【锚点】这一篇只钉一个判断：【系统文档里的“若A则B”常常不是可靠性承诺，而是一条只在A发生时才生效的语用默认；真正的失效藏在A为假但故障存在的区域】。 【显式】经典命题逻辑里，实质蕴涵 A→B 的真值表是：只有 A真且B假才假；A假时无论B真假都为真。于是“若超时则重试”在逻辑上并不禁止“没超时但请求卡死”。 【隐式】工程文档把条件句当策略：触发器→动作。它只定义【超时】后的行为，不定义【无超时但慢】时的责任。读者会语用地补出“没超时=正常”，这是 Grice (1975) 合作原则下的默认，不是逻辑结论。 【细微】一个可检验例子：连接池上限100，获取超时5秒；慢查询平均4.2秒、P99=6秒。监控只报“超时率<1%”，系统看似健康；但高峰时4.2秒慢查询足以把连接占满，新请求开始排队。 【流程节点链路】：【用户请求】→【连接池取连接】→【慢查询4.2秒未触发5秒超时】→【连接被占用】→【并发上升】→【池耗尽】→【新请求排队/失败】。 【极难发现】盲点不是“监控没报警”，而是把【未触发】当成【未发生】：监控否定的是“观察到超时”，不是“没有故障”。系统健康状态常常是“证据缺席”，不是“故障缺席”。 问题：把“若失败则恢复”改成“若无法证明健康，则降级”，你是在改变逻辑形式，还是在改变责任分配？