#alerty

Alert to sygnał wysyłany przez system nadzorujący w chwili, gdy coś przekroczyło ustaloną granicę i wymaga reakcji człowieka. W domu odpowiednikiem jest czujnik dymu. Nie opowiada o temperaturze w kuchni przez cały dzień, milczy tygodniami i odzywa się dopiero wtedy, gdy trzeba wstać i sprawdzić, co się pali. Ta różnica między opowiadaniem a wołaniem jest całą istotą rzeczy i wraca w każdym akapicie poniżej.

Alert to prośba o działanie

Najprostszy sprawdzian brzmi: co ma zrobić osoba, która to dostanie. Jeżeli odpowiedź brzmi „obejrzę rano", to nie jest alert, tylko wpis do raportu. Jeżeli odpowiedź brzmi „wstać i sprawdzić", to jest alert i wolno mu obudzić człowieka w nocy.

Systemy nadzorujące potrafią wysyłać oba rodzaje wiadomości tym samym kanałem, i tu zaczyna się kłopot. Kiedy czujnik dymu piszczy również przy każdym smażeniu jajecznicy, po miesiącu domownicy wyjmują z niego baterię. Dokładnie to samo dzieje się z firmową skrzynką pocztową, do której trafia wszystko, co system ma do powiedzenia.

Skąd bierze się alert: zdarzenie, próg i reguła

Pod spodem działa łańcuch trzech elementów. Pierwszym jest pomiar albo zdarzenie: zajętość dysku, brak odpowiedzi usługi, nieudane logowanie, zakończone zadanie kopiowania. Drugim jest próg, czyli granica, po przekroczeniu której pomiar przestaje być zwykłą liczbą. Trzecim jest reguła, która mówi, komu i jakim kanałem sygnał ma pójść oraz co zrobić, gdy nikt go nie potwierdzi.

Próg dobiera się z historii pomiaru, a nie z wyobrażenia o tym, jak powinno być. Dysk, który od dwóch lat stoi na osiemdziesięciu procentach zajętości i nikomu to nie przeszkadza, nie potrzebuje granicy ustawionej na siedemdziesięciu. Wartość ustawiona zbyt nisko nie zwiększa czujności, tylko produkuje szum.

Do tego dochodzi grupowanie. Awaria jednego łącza potrafi wywołać kilkadziesiąt osobnych sygnałów, bo każda usługa po drugiej stronie przestała odpowiadać osobno. System, który tego nie składa w jedną wiadomość, karze odbiorcę za pojedynczą usterkę czterdziestoma telefonami.

Alert, powiadomienie i raport to trzy różne rzeczy

Powiadomienie informuje o czymś, co się wydarzyło i zostało już rozwiązane albo nie wymaga niczyjej decyzji: zadanie się skończyło, aktualizacja się zainstalowała. Raport podsumowuje okres i czyta się go, kiedy jest na to czas. Alert wyrywa człowieka z tego, co robi.

Mieszanie tych trzech w jednym strumieniu jest najczęstszą przyczyną tego, że firma ma monitoring i mimo to dowiaduje się o awarii od klienta. Sygnał był, tylko stał w kolejce między dwustoma innymi.

Gdzie alerty pojawiają się w firmie

Najczęściej wystawia je system monitorujący infrastrukturę, oprogramowanie kopii zapasowych, konsola ochrony stacji roboczych oraz usługi chmurowe pilnujące kosztów. Kanały bywają różne: poczta, komunikator zespołu, wiadomość tekstowa, telefon z dyżurki. Kanał dobiera się do pory dnia i do wagi zdarzenia, bo wiadomość wysłana w nocy na skrzynkę czytaną rano jest raportem, choćby nazywała się alarmem.

Ostatnim elementem jest odbiorca. Alert wysłany na adres grupowy, za który nikt nie odpowiada imiennie, ma dokładnie zerową skuteczność, ponieważ każdy zakłada, że zajmie się nim ktoś inny. Reguła eskalacji, czyli przekazanie sygnału dalej, kiedy pierwszy odbiorca go nie potwierdzi w wyznaczonym czasie, jest tym, co odróżnia system alertów od wysyłki wiadomości.

Zmęczenie alertami

Zjawisko ma nazwę i przewidywalny przebieg. Kiedy powiadomień jest za dużo, ludzie przestają je czytać, potem przestają je otwierać, a na końcu tworzą regułę, która przenosi je do osobnego katalogu. Od tego momentu system pracuje, wysyła, notuje wysłanie i wygląda w raportach na sprawny, tylko po drugiej stronie nie ma już nikogo.

Sprawdzenie zajmuje kwadrans: wystarczy policzyć, ile sygnałów przyszło w ostatnim miesiącu i przy ilu z nich ktokolwiek cokolwiek zrobił. Jeśli druga liczba jest ułamkiem pierwszej, zestaw reguł wymaga cięcia, a nie kolejnego czujnika. Cięcie polega na wyłączeniu tego, co nie wywołuje działania, a nie na obniżeniu wagi.

Kiedy alert nie jest odpowiedzią

Alerty nie zastępują pomiaru ani przeglądu. Zjawiska, które narastają powoli, jak zapełniający się magazyn albo starzejące się dyski, lepiej opisuje wykres oglądany raz w miesiącu niż sygnał wysłany w chwili, gdy jest już za późno. Nie zastępują też człowieka: system potrafi krzyknąć, ale decyzję o wyłączeniu usługi, przywróceniu kopii albo odcięciu komputera od sieci nadal podejmuje ktoś, kto rozumie skutki. Firma bez ustalonego dyżuru nie potrzebuje więcej alertów, tylko kogoś, kto je odbierze.