2. 变更窗口管理原则

变更窗口是数据库可靠性工程中控制风险的核心机制。通过明确的时间窗口划分、频率控制、审批流程与回滚策略，团队能够在保障业务连续性的前提下，安全地完成数据库架构变更、参数调整、索引维护与版本升级。本节从四个维度系统阐述变更窗口的管理原则。

2.1 变更窗口的时间窗口划分

时间窗口划分需综合考虑业务流量曲线、数据一致性要求与运维响应能力。通常将一天划分为三个典型窗口：

下图展示了典型变更窗口在一天中的分布与切换逻辑：

2.2 变更频率控制

变更频率直接影响数据库的稳定性与可观测性。过高的变更频率会导致系统抖动、监控噪音与回滚困难。推荐采用以下频率控制策略：

• 单窗口变更数上限：每个常规窗口内，同一数据库实例的变更操作不超过 3 个。
• 变更间隔冷却期：同一集群两次变更之间至少间隔 1 个完整窗口（即 24 小时）。
• 批量变更合并：将多个低风险变更（如索引维护、统计信息更新）合并为一次变更批次执行。
• 变更类型配额：每周 DDL 变更不超过 5 次，DML 批量操作不超过 10 次。

2.3 变更审批流程

变更审批流程采用分级授权机制，根据变更影响范围与风险等级设置不同的审批路径。标准流程包含以下五个步骤：

1. 变更申请：提交变更单，包含变更目的、影响范围、执行步骤、回滚方案与预期耗时。
2. 技术初审：由 DBA 或 SRE 负责人审核变更方案的合理性与回滚预案的完整性。
3. 风险评估：根据变更类型、涉及数据量、并发影响等维度进行风险定级（P0/P1/P2）。
4. 审批授权：P2 变更由技术负责人审批；P1 变更需技术负责人 + 业务方确认；P0 变更需技术委员会投票。
5. 变更执行确认：窗口开始前 15 分钟，执行人确认系统状态正常、审批链完整后，方可开始操作。

下表总结了不同风险等级的审批要求：

2.4 回滚策略

回滚策略是变更窗口的最后一道防线。每个变更方案必须包含可验证的回滚步骤，且回滚操作必须在变更执行前经过至少一次演练。回滚策略分为三个层级：

• 语句级回滚：对于 DDL 变更（如新增索引、修改参数），使用 ROLLBACK 或反向 DDL 语句恢复。例如：

-- 变更语句
ALTER TABLE orders ADD INDEX idx_create_time (create_time);

-- 回滚语句
ALTER TABLE orders DROP INDEX idx_create_time;

• 快照级回滚：对于 DML 批量操作或数据迁移，依赖数据库快照或备份集进行恢复。变更前必须创建一致性快照。
• 实例级回滚：当变更导致实例不可用或数据损坏时，通过主从切换或备份重建恢复服务。此策略需提前验证从库延迟与备份有效性。

下图展示了回滚策略的决策树：