Che cosa consente davvero una percentuale di disponibilità

La finestra decide più del nove

Una disponibilità è una frazione di un periodo, e il periodo non fa parte del numero. Prendi 99,9 % in tre modi: su un anno consente 525,60 minuti di fermo, su un mese 43,20, su un giorno 1,44. È la stessa percentuale. Un guasto di quattro ore viola cinque volte un 99,9 % mensile e supera un 99,9 % annuo con ancora trecento minuti di riserva. Quando qualcuno ti dà un obiettivo senza finestra, non ti ha detto quasi nulla.

Questo strumento non ha alcun controllo della finestra. Le quattro caselle in alto convertono un obiettivo in quattro periodi, il che è utile, ma la casella inversa sotto — quella che riporta un fermo osservato a percentuale — divide sempre per lo stesso mese di trenta giorni. Se il tuo contratto è misurato per trimestre, su ventotto giorni mobili o per mese solare, quella casella risponde a una domanda diversa dalla tua. L'aritmetica resta giusta; è solo applicata a un periodo che non hai scelto.

Il mese di trenta giorni è una semplificazione difendibile, e lo strumento lo dice nella sua stessa nota. Quello che non dice è che lo stesso identificatore di strumento porta una seconda definizione: il calcolo di riserva registrato accanto al componente usa un mese di 43 800 minuti, cioè 30,42 giorni, mentre il componente usa 43 200 minuti. Al 99,9 % fanno 43,80 minuti contro 43,20 — lo stesso strumento, due mesi, 36 secondi di scarto. Nessuno dei due è sbagliato come media; semplicemente non sono la stessa media.

Febbraio non ha trenta giorni, e la casella inversa non lo sa

I fornitori fatturano il mese che hanno davvero. Amazon definisce la percentuale di disponibilità mensile di EC2 come 100 % meno la percentuale di minuti del mese in cui il servizio è stato indisponibile, su un ciclo di fatturazione mensile — un mese vero, da 28 a 31 giorni. Al 99,9 %, un febbraio di 28 giorni consente 40,32 minuti, il mese di 30 giorni dello strumento ne consente 43,20 e un marzo di 31 giorni 44,64. Quindi la casella inversa è 2,88 minuti troppo generosa a febbraio e 1,44 minuti troppo severa a marzo. È poco, finché un incidente non cade a tre minuti da una soglia — che è esattamente quando qualcuno apre una calcolatrice.

Lo stesso contratto dice anche che cosa accade quando il numero non viene rispettato, e raramente è ciò che ci si aspetta. Amazon si impegna al 99,99 % di disponibilità mensile per istanze distribuite su più zone di disponibilità e al 99,5 % per una singola istanza, e il rimedio è una nota di credito sulla fattura: 10 % degli importi fra 99,0 % e l'impegno, 30 % fra 95,0 % e 99,0 %, e 100 % sotto il 95,0 %. Una nota di credito non è un risarcimento di ciò che il fermo ti è costato, e nessun calcolo di questa pagina lo cambia.

Ogni nove costa dieci volte di più e compra dieci volte di meno

Il grafico della pagina è tracciato in scala logaritmica per un motivo: su una scala lineare 99 % e 99,999 % non possono essere visibili insieme, perché differiscono di un fattore diecimila. Al mese lo strumento dà 7 h 12 min al 99 %, 43 min 12 s al 99,9 %, 4 min 19 s al 99,99 % e 26 s al 99,999 %. Leggilo come una scala ingegneristica e non di marketing. Il passo da tre nove a quattro recupera circa otto ore all'anno, e quelle otto ore si comprano con un failover che ora bisogna costruire, provare e mantenere provato.

Il formato di durata nasconde la coda. Mostra solo le due unità non nulle più significative: 99 % su un anno appare come «3 d 15 h» mentre il budget vero è 3 d 15 h 36 min, e 99,5 % appare come «1 d 19 h» essendo 1 d 19 h 48 min. All'estremità fine l'arrotondamento va al contrario: il budget giornaliero al 99,999 % vale 0,86 secondi e la casella scrive «1 s», perché il formattatore arrotonda ai secondi interi prima di formattare. Nessuno dei due è un errore di calcolo, ed entrambi vanno saputi prima di incollare una cifra in una procedura.

Essere su non è la stessa cosa che servire richieste

Questo calcolatore misura la disponibilità nel tempo, che è la definizione usata dai contratti perché è quella che un orologio può risolvere. Il libro SRE di Google ne segnala il limite: per un servizio che può essere parzialmente disponibile, o il cui carico varia nella giornata, una misura aggregata — richieste riuscite diviso richieste totali — è più pratica del contare minuti, perché dieci minuti con metà del traffico che fallisce a mezzogiorno non sono lo stesso evento di dieci minuti senza traffico alle quattro del mattino. Un valore in tempo non sa distinguerli, e nemmeno questa pagina.

Altri due comportamenti da conoscere prima di affidarsi alla casella inversa. Un obiettivo del 100 % viene accettato e produce un budget di 0 s: un solo minuto di fermo restituisce allora 99,9977 % e il verdetto «Sotto l'obiettivo» — aritmeticamente corretto e buona illustrazione del perché nessuno scriva 100 % in un contratto. E un obiettivo fuori dall'intervallo 0-100 sostituisce l'intero blocco dei risultati con un messaggio di una riga invece di mostrare un numero sbagliato, il che è il comportamento giusto e più raro di quanto dovrebbe.

Domande frequenti

Un 99,9 % misurato al mese è la stessa promessa di un 99,9 % misurato all'anno?

No, e la differenza è un fattore 12,17. Misurato su un anno, 99,9 % consente 525,60 minuti di fermo; misurato su un mese di 30 giorni, 43,20. Un solo incidente di quattro ore sta comodo dentro l'impegno annuale e fa saltare quello mensile. La finestra annuale è la più generosa delle due, al contrario di quanto si suppone di solito, ed è anche quella che permette a un fornitore di assorbire una giornata pessima e riportare comunque un anno pulito. Se confronti due offerte, confronta le finestre prima dei nove.

Perché la pagina dice già «Sotto l'obiettivo» appena si apre?

Perché entrambe le caselle arrivano precompilate, e i due valori predefiniti si contraddicono di proposito. L'obiettivo parte da 99,9 %, che consente 43 min 12 s in un mese di 30 giorni, e la casella del fermo osservato parte da 51 minuti, che danno 99,8819 %. Otto minuti oltre il budget sono un'inadempienza credibile più che una catastrofe: la pagina si apre quindi sulla situazione con cui si arriva davvero, la mattina dopo, volendo sapere se il numero che si ha viola il numero promesso. Cambia uno dei due campi e il verdetto si aggiorna.

Quanto dura un mese, per questo strumento?

Trenta giorni sullo schermo, e 30,42 giorni nel calcolo di riserva registrato sotto lo stesso nome di strumento. Il componente con cui interagisci usa 43 200 minuti; il calcolo dichiarativo che sta dietro lo stesso identificatore ne usa 43 800. Al 99,9 % danno 43,20 e 43,80 minuti, 36 secondi di scarto; al 99 %, 432 e 438. L'anno è di 365 giorni in entrambi e il giorno di 86 400 secondi in entrambi: il mese è l'unico punto in cui divergono. Usa il valore a 30 giorni se ragioni su una finestra fissa, e il mese solare del tuo fornitore se discuti una fattura.

Il mio fornitore promette 99,99 %. Sono quattro minuti di fermo?

Quattro minuti e diciannove secondi al mese, o cinquantadue minuti e trentaquattro secondi all'anno, se la finestra è quella che presumi. Ma leggi il contratto su tre punti prima di costruirci sopra. Primo, che cosa conta come indisponibile: molti accordi contano solo una perdita totale di connettività esterna, quindi un servizio che risponde lento, o che fallisce una richiesta su dieci, può risultare «su» nel senso che conta. Secondo, che cosa è escluso: manutenzione programmata, la tua stessa configurazione, tutto ciò che sta a monte. Terzo, che cosa accade quando viene mancato: con Amazon EC2 il rimedio è una nota di credito del 10, 30 o 100 % degli importi delle risorse interessate, e devi richiederla tu.

Devo misurare la disponibilità in minuti o in richieste fallite?

Entrambe, per pubblici diversi. Il tempo è ciò che un contratto può far rispettare, perché un orologio chiude la discussione, e questo calcolatore lavora esattamente in quella moneta. Ma il libro SRE di Google sostiene che per servizi che possono essere parzialmente disponibili, o il cui traffico è irregolare nella giornata, un valore aggregato — richieste riuscite su richieste totali — descrive meglio l'esperienza reale. I due possono divergere parecchio: un fermo di cinque minuti nell'ora di punta e un fermo di cinque minuti alle tre del mattino sono identici in minuti e molto diversi in richieste fallite. Dai l'aggregato alla tua squadra e il valore temporale al cliente, e non lasciare mai che uno sostituisca l'altro in silenzio.