3. SLO 目标设定与合规：阈值设计、错误预算与多层级架构

SLO 的设定不是简单的“选一个数字”，而是一套从业务价值反推、经过错误预算量化、并在合规窗口内持续验证的工程决策。本节将拆解 SLO 阈值设计原则、错误预算的核心计算逻辑、合规窗口的选取策略，以及如何在复杂系统中构建多层级 SLO 架构。

3.1 SLO 阈值设计：从“可用性”到“体验边界”

SLO 阈值必须反映用户可感知的可靠性边界，而非基础设施的“理论最大值”。设计时需遵循以下原则：

• 用户旅程对齐：阈值应基于关键用户操作（如登录、下单、搜索）的端到端成功率，而非单个组件的内部指标。
• 容忍度量化：明确“可接受”与“不可接受”之间的分界线。例如，API 响应时间 P99 ≤ 200ms 为正常，超过 500ms 即视为故障。
• 统计稳定性：避免使用瞬时值（如 1 分钟窗口），推荐使用滚动窗口（如 28 天）或滑动窗口（如 1 小时）来平滑毛刺。

3.2 错误预算：SLO 的“财务”引擎

错误预算（Error Budget）是 SLO 与 SLO 之间的差值所对应的“可容忍失败时间”。它把抽象的可靠性目标转化为可消耗的工程资源，是触发自动降级决策的核心依据。

核心公式：

错误预算 = (1 - SLO) × 合规窗口总时间

示例：
SLO = 99.9%，合规窗口 = 30 天（2,592,000 秒）
错误预算 = (1 - 0.999) × 2,592,000 = 2,592 秒 ≈ 43.2 分钟

错误预算消耗速率：当 SLI 低于 SLO 时，错误预算开始消耗。消耗速率决定了降级动作的紧急程度。

• 快速消耗：错误预算在数小时内耗尽 → 触发紧急降级（如切流、限流）。
• 缓慢消耗：错误预算在数天内缓慢下降 → 触发计划内降级（如关闭非核心功能）。
• 预算盈余：错误预算未用完 → 允许进行风险较高的发布或变更。

3.3 SLO 合规窗口：时间尺度的选择

合规窗口（Compliance Window）决定了错误预算的“结算周期”。窗口过短会导致频繁告警，过长则掩盖短期故障。常见窗口类型及适用场景如下：

窗口选择原则：

• 自动降级场景优先使用 滚动窗口（如 1 小时或 1 天），确保快速响应。
• 业务合规场景使用 日历窗口，便于与财务或法务对齐。
• 避免使用小于 10 分钟的窗口，否则错误预算会因瞬时抖动而频繁耗尽。

3.4 多层级 SLO 架构：从基础设施到用户体验

单一 SLO 无法覆盖复杂系统的全貌。多层级 SLO 架构将可靠性目标分解到不同抽象层次，形成“自顶向下”的约束链。下图展示了典型的三层 SLO 架构：

层级间的关系与约束：

• 自顶向下分解：用户体验 SLO 分解为多个服务 SLO，每个服务 SLO 再分解为基础设施 SLO。例如，“页面加载 ≤ 2s” 需要 CDN 延迟 ≤ 50ms、API 响应 ≤ 200ms、数据库查询 ≤ 100ms。
• 自底向上聚合：基础设施故障会逐层放大，最终影响用户体验。例如，磁盘 IO 抖动可能导致数据库查询变慢，进而导致 API 超时，最终页面加载失败。
• 错误预算继承：下层服务的错误预算消耗会“传染”给上层。如果数据库错误预算耗尽，上层 API 即使自身正常，也会因依赖故障而消耗错误预算。

3.5 多层级 SLO 的降级触发逻辑

在自动降级方案中，多层级 SLO 的触发逻辑遵循“就近降级、逐层上报”原则。下图展示了降级决策的流转路径：

降级触发阈值建议：