on_error 的 block 与 log 对应分布式系统中的 fail-closed 与 fail-open 两种故障策略，两者都只是转移风险而非消除风险。