Модель в проде повела себя плохо: как устроить откат, аварийный выключатель и разбор инцидента?

Откат должен быть переключением версии в конфигурации, а не выкаткой кода: предыдущие веса лежат в реестре, сервис умеет поднять их за минуты. Поверх этого — аварийный выключатель, который отключает модель целиком и переводит систему на правило или популярное по умолчанию. Разбор невозможен без логов запроса: версия модели, вектор признаков, скор и принятое решение. Если этого нет, единственный честный ответ на вопрос «почему модель так решила» — «не знаем».