📚 课程目录第2章 Error Budget计算与消耗模型

2. Error Budget 计算与消耗模型：基于 SLI 窗口计算 Error Budget，分析消耗速率与剩余预算的数学关系

Error Budget（错误预算）是 SRE 实践中的核心量化杠杆，它将不可靠性转化为可管理的“风险额度”。本章深入剖析 Error Budget 的计算公式、基于滑动时间窗口的消耗模型，以及消耗速率与剩余预算之间的数学关系，为后续自愈剧本的门禁触发阈值设计奠定精确的数学基础。

2.1 Error Budget 核心定义与计算公式

Error Budget 定义为 1 - SLO，代表在 SLO 合规周期内，服务可以容忍的最大不可用时间或错误比例。其计算依赖于两个关键输入：服务等级目标（SLO）和合规窗口长度（T）。

参数	符号	说明	典型值
服务等级目标	SLO	目标可用性百分比（如 99.9%）	99.9%, 99.99%
合规窗口	T	SLO 评估周期（如 30 天）	30 天, 7 天
总预算	EB_total	窗口内允许的最大错误量	43.2 分钟（30 天 99.9%）
已消耗预算	EB_consumed	窗口内已发生的错误量	动态计算
剩余预算	EB_remaining	EB_total - EB_consumed	动态计算

核心公式：

EB_total = (1 - SLO) × T × 总请求量（或总时间单位）
EB_remaining = EB_total - EB_consumed
Budget Burn Rate = EB_consumed / elapsed_time

其中，总请求量用于基于请求数的 SLO（如 99.9% 请求成功），总时间单位用于基于时间可用性的 SLO（如 99.9% 正常运行时间）。

2.2 基于 SLI 窗口的滑动计算模型

实际生产环境中，Error Budget 并非静态计算，而是基于 滑动时间窗口（Sliding Window） 持续滚动更新。SLI（服务等级指标）数据在每个时间桶（如 1 分钟）内采集，系统通过聚合窗口内的所有桶来计算当前消耗。

滑动窗口实践要点：

窗口粒度：通常使用 1 分钟或 5 分钟桶，窗口长度与 SLO 周期一致（如 30 天 = 43200 个 1 分钟桶）。
滚动更新：每进入一个新桶，最旧的桶被移出窗口，确保预算反映最近的服务行为。
冷启动问题：窗口未填满时，按比例缩放预算或使用预热期，避免误触发。

2.3 消耗速率（Burn Rate）与剩余预算的数学关系

消耗速率（Burn Rate）衡量 Error Budget 被消耗的快慢程度。它直接决定了剩余预算的衰减曲线，是门禁触发策略的核心输入。

2.3.1 消耗速率定义

Burn Rate = (窗口内错误量) / (窗口内总请求量或总时间)
Normalized Burn Rate = Burn Rate / (1 - SLO)

归一化消耗速率（Normalized Burn Rate） 将实际消耗速率与 SLO 允许的基准速率进行比较：

Burn Rate = 1：恰好以 SLO 允许的最大速率消耗预算，预算将在窗口结束时刚好耗尽。
Burn Rate > 1：消耗过快，预算将在窗口结束前耗尽，触发告警或自愈。
Burn Rate < 1：消耗较慢，预算有盈余，服务处于健康状态。

2.3.2 剩余预算的数学衰减模型

剩余预算随时间的变化遵循线性衰减模型，其斜率由消耗速率决定：

EB_remaining(t) = EB_total - Burn_Rate × t

其中：
- t 为窗口内已过去的时间
- Burn_Rate 为当前平均消耗速率

场景	Burn Rate	剩余预算变化	门禁触发风险
正常运营	0.1 - 0.5	缓慢下降，预算充足	低
轻微故障	0.8 - 1.2	接近 SLO 边界，需关注	中
严重故障	2 - 5	快速消耗，数小时内耗尽	高
灾难性故障	> 10	极速消耗，分钟级耗尽	极高

2.4 多窗口消耗速率与门禁触发策略

单一窗口的 Burn Rate 可能因瞬时抖动而产生误判。生产级门禁通常采用 多窗口策略，同时监控短窗口（高灵敏度）和长窗口（高准确性）的消耗速率。

关键设计原则：

短窗口（如 1 小时）：快速检测突发故障，但可能对短暂抖动敏感。
长窗口（如 6 小时）：平滑噪声，反映持续趋势，但响应较慢。
组合触发：短窗口触发告警，长窗口确认后执行自愈门禁，避免误操作。

2.4.1 多窗口消耗速率计算示例

假设 SLO = 99.9% (30天窗口)，EB_total = 43.2 分钟

场景：服务在 10:00 - 10:30 期间出现故障，错误率飙升至 5%

短窗口 (1小时) 计算：
  - 窗口内错误量 = 30分钟 × 5% = 1.5 分钟
  - Burn Rate = 1.5 / 60 = 0.025 分钟/分钟
  - 归一化 Burn Rate = 0.025 / (0.001) = 25 倍
  - 结论：严重超标，立即触发告警

长窗口 (6小时) 计算：
  - 窗口内错误量 = 30分钟 × 5% = 1.5 分钟
  - 窗口内总时间 = 360 分钟
  - Burn Rate = 1.5 / 360 = 0.00417 分钟/分钟
  - 归一化 Burn Rate = 0.00417 / 0.001 = 4.17 倍
  - 结论：仍超标，确认持续故障，触发自愈门禁

2.5 消耗速率与剩余预算的联动门禁逻辑

门禁触发条件通常结合 剩余预算阈值 和 消耗速率阈值，形成二维决策矩阵：

剩余预算	消耗速率 (Burn Rate)	门禁动作	说明
> 50%	< 1.0	无操作	服务健康，预算充足
20% - 50%	1.0 - 2.0	观察告警	进入警戒区，通知 SRE
< 20%	> 2.0	触发自愈门禁	预算不足且消耗过快，自动执行剧本
< 10%	> 5.0	强制门禁 + 降级	灾难场景，立即降级或回滚

数学关系总结：

剩余预算与消耗速率共同决定了服务的“风险距离”：

Time_to_exhaustion = EB_remaining / Burn_Rate

示例：
  - EB_remaining = 10 分钟
  - Burn_Rate = 2 分钟/小时
  - Time_to_exhaustion = 10 / 2 = 5 小时

门禁触发条件：Time_to_exhaustion < 自愈响应时间窗口

当预计耗尽时间小于自愈剧本的预期执行时间时，门禁必须立即触发，否则将突破 SLO。

2.6 实践中的数学陷阱与校正

窗口边界效应：滑动窗口在边界处可能包含故障前的正常数据，导致 Burn Rate 被低估。建议使用 指数加权移动平均（EWMA） 替代简单平均，赋予近期数据更高权重。
突发流量放大：高流量时段即使错误率不变，错误量也会增加，导致 Burn Rate 飙升。门禁逻辑应基于 错误率 而非错误量。
预算重置：窗口滚动时，旧故障数据移出窗口，剩余预算可能“回升”。门禁应避免在预算回升后立即解除，需设置 冷却期 防止震荡。

推荐实践：

在生产环境中，将 Error Budget 计算与消耗速率监控部署为独立的微服务，每 1 分钟计算一次当前窗口的剩余预算和归一化 Burn Rate，并将结果暴露为 Prometheus 指标（如 error_budget_remaining_ratio、burn_rate_normalized），供自愈剧本门禁直接消费。