优雅降级是什么
优雅降级指依赖不可用或系统过载时，按事先约定的策略返回可接受的结果，保住主流程可用：隐藏非核心入口、返回缓存的旧数据、把实时请求转成异步排队、切换到备用区域。它的前提是事先与业务确认优先顺序——先保什么、可以牺牲什么，运行时才不会临时纠结。降级开关要能动态下发、有生效范围、记录操作审计，并设定回收条件，避免系统长期以低配状态运行。
基本信息
| 触发方式 | 手动开关、指标自动触发（错误率、延迟、饱和度） |
|---|---|
| 决策前提 | 与业务确认的优先级清单：主流程 > 核心功能 > 增强功能 |
| 下发方式 | 配置中心动态下发，带生效范围与灰度比例 |
| 审计要求 | 记录操作人、时间、原因与回收条件 |
| 演练要求 | 定期在预发环境实际触发，确认降级路径可执行 |
降级层级
| 层级 | 降级手段 | 用户可见影响 |
|---|---|---|
| 功能级 | 隐藏非核心入口、关闭推荐与榜单 | 功能变少，主流程仍可用 |
| 数据级 | 返回缓存或默认值，放宽实时性要求 | 数据可能偏旧，需要标注更新时间 |
| 流量级 | 排队、限流或转异步，稍后返回结果 | 响应变慢或延后出结果 |
| 区域级 | 切换备用区域或只读模式 | 可能短暂不可用或不能写入 |
| 容量级 | 暂停批量与非核心任务，让路给核心链路 | 后台任务延迟，前台稳定 |
典型使用场景
- 大促与秒杀：关闭非核心推荐与动效，把资源让给下单链路
- 依赖故障：支付回调超时时先记账后补单，用户侧提示处理中
- 缓存失效潮：回源超限时返回旧值并降级刷新
- 数据库只读模式：主库故障时切换只读，允许查询不允许写入
- 第三方限流：外部接口配额耗尽时切回本地兜底数据
- 发布回滚窗口：新版本异常时先降级相关功能，再执行回滚
开关管理与审计要点
开关管理与审计要点
# 1 开关分级：全局开关 → 按服务 → 按功能点，粒度越细越可控
# 2 下发方式：配置中心推送，客户端本地缓存一份默认值，防推送失败
# 3 生效记录：写审计日志，含操作人、时间、原因、预计回收时间
# 4 自动触发：指标超阈值自动打开，但仍要有人工确认渠道
# 5 回收条件：指标恢复到目标区间并持续一段时间后自动或人工关闭
# 6 巡检：定期输出当前处于降级状态的开关清单，避免长期滞留降级策略要与业务一起定顺序：先保主流程、再保核心功能，最后才考虑增强能力；技术团队单方面决定往往会在故障时与业务预期冲突。
降级路径必须演练过：从未真正执行过的降级代码，在真触发时经常因为权限、配置或依赖缺失而直接报错，影响比不降级更大。