3. 核心指标体系：四大黄金信号详解
在灰度发布准入的指标门禁设计中，Google SRE 提出的四大黄金信号——延迟（Latency）、错误率（Error Rate）、吞吐量（Throughput）、饱和度（Saturation）——构成了最核心的监控与决策维度。这四个信号从不同角度刻画了服务的健康状态，任何单一信号都无法完整反映发布风险。
核心原则：四大黄金信号并非孤立使用，而是通过组合阈值形成“与/或”逻辑门禁。例如：延迟 P99 升高 且 错误率同步上升，才触发回滚，避免因瞬时抖动导致误判。
3.1 延迟（Latency）
延迟衡量请求从发出到收到完整响应所消耗的时间。在灰度准入中，延迟指标用于判断新版本是否引入了性能退化，尤其是尾延迟（Tail Latency）的恶化。
- 关键分位点：P50（中位数）、P90、P99、P999。P99 是灰度门禁的默认关注点，因为它能暴露长尾请求的慢速问题。
- 对比基线：新版本的延迟必须与基线版本（当前生产版本）进行同条件对比，而非与历史聚合数据对比。
- 典型门禁规则：新版本 P99 延迟 ≤ 基线 P99 × 1.2（即允许 20% 的退化），且持续时间超过 2 分钟。
避坑提示：不要只监控平均延迟。平均延迟可能被大量快速请求掩盖，导致 P99 已恶化 3 倍而平均值仅上升 10%。灰度门禁必须基于分位点指标。
3.2 错误率（Error Rate）
错误率是灰度发布中最直接的“红线”指标。它衡量请求中失败的比例，包括 HTTP 5xx、业务逻辑异常、超时、连接拒绝等。
| 错误类型 | 典型来源 | 灰度门禁建议阈值 |
|---|---|---|
| HTTP 5xx | 服务器内部错误、网关超时 | 新版本 5xx 率 ≤ 基线 + 0.5% |
| 业务错误码 | 参数校验失败、状态冲突 | 新版本业务错误率 ≤ 基线 × 1.5 |
| 超时/连接拒绝 | 线程池耗尽、连接池满 | 新版本超时率 ≤ 基线 + 0.1% |
| 健康检查失败 | 实例启动异常、依赖不可用 | 新版本健康检查失败率 = 0% |
重要：错误率必须按错误类型分别设置门禁，而非聚合为一个总错误率。例如：HTTP 500 上升 1% 与业务错误码上升 1% 的严重程度完全不同，前者通常需要立即回滚，后者可能只是数据问题。
3.3 吞吐量（Throughput）
吞吐量反映系统单位时间内处理的请求量（RPS/QPS）或数据量（MB/s）。在灰度准入中，吞吐量下降通常意味着新版本存在性能瓶颈或资源泄漏。
- 对比方式：新版本吞吐量 / 基线吞吐量，建议使用滑动窗口（如 1 分钟均值）进行对比。
- 门禁规则：新版本吞吐量 ≥ 基线吞吐量 × 0.9（允许 10% 的下降）。
- 特殊场景：如果新版本引入了限流或降级逻辑，吞吐量可能主动下降，此时需要结合延迟和错误率综合判断。
实践建议：吞吐量指标需要排除“无效请求”（如爬虫、健康检查），否则会稀释真实用户流量的变化。建议在指标采集时加入标签过滤。
3.4 饱和度（Saturation）
饱和度衡量系统资源被利用的程度，是“预警性”指标。当饱和度接近上限时，即使当前延迟和错误率正常，系统也处于脆弱状态，微小的流量波动就可能引发雪崩。
| 资源类型 | 关键指标 | 灰度门禁建议阈值 |
|---|---|---|
| CPU | CPU 使用率、Load Average | 新版本 CPU ≤ 基线 + 10% |
| 内存 | 堆内存使用率、GC 频率 | 新版本 GC 暂停时间 ≤ 基线 × 1.5 |
| 线程池 | 活跃线程数、队列深度 | 新版本队列深度 ≤ 基线 + 20 |
| 连接池 | 数据库/缓存连接使用率 | 新版本连接使用率 ≤ 80% |
| 磁盘 I/O | 磁盘读写延迟、队列长度 | 新版本磁盘延迟 ≤ 基线 × 1.2 |
3.5 四大信号的组合门禁策略
在实际灰度发布平台中，四大黄金信号通常组合成以下门禁规则矩阵：
| 信号组合 | 典型场景 | 门禁决策 |
|---|---|---|
| 延迟↑ + 错误率正常 | 新版本代码效率下降，但未引发故障 | 暂停发布，人工审查 |
| 延迟正常 + 错误率↑ | 业务逻辑异常或依赖故障 | 立即回滚 |
| 吞吐量↓ + 饱和度↑ | 资源泄漏或锁竞争 | 立即回滚 |
| 延迟↑ + 错误率↑ + 饱和度↑ | 严重性能退化或雪崩前兆 | 自动回滚，触发告警 |
| 四个信号均正常 | 新版本表现稳定 | 允许进入下一灰度阶段 |
调优要点：门禁阈值不应是静态的。建议在每次灰度发布后，根据实际回滚数据自动调整阈值（如使用动态基线算法）。例如：如果连续 3 次发布都在延迟超过 1.3 倍时回滚，系统应自动将阈值从 1.2 收紧至 1.15。