小范围发布控制风险
别名: 小范围发布 · 风险控制发布 · canary containment
概念解释
小范围发布（limited-scope release）把新交互或新功能先放到一小群真实用户或一个真实场所，而不是一次推给全部用户。目的首先是控制风险：错误、伤害、不可逆的数据变更和声誉损失被限制在可承受的边界内。它不是缩小版的实验室测试——场景、数据和后果都是真的；也不是后面要谈的分阶段比例机制本身，这里关心的是为什么要把爆炸半径收小。试点（pilot）常落在一个组织或门店，灰度（canary / staged rollout）常落在用户百分比，二者都是在用范围换风险。
机制
完整发布把未知的失败模式乘以全部用户。交互缺陷在真实数据、真实并发和真实激励下才会出现：误触导致资金操作、权限漏洞、不可理解的空状态。小范围不消除这些失败，但把失败的人数、时间和可观察性变成可管理的。风险控制还依赖能看见失败：若小范围里没有监控，范围小只是让灾难来得稍晚。选择范围时存在张力——太小则看不见罕见伤害，太大则一次失败就不可接受。控制风险因此是在“发现真实伤害”和“限制真实伤害”之间设上限，而不是追求零风险。
怎么研究
现场评估文献把 in-the-wild 部署当作生态效度来源，同时也当作伦理暴露。研究设计应预先列出最坏伤害、受影响人数上限、以及停止规则。因变量不只是任务成功，还包括事故、投诉、数据损坏和支持工单。对照可以是未发布群体或发布前基线，但小范围本身通常没有随机化，解释必须保守。记录范围是如何被选中的：自选试点门店往往更配合，会低估风险。
边界
有些伤害不能靠缩小范围来控制：一旦进入网络就会扩散的内容、不可逆的法律后果、或涉及未成年人的暴露。此时应先在隔离环境验证，而不是“先灰度再说”。对极低频高危害事件，小范围可能整个周期都看不到，给出虚假安全感。监管行业对“真实用户当试验品”有额外约束。若产品没有能力停止或隔离失败，小范围只是心理安慰。
怎么落地
- 发布前写清最坏伤害和可接受的最大受影响人数，超过即视为失控。
- 选择范围时优先可隔离、可观察、可支援的用户或场所，而不是最友好的内部员工。
- 保证该范围内的失败能在小时级被看见，否则先不要发布。
- 把小范围当成风险阀门，而不是营销上的“抢先体验”活动。