故障止损与恢复手册

手册是一份动作合同

每类事故指定触发条件、owner、影响范围、允许止损动作、恢复前置和完成证据。记录Task／Run、发布版本、来源及外部操作身份。告警看板只定位症状，不能替代手册；也不要让处理事故的Agent自由扩大权限。

按故障边界止损

模型不可用或限流时停止无上限重试，按截止时间排队；回退模型先检查能力和数据资格。索引落后时披露资料时间，必要时切回权威数据或暂停依赖新鲜度的回答。验证器不可用时保留候选，不把“检查服务失败”转为“结果通过”。

外部工具效果未知时固定operation_id，停止自动重放，查询目标权威状态或进入人工对账。取消Run只阻止后续动作，已发生效果需单独确认或补偿。撤权时沿来源血缘失效上下文、子任务和待交付产物；记忆投毒时隔离受影响scope与写入版本，保留取证引用，恢复到经审查状态后重测。

恢复要证明什么

分别确认服务恢复、数据追平、无重复外部效果、权限有效和产物重新验证。每个恢复报告绑定实际状态与检查时间，不能只写“worker已重启”。如回滚模型但保留了受污染记忆，或回滚代码却无法读取在途checkpoint，系统仍未恢复。

演练与复盘

在测试环境注入限流、丢回调、旧worker复活、索引延迟和恶意记忆。检查告警路由、人工等待、对账结果及回滚可执行性。复盘区分触发原因、放大路径与缺失控制，将可复现失败进入回归集；失败轨迹作为诊断材料，不直接当作SFT正样本。上述是参考手册结构，具体阈值与责任人必须由部署方根据任务风险和实际运行证据设定。