结论先行：日志平台、安全平台这类系统，价值不取决于功能多少，而取决于有没有人天天用它。自建专职、厂商驻场、托管运营三条路都能走通，区别在于你买的是编制、是人天、还是一段服务口径——以及出问题的时候，边界怎么划。

本文只谈这件事由谁来做、人头从哪来，不谈平台上的查询能力该分几层，也不谈该选哪家平台。

三条路各自买的是什么

自建专职，买的是编制。好处是知识留在自己人身上，坏处是招人与留人都慢：既要懂业务字段，又要懂查询与分析，这类人市场价格不低，培养周期以季度计。

厂商驻场，买的是人天。上手快，因为对方熟悉自己产品的字段与规则；但知识容易留在个人身上——驻场的人一换，很多默认设置就没人说得清了。合同里要写交接。

托管运营，买的是服务口径。按每月处理多少事件、多长时间响应、出几份报告计价，看起来最省心，边界也最需要写清：哪些判断由服务方做，哪些必须回到客户，出了偏差算谁的。

先算清一年要多少个小时

全天候盯屏是一笔硬账。按常见班次折算，要覆盖 7×24 小时且保证有人能连续工作，通常需要四到五个人轮换，还要有人补休。很多单位的真实情况是：白天有人看，夜间靠告警短信叫人。这不是不行，但要承认它的响应时效取决于「值班的人是否醒着」。

把小时数算出来，再决定买哪条路，比先选路再凑人靠谱。

人力不足时的三个替代做法

  • 告警分层。把「需要立刻起来处理」和「第二天上班看也行」分开，前者才配叫醒服务，后者走日汇总。混在一起，结果通常是两种情况都变麻木。
  • 把高频问题做成模板。值班的人只改时间范围与对象，不改查询语句。这样口径统一，也不会有人临时写出拖垮性能的语句。
  • 用定期巡检代替实时盯屏。对没有全天候需求的单位，季度或月度巡检加关键指标看板，往往比半生不熟的实时值守更有效。

写进合同的三个条款

时段与响应。把服务时段、响应时限，以及「响应」到底指开始处理还是解决问题写清。人员变更。核心对接人更换要提前多少天通知，交接材料包含哪些。文档归属。运行手册、规则清单、看板配置在服务结束时归谁，能不能带走。

这三条平时不起眼，换人或换服务商的那一年会集中爆发。

边界与前提

三点说明。其一，人均班次折算为一般经验值，具体人数应按本单位告警量、事件量与班次制度测算。其二，文中服务形态为行业通行做法的一般性描述，不针对任何具体厂商。其三，涉及驻场与托管的部分，具体责任划分以合同约定为准。

深圳市奇摩计算机有限公司在交付这类运维服务时，把三条路摆在明面上让客户选：自建则给培训与模板库，驻场则先约定交接清单，托管则把服务口径写成月度可核对的报告。做的是服务这一头，所以更愿意把人力这笔账先算给客户看。预约咨询，可以先按告警量估一次人力。