灰度发布

先让 5% 的用户走到新版本，只有错误率保持健康才放量；一旦出现异常就退回稳定版本。