AI流程异常处理包括哪些类型，如何按可恢复程度分类

AI流程异常处理指AI参与执行的研发流程在运行中偏离预期时，从识别、拦截到处置、恢复的一整套动作。它包含两条分类主线：按发生环节分为输入与上下文、模型输出、工具与接口调用、流程状态与编排、权限与合规、资源与时限六类；按可恢复程度分为可自动重试恢复、可修正后继续、需人工介入恢复、不可恢复需回退四档。实际处置时先定位异常类型，再判断恢复档位，据此选择重试、修正、转人工或回退。

要点总览（TL;DR）

• AI流程异常处理指AI参与执行的研发流程偏离预期时，从识别、拦截到处置、恢复的完整动作，覆盖运行中的偏离而非流程设计本身。
• 按发生环节分为六类：输入与上下文异常、模型输出异常、工具与接口调用异常、流程状态与编排异常、权限与合规异常、资源与时限异常。
• 按可恢复程度分为四档：可自动重试恢复、可修正后继续、需人工介入恢复、不可恢复需回退，分别对应重试、修正、转人工、回退四类处置动作。
• 判定顺序从轻到重：先看是否瞬时故障，再看输入或状态能否修正，再看是否涉及业务判断与权限，最后看影响是否不可接受，顺序颠倒会放大风险。
• 人工兜底只是四档中的一档，把所有异常交给人工或都交给自动重试，都会拉长恢复时间或掩盖真实问题。

AI流程异常处理的直接答案

AI流程异常处理的作用范围，是AI参与判断、生成或调用工具的流程环节。当模型输出、工具返回或流程状态与预期不一致时，系统需要先识别异常，再决定由谁、用什么动作把流程带回可继续的状态。它处理的是运行中的偏离，覆盖从发现到恢复的完整闭环。

按发生环节，异常可分为六类：输入与上下文异常、模型输出异常、工具与接口调用异常、流程状态与编排异常、权限与合规异常、资源与时限异常。这一维度回答“问题出在哪一环”，便于定位责任环节和修复对象。

按可恢复程度，异常分为四档：可自动重试恢复、可修正后继续、需人工介入恢复、不可恢复需回退。这一维度回答“这次偏离能不能救、要花多大代价救”，直接对应处置动作。

两层分类配合使用：先按发生环节定位异常来源，再按可恢复程度判断处置方式。同一类异常可能落在不同档位，例如工具调用超时若为瞬时抖动属于可自动重试，若连续超时且下游服务不可用则升级为需人工介入。下表给出常见对应关系，实际判定仍以具体条件为准。

发生环节	典型表现	常见可恢复档位
输入与上下文	资料缺失、格式不符、上下文超长	可修正后继续；资料无法补齐时需人工介入
模型输出	格式不合规、内容偏离任务、置信度低	可修正后继续；多次修正无效转人工
工具与接口调用	调用失败、超时、返回结构变化	瞬时故障可自动重试；持续失败需人工介入
流程状态与编排	步骤跳过、状态不一致、重复执行	状态可回滚时可修正后继续；否则回退
权限与合规	越权访问、敏感数据触碰	需人工介入恢复；不可恢复需回退
资源与时限	配额耗尽、排队超时	等待后重试；超出时限需人工介入

定义与边界：哪些算AI流程异常，哪些不算

本文关注的是AI参与执行时的异常。判断标准是流程中是否存在模型判断、内容生成或由AI发起的工具调用。纯人工流程中的操作失误、纯规则脚本中的语法错误，不属于本文讨论对象。

确定性规则自动化中的报错处理归研发流程自动化主题。例如定时任务因脚本异常退出、条件分支配置错误导致流程走错，这类问题由规则和配置决定，排查手段是日志与配置核对，与模型输出的不确定性无关。

MCP等接口连接本身的配置与联调归开放接口与扩展开发主题。连接建立阶段的鉴权配置、参数映射、联调排错属于集成开发工作；本文讨论的是连接已经可用之后，运行期调用返回异常时的处置。

异常处理与异常预防、异常监控也有分工。预防是在流程设计阶段加约束和校验，监控是运行中发现并通知，处理是在异常发生后执行处置并确认恢复。三者衔接但交付物不同，本文聚焦处理环节。

• 纳入：模型生成结果格式不合规、工具调用返回异常、流程状态与预期不一致、AI执行触碰权限边界。
• 排除：纯规则脚本报错、接口连接的配置与联调、监控告警工具自身的实现细节、具体产品的版本与价格信息。

按发生环节划分的六类异常

六类异常按流程执行顺序排列，从输入准备到资源约束，覆盖AI执行的主要环节。识别信号的作用是让系统或值班人员能快速判断异常归属，避免把接口问题当成模型问题处理。

异常类型	典型表现	常见触发点	识别信号
输入与上下文异常	资料缺失、格式不符、上下文超长被截断	知识库文档未同步、上传文件格式不支持、上下文超出模型窗口	输入校验失败、引用来源为空、截断标记出现
模型输出异常	格式不合规、内容偏离任务、置信度低	提示词约束不足、任务描述含糊、模型对领域不熟悉	结构化解析失败、结果与任务目标不符、置信度低于阈值
工具与接口调用异常	调用失败、超时、返回结构变化	下游服务抖动、网络超时、接口字段调整	错误码返回、响应超时、解析字段缺失
流程状态与编排异常	步骤跳过、状态不一致、重复执行	并发触发、状态机设计缺口、补偿逻辑缺失	状态与预期节点不符、同一任务出现多条执行记录
权限与合规异常	越权访问、敏感数据触碰	权限配置过宽、上下文带入未授权内容	权限校验拒绝、敏感字段命中规则
资源与时限异常	配额耗尽、排队超时	调用量突增、并发上限、任务排队积压	配额告警、等待时长超过阈值

输入与上下文异常往往在流程启动阶段暴露，修复成本较低，补齐资料或调整输入格式即可继续。模型输出异常出现在生成环节，需要判断是提示约束问题还是任务本身超出模型能力。工具与接口调用异常依赖下游系统状态，识别重点是区分瞬时故障与持续性故障。流程状态与编排异常最难从单条日志看出，需要对照状态机与执行记录。权限与合规异常优先级最高，一旦触发应先阻断再处置。资源与时限异常通常有明确阈值，适合用等待与排队策略处理。

按可恢复程度划分的四档及判定依据

四档分类的核心是回答三个问题：异常是否瞬时、输入或状态是否可补可回滚、是否触及权限与合规红线。三个问题依次回答，可以把大多数异常归入明确档位。

档位	定义	判定依据	默认处置动作	升级路径
可自动重试恢复	异常由瞬时因素引起，重试即可回到正常	故障短暂、无状态残留、重试不产生副作用	按退避策略自动重试，记录次数	超过重试上限转人工介入
可修正后继续	异常由输入或输出不合规引起，修正后可继续	缺失内容可补齐、格式可调整、状态可回滚	修正输入或重新生成，校验通过后继续	修正多次仍失败转人工介入
需人工介入恢复	自动手段无法判断或无权处置	涉及业务判断、权限边界、跨系统协调	挂起流程，通知责任人处理	人工确认无法恢复则回退
不可恢复需回退	异常已造成不可接受的影响或状态无法还原	触及合规红线、数据已污染、下游已产生副作用	回退到最近稳定状态，保留现场记录	复盘并修正流程设计

判定顺序建议从轻到重：先判断是否瞬时故障，是则进入自动重试；否则判断输入或状态能否修正，能则修正后继续；再判断是否属于业务判断或权限问题，是则转人工；最后判断影响是否不可接受，是则回退。顺序颠倒容易误判，例如把权限异常先做重试，会放大越权风险。

误判风险主要有两类。一类是把可修正异常当成不可恢复直接回退，造成流程反复重跑、浪费资源；另一类是把需人工介入的异常交给自动重试，例如接口返回结构变化后持续重试，既无法恢复又掩盖了真实问题。控制方法是给每档设置明确的判定条件和重试上限，并在档位升级时留下记录。

相邻概念区别：异常处理、异常预防与人工兜底

三个概念常被混用，实际承担的任务不同。预防在事前，监控在事中，处理在事后到恢复之间，人工兜底只是处理环节中的一种处置方式。

概念	作用阶段	主要动作	交付物
异常预防	流程设计与配置阶段	输入校验、格式约束、权限预设、超时配置	校验规则、流程约束条件
异常监控告警	运行过程中	采集指标、比对阈值、发送通知	告警记录、异常事件
异常处理	异常发生后	定档、重试、修正、转人工、回退、确认恢复	处置记录、恢复后的流程状态
人工兜底	处理环节内	由责任人判断并执行恢复动作	人工处置结论与交接记录

把监控告警当成异常处理，会出现“告警发了但流程仍卡住”的情况；把人工兜底当成全部处理手段，则会让本可自动恢复的瞬时故障也进入人工队列，拉长恢复时间。合理做法是让预防减少异常发生，监控负责发现，处理按四档分流，人工兜底只承接需要业务判断和权限处置的部分。

在研发管理场景中，异常处置的结果需要落到可追踪的载体上。ONES Assistant 可将自然语言指令的执行结果保存为工作项、Wiki 页面等内容，异常处置后的人工判断、交接说明和恢复结论可以记录在这些载体中，便于后续复盘。ONES 方案基于权限体系进行知识问答和任务执行，输出过程可追踪、结果可审计，适合承接需要留痕的处置环节。异常自动识别与重试机制是否具备，需在具体选型时向产品方核验。

具体例子与常见误解

以下示例为演示情景，用于说明从识别到定档到处置的判断过程。

示例一：AI根据需求文档生成需求拆解，输出应为固定字段的结构化列表，实际返回缺少“验收标准”字段且层级混乱。识别信号是结构化解析失败。判定过程：异常属于模型输出异常；内容可重新生成，输入资料完整，状态未产生副作用，因此定为可修正后继续。处置动作是补充字段约束后重新生成，校验通过后写入工作项。若连续两次修正仍不合规，升级为需人工介入，由需求负责人手工补全。

示例二：流程调用测试管理接口写入用例，连续多次超时。识别信号是响应超时且重试次数达到上限。判定过程：首次超时属于瞬时故障，可自动重试；连续超时说明下游服务可能不可用，重试无法解决，且流程已等待较长时间，定为需人工介入。处置动作是挂起流程，通知接口负责人排查下游状态，确认恢复后再继续写入，并核对是否产生重复用例。

常见误解及纠正：

• 误解一：所有异常都应自动重试。纠正：重试只适用于瞬时故障，格式不合规、权限越界、返回结构变化重试无效，还会放大风险。
• 误解二：重试次数越多越稳。纠正：重试次数需要与超时阈值、下游承载能力匹配，过多重试会延长恢复时间并加重下游压力。
• 误解三：人工介入等于失败。纠正：人工介入是四档中的正常一档，承接需要业务判断和权限处置的异常，及时转人工比无效自动重试更高效。

这些误解的实际代价是恢复时间被拉长、真实问题被掩盖、处置记录缺失导致无法复盘。把定档条件写进流程设计，并为每档保留处置记录，可以让异常处理从依赖个人经验转为可重复执行的流程动作。

常见问题

同一类异常为什么可能落在不同可恢复档位？

发生环节回答的是“问题出在哪一环”，可恢复程度回答的是“这次偏离能不能救、代价多大”，两个维度相互独立。以工具与接口调用异常为例，下游服务瞬时抖动引起的超时，重试即可恢复，属于可自动重试恢复；若连续超时且下游服务不可用，重试无法解决，就升级为需人工介入恢复。判定时先定位类型缩小排查范围，再结合故障持续时间、输入能否补齐、状态能否回滚、是否触及权限红线确定档位。

重试次数设多少合适，超过上限后怎么处理？

重试次数需要与超时阈值、下游承载能力匹配，没有统一数值。设置时考虑三点：单次重试的等待间隔采用退避策略，避免集中冲击下游；重试总时长不超过流程可接受的等待上限；重试只用于瞬时故障，格式不合规、权限越界、返回结构变化不进入重试。超过重试上限后按升级路径处理，转入需人工介入，由责任人判断下游状态并决定继续、修正还是回退，同时保留重试记录便于复盘。

权限与合规异常为什么不宜先重试？

权限与合规异常的信号是权限校验拒绝或敏感字段命中规则，这类异常由配置和授权边界决定，重试不会改变结果，反而会重复触发越权访问，放大风险。合理做法是先阻断流程，保留现场记录，再转人工核实权限配置或数据范围，确认合规后再决定是否恢复。若已造成敏感数据触碰或下游副作用，按不可恢复需回退处理，回退到最近稳定状态并复盘流程设计。

异常处置记录应该包含哪些内容，才能支撑后续复盘？

处置记录至少覆盖四项：异常类型与识别信号，说明问题出在哪个环节、由什么信号触发；判定的可恢复档位及依据，记录当时依据的条件；执行的处置动作与结果，包括重试次数、修正内容、转人工的交接说明或回退到的状态；恢复确认，说明流程是否回到可继续状态。记录落到可追踪的载体上更便于复盘，例如在研发管理平台中把处置结论写入工作项或知识库页面，后续可按异常类型统计分布，识别高频环节并改进流程设计。

流程状态与编排异常如何与重复执行区分开？

两者表现接近但成因不同。步骤跳过指流程未按状态机预期经过某个节点，识别信号是当前状态与预期节点不符；重复执行指同一任务产生多条执行记录，常见于并发触发或补偿逻辑缺失。处置时都需要对照状态机与执行记录还原实际路径。若状态可回滚且未产生下游副作用，修正后继续；若已产生重复数据或下游已收到多次请求，按不可恢复需回退处理，回退后补齐并发控制和幂等设计。