窗口与回退是一体设计
割接是把业务从旧环境切到新环境的过程，窗口必须同时容纳五件事：准备与预检、切换执行、功能与性能验证、观察期、以及回退所需时间。回退条件要在动手前就写成可判断的指标（业务是否可用、错误率、时延、数据一致性），并指定唯一决策人和决策时限。割接可控性的判断标准很直接：如果新环境不达标，能不能在窗口内切回旧环境。
基本信息
| 窗口构成 | 准备与预检、切换执行、验证、观察、回退余量 |
|---|---|
| 回退条件 | 关键指标阈值：业务不可用、错误率超限、时延超限、数据不一致 |
| 决策机制 | 指定唯一决策人、明确决策时限与停止点 |
| 前提条件 | 旧环境保留可用、数据可回滚、回退步骤已完成演练 |
| 记录要求 | 切换时间点、每步结果、验证数据、决策过程与最终结论 |
典型割接场景
- 新旧机房之间的业务切换
- 存储与数据库迁移后的应用切换
- 网络链路与出口切换
- 平台或中间件版本切换
- 本地环境与云环境之间的切换
窗口阶段与把控点
| 阶段 | 时长安排 | 把控点 |
|---|---|---|
| 准备与预检 | 按检查清单逐项确认 | 环境、权限、备份与回退条件全部就绪才开工 |
| 切换执行 | 按脚本逐项执行并记录 | 每步记录结果，异常立即评估是否继续 |
| 验证 | 按功能与性能指标逐项验证 | 用数据对比而非主观判断，验证项缺一不可 |
| 观察 | 保持旧环境可回退的观察期 | 观察期内不拆除旧环境、不做不可逆操作 |
| 回退决策点 | 到时限仍未达标即启动回退 | 决策权归一人，避免互相等待 |
回退决策权要交给一个明确的人：多人同时判断会互相等待，最终变成再等等看，而窗口时间恰恰是最稀缺的资源。
回退本身也有成本（数据回滚、重复切换、二次业务影响），因此准备工作里必须确认旧环境可用且数据可回滚；没有可用回退路径的割接应按不可逆变更设计，采用更保守的窗口与更多预备验证。