# 服务状态与承诺

这一页说明平台怎么衡量自己的服务、出了事故你会收到什么通知，以及私有化部署时双方各负责什么。

> **注意**
>
> 本页是服务说明，不是协议。可用性、响应时间和补偿的具体数字以你签署的服务协议为准。

## 实时状态

> **状态页**
>
> 公开的实时状态页上线后，地址会公布在这里。在此之前，维护和事故都通过平台公告通知你，见下方「维护与事故通知」。

## 衡量什么

平台为下面几项服务设了内部目标，按 30 天计算，用于发现问题、触发告警。

| 项目 | 怎么量 | 目标（30 天） |
|---|---|---|
| 可用性 | 公共入口的请求里，平台返回服务端错误的比例 | ≥ 99.9 % |
| 登录 | 登录请求里，平台返回服务端错误的比例（密码错误这类你这边的错误不算） | ≥ 99.9 % |
| 草稿应用 | 应用草稿的请求里，返回服务端错误的比例（含应用自己的失败） | ≥ 99 % |
| 接口响应时间 | 公共入口 95 % 的请求在多长时间内完成（不含流式和长连接请求） | ≤ 300 ms |
| 草稿应用响应时间 | 应用草稿的请求，95 % 在多长时间内完成 | ≤ 2 s |
| 审计写入 | 审计记录写入失败的次数；99 % 的写入在多长时间内完成 | 0 次失败；≤ 250 ms |

审计写入的目标是零失败：审计记录写不进去时，对应的操作会直接失败，不会出现「做了但没有记录」的情况。

> **提示**
>
> 上表是平台内部用于告警的目标，不是对你的可用性承诺。对外的可用性承诺见下方「可用性承诺」。

## 可用性怎么量

对外的可用性数字只以**外部拨测**为准：

- 拨测从生产环境之外发起，放在与生产环境不同云厂商、不同地域的独立机器上。生产环境整个不可用时，拨测仍然在运行，仍然能报警。
- 拨测每分钟访问一次产品入口和登录页，每 5 分钟检查一次服务版本，每天检查一次证书是否快到期。
- 拨测要求至少从两个地域发起。
- 连续失败的分钟数计为不可用时间。

以下情况不计入不可用时间：

- 提前公告的维护窗口。
- 你自己的网络或终端出现的问题。
- 你接入的第三方服务本身出现的故障，例如你自带的模型、自带的存储、企业微信等。

## 可用性承诺

- **SaaS**：先按外部拨测测量满 90 天，再对外给出可用性承诺。单机形态的首个承诺不超过 99.5 %。承诺值和未达标时的补偿写在服务协议里。
- **私有化部署**：不承诺可用性百分比，见下方「私有化部署」。
- **数据持久**：只承诺实测过的恢复点和恢复时间，前提是你已开启备份，并把密钥离开主机另行保存。

## 维护与事故通知

平台通过**公告**通知你维护窗口、变更和事故。公告分三级：

| 级别 | 能不能关闭 |
|---|---|
| 一般 | 可以关闭 |
| 警告 | 可以关闭 |
| 严重 | 不能关闭 |

公告在这些地方显示：

- **工作台**：页面最上方，不论你打开的是哪一栏。
- **我的组织**：组织管理员打开组织管理时可见。

每条公告有开始和结束时间：到开始时间出现，到结束时间自动消失。

- **计划维护**：提前公告，提前多久写在服务协议里。
- **事故**：发生事故时，平台向组织发布严重级的事故公告，恢复后更新。

## 问题分级

| 级别 | 定义 |
|---|---|
| P1 | 全部用户无法使用，或者数据存在丢失、泄露的风险 |
| P2 | 登录、草稿应用、助手这类核心功能，对部分用户不可用 |
| P3 | 非核心功能故障，有绕行办法 |
| P4 | 使用咨询、小缺陷、改进建议 |

各级的首次响应和处理时间写在服务协议里。

## 发生事故时

1. **定级**：值班人员按上表定级，指定一位负责人。
2. **通知**：向组织发布严重级的事故公告。
3. **止血与恢复**：先止住影响，再恢复服务。
4. **复盘**：P1、P2 事故在恢复后 5 个工作日内写复盘报告，内容包括时间线、影响、根因和行动项。

已发布的事故记录见[事故记录](/status/incidents)。

## 私有化部署

私有化部署时，机房、网络、主机和数据库都在你手里，所以厂商不承诺可用性百分比。厂商承诺的是响应时间、补丁节奏和版本支持窗口，具体写在服务协议里。

| 厂商负责 | 你负责 |
|---|---|
| 提供版本、补丁和升级工具 | 按版本与升级政策，在支持窗口内升级 |
| 提供巡检命令，并分析你发回的巡检报告 | 定期运行巡检，把报告发给厂商 |
| 提供备份工具和恢复演练脚本 | 开启备份；把备份密钥和解封密钥离开主机另行保管；定期做恢复演练 |
| 远程支持（需要你批准、有时限、只读、全程审计、可随时撤销） | 在需要时批准支持访问 |
| 告警规则与仪表盘 | 把告警接到你的值班渠道 |

平台随附的告警规则出厂时不发给任何人，部署后要由你接到自己的值班渠道，配置方法见部署手册中的监控与告警一章。