模型故障切换

在模型服务失败时使用获准的替代路径。

故障切换应保持任务合同，而不只是恢复一个HTTP响应。供应商不可用时，备用模型必须有权处理相同数据，具备所需工具和输出能力，并能接受可移植上下文。若不满足，应排队、返回部分结果或明确降级，不能静默发送到未批准端点。

不同模型不共享隐式推理和原生compaction状态。Codex公开异步压缩代码将结果绑定模型、历史版本和授权代次，说明状态兼容性本身需要协议。跨供应商切换通常要从任务状态、已确认工具结果、证据和用户限制重建context，而不是复制一个opaque token继续。

切换前检查外部动作状态。原请求断流时，模型或工具可能已经产生部分结果；备用模型应知道哪些操作已提交、哪些未知。重复完整请求可能重新执行副作用。稳定业务ID和read-back仍然有效，换模型不能成为创建新动作身份的理由。

路由策略还需处理错误分类。短暂429可能等待更经济，持续故障才切换；权限或数据驻留不合格不能靠fallback解决；备用服务自身配额也有限。熔断、恢复探测和切回应有节制，避免故障期间反复摇摆并破坏缓存。

验证不应只关掉主模型看备用是否回答。应测试同类数据资格、schema差异、长上下文、并行工具、拒绝与取消，并核对费用和外部效果。关键领域可选择只允许新Task使用备用模型，在途高风险Task暂停等待确认。

向用户说明降级影响，例如来源覆盖减少、响应延后或某项计算尚未完成。故障恢复的目标是维持可解释可靠性，不能为了隐藏服务异常而输出未经同等验证的结论。

切回主模型也属于变更，不能自动复用备用模型的opaque上下文。应记录切换点，并核对待执行动作。

实践重点：备选具备同类数据处理资格、schema和verifier；否则排队或降级。

验证抓手：模拟供应商故障，验证数据合同和上下文重建。

常见误区：静默送往未批准供应商，或迁移opaque推理状态。

OpenAI：Agent运行时选择；Codex：异步压缩兼容性源码。