3. 变更窗口概述：定义、类型与生命周期
变更窗口（Change Window）是事故响应与故障链路追踪中最重要的时间约束概念之一。它定义了允许对生产环境实施变更的特定时间段，以及在该时间段内必须遵循的审批、执行与回滚流程。在标准模板驱动的事故响应体系中，变更窗口直接决定了故障链路追踪的起点、数据采集粒度与告警阈值。
3.1 变更窗口的定义
变更窗口是指经过审批、在预定时间范围内对 IT 基础设施、应用系统或配置项执行计划内变更的时间区间。它包含三个核心要素：
- 时间边界：明确的开始时间与结束时间，通常精确到分钟级。
- 变更范围：允许变更的资源集合（如特定主机、服务、数据库实例）。
- 审批状态：变更窗口必须关联一个已批准的变更请求（RFC）。
关键原则： 任何未在变更窗口内执行的变更，均视为计划外变更，应触发紧急事故响应流程，并自动标记故障链路追踪中的相关 Span 为“未授权变更”。
3.2 变更窗口的类型
根据变更的风险等级、紧急程度与审批流程，变更窗口分为以下三种类型：
| 类型 | 英文名称 | 风险等级 | 审批流程 | 典型场景 |
|---|---|---|---|---|
| 标准变更窗口 | Standard Change Window | 低 | 预授权（无需逐次审批） | 例行补丁更新、监控 Agent 升级、非功能性配置调整 |
| 紧急变更窗口 | Emergency Change Window | 高 | 快速审批（CAB 紧急会议或授权代表） | 安全漏洞修复、生产环境宕机恢复、关键业务阻断故障 |
| 常规变更窗口 | Normal Change Window | 中 | 标准审批（CAB 评审） | 功能发布、架构调整、数据库迁移 |
可观测性建议： 在链路追踪系统中，为每种变更窗口类型设置不同的
change.window.type 标签。标准变更窗口的追踪数据可自动归档，紧急变更窗口的追踪数据应保留更长时间并关联事故工单。
3.3 变更窗口的生命周期
变更窗口从创建到关闭经历五个阶段，每个阶段都与故障链路追踪的特定环节对应：
- 创建阶段（Creation）：提交变更请求，定义窗口时间、范围与回滚计划。链路追踪在此阶段生成
change.window.create事件。 - 审批阶段（Approval）：根据变更类型执行审批流程。标准窗口自动通过，常规窗口需 CAB 投票，紧急窗口需授权代表签字。追踪系统记录审批耗时与决策人。
- 执行阶段（Execution）：在窗口时间内实施变更。所有操作日志、指标、调用链数据均标记该窗口 ID。若执行超时，触发告警并自动进入回滚流程。
- 验证阶段（Verification）：变更完成后，运行预定义的验证用例。链路追踪系统对比变更前后的基线指标（如 P99 延迟、错误率）。
- 关闭阶段（Closure）：确认变更成功，关闭窗口。若验证失败，则标记为“失败变更”，并启动事故响应。
3.4 变更窗口与故障链路追踪的集成点
在标准模板驱动的事故响应体系中，变更窗口数据是故障链路追踪的第一级上下文。以下表格列出了关键集成字段：
| 追踪字段 | 来源 | 说明 |
|---|---|---|
change.window.id |
变更管理系统 | 全局唯一变更窗口标识，关联所有 Span |
change.window.type |
变更请求分类 | standard / emergency / normal |
change.window.start |
审批通过时间 | Unix 时间戳，用于计算变更执行偏移 |
change.window.end |
计划结束时间 | 超时判定依据 |
change.window.status |
生命周期阶段 | created / approved / executing / verifying / closed / failed |
常见陷阱： 不要将变更窗口的“计划结束时间”与“实际结束时间”混淆。在链路追踪中，
change.window.end 应始终使用计划时间，实际完成时间由 change.window.closed 事件的时间戳提供。两者偏差超过阈值时，应自动生成“变更窗口超期”告警。
3.5 变更窗口的度量指标
为保障变更窗口的有效性，SRE 团队应持续监控以下指标：
- 窗口遵守率（Window Compliance Rate）：在计划窗口内完成的变更占比。目标值 > 95%。
- 紧急变更占比（Emergency Change Ratio）：紧急变更窗口数量 / 总变更窗口数量。目标值 < 10%。
- 平均审批时长（Mean Approval Time）：从创建到审批通过的平均时间。常规窗口目标 < 4 小时，紧急窗口目标 < 30 分钟。
- 变更失败率（Change Failure Rate）：验证失败或触发事故的变更窗口占比。目标值 < 5%。
这些指标应作为故障链路追踪仪表盘的顶层 KPI，与事故响应 SLA 直接关联。