System-design

错误分类（确定性 vs 瞬时）→ 确定性错误回传模型自我修复、瞬时错误指数退避+随机抖动重试 → 多次失败熔断 → 按能力等级优雅降级（备用工具 / 业务降级 / 转人工）。模型侧另需识别「API 返回成功但业务结果错误」的潜在失败，并在切换备用模型后持续评估。