Wysa 如何为心理健康 AI 架构每季度 150 万次请求的零停机

为什么心理健康场景对故障零容忍

Wysa 是一款 AI 引导的自助工具，用户常在焦虑、抑郁、哀伤、恐慌或危机时刻打开对话。文章明确说明它并非危机支持服务，但凌晨两点有人谈起惊恐发作时，系统必须立即、准确地回应。在这样的语境下，一次失败的对话请求意味着处于痛苦中的人面对加载图标或错误提示，因此团队把故障容忍度视为接近于零。

规模上，Wysa 每季度处理超过 300 万次 AI 调用，其中每月 70 万次请求需要在多个大语言模型供应商和地理区域之间路由。每个供应商部署在两到三个区域，单个请求因此有 15 个以上不同路由目标，各自的 API、限流行为、失效模式和延迟特征都不相同，且不在团队控制之内。

网关的设计原则

Wysa 的中央有状态 AI 网关位于所有产品与模型供应商之间，每个 AI 请求都经过它。文章强调，标准熔断器是反应式的：先由某个用户的请求失败发现供应商宕机，再打开熔断，代价由触发发现的人承担。在心理健康场景中，这不可接受。

因此网关运行健康监测系统，每隔固定时间向每个供应商与区域的组合发送轻量测试提示，测量成功率、延迟和错误频率。状态不是简单的健康或不健康，而是健康、降级、不健康、宕机、恢复中的梯度；技术上在线但慢到影响体验的供应商也会被识别，恢复中的模型要先通过测试才重新承接真实流量。

路由时网关会构建按优先级排序的目标列表：首选模型的首选区域，然后是同一模型的其他区域，再是其他供应商的可比模型，最后是完全不同的供应商。单个请求的备选链可达两到六层。

被忽视的失效模式：内容审核

文章指出，多数扩张 AI 产品的公司最终都会使用多个供应商，原因可能是成本优化、模型能力差异，也可能是没有单一供应商能提供生产系统所需的可靠性保证。心理健康领域让这件事更难的地方在于，各家供应商的 API 都带有面向通用场景的内容审核与安全护栏。

这些护栏本意是防止消费级聊天机器人、写作助手、编程工具和搜索生成有害内容，但心理健康对话恰恰经常触及自伤、自杀意念、物质滥用、创伤和情绪危机等被标记的主题。临床语境下完全合适的提示词会触发供应商侧审核而被拒绝。多供应商时问题更严重：供应商 A 正确处理了自助提示后宕机，切换到供应商 B，B 可能拦截同一提示，备用路径的失败与模型可用性无关。