在紧急情况下，不要破坏功能标记

当功能标记系统崩溃时，应用程序会发生什么情况？有两种可能性：故障安全或故障崩溃。

第一种可能性是什么都不会发生。这是故障安全模式。没有对船旗国进行任何更新，但一切都继续按照其一贯的方式运作。当功能标记系统重新出现时，从用户的角度来看没有任何变化。这种系统之所以工作，是因为设置了标志状态，然后在客户端进行维护-标记计算已经完成。

例如，如果您在故障安全的功能标记系统中进行A/B测试，而系统出现故障，那么获得“B”变体的每个人都将继续收到“B”变体。它们已经被评估并排序到那个桶中，它们的标识符被用来从应用服务器中检索‘B’变体。

在一个失败的系统中，它会更复杂一些。失败的系统往往更紧密耦合，并有其长处的弱点。当客户端调用回无响应系统上的标志计算时，调用可能会失败、超时或返回错误消息。如果失败，用户可能看不到由标志控制的功能。如果超时，用户可能会体验到一般的缓慢。如果出现错误，可能会传递给用户。

在运行于故障中断环境中的A/B测试中，应该获得B变量的用户可能会得到空元素或错误消息。应用程序页面需要设计为捕捉标记系统中的错误，并为用户平滑这些错误。

有理由使用失败的系统。您可能需要指出它已损坏，或者假设您可以继续服务于同一状态而不签入应用程序，这可能是危险的。然而，对于大多数应用程序来说，最好是故障安全而不是向用户提供错误。