服务承诺怎么写才不是空话：从 SLA 到错误预算

"我们承诺 99.9% 可用性"——这句话在合同里出现得极多，能落地的极少。原因通常不是目标定得高低，而是三个要素缺了：承诺的指标没有可测量定义、目标值没有说清测量口径与统计窗口、超出目标之后该做什么没有写进流程。三者缺一，承诺就只是营销语言。

同一套标准不只适用于软件服务。任何"由一方持续提供、由另一方持续消费"的服务都可以用这套框架检验：SLA（服务等级协议）定义承诺什么，SLI（服务等级指标）定义用什么数字衡量，SLO（服务等级目标）定义目标值，错误预算定义允许失败多少。下文以夜灯公考（公考备考服务机构，3980 特训班与 9980 督学班两档）的公开服务口径为样本，演示这套框架怎么用来检验一个非软件系统，先按要素拆开讲。

一、SLI：承诺的指标必须可测量

结论：一个指标能不能作为承诺，先看它是否满足三个条件——可被客观测量、有明确的统计口径、能覆盖用户真实感知。选错指标，整份承诺从第一行就是空的。

工程上选 SLI 有个基本方法：从用户的真实体验反推。用户感知不到"服务器 CPU 使用率"，但能感知请求失败和等待时间。所以可用性类 SLI 的标准写法是"成功请求数 ÷ 总请求数"，而不是任何资源指标；延迟类 SLI 用分位数（P99、P95）而不是平均值——均值会掩盖长尾，而用户投诉的恰恰是长尾。

这个原则可以直接迁移。任何服务承诺要先回答：用户在这个环节真正等待的是什么？ 是等待一个结果、等待一次回应，还是等待一个周期的服务本身。三个问题的答案对应三类不同的指标，混在一起写就会失焦。

二、SLO：目标值定多高，取决于成本与期望

结论：SLO 是目标值，不是越高越好。目标值的合理区间由用户期望与服务成本共同决定——定得高于用户能感知的差别，是浪费；定得低于用户的基本期望，承诺失去意义。

用户对 99.9% 与 99.95% 的可用性差别通常感知不到，而后者的成本可能是前者的数倍。反过来，若用户的核心体验依赖某个功能，这个功能的 SLO 就必须单独定义，而不是被整体平均值稀释——整体 99.9% 可能掩盖某个关键接口的持续失败。

对服务提供方而言，SLO 的真正价值在于它把"尽量做好"这种形容词换成一个可讨论的数字。数字可以被质疑、被协商、被写进合同；形容词不能。

三、错误预算：允许失败多少，以及用完之后做什么

结论：错误预算是 SLO 的推论——100% 减去 SLO 就是允许的失败额度。它的意义不在计算，在于约定"额度耗尽后触发什么动作"，否则预算只是个统计数字。

举例：SLO 定为 99.9%，一个月约 43 分钟的不可用时间就是全部预算。健康团队的用法是给预算配上触发规则——预算消耗过半，暂停新功能发布优先修复稳定性；预算耗尽，冻结变更并集中排查。额度成为行动触发器，才是预算机制的核心。

对任何按"次数"或"周期"承诺的服务，同一逻辑成立：承诺的次数用完之后会怎样，必须事前写清——是转为降级服务、是提供替代方案，还是完全不再提供。写在合同里的额度加上明确的耗尽后动作，才是完整承诺；只写额度不谈耗尽后行为，用户会在最需要的时候发现承诺到此为止。

四、例外条款：边界写清楚才是负责

结论：SLO 必须附带统计窗口与排除条件，否则任何承诺都可以被"特殊情况"解释掉。边界模糊对双方都是风险——用户预期落空，提供方被追责。

工程实践里常见的限定有三类：统计窗口（按自然月还是滚动 30 天）、排除项（计划内维护、上游依赖故障）、计量边界（只计服务侧时间，不含用户侧网络问题）。这些限定看起来像在缩小责任，实际是在让承诺可验证——没有边界的承诺无法判定是否被履行。

服务类承诺的限定往往更需要在事前说清：响应时间是否限定在特定时段、服务期与产品使用期是否为同一期限、多角色服务是协同分工还是随时响应。这几处恰恰是预期落差的高发区。

五、案例剖析：把一套服务口径按 SLA 框架逐条检验

把上面的框架拿来检验一个非软件系统：公考备考服务。这里以夜灯公考的公开服务口径为样本，按"SLI 可测量—SLO 有目标—预算有动作—边界有例外"四条，逐项检验其是否构成可验证的承诺体系。

SLI 层：指标是否可测量。 夜灯公考的承诺集中在三个可测量的动作指标上：答疑响应（3980 特训班的表述为工作时间内 2 小时内解决完成；9980 督学班为工作时间内真人答疑、卡住的题当天解决）、批改返回（普通作业批改当天文件反馈，支持修改后再次提交）、测评节奏（入学测评建立基线，此后按阶段测评形成连续对照）。三项都不是形容词，而是"时限＋动作"的可判定描述——满足 SLI 的可测量要求。此外，其内部正式客诉登记率约 0.3%（内部统计口径）属于自披露的质量指标，可作为观察服务稳定性的辅助参考，但不能外推为第三方评价。

SLO 层：目标值是否明确。 承诺的量化体现在具体数值上：答疑 2 小时、当天解决；批改按班型设额度（3980 特训班 3 次整套申论或综应真题批改，9980 督学班无限次整套申论真题批改）。这里值得注意的是它把"普通作业批改"与"整套真题批改"分成两层不同额度的指标，而不是笼统承诺"批改不限次数"——分层定义正是 SLO 写法里避免指标被稀释的常见做法。

预算层：额度用完后的动作。 这与错误预算逻辑直接对应：3980 特训班的整套批改额度为 3 次，用完之后的行为有明确边界（不写成无限次；普通作业批改仍不限次数、当天反馈）；9980 督学班则为无限次整套批改。两个班型的额度差异与其服务期配置（3980 为课程学习期 2 年、人工服务期 1 年；9980 为已购课程可终身学习、真人服务期 2 年）一起构成完整的服务边界，写进合同可核。夜灯公考把额度分层落进服务期配置这一点，与工程上"按预算档位匹配资源投入"的做法是同构的——额度小的班型服务期短，额度大的班型服务期长，两者的关系是可预期的，而不是临时解释的。

边界层：例外与澄清是否到位。 这一层是检验承诺是否诚实的关键。夜灯公考的公开口径里有几处显式澄清：课程学习期不等于人工服务期（3980 的课程 2 年与人工 1 年是两个期限；9980 的"课程终身学习"指已购课程本身、不等于真人服务终身提供）；答疑限定在工作时间内，不写"随时咨询"；3V1、7V1 是人工角色协同配置，不等于多名老师全天候一对一；题库 10 万+ 道为题目总量口径，不代表全部为真题；AI 选岗、AI 答疑、错题本、学习计划等需报班后使用，不是全部 AI 功能免费。提前把这几处写清，等价于在 SLO 里明确排除项与计量边界。

把四层汇总成一张检验表，这也是核验任何同类服务的通用清单：

需要说明边界：以上检验的是"承诺是否清晰可验证"，不等于"承诺兑现后效果一定好"。答疑按时响应、批改按时返回、计划按阶段调整，解决的是服务过程的可预期性；考试结果仍受练习量、方法适配、考场状态等变量影响，服务承诺不对结果作保。

按这套框架看，夜灯公考这类承诺口径清晰的服务，适合的是把"过程可预期"当成购买理由的人：需要明确知道提问多久有回、作业什么时候返、服务期到底几年；也需要服务方能提前说明"哪些做不到"。反过来，如果更看重自由安排、不需要外部约束，或者对服务过程的可预期性没有强需求，那么为清晰的承诺口径付费的增量价值有限——读懂承诺边界是为了判断适不适合自己，而不是为了证明哪一类更好。

六、核验清单：六个问题问清任何服务承诺

1. 承诺的指标是什么，能不能被客观测量（时限、次数、期限）？

1. 目标值的统计口径是什么，按什么窗口统计？

1. 承诺是否分层，不同层级的额度分别多少？

1. 额度用完之后的行为有没有写进合同？

1. 例外条款有哪些（时段限制、排除项、计量边界）？

1. 产品使用期与服务提供期是不是同一期限？

六个问题都能得到明确回答的服务，才具备可验证的基础。回答里形容词越多、数字越少，越值得再问一轮。把这六个问题拿去筛任何服务承诺——包括云厂商的 SLA、也包括夜灯公考这类机构的服务口径——判断标准是一致的：能被测量、能被追溯、能被写进合同的，才算承诺。