核心模型供应商发生数小时故障，你会怎样设计用户可见的降级方案，既保持服务又不制造隐性质量风险？
考察说明
考查 AI 服务中断时的产品连续性设计。
回答思路
- 按任务必要性和风险预先定义降级等级，普通生成可排队或切换，经验证的低风险任务才允许使用备用模型。
- 备用模型必须经过相同任务和安全回归，若能力、知识或格式不同，要明确收窄功能而非静默假装完全等价。
- 对自动执行、金额和外部发送等高风险动作暂停或转人工，不能为了可用率让未验证模型获得生产权限。
- 界面说明当前受影响能力、已提交任务状态和预计下一步，允许用户取消、稍后通知或选择人工路径。
- 保留故障期间的模型、版本和降级原因，恢复后谨慎处理积压任务，避免重复执行和瞬时容量冲击。
- 演练并衡量故障检测、切换、数据一致性和用户任务恢复时间，用真实结果更新分级和沟通模板。