容器编排中的异常隔离与重试边界失败类型不要混在一起超时、无效输入和下游拒绝要走不同路径。把它们都交给重试会让短暂问题变成长时间资源占用。区分格式错误、超出配额、依赖拒绝、暂时超时和内部异常。校验靠近入口不可恢复的错误立即返回不能用重试掩盖。重试有预算只对幂等且可能短暂失败的调用重试设置总时限、次数上限和退避。文档版本、索引任务、召回结果与上下文预算 的重试占用同样计入容量下游持续失败时熔断或降级。在具体链路里验证对 检索服务、知识索引与上下文编排器先选一条最短的请求或变更路径逐项核对 文档版本、索引任务、召回结果和上下文预算 的来源、所有者和生效范围。实施记录保留变更前状态、执行动作、观察结果和未覆盖条件并与构件版本和配置一同保存。开发或预发布环境可验证流程与失败语义但资源规模、访问控制和外部依赖仍要单独确认发现结果不一致时先回到输入、版本和配置差异。执行细节无效输入、超时和下游拒绝走不同分支重试仅用于幂等短暂失败且有总预算。模拟取消和慢响应检查返回类别、队列状态与资源释放。在 检索编排链路 上实施时先把这一项检查放进现有变更流程由谁提交、谁复核、失败后怎样停止或恢复。不要用一次演示代替持续验证配置、构件或依赖变化后应重跑与本篇主题有关的检查并保存与本次范围相对应的结果。隔离策略上线前检查错误不会泄露内部地址、密钥或栈信息。故障模拟覆盖重试耗尽和熔断恢复确认恢复阶段不会立即把下游重新压垮。