4. 升级窗口的定义与约束：业务低峰期、变更窗口、回滚窗口、合规性要求
在 Kubernetes 集群升级工程中，升级窗口并非一个简单的时间段，而是一组由业务连续性、变更管理流程与合规审计共同定义的时间-状态约束集合。错误的窗口定义会导致 Pod 容量规划失效、SLO 违约甚至合规违规。本节从四个核心维度拆解升级窗口的构成要素与约束条件。
4.1 业务低峰期：流量基线与安全余量
业务低峰期是升级窗口的时间锚点。容量规划必须基于该时段的真实流量基线，而非全天平均值。
| 时段类型 | 流量占比（相对峰值） | 典型窗口长度 | 容量规划要点 |
|---|---|---|---|
| 深度低峰 | < 20% | 02:00 – 05:00 | 可容忍单批次升级 30% 节点，Pod 重调度风险最低 |
| 浅度低峰 | 20% – 40% | 23:00 – 01:00 / 05:00 – 07:00 | 需保留 1.5x 缓冲容量，避免突发流量击穿 |
| 常规时段 | 40% – 70% | 非窗口 | 仅允许紧急热修复，必须配合 HPA 弹性扩容 |
容量规划提示： 低峰期流量基线应取过去 14 天同时间段的 P95 值，而非平均值。平均值会掩盖突发毛刺，导致升级期间 Pod 资源争抢。
4.2 变更窗口：时间盒与阶段门禁
变更窗口定义了升级操作允许执行的时间范围以及阶段间的检查点。在 Kubernetes 集群升级场景中，变更窗口通常拆分为三个子阶段：
- 准备阶段（Pre-flight）：执行预检查脚本、确认节点健康、拉取目标版本镜像。该阶段不计入 Pod 容量影响，但必须在变更窗口开启前完成。
- 执行阶段（Rollout）：逐批次封锁（cordon）、驱逐（drain）、升级节点。该阶段是 Pod 容量规划的核心计算区间。
- 观察阶段（Settle）：升级完成后等待 15–30 分钟，确认集群控制面与工作负载稳定。
常见陷阱： 变更窗口的结束时间不是“升级完成时间”，而是“回滚决策截止时间”。如果窗口关闭前未完成回滚，则必须中止升级并保留集群在中间状态，这会导致容量规划模型失效。
4.3 回滚窗口：容量冗余与决策倒计时
回滚窗口是升级窗口中最容易被低估的约束。它要求集群在升级失败时，能在指定时间内将全部节点恢复到升级前版本，且不触发级联故障。
回滚窗口的容量规划公式：
回滚所需最小空闲容量 = max(
单批次最大驱逐 Pod 数 × 2, // 回滚时需同时运行新旧版本 Pod
集群总 Pod 数的 15% // 安全冗余下限
)回滚窗口的典型约束清单：
- 时间约束：回滚必须在变更窗口关闭前完成，通常预留 30–45 分钟。
- 版本约束：回滚目标版本必须是升级前集群的精确版本（包括补丁号），不允许跨小版本回退。
- 数据约束：如果升级涉及存储插件或 CSI 驱动变更，回滚必须验证 PV/PVC 数据面兼容性。
4.4 合规性要求：审计轨迹与变更审批
在金融、医疗、政府等受监管行业，升级窗口必须满足合规性约束，否则容量规划即使技术上正确也无法通过审批。
| 合规维度 | 具体要求 | 对容量规划的影响 |
|---|---|---|
| 变更审批 | 升级窗口需提前 48–72 小时提交 CAB（变更咨询委员会）审批 | 容量规划报告必须附带资源预留证明 |
| 审计轨迹 | 每个节点的升级开始/结束时间、操作人、版本号必须记录 | 需在规划中预留审计日志采集 Pod 的资源开销 |
| SLA 保护 | 升级期间不允许触发 P0/P1 告警 | 容量规划必须保证 PDB（Pod 中断预算）不降级 |
| 数据驻留 | 某些地域要求节点升级不跨数据中心迁移 Pod | 需使用拓扑分布约束，限制 Pod 重调度范围 |
4.5 升级窗口四维约束关系图
下图展示了四个约束维度之间的依赖关系与数据流向，帮助容量规划工程师在制定升级计划时进行全局权衡。
4.6 约束冲突时的优先级决策
当四个维度的约束发生冲突时，容量规划工程师需要遵循以下优先级顺序进行决策：
优先级排序（从高到低）：
1. 合规性要求 — 不可绕过，否则升级计划无法通过审批
2. 回滚窗口 — 必须保留足够的容量冗余和时间余量
3. 业务低峰期 — 决定升级窗口的时间锚点
4. 变更窗口 — 在满足前三者的前提下，优化执行效率
1. 合规性要求 — 不可绕过，否则升级计划无法通过审批
2. 回滚窗口 — 必须保留足够的容量冗余和时间余量
3. 业务低峰期 — 决定升级窗口的时间锚点
4. 变更窗口 — 在满足前三者的前提下，优化执行效率
例如：如果合规性要求规定升级必须在 UTC 时间 02:00–04:00 之间完成，而业务低峰期在本地时间 03:00–05:00，则容量规划必须以合规窗口为准，并额外增加 1.2x 的 Pod 缓冲容量来补偿非最优低峰时段的风险。