373 lines
12 KiB
Markdown
373 lines
12 KiB
Markdown
|
---
|
|||
|
|
title: 决策方法
|
|||
|
|
created: 2025-12-30
|
|||
|
|
updated: 2025-12-30
|
|||
|
|
tags: []
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
|
|||
|
|
tags: [architecture, decision, ATAM, ADR, tradeoff, risk, wsjf]
|
|||
|
|
created: "<% tp.file.creation_date('YYYY-MM-DD') %>"
|
|||
|
|
updated: "<% tp.file.last_modified_date('YYYY-MM-DD HH:mm') %>"
|
|||
|
|
|
|||
|
|
> 目标：让架构决策 **可解释 / 可量化 / 可追溯 / 可回滚**。
|
|||
|
|
## 1) 方法家族（知道用什么）
|
|||
|
|
|
|||
|
|
- **ATAM**：以“质量属性场景”驱动的架构权衡；产出风险/敏感点/权衡点、Utility Tree。
|
|||
|
|
|
|||
|
|
- **ADR**：单条架构决策记录；背景→选项→量化权衡→决策→回滚→验证。
|
|||
|
|
|
|||
|
|
- **Trade-off Matrix**：把可用性/成本/复杂度/交付周期等维度量化对比。
|
|||
|
|
|
|||
|
|
- **Utility Tree**：质量属性（可用/性能/安全…）→ 场景化 → 重要度×难度评分。
|
|||
|
|
|
|||
|
|
- **WSJF / CoD**：对一篮子能力排序（价值/时效/风险降低 ÷ 规模）。
|
|||
|
|
|
|||
|
|
- **风险分析**：风险登记（概率×影响）、敏感性（Tornado）、决策树（期望值）。
|
|||
|
|
|
|||
|
|
- **实验驱动**：金丝雀/灰度/A-B；以 **SLO & Error Budget** 作为放量门禁。
|
|||
|
|
|
|||
|
|
|
|||
|
|
## 2) 统一流程（Playbook）
|
|||
|
|
|
|||
|
|
1. 对齐业务目标与 **NFR/SLO**
|
|||
|
|
|
|||
|
|
2. 列出 ≥ 2 个候选（含“不做/延后”）
|
|||
|
|
|
|||
|
|
3. **Utility Tree** 场景化：重要度 (BI) × 难度 (TR)
|
|||
|
|
|
|||
|
|
4. **Trade-off** 量化：可用/性能/成本 (TCO)/复杂度/交付
|
|||
|
|
|
|||
|
|
5. 风险登记：概率×影响 + 缓解/触发器/应对
|
|||
|
|
|
|||
|
|
6. 做出决策并写 **ADR**（含回滚条件与验证指标）
|
|||
|
|
|
|||
|
|
7. 金丝雀验证 → 复盘（按月/季度迭代）
|
|||
|
|
|
|||
|
|
|
|||
|
|
## 3) 最小公式（随手可用）
|
|||
|
|
|
|||
|
|
- Error Budget（同窗） = `1 - SLO`；例：99.95%/月 ≈ **22 分钟**
|
|||
|
|
|
|||
|
|
- Burn Rate = `实际消耗 / 线性应消耗`（> 1 表示过快）
|
|||
|
|
|
|||
|
|
- 串行可用性近似：`A_total ≈ ∏ A_i`；并联冗余：`A = 1 - ∏(1 - A_i)`
|
|||
|
|
|
|||
|
|
- WSJF = `(业务价值 + 时效性 + 风险降低) / 规模`
|
|||
|
|
|
|||
|
|
- 风险评分 = `概率(1–5) × 影响(1–5)`（> 12 需强缓解）
|
|||
|
|
|
|||
|
|
- 停机成本 ≈ `分钟 × 单位损失 × 影响用户占比`
|
|||
|
|
|
|||
|
|
- 年度 TCO ≈ `计算+存储+网络+日志+监控 + 人力×系数 + 预留 10%`
|
|||
|
|
|
|||
|
|
|
|||
|
|
## 4) 权衡维度（打分建议）
|
|||
|
|
|
|||
|
|
- **可用性**（预期 SLO / RTO / RPO）
|
|||
|
|
|
|||
|
|
- **性能**（P95 / P99 目标可达性）
|
|||
|
|
|
|||
|
|
- **成本**（一次性 vs 年度 TCO）
|
|||
|
|
|
|||
|
|
- **复杂度**（开发/运维/组织）
|
|||
|
|
|
|||
|
|
- **交付周期**（从 PoC 到可用上线）
|
|||
|
|
|
|||
|
|
- **风险**（技术/合规/运营）
|
|||
|
|
|
|||
|
|
|
|||
|
|
> 建议：评分用 1（优）~ 5（差）；或直接用定量值（SLO%、$TCO、周数）对比。
|
|||
|
|
|
|||
|
|
## 5) 模板速用
|
|||
|
|
|
|||
|
|
### 5.1 Trade-off Matrix（权衡矩阵）
|
|||
|
|
|
|||
|
|
|方案|SLO/可用性|年 TCO|复杂度|交付周期|关键风险|结论|
|
|||
|
|
|---|--:|--:|--:|--:|---|---|
|
|||
|
|
|A|99.9%|$X|3|1|区域单点|过渡|
|
|||
|
|
|B|99.95%|$X+30%|4|2|跨区复制/切换|✅|
|
|||
|
|
|C|99.99%|$X+80%|5|4|一致性冲突|暂缓|
|
|||
|
|
|
|||
|
|
### 5.2 Utility Tree（简版）
|
|||
|
|
|
|||
|
|
```yaml
|
|||
|
|
availability:
|
|||
|
|
- scenario: "Region 故障 30m 内恢复"
|
|||
|
|
BI: 5 # Business Importance
|
|||
|
|
TR: 4 # Technical Risk
|
|||
|
|
performance:
|
|||
|
|
- scenario: "峰值 5k QPS P95≤250ms"
|
|||
|
|
BI: 5
|
|||
|
|
TR: 3
|
|||
|
|
security:
|
|||
|
|
- scenario: "密钥自动轮换/静态加密"
|
|||
|
|
BI: 4
|
|||
|
|
TR: 2
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### 5.3 ADR（Architecture Decision Record）
|
|||
|
|
|
|||
|
|
```markdown
|
|||
|
|
# ADR-XXXX: <标题>
|
|||
|
|
## 背景
|
|||
|
|
目标 / SLO / 约束（预算/期限/团队）
|
|||
|
|
## 选项
|
|||
|
|
A / B / C（含“不做”）
|
|||
|
|
## 量化权衡
|
|||
|
|
权衡矩阵 + TCO + 停机成本 + 风险表
|
|||
|
|
## 决策
|
|||
|
|
选择 X（理由与 SLO/成本对齐）
|
|||
|
|
## 回滚计划
|
|||
|
|
触发条件（p95>阈、burn_rate>2x…）与一键脚本
|
|||
|
|
## 验证
|
|||
|
|
金丝雀步骤、成功判据、观测指标（RED/USE）
|
|||
|
|
## 后续
|
|||
|
|
里程碑、技术债、风险缓解任务
|
|||
|
|
```
|
|||
|
|
|
|||
|
|
### 5.4 风险登记（Risk Register）
|
|||
|
|
|
|||
|
|
|ID|风险|概率|影响|分数|缓解|触发器|应对|
|
|||
|
|
|---|---|--:|--:|--:|---|---|---|
|
|||
|
|
|R1|复制延迟超阈|3|4|12|增带宽/压测|lag>15s|降级读主库|
|
|||
|
|
|R2|切流脚本失败|2|5|10|预演|回滚>5m|手动 Runbook|
|
|||
|
|
|
|||
|
|
### 5.5 WSJF / CoD（优先级）
|
|||
|
|
|
|||
|
|
|能力/改造|价值|时效|风险降|规模|WSJF|
|
|||
|
|
|---|--:|--:|--:|--:|--:|
|
|||
|
|
|自动回滚|7|9|8|4|6.0|
|
|||
|
|
|观测统一|6|8|7|5|4.2|
|
|||
|
|
|跨区主备|8|7|6|8|2.6|
|
|||
|
|
|
|||
|
|
## 6) 验证要点（决策“落地就绪”）
|
|||
|
|
|
|||
|
|
- 有 **回滚条件与脚本**（已演练）
|
|||
|
|
|
|||
|
|
- 金丝雀/灰度 **与 SLO/预算** 绑定（stop_if 明确）
|
|||
|
|
|
|||
|
|
- 成本/停机损失 **有计算来源**（表/链接可追溯）
|
|||
|
|
|
|||
|
|
- 风险登记 **有触发器与应对动作**
|
|||
|
|
|
|||
|
|
- **ADR 已归档**，并在 PR / 变更单中引用
|
|||
|
|
|
|||
|
|
|
|||
|
|
## 7) 常见反模式（避免）
|
|||
|
|
|
|||
|
|
- 只有口头结论、无 ADR / 无量化
|
|||
|
|
|
|||
|
|
- 只看一次性成本，不看年度 **TCO** 与 **停机成本**
|
|||
|
|
|
|||
|
|
- 无回滚/未演练；金丝雀只是“形式”
|
|||
|
|
|
|||
|
|
- 风险登记没有触发器，告警不连 Runbook
|
|||
|
|
|
|||
|
|
- 用平均延迟代替 P95/P99，掩盖体验尾部
|
|||
|
|
|
|||
|
|
|
|||
|
|
## 8) 记忆卡（60 秒回顾）
|
|||
|
|
|
|||
|
|
- **工具箱**：ATAM / ADR / Trade-off / Utility Tree / WSJF / 风险登记
|
|||
|
|
|
|||
|
|
- **关键四问**：值不值？做得成？能按时？出事能回？
|
|||
|
|
|
|||
|
|
- **落地三件套**：SLO & 预算门禁、回滚脚本、ADR 可追溯
|
|||
|
|
|
|||
|
|
|
|||
|
|
下面给你一份“**按实际操作最常用**”的架构决策方法清单——偏**工程落地**，少理论。每条都写**什么时候用、产出、优缺点**，最后给一套“80/20 标配组合”。
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
## 现在最常用的决策方法（工程实践版）
|
|||
|
|
|
|||
|
|
### 1) RFC / 设计提案评审（Design Doc / RFC Review）
|
|||
|
|
|
|||
|
|
- **场景**：中大型改造、跨团队影响、有外部依赖的变更。
|
|||
|
|
|
|||
|
|
- **怎么做**：一页或多页设计文档（问题→方案A/B/C→权衡→风险→回滚），线上异步评审+同步评审会。
|
|||
|
|
|
|||
|
|
- **产出**：评审结论、改动清单、遗留问题、后续指标。
|
|||
|
|
|
|||
|
|
- **优点**：共识快、成本低、适配组织协作；易留档。
|
|||
|
|
|
|||
|
|
- **缺点**：如果不强制“量化对比”，容易拍脑袋。
|
|||
|
|
|
|||
|
|
- **要点**：文档内嵌**Trade-off 表**与**回滚计划**，引用 SLO&预算。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
### 2) 权衡矩阵（Trade-off Matrix）
|
|||
|
|
|
|||
|
|
- **场景**：在 2–3 个候选架构/云上拓扑/中间件里做选择。
|
|||
|
|
|
|||
|
|
- **怎么做**：对**可用性/性能/成本(TCO)/复杂度/交付周期/风险**打分或填入实数（推荐实数）。
|
|||
|
|
|
|||
|
|
- **产出**：1 张表 + 结论 + 假设与数据来源。
|
|||
|
|
|
|||
|
|
- **优点**：直观、团队对齐快；适合管理沟通。
|
|||
|
|
|
|||
|
|
- **缺点**：维度权重主观；需配真实数据支撑。
|
|||
|
|
|
|||
|
|
- **要点**：把**SLO、停机成本、年度 TCO**放进表里，避免空话。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
### 3) ADR（Architecture Decision Record）
|
|||
|
|
|
|||
|
|
- **场景**：任何会影响系统边界/接口/成本的决定（无论大小）。
|
|||
|
|
|
|||
|
|
- **怎么做**：每个决定 1 条 ADR（背景→选项→量化权衡→决策→回滚→验证）。
|
|||
|
|
|
|||
|
|
- **产出**：可追溯的决策档案；PR/变更单引用。
|
|||
|
|
|
|||
|
|
- **优点**：治理性强、可回溯；适合审计与人员更替。
|
|||
|
|
|
|||
|
|
- **缺点**：只记录、**不替代**分析；若无模板易变成流水账。
|
|||
|
|
|
|||
|
|
- **要点**：强制包含**回滚触发条件**与**验证指标**（如 burn rate、P95）。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
### 4) 轻量 ATAM（场景化权衡）
|
|||
|
|
|
|||
|
|
- **场景**：质量属性冲突明显（可用性↔成本、性能↔一致性）。
|
|||
|
|
|
|||
|
|
- **怎么做**：把 NFR 拆成**场景**（如“Region 挂 30 分钟仍对外 99.95%”），对**重要度×难度**打分，找**敏感点/风险点**。
|
|||
|
|
|
|||
|
|
- **产出**：简化版 Utility Tree、风险/敏感点列表。
|
|||
|
|
|
|||
|
|
- **优点**：能把“质量属性”落到可验证场景。
|
|||
|
|
|
|||
|
|
- **缺点**：完整 ATAM 成本高；建议做**轻量版**（半天内搞定）。
|
|||
|
|
|
|||
|
|
- **要点**：每个场景都要有**验证口径**（数据源+SLO/阈值）。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
### 5) 实验/金丝雀 + 守护指标（Experiment / Canary with SLO Gates）
|
|||
|
|
|
|||
|
|
- **场景**：对性能、稳定性有不确定性的变更或新中间件上线。
|
|||
|
|
|
|||
|
|
- **怎么做**：5%→25%→100% 放量，**stop_if**：`P95>阈`、`错误率>阈`、`burn_rate>2x` 自动回滚。
|
|||
|
|
|
|||
|
|
- **产出**：放量对比截图/链接、是否推广的结论。
|
|||
|
|
|
|||
|
|
- **优点**：用事实说话；能避免“大爆炸上线”。
|
|||
|
|
|
|||
|
|
- **缺点**：需要可观测性底座与自动回滚脚本。
|
|||
|
|
|
|||
|
|
- **要点**：把**SLO & Error Budget**作为发布门禁，而不是“建议”。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
### 6) WSJF / RICE（优先级排序）
|
|||
|
|
|
|||
|
|
- **场景**：多项能力/改造同时竞争资源（平台建设、韧性改造、性能优化）。
|
|||
|
|
|
|||
|
|
- **怎么做**：WSJF =（价值+时效+风险降低）/ 规模；或 RICE = Reach × Impact × Confidence ÷ Effort。
|
|||
|
|
|
|||
|
|
- **产出**：有理有据的 Roadmap 排期。
|
|||
|
|
|
|||
|
|
- **优点**：跨团队对齐投资顺序很有效。
|
|||
|
|
|
|||
|
|
- **缺点**：打分主观；需定期复盘更新分值。
|
|||
|
|
|
|||
|
|
- **要点**：把**停机成本/合规风险**折算进“价值/时效”。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
### 7) 风险登记+触发器（Risk Register with Triggers）
|
|||
|
|
|
|||
|
|
- **场景**：跨区复制、数据一致性、迁移/割接、重大高风险变更。
|
|||
|
|
|
|||
|
|
- **怎么做**：列出风险，**概率×影响**评分；为每条风险设**触发器**（如 `lag>15s/10m`）与**应对动作**。
|
|||
|
|
|
|||
|
|
- **产出**：风险台账、演练计划、应对 Runbook。
|
|||
|
|
|
|||
|
|
- **优点**：让风险可运营、可预案，不是“备忘录”。
|
|||
|
|
|
|||
|
|
- **缺点**：没有触发器就会沦为形式。
|
|||
|
|
|
|||
|
|
- **要点**：触发器必须对接**告警**并链接**Runbook**。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
### 8) 成本模型 / TCO 评估（含停机成本）
|
|||
|
|
|
|||
|
|
- **场景**：云上选型、多活/主备、日志与追踪留存策略、CDN 与边缘。
|
|||
|
|
|
|||
|
|
- **怎么做**：测算**年度 TCO** + **停机成本**（分钟损失×影响用户），放入权衡矩阵。
|
|||
|
|
|
|||
|
|
- **产出**：成本对比表与单位经济性（Cost/Txn、Cost/1k req）。
|
|||
|
|
|
|||
|
|
- **优点**：管理层买单的通用语言。
|
|||
|
|
|
|||
|
|
- **缺点**：参数需持续校准；早期估算误差较大。
|
|||
|
|
|
|||
|
|
- **要点**：与 SLO 联动：**SLO 提升→停机成本下降**可抵消一部分 TCO 增量。
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
## 80/20 标配组合（推荐你实际落地就用这套）
|
|||
|
|
|
|||
|
|
> 小团队/中型组织都适用，投入小、收益高。
|
|||
|
|
|
|||
|
|
1. **RFC + Trade-off 表**（所有非小改都走）
|
|||
|
|
|
|||
|
|
2. **ADR**（每个决定 1 条，PR 必须引用）
|
|||
|
|
|
|||
|
|
3. **金丝雀 + SLO 门禁**（stop_if 自动回滚）
|
|||
|
|
|
|||
|
|
4. **轻量 ATAM**（半天工作坊：列场景→标敏感点）
|
|||
|
|
|
|||
|
|
5. **WSJF**（季度 Roadmap 排序）
|
|||
|
|
|
|||
|
|
6. **风险登记（带触发器）**（迁移/跨区/数据一致性类必配）
|
|||
|
|
|
|||
|
|
7. **成本模型**（年度复盘，纳入权衡矩阵）
|
|||
|
|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
## 一页式对照表（可贴墙）
|
|||
|
|
|
|||
|
|
|方法|典型时机|输入|产出|用时|负责人|
|
|||
|
|
|---|---|---|---|---|---|
|
|||
|
|
|RFC/设计提案|中大型变更|问题/约束/选项|评审结论 & TODO|0.5–2 天|方案 Owner|
|
|||
|
|
|Trade-off|多选其一|SLO、TCO、性能/复杂度|权衡矩阵 & 选择|1–3 小时|架构师|
|
|||
|
|
|ADR|任意决定|RFC/评审结论|可追溯记录|30–60 分钟|Owner|
|
|||
|
|
|轻量 ATAM|质量冲突|NFR 场景|Utility Tree & 风险点|半天|架构+SRE|
|
|||
|
|
|金丝雀+门禁|上线放量|SLO & Budget|对比证据/回滚与否|持续|Dev+SRE|
|
|||
|
|
|WSJF/RICE|排期取舍|候选能力列表|排序表 & Roadmap|2–4 小时|PM/架构|
|
|||
|
|
|风险登记|高风险变更|风险清单|触发器 & Runbook|1–2 小时|Owner|
|
|||
|
|
|成本模型|选型/复盘|账单/流量/人力|年度 TCO & Unit Cost|1–3 天|FinOps|
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
## 可复制的最小模板片段
|
|||
|
|
|
|||
|
|
**Trade-off（行内版）**
|
|||
|
|
`A: 99.9% / $X / 复杂度3 / 1周 | B: 99.95% / $X+30% / 复杂度4 / 2周 -> 选 B（停机成本年省≈$91k）`
|
|||
|
|
|
|||
|
|
**ADR 抬头**
|
|||
|
|
`ADR-2025-10-XX 多Region主备：选 B；回滚触发=burn_rate>2x 或 P95>+20%；验证=金丝雀 5%→25%→100%`
|
|||
|
|
|
|||
|
|
**金丝雀 stop_if**
|
|||
|
|
`["p95_ms>阈","error_rate>阈","burn_rate_any>2x"] 触发自动回滚 + 切流`
|
|||
|
|
|
|||
|
|
**风险登记一条**
|
|||
|
|
`R1 跨区复制延迟：概率3 影响4=12；触发=lag>15s/10m；应对=降级读主库 + 补偿队列；季度演练`
|
|||
|
|
|
|||
|
|
---
|
|||
|
|
|
|||
|
|
想让我把这套“标配组合”打成一份 Obsidian 模板（带 Front-matter 和 Templater 变量）吗？我可以直接给你可粘贴的文件结构和占位内容。
|