OpenClaw 网关在演示里很惊艳，直到某个智能体连续触发十几次 shell 探测、每次重读数兆字节日志，并在频道里输出数千 token 的「思考前言」。财务会问：为什么一个周末的推理费用是预期的 3 倍。本文写给在 macOS 上 7×24 跑网关、机器常常是共享 Mac mini 的平台组：你要的是可审计的节流参数，而不是口号。排错时请结合 OpenClaw doctor 与网关诊断 定位令牌、端口与通道层面的异常。
你将拿到：策略对比矩阵、可直接写进评审材料的默认数字（输出令牌、并行工具、退避上限、会话墙钟）、与 LaunchAgent 共存的注意事项，以及如何把观测数据压缩成财务能看懂的四张序列。
哪些信号说明节流不足
延迟几乎线性上升而 CPU 占用不高，多半是供应商侧排队或速率限制，而不是你本机 Python 突然变慢。另一个征兆是磁盘写入每隔几秒尖峰——智能体在没有缓存的情况下反复序列化同一工作区树。频道里若用户在 400 毫秒内看到两条一模一样的「正在处理」回复，说明去重缺失，静默重试会把 token 账单悄悄翻倍。
建议导出的四个财务友好指标：每个成功任务的 token、每个失败任务的 token、每会话工具调用次数、每个已解决工单的墙钟时长。没有这四条序列，你无法证明模型升级究竟省钱还是让策略回归。
事故时先冻结功能：快照 ~/.openclaw（脱敏密钥），再回滚最近一次策略变更。跳过快照的团队往往要花数天猜测到底是路由模型还是沙箱权限回退。
在 runbook 里写清「熔断后密钥轮换」步骤：节流策略常常在鉴权失败后失败打开，导致客户端疯狂重试。
支持工程师需要一页速查表，列出每个发布标签下生效的节流数值；只看 Git 历史在值班风暴中太慢。
硬上限与自适应队列的取舍
| 策略 | 适用 | 风险 | 运维负担 |
|---|---|---|---|
| 硬最大输出令牌 | 对外机器人 | 回答可能在推理中途被截断 | 低 |
| 单工具延迟预算 | 文件系统爬取 | 合法深度检索失败 | 中 |
| 自适应队列深度 | 有 SLO 的内部团队 | 调参复杂 | 高 |
| 会话步数上限 | 研究型智能体 | 用户需手动继续 | 低 |
多数生产团队组合硬最大输出令牌与会话步数上限：对财务可解释、易于审计。自适应队列适合已有六周基线指标之后再引入。
能写进变更单的默认数字
以下缺省面向单租户网关、16 GB 内存的 Mac mini、并发操作者少于约二十人：
- 最大输出令牌：常规任务 900～1200；代码合成路由仅在特性开关后放宽到约 1800。
- 并行工具调用：shell 为 1；只读文件统计为 2；除白名单外网络为 0。
- 退避：起始 2 秒，每次乘以 1.8，封顶 45 秒，最多 5 次尝试后向人类返回可读错误。
- 单会话墙钟：模型时间硬停 12 分钟，除非操作者显式输入「继续」——避免无限「我再查一下」循环。
上调任何一项都要有分位数证据：若 p95 延迟仍低于目标，再把变更与监控阈值写在同一提交里。
浏览器自动化类工具会把提示长度放大，建议把其路由的 token 预算除以约 2.5；仅 DOM 的工具走更便宜路径。
每次完成事件日志里附带策略版本字符串，Grafana 才能按部署切分前后对比。
节流不能替代沙箱：目录白名单与命令前缀仍需季度评审。
macOS 调度、LaunchAgent 与 fork 压力
OpenClaw 常与文件监视器、日志采集器甚至偶发的 Xcode 模拟器共存。高负载时即便 CPU 不高，fork 密集的工具链也可能把系统推入内存压力。当活跃会话超过三个时串行化 shell 工具，否则 fair 调度会让每次工具调用的墙钟时间膨胀。
LaunchAgent 在失败重启场景应配置 ThrottleInterval，避免在供应商故障时以 10 Hz 狂打模型 API。重启说明页应链接到状态频道。
若本地无法复现 fork 风暴，可短期租用云 Mac mini，镜像生产内存与 macOS 小版本。MacHTML 常见日价约 $16.9，通常比让资深工程师周末猜谜便宜。
测试激进节流前先快照网关 plist 与环境文件；回滚应是单次 launchctl bootout 加恢复，而不是重装。
无风扇 mini 在长时间全核突发后会热降频，这会改变延迟直方图——即便 token 策略未改也要在发布说明里记录环境温度因素。
结构化日志与告警
每行 JSON 记录一次工具调用：conversation_id、tool、duration_ms、exit_code、retry_count、policy_version。写入你们已有的廉价存储即可。
当「每成功解决工单的 token 移动平均」比近七日基线高 20% 时告警——提示模板微调造成的静默回归常被它抓住。
仪表盘建议堆叠「按模型路由的 token」与「按小时/星期的失败热图」：市场活动会放大流量并暴露节流空洞。
在采集端脱敏而非只在展示端脱敏；节流重试会放大日志量并导致复制调试包时意外泄露令牌。
每季度做一次演练：在预发把最大输出令牌临时下调 30%，验证黄金路径仍可完成，再把教训写回生产配置。
值班分级与营销话术对齐
值班手册建议三级：① 下调令牌上限并通知频道；② 关闭非必要工具并把流量切到冷备网关；③ 在财务批准紧急配额前用维护横幅失败关闭。每季度演练一次，避免 API 全区域返回 429 时临场发挥。
产品首页若写「无限研究」，节流在用户眼里永远是 bug。把诚实限制写在定价旁，工单量会下降。
把节流 diff 与提示模板变更绑在同一 PR：二者漂移时，仪表盘会出现「神秘」token 尖峰，其实是文案而非基础设施。
常见问题
账单飙升时最先改哪一项？
先降最大输出令牌并关闭并行工具，直到日志指出最大消耗源。
如何避免无限循环又不杀网关？
用步数与墙钟上限在频道返回显式错误，而不是无限重试。
为何需要独立 Mac mini？
macOS 进程与监视器行为与 Linux 存根不同，fork 与端口争用只在真机完整出现。
Apple 芯片 Mac mini仍是 OpenClaw 的甜点配置：统一内存兼顾本地小模型与网关开销，风扇策略适合机架环境，也与设计同事 VNC 复现时的心理预期一致。MacHTML提供可租用的云 Mac mini，通过 SSH/VNC 验证节流、LaunchAgent 恢复与 doctor 工作流——按需扩容做压测，预算稳定后再回收。
在云端 Mac mini 上验证 OpenClaw 节流
在 Apple 芯片真机上演练令牌上限、工具串行化与网关重启；SSH 自动化，VNC 交互排错。