A saúde da plataforma — constatar o silêncio

01O silêncio é o modo de falha mais grave #sec_554cde20

Um processamento que falha escreve uma linha. Um processamento que não roda mais não escreve nada. Toda a dificuldade da supervisão está nesta diferença: a falha mais cara é aquela que não deixa nenhum rastro, e nenhuma coluna de nenhuma tela pode mostrar o que nunca foi escrito.

REVIEWIT tira uma regra de concepção: um estado de saúde não se armazena, ele se calcula. Um estado armazenado deveria ser mantido atualizado por alguém — e no caso que nos ocupa, este alguém é precisamente aquele que parou. O veredicto é portanto produzido na leitura, confrontando o que se esperava com o que o armazenamento realmente contém.

A mesma exigência vale para a nuance entre verificar e não poder verificar. Uma sonda que não conseguiu olhar nunca retorna « em boa saúde »: ela retorna « eu não sei ». Confundir os dois é o defeito mais caro de um dispositivo de supervisão, porque ele só se descobre em auditoria, e nunca antes.

02O vigilante não compartilha o destino do vigiado #sec_e4470335

Um processamento que supervisiona os processamentos para com o orquestrador que o carrega. A resposta não é desistir de supervisionar, mas escolher onde se posiciona o observador, em círculos de resistência crescente.

O primeiro círculo é a tela: o veredicto se calcula em outro processo, ele diz a verdade mesmo quando o vigiado está morto, mas apenas quando um humano olha. O segundo é a ascensão: a região observada envia um condensado para um terceiro de confiança, que mede a idade do que recebe — um sistema não pode constatar sua própria morte, mas seu silêncio se constata em outro lugar. O terceiro é o batimento de saída, cuja parada alerta um terceiro realmente estranho.

O mesmo raciocínio se aplica ao canal de alerta em si. Um alerta que usasse o serviço de mensagens do produto seria incapaz de anunciar a falha deste serviço: o canal que anuncia nunca compartilha o destino do que anuncia.

Por fim, um dispositivo de saúde alerta, ele não controla. Nenhum reinício automático, nenhuma mudança de estado, nenhuma suspensão desencadeada por um silêncio. A razão não é a prudência mas a lógica: agir sobre uma ausência de sinal, é tratar « eu não sei » como « eu sei que não ». Um relatório que não chega pode sinalizar uma falha do vigiado, do canal ou do leitor — três causas, uma única aparência.

03O que se espera se declara #sec_2e13ea82

Sem declaração explícita do que deveria existir, um componente removido voluntariamente e um componente cujo registro falhou em silêncio são rigorosamente indiscerníveis: os dois se apresentam como uma ausência.

REVIEWIT mantém portanto um catálogo do que é esperado. Ele custa uma linha por elemento e torna a ausência não apenas visível, mas qualificada: « esperado, ausente » se torna um alarme quando nada o justifica, e uma explicação quando uma condição declarada não é cumprida — uma funcionalidade desativada, um serviço não configurado, uma opção não subscrita.

Um catálogo pode derivar, e este é seu único verdadeiro risco. A defesa é um controle automático que lê o sistema real e compara as duas listas: um elemento novo faz o controle falhar antes de atingir um deployment.

A gravidade, ela, não se confunde com a natureza do problema. « Ausente », « silencioso », « em falha » descrevem o que está acontecendo, não o que isso custa. Um processamento secundário ausente pesa menos que um processamento vital em falha: a gravidade é um cálculo — natureza, criticidade declarada, antiguidade, repetição — e não uma posição em uma lista.

04Alertar sem esgotar a atenção #sec_35228c41

Um leitor que constata uma falha a cada cinco minutos enviaria quase trezentas mensagens por dia para um único incidente. A distinção que o evita é simples: o veredicto é sem estado, a notificação tem um. O que é conservado não é a saúde, mas o fato de que um humano já foi prevenido — suprimir inteiramente este registro não mudaria nenhum veredicto.

Daqui decorre o ciclo: um atraso antes de abrir um incidente, porque um constatado visto uma única vez é talvez uma reinicialização; um único incidente por assunto; um lembrete com cadência declarada; e um restabelecimento anunciado uma única vez, e apenas se a abertura o tivesse sido. Não se tranquiliza alguém que não se incomodou.

Quando um alarme conhecido não deve mais acordar ninguém, duas vias existem: fazer calar o constatado, ou declarar que se assume. A primeira é uma mentira adiada. REVIEWIT oferece portanto apenas a segunda: uma colocação em espera carrega um motivo, um autor e uma data limite — os três ou nenhum. Ela não muda o veredicto, apenas o envio. O constatado permanece verdadeiro, permanece exibido, e retoma seu curso na data limite. O acerto obedece à mesma lógica: « eu sei » para os lembretes, nunca o fato, e o que se agrava não foi acertado.

05Duas audiências, uma única realidade #sec_5568dbff

O operador e o cliente olham a mesma plataforma e não têm a mesma pergunta. O primeiro pergunta qual componente caiu; o segundo pergunta se o serviço que se lhe deve funciona.

Relatar os nomes técnicos ao segundo não é transparência, é uma transferência de carga: deixa-se a ele uma tradução que ele não pode fazer. Mascar um atraso real seria o excesso inverso, e uma mentira. REVIEWIT interpõe portanto uma projeção explícita e versionada, que vive no módulo e não na tela — senão dois portais acabariam por responder diferentemente à mesma pergunta.

Três regras a governam: o pior estado prevalece, o que não está montado está fora do perímetro e nunca em atraso, e a data apresentada é a do fato, não a da página. O cliente lê assim promessas cumpridas ou em atraso — a coleta de identidades, a relançamento das campanhas, o envio das notificações — e não códigos de processamentos.

06A direção do fluxo e a última prova #sec_337c2c62

Quando um plano de controle central e regiões autônomas coexistem, o sentido de circulação é uma decisão de arquitetura e não um detalhe de implementação. Abrir um canal descendente para o único conforto de uma tela de supervisão bastaria para tornar a autonomia regional insustentável.

A consequência é libertadora ao invés de constrangedora: já que o centro não vai buscar, são as regiões que empurram seu condensado — e seu silêncio se torna um sinal de primeira ordem, gratuito, que nenhum outro dispositivo teria fornecido. O que deve ser observado de perto se sonda de perto: uma região sonda seus próprios vizinhos e relata; o centro lê o que lhe foi dito, e a idade do que lhe foi dito.

Resta não destruir o que permite datar um silêncio. Um jornal sem purga se torna ilegível; uma purga sem piso apaga a última pista de um assunto que se tornou mudo, que se torna então indiscernível de um assunto novo. A regra é portanto estrutural e não parametrizável: qualquer que seja a duração de retenção retida, a última pista conhecida de cada assunto sobrevive — incluindo, e sobretudo, a dos assuntos que não existem mais.

07Em resumo #sec_cffea994

Um dispositivo de saúde não tem como objetivo anunciar que tudo está bem. Tem como objetivo tornar visível o que, por natureza, não se vê: a paragem silenciosa, a ausência não declarada, o tratamento que tem êxito sem mais nada produzir. REVIEWIT calcula os seus veredictos em vez de os armazenar, coloca o observador fora do perímetro observado, declara o que espera, nunca age sobre uma ignorância, traduz para o cliente sem lhe retransmitir a sua canalização e mantém sempre a última prova que permite datar um silêncio.