设计升级机制的三个要点：明确触发条件（重复失败或越界）、明确交接内容（当前提交、日志、已尝试的修复）、明确停止边界（升级不等于回滚，已有变更仍然存在）。