原因 软件对环境 的假设不再成立 分类 错误输入，如2012.6.30的闰秒 失控进程占用共享资源 系统依赖的服务变慢，无响应或错误响应 组件级联故障 方法 仔细考虑假设 彻底的测试 进程隔离 允许进程崩溃并重启 测量、监控、分析系统行为