3. 变更冻结窗口：定义、场景与策略设计

变更冻结窗口（Change Freeze Window）是SRE体系中最高优先级的变更管控机制。在特定时间段内，所有非紧急的生产变更被强制暂停，仅允许经过特殊审批的紧急变更或安全补丁执行。其核心目标是：在业务关键期消除变更引入的未知风险，保障系统稳定性与业务连续性。

3.1 什么是变更冻结窗口

变更冻结窗口是一段预定义的时间区间，在此期间，标准变更流程被挂起，所有变更必须通过“冻结闸口”的额外审批层级。冻结窗口通常与业务高峰、财务结算或重大事件对齐，其管理粒度可从“全量变更禁止”到“特定服务/变更类型豁免”。

3.2 常见冻结场景

不同行业、不同业务周期对应不同的冻结触发条件。以下是SRE领域最典型的三种冻结场景：

• 财报季冻结（Financial Reporting Freeze）：上市公司在财报发布前2-4周启动冻结，确保财务数据采集、报表生成链路不受变更干扰。任何数据管道变更都可能导致财报延迟或数据不一致，引发合规风险。
• 大促/营销活动冻结（Promotional Event Freeze）：电商、零售行业在双11、黑五、618等大促前1-2周冻结。大促期间流量峰值可达日常10-100倍，变更引入的配置错误或性能退化将直接导致收入损失。
• 春节/长假冻结（Holiday Freeze）：春节、国庆等长假期间，运维人员值班减少，响应能力下降。冻结窗口覆盖整个假期前后各2-3天，防止“节前变更遗留问题”在假期爆发。

3.3 冻结策略设计

冻结策略设计需要平衡“风险控制”与“业务敏捷性”。一个成熟的冻结策略包含以下五个核心要素：

1. 分层冻结（Tiered Freeze）：按服务重要性将冻结分为T0（核心交易链路）、T1（重要支撑服务）、T2（辅助服务）。T0服务全量冻结，T1服务允许低风险变更，T2服务仅需通知。
2. 豁免矩阵（Exemption Matrix）：定义哪些变更类型可以豁免。常见豁免包括：安全漏洞修复（CVE评分≥7.0）、数据库紧急回滚、DNS TTL调整、已预审批的容量扩容。
3. 紧急变更通道（Emergency Change Path）：为必须执行的变更提供“快速通道”，但要求：CTO/SVP级审批、变更后24小时内补全Runbook、自动触发事后复盘。
4. 冻结日历自动化（Calendar Automation）：将冻结窗口写入变更管理系统的日历服务，变更单提交时自动校验。若命中冻结窗口，系统自动拒绝或路由至紧急审批流。
5. 冻结解除与回退窗口（Unfreeze & Rollback Window）：冻结结束后设置24-48小时的“观察期”，期间仅允许回退操作和已验证的低风险变更，防止解冻后变更洪峰。

3.4 冻结策略与事件触发平台的集成

在自动化变更冻结闸口中，冻结策略不是静态文档，而是由事件触发平台实时执行的规则引擎。集成方式如下：

• 日历订阅：事件触发平台订阅企业日历（Google Calendar/Outlook/iCal），自动同步冻结窗口。变更单提交时，平台校验当前时间是否落在冻结区间。
• 服务标签匹配：每个服务在CMDB中标记“冻结等级”（T0/T1/T2）。变更单关联服务标签后，平台根据冻结等级决定拦截或放行。
• 豁免规则引擎：平台内置规则引擎，支持“变更类型 + 服务标签 + 审批人角色”的组合条件判断。例如：允许“安全补丁”类型在T1服务上执行，但需要安全主管审批。
• Runbook联动：当紧急变更被批准后，平台自动触发对应的Runbook，执行变更并记录审计日志。Runbook执行过程中若检测到异常，自动回滚并通知审批人。

def check_freeze_gate(change_request):
    # 1. 校验时间窗口
    if is_in_freeze_window(change_request.submit_time):
        # 2. 校验服务冻结等级
        service_tier = get_service_tier(change_request.service_id)
        if service_tier == 'T0':
            # T0服务：全量冻结，仅允许紧急通道
            if not is_emergency_change(change_request):
                return REJECTED("T0服务冻结中，请使用紧急变更通道")
            else:
                # 紧急通道：需要CTO审批
                if not approve_by_cto(change_request):
                    return REJECTED("紧急变更审批未通过")
                # 自动触发Runbook
                trigger_runbook(change_request.runbook_id)
                return APPROVED_WITH_AUDIT
        elif service_tier == 'T1':
            # T1服务：检查豁免矩阵
            if is_exempted(change_request.change_type):
                # 豁免变更：自动放行，记录日志
                log_exemption(change_request)
                return APPROVED
            else:
                # 非豁免：需要SRE主管审批
                if not approve_by_sre_lead(change_request):
                    return REJECTED("T1服务非豁免变更需SRE主管审批")
                return APPROVED
        else:  # T2服务
            # T2服务：仅通知，不拦截
            notify_team(change_request)
            return APPROVED
    else:
        # 非冻结窗口：正常流程
        return APPROVED