主备链 · 429/超时降级 · 指标化账单 · 图形会话控制台清单
已经能把 OpenClaw 跑起来、却开始被账单与稳定性两头拉扯的团队，通常不是「模型不够聪明」，而是缺少一条可审计的主备路由链与能把 429、超时、空响应映射到具体模型 id 的观测面。本文面向中高级读者：先用 openclaw models 把可用模型与别名对齐到网关真实请求串，再用 主模型 + 有序 fallback 把成本与 SLA 写进配置；接着给一张「何时降级、何时禁止自动降级」的决策矩阵、八步落地 Runbook、四条可写进工单的量化结论，以及必须在 VNC 图形会话里完成的 Gateway 控制台验收表。与站内《可检查记忆》（上下文与检索成本）、《多渠道 Gateway》、《v2026.4.5 升级与 doctor》、《无回复排查》互链，便于把「模型策略」一次对齐到变更与排障流程里。
多模型路由的本质不是炫技，而是把不可控的外部供应商波动吸收在软件边界内：上游限速、区域路由、偶发空包、工具调用链变长，都会让「单一最强模型」变成单点故障。下面六条是评审里最常见的隐性成本，与《工具执行失败排查》里强调的 exit code 与权限链一起看，效果最好。
账单不可解释：没有按渠道/会话类型拆分时，团队会把所有增长归因于「用户变多」，却看不到是某条 Heartbeat 探针或某个插件把上下文撑爆。
429 与超时雪崩：主线路被限流后，如果没有有序 fallback，网关会重试同一供应商，放大排队时间；用户侧表现为「偶发卡死」，日志侧却是风暴式重试。
质量与成本反向运动：把检索、摘要、路由决策都堆到旗舰模型上，单位任务成本上升，但错误率未必下降——尤其是长工具链场景。
配置漂移：openclaw models 输出与手写 JSON 中的模型字符串不一致时，排障会卡在「到底请求了谁」这一层，浪费半天对齐别名。
合规与区域：自动降级若跨供应商/跨区域，可能触碰数据驻留红线；没有审计字段时，事后无法证明某次对话实际落在哪条模型链上。
SSH-only 运维盲区：只 tail 日志不看浏览器控制台与系统隐私面板，会漏掉 WebSocket、证书与 macOS 权限导致的「半失败」状态，误判为模型本身不稳定。
把矩阵当成值班手册的第一页：先对齐症状 → 首选动作 → 次选 → 常见误判，再打开 Gateway。与记忆子系统成本相关的慢响应，请先对照《可检查记忆》第二节矩阵，避免把检索膨胀误判为「模型不够强」。
| 现象 / 场景 | 首选策略 | 次选 | 常见误判 |
|---|---|---|---|
| 高峰 429 / quota | 在同合规区内换有序 fallback；临时下调并发 | 错峰批处理；缓存短答 | 无限重试同一模型 id |
| 工具链长、延迟高 | 把「规划/摘要」与「最终回答」拆到不同档位模型 | 缩短工具输出模板；限步数 | 整条链全部升舱到旗舰 |
| 低敏高频对话 | 默认主模型用小快模型；保留人工升级入口 | 渠道级 override | 全站一刀切最大模型 |
| 金融/PII 会话 | 显式禁止自动跨区降级；fallback 白名单 | 排队等待主线路恢复 | 为可用性牺牲数据边界 |
| 升级后模型串失效 | openclaw doctor 对齐 canonical 配置；用 models 子命令重扫 | 对照发布说明改字段名 | 只重启网关不核对字符串 |
路由是策略，不是参数：先写清「谁可以降级、降级到哪里、如何取证」。
下列顺序刻意写成可贴进变更单：先对齐「名字」再动「链」，最后用同一组探针请求做前后对比。若并行存在「消息送达但内容薄」类问题，请交叉打开《无回复排查》，避免把通道问题误判为模型路由。
版本与 doctor：执行 openclaw --version 与 openclaw doctor，把与 model、auth、gateway 相关的告警原样贴进工单；升级场景优先对照《v2026.4.5 升级》。
模型清单对齐：运行 openclaw models（若你的发行版支持子命令，可加 list/--help）核对提供商前缀、模型 id、别名；把将要写进配置的字符串与网关一次最小请求的日志行做 diff。
定义主线路：在 agents.defaults.model（或你环境中等价节点）设置 primary，只选经过步骤 2 验证的 id；避免在多处重复声明导致合并顺序不明。
编写有序 fallback：为 fallbacks 数组按成本从低到高或延迟从快到慢排列，并标注合规标签；同区同供应商优先，减少跨网与跨账单主体。
渠道与路由规则：若使用多渠道（参见《多渠道》），为噪音高的渠道单独降档或限流，避免拖垮默认主线路。
基线探针：固定 2–3 条提示词（含一条带工具、一条纯对话），记录首 token 时延、总耗时、总 token、实际命中模型 id；变更前后各跑两轮。
故障注入演练：在预发环境临时关闭主线路密钥或调低配额，确认 fallback 触发顺序与日志字段符合预期；生产环境用只读演练或供应商侧 shadow 流量替代硬关。
审计字段：在 Runbook 写明「工单必须附：命中模型链、区域、429 次数、回退原因码」；与 SecretRef / API Key 分环境策略一起评审。
{
"agents": {
"defaults": {
"model": {
"primary": "openrouter/anthropic/claude-3.7-sonnet",
"fallbacks": [
"openrouter/google/gemini-2.0-flash-001",
"anthropic/claude-3-5-haiku-latest"
]
}
}
}
}
上表 JSON 仅为结构示意：真实字段名与嵌套路径请以你当前 openclaw doctor 与官方文档为准；合并多份配置时，优先确认「最终生效树」而不是只看仓库里某一层的片段。
提示：变更网关模型链后务必 openclaw gateway restart（或你环境中的等价命令），并在重启后立刻跑一遍探针，避免「文件已改、进程未加载」的假成功。
下列条目刻意写成「可粘贴」风格，便于你与财务、安全、平台支持对齐责任边界。
注意：任何自动降级到「未知区域」的模型前，先让安全同事书面确认数据流；可用性不能以合规为代价硬换。
SSH 与图形会话在证书信任、本地回环、系统弹窗与浏览器安全策略上并不等价；验证模型切换是否生效时，应在与 Gateway 同机同用户的桌面里打开控制台。下表可直接复制到其他语言版本，仅替换第一列表头文案。
| 核对项 | 操作要点 | 通过标准 |
|---|---|---|
| 控制台网络 | 过滤 429、model、fallback。 | 每次降级有明确原因码；无无限重试风暴。 |
| WebSocket / SSE | 看重连与心跳间隔。 | 断线可恢复；与 Heartbeat 配置一致。 |
| 系统代理与 DNS | 对照网络面板与 scutil --dns（若允许）。 | 无偶发解析到错误出口。 |
| 密钥与 Keychain | 在隐私设置中核对 Gateway 二进制路径。 | 与 doctor 输出路径一致；变更后已重启。 |
| 资源余量 | 活动监视器看内存压力与 swap。 | 探针时无异常尖峰；磁盘可用高于安全阈值。 |
多人共用租用节点时，把「谁有权改模型链、谁必须在 VNC 上点过验收表」写进值班手册，比事后在日志里猜配置责任方成本低一个数量级。
下列链接均为公开博客页，可与第三节、第四节交叉阅读。
检索体积与首 token 变慢时的分流矩阵。
阅读 →渠道级负载与凭证验收，与模型链联动。
阅读 →Breaking 后模型字段与 canonical 路径对齐。
阅读 →先按渠道与任务类型拆分用量，再把低风险对话迁到更小更快的主线路；用 Gateway 日志里的 token 与耗时直方图证明改动有效，而不是凭感觉删功能。
会。降级链必须与数据驻留策略一起设计：为每条 fallback 标注区域与供应商，高敏会话可配置禁止自动跨区降级；审计附上实际命中模型 id。
以网关实际请求串为准，用一次最小复现请求对齐字符串，再回写配置；必要时对照官方 Models CLI 文档与 doctor 输出。
浏览器里能看到 CORS、混合内容、WebSocket 与缓存问题；系统隐私里能核对 Gateway 路径与权限——这些在纯 tail 日志里经常缺失。
多模型路由把「供应商波动」从运维事故变成可配置、可演练、可审计的软件问题：openclaw models 对齐名字，primary 与 fallbacks 写清顺序，Gateway 日志给出证据链。若只在 SSH 里改 JSON、从不在与 Gateway 同用户的图形会话里打开控制台，隐性成本往往是权限、证书与 WebSocket 半失败与日志对不上号，排障在同一工单里反复分叉。
自建或独占物理 Mac 还要面对睡眠策略、系统更新窗口与电费折旧；低配本机在高峰并发与工具链膨胀时更容易把网关 worker 与内存打满，表现为「模型慢」而非真慢。相较之下，远程 Mac + 可复核的 VNC 图形会话把在线率与基础镜像交给专业服务商，你仍掌握模型策略与密钥面，但能把平均恢复时间压在更可预期的区间。
若你希望少押一台自有硬件、又要对着本文第五节完成与 Gateway 同机的控制台验收，可直接通过 VNCMac 租用云端 Mac：下方主按钮进入中文站购买页；需要对比套餐与连接说明时，先浏览首页再下单即可。