一个失控的进程会把整个系统带倒，这是最常见的雪崩开始的地方。日志程序异常重试、脚本陷入死循环、备份任务挤占数据库，都属于同一类问题。
限额是根据资源分组来确定的。把进程按照角色进行划分，给每个角色分配不同的CPU份额和上限，核心服务保底配额，非关键任务最高占比；内存也分档，超出配额先回收缓存，持续超限则终止该进程并记录。即使某一个组跑满了，其他的组仍然有可用的资源。
优先级和并发一起使用。批处理任务的调度权重降低，在低峰期进行；连接数和线程数设置上限，防止请求堆积导致内存耗尽。数据库端对单个账户的查询时间和返回行数进行单独限制，防止一条语句把整个实例拖垮。
超限处理要提前设定好动作。终止前保存现场，收集进程状态、调用栈以及资源曲线等信息，事后再进行原因分析；自动重启仅适用于没有状态信息的进程，对于有写入任务的进程直接重启可能会导致数据丢失。
配置变更之后用压测来检验隔离的效果，单独把某一个组压满，看核心服务有没有受到影响。
日常维护的时候也要有一份资源清单。每个进程组的当前配额、历史超限次数以及最近一次调整的原因都会被记录下来，这样在进行配额调整的时候就有上下文可以依据了；没有记录的限制值往往在数月的容量增长之后才会被察觉出来。