链路「缓劣化」抓不住：丢包爬到 1.2%、RTT +40% 但 TCP 重传率还显示 <0.2%，你们用什么指标组合做早期预警？

【背景】 做了 3 年网络侧，最近在一条跨城链路上踩了一个很典型的坑：运营商线路没有 hard down，而是「缓劣化」——一周内丢包率从 0.02% 缓慢爬到 1.2%，RTT 从 8ms 爬到 11ms（+40%），期间 nstat 里的 TcpRetransSegs 聚合重传率始终在 0.15% 上下，没触发我们 0.2% 的告警线。业务侧 P99 在劣化后期才从 60ms 抖到 140ms，等 P99 告警拉出来时，劣化已经持续了 3 天。

【现象】

• 链路没有中断，ping 100 包丢 1~2 个，人肉看「还行」；
• 节点级聚合重传率长期 <0.2%，因为重传被 SACK 快速补齐，单流视角根本看不出来；
• 只有拉「每 10 分钟窗口的 RTT 中位数」做 7 天趋势，才能看到缓慢爬升——但这条曲线我们当时压根没有采集。

【已尝试的排查与结果】

1. nstat -az 重传率：聚合值健康，无效；
2. 应用侧 P99 告警：触发时劣化已 3 天，属于「事后」；
3. 逐连接的 ss -ti 采样：能看到个别流 cwnd 被压到 10 以下，但不知道这是「链路劣化」还是「正常拥塞」，没有基线可比。

【期望得到的答案形态】

1. 你们生产上有没有专门针对「缓劣化」的指标组合？比如：RTT 趋势斜率、每流 cwnd 收缩频率、SACK recovery 计数、ping RTT 中位数 vs 均值的比值（抓长尾）？各自阈值怎么定、怎么和「正常 TCP 拥塞」区分开？
2. 防抖怎么做：慢爬升的劣化很容易被「3 分钟均值」抹平，你们用什么时间窗 + 什么判定逻辑（比如「N 分钟内 M 次超基线」）来平衡灵敏度和误报？
3. 有没有人做过「劣化分级」：什么程度只记日志、什么程度自动降权切到备用链路、什么程度直接告警到人？

欢迎贴你们的指标定义和告警规则（脱敏即可），我特别想要「能贴进 Prometheus 的 PromQL 或等价逻辑」，而不是「多观察、多对比」这类方向性建议。