Telemetry、灰度与流量监控

先定义决策，再采集数据。每个事件应回答“谁会用它做什么决定”，否则不采集。

事件设计

使用不含直接身份信息的稳定事件名和版本化 schema。
只收必要字段；禁止把提示词、文件内容、邮箱、token 或任意错误对象直接上报。
写明用途、保存期限、访问角色、删除方式和用户控制。
在开发环境验证数据质量，并监控事件丢失、重复和版本漂移。

灰度发布

定义目标指标与 guardrail，包括错误率、延迟、成本、投诉和关键业务结果。
选择内部用户、小比例随机用户或明确分群，避免无解释的选择偏差。
部署前验证开关默认值、兼容性和紧急关闭路径。
按固定窗口观察，不因短期波动随意扩大。
达到停止条件立即回滚，记录决定与数据快照。

流量监控

同时观察访问量、来源、状态码、缓存命中、核心路径转化和异常成本。机器人流量、预取和内部访问要单独标识。告警基于用户影响和趋势，不仅基于绝对 PV。

待补内容

[ ] 定义 Agent Class 隐私友好的最小事件集。
[ ] 建立发布等级、放量间隔和回滚权限表。
[ ] 补充异常流量分类及成本保护策略。