3. Error Budget 概念：Error Budget 的起源（SLO/SLI 体系）、计算公式与业务意义
3.1 从 SLO/SLI 到 Error Budget 的演进
Error Budget（错误预算）并非独立概念，它根植于 Google SRE 实践中的 SLO/SLI 体系。理解 Error Budget 之前，必须先厘清三个核心术语的递进关系：
| 术语 | 全称 | 定义 | 示例 |
|---|---|---|---|
| SLI | Service Level Indicator | 服务质量的量化指标，通常是可测量的数值 | 请求延迟 P99 ≤ 200ms、可用性 99.9% |
| SLO | Service Level Objective | SLI 的目标阈值，是团队承诺的服务质量边界 | 月度可用性 ≥ 99.99% |
| Error Budget | 错误预算 | SLO 允许的最大不可用时间或错误次数 | 月度 99.99% SLO 允许 4.32 分钟不可用 |
核心洞察： Error Budget 是 SLO 的“反向映射”——SLO 定义了“好”的下限，Error Budget 定义了“坏”的上限。两者互为镜像，共同构成服务可靠性的量化边界。
3.2 Error Budget 计算公式
Error Budget 的计算基于 SLO 目标值与实际观测窗口。通用公式如下：
Error Budget = (1 - SLO) × 总时间窗口
其中：
- SLO 以小数表示（如 99.99% = 0.9999）
- 总时间窗口 = 观测周期（如 30 天 = 43200 分钟）
- 结果单位与时间窗口一致（分钟/小时/天）常见 SLO 对应的 Error Budget 速查表（以 30 天为窗口）：
| SLO 目标 | 允许不可用时间（30 天） | 允许错误率（30 天） | 典型适用场景 |
|---|---|---|---|
| 99.9%（三个九） | 43.2 分钟 | 0.1% | 内部工具、非关键业务 |
| 99.99%（四个九） | 4.32 分钟 | 0.01% | 核心交易、在线支付 |
| 99.999%（五个九） | 25.9 秒 | 0.001% | 电信、金融核心系统 |
实践要点： Error Budget 不是静态值。每次 SLO 窗口滚动（如月度/季度），预算会重置。团队需要持续监控 Error Budget 消耗速率，而非仅看剩余值。
3.3 Error Budget 的业务意义
Error Budget 在 SRE 实践中承担三个关键角色：
- 风险量化器： 将抽象的“可靠性”转化为可计算的数字，让团队明确知道“还能承受多少次故障”。
- 决策锚点： 当 Error Budget 充足时，团队可以放心进行版本发布、架构变更；当预算耗尽时，必须冻结变更、优先恢复稳定性。
- 沟通桥梁： 用统一语言对齐开发、运维、产品、管理层对“服务健康度”的认知，避免主观争论。
常见误区： 不要把 Error Budget 当作“故障额度”来使用。它的真正价值在于 触发决策机制——当预算消耗超过阈值时，自动触发回滚、限流、熔断或变更冻结，而不是事后追责。
3.4 Error Budget 消耗与容量水位的关系
在容量规划场景中，Error Budget 消耗速率直接反映容量水位是否健康：
| Error Budget 状态 | 容量水位含义 | 建议动作 |
|---|---|---|
| 消耗 < 30% | 容量充裕，系统健康 | 正常迭代，可进行性能优化实验 |
| 消耗 30% – 70% | 容量接近临界，需关注趋势 | 启动容量评估，准备扩容预案 |
| 消耗 > 70% | 容量紧张，风险较高 | 冻结非必要变更，优先扩容或降级 |
| 预算耗尽（100%） | 容量不足，SLO 已违反 | 立即启动应急响应，执行熔断/限流 |
3.5 Error Budget 生命周期流程
3.6 实际案例：Error Budget 驱动容量决策
场景： 某电商平台核心交易服务 SLO 为 99.99%（月度），当前窗口已消耗 65% 的 Error Budget，剩余可用时间仅 1.5 分钟。
- 问题： 大促活动即将开始，预期流量增长 3 倍，现有容量仅能支撑 2 倍流量。
- Error Budget 视角： 预算消耗速率已达 65%，剩余预算不足以承受大促期间的任何异常波动。
- 决策： 立即启动容量扩容，将集群规模扩大至 4 倍；同时开启限流预案，确保核心交易链路优先保障。
- 结果： 大促期间 Error Budget 消耗控制在 88%，未触发 SLO 违反，系统平稳度过峰值。
关键启示： Error Budget 不是事后统计指标，而是 前置预警信号。当预算消耗速率超过 50% 时，容量规划团队必须主动介入，而非等待故障发生。