Как выкатывать детектор в прод: shadow-режим и постепенное включение

Детектор нельзя «включить и посмотреть»: если он шумит, доверие теряется в первую же неделю и возвращается тяжело. Рабочая последовательность — три фазы. Теневой режим: детектор считает скоры и пишет их в хранилище, но никого не уведомляет; за две-четыре недели набирается фактическая частота срабатываний, распределение скоров и список того, что он поймал бы. Ограниченное включение: алерты идут в отдельный канал, куда подписаны только владельцы системы, вердикты собираются, пороги калибруются по реальной нагрузке разбора. Полное включение: маршрутизация дежурным, начиная с самых надёжных метрик, по одной группе за раз. Дополнительно полезен обратный бэктест — прогон новой версии по истории с известными инцидентами и сравнение с текущей версией по трём числам: пойманные инциденты, медианная задержка, ложные тревоги в сутки. Ни одна версия не выкатывается без этого сравнения.