Ausfallsicherheit · Material Alle Diagramme 7 Zeichnungen aus dem Kurs, in der Reihenfolge, in der sie vorkommen. Druckbar — als Aushang neben dem Bildschirm ist die Landkarte mehr wert als jede Notiz.
Die Neunen Was hinter einer Prozentzahl an Zeit steckt WIE VIEL AUSFALL HINTER EINER PROZENTZAHL STECKT Zusage Ausfall pro Jahr pro Monat Was dafür nötig ist 99 % 3 Tage 15 Std. 7,2 Std. Ein Server, gute Sicherung, jemand schaut morgens hin 99,9 % 8 Std. 46 Min. 43 Min. Ein Server, Überwachung, geübter Wiederanlauf — Kurs „Betrieb“ 99,95 % 4 Std. 23 Min. 22 Min. Zwei Anwendungsserver, eine Datenbank mit schnellem Umschalten 99,99 % 52 Min. 4,3 Min. Alles doppelt, automatisches Umschalten, geübt — dieser Kurs 99,999 % 5 Min. 26 Sek. Mehrere Standorte, eigenes Team, rund um die Uhr besetzt Jede Neune kostet ungefähr das Dreifache der vorigen. Und jede Neune bringt weniger Nutzen als die vorige. Der Sprung von 99 auf 99,9 lohnt fast immer, der von 99,99 auf 99,999 fast nie. Verfügbarkeit, RTO, RPO Drei Fragen an einer Zeitachse DREI ZAHLEN, DIE VOR JEDER ARCHITEKTUR FESTSTEHEN MÜSSEN Zeit letzte Sicherung Ausfall wieder da RPO — was verloren ist RTO — wie lange es dauert Verfügbarkeit Wie viel Ausfall darf im Jahr zusammenkommen? z. B. 99,9 % RTO Wie lange darf ein einzelner Ausfall dauern? z. B. 15 Minuten RPO Wie viel Arbeit darf dabei verloren gehen? z. B. 5 Minuten Wer diese drei Zahlen nicht aufgeschrieben hat, kann keine Architektur begründen — er kann nur Technik kaufen. Vier Fragen Jede kann den Aufbau beenden, bevor er beginnt VIER FRAGEN — JEDE KANN DEN AUFBAU BEENDEN, BEVOR ER BEGINNT 1 Kostet eine Stunde Stillstand mehr als 500 €? ja → weiter nein → Ein Server genügt. 2 Fällt Stillstand außerhalb Ihrer Arbeitszeit an? ja → weiter nein → Ein Server genügt. 3 Ist der Wiederanlauf geübt und dauert er trotzdem zu lang? ja → weiter nein → Erst üben — Kurs „Betrieb“. 4 Gibt es jemanden, der den doppelten Aufbau pflegt? ja → Dieser Kurs. nein → Verwalteten Dienst kaufen. Drei von vier Betrieben, die diesen Kurs anfragen, sollten ihn nicht buchen — sondern den Wiederanlauf üben. Ein geübter Wiederanlauf in 20 Minuten schlägt einen ungeübten doppelten Aufbau, der im Ernstfall beide Hälften mitreißt. Erprobungsstand Belegt, ungeprüft, offen WAS IN DIESEM KURS BELEGT IST — UND WAS NICHT Belegt Der Aufbau ist bei ConnectiveX gebaut und gemessen: zwei Anwendungsserver, ein Verteiler, Postgres mit Replik. Ungeprüft Automatisches Umschalten der Datenbank ist beschrieben, aber bei uns nur zweimal von Hand ausgelöst worden. Offen Zweiter Standort und Betrieb über ein Jahr — dazu steht hier nur, was zu bedenken ist, nicht, wie es sich anfühlt. Ein Kurs über Ausfallsicherheit, der seinen eigenen Erprobungsstand verschweigt, widerspricht sich im ersten Satz. Sieben Arten Was ausfällt, wie oft, und was wirklich hilft SIEBEN ARTEN VON AUSFALL — NUR ZWEI DAVON BRAUCHEN EINEN ZWEITEN SERVER Was ausfällt Wie oft Dauer Was wirklich hilft Der Prozess stirbt wöchentlich Sekunden Neustart durch Docker — kein zweiter Server nötig Die Anwendung hängt monatlich bis jemand hinsieht Gesundheitsprüfung, die tief genug prüft (Station 03) Ein Fehldeploy monatlich Minuten bis Stunden Nicht die Doppelung — sondern Zurückrollen (Station 04) Die Platte läuft voll jährlich Stunden Überwachung; doppelt läuft sonst beides voll Die Maschine fällt aus alle 1–3 Jahre Stunden Zweiter Anwendungsserver — genau dafür ist er da Das Rechenzentrum fällt aus alle 3–10 Jahre Stunden bis Tage Nur ein zweiter Standort (Station 07) Der Anbieter sperrt das Konto selten Tage Keine Technik — nur die Sicherung außer Haus Die häufigsten Ausfälle löst kein zweiter Server. Wer mit dem zweiten Server anfängt, verdoppelt die häufigen Ursachen und behebt nur die seltene — deshalb erst der Betrieb. Reihe oder parallel Zwei Teile können die Verfügbarkeit verdoppeln oder halbieren ZWEI TEILE KÖNNEN DIE VERFÜGBARKEIT VERDOPPELN — ODER HALBIEREN IN REIHE — BEIDE MÜSSEN LAUFEN Server A 99 % verfügbar Server B 99 % verfügbar zusammen: 98,0 % Ein zweiter Server, der gebraucht wird, ist ein zweites Risiko. PARALLEL — EINER GENÜGT Server A Server B Ver- teiler zusammen: 99,99 % wenn der Verteiler nicht mitzählt. Jedes Teil, das dazukommt und gebraucht wird, steht in Reihe. Der Verteiler, die gemeinsame Datenbank, der Sitzungsspeicher, das gemeinsame Dateiverzeichnis — jedes steht in Reihe zu allem anderen. Ausfallsicher ist ein Aufbau erst, wenn kein Teil mehr allein in Reihe steht. Das ist die ganze Arbeit dieses Kurses. Der Ausgangspunkt Eine Anwendung aus Kurs 1 und ihre fünf Einzelpunkte EINE ANWENDUNG AUS KURS 1 — JEDER ROTE PUNKT LEGT ALLES STILL EIN SERVER, EIN ALLES Domain beim Anbieter 1 Server eine Maschine 1 Proxy ein Prozess 1 Anwendung ein Container 1 Datenbank ein Container 1 Fünf Teile, fünf Einzelpunkte. Und ein sechster, der nicht im Bild steht: die Platte unter allem. Das ist kein Vorwurf an Kurs 1 — für 99,9 % ist dieser Aufbau richtig, weil man ihn allein versteht. DIE ÜBUNG: DIESE VIER SPALTEN FÜR IHRE ANWENDUNG AUSFÜLLEN Was Sie eintragen Wie viele davon gibt es? Was passiert, wenn es weg ist? Wie lange bis Ersatz?