11.4 发布、灰度与风险控制

先给结论：RAG 上线最大的风险不是“答错一次”，而是“在不可控的情况下规模化答错”。所以发布、灰度和回滚必须成为系统能力，而不是上线后的临时补丁。

这部分讨论的不是“怎么让效果更好”，而是：

• 如何让每次升级都可验证、可控、可回退

学这一节时，最值得先建立的判断

• 灰度发布是风险控制，不是性能优化
• 回滚能力是生产级系统的最低门槛
• 关键风险不止在模型，还在权限、时效、检索策略和索引版本

这一节会回答什么问题

• RAG 检索策略升级时如何做灰度发布？
• 模型、Prompt、索引升级时如何做回滚？
• 企业落地 RAG 时最常见的风险是什么？
• 冷启动阶段没有日志、没有评测集时，系统该如何起步？

读完这一节后，你最好能更稳地判断：

• 不同升级类型应该如何设计灰度和回滚
• 企业落地时哪些风险最需要优先防控
• 冷启动阶段如何建立最小可用的风险控制机制