2. Shadow部署核心概念

在金融模型上线过程中，最危险的动作不是模型训练失败，而是把一个未经真实流量检验的模型直接推给全量用户。Shadow部署体系正是为了解决这一问题而存在。它并不是单一技术，而是一组围绕“真实流量、真实环境、可控风险”构建的发布策略集合。理解影子模式、流量镜像、灰度发布、A/B测试与金丝雀发布之间的区别与联系，是设计金融模型安全上线路径的基础。

一、核心原理：五种策略的本质差异

这五个概念经常被混用，但它们回答的问题并不相同。影子模式回答“新模型在真实流量下会输出什么”；流量镜像回答“如何把真实请求复制给新模型”；灰度发布回答“如何逐步扩大新模型承接的流量比例”；A/B测试回答“哪个模型在业务指标上更优”；金丝雀发布回答“新模型在小范围真实用户中是否稳定可靠”。

从风险控制角度看，影子模式与流量镜像属于“旁路验证”，新模型不承接真实业务结果；灰度发布、A/B测试与金丝雀发布属于“在线承接”，新模型开始影响真实用户。这是最关键的边界。

二、方法流程：从旁路验证到在线承接

在金融模型部署中，推荐的上线路径是：先影子模式，再流量镜像，然后金丝雀发布，接着A/B测试，最后灰度放量至全量。每一步都有明确的准入与准出条件。

1. 影子模式阶段：新模型与生产模型并行运行，接收相同请求，但只有生产模型的输出返回给用户。记录两者输出差异，计算一致性、偏差分布与异常率。
2. 流量镜像阶段：通过网关或服务网格将真实请求复制一份发送到新模型环境。镜像流量通常不返回给用户，用于压测新模型的延迟、吞吐与稳定性。
3. 金丝雀发布阶段：选择少量真实用户或小比例流量导入新模型，观察错误率、延迟、业务指标是否异常。若异常，立即回滚。
4. A/B测试阶段：将用户随机分为对照组与实验组，分别使用旧模型与新模型，通过统计检验判断新模型在关键业务指标上是否显著更优。
5. 灰度发布阶段：逐步扩大新模型流量比例，如1%、5%、20%、50%、100%，每步设置观察窗口与回滚阈值。

三、案例/场景：信贷评分模型上线

某银行需要将信贷评分模型从逻辑回归升级为梯度提升树模型。直接全量替换风险极高，因为评分分布变化可能导致通过率、坏账率与客诉率波动。团队采用Shadow部署组合策略：

• 第一周：影子模式运行，新模型对每笔申请打分但不参与决策。发现新模型在低分段评分偏高，差异率约5%，需调整阈值。
• 第二周：流量镜像压测，新模型推理服务P99延迟从80ms升至120ms，扩容后恢复至85ms。
• 第三周：金丝雀发布，1%真实用户走新模型，监控到坏账率无显著变化，但通过率上升0.8%。
• 第四周：A/B测试，10%用户进入实验组，统计显示新模型在保持坏账率不变的前提下，通过率提升1.2%，显著优于旧模型。
• 第五周：灰度放量至100%，持续监控两周后完成全量切换。

# 金丝雀发布配置示例（Istio VirtualService）
apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: credit-score-model
spec:
  hosts:
    - credit-score
  http:
    - route:
        - destination:
            host: credit-score
            subset: stable
          weight: 99
        - destination:
            host: credit-score
            subset: canary
          weight: 1

四、误区/复盘：常见认知偏差