3. 变更窗口定义：概念、类型与分类体系
变更窗口（Change Window）是变更管理流程中预先定义的时间段，在该时间段内允许执行经过审批的变更操作。变更窗口的核心目的是在业务风险与运维效率之间取得平衡，确保变更在可控、可审计、可回滚的前提下实施。
3.1 变更窗口的核心概念
变更窗口并非简单的“允许变更的时间段”，它包含以下关键属性：
- 时间范围：明确的开始与结束时间，通常以分钟级精度定义。
- 适用范围：可变更的系统、组件或服务范围。
- 审批层级：不同变更类型对应的审批路径与授权级别。
- 回滚策略：窗口内变更失败时的回滚时间预算与操作预案。
- 观察期：变更实施后的监控与验证时长，确保变更未引入异常。
关键原则：变更窗口不是“随时可变更”的许可，而是“在特定条件下可变更”的约束框架。窗口外执行变更属于违规操作，需触发事故响应流程。
3.2 变更窗口的类型
根据变更的紧急程度、影响范围与审批流程，变更窗口通常分为以下三种类型：
| 类型 | 定义 | 审批层级 | 典型场景 | 窗口时长 |
|---|---|---|---|---|
| 紧急变更 | 因生产事故或安全漏洞需要立即实施的变更，可跳过常规审批流程 | 值班经理 + 事故指挥官 | 线上故障修复、安全补丁紧急部署 | 无固定窗口，按事故响应流程执行 |
| 标准变更 | 经过预审批、风险低、操作步骤标准化的变更 | 变更经理（预审批） | 例行补丁更新、配置参数调整、非核心服务重启 | 通常 1-4 小时 |
| 常规变更 | 需要完整审批流程、影响范围较大的计划性变更 | 变更咨询委员会（CAB） | 架构升级、数据库迁移、核心服务版本更新 | 通常 4-8 小时，需提前 48-72 小时申请 |
实践建议：标准变更应建立“变更模板库”，将重复性操作固化为可一键执行的 Runbook，减少人为失误。紧急变更需在事后 24 小时内补全变更记录与复盘报告。
3.3 变更窗口分类体系
变更窗口的分类不仅取决于变更本身，还受业务时段、系统重要性和变更风险等级三个维度影响。下图展示了变更窗口的完整分类体系：
3.4 变更窗口与 Runbook 的关联
在 Runbook 自动化体系中，变更窗口是触发条件的重要组成部分。Runbook 在执行变更前需校验以下窗口条件：
- 时间校验：当前时间是否在允许的变更窗口内。
- 类型匹配：变更类型是否与窗口类型一致（紧急变更不受窗口限制）。
- 审批状态：对应审批流程是否已完成。
- 窗口余量：剩余窗口时间是否足够完成变更操作与观察期。
常见陷阱：变更窗口超时是 Runbook 执行失败的常见原因。建议在 Runbook 中设置“窗口余量检查”步骤，当剩余时间不足预估操作时间的 1.5 倍时，自动拒绝变更并返回提示。
3.5 变更窗口配置示例
以下是一个标准变更窗口的 YAML 配置示例，可直接用于 Runbook 引擎的窗口校验模块：
change_window:
name: "production_standard_window"
type: "standard"
time_range:
start: "22:00"
end: "02:00"
timezone: "Asia/Shanghai"
applicable_days:
- "monday"
- "tuesday"
- "wednesday"
- "thursday"
- "friday"
approval_required: true
approval_level: "change_manager"
max_duration_minutes: 120
observation_minutes: 30
rollback_budget_minutes: 15
allowed_risk_levels:
- "low"
- "medium"
excluded_services:
- "payment-gateway"
- "user-auth-service"该配置定义了标准变更窗口为工作日 22:00 至次日 02:00，最长执行 120 分钟，需变更经理审批，且排除支付网关和用户认证服务等高敏感系统。