【运维发布】优雅重启：不丢消息的滚动重启

实战应用：用在哪里

改个配置也要停服半小时的时代过去了：滚动重启让服务器逐台更新，玩家无感知切换。重启的难点不在停而在迁——正在战斗的玩家、队列里的消息、半途的邮件投递，都要在进程退出前安顿好。

重启的前置准备

---进入排空模式：拒新迎旧
function Rolling.drain(nodeId)
    Rolling.setFlag(nodeId, "draining")
    sendmsg(nil, 1, "服务器即将更新，请稍后重新登录")
    -- 停止接入新连接
    Gateway.closeListen(nodeId)
    -- 等待存量会话自然收敛
    local deadline = os.time() + 120
    while os.time() < deadline do
        if Gateway.sessionCount(nodeId) == 0 then break end
        os.execute("sleep 5")
    end
end

节点先进入排空模式：关闭监听不再接新连接，全服公告预告，存量连接等玩家自然下线或迁移。排空的宽限期 120 秒，超时后剩余会话强制迁移——战斗中的玩家先结算当前回合再迁，攻城战期间直接冻结重启计划，重启的日历避开所有大型活动时段。

状态的交接

---退出前的状态落盘与会话迁移
setontimerex(52, 5)
function Rolling.handover(nodeId)
    -- 未投递邮件先落库
    Ledger.flush()
    MailQueue.persist()
    -- 存量玩家迁移到健康节点
    for _, uid in ipairs(Gateway.sessions(nodeId)) do
        Gateway.migrate(uid, Rolling.pickHealthy())
    end
    -- 全部迁出后退出进程
    if Gateway.sessionCount(nodeId) == 0 then
        Rolling.exit(nodeId)
    end
end

退出前把内存态全部落盘：流水缓冲 flush、未投递的邮件队列持久化，重启后的数据与重启前严格一致。存量玩家按会话迁移到健康节点，迁移的会话带鉴权票据，玩家端的表现是一次静默重连——聊天频道的消息在迁移窗口的丢失为零，因为消息队列的未投递部分随迁移走。新版本节点起服后自检（配表装载、数据库连通、冒烟用例），自检通过才接流量，坏版本被自检挡在门外。

验证与监控

重启的迁移成功率与消息丢失数监控，丢失数必须恒为零；单节点的重启时长统计，超过 3 分钟的节点查明原因。

踩坑记录

排空曾经不关监听，公告的几分钟里新玩家还在涌入，排空与监听关闭的顺序固化。邮件队列曾经重启时直接丢弃，玩家充值的附件凭空消失，队列的持久化补上。迁移的会话曾经不带票据，重连时被鉴权拦截，玩家集体掉线一次，票据机制修复。

上线要点

重启的窗口期避开活动与攻城，日历的冲突检查自动化。灰度的顺序：先从服后主服，全量前观察半小时的核心指标。回滚预案与重启预案同样演练：坏版本的回滚时间要求在 5 分钟内完成。

本文由 996 技术组基于 996 引擎官方知识库与浮生梦老师课程体系整理。团队长期从事传奇类引擎 Lua 后端逻辑、客户端界面与商业版本交付，内容以官方知识库与真实项目为出处，按版本持续修订。