---
id: ka-guidance-上线观察
kind: guidance
title: 上线观察
sync_policy: engine_only
status: active
triggers:
  - 上线
  - 观察
  - 监控
  - rollout
  - 灰度
  - 发布
  - 回滚
  - 熔断
  - 发布后
target_artifact:
  - deploy_config
  - release_note
extra:
  name: rollout-monitoring
  scope:
    - '*'
  products:
    - '*'
  category: procedure
  version: 2.0.0
  last_reviewed: '2026-06-17'
  verification_layer: L2
  stage: operate
  domain: operate
  owner_mechanism: mc-domain-operate
---

# 上线观察：用项目事实决定放量、暂停与恢复

> 本指导只提供决策框架，不替项目虚构流量比例、阈值、观察时长或恢复时限。实际值必须来自已确认的 SLO、发布前基线、平台约束或责任人批准；没有来源就标为待确认并阻止无人值守放量。

## 1. 发布前事实卡

上线前记录以下事实，不适用项写 `N/A（原因）`：

| 事实 | 当前值 | 来源/链接 | 责任人 |
|---|---|---|---|
| 发布对象与版本 |  |  |  |
| 变更风险与影响用户 |  |  |  |
| 发布方式与可用分段能力 |  |  |  |
| 关键技术指标及停止阈值 |  |  |  |
| 关键业务指标及停止阈值 |  |  |  |
| 数据一致性风险 |  |  |  |
| 首选恢复方式与目标时长 |  |  |  |
| 值守人与升级联系人 |  |  |  |

## 2. 放量计划

按平台能力和风险设计实际阶段。可以是流量百分比、租户/区域白名单、单实例、应用商店分批或一次性切换；不强制套用固定比例。

| 阶段 | 覆盖范围 | 最短观察条件 | 进入条件 | 停止条件 | 批准人 |
|---|---|---|---|---|---|
|  |  |  |  |  |  |

若无法分段发布，必须说明原因，并用预发布验证、并行运行、开关隔离或更强值守降低风险。

## 3. 观测与判定

每个结论都要保留“阈值来源 + 发布前基线 + 发布后观测 + 判定”，不能只写“正常”。

| 信号 | 查询/仪表盘 | 基线或 SLO | 停止阈值 | 当前观测 | 判定 |
|---|---|---|---|---|---|
| 错误或失败信号 |  |  |  |  |  |
| 延迟/容量（适用时） |  |  |  |  |  |
| 新错误模式 |  |  |  |  |  |
| 核心业务结果 |  |  |  |  |  |
| 数据一致性（涉及数据变更时） |  |  |  |  |  |

## 4. 异常决策与恢复

命中停止条件时先停止继续放量并保护用户，再按实际可行性选择已演练的路径：安全回滚、流量切回、功能开关关闭、备份恢复、兼容期双轨或前向修复。数据不可逆或旧版本无法读取新数据时，不得机械执行版本回退。

| 触发信号 | 立即保护动作 | 恢复方式 | 执行步骤/Runbook | 验证方法 | 升级条件 |
|---|---|---|---|---|---|
|  |  |  |  |  |  |

恢复后需确认：用户影响停止、关键指标恢复、适用的数据一致性检查通过、无未解释的新错误，并记录时间线、操作者、决策依据和遗留事项。

## 5. 发布后验收

- 复验真实关键业务路径，不以“监控无告警”替代功能验收。
- 涉及数据变更时执行与影响面匹配的一致性检查；无数据变更写 `N/A（原因）`。
- 将未解决异常、临时开关、观察窗口和责任人写入交接记录。
- 只有所需证据齐全且停止条件未命中，才进入下一放量阶段或宣布完成。

## 6. 禁止

- 使用无来源的通用阈值或固定流量比例冒充项目决策。
- 命中停止条件后继续自动放量。
- 把“回滚”当作唯一恢复方式，忽略数据兼容性和不可逆迁移。
- 未演练首选恢复路径却宣称可恢复；无法等价演练时必须记录差异和风险接受人。
- 省略失败时间线、用户影响或恢复验证证据。