4. 变更窗口类型：计划内变更窗口、紧急变更窗口、标准变更窗口、变更窗口的审批流程

在事故响应体系中，变更窗口（Change Window）是触发 Runbook 执行的核心时间约束。不同类型的变更窗口对应不同的风险等级、审批路径和自动化触发策略。本章将系统定义三种变更窗口类型及其审批流程，并说明如何通过 Runbook 机制实现窗口感知的自动化触发。

4.1 变更窗口类型定义

根据变更的紧急程度、影响范围和预授权状态，变更窗口分为以下三类：

4.2 计划内变更窗口

计划内变更窗口是经过预先规划、评审和排期的变更时段。其核心特征是变更内容、影响范围、回退方案均在窗口开启前完成审批。

4.2.1 窗口特征

• 固定时段：通常与业务低峰期对齐，例如每周二凌晨 02:00–06:00。
• 变更内容冻结：窗口开启前 24 小时停止新变更提交，仅允许已审批变更进入队列。
• Runbook 触发模式：定时触发 + 人工确认。Runbook 在窗口开启时自动执行预检，等待变更负责人确认后执行变更步骤。

4.2.2 审批流程

1. 变更提交：变更发起人填写变更单，包含变更描述、影响评估、回退计划、测试结果。
2. 技术评审：相关技术负责人（SRE、开发、安全）评审变更方案。
3. 变更经理审批：变更经理根据评审意见决定是否批准变更进入窗口队列。
4. 窗口排期：已审批变更被分配至下一个可用窗口。
5. 窗口开启通知：Runbook 在窗口开启前 15 分钟向变更负责人发送通知。

4.3 紧急变更窗口

紧急变更窗口用于处理需要立即介入的生产事件。其核心特征是审批流程后置，变更执行优先于审批完成。

4.3.1 窗口特征

• 即时开启：由事故指挥官或值班 SRE 触发，不受固定时段限制。
• 变更范围受限：仅允许执行与事故恢复直接相关的变更操作。
• Runbook 触发模式：手动触发 + 自动记录。Runbook 由事故指挥官手动调用，自动记录所有执行步骤和输出日志，用于事后审计。

4.3.2 审批流程

1. 事故确认：值班 SRE 确认事故等级，判断是否需要紧急变更。
2. 口头授权：事故指挥官口头授权变更执行（通常通过电话或即时通讯）。
3. 变更执行：Runbook 被触发，执行变更操作。所有操作被实时记录。
4. 事后补批：变更执行完成后 24 小时内，变更发起人提交紧急变更单，由变更经理和事故指挥官共同补签。
5. 审计归档：变更记录与事故报告关联，纳入事后复盘。

4.4 标准变更窗口

标准变更窗口适用于低风险、高频次、已预授权的变更操作。这类变更无需逐次审批，Runbook 可在窗口开启时全自动执行。

4.4.1 窗口特征

• 预授权清单：变更内容必须属于已审批的标准变更清单（如日志轮转、证书自动续期、非功能性配置更新）。
• 全自动执行：Runbook 在窗口开启时自动触发，执行完成后自动关闭变更单。
• 异常处理：若执行失败，Runbook 自动回退并通知值班 SRE。

4.4.2 审批流程

1. 标准变更注册：变更发起人将变更模板提交至标准变更清单，经变更经理审批后生效。
2. 窗口排期：标准变更被自动分配至下一个可用窗口。
3. 自动执行：Runbook 在窗口开启时自动执行，无需人工确认。
4. 执行报告：Runbook 自动生成执行报告，发送至变更经理和变更发起人。

4.5 变更窗口的审批流程对比

三种变更窗口的审批流程在审批时机、审批角色和审批深度上存在显著差异。下表总结了关键对比维度：

4.6 变更窗口审批流程的 Runbook 触发机制设计

Runbook 触发机制需要感知变更窗口类型，并根据窗口状态和审批状态决定是否执行变更。下图展示了三种窗口类型的 Runbook 触发决策流程：

4.7 审批流程与 Runbook 的集成模式

Runbook 触发机制需要与审批系统深度集成，实现审批状态感知和流程自动化。以下是三种集成模式：

4.8 变更窗口审批流程的 Runbook 触发示例

以下是一个基于 Python 的 Runbook 触发决策示例，展示了如何根据窗口类型和审批状态决定执行路径：

def trigger_runbook(change_request):
    """
    根据变更请求的窗口类型和审批状态触发 Runbook
    """
    window_type = change_request.get('window_type')
    approval_status = change_request.get('approval_status')

    if window_type == 'planned':
        # 计划内变更：审批前置
        if approval_status == 'approved':
            execute_planned_change(change_request)
        else:
            abort_runbook('变更未审批通过，拒绝执行')
            notify_change_manager(change_request)

    elif window_type == 'emergency':
        # 紧急变更：先执行，后补批
        execute_emergency_change(change_request)
        create_post_approval_ticket(change_request)

    elif window_type == 'standard':
        # 标准变更：校验预授权清单
        if is_in_standard_list(change_request):
            execute_standard_change(change_request)
        else:
            abort_runbook('变更不在标准变更清单中')
            notify_change_manager(change_request)

    else:
        abort_runbook(f'未知的变更窗口类型: {window_type}')

4.9 变更窗口审批流程的常见问题与避坑

• 审批流程与窗口时间冲突：计划内变更的审批流程耗时过长，导致变更无法在窗口关闭前完成。解决方案：设置审批 SLA，超时自动升级至变更经理。
• 紧急变更的口头授权缺乏记录：口头授权后未及时补录系统，导致审计缺失。解决方案：Runbook 在触发时自动创建紧急变更单，并记录授权人、授权时间和授权方式。
• 标准变更清单膨胀失控：标准变更清单未定期复审，导致高风险变更被错误归类为标准变更。解决方案：每季度复审标准变更清单，移除不再适用的变更模板。
• Runbook 与审批系统状态不同步：审批系统状态已变更，但 Runbook 仍使用旧状态执行。解决方案：使用 Webhook 实时推送审批状态变更，避免轮询延迟。