3. 升级窗口概念：升级窗口定义、窗口期策略、业务影响最小化原则

在服务网格治理升级演练中，升级窗口是决定变更风险与业务连续性的核心约束。一个定义清晰的升级窗口，能够将不可控的运行时故障收敛到可预期的时间段内，并通过窗口期策略与影响最小化原则，确保灰度批次间的流量迁移平滑、可观测、可回滚。

3.1 升级窗口定义

升级窗口是指从第一个灰度批次开始注入新版本 Sidecar/数据面，到最后一个批次完成健康检查并确认稳定之间的完整时间区间。窗口内包含明确的启动条件、暂停点、回滚触发条件与关闭条件。

3.2 窗口期策略

窗口期策略定义了升级过程中何时可以推进、何时必须暂停、何时强制回滚。常见的策略模型包括：

• 固定窗口策略：窗口起止时间固定，超时未完成则整体回滚。适用于低风险、可预测的例行升级。
• 自适应窗口策略：根据实时访问日志中的错误率、延迟 P99、连接数等指标动态调整批次间隔与暂停点。适用于高流量、高敏感度的核心服务。
• 人工闸门策略：每个批次升级后等待 SRE 人工确认访问日志无异常，再手动放行下一批次。适用于首次升级或重大版本变更。

3.3 业务影响最小化原则

业务影响最小化原则要求升级窗口的每一个设计决策都以降低对终端用户和业务指标的扰动为优先。具体落地为以下四条子原则：

1. 流量低峰对齐：窗口必须设置在业务流量的谷底时段，通常为凌晨 02:00–06:00。通过历史访问日志确认该时段 QPS 低于日间峰值的 20%。
2. 慢速推进 + 可观测闸门：每个批次升级后，必须等待访问日志中的错误率、延迟、连接数等指标稳定，才能推进下一批次。任何指标超出基线阈值，立即暂停并触发回滚。
3. 最小爆炸半径：每个灰度批次的实例数不超过总实例数的 10%–20%，且优先选择无状态、非核心的实例作为首批。
4. 回滚优先于修复：窗口内一旦发现异常，默认动作是回滚当前批次，而非在线修复。回滚操作必须在 5 分钟内完成，且回滚后访问日志应恢复至基线水平。

3.4 窗口内访问日志的留痕要求

升级窗口期间，访问日志的留痕需要满足以下三个维度的要求：

# Envoy 访问日志格式示例（升级窗口专用）
access_log_format:
  '{"start_time":"%START_TIME%","batch_id":"%DYNAMIC_METADATA(upgrade:batch_id)%",'
  '"source":"%DOWNSTREAM_REMOTE_ADDRESS%","target":"%UPSTREAM_HOST%",'
  '"method":"%REQ(:METHOD)%","path":"%REQ(X-ENVOY-ORIGINAL-PATH?)%",'
  '"response_code":"%RESPONSE_CODE%","duration":"%DURATION%",'
  '"response_flags":"%RESPONSE_FLAGS%","upstream_service_time":"%RESP(X-ENVOY-UPSTREAM-SERVICE-TIME)%"}'