变更冻结闸口定义

变更冻结闸口是变更管理体系中最高优先级的风险控制手段。当系统进入预定义的冻结窗口后，所有非紧急变更必须停止或经过特殊审批才能执行。其核心目标是：在关键业务时段（如大促、财报、重大发布）将变更引入的故障风险降至最低。

一、变更冻结窗口

变更冻结窗口（Change Freeze Window）是指一段禁止或严格限制生产变更的时间区间。窗口的起止时间通常由业务日历、发布节奏、历史故障数据共同决定。

二、冻结策略分类

根据变更管控的严格程度，冻结策略分为硬冻结和软冻结两种模式。两者在变更阻断力度、审批流程、Feature Flag行为上存在本质差异。

2.1 硬冻结（Hard Freeze）

硬冻结期间，所有变更请求（CR）默认拒绝，仅允许经过C-level或VP级特批的紧急修复。变更平台自动拦截部署流水线，CI/CD管道停止运行。

• 阻断范围：代码发布、配置变更、数据库DDL、基础设施扩缩容
• 例外通道：仅限P0/P1故障修复，需CTO+VP SRE双签
• Feature Flag行为：所有Flag的开关状态锁定，禁止任何调整（包括紧急降级）
• 适用场景：大促峰值期、核心数据库迁移、监管审计窗口

# 硬冻结期间变更平台拦截日志示例
[2025-06-18 10:00:00] CHANGE_BLOCKED: deploy/user-service@v2.3.1
  → Reason: HARD_FREEZE_ACTIVE (window: 2025-06-18 00:00 ~ 2025-06-20 23:59)
  → Escalation: Required approval from VP+ level

2.2 软冻结（Soft Freeze）

软冻结是一种有条件放行的管控模式。常规变更仍被阻断，但Feature Flag的自动化参数调优可以作为"受控变更"继续执行。软冻结的核心价值在于：在不触发全量发布的前提下，通过Flag的灰度调整应对突发流量或异常指标。

• 阻断范围：代码发布、配置变更（除Flag参数外）
• 例外通道：Feature Flag参数调整自动审批（需满足预设安全阈值）
• Feature Flag行为：允许自动化参数调优（如流量比例、降级阈值、超时时间），但禁止新增Flag或删除Flag
• 适用场景：大促预热期、日常发布窗口、A/B测试收尾阶段

三、冻结策略对比矩阵

四、冻结策略与Feature Flag的联动关系

在变更冻结场景下，Feature Flag系统承担了"最后一道可控阀门"的角色。硬冻结时Flag完全锁定；软冻结时Flag的自动化参数调优成为唯一允许的变更手段。下图展示了两种冻结策略下Flag系统的行为差异：

五、冻结策略选择决策树

在实际运营中，SRE团队需要根据业务影响面、变更风险等级、时间窗口三个维度选择冻结策略。以下决策树可作为参考：