3. 升级窗口定义
升级窗口是集群运维中预先规划的一段可执行节点升级操作的时间区间。它并非随意选择的时间段，而是综合业务负载、运维人力、故障恢复能力后划定的“安全操作区”。窗口定义的核心要素包括：起止时间、时长与频率。
3.1 什么是升级窗口
升级窗口是集群节点从旧版本升级到目标版本所允许的连续时间段。在该窗口内，运维团队可以执行节点排水、镜像拉取、kubelet 重启、健康检查等操作；窗口外则禁止任何变更，以保证业务稳定性。
关键原则：升级窗口不是“操作时长”，而是“允许操作的时间段”。实际升级耗时可能短于窗口，但窗口必须覆盖完整的升级流程及回滚预留时间。
最佳实践：窗口定义应包含 15%~20% 的缓冲时间，用于处理升级过程中出现的异常回滚或重试。
3.2 窗口的起止时间
起止时间定义了升级操作的开始边界和结束边界。通常以业务低峰期为基准，结合运维团队的工作时段进行设定。
| 时间要素 | 定义 | 示例 |
|---|---|---|
| 窗口开始时间 | 允许执行第一个升级动作的时刻 | 2025-04-10 02:00 (UTC+8) |
| 窗口结束时间 | 所有升级操作必须停止的时刻 | 2025-04-10 06:00 (UTC+8) |
| 强制截止点 | 超过该时间点后，未完成的节点必须回滚或暂停 | 2025-04-10 05:45 (预留 15 分钟回滚) |
注意：窗口结束时间不等于“升级完成时间”。如果窗口结束时仍有节点未完成升级，应触发暂停机制，等待下一个窗口继续，而非强行操作。
3.3 窗口的时长与频率
时长与频率决定了升级的整体节奏和业务影响范围。合理的时长应能完成单批次节点的升级，而频率则需平衡升级进度与集群稳定性。
时长设定原则
- 单节点升级耗时：通常 15~30 分钟（含排水、镜像拉取、kubelet 重启、健康检查）。
- 批次节点数：建议每批次 3~5 个节点，避免同时升级过多节点导致集群容量不足。
- 窗口总时长 = 单节点耗时 × 批次节点数 × (1 + 回滚系数)，回滚系数建议 0.2~0.3。
频率设定原则
- 每日窗口：适用于紧急安全升级，但需业务方确认。
- 每周窗口：常规版本升级推荐频率，如每周二凌晨 2:00~4:00。
- 双周/月度窗口：大版本或架构升级，需要更长的准备和验证周期。
| 频率类型 | 适用场景 | 典型时长 | 风险等级 |
|---|---|---|---|
| 每日窗口 | 紧急安全补丁、高危漏洞修复 | 1~2 小时 | 高（频繁变更） |
| 每周窗口 | 常规版本迭代、功能更新 | 2~4 小时 | 中 |
| 双周窗口 | 大版本升级、架构调整 | 4~6 小时 | 低（充分准备） |
| 月度窗口 | 跨大版本升级、集群重构 | 6~8 小时 | 低（需长窗口） |
3.4 窗口定义复核清单
在复核升级窗口时，建议逐项确认以下要素：
- 窗口是否覆盖业务低峰期？ 确认所选时段与业务流量曲线匹配。
- 窗口时长是否包含回滚缓冲？ 至少预留 15~20% 的额外时间。
- 频率是否与版本发布节奏一致？ 避免窗口过于密集导致运维疲劳。
- 窗口是否与变更审批流程对齐？ 确保窗口开始前已完成审批。
- 是否有窗口超时处理预案？ 定义超时后的暂停、回滚或继续策略。
复核要点：窗口定义不是一次性工作。每次升级前都应基于当前集群负载、业务日历、运维资源重新复核窗口的合理性。