一种显式状态
降级运行模式是系统有意提供更少能力的具名运行状态：只读访问、缓存结果、关闭导出，或由单个区域服务全球流量。关键词是“有意”。碰巧返回错误的系统是损坏的；处于降级模式的系统有已知范围、已知负责人和计划。命名该状态能让响应者清晰沟通，并防止临时改动。
进入状态
进入应是有标准的决策，而不是条件反射。典型触发包括依赖故障、持续过载、区域失败或需要冻结写入的数据不一致。运行手册列出要关闭哪些功能开关、按什么顺序以及用户会看到什么。记录时间、触发条件和操作者。如果进入是自动的，要保留手动覆盖和审计轨迹。
在降级中运行
降级期间更密切监控剩余关键路径。确认降级确实保护了瓶颈：如果结账仍压垮数据库，关闭推荐并没有帮助。留意二次故障：队列填满、缓存过期、批次堆积。支持团队需要针对用户可见症状的脚本，状态沟通应说明哪些功能仍可用，而不只是哪些坏了。
退出与测试
提前定义退出标准：依赖持续健康一段时间、队列深度恢复正常、复制追平、错误率回到目标内。逐步重新启用功能并观察第二波负载。常见失败是降级模式被启用数周，悄悄损失收入和信任。要指定明确负责人和复审日期。在演练和故障注入中排练降级模式，验证功能开关可用、界面能解释限制、指标能区分降级流量和失败。例如，航空公司可以在恢复写入时按受控顺序让订票站点保持只读。