运营的三项核心技术活：性能管理——先记下"平时的水位"（基线），再定告警线和扩容线，盯"离警戒线多远"而不是"快不快"；软件更新——功能追加、修 bug、补安全漏洞都要靠更新，WSUS 让补丁走"下载一次→审批→测试组先行→全网分批"的受控流水线，而不是全网硬上；故障排除——出了事按"现象→最近改了什么→缩小范围→验证"的顺序用命令排查，命令是运维的听诊器。
性能管理是 6.1-6.2 采样与告警的升级版（加了基线和趋势）；更新管理补上 7.6-7.7 病毒防线里"补丁"那一环的组织化做法；故障排除的命令在前面各章 Demo 里都零散用过（netstat、nslookup、Get-Service……），这一篇把它们串成一套排障顺序。
一、性能管理：基线是尺子，阈值是哨兵
性能管理回答的问题不是"服务器快不快"，而是"跟平时比，它变了吗"。三步走：
- 记基线——持续采样（6.1-6.2 的性能计数器），记下 CPU、内存、磁盘、网络"平时的水位"。没有基线，"今天 60%"是高是低根本无从判断
- 定阈值——基线之上设两道线：告警线（如 70%，触发告警、查原因）和扩容线（如 85%，连续越线就该加资源）
- 看趋势——单点超标可能是正常峰值；水位逐月缓慢爬升才是真信号：业务在长，容量规划该启动了（8.3-8.7 预估的续篇）
关键认识：性能管理不是追求越快越好，而是保证性能不下降——8.3-8.7 辛苦预估出来的余量，要靠日常管理守住，别让垃圾数据和失控进程一点点吃光它。
二、软件更新与 WSUS：补丁要走流水线
更新分三类，动机各不相同：
| 更新类型 | 为的是 | 节奏 |
|---|---|---|
| 功能追加 | 加新能力、新版本 | 按需评估，不必追新 |
| bug 修复 | 修已知错误 | 出了影响自己的 bug 才紧急 |
| 安全补丁 | 堵漏洞（7.6-7.7 病毒四防线之一） | 最紧急，定期必打 |
问题在于：几百台机器各自直连微软更新，既耗外网带宽，又没人管"什么补丁什么时候上"。WSUS（Windows Server Update Services）就是公司内部的更新中枢，把补丁变成一条受控流水线：
- 下载一次——WSUS 从微软拉全量补丁，内网机器从 WSUS 取，外网带宽只花一遍
- 审批——管理员挑补丁、定时间窗（挑业务低峰，比如周六凌晨）
- 测试组先行——先推给几台非关键机器跑两天，没异常再放行
- 全网分批——一批一批轮着推；万一某批出问题，后面的批次立刻刹停
反面教材：补丁刚发布就全网立刻硬上，等于拿生产环境当测试场——补丁本身也可能引入新 bug，历史上"安全补丁搞瘫业务"的事故并不罕见。
三、故障与命令：排障要有顺序
命令是运维的听诊器，但一堆命令不如一套顺序。排障四步：
- 看清现象——谁报的障？什么时间开始？是完全不通还是变慢？（变慢→查性能；不通→查连通）
- 问最近改了什么——大量"故障"其实是变更惹的祸：昨晚打的补丁、改的配置、换的网线（ITIL 变更管理的意义就在这）
- 缩小范围——沿链路二分：客户端→网络→服务器→服务，每层用命令验证，不通的那一段就是案发现场
- 验证恢复——修完不是"感觉好了"，要用和故障时一样的操作复测
常用的排障命令在这门课里已经集齐：
| 查什么 | 命令 | 学于 |
|---|---|---|
| 服务在不在跑 | Get-Service |
第一章 |
| 端口有没有监听 | netstat / Test-NetConnection |
第一章 |
| 网络通不通 | ping / tracert |
第二章 |
| 域名解析对不对 | nslookup |
第五章 |
| 系统出过什么事 | 事件查看器 / Get-WinEvent |
第六章 |
| 机器累不累 | 性能计数器 / Get-Counter |
第六章 |
四、常见误区
- "CPU 平时才 30%，监控白装了"——没基线的 30% 什么也说明不了；监控的价值在于"上周是 15%、这周 30%"这种变化。
- "补丁越快打越安全，全网立即更新"——安全补丁确实紧急，但"紧急"的正确姿势是 WSUS 流水线里优先级提前，而不是跳过测试全网硬上。
- "更新只是打补丁"——功能追加、bug 修复同样要进变更管理：评估影响、定时间窗、留回退方案。
- "排障就是会很多命令"——命令只是工具，顺序才是方法论；没有顺序的排障是"把所有命令都跑一遍碰运气"。
五、动手 Demo：查一查这台机器打过哪些补丁
用 PowerShell 看本机的更新记录：
Get-HotFix | Sort-Object InstalledOn | Select-Object -Last 5 HotFixID, Description, InstalledOn
看到什么算成功：列出最近安装的 5 个补丁（KB 编号、类型、安装日期）。Description 里 Security Update 是安全补丁、Update 是一般修复——对照上一节的三类更新。
顺手看更新的"管家"在不在：
Get-Service wuauserv | Select-Object Name, Status, DisplayName
看到什么算成功：Windows Update 服务 Status 为 Running——它就是本机上负责跟更新源打交道的管家；在公司环境里，这个管家听的是 WSUS 服务器的统一调度，而不是自己直连微软。
30 秒实验：打开"设置→Windows 更新→更新历史记录"，数一数最近一个月装了几个补丁、其中几个是安全更新——再想想：如果 500 台机器各自这样直连微软下载，外网带宽会是什么景象？这就是 WSUS 存在的理由。
自测三问（点开对答案）
1. 性能管理三步？——记基线（平时水位）→定阈值（告警线 70% / 扩容线 85%）→看趋势（缓慢爬升=该启动容量规划）；盯的是"离警戒线多远"。 2. WSUS 流水线四步？——下载一次（省带宽）→审批（定时间窗）→测试组先行（跑两天）→全网分批（可中途刹停）。 3. 排障四步顺序？——看清现象→问最近改了什么→沿链路缩小范围→同样操作验证恢复。- ☑ 维护分工与承诺
相关笔记
- 服务器处理与高速化处理 —— 采样与告警是基线的原料
- 服务器内部的安全 —— 安全补丁是病毒四防线之一，本篇给它配上流程
- 架构与落地的三笔账 —— 预估的余量靠日常性能管理守住
- 运营管理的框架 —— 更新要过 ITIL 的变更管理这道关