灰度发布、降级与回滚

核心概念

灰度发布是先让有限范围使用新版本，观察明确指标，再决定扩大、暂停或退回。降级是临时减少能力，例如停止自动建单而保留只读查询。回滚是恢复已知版本，需要记录代码、配置、提示词和资料的对应关系。

恢复程序版本不一定撤销已创建的工单。对结果未知的写入，应先查询状态，再决定补偿或人工处理；不能因回滚成功就认定业务数据已恢复。所有真实发布仍需独立授权。

情境拆解

虚构企业的模拟新版助手在小范围测试中出现重复工单，应立即关闭写入入口，保留状态查询并排查。安全与复现准入通过后才进入灰度，不能把有限试用当成绕过安全检查的方法。

恢复旧版本后，要核对资料、权限与配置，并重新运行固定验收题。已发生的模拟动作逐项对账，未确认状态进入人工核实清单。

常见误区

“出问题再回滚”不是完整计划。缺少停止阈值、负责人或可用旧版本，回滚可能无法执行。只回退代码却保留不兼容配置或资料，也可能继续出错。

回退程序不会撤销已经建的工单

模拟灰度期间发现重复建单，先关闭写入并保留安全的查询路径，按动作标识核对记录。回退代码可以停止继续制造问题，但已经产生的工单仍需要业务方按明确规则处理。

回退还涉及配置、提示、资料和索引版本。旧代码不能把失效制度或已经撤销的权限重新带回服务。

动手：演练一次模拟发布故障

1. 为小范围模拟发布写进入条件：固定测试通过，权限、确认和重复请求检查满足要求。
2. 给代码、配置、提示、资料和索引记录一组版本，不只记程序提交号。
3. 注入一个合成重复建单故障，写出发现、停写、核对和接手步骤。
4. 切回拟定版本后，重跑固定样本，并清点已发生动作。没有运行环境时，提交演练设计并注明未执行。
5. 为恢复写入写明确证据和确认者，不以“重启后看起来正常”作为依据。

模拟发布范围与进入条件：
版本组合：
故障信号：
立即停止的能力：
已发生动作与核对结果：
回退组合与失效资料处理：
复测证据：
恢复条件与确认者：

检查产物

回退、状态核对和业务补救是分开的动作，各自有责任与依据。没有实际授权时，本课不执行真实部署、删单或补偿写入。