助手一上線，人人問庫存，ERP開始超時，開單失敗。智能體不是用戶，是新的流量源，而且可能循環重試。核心交易系統必須被保護：限流、隔離、熔斷。助手變慢可以道歉，過帳失敗不能道歉。工程上要把AI流量與交易流量切開，忙的是智能，死的不該是生意。
沒有限流的接入，等於把生產庫的鑰匙交給了最會提問的那群人。
保護交易，約束助手
AI走獨立網關和只讀副本，寫操作進隊列並限並發。錯誤率或延遲超閾，熔斷工具調用，返回降級（緩存、稍後）。禁止無界重試。高峰開單時段，助手查詢降級為摘要，不為全表掃描。
- 每租戶、每工具配額，超限排隊而不是打穿。
- 交易API優先於分析API，優先級寫在網關。
- 演練：用助手壓測，看開單是否仍成功。
熔斷是對經營的忠誠
XYN 數智化系統把助手查詢與交易單據分層，限流默認打開。智能體工程化包含這層保護，否則POC一放量就是事故。慢助手可以等；停交易是在用AI稅懲罰全公司。
上線前做一次壓測：助手打滿時，開單成功率是否仍達標。不達標，先熔斷，再談更聰明的模型。
