📚 课程目录第4章 SLO目标设定

4. SLO目标设定：基于用户旅程的SLO制定方法，错误预算的计算与消耗机制

SLO（Service Level Objective）是自动化故障响应框架的“北极星”。若SLO设定与用户真实体验脱节，告警自愈将沦为“噪音制造机”。本章核心方法论是：从用户旅程反推SLO，用错误预算量化可用性，让告警阈值与业务容忍度对齐。

4.1 基于用户旅程的SLO制定方法

传统“一刀切”的SLO（如“所有请求P99延迟<200ms”）往往导致无效告警。正确做法是：识别关键用户旅程（Critical User Journey, CUJ），为每个旅程独立定义SLI（Service Level Indicator）与SLO。

4.1.1 用户旅程映射步骤

绘制端到端用户流：列出用户完成核心业务目标必须经过的系统交互序列。
识别关键接触点：标记每个步骤的依赖服务（API、数据库、缓存、第三方）。
定义SLI：为每个接触点选择可测量的指标（延迟、错误率、吞吐量）。
设定SLO目标：基于业务容忍度，为每个SLI设定阈值。

案例：电商“下单”用户旅程

用户旅程：搜索商品 → 查看详情 → 加入购物车 → 提交订单 → 支付回调。

关键SLI：搜索P99延迟、详情页错误率、下单API成功率、支付回调耗时。

4.1.2 SLI定义与SLO目标示例

用户旅程步骤	SLI指标	SLO目标（月度）	测量窗口
搜索商品	搜索API P99延迟	< 500ms	5分钟滚动窗口
查看详情	详情页加载错误率	< 0.1%	10分钟滚动窗口
提交订单	下单API成功率	> 99.95%	1分钟滚动窗口
支付回调	支付确认延迟P99	< 3s	1小时滚动窗口

最佳实践：每个用户旅程的SLO数量控制在3-5个，避免指标爆炸。优先覆盖“高用户影响”与“高故障频率”的接触点。

4.2 错误预算的计算与消耗机制

错误预算（Error Budget）是SLO的“货币化”表达：错误预算 = 1 - SLO。它定义了系统在给定时间窗口内允许的最大不可用时间或错误量。当错误预算耗尽时，必须停止所有非关键变更，优先恢复稳定性。

4.2.1 错误预算计算公式

错误预算总量 = 总时间窗口 × (1 - SLO)

示例（月度SLO 99.9%）：
总时间窗口 = 30天 × 24小时 × 60分钟 = 43200分钟
错误预算 = 43200 × (1 - 0.999) = 43200 × 0.001 = 43.2分钟

即：系统每月最多允许43.2分钟的不可用时间。

4.2.2 错误预算消耗速率与告警触发

错误预算消耗速率（Burn Rate）是自动化告警自愈的核心输入。当消耗速率超过阈值时，系统应自动触发不同级别的响应动作。

消耗速率等级	定义	告警级别	自愈动作示例
慢速消耗	消耗速率 < 预算的10%/天	Info（信息）	记录日志，不触发动作
中速消耗	消耗速率 10%-30%/天	Warning（警告）	自动扩容、重启异常实例
快速消耗	消耗速率 > 30%/天	Critical（严重）	回滚最近变更、限流、熔断
预算耗尽	错误预算归零	P0（最高优先级）	冻结所有发布，启动应急响应

4.3 错误预算消耗与自愈联动流程

下图展示了从SLI采集到错误预算计算，再到触发自愈动作的完整闭环：

4.4 多窗口错误预算策略

单一时间窗口（如月度）容易导致“月初浪费用，月末不敢动”。推荐采用多窗口复合策略：

短窗口（1小时）：用于快速检测突发故障，触发即时自愈。
中窗口（1天）：用于评估持续退化，触发扩容或回滚。
长窗口（30天）：用于整体健康度评估，驱动容量规划。

常见陷阱：不要只依赖长窗口SLO。一个持续5分钟的P0故障可能只消耗月度预算的0.01%，但已造成严重用户影响。必须结合短窗口消耗速率告警。

4.5 错误预算消耗可视化示例

下图展示了一个月度SLO 99.9%的错误预算消耗曲线，以及不同消耗速率对应的自愈动作触发点：

4.6 关键实践总结

实践要点	说明	常见错误
用户旅程驱动	每个SLO必须对应一个用户可感知的旅程步骤	使用基础设施指标（如CPU）代替业务SLI
多窗口复合	同时使用短、中、长窗口评估消耗速率	仅依赖月度SLO，错过快速故障
消耗速率分级	定义慢/中/快三级消耗阈值，对应不同自愈动作	所有消耗都触发相同告警级别
预算耗尽冻结	错误预算归零时自动冻结非关键变更	继续发布新功能，加剧故障
持续反馈	自愈动作执行后，反馈至SLI采集，形成闭环	自愈后不验证效果，导致重复告警

落地建议：从最重要的1-2个用户旅程开始，先定义SLI与SLO，再配置错误预算告警。不要试图一次性覆盖所有系统。迭代优化，逐步扩展。