低频接口 P99 在 1 分钟窗口里只有 300 个样本：尾部指标到底该用「P99」还是「TopK / 超阈值计数」，最小样本量有没有可计算的判据？

【背景】 我在给一条 B 端数据平台的指标体系定 SLO 告警。核心链路里有一组「低频但关键」的接口：报表导出、批量对账、权限校验，流量特征是高峰约 500 req/min，凌晨谷底约 20~40 req/min，而监控采集与告警窗口统一是 1 分钟。团队现在的惯例是「所有接口统一看 P99，阈值写死 800ms」。

【现象（带数据）】

1. 高峰期 500 样本下，P99 指向第 5 名慢请求，窗口之间波动尚可接受；
2. 凌晨 25~40 样本下，P99 实际指向「第 1~2 名慢请求」——任何一个 GC、一次冷缓存都直接顶掉 P99，上周 7 天凌晨段 P99 告警触发了 4 次，事后看全是单点慢请求，无业务影响；
3. 反过来，高峰时段真出问题（下游 DB 抖动 20 秒），P99 只涨了 120ms，但慢请求绝对数从 3 个涨到 40 个，业务侧导出了 11 次失败——分位数把这个故障「稀释」了，告警反而更晚。
4. 我们试过把窗口拉到 5 分钟，凌晨样本量够了，但告警延迟从 1 分钟变成 5 分钟，值班同学不认。

【已尝试的排查与结果】

• 把阈值从 800ms 调到 500ms：凌晨误报没降，反而更多（样本越小、阈值越敏感）；
• 改成 P999：更糟，25 个样本下 P999 约等于 max；
• 想改成「Top-10 中位数」或「超过 800ms 的请求数 ≥ N」，但不知道 N 怎么定才同时满足「凌晨不误报、高峰不漏报」，也没有可计算的最小样本量判据；
• 看了社区里关于比率指标小分母抖动的文章（Wilson 置信区间那套思路对比率指标有效），但分位数没有对应的置信区间公式可以直接套，卡在「多少样本才够算 P99」这一步。

【期望得到的答案形态】

1. 一个可计算的判据：给定目标分位 P99 与可接受的窗口间波动（如 P99 的 95% 置信区间宽度 ≤ 50ms），最小样本量 N 是多少？公式或近似推导都可以，最好能给出 200 样本 / 500 样本 / 2000 样本下的理论波动量级；
2. 低频接口的尾部 SLO 替代设计：TopK 中位数、超阈值计数（slow-request ratio）、还是「每 5 分钟窗口 + 最小样本量门槛 + 不足则降级为 max 观察」？各自的告警规则怎么写；
3. 有没有生产环境把「P99 告警 + 慢请求绝对数告警」双轨并行的实践，阈值怎么配的。

【小结】本质问题：P99 在样本量 N 下等价于「第 N×1% 名慢请求」，N 小时它就是 max 的伪装；想把它变成可信的尾部 SLO，需要一个样本量下限，以及低于下限时的替代指标——目前我只有直觉，没有判据。