O pedido seria assim:
- Atualize o servidor secundário (aquele que atualmente não está servindo conexões)
- Após a reinicialização, faça um failover de espelhamento controlado para ele
- Atualize o servidor principal (que neste momento não está mais atendendo a conexões)
- Após a reinicialização, você pode fazer um failover controlado, se quiser, mas não precisa fazer isso. Você pode deixar as conexões em execução na caixa secundária.