1. 灰度发布概述
1.1 灰度发布定义
灰度发布（Canary Release / Gray Release）是一种渐进式的软件或模型上线策略。其核心思想是：让新版本（如额度模型 V2.0）先在一小部分流量或用户群中生效，在验证其效果、稳定性和数据一致性无误后，再逐步扩大范围，直至覆盖全量用户。
在风控额度模型中，灰度发布并非简单的“开关切换”，而是一套包含流量路由、实时监控、自动回滚的工程体系。它允许风控团队在真实生产环境中，以可控风险的方式完成模型迭代。
核心特征：小范围验证 → 数据对齐 → 逐步放量 → 全量覆盖。
1.2 在风控额度模型中的价值
额度模型直接决定用户的授信额度，一旦出错将导致资金损失或客诉激增。灰度发布在风控场景中具有不可替代的价值：
- 风险隔离：新模型仅影响 1%~5% 的流量，即使出现极端偏差（如额度翻倍），损失范围可控。
- 数据一致性校验：在灰度期间，可对比新旧模型在同一批用户上的输出（额度、拒绝率、逾期率），确保数据逻辑正确。
- 业务连续性保障：灰度期间旧模型仍在服务大部分用户，业务不受影响。
- 快速回滚能力：一旦发现指标异常（如 KS 下降、通过率突变），可立即切回旧模型，无需全量回滚。
| 价值维度 | 具体说明 | 典型场景 |
|---|---|---|
| 风险隔离 | 新模型仅影响小流量，损失上限可控 | 额度提升 50% 但坏账率未验证 |
| 数据校验 | 灰度期可逐笔比对新旧模型输出 | 特征缺失导致额度为 0 |
| 业务连续性 | 旧模型持续服务，用户无感知 | 灰度期间正常放款 |
| 快速回滚 | 配置开关即可切回，无需重新部署 | KS 指标下降 0.05 |
1.3 与传统全量发布的对比
传统全量发布（Big Bang Release）是一次性将所有用户切换到新模型。这种方式在风控额度场景中风险极高，因为模型错误往往在放款后 30~90 天才会暴露。以下从多个维度进行对比：
| 对比维度 | 灰度发布 | 传统全量发布 |
|---|---|---|
| 发布方式 | 渐进式，1% → 5% → 20% → 100% | 一次性切换，0% → 100% |
| 风险暴露 | 小流量验证，风险可控 | 全量暴露，错误影响所有用户 |
| 数据一致性 | 灰度期可实时对比新旧模型输出 | 切换后无法直接对比 |
| 回滚成本 | 低，配置开关即可 | 高，需重新部署旧模型 |
| 用户感知 | 小部分用户可能体验变化 | 所有用户同时感知变化 |
| 监控要求 | 需要实时指标看板和告警 | 事后分析为主 |
| 适用场景 | 风控模型、核心定价、额度策略 | 非关键 UI 更新、文案修改 |
⚠️ 避坑提示：传统全量发布在额度模型中几乎不可接受。即使经过离线验证，线上数据分布偏移、特征缺失、依赖服务超时等问题仍可能导致模型输出异常。灰度发布是风控模型上线的最低安全标准。
1.4 灰度发布的核心原则
在风控额度模型灰度上线中，需遵循以下原则以确保数据一致性和业务安全：
- 流量随机性：灰度流量必须基于用户 ID 或设备 ID 的哈希值均匀分布，避免地域、渠道等偏差。
- 可观测性：灰度期间必须建立实时指标看板，监控通过率、平均额度、KS、PSI 等关键指标。
- 可回滚性：灰度开关必须支持秒级切换，无需重启服务或重新部署。
- 数据双写：灰度期间新旧模型同时计算，将结果写入日志或离线表，用于事后一致性校验。
- 逐步放量：灰度比例通常遵循 1% → 5% → 20% → 50% → 100%，每个阶段至少观察 1~3 个完整业务周期。
💡 最佳实践：建议在灰度初期（1%~5%）重点验证数据一致性，而非模型效果。因为样本量较小时，KS/AUC 等指标波动较大，容易误判。数据一致性校验通过后，再逐步放量观察模型效果。