優雅降解

1）方法的本質

優雅降解是系統在資源短缺，依賴性故障或負載峰值的情況下向更簡單但有用的模式的可管理過渡。目標是通過犧牲次要能力和質量來保持平臺的用戶價值核心和可持續性。

• 可預見性：預先定義的情景和退化的「階梯」。
• 病變半徑限制：絕緣的幻影和依賴性。
• 可觀察性：度量，邏輯和跟蹤「哪個降解級別處於活動狀態以及為什麼」。
• 可逆性：快速恢復正常。

2）原則與界限

1.保留主要內容：其主要SLA/SLO（例如，「購買」，「登錄」，「搜索」）優先於次要（化身，推薦，動畫）。

2.Fail-open vs fail-closed:

安全，付款，權利-失敗關閉（拒絕優於違規行為）。
可壓縮的內容，線索，化身是帶有民謠的失敗開放。
3.時間預算：自上而下的時間表（客戶端<網關<服務）。到期後-降級而不是無窮大。
4.成本控制：退化應減少CPU/IO/網絡的消耗，而不僅僅是「隱藏」錯誤。

3）降解水平

3.1 個客戶/UX

Skeletons/播放器和「懶惰」裝載次要小部件。
分區UI：關鍵單元裝載,次要單元-隱藏/簡化。
客戶端緩存：標有「數據可能已經過時」的最後已知良好（LKG）。
離線模式：稍後重播的命令隊列（等效性！）。

3.2 Edge/CDN/WAF/API網關

stale-wile-revalidate：我們給kesh，我們更新背景。
Rate limiting&load shedding：過載時,我們重置背景/匿名流量。
Geofence/加權漫遊：交通將駛入最近的健康地區。

3.3服務層

Partial response：我們返回一些數據+「warnings」。
僅閱讀模式：暫時禁止突變（標誌）。
Brownout：暫時關閉資源密集型眼鏡（推薦、豐富）。
Adaptive concurrency：動態地減少並行性。

3.4數據/流媒體

緩存作為TTL（臨時）的真理來源：「大約比沒有更好」。
降低模型/算法的準確性（fast path vs accurate path）。
Defer/queue：將繁重的任務轉移到背景（outbox/job queue）。
優先排隊：關鍵事件-在單獨的班級中。

4）降級的梯子（劇本）

• L0（規範）→ L1：隱藏個性化和橫幅→ L2：禁用同義詞/phazzy搜索→ L3：將響應大小和時間限制在300 m → S L4：將結果從5分鐘→ L5：「read-only&cached only」+重新計算請求隊列。

• 觸發器：CPU擁塞>85% p95>目標,錯誤>閾值,Kafka衰減>閾值,依賴性失調。
• 操作：啟用X標誌,將concurrency降低到N,將Y源切換到kesh。
• 退出標準：10分鐘綠色指標，資源庫存。

5）決策政策

5.1有缺陷的預算和SLO

使用error-budget burn rate作為brownout/shedding觸發器。
策略：「如果burn-rate> 4 ×在15分鐘內啟用降解L2」。

5.2 Admission control

在關鍵路徑上限制入站RPS以保證p99並防止隊列崩潰。

5.3優先排序

類：interactive> system> background。
先驗優先級（黃金/銀/青銅）和公平（公平分享）。

6）模式和實現

6.1 Load shedding（服務器）

重置請求,然後再使用所有資源。
返回帶有「Retry-After」的「429」/「503」和策略解釋（針對客戶）。

Envoy (adaptive concurrency + circuit breaking)

yaml typed_extension_protocol_options:
envoy. filters. http. adaptive_concurrency:
"@type": type. googleapis. com/envoy. extensions. filters. http. adaptive_concurrency. v3. AdaptiveConcurrency gradient_controller_config:
sample_aggregate_percentile: 90 circuit_breakers:
thresholds:
- max_requests: 2000 max_pending_requests: 500 max_connections: 1000

6.2 Brownout（臨時簡化）

想法：當資源在結果上時，降低「亮度」（成本）。

kotlin class Brownout(val level: Int) { // 0..3 fun recommendationsEnabled() = level < 2 fun imagesQuality() = if (level >= 2) "low" else "high"
fun timeoutMs() = if (level >= 1) 150 else 300
}

6.3部分響應和警告

json
{
"items": [...],
"degradation": {
"level": 2,
"applied": ["cache_only", "no_personalization"],
"expiresAt": "2025-10-31T14:20:00Z"
}
}

6.4 Stale-wile-revalidate在邊緣（Nginx）

nginx proxy_cache_valid 200 10m;
proxy_cache_use_stale error timeout http_500 http_502 http_504 updating;
proxy_cache_background_update on;

6.5只閱讀開關（Kubernetes+標誌）

yaml apiVersion: v1 kind: ConfigMap data:
MODE: "read_only"

The code should check MODE and block mutations with a friendly message.

6.6 Kafka： backpressure和隊列類

將重型制造商切換到較小的'max。poll.唱片"，限制制作擊球和。
按拓撲/配額劃分「關鍵」和「bulk」事件。

6.7 UI: graceful fallback

隱藏「重」小部件,顯示kesh/骨架,並明確標記過時的數據。

7）配置示例

7.1 Istio： outlier+優先池

yaml outlierDetection:
consecutive5xx: 5 interval: 10s baseEjectionTime: 30s maxEjectionPercent: 50

7.2 Nginx：刀下的背景流量第一

nginx map $http_x_priority $bucket { default low; high high; }

limit_req_zone $binary_remote_addr zone=perip:10m rate=20r/s;
limit_req_status 429;

server {
location /api/critical/ { limit_req zone=perip burst=40 nodelay; }
location /api/background/ {
limit_req zone = perip burst = 5 nodelay; # stricter
}
}

7.3 Feature flags / kill-switches

以動態配置（ConfigMap/Consul）存儲,無需發布更新。
分開per-fic和全局標誌,對激活進行邏輯化。

8）可觀察性

8.1個指標

"degradation_level {service}是當前級別。
'shed_requests_total {route, reason}-重置了多少以及為什麼。
「stale_responses_total」-發行多少卡。

`read_only_mode_seconds_total`.

`brownout_activations_total{feature}`.

預算錯誤：burn-rate，SLO違規的比例。

8.2 Tracing

Spans屬性：「degraded=true」，「level=2」，「reason=upstream_timeout」。
Linky在retray/hedged查詢之間，以查看對尾巴的貢獻。

8.3 Logi/Alertes

更改降級級別的事件,包括更改的原因和所有者。
Alerts處於「凹陷」水平（降解持續時間過長）。

9）風險管理和安全

不要降級身份驗證/授權/數據完整性：更好的故障。
PII掩碼存儲在任何模式中。
財務/付款：只有相同的業務、嚴格的時間表和回扣；如果有疑問-只讀/保持。

10）反模式

安靜的退化，沒有提示用戶，也沒有遙測。
Retray Storms代替Load Shedding和Short Timout。
沒有細分的全球性「rubilniks」是巨大的爆炸。
在單個緩存/隊列中混合prod和「輕量級」路徑。
永久退化：brownout作為「新常態」，被遺忘的退出標準。
Stale-write：嘗試基於舊數據進行寫入。

11）實施支票

• 定義了價值核心和關鍵用戶腳本。
• 在服務/房屋上繪制降級梯子，並帶有觸發器和輸出。
• 引入了計時器/限制和服務器側加載共享。
• 配置了限制等級和優先流量類別。
• 實現了部分響應，僅讀取，stale-wile-revalidate。
• feature flags/kill-switches與審核集成。
• 用於降解水平和原因的度量/tracing/alertes。
• 定期進行過載/失敗模擬的比賽日練習。
• 記錄了SLO和錯誤預算政策→降解。

12) FAQ

問：什麼時候選擇brownout，什麼時候選擇shedding？
答：如果目標是降低無故障請求的成本-brownout。如果目標是保護系統，即使簡化也無濟於事-shedding登錄。

Q： 是否向用戶報告降級情況?

答：對於關鍵場景-是的（徽章「限制模式」）。透明度減少了支持和不滿。

Q： 緩存能否成為真理的來源?

答：暫時-是的，有明顯的SLA和過時的標簽。對於突變-禁止。

問：如何不做「斷裂」的背包？
A：短時空，帶有抖動的指數後退，相等性和嘗試限制；僅重置安全操作。

13）結果

優雅降解是一種建築合同和一組可管理的工作模式，包括度量信號和預算錯誤。設計正確的樓梯，嚴格的taymauts和shedding，kesh fallbacks和brownout，加上強大的可觀察性-即使在暴風雨中，您的平臺仍然有用且經濟。