4. 核心概念：SLO 与 Error Budget 的关系
SLO（Service Level Objective）与 Error Budget（错误预算）是质量门禁体系中最核心的一对概念。SLO 定义了服务可接受的最低可靠性水平，而 Error Budget 则量化了服务在给定时间窗口内允许“犯错”的上限。两者共同构成一个闭环反馈机制，驱动工程团队在可靠性与迭代速度之间做出理性决策。
4.1 SLO：可靠性的量化承诺
SLO 是 SLI（Service Level Indicator）的目标值，通常以百分比形式表示，例如“99.9% 的请求在 200ms 内完成”。SLO 的设定直接决定了 Error Budget 的初始总量。
| SLO 等级 | 允许的不可用时间/月 | 允许的不可用时间/年 | 典型场景 |
|---|---|---|---|
| 99.9% (三个九) | 43.2 分钟 | 8.76 小时 | 内部工具、开发环境 |
| 99.95% | 21.6 分钟 | 4.38 小时 | 核心业务 API |
| 99.99% (四个九) | 4.32 分钟 | 52.56 分钟 | 支付、实时通信 |
| 99.999% (五个九) | 25.9 秒 | 5.26 分钟 | 金融交易、电信核心网 |
实践建议：不要盲目追求“四个九”或“五个九”。SLO 每提高一个“9”，基础设施成本和运维复杂度通常呈指数级增长。建议从 99.9% 开始，根据用户感知和业务影响逐步收紧。
4.2 Error Budget：可靠性的“预算”机制
Error Budget 的计算公式非常简单：
Error Budget = 1 - SLO
例如：
SLO = 99.9% → Error Budget = 0.1%
SLO = 99.99% → Error Budget = 0.01%Error Budget 以时间窗口（通常为 28 天或 30 天）滚动计算。窗口内所有不符合 SLI 的“坏事件”都会消耗预算。当预算耗尽时，服务可靠性已低于承诺水平，此时应冻结所有非关键变更，优先恢复稳定性。
4.3 核心关系：SLO 与 Error Budget 的闭环
下图展示了 SLO 与 Error Budget 在质量门禁中的完整交互流程：
4.4 关键决策规则
Error Budget 的剩余比例直接决定了团队在发布与变更上的自由度。以下是业界通用的决策矩阵：
| Error Budget 剩余比例 | 状态 | 允许的操作 | 建议动作 |
|---|---|---|---|
| > 50% | 健康 | 正常发布、实验性变更 | 持续监控，无需干预 |
| 20% – 50% | 注意 | 仅允许关键修复和低风险发布 | 启动变更评审流程 |
| 5% – 20% | 警告 | 仅允许紧急修复 | 成立稳定性值班小组 |
| < 5% | 耗尽 | 冻结所有非必要变更 | 启动事故复盘，优先恢复 |
常见误区：Error Budget 耗尽不等于“服务宕机”，而是指服务在 SLO 窗口内的不可用时间已超过承诺上限。此时即使服务仍在运行，其可靠性已低于用户预期，必须停止引入新风险。
4.5 多 SLO 场景下的 Error Budget 聚合
现代微服务架构中，一个服务通常有多个 SLO（如延迟、错误率、可用性）。每个 SLO 都有独立的 Error Budget，且消耗速度可能不同。质量门禁需要聚合判断：
- 最差原则：以消耗最快的 Error Budget 为准，触发门禁。
- 加权平均：根据业务重要性为每个 SLO 分配权重，计算综合消耗率。
- 分层门禁：核心 SLO（如可用性）单独设门禁，非核心 SLO（如延迟 P99）仅告警不阻塞。
下图展示了一个典型的多 SLO Error Budget 聚合模型：
4.6 质量门禁中的实际应用
在 OpenTelemetry SLI 数据校验流程中，SLO 与 Error Budget 的关系直接驱动门禁逻辑：
- 数据采集阶段：OpenTelemetry Collector 持续采集 SLI 指标（请求量、延迟、错误数）。
- 预算计算阶段：门禁引擎根据当前窗口内的 SLI 数据，计算 Error Budget 消耗率。
- 门禁判断阶段：若消耗率超过阈值（如 80%），则触发门禁，阻塞当前流水线。
- 反馈调整阶段：团队修复问题后，Error Budget 在下一个窗口自动恢复，门禁解除。
关键公式：Error Budget 消耗率 = (窗口内坏事件总数 / 窗口内总请求数) / (1 - SLO)。当消耗率 ≥ 100% 时，门禁生效。