Co naprawdę znaczy 99,9% dostępności: godziny, nie ułamki
W skrócie: procenty bliskie 100 ukrywają to, co ważne. 99% dostępności pozwala na 87,6 godziny przestoju rocznie, 99,9% na 8,8 godziny, a 99,99% na około 53 minuty. Gdy usługa potrzebuje, żeby kilka elementów działało naraz, ich dostępności się mnożą: dziesięć niezależnych elementów po 99,9% daje 99,0% dla całości, około 87 godzin przestoju rocznie. Dwie niezależne kopie elementu po 99%, działające obok siebie, dają 99,99%. Myśl w godzinach przestoju i w tym, co musi działać jednocześnie.
Firma wybiera dostawcę nowego systemu zamówień online. Zwycięska oferta obiecuje 99,9% dostępności. Dyrektor sprzedaży jest zachwycony: „Czyli właściwie nigdy nie pada”.
System zależy też od operatora płatności, usługi logowania, bazy stanów magazynowych, śledzenia dostaw i firmowej sieci, każde z własnym 99,9%. Seba zaczyna mnożyć.
Zamiana dziewiątek na godziny
Rok ma 8760 godzin. Przydatna liczba to brakująca część: to, co zostaje po odjęciu dostępności.
| Dostępność | Dozwolony przestój rocznie | Miesięcznie |
|---|---|---|
| 99% | 87,6 godziny | około 7 godzin |
| 99,9% | 8,8 godziny | 43 minuty |
| 99,99% | 53 minuty | 4 minuty |
Każda kolejna dziewiątka zmniejsza przestój dziesięciokrotnie. Przejście z 99% na 99,9% brzmi jak różnica w zaokrągleniu; to różnica między trzema i pół dnia w roku a jednym długim wieczorem.
Gdy wszystko musi działać
System zamówień działa tylko wtedy, gdy działają wszystkie jego części. Jeśli ich awarie są niezależne, szansa, że wszystkie działają naraz, to iloczyn ich dostępności: reguła mnożenia.
| Elementy w łańcuchu, każdy 99,9% | Cały system | Przestój rocznie |
|---|---|---|
| 1 | 99,9% | 8,8 godziny |
| 5 | 99,5% | 44 godziny |
| 10 | 99,0% | 87 godzin |
| 20 | 98,0% | 174 godziny |
Każda część „właściwie nigdy nie pada”. Razem nie działają przez ponad trzy i pół dnia w roku.
Roczny przestój łańcucha elementów, każdy o dostępności 99,9%
Gdy wystarczy jedno z dwóch
Ta sama reguła działa odwrotnie dla zapasów. Jeśli dwie kopie elementu działają obok siebie, a system działa, gdy działa którakolwiek, system pada tylko wtedy, gdy obie padną naraz. Dwie niezależne kopie po 99% padają razem przez 1% z 1% czasu, co daje 99,99%. Dlatego krytyczne systemy dublują najsłabsze ogniwa.
Haczyk tkwi w słowach zdarzenia niezależne. Dwie kopie w tym samym budynku, na tym samym zasilaniu albo z tą samą wadliwą aktualizacją padają razem i mnożenie przestaje pomagać.
Statystyka dla laików: patrz na dopełnienie
Przy wszystkim, co jest blisko 100%, odwróć liczbę i spójrz na lukę: 99,9% działania to 0,1% awarii, a 0,1% roku to 8,8 godziny. Ta sama sztuczka działa przy niezawodności, odsetku zdanych testów i trafności. „99% trafności” przy milionie sprawdzeń to 10 000 pomyłek.
Gdzie to kosztuje pieniądze
Plan, który wymaga, żeby pięć rzeczy się udało, każda „bardzo prawdopodobna” na 90%, ma tylko 59% szans, że uda się wszystko. Uzasadnienia inwestycji łączące kilka optymistycznych założeń są dużo słabsze, niż wygląda każde z nich z osobna.
Morał
Seba przedstawił łańcuch: system zamówień plus pięć rzeczy, od których zależy, sześć ogniw po 99,9%, to razem około 52 godzin oczekiwanego przestoju rocznie. Dyrektor sprzedaży zapytał, czy rozwiąże to jeden dostawca oferujący 99,99%. Seba odpowiedział, że tak, jeśli będzie też obsługiwał płatności, logowanie, magazyn, dostawy i sieć. Dostawca zaproponował, że zrobi wszystko, na 99,9%.
Czego to nie mówi
- Awarie nie zawsze są niezależne. Wspólne sieci, centra danych i aktualizacje sprawiają, że elementy padają razem, przez co łańcuch może wypaść lepiej, a zapas gorzej, niż mówi prosta reguła.
- Nie każdy przestój jest równy. Osiem godzin o 3 w nocy w niedzielę i osiem godzin w najbardziej ruchliwy dzień roku kosztują zupełnie co innego.
- Obietnice to nie pomiary. 99,9% w umowie to cel z karami, a nie gwarancja tego, co się stanie.
System zamówień i dostawcy to ilustracja. Liczby to proste rachunki z procentów dostępności przy założeniu niezależnych awarii. Treść edukacyjna, nie porada techniczna, biznesowa ani finansowa.