降级路径与失败设计

一句话定义

失败设计要求为每类可预见的失败（超时、质量不达标、安全拦截、上游故障、成本熔断）预先定义降级阶梯——换小模型 → 规则/模板 → 排队 → 转人工 → 诚实下线，并配好用户文案与监控告警。

为什么重要

AI 产品的失败是常态而非异常：模型超时、幻觉拦截、API 限流每天都会发生。失败设计的差距不在「会不会出错」，而在出错那一刻用户体验是「优雅降级、信任犹在」还是「白屏卡死、当场卸载」。降级方案缺失也是 PRD 评审中最常见的打回理由（kp-011 第 5 章）。

前置知识

kp-015 不确定性交互（降级文案是置信度话术的延伸）。

核心概念

• 五级降级阶梯：①模型降档（大模型换小模型或低温度重试——质量略降但可用）；②规则兜底（模板、关键词、缓存的历史答案——确定性替代概率性）；③排队与限流（高峰期进入队列，明示等待）；④转人工或替代流程（AI 顶不上时回到旧世界的通路必须常在）；⑤功能诚实下线（依赖的上游彻底不可用时，明确告知而非静默挂掉）。
• 失败模式清单（模板）：模型超时/限流、输出质量不达标（校验不通过）、内容安全拦截、检索空结果、上游 API 故障、成本熔断触发、输入超长或空。每一行必须填四列：检测方式 → 自动动作 → 用户文案 → 告警与记录。
• 降级文案三原则：说人话（「这条回复没把握，已为你转人工」而非「error code 429」）、给出路（下一步怎么办）、不甩锅（不指责用户输入）。
• 静默降级 vs 显式降级：后台无感功能（排序、纠错）可静默；用户主动发起的功能必须显式——静默给出低质结果是最伤信任的失败方式。

原理与机制

降级阶梯的排序逻辑是概率性与确定性的互换顺序：优先用「更弱的概率性」（小模型）保住体验形态，其次才换成「确定的低配」（规则模板），因为用户对「粗一点的结果」容忍度远高于「没有结果」。转人工之所以排在规则之后，是因为它代价最高但确定性最强，是最后的人类兜底。检测先于动作——每种失败都必须有可观测信号（超时计数、安全拦截率、校验失败率、成本水位），否则降级触发不了、复盘无从谈起，这也是失败清单与 kp-022 监控指标一一对应的原因。

公式或模型

不适用——设计清单类内容；触发的量化阈值（超时秒数、成本水位）在 kp-022 与 kp-025 中定义。

图示

实例或案例

某「AI 客服」的上线的第一周事故：模型厂商接口故障 40 分钟，因未建降级阶梯，用户看到的是无限转圈，客服热线被打爆。复盘后补齐：主力模型不可用自动切换备用厂商（①档跨厂商版）、仍失败切换 FAQ 关键词匹配（②档）、全部失败时展示「转人工」按钮（④档），并把「降级触发率」加入值班告警。下次同类故障 30 秒内完成切换，用户几乎无感——同一事故，失败设计前后的体验差距就是产品差距。

常见误区

• 只测 happy path：开发与评测都跑正常流程，第一次真实故障暴露全部缺口；失败模式清单应在 PRD 期就逐行验收（可用故障注入测试）。
• 静默吐低质结果：为保「可用率」指标把拦截内容换成含糊回答，用户感知到的是「AI 在胡说」而非「系统在兜底」。
• 降级后不回流：降级触发的 case 没有进 badcase 队列（kp-023），同样的失败每天重演。

直观类比

降级阶梯像客机起飞前确认的备降方案：先试备用跑道（小模型），再试临近机场（规则兜底），油量告急就迫降并通知乘客（转人工/告知）。没有备降方案的航班不是不能飞，是不该起飞。

自测题

1. 为什么「换小模型」排在「规则模板」之前？

要点：保持概率性体验形态的连续性，用户对「粗一点」的容忍高于「换一种完全不同的结果」；规则兜底是确定性最后的底。

1. 什么情况允许静默降级？

要点：后台无感功能（排序、纠错、分类）可静默；用户主动发起的功能必须显式告知，静默低质最伤信任。

1. 失败清单为什么必须先有「检测」列？

要点：无法观测的失败无法触发降级也无法复盘；检测信号同时是 kp-022 告警与 kp-023 归因的输入。

与其他知识点的关系

每行失败清单是 kp-011 PRD 交互章的标准素材；降级触发的案例进入 kp-023 badcase 闭环；成本熔断的水位设计依赖 kp-025 的成本模型；拒答话术与安全拦截的评测在 kp-024。

延伸阅读

• 《设计心理学》，Don Norman——容错设计与反馈原理。