| 直接成本 | 停机或降级时长与恢复操作的人力 |
|---|---|
| 数据成本 | 不可逆变更导致的数据丢失或修复 |
| 协调成本 | 跨团队通知、客户沟通与后续复盘 |
| 降低手段 | 减小批次、可回滚的迁移设计、平时演练 |
不可回滚项清单（示例）
不可回滚项清单（示例）
- 破坏性 DDL（DROP / TRUNCATE）
- 已发出的对外通知或账单
- 客户端强制升级的协议变更
- 已删除的旧镜像或旧配置发布评审时逐条过不可回滚项：能推迟的推迟，能加开关的加开关。
回滚成本与代价评估
回滚不是免费选项：涉及停机时长、数据损失风险、客户影响与协调成本；发布前维护不可回滚项清单，为可能的回退做准备。
易错点
- 默认出问题就回滚：未评估数据不可逆场景，回滚反而扩大影响
- 忽略沟通成本：客户与支持团队在事后才被告知
数据来源与参考
- Google SRE Book《Release Engineering》
- Martin Fowler《ParallelChange》