题干与适用场景
一个跨区域 SaaS 同时展示订单状态、账户余额、通知未读数和分析报表。工程团队提出全部使用最终一致来降低延迟与成本，财务团队要求余额立即准确。请从用户旅程出发选择强一致、最终一致或有界陈旧读，定义产品承诺、SLO、异常体验和上线后的决策门槛。
这道题考察产品经理是否能把分布式系统语义转成可验证的产品策略。AWS DynamoDB 区分最终一致与强一致读取，Google Cloud Spanner 则提供 external consistency 和可控的 stale read；产品决策必须依赖具体读写场景，不能只背术语。
面试官在考察什么
- 能否按用户动作和风险分层，而不是把全站绑定到一个一致性模式。
- 能否定义“最新”的时间点、读后写、跨区域和故障时的可见行为。
- 能否把一致性选择连接到延迟、容量、成本、收入和信任指标。
- 能否设计降级文案、争议处理、实验和可回滚的发布策略。
先澄清哪些问题
- 哪些数据会直接影响扣款、余额、库存或合规？错误窗口的损失是什么？
- 用户是否刚刚写入并期待读到自己的写入？允许几秒或几分钟陈旧？
- 数据跨哪些区域复制，故障时是否允许只读、排队或暂时隐藏？
- 当前强读与最终读的延迟、容量和费用基线是什么？
- 产品能否显示“处理中”、更新时间、冲突或稍后重试，而不是伪装成确定状态？
30 秒回答框架
先按用户旅程分类，再定义一致性 SLO。支付确认、余额扣减、库存占用使用强语义或事务边界；首页推荐、未读数和报表可接受最终一致或有界陈旧读，并明确最大陈旧时间。读后写场景用会话粘滞、版本或确认接口保证用户能看到自己的变化。每种选择都写出延迟、成本、错误体验和指标，先小流量灰度，若越过信任或财务护栏就回滚或提升一致性。
分步作答
1. 从动作而不是数据库产品出发
列出“提交付款”“查看余额”“编辑资料”“看推荐”“读报表”等动作，标记写入者、读者、风险、可接受陈旧窗口和是否需要跨实体原子性。一个页面可以组合多种语义，不必整页强一致。
2. 写出可理解的一致性承诺
把术语改写成用户可验证的句子，例如“付款成功后，余额页在确认响应返回时显示新余额”或“分析报表可能落后 15 分钟，页面显示数据时间”。同时声明跨区域故障时的行为，不把“最终会一致”当即时承诺。
3. 选择强、最终或有界陈旧读
强读适用于错误代价高、读后写和交易约束；最终读适用于可重试、可合并、低风险或读多写少的内容；有界陈旧读适用于能接受固定时间窗口但需要稳定延迟的报表和列表。AWS 文档说明 DynamoDB 表与 LSI 可选强读，GSI 与 Stream 读取是最终一致；产品必须把这些限制映射到功能，而不是只看厂商名称。
4. 处理读后写与冲突
写入后返回版本号、确认 token 或更新时间，后续读取携带版本条件；必要时将用户路由到写入区域。多区域同时写要定义冲突策略、人工审核或拒绝条件，不能用“最后写入获胜”掩盖业务损失。
5. 设计降级体验与护栏
显示“处理中”、最后更新时间和可重试动作；余额或库存不确定时暂停扣款、冻结后续操作或转人工。护栏包括错误扣款率、库存超卖、投诉、读后写失败、P95 延迟、跨区复制延迟和成本。降级必须保留审计记录。
6. 灰度、测量与回滚
先按低风险租户或非关键旅程灰度，比较延迟、成功率、数据陈旧分布、转化和支持工单。若陈旧超 SLO、财务差错或用户信任指标恶化，恢复强读、缩小区域范围或暂停写入。Google Spanner 的 external consistency 与 stale read 说明强保证和受控旧版本可以共存，产品应按场景选择而非全量切换。
高质量示范答案
我会先画用户旅程：支付、余额和库存是高风险交易，要求强语义或明确事务；推荐、未读数和分析报表可以最终一致，但要给出最大陈旧时间与更新时间。对“刚保存资料后马上查看”的读后写场景，我会返回版本或确认 token，并在短窗口内保持会话粘滞。
产品文案不会说“系统最终会一致”就结束，而会承诺用户看到什么、多久看到、跨区故障时怎么处理。每个旅程都有延迟、成本、陈旧分布、错误率和信任护栏。先低风险灰度，监控复制延迟、读后写失败、扣款/超卖和工单；超过门槛就恢复强读、暂停危险写入或回滚。AWS 的 DynamoDB 读取限制和 Spanner 的 external consistency/stale read 表明一致性是按场景组合的能力，不是单一产品开关。
常见失分点
- 说“全部强一致最安全”或“全部最终一致最便宜”，没有旅程分层。
- 只讨论数据库延迟，不定义用户看到的状态、陈旧时间和故障文案。
- 忽略读后写、跨区域路由和同时写冲突。
- 把最终一致当成所有索引、Stream 和多区域副本都相同的语义。
- 没有财务、库存、投诉和成本护栏，也没有回滚条件。
- 用固定百分比承诺一致性收益，缺乏当前基线和实验设计。
追问与参考回答
什么时候可以接受最终一致？
当短暂陈旧不会造成不可逆损失，用户可以重试或合并，且页面能显示更新时间和状态。例如推荐、未读数和非关键报表通常比余额更适合。
读后写如何定义为产品 SLO？
定义写入确认后，在指定时间和区域范围内读请求必须返回不早于该版本的数据；记录失败比例和最大等待，而不是只测平均延迟。
为什么不能所有页面都使用强读？
强读可能增加跨区延迟、容量和费用，还会在故障时降低可用性。只对高风险动作使用强语义，才能把资源留给真正需要信任的路径。
多区域最终一致遇到冲突怎么办？
先按实体定义可合并字段、版本条件和不可自动解决的人工队列；对余额等不可合并状态宁可拒绝或锁定，也不要静默覆盖。
如何向用户解释陈旧数据？
显示“数据更新时间”、处理中状态和刷新动作；对影响付款或库存的结果阻止继续操作，并提供明确的恢复路径。
什么时候要切换到新存储或强一致数据库？
当现有模式无法在可接受成本内满足关键旅程的读后写、跨实体原子性或审计要求时。先量化差距，再比较局部强读、事务、路由和整体迁移。