分任务SLO与错误预算

指标不是一个数字

可用性度量能否接受和处理请求，质量度量能否完成业务任务。知识新鲜度、撤权传播、恢复时间、交付时限和正确性各有目标。长研究任务与短问答不共用延迟阈值；按任务slice和风险定义SLO。

严重越权、重复不可逆操作和伪造关键引证通常是发布硬门禁，不能被其他任务的高平均分抵消。统计上零次观察也不等于零风险；报告样本量、试验条件和置信边界。对外SLA还需区分供应商依赖和企业自身可控部分。

错误预算怎样驱动行动

预算消耗过快时暂停扩张，优先修故障和回归，必要时切换只读降级、排队或人工复核。降级不能悄悄把强证据模式变成无来源回答。供应商故障的回退模型也需满足能力和数据资格，不能仅因可调用就投入高风险任务。

验证与演练

以限流、搜索索引更新失败、worker重启、授权服务迟延和验证器不可用进行演练。检查超时传播、用户状态反馈、是否保留已完成工作与回滚路径。质量门禁和服务错误预算相关但不可互相抵销；分别出报告，定位真正的控制措施。

口径与责任

每个指标明确分母、观察窗口、采样缺失与责任人。用户主动取消、系统超时和未知外部效果分别计数；不要从成功率分母中删除困难任务。告警应指向可执行的恢复手册，并记录何时解除降级。