4. 节点升级窗口模型：窗口时间片、滚动批次、健康检查间隔

节点升级窗口模型是灰度放量策略的底层时间-空间约束框架。它定义了“在什么时间范围内、以多大粒度、按什么节奏验证”三个核心维度。Policy as Code 的放量参数必须与该模型对齐，否则策略将脱离实际运维约束，导致升级超时或故障扩散。

4.1 窗口时间片（Window Time Slice）

窗口时间片是允许执行节点升级操作的连续时间段。在 Policy as Code 中，时间片被建模为 time_window 策略块，包含起始时间、结束时间、时区与重复规则。

4.2 滚动批次（Rolling Batch）

滚动批次将目标节点集合划分为多个有序子集，按顺序逐个升级。批次大小与间隔是灰度放量的核心调优参数。Policy as Code 通过 rolling_batch 策略块定义批次策略。

# Policy as Code 滚动批次定义示例（Rego 风格）
rolling_batch := {
  "strategy":   "percentage",       # 或 "fixed_count"
  "batch_size": 10,                 # 百分比或固定数量
  "max_batches": 5,                 # 最大批次数量
  "batch_interval": "5m",           # 批次间等待时间
  "failure_threshold": 2,           # 连续失败批次上限
  "pause_on_failure": true          # 失败后自动暂停
}

批次策略的选择直接影响升级速度与风险暴露面：

• 百分比策略（percentage）：适用于大规模集群，批次大小随集群规模动态调整，但小集群下批次可能过粗。
• 固定数量策略（fixed_count）：适用于中小规模集群，批次粒度可控，但集群扩缩后需手动调整。
• 混合策略：先按百分比粗分，再对首批使用固定小批次做金丝雀验证。

4.3 健康检查间隔（Health Check Interval）

健康检查间隔是批次升级完成后，系统等待节点恢复并验证其健康状态的时间窗口。该参数直接决定滚动节奏的可靠性。Policy as Code 中通过 health_check 策略块定义检查协议与超时。

# Policy as Code 健康检查策略定义
health_check := {
  "protocol":   "http",             # http / tcp / grpc / exec
  "endpoint":   "/healthz",         # 检查路径
  "interval":   "30s",              # 检查间隔
  "timeout":    "10s",              # 单次检查超时
  "retries":    3,                  # 最大重试次数
  "consecutive_success": 2,         # 连续成功次数视为健康
  "max_total_wait": "10m"           # 最大等待时间，超时则回滚
}

4.4 三参数联动关系

窗口时间片、滚动批次、健康检查间隔三者构成一个约束三角，任何单一参数的调整都会影响其他两个参数的有效性。Policy as Code 需要将三者建模为联合约束条件。

4.5 Policy as Code 联合约束示例

以下 Rego 策略展示了如何将三参数联动关系编码为不可变约束：

# 联合约束策略：确保升级计划在窗口内可完成
package upgrade.window

import future.keywords.if

# 计算总耗时：批次数量 × (批次升级耗时 + 健康检查间隔)
total_upgrade_duration := batch_count * (batch_upgrade_time + health_check_interval)

# 约束：总耗时必须小于窗口时间片长度
deny[msg] if {
  total_upgrade_duration > window_duration
  msg := sprintf("升级总耗时 %v 超过窗口时间片 %v，请减小批次数量或缩短健康检查间隔", 
    [total_upgrade_duration, window_duration])
}

# 约束：健康检查间隔不能小于节点启动 P99 时间
deny[msg] if {
  health_check_interval < node_startup_p99
  msg := sprintf("健康检查间隔 %v 小于节点启动 P99 %v，可能导致误判", 
    [health_check_interval, node_startup_p99])
}

# 约束：首批批次大小不得超过金丝雀阈值
deny[msg] if {
  batch_index == 1
  batch_size_percentage > canary_threshold
  msg := sprintf("首批批次大小 %v%% 超过金丝雀阈值 %v%%", 
    [batch_size_percentage, canary_threshold])
}