错误预算与降级策略

错误预算把可靠性讨论从情绪变成数字。

怎么定

按季度可用性目标换算允许的失败比例。例如 99.9% 意味着每月约 43 分钟不可用，超出就暂停新功能，优先修复。

分链路定

支付与登录的预算比博客展示严得多。不要用一个全局 SLO 掩盖关键链路的问题。

降级策略

依赖不可用时要有兜底：推荐服务挂了就展示热门内容，邮件服务挂了就落库稍后重发。兜底方案要提前演练。

复盘纪律

每次超出预算的事故都产出可执行项，并指定负责人。没有后续动作的复盘等于没发生。