降级不是“提示失败”

智能问答应用的可用性取决于异常处理。常见异常包括：

• 请求超时
• 断网或证书异常
• 服务端 5xx
• 用户触发频控
• 模型返回不完整或解析失败
• 知识库证据不足

三层降级

1. 模型层降级：主模型失败后可切换备用模型，但错误必须进日志。
2. 产品层降级：无法生成答案时返回推荐问题、站内搜索结果或文档入口。
3. 用户层降级：明确告诉用户可以重试、换问题或稍后再来。

不要做的事

• 不把所有异常都写成“网络异常”。
• 不自动无限重试。
• 不在错误信息里暴露密钥、内部路径或数据库细节。
• 证据不足时不要编造来源。

我的三条实现原则

第一，错误分类先于提示文案。第二，可重试请求必须有幂等标识。第三，每次降级都要写入日志，否则只是把问题藏起来。