優雅降級（graceful degradation）

當一間餐廳的廚房被擠爆時，好的餐廳不會鎖上門把所有人趕走。它們會簡化：把菜單砍到還能快速做出來的菜、省去花俏的擺盤、或許少開幾桌——但它們持續餵飽人。這就是優雅降級（graceful degradation）：當出了差錯或負載飆高時，系統給出一個縮減但仍有用的服務，而不是整個崩塌。相反的做法，一有零件失效就整個倒下，叫做脆性故障或硬故障，而那正是優雅降級被設計來避免的。

在倉儲規模電腦裡，總有某個元件正壞著或超載，為優雅降級而設計意味著每個服務對其相依項目出狀況時都有合理的後備方案。若推薦後端太慢，頁面就顯示通用的熱門品項而非個人化的。若搜尋索引的某一片連不上，結果就帶著缺少那一片回來，而不是整個查詢失敗。若負載暴衝超過容量，系統就甩掉最不重要的工作——暫停不緊急的背景工作、回傳稍微過時的快取資料、或拿掉可選功能——以保護核心功能。關鍵的工程手法是預先決定要放棄什麼，好讓系統在壓力下從邊緣失去品質，而不是在中心失效。

優雅降級之所以重要，是因為它把故障從一道懸崖變成一道斜坡。和冗餘結合，它就是 WSC 交付高可用性的方法：冗餘讓副本存活、使單一故障看不見，而優雅降級處理那些你無法完全復原、卻仍做點有用之事的情況。使用者壓倒性地寧願現在要一個稍差的答案，也不要完全沒有答案；一個在部分停機或流量尖峰下優雅降級的服務，會在脆性服務直接黑屏的地方繼續贏得信任。

誠實的提醒：優雅降級不是自動的，也不是免費的——它必須被刻意設計，要有明確的後備、逾時與甩負載規則，而那些路徑必須被測試，否則它們在需要時不會運作。還有一個真實風險是掩蓋問題：若降級太安靜，一個服務可能表面看來好好地一拐一拐，卻悄悄端出較差的結果，所以好的系統會優雅且大聲地降級，提醒維運人員它正以縮減模式運行。