Quorum und Regionen

Die Regel, die entscheidet, wann ein Incident vorliegt: Regionen stimmen ab, ein Quorum bestätigt, und alles unterhalb des Quorums bleibt sichtbar, ohne jemanden zu alarmieren.

Die Regionen

Sechs Prüfregionen, eine je bewohntem Kontinent: na-ewr, sa-gru, eu-fra, af-jnb, as-sgp, oce-syd. Mit Pulse wird aus 3 Regionen geprüft, ab Sentinel aus allen sechs. Die Seite zum Prüfnetz beschreibt die Architektur der Flotte.

Zwei Schwellen vor dem Alarm

1. Innerhalb einer Region müssen 75 % der Prüfpunkte der Region übereinstimmen, bevor die Region abstimmt. Ein einzelner Knoten, der seinen Nachbarn widerspricht, wird als Abweichung festgehalten, nicht als Ausfall.
2. Über Regionen hinweg öffnet sich ein Incident, wenn ein Quorum von Regionen den Fehler bestätigt: standardmäßig zwei Regionen. Die Wiederherstellung hat ihr eigenes Quorum, und Ergebnisse, die älter als das Frischefenster sind, zählen nicht.

Der Startzeitpunkt des Incidents ist die Bestätigung durch das Quorum, sekundengenau, und die Endgrenze ist die bestätigte Wiederherstellung. Das sind genau die Fenstergrenzen, die Ihre Verfügbarkeitsaufzeichnung verwendet. Nichts wird gerundet, nichts rückdatiert.

Unterhalb des Quorums: sich bildende Incidents und Watchlist

• Ein sich bildender Incident (erste Region fällt aus, Quorum noch nicht erreicht) ist im Produkt sichtbar, samt Namen der ersten ausgefallenen Region, und sendet genau eine leise Benachrichtigung je Episode.
• Abweichungen unterhalb des Quorums (eine Region driftet, eine IP-Familie fällt aus, ein Knoten widerspricht) landen auf einer Watchlist. Ein Eintrag muss ein volles Check-Intervall überstehen, bevor er überhaupt gemeldet wird; Sie gehen ihm nach, wenn es Ihnen passt, nicht um 3 Uhr nachts.

Warum eine Regel und kein Modell

Es gibt nichts einzustellen und nichts zu hinterfragen. Dieselbe Regel, die verhindert, dass eine unzuverlässige Transitstrecke Sie alarmiert, legt später die Grenzen Ihrer SLA-Fenster fest. Ein Mechanismus, beide Hälften des Versprechens.