升级、迁移与切换：执行边界#
验证：未记录
- 适用版本
- 未记录
- 验证范围
- 尚未登记验证记录。
用于高影响变更的实施记录，配合具体服务手册使用。每次变更填一份，不用“已备份”“测试通过”代替可核查证据。
1. 开始前填完#
| 项目 | 必须记录 |
|---|---|
| 目标 | 变更编号、负责人、环境、账号/项目、区域、资源标识、当前/目标版本 |
| 兼容性 | 每一跳的支持路径、插件/扩展、客户端、数据格式；不把升级与架构迁移混在一次操作里 |
| 权限与入口 | 正常管理入口、备用入口、实际操作身份、密钥可用性；恢复不能依赖即将停掉的组件 |
| 恢复证据 | 备份标识/时间/范围、隔离恢复结果、恢复耗时；注明未包含的卷、外部对象和消息 |
| 放行标准 | 关键业务用例、基线错误率与延迟、观察时长、容量和复制/数据校验结果 |
| 停止线 | 哪个信号立即停、谁决策、最晚恢复时间、不可逆步骤前的最后检查 |
| 收尾 | 旧资源保留至何时、何时恢复自动化、配置回写位置、临时权限撤销负责人 |
阈值需在变更前量化。例如：关键业务数据不一致立即停止；升级批次 Ready 等待超时不推进；错误率与延迟按本服务既有告警阈值和窗口判定。空白阈值不能靠现场猜测补齐。
2. 按状态决定恢复方向#
| 当前状态 | 处理边界 |
|---|---|
| 未提交变更 | 取消本次执行，保留现场；已暂停的作业逐项恢复 |
| 已提交、仍执行中或结果未知 | 先按操作标识查询真实状态；命令超时不等于云端取消，不能盲目重复提交 |
| 平台升级已生效 | 按产品支持的回退资格处理；不满足时修复兼容性或迁移至已验证环境 |
| 迁移目标尚未接受任何写入 | 确认目标隔离、源端数据仍可用，撤销本次写入隔离后才恢复源端 |
| 目标已接受写入，包括验收写入 | 原源端已落后；先冻结、对账并实施反向迁移/补偿，不能只改回域名或连接串 |
| 数据正确性未知或出现双写 | 停止扩大影响，保全两侧数据与日志，由事故负责人确定权威数据与恢复边界 |
“停止推进”不代表停止数据库、删除故障 Pod 或中断所有复制。具体动作按当前阶段制定，避免丢失证据或恢复来源。
3. 每批放行与最终验收#
必须同时具备：操作成功 → 平台健康 → 新资源上的真实业务通过 → 指标稳定。旧节点上的业务正常不能证明新节点可用；连接成功不能证明数据完整。
证据记录建议：
change_id / resource / batch:
started_at_utc / finished_at_utc:
operation_id / final_status:
version_before / version_after:
backup_id / restore_rehearsal:
business_probe / expected / actual:
data_check / differences / unknowns:
metrics_window / errors / latency / capacity:
write_owner / recovery_decision / next_batch_owner:只保留脱敏摘要和受限证据位置，不把凭证或数据库快照提交仓库。恢复时间从用户受影响开始计算到业务达标；数据损失以已确认业务事实对账，不只报告控制台完成时间与复制延迟。