Reliability & Graceful Degradation: 解释优雅降级的设计原则。

Core Concept: 预先定义分级降级路径（强模型→小模型→缓存→规则→静态兜底），保证核心功能可用、失败可观测、可自动恢复，且降级不能静默。

数学机理：<strong>优雅降级（graceful degradation）</strong>——(1) <strong>分级路径</strong>——(a) <strong>L0 正常</strong>——主模型/主链路；(b) <strong>L1 降级</strong>——小模型、缓存、简化特征；(c) <strong>L2 兜底</strong>——规则/启发式/热门榜；(d) <strong>L3 静态</strong>——静态默认值或友好的错误提示；(e) <strong>设计原则</strong>——每级都要能独立工作，且质量递减可接受。(2) <strong>核心功能优先</strong>——(a) <strong>功能分级</strong>——核心（下单、支付、搜索）vs 非核心（推荐、个性化、富媒体）；(b) <strong>资源紧张时</strong>——优先保障核心，牺牲非核心（如关掉个性化推荐、返回热门榜）。(3) <strong>快速失败（fail fast）</strong>——(a) <strong>超时</strong>——每个下游调用设超时，超时即降级；(b) <strong>拒绝无限等待</strong>——避免线程/连接池被占满引发级联；(c) <strong>熔断</strong>——下游持续失败时直接跳过。(4) <strong>可观测性</strong>——(a) <strong>打点</strong>——降级触发次数、降级级别、降级时长；(b) <strong>告警</strong>——降级率超阈告警；(c) <strong>不能静默</strong>——静默降级会让'质量下降'变成'无人知晓的事故'；面试中这是关键点。(5) <strong>可恢复</strong>——(a) <strong>自动恢复</strong>——下游恢复后自动回到正常路径；(b) <strong>半开探测</strong>——熔断后半开试探；(c) <strong>恢复验证</strong>——恢复后验证质量回升（避免'以为恢复了其实没有'）。(6) <strong>一致性</strong>——(a) <strong>降级路径的结果要可用</strong>——不能返回空导致前端崩溃；(b) <strong>幂等</strong>——降级重试不产生副作用。(7) <strong>演练</strong>——(a) <strong>混沌工程（chaos engineering）</strong>——主动注入故障（杀实例、加延迟）验证降级路径；(b) <strong>故障演练</strong>——定期演练确保降级代码不是'从未运行过的死代码'。(8) <strong>设计检查表</strong>——(a) 每级降级是否有明确触发条件？(b) 是否有超时？(c) 是否可观测？(d) 是否可自动恢复？(e) 是否演练过？(f) 降级后用户体验是否可接受？<strong>与其他问题的关系</strong>——(a) 与熔断限流；(b) 与超时重试；(c) 与容量规划；(d) 与事故复盘。<strong>度量</strong>——(a) 降级触发率与时长；(b) 降级期间的核心功能成功率；(c) 自动恢复时间；(d) 演练覆盖率。

深度剖析与工程权衡：① <strong>降级路径必须可观测</strong>——静默降级会变成无人知晓的事故；面试中能指出这点是深度理解的标志。② <strong>核心功能优先</strong>——资源紧张时牺牲非核心。③ <strong>快速失败防级联</strong>——超时是防止线程/连接池耗尽的关键。④ <strong>降级路径要演练</strong>——未运行过的降级代码等于没有。⑤ <strong>自动恢复与半开探测</strong>——避免长期停留在降级态。⑥ <strong>降级结果要可用</strong>——不能返回空导致前端崩溃。⑦ <strong>面试要点</strong>——被问怎么设计降级，应给出'<strong>分级路径（L0-L3）+ 核心优先 + 超时/熔断快速失败 + 可观测告警 + 自动恢复 + 混沌演练</strong>'；能指出'降级不能静默'与'降级路径要演练'是深度理解的标志。