灰度结果要支持全量发布，需要同时满足三类条件：技术指标在观察窗内稳定且与基线可比，业务指标没有出现显著劣化，发布过程指标达到事先约定的门槛。判定前先固定分母、时间窗和对比基线，再逐项核对通过标准；任一关键指标触发阻断条件，就暂停放量，不用总体“看起来正常”替代逐项验收。
要点总览（TL;DR）
- 灰度结果支持全量发布，需要技术指标、业务指标和发布过程指标三类条件同时满足，任一关键指标触发阻断条件即暂停放量。
- 判定前先固定分母、时间窗和对比基线，灰度组与对照组按同一口径统计，样本不足或数据缺失记为未确认，不记为通过。
- 判定按四步执行：确定基线与阈值、计算差值与相对偏差、逐项标注通过/未确认/阻断、汇总形成放量、延长观察或回滚的结论。
- 灰度通过只说明观察窗内无显著劣化，长尾路径和低频功能需另行验证，放量后仍要保留观察窗与回滚预案。
全量发布前要判定的是什么
灰度放量判定要把一批灰度数据转化为一次可复核的决策：这批流量上的表现，是否足以支撑把变更推到全量用户。它评估的对象是本次灰度批次及其对照组，包括这一批代码、配置、模型或策略在指定流量、指定时间窗内的运行结果，而非笼统的产品质量。产品质量是长期积累的判断，灰度判定只回答“这一次变更能否继续扩大范围”。
放量决策需要回答三个问题。第一，风险是否被灰度覆盖：本次变更影响的功能、人群、链路是否都在灰度范围内出现过，长尾路径和低频入口是否有样本。第二，指标是否稳定：技术指标和业务指标在观察窗内是否围绕基线波动，有没有持续恶化的趋势。第三，异常是否可处置：观察期内出现的告警是否被响应、定位和关闭，处置过程是否留下记录，回滚预案是否可用。
三个问题的答案组合起来，形成三种结论口径。放量：三类条件全部满足，关键指标无阻断项，异常均已闭环。延长观察：指标未触发阻断，但样本量不足、观察时长不够或业务指标存在小幅波动，需要继续积累数据后再判。回滚或缩小范围：出现安全、资金、核心链路类阻断项，或异常无法在约定时间内处置，应停止扩大并回收流量。三种口径要在发布前写清楚，避免事后按结果倒推标准。
技术、业务与过程三类指标及范围
灰度评估的指标分为三类，每类承担不同的判断任务。技术指标看系统是否扛得住，业务指标看用户是否受影响，过程指标看这次灰度本身执行得是否规范。三类指标要一起看，单看技术指标正常，可能掩盖业务侧的转化下跌；单看业务指标平稳，也可能因为灰度流量太小而没有暴露问题。
| 类别 | 指标 | 分子 / 分母 | 时间窗与基线 |
|---|---|---|---|
| 技术 | 错误率 | 灰度组失败请求数 / 灰度组总请求数；对照组同口径 | 观察窗内按小时聚合，对比发布前同长度基线窗 |
| 技术 | 延迟分位（P50/P95/P99） | 灰度组请求延迟分布的分位值；对照组同口径 | 同一时段对比，单位毫秒 |
| 技术 | 资源饱和度 | CPU、内存、连接池使用量 / 配额上限 | 观察窗峰值与均值，对比基线峰值 |
| 技术 | 依赖调用失败率 | 下游调用失败次数 / 下游调用总次数 | 按依赖分别统计，对比基线 |
| 业务 | 核心转化率 | 完成目标行为的用户数 / 进入流程的用户数 | 灰度组与对照组同口径，按日或按小时 |
| 业务 | 下单/提交成功率 | 成功提交次数 / 提交尝试次数 | 观察窗内累计，对比基线 |
| 业务 | 关键接口业务异常量 | 业务异常返回次数 / 该接口调用次数 | 按接口统计，区分错误码类型 |
| 过程 | 灰度流量占比 | 灰度流量 / 总流量 | 按发布计划核对实际占比 |
| 过程 | 观察时长 | 灰度开始到判定的实际时长 | 与发布前约定的最短观察窗比较 |
| 过程 | 覆盖人群与场景 | 已覆盖的用户分群、入口、链路数 / 计划覆盖数 | 按发布清单逐项核对 |
| 过程 | 告警响应与处置时长 | 告警确认时间、关闭时间与告警发生时间之差 | 对照约定的响应时限 |
指标范围要写清楚四件事：版本范围，即本次灰度对应哪个版本或哪次变更；流量范围，即灰度覆盖哪些入口、人群、地域和依赖链路；时间窗，即观察从何时开始、统计到何时、与哪段基线对比；对照组定义，即对照组是未变更的稳定版本流量，还是历史同期数据。范围写不清，后面的计算就没有统一的分母。
数据口径与证据要求
灰度组与对照组可比，是判定成立的前提。分母口径要一致：两边都按请求数统计，或都按用户数统计，不能一边用请求、一边用会话；过滤条件也要一致，例如都排除内部测试账号、机器流量和压测流量。流量结构差异是常见误判来源，灰度如果优先切给了某一类机型、地域或新用户，指标差异可能来自人群结构而非变更本身，此时应按分群分层对比，或在结论中标注结构差异。
时间窗要对齐。灰度组与对照组取同一时段的数据，避开大促、活动、批量任务等外部因素；如果观察窗跨越大促，应单独说明并延长观察。基线优先取发布前同长度、同时段的稳定期数据，其次取对照组同期数据，两者都不可得时判定为“未确认”。
缺失值与低样本要单独处理。样本量低于发布前约定的最小样本时，结论写“未确认”，不写“通过”；分母为零时，指标记为“不适用”，并说明原因，例如该入口在观察窗内没有流量。缺失的监控数据同样按未确认处理，不用相邻时段数据替代后直接判定通过。
证据留存清单包括：监控截图或看板链接、取数查询语句与执行时间、告警记录及处置过程、灰度流量配置记录、评审结论与参与人。证据的作用是让判定可复核，换一个人按同样的口径能算出同样的结论。
放量条件的计算与判定步骤
判定按四步走，每一步都留下可复算的记录。
第一步，确定基线与阈值。阈值来自历史基线或发布前约定，例如错误率相对基线偏差不超过约定比例、P95 延迟绝对增量不超过约定毫秒数、核心转化率下降不超过约定百分点。没有事先约定的阈值，应在判定前补充确认并记录，不用“感觉正常”代替。
第二步，计算灰度组与对照组的指标差值与相对偏差。绝对差值 = 灰度组指标值 − 对照组指标值；相对偏差 = 绝对差值 / 对照组指标值 × 100%。错误率、成功率这类比率指标用百分点差值和相对偏差同时表达；延迟分位用毫秒差值和相对偏差表达。分母、单位、时间窗在计算表中逐项写明。
第三步，逐项比对通过标准，给每个指标标注三种状态之一：通过、未确认、阻断。通过指指标在阈值内且样本充足；未确认指样本不足、数据缺失或口径存疑；阻断指指标超出阈值，或触发安全、资金、核心链路类红线。阻断项优先处理，未确认项不能当作通过项累计。
第四步，汇总形成结论。全部关键指标通过且无未确认项，结论为放量；存在未确认项但无阻断项，结论为延长观察，并写明补充观察的时长和样本目标；存在阻断项，结论为回滚或缩小范围，并记录处置动作。结论、依据和参与人一并留痕。
在发布管理流程中，这些记录通常落在发布单、观察记录和评审结论上。ONES 可以把灰度批次作为工作项管理，将观察数据、告警处置和评审结论关联到同一发布记录，让放量判定有据可查、状态可追踪；具体字段和流程按团队现有配置使用。
一个判定示例
以下为演示情景，数字仅用于说明计算过程。设定：灰度流量占总流量 10%，观察时长 24 小时，对照组为同期 90% 的稳定版本流量，发布前约定错误率相对偏差阈值 20%、P95 延迟绝对增量阈值 50 毫秒、核心转化率下降不超过 0.5 个百分点。
错误率：灰度组 1.20%，对照组 1.00%。绝对差值 0.20 个百分点，相对偏差 0.20% / 1.00% = 20%，恰好等于阈值，标注为通过但需关注趋势。P95 延迟：灰度组 420 毫秒，对照组 380 毫秒，绝对增量 40 毫秒，低于 50 毫秒阈值，通过。核心转化率：灰度组 3.20%，对照组 3.60%，下降 0.40 个百分点，在 0.5 个百分点以内，通过。过程指标：灰度占比 10% 与计划一致，观察 24 小时达到约定最短观察窗，告警 2 条均在约定时限内关闭。
若核心转化率下降 0.60 个百分点，超出阈值但未触发资金类红线，结论应为延长观察，补充 24 小时数据并核对分群结构，而非直接放量。若某关键接口在观察窗内调用量为零，该接口错误率分母为零，记为不适用，同时把“该接口未覆盖”写入未确认项，放量结论需附带该接口的补充验证安排。若样本量低于约定的最小请求数，即使指标数值在阈值内，也写“未确认”，不写“通过”。
结果解读与判定限制
灰度通过只说明观察窗内没有出现显著劣化，不构成全量后不出问题的保证。灰度覆盖不到的场景，例如长尾路径、低频功能、特定机型或极端并发组合，不能由本次灰度结果背书，需要在放量计划中单独安排验证或分批扩大。指标达标也不等于因果证明：业务指标平稳可能来自外部流量变化，技术指标正常可能因为灰度流量尚未触及瓶颈。
阻断条件有优先级。安全、资金、数据一致性类指标优先于体验类指标，前者触发即停止放量，后者可在评估影响后决定延长观察或分批放量。放量后仍需保留观察窗和回滚预案，明确观察时长、核心指标看板和回滚触发条件；全量发布后的观察记录与灰度阶段使用同一套口径，便于前后对比。
判定结论要写明适用范围：本次灰度批次、本次流量范围、本次观察窗。超出这个范围的新变更，需要重新走灰度与判定流程。
常见问题
灰度观察窗设多长比较合适？
观察窗长度取决于变更影响面和业务周期，没有统一数值。可以参照两个条件设定：一是覆盖至少一个完整的业务波动周期，例如按日统计的核心转化率需要跨过一个完整自然日；二是样本量达到发布前约定的最小请求数或最小用户数。观察窗在发布前写入发布计划，判定时按实际时长与约定时长比较，不足则结论写“延长观察”。
灰度期间出现告警但已处理完毕，还能放量吗？
要看告警的性质和处置结果。告警已定位、修复并关闭，且同类问题在后续观察窗内未复现，可以作为通过项计入；告警原因未定位、只是临时压制，或属于安全、资金、数据一致性类问题，应视为阻断项，先停止放量。处置过程要留下记录，包括发生时间、确认时间、关闭时间和处理动作，供评审时复核。
灰度流量占比很小，指标都正常，可以直接全量吗？
不建议直接全量。流量占比小意味着样本量有限，指标正常可能只是尚未触及瓶颈或长尾路径。此时应核对样本量是否达到约定门槛，未达到则结论为“未确认”，按计划扩大灰度比例或延长观察，再重新判定。分批扩大范围比一次性全量更容易控制风险。
灰度组和对照组人群结构不同，指标差异怎么判断？
先按分群分层对比，例如按新老用户、地域、机型分别计算指标差值，看差异是否集中在某一分群。如果差异主要来自人群结构而非变更本身，应在结论中标注结构差异，并补充同结构对比数据。结构差异无法排除时，相关指标记为“未确认”，不直接判定通过或阻断。
全量发布后还需要继续观察多久？
放量后的观察时长按变更风险等级和影响面确定，通常不短于灰度阶段的观察窗，并覆盖一个完整业务周期。观察期内沿用灰度阶段的指标口径和看板，便于前后对比；同时明确回滚触发条件，例如错误率或核心转化率超出约定阈值即启动回滚。观察结束后的记录与灰度判定记录一并归档。
