先关再灰度
部署变更但开关关闭。新代码在生产但未激活。分步灰度：一、五、二十、五十、一百。每步盯 SLO 一个完整窗口。
flag set new-checkout --percent 1违约即瞬杀
任一步错误率上升即瞬杀开关。杀是一行命令而非部署。在关闭的安全态调查，而非火中取栗。
清理
开关到一百并保持整窗口后，移除开关与旧代码路径。永久残留的开关是技术债。清理是独立部署，使窗口内回滚仍可用。
验证
开关到一百或被杀，每完成步骤 SLO 达标，整窗口后移除开关。首步选百分之一跑一天，使坏变更影响少且可见周模式。到一百后跑满整窗口再清理，覆盖仅在满量运行的周批量路径。每步设明确通过条件与观察时长，避免凭感觉推进；杀开关后应在关闭安全态调查根因，而非在压力下继续猜测。