变更管理基础：变更类型分类、变更风险等级、变更窗口与冻结期定义
变更管理是运维稳定性的核心防线。在生产环境中，每一次变更都潜在地引入故障风险。本章从变更类型、风险等级、变更窗口与冻结期三个维度，建立标准化的变更管理基础框架，为后续自动化闸口与Runbook恢复流程提供前置定义。
2.1 变更类型分类
根据变更的影响范围、执行方式与紧急程度，将变更划分为以下四种标准类型：
| 变更类型 | 定义 | 典型场景 | 审批要求 |
|---|---|---|---|
| 标准变更 | 预定义、低风险、重复执行的变更 | 例行补丁更新、配置参数调整、非核心服务重启 | 预授权，无需逐次审批 |
| 常规变更 | 有计划、有测试、影响可控的变更 | 应用版本发布、数据库Schema变更、网络设备升级 | 变更经理审批 + CAB评审 |
| 紧急变更 | 需立即执行以修复生产故障或安全漏洞 | 线上P0故障hotfix、高危漏洞紧急修复 | 紧急变更委员会快速审批 |
| 重大变更 | 影响面广、回滚复杂、需跨团队协调 | 核心架构重构、数据库迁移、云平台割接 | CTO/VP级审批 + 全量CAB评审 |
实践建议：标准变更应建立完整的Runbook模板，实现自动化执行与自愈；紧急变更必须事后补录变更记录，并纳入变更复盘。
2.2 变更风险等级
变更风险等级由影响范围与失败概率两个维度综合评定。采用四象限矩阵模型进行分级：
2.3 变更窗口与冻结期定义
变更窗口（Change Window）是允许执行变更操作的时间段；冻结期（Change Freeze）是禁止执行非紧急变更的强制保护时段。两者共同构成变更时间维度的管控边界。
2.3.1 变更窗口分类
| 窗口类型 | 时间段 | 适用变更等级 | 说明 |
|---|---|---|---|
| 常规窗口 | 每周二、四 14:00-16:00 | L1, L2 | 标准变更与低风险常规变更 |
| 大变更窗口 | 每月第一个周六 02:00-06:00 | L3 | 高风险变更，需提前一周申请 |
| 紧急窗口 | 7×24 随时开放 | L4 / 紧急变更 | 需紧急变更委员会授权 |
2.3.2 冻结期定义与触发条件
冻结期分为以下三类，每类冻结期对应不同的触发条件与解冻规则：
- 常规冻结期：每月最后一周（周一 00:00 至周日 24:00），仅允许紧急变更。
- 重大活动冻结期：双11、春节、财报发布等关键业务时段，提前两周进入冻结，活动结束后24小时解冻。
- 故障后冻结期：P0/P1级故障恢复后，自动触发24-72小时变更冻结，用于故障复盘与稳定性加固。
关键约束：冻结期内若发生P0级故障，故障恢复后自动延长冻结期24小时，防止因紧急修复引入二次故障。该规则需在变更管理平台中硬编码实现，不可人工豁免。
2.4 变更类型-风险-窗口映射关系
将变更类型、风险等级与变更窗口进行标准化映射，形成可自动化执行的变更准入矩阵：
| 变更类型 | 风险等级 | 允许窗口 | 审批流程 | 自动化闸口 |
|---|---|---|---|---|
| 标准变更 | L1 | 常规窗口 | 预授权 | 自动执行 |
| 常规变更 | L2 | 常规窗口 | 变更经理审批 | 半自动（需确认） |
| 重大变更 | L3 | 大变更窗口 | CAB评审 | 人工闸口 |
| 紧急变更 | L4 | 紧急窗口 | 紧急委员会 | 事后补录 |
自动化落地要点：变更管理平台应内置上述映射矩阵，在变更提交时自动校验：①变更类型与风险等级是否匹配；②当前时间是否在允许窗口内；③是否处于冻结期。三项校验全部通过后，方可进入执行队列。