2. Error Budget 超支场景：典型原因、业务影响与紧急程度分级
Error Budget 超支并非单一故障事件，而是一系列系统性或突发性因素导致可用性预算在统计窗口内提前耗尽。SRE 团队需要从原因、影响、紧急度三个维度建立快速判断框架，才能触发正确的 Runbook 自愈流程。
2.1 超支的典型原因分析
根据生产环境实际案例统计，Error Budget 超支可归为以下四类根因。每类原因对应不同的自愈策略和恢复时间目标。
| 原因类别 | 典型场景 | 占比（参考） | 自愈切入点 |
|---|---|---|---|
| 基础设施故障 | 云实例宕机、网络分区、磁盘 IO 打满、DNS 解析中断 | ~35% | 自动容灾切换、弹性扩容、健康检查自愈 |
| 代码/配置变更 | 灰度发布引入性能退化、配置项错误、数据库慢查询上线 | ~30% | 自动回滚、金丝雀策略、配置校验拦截 |
| 流量/负载异常 | 突发流量洪峰、爬虫/攻击、热点 Key 击穿、缓存雪崩 | ~20% | 限流降级、缓存预热、弹性伸缩 |
| 依赖服务退化 | 第三方 API 超时、数据库主从延迟、消息队列堆积 | ~15% | 熔断、超时缩短、降级预案 |
关键洞察： 超过 65% 的超支事件与变更或流量相关，这意味着 Error Budget 超支自愈流程必须与变更管理系统和容量规划系统深度集成。
2.2 超支对业务的影响
Error Budget 超支的直接后果是用户请求失败率上升，但不同业务场景下的影响差异巨大。以下从三个维度评估影响程度：
- 用户体验受损： 页面加载时间增加 2 倍以上、交易失败、登录超时，导致用户流失和品牌信任下降。
- 收入损失： 电商下单失败、广告计费丢失、订阅续费中断，直接影响营收。
- 合规与 SLA 违约： 金融、医疗等场景下超支可能触发监管罚款或客户 SLA 赔偿。
SRE 实践建议： 在定义 Runbook 自愈流程时，应将业务影响等级作为触发条件之一。例如，即使 Error Budget 消耗未达 100%，但若影响核心交易链路，也应立即升级为 P0 事件。
2.3 超支的紧急程度分级
为快速匹配自愈动作，将 Error Budget 超支按剩余预算和影响范围分为四个等级。每个等级对应不同的响应时间和自愈策略。
| 等级 | 剩余预算 | 影响范围 | 响应要求 | 自愈动作示例 |
|---|---|---|---|---|
| P0（严重） | < 20% 且仍在快速下降 | 核心业务全链路受损 | 立即响应（< 5 分钟） | 全局熔断、自动回滚、流量切换至灾备 |
| P1（高） | 20% ~ 50% | 核心业务部分受损或非核心业务全损 | 快速响应（< 15 分钟） | 局部限流、降级非核心功能、扩容 |
| P2（中） | 50% ~ 80% | 非核心业务部分受损 | 正常响应（< 1 小时） | 自动扩容、缓存预热、慢查询 Kill |
| P3（低） | > 80% | 边缘功能偶发异常 | 观察响应（< 4 小时） | 日志分析、告警确认、计划内变更 |
注意： 紧急程度分级不是静态的。当 P3 事件在 30 分钟内未恢复且 Error Budget 消耗加速时，应自动升级为 P2 甚至 P1。Runbook 自愈流程必须包含动态升级逻辑。
2.4 超支原因与紧急程度关联模型
下图展示了典型原因、业务影响与紧急程度之间的映射关系，帮助 SRE 团队在收到告警时快速定位自愈入口。
2.5 超支自愈流程的触发条件
基于上述分级，Runbook 自愈流程的触发条件应包含以下三个要素：
- 预算阈值： Error Budget 剩余量低于预设百分比（如 30%、10%）。
- 消耗速率： 单位时间内 Error Budget 消耗速度超过基线（如 5%/小时）。
- 影响范围： 错误率上升是否波及核心 API、关键用户群体或付费链路。
自愈流程设计要点： 触发条件应支持 AND/OR 逻辑组合。例如：当 Error Budget 剩余 < 20% 且 消耗速率 > 10%/小时，自动升级为 P0 并执行全局熔断自愈。