14-EFT.WP.Methods.Inference v1.0 | 第13章 变更管理与灰度策略

目录 ／ 文档-技术白皮书 ／ 14-EFT.WP.Methods.Inference v1.0

第13章 变更管理与灰度策略

I. 范围与目标

• 定义推理系统在多通道 canary/stable/LTS 下的版本治理、灰度发布与回退剧本；将模型与管线变更约束在可控爆炸半径与可验证证据内，确保 SLO、校准与一致性不劣于基线。
• 对接第9章卡片与签名（IPC/PC,fingerprint,anchor）、第10章运行与告警（TS.*）、第12章验收（Mx-41 → Mx-44）与第11章跨设备证书 CertEq，提供端到端变更工作流与门限策略。

II. 术语与符号

• 版本与通道：ver = major.minor.patch；channel ∈ {canary, stable, LTS}；通道切换以 Gate 控制（见第12章）。
• 灰度权重与环：q ∈ (0,1] 为流量占比；环集 R = {R0, R1, R2, R3} 表示内部→区域→全域的渐进人群或站点。
• 双跑与影子：shadow（只推理不出分）、double-run（A/B 同步推理）；对照基线 A 与候选 B。
• 比对度量：delta_AB = E_{D}[ L( y, y_hat_B ) - L( y, y_hat_A ) ]；p_fail = P( delta_AB > tau_noninf )（由 bootstrap 估计）。
• 爆炸半径：blast = q * N_active；预算 budget.blast。
• 兼容旗标：flag.compat，flag.schema_guard，flag.kill_switch；迁移窗口 [ts_start, ts_end]。
• 回退锚：anchor_prev，anchor_curr；回退目标 anchor_target = anchor_prev。

III. 公设与最小方程

• P41-91 通道-稳态公设
  在 EnvLock、固定 IPC/PC 与锁定 rng.seed 下，stable 通道的长期指标满足已宣告 SLO，且任何进入 stable 的版本必须满足 Gate = true 与 score_LCB >= score_base - tau_noninf（见第12章）。
• P41-92 灰度-安全公设
  灰度过程任一时刻满足：blast <= budget.blast 且 TS.error <= tau_error 且 TS.latency_{p99} <= tau_p99；否则立即触发 flag.kill_switch。
• S42-91 流量推进律
  若在环 Rk 的观测窗口 W 内满足
  p_fail <= alpha_gate 且 TS.error <= tau_error 且 ECE_T <= tau_cal 且 delta_offon <= tau_cons，
  则下一步流量
  q_{t+1} = min( q_t * ( 1 + g ), q_t + s_max, q_cap )，
  其中 g 为增长系数，s_max 为单步上限，q_cap 为环上限或全域上限。
• S42-92 双跑非劣判定
  H0: delta_AB <= tau_noninf；以分层 bootstrap 估计 p_fail = P( delta_AB > tau_noninf )；接受条件 p_fail <= alpha_gate。
• S42-93 兼容迁移约束
  架构/特征变更需同时满足 schema_in^{new} 兼容 schema_out^{old}，并在迁移窗口内保持 flag.compat = on；违反则 Gate = false 并强制回退。

IV. 数据与清单口径

• 发布单必含：ver, channel, anchor_curr, anchor_prev, ring_map:R→{q_cap}, s_max, g, W, alpha_gate, tau_noninf, tau_error, tau_p99, tau_cons, tau_cal, budget.blast。
• 指标采集：对每环 Rk 采集 TS.latency_{p95,p99}, TS.thrpt, TS.error, ACC/AUC/NLL, ECE/MCE, cost.per.req, power.avg, delta_offon, delta_dev，并输出 CI_{1-delta}。
• 追溯：所有灰度批次写入 fingerprint，并绑定 PlanId, GateDecision, reasons；hash(·) 脱敏样本轨迹。

V. 算法与实现绑定

1. 新增原型
   • I40-70 plan_rollout(spec:dict) -> RolloutPlan
   • I40-71 run_shadow(rtA:Runtime, rtB:Runtime, stream:any, W:any) -> ShadowReport
   • I40-72 split_traffic(router:any, q:float, ring:str) -> Ack
   • I40-73 compare_streams(repA:any, repB:any, policy:dict) -> {delta_AB:float, p_fail:float, CIs:dict}
   • I40-74 adjust_canary(plan:RolloutPlan, obs:dict) -> {q_next:float, ring_next:str}
   • I40-75 trigger_rollback(anchor_target:str, reason:str) -> Ack
   • I40-76 freeze_channel(channel:str) -> Ack
   • I40-77 write_changelog(ver:str, changes:list, impacts:list) -> LogRef
2. 伪代码（摘要）
   • plan = I40-70(spec)；锁定 EnvLock 与 IPC/PC。
   • I40-71 运行影子，若 p_fail > alpha_gate → 终止。
   • 初始化 ring = R0, q = q0；循环：
     1. I40-72(router, q, ring)；观测窗口 W 聚合 metrics；
     2. stats = I40-73(repA, repB, policy)；
     3. 若任一 TS.* 或 ECE/MCE 或 delta_offon 越界 → I40-75；
     4. 否则 step = I40-74(plan, stats)，推进 q, ring；
     5. 达到 R_last 且 q = 1.0 → 结束；
   • I40-77 记录变更；stable 切换后 I40-76("canary") 冻结。

VI. 计量流程与运行图

1. Mx-45 版本分级与通道绑定
   依据变更类型映射策略矩阵：
   • major：需要 Mx-41 → Mx-44 全验收、全量影子、环推进 R0→R3、flag.compat 强制开启。
   • minor：影子 + 小步 q 推进；限定 schema 不破坏；可选 flag.compat。
   • patch：快速灰度或蓝绿切换；仍需 TS.* 守护。
2. Mx-46 影子与双跑
   以生产同源流执行 I40-71，构建 delta_AB、p_fail 与 CI_{1-delta}；若通过，进入首环 R0。
3. Mx-47 环推进与门限守护
   采用 S42-91 推进律；每步校验 SLO、校准 ECE_T、一致性 delta_offon、跨设备 delta_dev 与成本上界。
4. Mx-48 灰度完成与稳定化
   达标后切换 channel = stable；在观测窗口内持续监测回归；若触发异常，执行 Mx-49。
5. Mx-49 回退与复位
   调用 I40-75(anchor_prev)；恢复 router 权重，置 flag.kill_switch = on；在 R0 先行验证再重启灰度或冻结至 LTS。

VII. 验证与测试矩阵

• 推进安全性：任一 Rk 下 Pr( TS.error > tau_error ) <= alpha_gate；以时间块 bootstrap 构建上界。
• 非劣功效：p_fail 在各环均不超过 alpha_gate；若 power < 1 - beta_err，扩大 W 或暂停推进。
• 兼容与回滚演练：在沙箱与预备区域验证 flag.compat 开关与 I40-75 可在 T_recover <= tau_recover 内完成。
• 校准守护：温度缩放后 ECE_T 与 MCE 在灰度全程不劣于基线 ECE_base。
• 一致性联检：delta_offon <= tau_cons，delta_dev <= tau_dev 且 CertEq 有效。
• 成本与能耗：cost.per.req, power.avg 维持在 tau_cost 内，且不与时延目标冲突。
• 审计复现：基于 fingerprint, anchor 重放单步推进与 Gate 决策，输出等价 reasons。

VIII. 交叉引用与依赖

IX. 风险、限制与开放问题

• 指标波动与同时门限的冲突可能导致推进震荡；建议对 TS.latency_{p99}、TS.error 使用分位稳健估计与滞后推进。
• 隐性数据漂移在小 q 下难以显现；应结合分层抽样与敏感人群放大测试。
• 架构级变更（特征/模式/算子族）即便通过影子，也可能在负载峰值下触发资源争用；需并发压测联动。
• 多站点时延异质性影响 SLO 合成；应在 Rk 内按站点权重聚合并设站点级回退闸。

X. 交付件与版本管理

1. 交付件
   • RolloutPlan.yaml（Mx-45 输出：环定义、q 序列、门限、预算、回退目标）。
   • ShadowReport.json（Mx-46 输出：delta_AB, p_fail, CIs）。
   • RingMetrics.csv（各环 TS.*/ACC/NLL/ECE/MCE/cost.* 与 CI_{1-delta}）。
   • GatePolicy.json（推进律、alpha_gate, tau_* 与 kill_switch 条件）。
   • RollbackPlaybook.md（I40-75 程序、T_recover 与演练记录）。
   • ChangeLog.md（语义化版本、影响面与父指纹 PC.meta.parent_fingerprint）。
   • CertEq.pdf（若跨设备变更，附更新证书）。
2. 版本与通道策略
   • major 必须先进入 canary，完成 Mx-41 → Mx-49 全链路后方可切换 stable，并在一个观测周期内同步更新 LTS 兼容旗标。
   • minor 允许跳过部分环，但不得跳过影子与至少一环真实流量验证。
   • patch 可蓝绿切换，但必须保留 holdback 与 kill_switch。
   • 任一回退均应生成新条目并刷新 AnnBundle 与 ArchiveReceipt（见第12章）。