Les chaînes de secours OpenClaw préservent la disponibilité mais peuvent silencieusement réduire la fiabilité

Le mécanisme de repli de modèles d'OpenClaw est conçu pour maintenir les workflows en fonctionnement lorsqu'un modèle principal échoue. Mais comme une discussion récente sur r/clawdbot le souligne, la liste de repli la plus longue n'est pas nécessairement la configuration la plus fiable. La vraie question est de savoir si chaque repli est réellement qualifié pour la tâche en question.

Comment OpenClaw gère les replis

Selon le post, la documentation model-failover d'OpenClaw décrit le comportement actuel :

• Les exécutions normales configurées font d'abord pivoter les profils d'authentification au sein du fournisseur actuel.
• Ensuite, elles avancent à travers agents.defaults.model.fallbacks lorsque l'échec est éligible au basculement.
• Les sélections de modèle explicites de l'utilisateur restent strictes—aucun repli.
• Les travaux planifiés peuvent utiliser les replis configurés à moins que leur liste de repli ne soit délibérément vide.

Ce mécanisme améliore la disponibilité, mais ne garantit pas que chaque modèle de la chaîne est opérationnellement équivalent. Un modèle plus petit peut gérer un résumé de boîte de réception correctement mais avoir du mal avec un contexte de dépôt long, des appels d'outils structurés, ou des tâches de codage en plusieurs étapes.

Le danger caché : fluide mais faux

Le risque n'est pas toujours une défaillance visible. C'est un modèle de repli produisant une réponse fluide et complète qui ne répond pas au niveau d'acceptation réel. Par exemple, une tâche de codage peut générer un code qui semble correct mais échoue aux tests ou viole les contraintes de schéma. C'est un coup de fiabilité silencieux.

Aligner la politique de repli sur la classe de tâche

Le post suggère d'aligner la politique de repli sur le niveau de risque de la tâche :

• Tâches à faible risque (classification, résumé, formatage) peuvent généralement tolérer une chaîne de repli plus large.
• Tâches à haut risque (changements de déploiement, actions destructrices, travail de conformité, migrations de dépôt) nécessitent une exécution stricte ou des replis qui ont déjà passé les mêmes tests d'outil, de contexte et de vérification que le modèle principal.

Test pratique : simuler une panne du modèle principal

L'auteur décrit un test simple :

1. Rendre temporairement le modèle principal indisponible.
2. Exécuter des tâches représentatives à travers chaque repli.
3. Comparer l'achèvement des appels d'outils, la conformité au schéma, les résultats des tests, la latence, le nombre de nouvelles tentatives et le temps de révision humaine.

Si un modèle produit une réponse mais échoue systématiquement aux contrôles d'acceptation, ce n'est pas un repli valide pour ce workflow—peu importe s'il est moins cher.

Le calcul des coûts change

Un repli moins cher qui génère des nouvelles tentatives, des corrections ou des révisions supplémentaires peut coûter plus par résultat accepté que le modèle principal coûteux qu'il remplace. Les configurations OpenClaw résilientes savent quels candidats de repli peuvent satisfaire le contrat pour chaque type de travail—elles ne traitent pas tous les modèles comme interchangeables.