生产变更准入与回滚 SOP：从上线前检查到故障回滚的通用实践

摘要

生产环境变更是线上故障最常见的来源之一。一次应用发布、配置调整、数据库变更、Kubernetes 滚动更新，哪怕改动很小，如果缺少准入检查、观察窗口和回滚方案，都可能引发线上事故。

本文整理一套通用的生产变更准入与回滚 SOP，适用于应用发布、Kubernetes 变更、数据库变更、中间件调整、基础设施变更等场景。文中不包含任何环境地址、账号、密钥、服务名或业务敏感信息，可直接作为团队发布规范、运维手册或 CSDN 技术文章使用。

一、为什么需要生产变更 SOP

生产变更最怕的不是失败，而是失败后不知道如何快速止损。

常见问题包括：

• 上线前没有确认回滚版本。
• 发布后只看进程是否运行，不看健康状态、流量入口、日志和告警。
• 数据库变更和应用发布混在一次窗口里。
• 滚动更新策略不合理，新实例没起来，旧实例已经下线。
• preStop、terminationGracePeriodSeconds、应用优雅关闭时间不匹配，导致进程被强杀。
• 发布失败后反复重试，没有明确的暂停和回滚条件。

一份可执行的变更 SOP 要解决三个问题：

1. 变更前：是否允许上线？ 2. 变更中：如何判断是否正常？ 3. 变更失败：如何快速回滚？