Kafka 合格候选主副本（ELR）在严格 min ISR 约束下提升选主韧性

1. 背景

在广泛采用"严格 min ISR "策略的集群里，如果 ISR 副本数 < min.insync.replicas ，分区的高水位（HW）不会前进。传统逻辑下，这类分区发生选主时只能在 ISR 内部挑选 leader，甚至可能因为 ISR 为空而进入"选不出主"的尴尬局面，影响可用性与恢复时延。

Eligible Leader Replicas（ELR） （KIP-966 Part 1）即为此设计：当满足严格 min ISR 的安全前提下，将一批不在 ISR 中、但仍被判定为安全可领主的副本记录起来，供选主时兜底使用。

2. 什么是 ELR？它如何参与选主

ELR（Eligible Leader Replicas）由 KRaft Controller 维护，存储在分区元数据 PartitionRecord 的 Eligible Leader Replicas 字段中。发生选主时，Controller 按以下优先级挑选 leader：

若 ISR 非空：从 ISR 中选择一个；
否则，若 ELR 非空 ：从 ELR 中选择一个 未被封禁（unfenced） 的副本；
否则：若"上一次的已知主副本"未被封禁，则选择它（与 4.0 之前"全副本离线"时的行为一致）。

直观理解：ISR 优先 > ELR 次之 > 上次主兜底。ELR 是在严格 min ISR 前提下赋予控制面的一条"安全应急通道"，用于缩短无主窗口、加速恢复。

3. 版本与开关：如何启用 / 降级

4.0 中默认未启用。服务器端设置：
properties 复制代码
```
eligible.leader.replicas.version=1
```
启用后，KRaft Controller 开始追踪 ELR。
降级安全：
properties 复制代码
```
eligible.leader.replicas.version=0
```
关闭 ELR 即回退至旧行为。

4.1 起新建集群默认启用 ELR。老集群建议在低峰灰度开启并观测行为。

4. 如何查看 ELR 状态

API ：DescribeTopicPartitions

管理员客户端在描述主题时即可获取 ELR 字段。典型返回会包含每个分区的：
- ISR 列表
- ELR 列表（及 fenced/unfenced 状态）
- 上一次已知 leader
- 其他健康与复制状态

建议把 ELR 字段接入日常巡检脚本或平台面板，结合 ISR 变动与选主事件定位"为何不是从 ISR 选主"的原因。

5. 与 `min.insync.replicas` 的交互与规则

启用 ELR 后，系统将对 min.insync.replicas（min ISR）实施一系列一致性约束，务必知悉：

若集群级 尚未设置 min.insync.replicas，系统会自动补齐 一份，值继承自活动 Controller的静态配置。
不允许 从集群级 移除 min.insync.replicas。
更新集群级 min.insync.replicas 时（即使数值未变 ），所有 ELR 状态会被清理（重建 ELR 视为一次"重新评估"安全集合）。
Broker 级 之前设置的 min.insync.replicas 会被移除；今后如需调整，请以集群级为准。
不允许 在 Broker 级 修改 min.insync.replicas。
更新主题级 min.insync.replicas 时，该主题的 ELR 状态会被清理。

运维要点：统一改集群级，少动主题级。如需主题例外请充分评估其对 ELR 的影响与状态重建成本。

6. 典型场景与收益

场景 A：网络抖动导致 ISR 暂时收缩

传统：ISR 为空 → 难以快速选主，业务受阻。
启用 ELR：从 ELR 里挑一个 unfenced 的副本临时领主 → 缩短无主窗口，尽快恢复流量。

场景 B：单 AZ 故障 / 局部存储降级

传统：若 ISR 受损，恢复依赖 ISR 回补。
启用 ELR：合规条件下，可快速在 ELR 中择优选主，降低跨 AZ 回源时延。

场景 C：滚动维护 / 升级

ELR 提高控制面的"容错余度"，在滚动降流 期间更容易保持 leader 存在，降低抖动可见度。

7. 灰度启用与回滚

7.1 启用（灰度建议）

小范围集群/主题试点 ：
eligible.leader.replicas.version=1（Controller 生效后开始追踪 ELR）
可观测性 ：接入 DescribeTopicPartitions，记录启用前后：
- 选主时间（Leader election latency）
- ISR 收缩频度与持续时间
- 发生非 ISR 选主的占比（ELR 命中率）
压测/演练：故障演练（限速、断链、AZ 演练），确认"无主窗口"缩短且不引入数据一致性问题。

7.2 回滚

将 eligible.leader.replicas.version 调回 0，ELR 即关闭；选主恢复为旧行为。

8. 最佳实践与常见坑

最佳实践

统一治理 min ISR ：在集群级 设置与维护 min.insync.replicas，避免主题/Broker 级零散配置。
结合机架/AZ 策略：ELR 能兜底选主，但不替代机架感知与跨 AZ 亲和配置；仍需合理的副本拓扑。
监控"fenced/unfenced"：若 ELR 副本常被 fenced，需排查磁盘/网络/速率限制是否导致副本频繁被隔离。
发布窗口：与大规模负载变更（扩缩容、重分配）错峰，避免同时触发大量 ELR 评估。

常见坑

频繁改 min.insync.replicas ：会导致 ELR 状态被反复清理，增加控制面抖动与选主不确定性。
主题级滥用 min ISR：个别主题的特立独行配置会让 ELR 状态难以预测，影响 SRE 排查效率。
误把 ELR 当"放宽一致性" ：ELR 并非降低一致性要求，而是在严格 min ISR 策略下 提供更安全的选主兜底集合。

9. 运维清单（Checklist）

启用前

核对 Kafka 版本（4.0+，4.1 新集群默认开）
梳理并统一 min.insync.replicas 配置层级（集群级为准）
接入 DescribeTopicPartitions 并扩展仪表盘（ELR 字段）
规划灰度范围与演练用例（网络、磁盘、AZ）

灰度期间

观察 ISR 变动/ELR 命中/选主时延
追踪 fenced/unfenced 副本变化
评估业务侧尾延迟与错误率

全量后

固化集群级 min.insync.replicas 管控流程
定期审计主题级 min ISR 差异
报表化"非 ISR 选主占比"与"无主窗口时长"

10. FAQ

Q：ELR 会不会让"不健康"的副本当主？

A：ELR 只收录满足安全条件 且 unfenced 的副本。优先级仍是 ISR > ELR，ELR 只是兜底而非放宽一致性。

Q：为什么改了集群级 min ISR 后 ELR 全被清空？

A：这是设计使然------任何集群级参数变更都触发 ELR 重新评估，以确保安全集合与策略一致。

Q：主题级改 min ISR 有影响吗？

A：有。该主题的 ELR 状态将被清理，需要重新评估填充。

Q：如何排查"为何不是从 ISR 选主"？

A：先看当时 ISR 是否为空或均被 fenced；再看 ELR 中是否存在 unfenced 候选；最后回溯"上一次已知主副本"的状态与事件时间线。

结语

ELR 并非"更激进"的一致性取舍，而是在严格 min ISR 前提下 为 Kafka 控制面提供的一层安全缓冲 ：当 ISR 不足以保证快速选主时，ELR 让集群能更快恢复 leader，缩短无主窗口 。

配合统一的 min.insync.replicas 治理与完善的可观测性，ELR 能切实提升你在复杂网络与多 AZ 环境中的可用性与运维确定性。