Was ein Verfügbarkeitsprozentsatz wirklich erlaubt

Das Fenster entscheidet mehr als die Neun

Eine Verfügbarkeit ist ein Bruchteil eines Zeitraums, und der Zeitraum steckt nicht in der Zahl. Nimm 99,9 % auf drei Arten: über ein Jahr erlaubt sie 525,60 Ausfallminuten, über einen Monat 43,20, über einen Tag 1,44. Das ist derselbe Prozentsatz. Ein vierstündiger Ausfall bricht ein monatliches 99,9 % fünffach und besteht ein jährliches 99,9 % mit noch dreihundert Minuten Reserve. Wer dir ein Ziel ohne Fenster nennt, hat dir fast nichts gesagt.

Dieses Werkzeug hat gar keine Fenstersteuerung. Die vier Felder oben rechnen ein Ziel in vier Zeiträume um, was nützlich ist, aber das Rückwärtsfeld darunter — das einen beobachteten Ausfall wieder in einen Prozentsatz verwandelt — teilt immer durch denselben Dreißig-Tage-Monat. Wird dein Vertrag quartalsweise, über rollierende achtundzwanzig Tage oder je Kalendermonat gemessen, beantwortet dieses Feld eine andere Frage als deine. Die Arithmetik bleibt richtig; sie wird nur auf einen Zeitraum angewandt, den du nicht gewählt hast.

Der Dreißig-Tage-Monat ist eine vertretbare Vereinfachung, und das Werkzeug sagt es in seinem eigenen Hinweis. Was es nicht sagt: dieselbe Werkzeugkennung trägt eine zweite Definition. Die neben der Komponente registrierte Ersatzrechnung nutzt einen Monat von 43 800 Minuten, also 30,42 Tage, während die Komponente selbst 43 200 Minuten nimmt. Bei 99,9 % sind das 43,80 Minuten gegen 43,20 — dasselbe Werkzeug, zwei Monate, 36 Sekunden Unterschied. Als Mittelwert ist keiner falsch; sie sind nur nicht derselbe Mittelwert.

Der Februar hat keine dreißig Tage, und das Rückwärtsfeld weiß es nicht

Anbieter rechnen mit dem Monat ab, den sie tatsächlich haben. Amazon definiert die monatliche Verfügbarkeit von EC2 als 100 % minus dem Anteil der Minuten des Monats, in denen der Dienst nicht verfügbar war, bezogen auf einen monatlichen Abrechnungszyklus — einen echten Monat von 28 bis 31 Tagen. Bei 99,9 % erlaubt ein 28-tägiger Februar 40,32 Minuten, der Dreißig-Tage-Monat des Werkzeugs 43,20 und ein 31-tägiger März 44,64. Das Rückwärtsfeld ist im Februar also 2,88 Minuten zu großzügig und im März 1,44 Minuten zu streng. Das ist wenig — bis ein Vorfall drei Minuten neben einer Schwelle landet, und genau dann öffnet jemand einen Rechner.

Derselbe Vertrag sagt auch, was passiert, wenn die Zahl verfehlt wird, und das ist selten, was man erwartet. Amazon sagt für Instanzen über mehrere Verfügbarkeitszonen hinweg 99,99 % monatliche Verfügbarkeit zu und für eine einzelne Instanz 99,5 %, und das Mittel dagegen ist eine Gutschrift auf die Rechnung: 10 % der Beträge zwischen 99,0 % und der Zusage, 30 % zwischen 95,0 % und 99,0 % und 100 % unterhalb von 95,0 %. Eine Gutschrift ist kein Ersatz dessen, was der Ausfall dich gekostet hat, und keine Rechnung auf dieser Seite ändert daran etwas.

Jede Neun kostet zehnmal mehr und kauft zehnmal weniger

Das Diagramm auf der Seite ist aus gutem Grund logarithmisch skaliert: auf einer linearen Achse sind 99 % und 99,999 % nicht gleichzeitig sichtbar, denn sie unterscheiden sich um den Faktor zehntausend. Pro Monat nennt das Werkzeug 7 h 12 min bei 99 %, 43 min 12 s bei 99,9 %, 4 min 19 s bei 99,99 % und 26 s bei 99,999 %. Lies das als technische Leiter und nicht als Verkaufsargument. Der Schritt von drei auf vier Neunen holt rund acht Stunden im Jahr zurück, und diese acht Stunden werden mit einem Failover bezahlt, das du nun bauen, testen und getestet halten musst.

Das Dauerformat versteckt den Rest. Es zeigt nur die beiden höchsten von null verschiedenen Einheiten: 99 % über ein Jahr erscheint als „3 d 15 h“, obwohl das echte Budget 3 d 15 h 36 min beträgt, und 99,5 % als „1 d 19 h“ statt 1 d 19 h 48 min. Am feinen Ende dreht sich die Rundung um: das Tagesbudget bei 99,999 % beträgt 0,86 Sekunden, und das Feld zeigt „1 s“, weil der Formatierer vor der Ausgabe auf ganze Sekunden rundet. Beides ist kein Rechenfehler, und beides sollte man wissen, bevor man eine Zahl in ein Runbook kopiert.

Verfügbar sein ist nicht dasselbe wie Anfragen beantworten

Dieser Rechner misst Verfügbarkeit in Zeit — die Definition, die Verträge verwenden, weil eine Uhr sie entscheiden kann. Googles SRE-Buch nennt ihre Grenze: für einen Dienst, der teilweise verfügbar sein kann oder dessen Last über den Tag schwankt, ist ein aggregiertes Maß — erfolgreiche Anfragen geteilt durch alle Anfragen — praktischer als das Zählen von Minuten, denn zehn Minuten, in denen mittags die Hälfte des Verkehrs scheitert, sind nicht dasselbe Ereignis wie zehn Minuten ohne Verkehr um vier Uhr morgens. Eine Zeitgröße kann das nicht unterscheiden, und diese Seite auch nicht.

Zwei weitere Verhaltensweisen sollte man kennen, bevor man sich auf das Rückwärtsfeld verlässt. Ein Ziel von 100 % wird angenommen und ergibt ein Budget von 0 s: eine einzige Ausfallminute liefert dann 99,9977 % und das Urteil „Unter dem Ziel“ — arithmetisch korrekt und eine gute Illustration dafür, warum niemand 100 % in einen Vertrag schreibt. Und ein Ziel außerhalb von 0 bis 100 ersetzt den gesamten Ergebnisblock durch eine einzeilige Meldung, statt eine falsche Zahl zu zeigen — das richtige Verhalten und seltener, als es sein sollte.

Häufige Fragen

Ist ein monatlich gemessenes 99,9 % dasselbe Versprechen wie ein jährlich gemessenes?

Nein, und der Unterschied beträgt den Faktor 12,17. Über ein Jahr gemessen erlaubt 99,9 % 525,60 Ausfallminuten; über einen 30-Tage-Monat gemessen 43,20. Ein einziger vierstündiger Vorfall passt bequem in die Jahreszusage und sprengt die monatliche. Das Jahresfenster ist das großzügigere der beiden — anders als meist angenommen — und es ist auch dasjenige, mit dem ein Anbieter einen sehr schlechten Tag abfedern und trotzdem ein sauberes Jahr melden kann. Vergleichst du zwei Angebote, vergleiche die Fenster, bevor du die Neunen vergleichst.

Warum steht schon beim Laden „Unter dem Ziel“ auf der Seite?

Weil beide Felder vorbelegt ausgeliefert werden und sich die beiden Voreinstellungen absichtlich widersprechen. Das Ziel startet bei 99,9 %, was in einem 30-Tage-Monat 43 min 12 s erlaubt, und das Feld für den beobachteten Ausfall startet bei 51 Minuten, was 99,8819 % ergibt. Acht Minuten über dem Budget sind eine glaubwürdige Verfehlung und keine Katastrophe: die Seite öffnet also mit genau der Lage, in der man wirklich ankommt — am Morgen danach, mit der Frage, ob die eigene Zahl die zugesagte Zahl bricht. Ändere eines der beiden Felder, und das Urteil aktualisiert sich.

Wie lang ist für dieses Werkzeug ein Monat?

Dreißig Tage auf dem Bildschirm und 30,42 Tage in der Ersatzrechnung, die unter demselben Werkzeugnamen registriert ist. Die Komponente, mit der du arbeitest, nutzt 43 200 Minuten; die deklarative Rechnung hinter derselben Kennung nutzt 43 800. Bei 99,9 % ergibt das 43,20 und 43,80 Minuten, 36 Sekunden Unterschied; bei 99 % 432 und 438. Das Jahr hat in beiden Fällen 365 Tage und der Tag in beiden 86 400 Sekunden — der Monat ist die einzige Stelle, an der sie auseinandergehen. Nimm den 30-Tage-Wert, wenn du über ein festes Fenster nachdenkst, und den Kalendermonat deines Anbieters, wenn du über eine Rechnung streitest.

Mein Anbieter verspricht 99,99 %. Sind das vier Ausfallminuten?

Vier Minuten neunzehn Sekunden im Monat oder zweiundfünfzig Minuten vierunddreißig Sekunden im Jahr — sofern das Fenster das ist, das du unterstellst. Lies den Vertrag aber zu drei Punkten, bevor du darauf baust. Erstens: was als nicht verfügbar zählt. Viele Vereinbarungen zählen nur den vollständigen Verlust externer Konnektivität, sodass ein Dienst, der langsam antwortet oder jede zehnte Anfrage abweist, im maßgeblichen Sinne verfügbar sein kann. Zweitens: was ausgenommen ist — geplante Wartung, deine eigene Konfiguration, alles Vorgelagerte. Drittens: was bei Verfehlung geschieht. Bei Amazon EC2 ist das Mittel eine Gutschrift von 10, 30 oder 100 % der Entgelte für die betroffenen Ressourcen, und du musst sie geltend machen.

Soll ich Verfügbarkeit in Minuten oder in fehlgeschlagenen Anfragen messen?

Beides, für verschiedene Adressaten. Zeit ist das, was ein Vertrag durchsetzen kann, weil eine Uhr den Streit entscheidet — und dieser Rechner arbeitet genau in dieser Währung. Googles SRE-Buch argumentiert aber, dass für Dienste, die teilweise verfügbar sein können oder deren Verkehr über den Tag ungleich ist, eine aggregierte Größe — erfolgreiche Anfragen zu allen Anfragen — die tatsächliche Erfahrung besser beschreibt. Beide können stark auseinanderfallen: ein fünfminütiger Ausfall in deiner Spitzenstunde und ein fünfminütiger Ausfall um drei Uhr nachts sind in Minuten identisch und in fehlgeschlagenen Anfragen sehr verschieden. Gib deinem Team die aggregierte Größe und deiner Kundschaft die zeitbasierte, und lass nie stillschweigend die eine für die andere einstehen.