生产环境中的智能合约升级

在生产环境 rollout 智能合约升级的运营考量

在运行中的生产环境升级智能合约不同于开发期升级。合约在多方间共享，常跨组织边界；在你 validator 上有效的升级在对手方混跑版本时可能表现不同。本文涵盖生产 SCU rollout 的运营侧。

升级之前

向生产上传新包版本前：

在 Canton Network 上，你的合约可能在其他 validator 上托管 signatory 或 observer。上传新包版本后，那些 validator 也需新包才能正确解释升级后合约。

步骤：

若对手方尚未上传新包而你的应用在新版本下创建合约，其 validator 无法处理，该对手方交易会失败。

用 Admin API 或部署工具向 validator 上传新 DAR：

dpm deploy --target <validator-url> <dar-file>

上传非破坏性。旧包版本仍可用，旧版本下创建的既有合约继续工作。无需停机。

上传新包后系统进入混合版本状态：部分活跃合约在旧版创建，新合约将在新版创建。

Canton 处理方式：

该混合状态持续到所有旧版合约被归档（消费或显式迁移）。无自动批量迁移。

升级期间及之后关注：

检查合约版本分布的 PQS 查询：

SELECT package_id, count(*) AS active_count
FROM active('your-module:YourTemplate')
GROUP BY package_id;

SCU 无内置回滚。包上传后无法删除，「回滚」指管理局面而非撤销上传。

若新版本出问题：

旧包仍在，其下创建的合约可继续运行。风险主要在新建合约或行使仅新版才有的逻辑。

若新版本引入测试中未发现的破坏性变更（兼容性检查应防此情况，但错误仍可能发生），可能需要：

这是最扰动场景，强调在 DevNet/TestNet 充分测试后再上生产。

每次生产升级使用：