保留任务与尝试的边界

为用户任务和每次外部尝试分别保存应用侧标识、开始时间、状态与配置版本。状态至少应能表达等待、执行中、完成、失败和结果未知，不把连接断开自动映射成失败。记录结构避免持有完整用户输入和认证信息。

在可能产生外部副作用的步骤之前，保存可核验的业务状态。生成请求与后续发邮件、支付或数据库写入属于不同步骤，应分别追踪，不能因为模型输出没有送达就重复整个工作流。

先收集证据再恢复

发生中断后先检查应用日志、已保存结果、用量记录和业务操作状态，按时间线确认哪些信息确实存在。无法获得结果或用量时标记未知，不记为零费用，也不臆测请求一定没有执行。

公开状态可帮助确定同时段是否存在更广泛症状，但不能证明某个任务已经完成或未计费。必要时向支持提供脱敏时间、公开模型 ID和安全请求标识，不发送原始输入或密钥。

让恢复成为显式决策

对确认未执行的任务按已批准策略重新安排；对可能重复副作用的任务先核实业务结果，再决定是否重试。为用户展示可理解的状态与手动处理入口，避免后台静默连续重放请求。

恢复完成后核对重复结果、遗漏任务与用量差异，保留人工决策和依据。用合成故障演练“响应丢失但操作已完成”的情况，并给重试次数、总时长和预算设置上限。恢复目标是得到一致的业务状态，而不是把所有任务刷成成功。

参考资料

由 NexoToken 维护的自营资料站。平台介绍包含运营方利益关系，不构成独立第三方认证。