背景：最近跟几个团队聊架构，发现一个挺有意思的分歧。同样是做内部业务系统，有的团队把 SLO 直接定到 99.99%（一年停机不超过 52 分钟），有的团队觉得 99.9%（一年 8.7 小时）对绝大多数内部系统已经绰绰有余，还有人干脆说"别定 SLO，能跑就行"。我自己在一线运维 3 年，两边都踩过坑，所以想把这个话题摊开来聊聊。
先把账算清楚（大白话版）：99.9% = 一年允许 8.7 小时停机；99.95% = 4.4 小时；99.99% = 52 分钟；99.999% = 5 分钟。注意，每多一个 9，允许停机的时间是指数级下降，但成本是线性甚至超线性上升的。
补一组我们团队实际的成本对比（脱敏后，按年度运维人天估算）：
| SLO 等级 | 典型架构动作 | 年度额外运维人天（2 人团队） | 硬件/云资源增量 | |---------|------------|--------------------------|--------------| | 99.9% | 同城双节点 + 自动重启 | ~0（基线） | +1 节点 | | 99.95% | 同城双 AZ + 健康检查 + 自动故障转移 | +15~20 人天/年（演练 + 切换脚本维护） | +1 AZ 资源 | | 99.99% | 异地双活 + 数据复制 + 切流演练 + 全链路压测 | +80~120 人天/年 | 整套异地资源（约 1.5~2× 单地） | | 99.999% | 三地五中心 + 脑裂仲裁 + 季度全链路灾备演练 | +200+ 人天/年 | 3 套完整资源 |
我见过一个不赚钱的内部工具（日均 PV 不到 500），因为 SLO 被定到 99.99%，硬生生上了异地双活，年度运维成本约 15 万，业务本身年度价值估算不到 3 万，这账怎么算都是亏的。
常见的几种分歧：
- 「一刀切派」：所有服务统一 99.99%，理由是"简单、好管理"。代价是低价值服务也被迫承担高可用成本。
- 「分级派」：按业务价值分 P0/P1/P2，P0 上 99.99%、P2 给 99% 甚至不设。代价是需要一套价值评估机制，且容易被拍脑袋。
- 「错误预算派」（SRE 那套）：用 error budget 来约束发布节奏，预算用完就停止上新功能。这套我觉得最科学，但落地需要监控和度量做得很扎实，小团队经常玩不动。
- 「不定派」：内部系统不设 SLO，出了问题再说。风险是没人对"什么时候算坏了"负责，事故复盘时扯皮。
我的倾向：分级 + 错误预算。但不是照搬 Google 那套，而是先回答一个问题——"这个系统挂 1 小时，业务上到底损失多少？" 把损失量化成钱或者用户量，再去反推需要几个 9。很多团队定 SLO 是抄来的数字，从来没算过这个账。
补一个错误预算的落地公式（小团队版本，不依赖完整 SRE 工具链）：
error_budget = (1 - SLO) × 总时间窗口
已消耗预算 = 实际不可用时长 + (错误请求数 / 总请求数) × 总时间窗口
剩余预算 = error_budget - 已消耗预算
规则：
- 剩余预算 < 50%：冻结非关键变更（新 feature、重构）
- 剩余预算 < 25%：冻结所有变更，进入"只修 bug"模式
- 剩余预算 < 10%：触发"可靠性专项"，暂停一切新功能，集中修可靠性
这个公式的好处是不需要 Prometheus + Grafana 全家桶，一个 Excel 表 + 每周 30 分钟的 review 就能跑起来。我们 3 人小团队就是这么做的，跑了 8 个月，最大的改变不是"少出了几次事故"，而是团队终于对"什么时候该停功能、修可靠性"有了共识，不用再拍桌子争论。
补一个"内部工具最低 SLO 标准"的建议：
内部工具（运维面板、CI/CD、内部 wiki 等）不需要 99.99%，但建议至少设 99.5%（一年允许 43.8 小时停机）。为什么是 99.5% 而不是"不设"？因为不设 SLO 的系统，出问题时没人能判断"这是不是事故"——运维会说"它重启了 3 次，正常"，业务方会说"我等了 2 小时才拿到结果"，最后扯皮。99.5% 的底线是：任何单次故障超过 4 小时，必须有人跟进、有记录、有结论。这个成本几乎为零（一条告警 + 一个值班响应 SLA），但能堵住"出了事没人管"的洞。
想听大家聊聊：
- 你们团队 SLO 是怎么定的？是拍脑袋还是有量化依据？
- 有没有为了"凑一个 9"而上过重设施、最后发现用不上的经历？
- 对内部工具、测试环境、实验项目，你们觉得设不设 SLO？怎么设？
- 错误预算这套在你们这儿落地过吗？卡在哪儿了？是"算不清损失"还是"算了没人认"？
- 补充一个新问题：你们有没有遇到过"SLO 定了但监控跟不上"的情况？比如 SLO 写的是 99.99%，但你们的可用性指标只精确到 99.9%（因为健康检查间隔 30s，两次检查之间挂了 25s 算不算不可用？），这种"精度不匹配"你们怎么处理的？
欢迎贴你们的实际数字（脱敏后），越具体越好，空谈意义不大。