gateway.remote 悄悄指向舊埠。本文先列出五類可復現的升級事故簽名，再給官方 CLI openclaw update 與全域性 npm 安裝的對照表，接著把 stable、beta、dev 的停機面寫清，然後給出 dry-run 檢查項與最小冒煙，最後以六步 Runbook把新加坡、日本、韓國、香港、美國東部與美國西部的維護視窗與 Gateway 重啟綁在一起，讓你把爭議從體感遷到閾值
OpenClaw 生產升級最常見的五類事故簽名
與首次安裝不同，升級是在已有狀態目錄、已有 launchd 單元、已有渠道 token 與可能自定義的 gateway 塊之上疊加新版本。任何一步假設「預設路徑沒變」都會在第三週以詭異方式反噬：例如全域性 npm 把執行檔指到新位置，而舊 plist 仍呼叫舊路徑；或包管理器把依賴樹 bump 到不相容次版本，但你的技能清單仍鎖在舊介面。2026 年在多地區裸金屬雲 Mac 上，這類問題與區域無關，卻常被誤報成「該區線路不穩」，因為表現是 WebSocket 偶斷與工具尾延遲，而不是顯式崩潰。
下面五條簽名不是為了製造焦慮，而是為了在變更評審裡快速對齊語言：當你能穩定復現其中任意兩條，就應把「是否凍結通道與補全回滾指令碼」寫進風險登記冊，而不是繼續堆「再重啟一次試試」。若你們已經在用 Docker 與 install.sh 雙軌交付，可把站內對照文章當作並行閱讀；本篇刻意把鏡頭拉近到通道選擇與 CLI 升級路徑。
channels 顯示已連線但回覆隨機變慢：典型是 Gateway 程序已換版本而外掛 ABI 或工作目錄未同步，或 remote 仍指向舊埠導致偶發握手失敗。
升級後 which openclaw 與 plist 中的絕對路徑不一致：典型是 npm 全域性字首或 Homebrew 連結順序變化，守護程序仍拉起舊二進位制。
doctor 報一堆新告警但上週還沒有：可能是預設安全策略或沙盒預設值隨 minor 版本收緊，需要按釋出說明逐項對照而不是一鍵忽略。
夜間自動升級後早高峰出現密集 18789 相關報錯：典型是埠繫結或 OPENCLAW_GATEWAY_PORT 與多例項策略衝突，熱過載無法覆蓋必須重啟的路徑。
CI 與互動機同時升級導致配置分叉：一條線走了包管理器自動 bump，另一條線 pin 在舊版，最終出現「同一倉庫兩套行為」的不可審計狀態。
識別簽名之後，下一步是把「允許自動化的邊界」寫進 Runbook：例如生產 Gateway 僅允許 stable 且必須雙人複核 dry-run 輸出；beta 只能在日租試跑機上開啟；dev 禁止寫進任何對客渠道的配置。沒有這條紀律時，openclaw update 再好用也只是把風險按鈕做得更大。
與 Gateway 熱過載相關的「哪些鍵可不停機生效」仍建議回到站內專題文章對照，因為升級事件常常與 reload 邊界疊加：你以為只是小版本，實際上觸發了必須重啟的 bind 或 token 校驗路徑。把升級與 reload 兩套決策表放在同一 wiki 頁面，能顯著減少值班時的翻找時間。
官方 CLI update 與全域性 npm：誰改路徑、誰改通道
工程上不存在「永遠正確」的升級入口，只存在「你們能否解釋每一次變更來自哪條供應鏈」。官方 CLI 路徑通常對新手最友好，因為它傾向於把依賴與可執行佈局收斂到可預期目錄；全域性 npm 或系統包管理器則更容易與機器上其他 Node 工具鏈耦合，升級一次可能順帶 bump 數十個傳遞依賴。下表用粗粒度列幫助你在十分鐘內對齊「我們到底缺哪一層治理」。
| 維度 | 官方 CLI openclaw update | 全域性 npm / 系統包 |
|---|---|---|
| 可執行路徑穩定性 | 相對集中，適合與 plist 固定絕對路徑繫結 | 字首變化風險更高，需要升級後複核 plist |
| 通道切換成本 | 通常與釋出渠道文件一致，便於審計 | dist-tag 與 lock 檔案需團隊自行紀律化 |
| 回滾可操作性 | 配合 pin 與備份點較直觀 | 需明確 npm install -g [email protected] 與快取清理順序 |
| 多例項隔離 | 仍需自行拆分 OPENCLAW_HOME 與埠 | 同樣需拆分，且更易被全域性 bump 波及 |
| 適合團隊畫像 | 要小步快跑、變更可敘述的運維 | 已有成熟 Node 治理與私有 registry 映象的團隊 |
通道不是「越新越好」，而是「你能承受多寬的停機面與多快的 pin 回滾」。
stable 應預設繫結到對客渠道與生產 Gateway：可接受停機面定義為「可在五到十五分鐘內完成 pin 回滾並恢復握手」。beta 適合預生產或日租樣本機：允許在白天視窗內暴露新診斷輸出，但必須禁止與生產同目錄。dev 只適合隔離實驗：任何寫入對客配置的行為都應視為流程事故。把三條寫進變更模板後，評審會少掉一半「我覺得可以試試 nightly」的口頭升級。
若你在多地區雲 Mac 上混用不同通道，還要額外記錄「哪臺機器是哪一個通道的單一事實來源」，否則排障時會把 beta 行為誤當成區域問題。與裸金屬 7×24 常駐折中的關鍵是維護視窗：把 bump 放在成員低活躍且無人重任務的時段，並在視窗前後各抓一份 openclaw doctor 輸出存檔。
dry-run 檢查項與升級後最小冒煙：channels 與 doctor 怎麼才算過線
dry-run 的價值不在於「有沒有報錯」，而在於輸出裡是否出現了你尚未理解的版本跳變與路徑改寫。生產化團隊會把 dry-run 輸出當作差分：新增依賴、執行檔位置、預設配置鍵、棄用警告四類必須有人認領。升級後的最小冒煙則應覆蓋「控制面」與「資料面」各至少一條：例如一次 channels 健康探測與一次輕量工具呼叫，而不是隻盯著聊天窗口裡有沒有新歡迎語。
當 Gateway 與遠端 CLI 分體部署時，還要把 gateway.remote 與 TLS 終端是否仍匹配寫進冒煙清單；否則你會遇到「本地 doctor 全綠、遠端渠道間歇失敗」的分叉狀態。熱過載能解決的鍵與必須重啟的鍵不要混在同一驗收表裡，可把站內 Gateway 熱過載一文當作附錄。
openclaw update --dry-run openclaw doctor openclaw channels probe openclaw gateway status
最後一行是否適用取決於你們的 plist 標識與多例項策略；要點是不要用「重啟整臺雲 Mac」代替定向 kickstart，否則你會在日誌裡丟失升級前後的對照視窗。若使用 systemd 或容器側車，同理替換為等價的服務重啟單元。
提示：把 dry-run 輸出與 doctor 輸出按日期歸檔到只讀物件儲存或工單附件，事故覆盤時比口頭回憶可靠三個數量級。
六步 Runbook：從變更單到 pin 回滾可執行
凍結通道與目標版本：在變更單寫明 stable 或 beta 及精確版本號，禁止口頭「升到最新」。
備份配置與狀態目錄：打包 openclaw.json、plist、環境匯出與技能清單鎖檔案到時間戳目錄。
在日租或預生產機 dry-run：核對輸出差分並記錄風險項，未認領項不得上線。
進入維護視窗執行升級：先停重任務佇列再 bump，避免瀏覽器自動化與升級 IO 疊加。
跑最小冒煙並抓日誌視窗：channels 與 doctor 全過線後再恢復對客流量。
凍結回滾命令：寫明 npm dist-tag 或 pin 版本與 kickstart 順序，值班無需臨場發明路徑。
三條可寫進值班手冊的水位線與雲 Mac 維護視窗口徑
通道漂移聯防：若生產與預生產的 openclaw --version 差超過一個 minor 且無變更單，應立即 pin 對齊或補單，禁止 silent drift。
冒煙失敗回退時鐘：維護視窗內冒煙任一步失敗，十五分鐘內必須執行已寫好的 pin 回滾，超時則升級視為失敗事件並凍結通道。
重任務錯峰：升級前後各三十分鐘禁止排程瀏覽器自動化與巨型構建，避免 Swap 與包管理器 IO 爭用掩蓋握手問題。
注意：上述閾值為工程溝通口徑，不構成對具體雲廠商 SLA 的承諾；跨區鏈路仍以你們實測為準。
僅依賴「出問題再全員重啟」時，通道漂移與路徑分叉會合成不可審計的生產狀態，團隊只能用反覆重灌來吸收成本。相對地，把 openclaw update、dry-run、pin 回滾與維護視窗寫進同一套 Runbook，並在新加坡、日本、韓國、香港、美國東部與美國西部用日租或周租先跑樣本，再決定是否把 stable 鎖到月節奏，更符合短中期自動化專案的現金流與風險節奏。MESHLAUNCH 的 Mac Mini 雲端租賃通常是更優解：它讓你們可以在真實裸金屬與真實鏈路上演練升級與回滾，而不是把風險堆在「生產唯一一臺機」上臨場發揮。
生產路徑至少要在對等環境跑一次 dry-run 並留檔。Gateway 熱過載與多例項邊界可對照 Gateway 熱過載與多例項；下單與規格見 價格頁。
對客與 7×24 預設 stable；需要新特性樣本再上 beta 機；dev 僅隔離實驗。Docker 與 install.sh 路徑取捨見 雙軌對照指南。
先比對 gateway 塊與環境變數是否被包管理器覆蓋，再核對埠與 plist。遠端接入說明見 幫助中心。