2. 变更风险分类与等级划分
在变更冻结闸口评审中，准确识别变更类型与风险等级是评审流程的起点。错误的分类会导致评审资源错配、审批流程失效，甚至引发生产故障。本节从定义、区别与等级划分三个维度建立统一的分类标准。
2.1 变更类型：标准、常规、紧急
根据变更的执行频率、审批路径和回退复杂度，将变更分为三类。下表从六个关键维度进行对比：
| 对比维度 | 标准变更 | 常规变更 | 紧急变更 |
|---|---|---|---|
| 定义 | 预审批、低风险、重复执行的变更 | 需逐次审批、中等风险、非重复变更 | 需立即修复故障或安全漏洞的变更 |
| 审批流程 | 预授权（Change Model） | 变更经理 + 技术主管审批 | 紧急变更委员会（ECAB） |
| 执行窗口 | 固定维护窗口 | 计划维护窗口 | 随时（需事后补录） |
| 回退方案 | 自动化回退脚本 | 手动回退步骤文档 | 需在变更单中明确回退策略 |
| 自动化测试 | 全量回归测试 | 核心链路测试 | 最小冒烟测试 |
| 典型示例 | OS 补丁更新、SSL 证书轮换 | 数据库索引优化、中间件版本升级 | 线上 P0 故障热修复、安全漏洞紧急封堵 |
评审要点： 紧急变更必须满足“不立即执行将导致业务中断或数据丢失”的条件，严禁将常规变更伪装为紧急变更以绕过评审闸口。
2.2 变更风险等级划分（P0–P4）
风险等级基于影响范围、影响时长和数据完整性三个因子综合评定。等级从 P0（最高风险）到 P4（最低风险），直接决定冻结闸口的评审深度与审批层级。
| 等级 | 影响描述 | 影响范围 | 恢复时间目标（RTO） | 冻结闸口要求 |
|---|---|---|---|---|
| P0 | 核心业务完全中断或数据永久丢失 | 全站 / 全业务线 | < 15 分钟 | CTO 审批 + 全链路压测 + 混沌工程验证 |
| P1 | 核心功能严重受损，影响大量用户 | 单个核心业务域 | < 30 分钟 | VP 审批 + 核心链路自动化测试 |
| P2 | 非核心功能受损，或核心功能轻微降级 | 单个子系统 | < 2 小时 | 技术主管审批 + 变更单审核 |
| P3 | 功能可用但体验下降，无数据风险 | 单个模块 | < 8 小时 | 变更经理审批 |
| P4 | 无用户感知，内部运维优化 | 无外部影响 | 无要求 | 仅记录，无需审批 |
冻结闸口红线： 在变更冻结期间，P0 和 P1 变更默认禁止执行。若确需执行，必须由 SRE 负责人发起“冻结豁免申请”，经 CTO 和风险委员会双重审批后方可执行。
2.3 变更类型与风险等级的映射关系
变更类型与风险等级并非一一对应，但存在强关联模式。下图展示了典型映射关系与评审路径：
2.4 风险等级评定矩阵
在实际评审中，使用三维矩阵快速判定变更风险等级。三个因子各取 1–5 分，乘积决定最终等级：
| 因子 | 1 分（低） | 3 分（中） | 5 分（高） |
|---|---|---|---|
| 影响范围（S） | 单个 Pod / 实例 | 单个可用区 / 集群 | 全站 / 多区域 |
| 影响时长（T） | < 1 分钟 | 1–30 分钟 | > 30 分钟 |
| 数据完整性（D） | 无数据变更 | 有损降级（可恢复） | 数据丢失 / 损坏 |
等级计算公式： 风险总分 = S × T × D
等级映射： 总分 ≥ 75 → P0；总分 45–74 → P1；总分 15–44 → P2；总分 5–14 → P3；总分 < 5 → P4。
等级映射： 总分 ≥ 75 → P0；总分 45–74 → P1；总分 15–44 → P2；总分 5–14 → P3；总分 < 5 → P4。
2.5 常见分类错误与避坑指南
- 错误一： 将重复执行的常规变更误标为标准变更。标准变更必须满足“执行结果完全可预测、回退方案已自动化验证”两个前置条件。
- 错误二： 紧急变更未附带回退方案。紧急变更的变更单中必须包含“回退触发条件”和“回退执行步骤”，否则评审闸口直接拒绝。
- 错误三： 风险等级评定仅凭主观经验。必须使用 S × T × D 矩阵量化评分，避免“我觉得风险不大”导致 P0 变更被降级为 P2。
- 错误四： 冻结期间将 P1 变更拆分为多个 P2 变更以绕过审批。闸口评审会检查变更关联性，发现拆分行为直接升级为 P0 处理。
自动化校验建议： 在变更提单系统中嵌入风险等级计算器，自动根据 S、T、D 输入计算总分并映射等级，减少人工误判。同时设置“冻结期间 P0/P1 变更自动拦截”规则，仅允许豁免流程通过后解锁。