3. 变更窗口定义：时间段选择、窗口大小与频率、业务低峰期对齐策略
变更窗口是主从切换操作的时间边界约束。定义不当的窗口会导致切换操作被业务流量打断，或使运维团队在有限时间内无法完成切换与验证。本节从三个维度展开：时间段选择、窗口大小与频率、与业务低峰期的对齐策略。
3.1 时间段选择：核心约束与决策矩阵
时间段选择需同时满足以下约束：
- 业务低峰期：主从切换期间，主库可能短暂不可用，必须避开高流量时段。
- 运维人力就绪：切换需要DBA、应用Owner、监控值班人员同时在线。
- 依赖系统窗口：如DNS TTL生效、配置中心推送、负载均衡器 draining 等依赖组件也有自己的变更窗口。
- 回滚余量：若切换失败，需在窗口内留出回滚时间。
| 约束维度 | 典型要求 | 影响权重 |
|---|---|---|
| 业务低峰期 | QPS < 峰值的 10% | 高 |
| 运维人力 | 至少 2 名 DBA + 1 名应用负责人 | 高 |
| 依赖系统窗口 | DNS TTL 已过期、配置中心已冻结 | 中 |
| 回滚余量 | 窗口总时长的 30% 以上 | 高 |
实践建议：优先选择 凌晨 02:00 – 05:00 作为默认窗口。该时段在多数业务场景下同时满足低流量、运维可调度、依赖系统变更少的条件。若业务为全球化服务，需按地域分拆窗口。
3.2 窗口大小与频率：平衡安全性与效率
窗口大小直接影响切换成功率与风险暴露时间。频率则决定了变更积压程度。
窗口大小推荐值
- 标准切换窗口：2 小时（含 1 小时操作 + 0.5 小时观察 + 0.5 小时回滚余量）。
- 复杂切换窗口（如跨地域、大实例、有数据校验）：4 小时。
- 紧急切换窗口：1 小时（仅限故障转移，不包含回滚余量，需单独审批）。
频率策略
- 常规变更：每周 1–2 次固定窗口（如周二、周四凌晨）。
- 批量变更：每月 1 次大窗口，集中处理多个实例的主从切换。
- 禁止连续窗口：同一实例两次切换之间至少间隔 24 小时，避免复制积压叠加。
风险提示：窗口过短（< 1 小时）会导致回滚时间不足；窗口过长（> 6 小时）会降低变更紧迫感，增加人为失误概率。建议将窗口上限锁定为 4 小时。
3.3 与业务低峰期的对齐策略
低峰期不是静态的，需要结合业务指标动态校准。以下是对齐策略的流程化方法：
- 采集业务流量曲线：从监控系统导出最近 30 天的 QPS、TP99、连接数时序数据。
- 识别低峰时段：取每日流量最低的连续 3 小时区间，标记为候选窗口。
- 排除异常日期：大促日、数据报表日、月末结算日即使流量低也不应作为窗口。
- 对齐依赖窗口：与网络变更窗口、配置发布窗口取交集。
- 固定窗口并通知：将最终窗口写入变更日历，提前 2 周同步给所有干系人。
3.4 窗口参数配置清单
以下配置项应在变更管理平台或自动化工具中显式定义：
| 参数名 | 类型 | 推荐值 | 说明 |
|---|---|---|---|
change_window_start |
time | 02:00 | 窗口起始时间（UTC+8） |
change_window_end |
time | 05:00 | 窗口截止时间 |
change_window_days |
list | [1,3] | 允许变更的星期（1=周一） |
min_interval_hours |
int | 24 | 同一实例两次切换最小间隔 |
rollback_reserve_minutes |
int | 30 | 窗口内预留的回滚时间 |
blackout_dates |
list | ["2025-06-18","2025-11-11"] | 禁止变更的日期列表 |
自动化集成：上述参数应写入变更编排系统的 YAML 配置中，并在每次变更前由前置检查脚本校验当前时间是否在窗口内。示例配置片段：
# change_window_config.yaml
change_window:
timezone: "Asia/Shanghai"
start: "02:00"
end: "05:00"
days_of_week: [1, 3] # 周一、周三
min_interval_hours: 24
rollback_reserve_minutes: 30
blackout_dates:
- "2025-06-18"
- "2025-11-11"
max_duration_minutes: 180 # 窗口最大长度，含回滚余量3.5 窗口与业务低峰期对齐的常见误区
- 误区一：所有业务低峰期相同。 电商与金融的低峰时段可能相差 4 小时以上，必须按业务线独立定义。
- 误区二：低峰期等于零流量。 即使凌晨仍有后台批处理任务、数据同步作业，需确认这些任务是否依赖数据库。
- 误区三：窗口固定后永不调整。 业务增长或促销活动会改变流量曲线，建议每季度重新校准一次窗口。
- 误区四：忽略时区差异。 跨地域业务需按每个数据中心所在时区分别定义窗口，不可统一使用 UTC 时间。
3.6 小结
变更窗口定义是主从切换安全性的第一道防线。核心要点：
- 时间段选择必须基于 30 天流量曲线，而非经验估计。
- 窗口大小推荐 2–4 小时，频率每周 1–2 次，同一实例间隔 ≥ 24 小时。
- 对齐策略需包含 排除异常日期、对齐依赖窗口、预留回滚余量 三个步骤。
- 所有窗口参数应 配置化、自动化校验，避免人为遗漏。