用途
Margin of Safety（安全边际）用于在不确定性下做出容量、超时、连接池大小、队列深度、存储、SLA、时间线或预算等承诺时，合理设定缓冲。核心规则是：当残余不确定性加上违约成本可能导致灾难性或高代价失败时，应提交一个带缓冲的数字。缓冲用于覆盖估算误差，不是懒惰的免费余量。
何时使用
- 在负载不确定下的容量、超时、池大小、队列深度、存储或 SLA 数字。
- 低估代价高昂的时间线或预算承诺。
- 扩展或恢复缓慢时的架构余量。
- 任何公开或生产承诺，且出错具有不对称下行风险。
何时不使用
- 违约可立即检测且修复成本接近零（快速自动扩展、可实时调整的限制）——静态大缓冲浪费资源。
- 缓冲成本 > P(违约) × 违约成本——应调整到合适大小或先测量，而非最大化。
- 不确定性可通过测量或查询消除——先获取真实数字。
- 停止准则/搜索预算问题——使用有限理性，而非填充。
- 参数完全已知且风险低，目标是边缘优化。
操作步骤
- 无填充的点估计：用明确单位（RPS、周、GB、毫秒）陈述基础需求，并给出置信度（高/中/低）。
- 不确定性与违约成本：列出驱动因素（峰值、增长、未知、依赖方差）。说明低估时什么会失败：中断、错过发布、数据丢失、声誉——以及失败是可恢复的还是灾难性的。
- 设定缓冲大小：对残余不确定性和风险进行乘法或加法边际，而非虚荣。典型区间（根据证据调整）：
- 已知良好、低后果：约 1.2–1.5×
- 熟悉但有未知/可逆：约 1.5–2×
- 新领域、外部依赖、SLA、不可逆：约 2–3× 当缓冲成本超过预期违约成本时，设上限或削减。
- 灾难约束：如果违约可能导致不可逆伤害，应设定缓冲使最坏合理偏差仍高于失败阈值；如果该缓冲无法承受，应改变设计（卸载、降级、分阶段），而非假装精确。
- 最强反例：挑战缓冲不足（“我们以后会扩展”）和缓冲过度（闲置成本、复杂性）。有历史记录时，优先测量后修剪。
- 承诺与监控：发布带缓冲的承诺、失败阈值，以及能证明边际过度或过薄的指标。当数字设定且可监控时停止。
输出格式
- 基础估计：…（单位，置信度）
- 不确定性驱动因素：…
- 违约成本/失败阈值：…
- 应用的边际：…×（或绝对缓冲 …）
- 带缓冲的承诺：…
- 灾难检查：通过 | 需要重新设计
- 边际成本 vs 预期违约成本：…
- 监控：指标 …；过薄如果 …；过度如果 …
验证
- 证伪：如果带缓冲的数字等于乐观点估计，则未应用边际——或者如果添加了边际但未说明违约成本，则是盲目填充。
- 停止：一旦承诺、阈值和监控存在，停止在没有新不确定性证据的情况下堆叠乘数。
- 过度应用防护：当调整免费且即时，或真实数字可廉价测量时，不要填充。不要将搜索停止与容量缓冲混淆。