| 要素 | 决策人、时间盒、回退步骤、验证点 |
|---|---|
| 原则 | 优先恢复服务，再排查根因 |
| 演练 | 高风险变更前验证回退可用性 |
时间盒示例
时间盒示例
发布后 15 分钟：关键指标异常 → 暂停推进
30 分钟未定位 → 执行回退
回退后：验证核心功能恢复，保留现场证据供复盘回退方案未经演练不可假设可用：数据库迁移类变更常无法简单回退。
回退与应急预案设计
回退与应急预案定义变更失败时的止损路径：回退决策人、时间盒（多久未恢复就回退）、回退步骤与验证点，并在事前演练。
易错点
- 回退决策无人拍板：现场等审批，损失持续扩大
- 回退不留现场：证据丢失，复盘找不到根因
数据来源与参考
- ITIL 4 Foundation（AXELOS/PeopleCert）