4. Error Budget 触发门禁的阈值设定：硬阈值、软阈值、多级预警阈值的配置方法与最佳实践

Error Budget 门禁的核心在于“何时触发阻断”。阈值设定直接决定了自愈剧本的激进程度与业务风险。本章从硬阈值、软阈值、多级预警三个维度，系统讲解配置方法与生产最佳实践。

4.1 阈值类型与适用场景

不同业务对错误预算消耗的容忍度差异巨大。下表对比三种阈值类型的核心特征：

4.2 硬阈值配置方法与风险控制

硬阈值是门禁的最后一道防线。配置时需关注以下三个关键参数：

• 消耗百分比（Budget Burned %）：通常设为 70%–90%。过低（如 50%）会导致频繁阻断，过高（如 95%）则失去保护意义。
• 时间窗口（Window）：硬阈值必须配合时间窗口使用。例如“过去 1 小时内错误预算消耗超过 80%”才触发，避免瞬时抖动误判。
• 冷却期（Cooldown）：触发阻断后，设置 5–15 分钟冷却期，防止重复触发导致自愈剧本震荡。

# 硬阈值配置示例（Prometheus + Alertmanager）
groups:
  - name: error_budget_hard
    rules:
      - alert: ErrorBudgetHardThreshold
        expr: |
          (
            1 - (sum(rate(http_requests_total{status=~"5.."}[1h]))
                 / sum(rate(http_requests_total[1h])))
          ) * 100 < 20
        for: 5m
        labels:
          severity: critical
          action: block_deployment
        annotations:
          summary: "错误预算剩余不足 20%，触发硬阈值阻断"

4.3 软阈值配置与人工审批集成

软阈值不直接阻断，而是触发“人工审批门禁”。配置要点如下：

• 阈值位置：通常设为硬阈值的 60%–80%。例如硬阈值 80%，软阈值设为 50%–60%。
• 审批超时：设置审批等待窗口（如 30 分钟），超时后默认拒绝发布或自动回滚。
• 审批人组：按服务归属动态路由，避免审批人积压。

# 软阈值配置示例（集成审批系统）
soft_threshold:
  budget_burned_percent: 60
  window: 30m
  approval:
    enabled: true
    timeout: 30m
    default_action: reject
    approver_group: "service-{{ .ServiceName }}-owners"

4.4 多级预警阈值：从通知到阻断的梯度设计

多级预警阈值将门禁拆分为多个梯度，每个梯度对应不同的响应动作。下图展示典型的四级预警模型：

4.5 阈值设定最佳实践清单

综合生产经验，以下清单可作为阈值配置的检查项：

4.6 多级预警的配置示例（完整 YAML）

以下是一个生产级多级预警配置片段，可直接用于自愈剧本引擎：

# error_budget_gate.yaml
service: payment-api
slo_target: 99.9
window: 30d

thresholds:
  - level: 1
    name: "notice"
    budget_burned: 40
    action: notify
    channels: ["slack-service-owners"]
    cooldown: 5m

  - level: 2
    name: "warning"
    budget_burned: 60
    action: alert
    channels: ["pagerduty", "jira"]
    cooldown: 10m
    auto_create_ticket: true

  - level: 3
    name: "soft_block"
    budget_burned: 75
    action: pause_deployment
    approval_required: true
    approval_timeout: 30m
    default_on_timeout: rollback
    cooldown: 15m

  - level: 4
    name: "hard_block"
    budget_burned: 85
    action: block_and_rollback
    rollback_version: "last_stable"
    notify_oncall: true
    cooldown: 20m

4.7 阈值动态调整与自学习

静态阈值无法适应业务流量波动。推荐引入“动态基线”机制：

• 历史窗口对比：将当前错误预算消耗速率与过去 7 天同一时段对比，异常偏离时自动降低阈值。
• 节假日模式：大促、节假日期间自动收紧阈值（如硬阈值从 80% 降至 60%）。
• 自适应冷却：连续触发次数越多，冷却期自动延长（如首次 10 分钟，第二次 20 分钟，第三次 40 分钟）。