在現代軟體工程中，持續交付（Continuous Delivery, CD）被視為高效能團隊的標配。然而，許多平台工程師發現，將適用於應用程式（Application）的 CI/CD 實踐直接套用到基礎設施平台時，往往會導致災難性的結果。根據 Ian Nowland 在 InfoQ 與 QCon 的分享，他結合在 AWS 與 Datadog 的領導經驗指出，基礎設施平台與一般產品開發在風險模型與複雜度上存在本質差異，因此需要一套完全不同的交付策略。
背景：基礎設施平台的特殊性與風險
首先必須定義何謂基礎設施平台（Foundational Platform）。其核心差異在於「失效後的影響範圍」。如果一個開發者體驗平台出錯，可能只是讓部分工程師感到挫折；但如果基礎設施平台（如儲存、網路或虛擬化層）崩潰，整個業務將會完全停擺，例如金融交易停止或數據接收中斷。
這類平台通常具有三個關鍵特性：第一，它們是狀態化（Stateful）的。為了讓上層應用程式能保持無狀態，平台必須承擔管理複雜狀態的責任，這使得在生產環境中進行變更變得極其危險。第二，它們直接與硬體或底層雲端抽象層互動，任何不可逆的變更（Irreversible changes）都可能導致災難。第三，它們承擔了極高的複雜度抽象，將底層混亂封裝成簡單的 API 給開發者使用，但這種複雜性並沒有消失，而是被集中在平台內部。
核心內容：傳統 CI/CD 假設的失效
許多團隊盲目追求 DORA 指標（一套衡量軟體交付績效的標準，包含部署頻率、變更失敗率等），認為部署頻率越高、自動化程度越高就代表效能越高。但 Nowland 指出，這種假設對基礎設施平台是危險的。對於前端團隊，一天部署多次且有 15% 的失敗率或許可以接受；但對於基礎設施平台，任何一次部署導致的 outage（服務中斷）都可能是公司級的災難。
在實務中，許多傳統 CD 推薦的工具在平台層級會失效： 特徵旗標（Feature Flags）：在複雜的平台程式碼中，過多且長期的特徵旗標會造成邏輯蔓延，增加測試與可觀測性的難度，使其變成一種維護負擔。 分級環境（Staging Environment）：建立一個完美的 Staging 環境在大型平台中幾乎是不可能的。由於依賴關係過多，Staging 往往會陷入「公地悲劇」——每個人都希望它穩定，但每個人都在上面測試不穩定的新功能，最終導致該環境永遠不可用。 端到端整合測試（Integration Tests）：由於基礎設施系統的規模與動態特性，整合測試極其容易出現 Flaky（不穩定/隨機失效）的情況，導致工程師花更多時間修測試而非修 Bug。
技術脈絡：安全漸進式部署的生存策略
針對上述挑戰，Nowland 提出了「安全漸進式部署」（Safe Progressive Deployments）的實踐路徑，其核心在於承認「未知之未知」（Unknown Unknowns），並將測試重心移至生產環境，但以極其謹慎的方式執行。
第一，導入部署計劃（Deployment Planning）。儘管自動化是目標，但在核心平台中，人工審核部署計劃至關重要。計劃應包含：具體的變更內容、分階段執行的時程（例如先部署到哪個可用區 AZ）、明確的執行指令，以及最關鍵的——經過測試的回滾路徑（Rollback path）。
第二，優先採取合成監控（Synthetic Monitoring）。既然 Staging 無法模擬真實生產環境，最好的做法是在生產環境中運行「合成測試」。這不是簡單的 HTTP 請求，而是模擬真實用戶的完整工作流（例如：啟動集群 $\rightarrow$ 執行作業 $\rightarrow$ 終止集群）。這種方式能確保軟體在面對真實依賴項時能正常運作，且 ownership 明確，不會像整合測試那樣互相指責。
第三，策略性的部署順序。建議先部署到對業務影響最小的區域（如較小規模的地區），接著立即部署到最大且最複雜的區域（如 AWS 的 us-east-1）。這樣做是為了儘早接觸到最多樣化的客戶使用案例，避免在 98% 的區域部署成功後，才在最後一個大區發現致命問題。
影響與限制：時間與可觀測性的權衡
在基礎設施平台中，有一個核心定律：時間能發現問題，而人能修復問題（Time finds problems, people fix them）。許多複雜的 Bug（如 Java 的 GC 停頓導致的連鎖反應或 TCP 參數在特定延遲下的失效）在短時間的自動化測試中根本無法觸發，必須透過緩慢的分階段部署（例如每個可用區觀察數小時）才能被捕捉。
這意味著平台團隊必須接受較低的部署頻率。追求極速交付可能會導致 blast radius（爆炸半徑/影響範圍）擴大，造成大規模故障。因此，平台團隊的成功指標不應是部署次數，而應是可靠性與對風險的控制能力。
總結來說，基礎設施平台的持續交付不應追求「按下按鈕即部署」的幻象，而應建立在：深度的可觀測性、嚴格的變更審核、以及極其緩慢且受控的漸進式推送之上。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。