SLA Di Disponibilità Che Contano Davvero

Uno SLA di disponibilità sembra una promessa e si comporta come una politica di rimborso. I fornitori lo sanno. I clienti spesso no, e firmano un contratto di livello di servizio convinti di avere comprato disponibilità, mentre hanno comprato un piccolo sconto nel caso in cui non la ottengano.

Non è necessariamente un cattivo affare. È semplicemente un affare diverso da quello che quasi tutti credono di concludere, e la differenza pesa nel momento in cui il sistema è fermo e qualcuno chiede che cosa dice il contratto.

Tre nove sembrano quasi la perfezione e consentono 43 minuti di fermo al mese. Quattro nove ne consentono quattro. Se la vostra attività assorbe un blocco di 43 minuti in un pomeriggio lavorativo, 99,9% va benissimo e non dovreste pagare di più. In caso contrario nessun numero di nove vi salva, perché l’accordo vi paga un credito invece di evitare il blocco.

Che cosa promette in minuti uno SLA di disponibilità

Le percentuali comprimono un intervallo enorme in una differenza che sembra minima. Scritte come tempo, le distanze diventano evidenti.

Ne derivano due cose. Il passo da 99,9% a 99,99% riduce di dieci volte il fermo consentito e di norma costa molto più di dieci volte tanto, perché richiede una ridondanza che elimina ogni singolo punto di rottura, processo di rilascio compreso. E tutto ciò che raggiunge o supera i cinque nove sta sotto il tempo che serve a una persona per accorgersene e reagire, quindi può essere retto solo da sistemi che commutano senza nessuno al comando.

Scegliete il numero in base a quanto vi costa davvero un’ora di blocco, non in base a ciò che suona bene in riunione. Quasi tutti i sistemi aziendali sono serviti onestamente da 99,9%.

I crediti di servizio non sono un risarcimento

Il rimedio previsto da quasi ogni SLA di disponibilità è un credito sulle fatture future, di solito una percentuale del canone mensile e spesso limitato al totale di quel mese. Lo SLA compute di Google Cloud è un esempio rappresentativo: solo crediti, da richiedere a cura del cliente, con un tetto massimo.

Significa che il massimo recuperabile è più o meno quanto avete pagato per il periodo, che per quasi tutti i servizi è molto meno di quanto costa un blocco. Una piattaforma da poche centinaia di sterline al mese non può compensare una giornata di vendite perse, e nessun fornitore accetterà condizioni che glielo impongano.

I crediti inoltre sono spesso su richiesta e non automatici. Dovete accorgervi della violazione, calcolarla e presentare la richiesta entro una finestra a volte breve come trenta giorni. I fornitori non sono tenuti a comunicare spontaneamente di avere mancato l’obiettivo, e quasi nessuno lo fa.

La conclusione pratica è smettere di considerare il credito una protezione. È un segnale di quanto seriamente il fornitore prenda il proprio numero. A proteggervi è l’architettura, insieme alla pianificazione del ripristino descritta nella nostra guida al disaster recovery.

Le clausole che decidono tutto

Che cosa conta come fermo. Solo l’indisponibilità totale, oppure anche il degrado delle prestazioni? Un servizio che risponde in trenta secondi è inutilizzabile e, per quasi tutte le definizioni, disponibile. Fate entrare nella definizione una soglia di latenza se il tempo di risposta conta.

Come si misura, e chi misura. Quasi sempre il fornitore, con il proprio monitoraggio, dalla propria rete. Così si misura la sua infrastruttura, non la vostra esperienza. Concordate il punto di misura e attivate comunque un monitoraggio indipendente, perché non potete contestare un numero che non avete osservato.

Le esclusioni. La manutenzione programmata di solito è esclusa del tutto, quindi un fornitore può restare indisponibile per ore ogni mese senza violare nulla. Verificate quanto preavviso serve e se esiste un tetto. Sono escluse anche le cause attribuite alla vostra configurazione, a terze parti o a forza maggiore, e quelle categorie assorbono parecchio.

La finestra di misura. Il mese è lo standard e gioca a vostro favore. La misura annuale permette al fornitore di incassare un blocco lunghissimo e centrare comunque l’obiettivo, perché una giornata intera di fermo rientra nel budget annuo a 99,9%.

Risposta contro risoluzione. Molti accordi si impegnano a rispondere entro un tempo e non dicono nulla sulla riparazione. Una risposta entro un’ora con riparazione senza limite è una forma diffusa, molto più debole di come si legge.

Che cosa chiedere invece

Insistete sulle cose che cambiano i comportamenti, non sul numero da vetrina.

Un tetto alla manutenzione programmata, con preavviso e una finestra fuori dalle vostre ore di punta. Spesso incide sulla disponibilità reale più della percentuale.

Trasparenza sullo stato, cioè una pagina di stato pubblica e l’impegno a pubblicare gli incidenti in tempi rapidi. Un fornitore che dichiara i propri blocchi vi sta dicendo qualcosa su come lavora.

Un percorso di escalation definito con nomi o ruoli e tempi, così un incidente non comincia con la caccia alla persona giusta da contattare.

Rapporti di incidente dopo i blocchi rilevanti, che descrivano che cosa è successo e che cosa è cambiato di conseguenza. È il documento più istruttivo che un fornitore possa darvi, e la riluttanza a fornirlo è a sua volta istruttiva.

Diritto di recesso in caso di guasti ripetuti. Un rendimento cronicamente sotto le attese deve permettervi di andarvene senza penali. Quel diritto vale più di qualsiasi credito, perché è l’unico rimedio proporzionato al danno.

Se siete voi a offrire uno SLA

Offrite un numero che riuscite a tenere nel vostro mese peggiore, non in quello medio, e misuratelo da soli prima di impegnarvi. I fornitori che si impegnano su una cifra mai verificata scoprono lo scarto in pubblico.

Definite onestamente la manutenzione programmata e rispettate la finestra. Pubblicate una pagina di stato. Scrivete il rapporto sull’incidente anche quando nessuno lo chiede, perché i clienti che restano sono quelli convinti che sappiate che cosa è accaduto.

E prezzate i livelli in base a quanto vi costano davvero da erogare. Quattro nove non sono una decisione di marketing, sono infrastruttura ridondante, commutazione automatica e un processo di rilascio che non può fermare il sistema, e tutto questo ha un conto allegato. Le basi operative descritte nella nostra guida alla pipeline CI/CD sono il punto di partenza di quasi tutto.

Mecanik costruisce e gestisce sistemi soggetti a impegni di disponibilità come parte del lavoro di analisi sicurezza server. L’impegno che vale la pena prendere è quasi sempre quello che reggete in una settimana storta.

Domande frequenti

Quanto fermo consente una disponibilità del 99,9%? 8,76 ore all’anno, ovvero 43,2 minuti al mese. Il passo a 99,99% riduce il valore a 52,6 minuti all’anno e 4,32 minuti al mese, dieci volte meno, e costa di norma molto più di dieci volte tanto perché impone di eliminare ogni singolo punto di rottura, processo di rilascio compreso.

I crediti di servizio sono un vero risarcimento per i disservizi? No. I crediti sono di solito una percentuale del canone mensile e sono limitati al totale di quel mese, quindi il massimo recuperabile è più o meno quanto avete pagato, molto meno di quanto costa in genere un blocco. Sono anche spesso su richiesta con finestre brevi, e i fornitori raramente comunicano di propria iniziativa di avere mancato l’obiettivo.

Che cosa devo controllare in uno SLA di disponibilità? Che cosa conta come fermo e se rientra il degrado delle prestazioni, chi misura e da dove, che cosa coprono le esclusioni, se la manutenzione programmata ha un tetto e un preavviso, se la finestra è mensile o annuale, e se l’impegno riguarda la risposta o la risoluzione.

Perché la finestra di misura è così importante? La misura mensile favorisce il cliente. Quella annuale permette al fornitore di incassare un solo blocco lunghissimo e centrare comunque l’obiettivo, perché una giornata intera di fermo rientra nel budget annuo a 99,9%. Lo stesso guasto violerebbe senza discussione un accordo mensile.

Che cosa conviene negoziare invece di un numero più alto? Un tetto alla manutenzione programmata con preavviso fuori dalle ore di punta, una pagina di stato pubblica con pubblicazione rapida degli incidenti, un percorso di escalation con nomi e tempi, rapporti scritti dopo i blocchi rilevanti e il diritto di recesso in caso di guasti ripetuti. L’ultimo è l’unico rimedio proporzionato al danno.