16.1 容错与高可用