4. 降级策略设计原则

降级策略不是“出故障时关掉一些功能”这么简单。它本质上是一份提前写好的契约：在系统能力受损时，明确牺牲什么、保住什么、由谁决定、何时执行、如何回退。设计降级策略，需要先把可用性目标量化，再把降级划分为可操作的级别，接着评估每级降级对业务的实际影响，最后确定触发条件和人工/自动决策的边界。这四件事缺一不可，否则降级要么不敢做，要么做过头。

一、可用性目标：先定义“可接受”

可用性目标决定了降级的底线。WMS/WCS 场景中，可用性不能只用一个笼统的“99.9%”概括，而应按业务链路分层定义。例如：

• 入库收货链路：允许短时降级为“人工登记 + 后续补录”，目标可用性可设为 99.5%；
• 出库拣选链路：直接影响发货时效，目标可用性应设为 99.9%，降级后仍需保证拣选任务可下发；
• WCS 设备控制链路：涉及堆垛机、输送线、AGV 等物理设备，安全优先，目标可用性 99.95%，降级必须保证设备可安全停止；
• 库存同步链路：允许最终一致，目标可用性 99.0%，降级时可暂停实时同步，转为批量补偿。

这些目标不是拍脑袋定的，而是从业务合同、SLA、历史故障数据中反推出来的。例如，若出库链路每月允许中断不超过 43 分钟（99.9%），那么降级策略必须保证在 43 分钟内恢复核心拣选能力，否则就触发更高级别的应急方案。

二、降级级别定义：从 L0 到 L4

降级级别应像“故障等级”一样清晰可辨，每一级对应一组明确的功能取舍。建议采用五级定义：

级别定义的关键是“可判定”：每一级都要有明确的进入条件和退出条件。例如 L2 的进入条件可以是“库存同步延迟超过 5 分钟且持续 2 分钟”，退出条件是“延迟恢复至 30 秒以内并稳定 5 分钟”。没有退出条件的降级，等于永久降级。

三、业务影响评估：量化“牺牲什么”

降级必然带来业务损失，但损失大小不同。评估时建议从三个维度打分：时效影响（是否导致发货延迟）、数据影响（是否产生不一致或需人工修正）、安全影响（是否涉及人员或设备安全）。每个维度按 1～5 分打分，总分越高，降级越不可接受。

以某电商仓为例，假设当前库存同步延迟，若降级为 L2（暂停实时同步），评估如下：

• 时效影响：3 分，拣选仍可继续，但可能超卖；
• 数据影响：4 分，需人工核对库存差异，预计每万行约 200 行需修正；
• 安全影响：1 分，不涉及物理设备；
• 总分：8 分，属于“可接受但需尽快恢复”。

若同一场景降级为 L3（WCS 只保留急停），安全影响升至 5 分，总分 12 分，则必须立即启动人工接管并通知现场主管。业务影响评估的结果，应直接决定降级级别的上限：总分超过阈值时，不允许自动进入该级别，必须人工确认。

四、触发条件与人工/自动决策边界

触发条件应基于可观测指标，而不是“感觉系统慢了”。常用指标包括：接口错误率、消息积压量、数据库连接数、设备心跳丢失数、任务超时率等。每个指标都要设定阈值和持续时间，例如“WCS 任务下发失败率 > 5% 且持续 30 秒”触发 L2。

人工/自动决策边界是降级策略中最容易出问题的地方。原则是：低级别、低影响、可逆的降级自动执行；高级别、高影响、不可逆或涉及安全的降级必须人工确认。具体可参考以下边界：

• L1 降级：自动执行，自动恢复，仅记录日志并通知值班人员；
• L2 降级：自动执行，但需在 1 分钟内推送告警，人工可在 5 分钟内否决并回退；
• L3 降级：必须人工确认，系统只给出建议和影响评估，由值班主管决定；
• L4 降级：人工决策，但系统可自动执行“安全停止”类操作（如急停），因为安全优先于业务。

五、一个可落地的降级决策示例

假设某 WMS 的库存同步服务出现异常，监控指标如下：同步延迟 8 分钟（阈值 5 分钟）、积压消息 12000 条（阈值 5000 条）、错误率 2%（阈值 1%）。系统按预设规则计算：延迟和积压均超阈值且持续 3 分钟，触发 L2 降级建议。由于 L2 属于自动执行但可人工否决的级别，系统自动暂停实时同步，转为每 10 分钟批量补偿，并向值班人员推送告警。值班人员评估业务影响：当前为出库低谷期，超卖风险低，决定维持 L2 并观察。15 分钟后延迟降至 1 分钟，积压降至 800 条，系统自动退出 L2，恢复实时同步。整个过程无需人工干预核心操作，但人工保留了否决权。

这张图把四个设计要素和决策边界放在同一视野中：上方是可用性目标、级别定义、影响评估和触发条件，下方是 L1～L4 的决策方式与一张决策卡示例。实际落地时，建议把决策卡直接配置到监控告警平台，让值班人员看到告警的同时就能看到“该不该降、降到哪、谁来决定、怎么回退”。降级策略设计得好，故障时就不是慌乱地“关功能”，而是有条不紊地“按契约执行”。