刚开始用动态调度的时候，我最大的顾虑是全自动会不会失控。实际跑了几个月之后发现，失控的风险确实存在，但它出在几个很具体的位置上，都能提前挡住。弄清楚这几个位置，比笼统地担心有用得多。
失控会出现在哪几个位置
第一个位置是规则互相触发。一条规则把代理IP的配额调低，另一条判定配额过低又调回来，两条来回拉扯，配置在几分钟里改了几十次。第二个位置是触发条件过宽，规则被日常波动反复唤醒，自动执行变成了自动折腾。第三个位置是恢复条件缺失，切走了就不切回来，备用的代理IP一直被占用。
自动调度的风险不在决策本身，在规则之间的相互作用。
- 规则互触发
- 两条规则互相满足对方的触发条件，来回拉扯
- 恢复缺失
- 切换后没有恢复条件，备用代理IP长期被占
怎么把风险挡在外面
挡的办法有三个。一是给每条规则加冷却时间，触发之后一段时间内不再碰代理IP的配置。二是设置单日调整次数的上限，超过上限就停下来等人看。三是要求每条切换类规则都必须配一条恢复规则，没配的不允许上线。三条都是代理IP配置层面的约束，做起来不难。
还要留一个手动兜底。做法是给动态调度配一个总开关，出问题时能一键停掉，停掉之后回到固定的配额配置。这个开关平时不用，但它决定了出问题时是手忙脚乱还是有条不紊。
开关之外还要有谁
总开关之外，还要有一个能看懂全局的人。自动调度跑得再顺，也需要有人每周看一眼触发记录，确认规则的行为和预期一致。这个角色不必专职，花二十分钟看一遍记录就够。
有开关托底，试错成本就低了。
斗罗大陆魂师对决多开把调配交给自动，失控的风险可以提前挡住。规则之间加冷却、单日调整设上限、切换类规则必须配恢复、留一个总开关，这四件事做完，代理IP的自动调度就能在可控范围内跑。