方法更新 2026-09-29
受控上线：灰度与回退清单
本页目录 · 5 个段落
共识部分，三行说完
灰度发布、监控告警、准备回退——这些是上线常识。问题是它们常被写成流程图里的一个框，而不是一组演练过的动作。
非共识：回退不是流程图，是演练过的动作
多数「回退方案」是一段文字：「出现异常时回退到旧流程」。这句话在事故当天不值钱，因为没有人知道怎么操作、权限在谁手上、数据错了怎么修。判断标准只有一条：回退动作你们做过一次吗？ 没做过的回退路径，按不存在处理。
第二个非共识：灰度按风险切，不按流量切。「先放 10% 流量」切的是随机用户，高风险样本仍会全量进来。正确的切片维度是风险：先放错误代价最低、事实最齐全、异常路径最少的任务切片，逐片扩大。
可抄走：灰度与回退清单
| 项 | 内容 |
|---|---|
| 灰度切片 | 按风险定义（如：仅 X 类任务、仅 Y 系统、仅白名单用户） |
| 监测项 | 每成功任务成本、失败四类分桶、正确拒绝率、人工接管次数 |
| 人工接管点 | 哪些动作永远人工签、哪些动作异常时上收 |
| 回退触发条件 | 定量阈值（如：接管率超上限、错误代价事件 ≥ 1 起） |
| 回退路径 | 具体到操作：谁、点哪里、数据修复步骤——必须演练过一次 |
| 演练记录 | 日期、回退耗时、遗留问题 |
适用 / 不适用
- 适用：首次上生产；涉真实写入或对外承诺；错误代价中高。
- 不适用：纯只读分析（风险低，小范围直接用）；演示环境（不需要回退）。
小结
受控上线的两根支柱：按风险切的灰度 + 演练过的回退。没演练过的回退路径不存在；没按风险切的灰度只是心理安慰。
No-Go 判据清单
- 回退路径只存在于文档、从未演练——不许上生产
- 监测项只有「准确率」而无成本与接管率——看不见运行真相，补完再上
- 没有明确的人工接管点——自主范围写多大都错，回 T1 重写任务边界
- 灰度切片按流量随机放量、不按风险切——高风险样本仍会全量进来，重新设计切片
能证明
- 灰度与回退清单（切片/监测/接管点/触发条件/演练记录）可直接进发布评审材料
- 「回退路径必须演练过」是可判定的检查项：做过 / 没做过，没有中间态
不能证明
- 清单阈值（如接管率上限）未给出通用默认值，需按场景定义
- 「按风险切灰度优于按流量切」是立场性原则，无对照数据
- 不承诺任何具体灰度策略的成功率
来源与使用范围
方法综合公开研究与教学推演；参考资料、适用条件和示例边界见正文。
一起判断下一步
带一笔任务，聊一个具体决定。
培训、方案评审或落地辅导，从你的工作材料与当前困难开始。