4. 误差预算（Error Budget）原理

误差预算（Error Budget）是 SRE 实践中的核心量化工具，它将系统可靠性从“尽可能高”的模糊目标转化为可度量、可消耗、可补充的工程指标。通过误差预算，团队能够在可靠性与功能迭代速度之间做出数据驱动的权衡决策。

4.1 误差预算的定义

误差预算是指在一个 SLO 时间窗口内，服务允许违反 SLO 的最大累计时间或比例。它本质上是100% 与 SLO 目标之间的差值所对应的“可容忍不可用额度”。

例如，若某服务的 SLO 设定为 99.9%（三个九），则其误差预算为 0.1%。这意味着在月度时间窗口（约 43200 分钟）内，服务最多允许累计不可用时间为 43.2 分钟。

4.2 误差预算的计算公式

误差预算的计算需要明确三个关键参数：SLO 目标值、时间窗口和总请求量。以下是标准计算步骤：

1. 确定 SLO 目标：例如延迟 SLO 为 p99 ≤ 200ms，目标达成率 99.9%。
2. 确定时间窗口：通常为 30 天（月度滚动）或 90 天（季度滚动）。
3. 计算总预算量：总请求数 × (1 − SLO%)。
4. 计算剩余预算：总预算量 − 已消耗的坏请求数。

# 误差预算计算示例（Python 伪代码）
WINDOW_SECONDS = 30 * 24 * 3600  # 30天滚动窗口
SLO_TARGET = 0.999               # 99.9%

def calculate_error_budget(total_requests, bad_requests):
    """
    total_requests: 窗口内总请求数
    bad_requests:   窗口内违反 SLO 的请求数
    """
    budget_total = total_requests * (1 - SLO_TARGET)
    budget_remaining = budget_total - bad_requests
    budget_consumed_pct = (bad_requests / budget_total) * 100 if budget_total > 0 else 0
    return {
        "total_budget": budget_total,
        "consumed": bad_requests,
        "remaining": budget_remaining,
        "consumed_pct": round(budget_consumed_pct, 2)
    }

# 示例：月总请求 1,000,000，坏请求 500
result = calculate_error_budget(1_000_000, 500)
print(result)
# 输出: {'total_budget': 1000, 'consumed': 500, 'remaining': 500, 'consumed_pct': 50.0}

4.3 误差预算的消耗与补充机制

误差预算的消耗与补充遵循“消耗即时、补充渐进”的原则。理解这一动态过程是管理服务可靠性的关键。

4.3.1 消耗机制

• 即时消耗：每次违反 SLO 的请求（如延迟超过阈值、返回错误码）都会立即消耗误差预算。
• 批量消耗：大规模故障（如机房断电、代码缺陷导致雪崩）会在短时间内消耗大量预算。
• 累积消耗：长期存在的低质量服务（如持续的高延迟抖动）会缓慢但持续地消耗预算。

4.3.2 补充机制

• 时间推移补充：随着时间窗口向前滚动，窗口早期的历史消耗数据会逐渐移出窗口，从而释放预算空间。
• 服务质量恢复：当服务恢复正常、不再产生新的坏请求时，预算消耗停止，剩余预算通过时间推移自然恢复。

4.4 误差预算的工程意义

误差预算不仅是度量指标，更是 SRE 团队进行风险决策和发布控制的核心依据：

4.5 误差预算的常见误区

• 误区一：预算耗尽 = 服务宕机
  预算耗尽仅表示 SLO 目标未达成，服务可能仍在运行，但用户感知的可靠性已低于承诺标准。
• 误区二：预算充足时可以随意发布
  预算充足提供了容错空间，但不应成为忽视变更流程和测试的借口。每次发布仍需遵循最小风险原则。
• 误区三：所有 SLO 共享同一个预算池
  每个 SLO（延迟、错误率、可用性）都有独立的误差预算，不能混用。一个 SLO 的预算耗尽不影响其他 SLO 的发布决策。
• 误区四：预算恢复后立即恢复正常发布节奏
  预算恢复后应逐步放开发布限制，观察服务稳定性，避免因集中发布再次快速消耗预算。