1. 变更窗口概念
1.1 变更窗口的定义
变更窗口（Change Window）是指在数据库运维中，预先规划并得到审批的、允许对数据库系统执行计划性变更操作的时间段。它是数据库可靠性工程中最重要的时间约束机制之一，将变更行为限定在可控、可观测、可回滚的时间区间内执行。
核心定义：变更窗口 = 经过审批的、可执行数据库变更的、有明确起止时间的、具备回滚预案的时间区间。
变更窗口通常包含以下三个关键属性：
- 起始时间（Start Time）：变更操作可以开始执行的最早时刻。
- 截止时间（End Time / Hard Stop）：变更操作必须停止或回滚的最晚时刻，通常为业务高峰来临前的缓冲时间。
- 窗口时长（Duration）：起始时间与截止时间之间的可用操作时长，通常以分钟或小时计。
1.2 变更窗口在数据库运维中的重要性
数据库作为状态密集型系统，任何变更（DDL、DML、参数调整、索引重建、版本升级）都可能引发性能抖动、连接中断、数据不一致甚至宕机。变更窗口从以下四个维度保障数据库可靠性：
| 维度 | 风险场景 | 变更窗口的保障机制 |
|---|---|---|
| 业务连续性 | 变更导致查询超时、事务阻塞 | 窗口期避开业务高峰，降低对在线用户的影响 |
| 可观测性 | 变更后指标异常无法快速定位 | 窗口内集中监控，变更前后基线对比 |
| 可回滚性 | 变更失败后恢复时间过长 | 窗口预留回滚时间，确保有足够时间恢复至变更前状态 |
| 审批与审计 | 未经授权的变更导致故障 | 窗口需经变更管理委员会（CAB）审批，变更记录可追溯 |
常见误区：变更窗口不是"可以随便操作的时间段"，而是"即使操作失败，也有足够时间恢复且不影响业务的时间段"。窗口结束时若未完成变更，必须执行回滚而非强行继续。
1.3 变更窗口的典型时间范围
不同业务场景对变更窗口的要求差异显著。以下为数据库运维中常见的变更窗口分类及典型时间范围：
| 窗口类型 | 典型时间范围 | 适用场景 | 风险等级 |
|---|---|---|---|
| 常规窗口 | 每周 1~2 次，每次 2~4 小时 | 索引维护、统计信息更新、参数调整 | 低 |
| 紧急窗口 | 随时申请，窗口时长 30~60 分钟 | 安全补丁、故障修复、死锁解除 | 中 |
| 大版本窗口 | 每季度 1 次，窗口 4~8 小时 | 数据库大版本升级、硬件替换、架构迁移 | 高 |
| 零窗口 | 无固定窗口，依赖在线变更工具 | 7×24 关键业务，使用 gh-ost、pt-online-schema-change | 极高（需工具保障） |
在实际生产环境中，变更窗口的设定需综合考虑以下因素：
- 业务峰值时段：通常选择凌晨 02:00~06:00 作为首选窗口。
- 备份窗口：变更窗口不得与全量备份窗口重叠，避免 I/O 争抢。
- 监控值班时段：窗口内必须有 DBA 或 SRE 在线值守。
- 回滚预留：窗口总时长的 20%~30% 必须预留给回滚操作。
最佳实践：建议将变更窗口划分为三个子阶段——变更执行期（50%）、验证观测期（30%）、回滚预留期（20%）。使用倒计时机制，当进入回滚预留期时自动触发告警通知。