现代 AI 系统的“体检表”：健康检查与回退策略为什么比单次成功更重要

很多 AI 系统在演示时看起来很顺利：请求发出去，模型返回答案，页面上出现结果。但真正上线以后，系统面对的不是一次请求，而是持续不断的请求、网络波动、模型限流、上下文过长、工具调用失败和偶发的超时。只要其中一个环节没有被观察到，问题就会从“偶发异常”变成“用户觉得整个系统不可靠”。

健康检查的作用，是把系统从“看起来能用”变成“知道自己哪里能用”。一个好的健康检查不只是访问首页，也不只是看进程是否存在。它需要分层：入口服务是否响应，鉴权是否正常，模型路由是否可用，关键依赖是否能读写，队列是否积压，失败率是否超过阈值。每一层都应该返回明确的状态，而不是把所有问题都折叠成一个模糊的失败。

回退策略则解决另一个问题：发现不健康以后怎么办。最简单的回退是换一个模型或节点；更成熟的做法是根据失败类型选择动作。比如超时可以降级到更快的模型，限流可以排队或切换备用供应商，工具调用失败可以返回可恢复的错误，内容生成失败则应该保留草稿和证据，避免把半成品发布出去。

这里的关键不是追求永不失败，而是让失败有边界。没有健康检查时，系统只能等用户投诉；没有回退策略时，系统即使知道坏了，也只能继续把请求送进同一个坏路径。两者结合起来，才会形成可运营的 AI 服务：先判断当前能力，再决定是继续、降级、重试、排队，还是停止发布。

一个实用的设计可以从三张表开始。第一张是服务状态表，记录每个节点最近一次成功、失败原因和延迟。第二张是路由策略表，定义不同失败类型的回退顺序。第三张是审计表，保存每次自动决策的输入、输出和证据。这样当系统出现异常时，团队不是靠记忆复盘，而是能直接看到哪一层先变坏、哪个回退动作生效、是否还有人工介入的必要。

AI 工程的稳定性往往不是由最强模型决定的，而是由最弱的运行环节决定的。健康检查和回退策略看起来不如模型能力耀眼，但它们决定了系统能不能每天稳定交付。对一个日更、客服、写作或自动化工作流来说，单次成功只是样板；连续健康，才是生产能力。