知识卡片
给自动化响应设置变更预算
内容
让自动化系统负责限流、降级这类应急操作能大幅缩短响应时间，但不能让它拥有无限操作权限——不加约束时一次误判可能导致自动化系统对全部服务器做出同样错误的大范围策略变更。解决办法是给自动化操作设置变更预算，一旦触及上限就停止自动执行，改为等待人工介入判断是否放宽预算或采取不同方案。这不是不信任自动化，而是承认自动化只能覆盖已想到的场景，事态超出预设范围时及时把决策权交还给人更安全。
参考来源
- 位置：《Google系统架构解密：构建安全可靠的系统》第8章《弹性设计》8.3.3节（源文件：`../OREILY动物书合辑 图灵新版/_epub-src/text/part0014_split_072.html`）
- 结论依据：原文明确指出不要允许自动化系统进行大规模或大范围的无监督策略变更，而应实施变更的预算，当自动化耗尽该预算时不会自动继续，必须由人类增加预算或做出不同判断。
- 原始内容：不要允许自动化系统进行大规模（例如，单个服务器丢弃所有RPC请求）或者大范围（所有服务器都丢弃一些RPC请求）的无监督策略变更。相反，可以考虑实施变更的预算。当自动化耗尽该预算时，不会发生自动刷新。相反，人类必须增加预算或做出不同的判断。