1. 误差预算概念：什么是误差预算、SLO与SLI的关系、为什么Harbor需要误差预算
1.1 从可靠性工程到误差预算
在云原生与 DevOps 实践中，误差预算（Error Budget） 是站点可靠性工程（SRE）的核心量化工具。它并非一个抽象指标，而是服务所有者与平台团队之间达成的一种“可容忍失效额度”契约。简单来说：误差预算 = 100% − SLO（服务等级目标）。
例如，若 Harbor 制品库的镜像拉取延迟 SLO 设定为 99.9%（即月度可用性 99.9%），则月度误差预算为 0.1%。这 0.1% 的时间窗口（约 43 分钟/月）允许系统因计划内维护、突发流量或版本升级而出现延迟超标或短暂不可用，而不触发惩罚性门禁。
核心洞察： 误差预算将“可靠性”从纯技术指标转化为可管理的业务风险额度。团队可以在预算内放心发布新功能，无需因害怕违反 SLO 而停止迭代。
1.2 SLO 与 SLI 的关系
要理解误差预算，必须先厘清 SLI（服务等级指标） 与 SLO（服务等级目标） 的层级关系。下表总结了二者的定义与在 Harbor 场景中的典型实例：
| 概念 | 定义 | Harbor 场景实例 |
|---|---|---|
| SLI | 服务质量的原始测量指标，通常为比率或分布值 | 镜像拉取 P99 延迟（ms）、镜像层下载成功率（%）、制品推送吞吐量（MB/s） |
| SLO | 对 SLI 设定的目标阈值，代表用户可接受的服务质量下限 | P99 镜像拉取延迟 ≤ 800ms（月度达标率 ≥ 99.9%） |
| 误差预算 | SLO 未覆盖的剩余额度，即允许失效的时间或次数 | 月度误差预算 = 100% − 99.9% = 0.1%（约 43 分钟） |
三者形成闭环：SLI 是原始数据 → SLO 是目标承诺 → 误差预算 是可用失效额度。当 SLI 持续优于 SLO 时，误差预算累积；当 SLI 恶化接近 SLO 边界时，误差预算快速消耗，触发质量门禁。
关键公式： 误差预算消耗率 = (SLO 达标时间 − 实际达标时间) / 总时间窗口。当消耗率 > 100% 时，SLO 违约。
1.3 为什么 Harbor 需要误差预算
Harbor 作为企业级制品仓库，承载着镜像拉取、推送、扫描、复制等关键路径。没有误差预算，团队容易陷入两种极端：
- 过度保守： 因害怕延迟超标而禁止任何变更，导致安全补丁、功能迭代停滞。
- 过度激进： 频繁发布未经充分验证的配置或版本，导致镜像拉取延迟飙升，影响下游 CI/CD 流水线。
引入误差预算后，Harbor 平台团队可以：
- 量化发布风险： 每次版本升级前检查当前误差预算余额，余额充足则允许发布，余额不足则自动阻塞。
- 驱动质量门禁： 将误差预算消耗率作为门禁指标，当消耗超过 50% 时触发告警，超过 80% 时强制回滚或限流。
- 优化资源成本： 通过分析误差预算消耗模式，识别是网络带宽、存储 IO 还是镜像层缓存导致延迟超标，从而精准扩容。
常见误区： 误差预算不是“允许故障”的借口。它应配合熔断、限流、降级等弹性设计使用，而非单纯容忍低质量服务。
1.4 误差预算在 Harbor 中的运作流程
下图展示了从 SLI 采集到误差预算消耗、再到质量门禁触发的完整链路：
1.5 误差预算与质量门禁的协同
在 Harbor 中，误差预算并非孤立存在，而是与质量门禁深度绑定。下表展示了不同预算消耗阶段对应的门禁策略：
| 预算消耗率 | 门禁等级 | Harbor 操作响应 |
|---|---|---|
| 0% – 50% | 绿色（安全） | 允许正常发布、推送、拉取；记录审计日志 |
| 50% – 80% | 黄色（警告） | 触发告警通知；限制非关键制品复制；建议开启缓存预热 |
| 80% – 100% | 红色（危险） | 自动阻塞新版本发布；强制启用镜像层缓存；触发扩容流程 |
| > 100% | 违约（SLO 违反） | 记录 SLO 违约事件；启动根因分析；自动回滚最近一次变更 |
实践建议： 在 Harbor 中为每个项目（Project）独立配置误差预算门禁，避免“一个项目拖垮全局”。例如，核心生产项目使用 99.99% SLO（月预算 4.3 分钟），而开发测试项目使用 99.9% SLO（月预算 43 分钟）。