Ein Dienst, dessen Aufgabe beginnt,
wenn Sie aufhören zu antworten.
Damit ist der geplante Job das Produkt.
Menschen hinterlegen Nachrichten und die Kontakte, für die sie gedacht sind. Der Dienst schickt eine Lebenszeichen-Mail. Antwortet jemand nicht mehr darauf, gehen die Nachrichten an die gewählten Empfänger. Daneben läuft eine öffentliche Spenderausweis-Karte, abrufbar über einen kurzen Schlüssel.
Nichts davon ist technisch exotisch. Zur Fallakte wird es durch den Betriebsmaßstab, den dieses Versprechen erzwingt: ein Hintergrundjob, der still stehen bleibt, ist kein eingeschränkter Dienst. Er ist der vollständige Ausfall — und von außen sieht man ihn nicht.
- Status
- Live seit 2023
- Art
- Verbraucherdienst
- Reichweite
- 4 Sprachen
- Stack
- PHP · MariaDB · REST
- Kritischer Pfad
- Geplanter Versand
- Deploy
- Mit Gate und Rauchtest
- Sonde account/login 200Antwortet. Bei jedem Lauf geprüft, denn ein still scheiterndes Login sperrt Menschen aus ihrem eigenen Schalter aus.
- Sonde account/register 200Antwortet.
- Sonde account/status 200Antwortet.
- Sonde geplanter Versand überfälligÜberfällig. Das ist der Herzschlag — nach außen sieht währenddessen nichts falsch aus.
- Erholung healthcheck→Flotten-Inbox behobenBinnen einer Minute zurück — und die Entwarnung wird so laut gemeldet wie der Ausfall.
- Release Deploy-Gate blockiertEin Release läuft nur weiter, wenn der hinterlegte Commit passt und der Rauchtest sauber zurückkommt.
Eine Startseite, die 200 liefert, beweist bei diesem Produkt nichts. Die Sonde fragt die drei Endpunkte, die ein Nutzer braucht — und getrennt davon, ob der geplante Job noch pünktlich läuft.
Ausgangslage Was das Versprechen kostet § 01
Die meisten Ausfälle ärgern Menschen. Dieser bliebe unbemerkt.
Ein Shop, der ausfällt, verliert Bestellungen, und binnen Minuten beschwert sich jemand. Ein Dead-Man's-Switch, der ausfällt, sieht exakt aus wie einer, der funktioniert. Niemand wartet auf eine Ausgabe. Der Ausfall wird an genau dem einen Tag sichtbar, an dem er zählt — bei der einen Person, der man es nicht mehr sagen kann.
Diese Unwucht ist der ganze technische Auftrag. Sie bedeutet: Überwachung ist keine betriebliche Zutat, die man nach dem Start anschraubt. Sie ist eine fachliche Anforderung des Produkts — und sie muss genau den Teil beobachten, den Nutzer nie sehen.
Der Dienst läuft seit 2023, in vier Sprachen, mit Rechtsratgeber-Seiten für mehrere Länder. Alles Folgende ergibt sich daraus, diese eine Unwucht ernst zu nehmen.
Bestand Was überwacht wird § 02
Entscheidungen Was wir wählten, und was es kostete § 03
Drei Entscheide, die aus einer einzigen Unwucht folgen.
Den Herzschlag überwachen, nicht die Startseite.
Eine Verfügbarkeitsprüfung auf der Startseite wäre durch jeden Störfall dieses Produkts hindurch grün geblieben. Die Sonde fragt deshalb die drei Konto-Endpunkte, von denen ein echter Nutzer abhängt — und prüft getrennt davon, ob der geplante Versand noch pünktlich läuft.
Ausfall wie Entwarnung landen in derselben Inbox, die auch der Rest der Flotte liest. Entwarnungen werden so laut gemeldet wie Ausfälle, denn ein Alarm, den niemand schließt, erzieht alle dazu, den nächsten zu übersehen.
Kostet: Lärm, wenn etwas flattert — und eine Sonde, die selbst ehrlich gehalten werden muss.
Bringt: aus einer Minute Verzug wird eine Nachricht, die jemand gesehen hat, statt eines still gebrochenen Versprechens.
Ein Release, das man nicht belegen kann, ist keins.
Die Auslieferung läuft hinter einem Einmal-Schlüssel, der rotiert, und gegen einen hinterlegten Release-Commit, der zu dem passen muss, was ausgeliefert wird. Danach prüft ein Rauchtest Login, Registrierung und Status; jeder Serverfehler bricht das Release ab, statt es abzuschließen.
Das ist mehr Zeremonie, als ein Dienst dieser Größe normalerweise rechtfertigt. Hier ist sie gerechtfertigt, weil ein schlechtes Deploy nicht nur einen schlechten Nachmittag kostet.
Kostet: mehr Schritte zwischen einer Korrektur und der Produktion.
Bringt: keine Auslieferung hat das Produkt jemals still lahmgelegt.
Wir haben eine Datenschutz-Funktion entfernt, statt sie halb zu liefern.
Die Oberfläche bot einen strengeren Datenschutz-Modus an. Er ließ sich nicht bis zum Versand durchhalten, ohne die Zusage aufzuweichen, die er nahelegte. Wir haben die Option aus der Oberfläche genommen und den Versandpfad das Feld schlicht ignorieren lassen.
Ein Datenschutz-Versprechen, das meistens hält, ist schlechter als gar keins — denn wer sich darauf verlässt, merkt den Unterschied erst, wenn es darauf ankommt.
Kostet: eine sichtbare Funktion verschwand, und das ist nie eine angenehme Release-Notiz.
Bringt: nichts in der Oberfläche behauptet eine Zusage, die das System nicht tatsächlich einhält.
Störfall Was kaputtging, und was es verändert hat § 04
Der Fehlermodus war genau der unsichtbare.
Verfügbarkeit
Dem geplanten Job ging der Speicher aus.
Der Versand-Job erschöpfte seinen Speicher und blieb stehen. Die Website blieb oben. Jede Seite, die ein Besucher aufrufen konnte, antwortete normal. Das einzige Symptom war, dass der eine Job, der das eigentliche Versprechen des Produkts trägt, nicht mehr pünktlich lief.
Was wir angenommen hatten: dass ein Job, der jahrelang unbeachtet lief, das auch weiterhin tut, während die Datenmenge darunter wächst. Lasten, die nie scheitern, sind schlicht Lasten, die noch keiner ausreichend großen Eingabe begegnet sind.
Behoben → das Speicherproblem selbst — und, wichtiger, eine Frische-Prüfung, damit das Ausbleiben von Arbeit zum Alarm wird. Eine Überwachung, die nur auf Fehler achtet, kann einen Job, der nie startete, nicht sehen.
Übertrag Was das für Sie bedeutet § 05
Wenn Ihr Produkt einen stillen kritischen Pfad hat, braucht es eine andere Art von Überwachung.
Auf Ausbleiben alarmieren, nicht nur auf Fehler
Fehlerraten können Arbeit, die nie begonnen hat, nicht sehen. Alles, dessen Wert von einem geplanten Job geliefert wird, braucht eine Frische-Prüfung — sonst bleibt Ihr Dashboard grün durch genau den Ausfall, der zählt.
Entwarnungen so laut melden wie Ausfälle
Ein Alarmkanal, in dem nie etwas geschlossen wird, ist ein Kanal, den Menschen wegscrollen lernen. Jeden Ausfall mit seiner Auflösung zu paaren hält den Kanal lesenswert.
Zusagen entfernen, die man nicht halten kann
Halb umgesetzte Garantien sind ein Risiko im Kostüm einer Funktion. Eine herauszunehmen ergibt eine schlechtere Release-Notiz und ein deutlich besseres Produkt.