2. Error Budget 消耗与补充机制：消耗速率、补充周期、预算耗尽后的策略

Error Budget（错误预算）是 SRE 实践中的核心量化指标，它将系统可靠性目标转化为可度量的“容错额度”。理解其消耗与补充机制，是制定灰度发布准入策略和故障响应决策的基础。本节将深入剖析预算的数学定义、消耗模型、补充周期以及预算耗尽后的应对策略。

2.1 错误预算的数学定义与消耗速率

错误预算的本质是 服务在 SLO 时间窗口内允许的最大不可用时间或错误次数。其核心公式为：

Error Budget = (1 - SLO) × 总时间窗口

例如，一个 SLO 为 99.9%（三个9）的服务，在一个 30 天的滚动窗口内，其错误预算为：

Error Budget = (1 - 0.999) × 30 × 24 × 60 × 60 = 2592 秒 ≈ 43.2 分钟

消耗速率 是指错误预算被实际错误事件消耗的速度。它通常由以下因素决定：

• 故障持续时间：每次故障持续的时间越长，消耗的预算越多。
• 故障影响范围：影响所有用户的故障比影响部分用户的故障消耗更快。
• 错误率峰值：突发的高错误率会在短时间内快速消耗预算。
• 请求量级：在高流量时段发生的故障，消耗预算的速度远快于低流量时段。

2.2 补充周期与预算恢复模型

错误预算并非一次性资源，它会随着时间推移而 自动补充。补充机制基于 滑动时间窗口 模型：

在 滚动窗口 模型中，补充速率是连续的。假设一个 30 天窗口、SLO 为 99.9% 的服务，其理论补充速率为：

补充速率 = 总预算 / 窗口长度 = 2592 秒 / (30 × 86400 秒) ≈ 0.001 秒/秒

这意味着，每过 1 秒，系统自动“赚回”约 0.001 秒的预算。当系统处于完全健康状态（无错误）时，预算会以这个速率持续增长，直至达到满额。

2.3 预算耗尽后的策略与应对

当 Error Budget 消耗至零或负值时，意味着服务在 SLO 窗口内已经用完了所有容错额度。此时，SRE 团队应触发一系列 预定义的降级或熔断策略，以保护用户体验并加速预算恢复。

以下是预算耗尽后的标准应对策略：

1. 停止所有非关键变更：立即暂停灰度发布、功能上线、配置变更等操作，防止引入新的风险。
2. 启动故障复盘（Incident Review）：对消耗预算的主要故障进行根因分析，制定修复计划。
3. 触发自动熔断：对于依赖该服务的下游系统，应自动触发熔断或降级，避免级联故障。
4. 提升监控告警级别：将相关指标的告警阈值调低，对任何异常波动保持高度敏感。
5. 执行容量或弹性伸缩：如果预算耗尽由突发流量导致，应自动扩容或启用限流。

2.4 错误预算生命周期与决策流程

下图展示了错误预算从消耗、补充到触发策略的完整生命周期，以及 SRE 团队在不同阶段的决策点。

2.5 预算消耗与补充的量化对比

为了更直观地理解不同 SLO 级别下的预算消耗与补充特性，下表对比了三种常见场景：