter_percent 设置为 20% 能够避免多个负载均衡器实例在同一时刻向同一后端发送探测请求，减少尖峰压力。
此外，建议将主动健康检查与异常检测（outlier detection）结合使用。异常检测基于实际流量中的错误率动态判定后端是否应该被驱逐，能够捕获健康检查无法感知的渐进式故障。两者配合使用可以兼顾「快速检测显式故障」与「持续监控运行时表现」两个目标。
总结
负载均衡器健康检查协议的选择没有普适答案，需要根据业务对故障检测速度的敏感程度、后端服务的协议类型以及运维团队对复杂性的接受度来权衡。TCP 检查适合作为最低延迟的兜底方案，HTTP 检查是 REST 服务的标准选择，gRPC 检查则是 gRPC 后端的必要配置。配合合理的超时与阈值参数设计，能够在故障检测速度与稳定性之间取得平衡。
参考资料
- Google Cloud Load Balancing Health Check Concepts
- AWS Application Load Balancer Target Group Health Checks
- Envoy Health Check Configuration