① 降级阶梯全景
从完整模式逐级降到最后「稍后重试」——每一级牺牲能力，保住可用性。
L0完整模式LLM + RAG + 工具全部在线
L1RAG + 工具LLM 挂 → 用缓存/检索顶替
L2大模型 + 工具RAG 挂 → 去掉检索，直接模型
L3小模型 + RAG工具挂/资源紧 → 小模型 + 检索
L4知识库查询模型全故障 → 只检索原文
L5人工客服自动全不可用 → 转人工
L6稍后重试系统级故障 → 提示稍后
② 触发阈值表：哪个组件先挂进哪一级
关键认知：L1-L3 是「哪个组件先挂就进哪一级」，不是逐级递减。
| 触发条件 | 阈值 | 降到 |
|---|
| LLM 延迟 > 5s 或成功率 < 95% | LLM 挂 | L1 |
| RAG 延迟 > 3s 或准确率 < 80% | RAG 挂 | L2 |
| 工具成功率 < 90% 或 CPU > 85% | 工具挂/资源紧 | L3 |
| 内存 > 90% | 资源耗尽 | L4 |
| 错误率 > 5% | 全面异常 | L5 |
| 网络 > 200ms | 网络问题 | L6 |
决策引擎打分法：健康度 / 成本 / 效果三个维度打分，选择总分最高的降级路径——不是「一挂就降到底」，而是「降到最合适的级」。恢复后逐级回升（L3→L2→L1→L0），不是跳级。
④ 关键认知与收束
核心认知：L1-L3 是「哪个组件先挂就进哪一级」，不是逐级递减——LLM 挂了进 L1，RAG 挂了进 L2，工具挂了进 L3。哪个先出问题从哪一级接。
恢复机制：每 30 秒健康探测，组件恢复后逐级回升（L3→L2→L1→L0），不是跳级。探测成功即回上级。
与五重预算联动：预算超限时自动触发降级（先降级再终止）——降级是「软失败」，终止是「硬失败」。
一句话：降级阶梯 = 用「能力递进损失」换「服务永不下线」——从完整智能一路退到人工兜底，每一级都是精心设计的止损点。