这张卡讲系统出事时的 B 计划怎么设计，才能真接得住。
核心拆解：降级回退策略定义模型不可用或质量异常时系统的替代路径，层次依次是备选模型、语义缓存命中、功能简化版、人工兜底通道。铁律是每条回退路径都要预演过：没演练过的回退等于没有回退，主备模型的差异、缓存结果的陈旧度、简化版的能力边界，都只在演练里暴露。最常见的遗漏是人工兜底通道不进验收——切换流程、权限、培训全没落，真出事时兜底是空的。
增量判断：与模型路由的分工：路由管常态分发，回退管故障兜底，触发条件要互斥清晰。国内企业客户对可用性承诺敏感，回退预案常被写进服务级别协议，FDE 要确保协议里写得到的设计做得到。
行动建议：为每条回退路径做一次演练并留记录，把演练结论写进上线检查清单。演练记录本身也是审计与追责时的关键证据。
—— FDEChina编辑部 · 架构师视角
定义
降级回退策略（Fallback Strategy）指模型不可用或输出质量异常时，系统按预定层次切换到替代路径的预案，典型层次依次为备选模型、缓存结果、功能简化流程与人工兜底通道。
展开
设计的核心不是「有没有回退」，而是每条路径都被真实演练过：主备模型的能力差异会让某些任务类型在备选上大面积失败，缓存结果的陈旧度会带来过期信息风险，简化流程的能力边界要提前告知客户——这些都只在演练中暴露。触发条件要写清且可自动化：是超时、错误率阈值还是护栏拦截量，人工判断永远慢一拍。降级期间的用户通知同样重要，客户宁可要一个明说「当前为降级模式」的答案，也不要一个不知情的劣质输出。与模型路由的辨析：路由是常态分发、追求效率，回退是故障兜底、追求可用，触发条件必须互斥，避免故障时两者互相抢占。国内交付语境下，回退预案常写入服务级别协议，人工兜底通道的培训与权限要一并交付，这是验收里最常被双方都漏掉的角落。