Reliability 与 Human Control

把 timeout、retry、idempotency、limiting、degradation、HITL 与 guardrails 组织成可靠性控制面。

推荐阅读顺序

1. 一次 Run 的时间预算怎么传下去：Timeout、Deadline 与 Retry 分类

回答：端到端 deadline 怎样分配给模型、Tool 和 retry attempt，哪些错误才有资格进入 retry？

2. 重试怎样避免放大故障：Backoff、Retry Budget 与 Idempotency

回答：当重试不可避免时，backoff、retry budget 和 idempotency 怎样共同防止流量放大和副作用重复？

3. 如何限制重复和过载：Dedup、Rate Limit 与 Concurrency Limit

回答：Dedup、Rate Limit、Concurrency Limit 分别限制什么维度，为什么不能互相替代？

4. 下游故障后怎么继续服务：Circuit Breaker 与 Graceful Degradation

回答：下游持续失败时，Circuit Breaker 何时 open / half-open，系统又该降级到什么可接受能力？

5. Human Control 如何跨进程工作：HITL、Interrupt、Approval 与 Resume

回答：人工审批可能跨分钟甚至跨进程，Runtime 怎样持久化 interrupt / approval 并在 resume 时防止参数漂移？

6. Guardrails 能管什么、不能管什么：Input、Output 与 Tool Checks

回答：Guardrail 应该检查哪些 input / output / tool action，为什么它不能替代 capability、authorization 和 sandbox 这类强边界？

本模块学习边界

• 暂不展开：DB/Outbox crash consistency 在 W9；Queue redelivery/worker ownership 在 W10