4. 变更窗口类型：计划内变更窗口、紧急变更窗口、静默期窗口、冻结期窗口
变更窗口（Change Window）是事故响应体系中用于控制变更引入时机的核心策略。不同类型的窗口对应不同的风险等级、审批流程和回滚要求。合理划分并严格执行变更窗口类型，能够显著降低因变更引发的事故概率，并缩短事故后的恢复时间（MTTR）。
4.1 四种变更窗口类型概述
根据变更的紧急程度、影响范围以及业务周期，变更窗口通常划分为以下四种类型：
| 窗口类型 | 风险等级 | 审批流程 | 典型场景 | 回滚要求 |
|---|---|---|---|---|
| 计划内变更窗口 | 低 | 标准审批（提前 24-72h） | 版本发布、硬件扩容、数据库索引优化 | 需提前准备回滚脚本 |
| 紧急变更窗口 | 高 | 快速审批（30min 内） | 安全漏洞修复、关键服务宕机修复 | 必须同时准备回滚方案 |
| 静默期窗口 | 极高 | 原则上禁止变更 | 大促活动期间、核心业务高峰期 | 仅允许紧急安全修复 |
| 冻结期窗口 | 最高 | 完全禁止变更 | 年终结算、监管审计、重大节假日 | 任何变更均需特批 |
SRE 最佳实践： 建议在变更管理平台中为每种窗口类型设置独立的审批流和自动化门禁。例如，计划内变更窗口自动触发 CI/CD 流水线，而紧急变更窗口则要求值班经理手动确认。
4.2 计划内变更窗口（Standard Change Window）
计划内变更窗口是日常运维中最常用的变更类型。它遵循固定的时间周期（如每周二 14:00-16:00），所有变更需提前提交变更请求（RFC），经过变更咨询委员会（CAB）评审后方可执行。
- 时间特征： 固定时段、提前排期、非业务高峰期。
- 风险控制： 灰度发布、金丝雀部署、自动化测试门禁。
- MTTR 关联： 计划内变更引发的故障通常有完整的回滚预案，MTTR 可控制在 15-30 分钟内。
4.3 紧急变更窗口（Emergency Change Window）
紧急变更窗口用于处理正在发生的生产事故或高危安全漏洞。此类窗口的审批流程被大幅简化，但执行标准反而更高——必须同时提交回滚方案。
关键指标： 紧急变更窗口的 MTTR 目标 通常设定为 1 小时以内。如果紧急变更本身执行时间超过 30 分钟，则必须启动事故管理流程，由事故指挥官（IC）接管决策。
4.4 静默期窗口（Silence Period Window）
静默期窗口是指在特定时间段内，原则上禁止任何非必要的变更操作。静默期通常与业务高峰、大促活动或重要营销节点绑定。
- 常见场景： 双十一、黑色星期五、财报发布前 48 小时。
- 例外规则： 仅允许 P0 级事故修复或高危安全漏洞（CVSS 9.0+）变更。
- MTTR 影响： 静默期内发生事故时，由于变更活动被抑制，根因定位范围缩小，MTTR 反而可能降低。
4.5 冻结期窗口（Freeze Period Window）
冻结期窗口是最高级别的变更管控状态。在此期间，所有变更（包括紧急变更）均需获得 CTO 或 VP 级别的特批。冻结期通常覆盖年终结算、监管审计、核心系统迁移等关键节点。
| 对比维度 | 静默期窗口 | 冻结期窗口 |
|---|---|---|
| 变更禁止范围 | 非必要变更 | 所有变更（含紧急变更） |
| 审批层级 | 部门经理 | CTO / VP |
| 持续时间 | 通常 24-72 小时 | 通常 7-14 天 |
| 事故响应策略 | 优先回滚而非修复 | 优先降级而非变更 |
4.6 变更窗口与事故响应联动流程
变更窗口类型直接决定了事故响应时的处置策略。以下 SVG 展示了四种窗口类型与事故响应阶段的联动关系：
4.7 变更窗口切换与升级机制
在实际事故响应过程中，变更窗口类型并非一成不变。当事故等级升级或业务状态发生变化时，窗口类型可以动态切换：
- 计划内 → 紧急： 当计划内变更引发 P0 级事故时，自动切换为紧急变更窗口，启动快速审批通道。
- 静默期 → 紧急： 静默期内发生高危安全漏洞（CVSS ≥ 9.0），经安全负责人批准后可临时开启紧急变更窗口。
- 冻结期 → 特批： 冻结期内任何变更均需 CTO 特批，且变更执行后必须立即进行全量回滚验证。
常见陷阱： 部分团队在静默期或冻结期内，为了修复低优先级故障而违规开启紧急变更窗口，导致更大范围的事故。SRE 团队应建立变更窗口违规的自动化告警和审计机制，对违规行为进行事后问责。
4.8 变更窗口配置建议
根据行业经验，建议 SRE 团队按以下原则配置变更窗口：
- 计划内变更窗口： 每周固定 2-3 个时段，每个时段不超过 4 小时。
- 紧急变更窗口： 每天预留 1 个紧急变更时段（如 22:00-23:00），用于处理当日积累的紧急变更。
- 静默期窗口： 每月不超过 3 次，每次不超过 72 小时。
- 冻结期窗口： 每年不超过 4 次，每次不超过 14 天。
通过严格区分并执行这四种变更窗口类型，SRE 团队能够将变更引入的风险控制在可接受范围内，同时确保事故响应时的处置策略与当前业务风险等级相匹配，从而有效降低 MTTR。