Nachts geprüft, bevor der Kunde es merkt.

01Ausgangslage

Ein Betrieb mit einer Website, einem Bestellformular und Preisen, die aus der Warenwirtschaft auf die Seite kommen. Alles davon läuft, solange niemand daran arbeitet. In den Monaten davor gab es drei Störungen: Nach einer Aktualisierung ging aus dem Formular nichts mehr in das Postfach, auf zwei Seiten standen Preise der vergangenen Saison, und ein Zertifikat lief an einem Samstag ab. Alle drei fielen dadurch auf, dass jemand von außen anrief, im ersten Fall mehrere Tage nach dem Umbau. Zwischen dem Eintritt der Störung und ihrer Entdeckung lag jedes Mal die Zeit, bis jemand zufällig hinsah.

02Die Frage vor dem Bau

03Etappen

1. 01

   Die Punkte kommen aus den Störungen

   Am Anfang steht eine Aufstellung der Störungen der letzten Monate, so wie sie aufgefallen sind: der Anruf, die Rückmeldung aus dem Verkauf, die Rechnung, die niemand schreiben konnte. Daraus werden die Prüfpunkte. In diesem Fall sind es die Erreichbarkeit der Seite, der Weg des Bestellformulars bis in das Postfach, die Restlaufzeit des Zertifikats, der Preisstand gegen die Warenwirtschaft und die Frage, ob die nächtliche Sicherung eine neue Datei erzeugt hat. Entschieden wurde hier vor allem, was draußen bleibt: jeder Punkt, für den es im Betrieb niemanden gibt, der auf die Meldung reagieren würde.

2. 02

   Geprüft wird von außen

   Der Lauf ruft die Seite über dieselbe Adresse auf, die auch ein Besucher benutzt, von einem Rechner außerhalb des Betriebs. Ein abgelaufenes Zertifikat, eine Namensauflösung, die ins Leere zeigt, oder ein Zwischenspeicher, der noch die alte Fassung ausliefert, bleiben von innen unsichtbar. Für die zwei Punkte, die von außen niemand sehen kann, die Sicherung und den Stand in der Warenwirtschaft, läuft eine kleine zweite Prüfung auf dem Rechner selbst und schickt ihr Ergebnis an dieselbe Sammelstelle.

3. 03

   Eine Meldung braucht zwei Befunde

   Ein einzelner Fehlversuch bedeutet wenig, Netze haben Aussetzer und Dienste starten neu. Festgelegt wurde deshalb: Jeder auffällige Punkt wird nach einigen Minuten ein zweites Mal geprüft, und erst der zweite Befund löst eine Meldung aus. Zu jedem Wert, der schwanken darf, etwa der Ladezeit, gehört zusätzlich eine Toleranz, unterhalb derer gar nichts gemeldet wird.

4. 04

   Der Beweis, dass der Lauf selbst noch läuft

   Ein Dienst, der nur bei Abweichung meldet, ist im Normalfall stumm. Stumm ist er aber auch dann, wenn er gar nicht mehr startet, und beides sieht von außen gleich aus. Deshalb schreibt jeder Lauf ein Lebenszeichen mit Zeitstempel, und eine sehr kleine zweite Prüfung sieht am Morgen nach, ob dieses Lebenszeichen von der vergangenen Nacht stammt. Fehlt es, kommt genau eine Meldung, und zwar die, dass der Prüflauf nicht stattgefunden hat.

5. 05

   Zwei Meldewege, getrennt nach Dringlichkeit

   Abweichungen sind unterschiedlich dringend. Was den Betrieb sofort trifft, die Seite ist nicht erreichbar oder das Formular nimmt nichts mehr an, geht auf einem Weg heraus, der auch um drei Uhr nachts ankommt. Alles andere sammelt sich und steht am Morgen in einer einzigen Nachricht, ein Punkt je Zeile, die Abweichungen oben. Festgelegt wurde außerdem, wer die Meldung bekommt und wer sie bekommt, solange diese Person im Urlaub ist.

6. 06

   Still mitlaufen, dann scharf schalten

   Vor der ersten echten Meldung läuft der Dienst eine Weile, ohne jemanden anzusprechen, und schreibt nur auf, was er gemeldet hätte. Diese Aufzeichnung ist die Grundlage für die Toleranzen, und sie zeigt die Punkte, die jede Nacht anschlagen, obwohl nichts kaputt ist. Erst danach wird scharf geschaltet, und in den ersten Wochen werden die Protokollzeilen angesehen.

04Die zähe Stelle

Länger als geplant dauerte die dritte Etappe, die Schwelle zwischen Abweichung und Meldung. Die erste Fassung meldete jede Nacht etwas: Ein Anbieter antwortete zwei Sekunden lang nicht. Eine Seite lud langsamer als in der Woche davor. Ein Preis stand in der Warenwirtschaft schon auf dem neuen Stand und auf der Seite noch auf dem alten, weil der Zwischenspeicher erst am Morgen erneuert wird. Jede dieser Meldungen war technisch richtig. Gelesen wurde nach zwei Wochen keine mehr. Hier liegt die Grenze dieser Bauart: Ein Prüflauf, dem niemand mehr glaubt, ist schlechter als gar keiner, weil er das eigene Hinsehen ersetzt hat, ohne es zu leisten. Verändert hat das zwei Dinge. Die Toleranzen stammen seither aus den gemessenen Werten der stillen Wochen. Und jeder Prüfpunkt lässt sich einzeln stummschalten, aber nur zusammen mit einem Datum, an dem die Stummschaltung von selbst wieder endet.

05Das fertige Ding

• Prüfliste. Ein Eintrag je Punkt, mit dem Sollwert oder dem Vergleichsstand, der Toleranz und dem Menschen, der die Meldung bekommt.
• Taktgeber. Startet den Lauf in der Nacht, ohne dass jemand ihn anstößt.
• Außenlauf. Ruft Seite, Formularweg und Zertifikat über dieselbe Adresse auf, die auch ein Besucher benutzt.
• Innenlauf. Sieht auf dem Rechner nach, was von außen nicht sichtbar ist, und meldet an dieselbe Sammelstelle.
• Zweitprüfung. Wiederholt jeden auffälligen Punkt, bevor eine Meldung entsteht.
• Lebenszeichen. Eine Zeile je Lauf mit Zeitstempel, dazu die Morgenprüfung, ob diese Zeile von der vergangenen Nacht stammt.
• Zwei Meldewege. Der eine kommt nachts an, der andere sammelt bis zum Morgen und schickt eine Nachricht.
• Protokoll. Eine Zeile je Lauf und Punkt, aufbewahrt, damit spätere Werte einen Vergleich haben.
• Stummschalter. Je Punkt einzeln, immer mit einem Datum, an dem er von selbst endet.
• Quelltext und Anleitung. Übergeben, samt der Datei, in der die Prüfpunkte stehen.

06Übertragbares

07Anfang eines solchen Falls

Ein Fall dieser Art beginnt mit einer Aufstellung der Störungen der letzten Monate, auch wenn sie nur aus dem Gedächtnis stammt. Dazu gehört je Punkt eine Angabe, was als richtig gilt, und ein lesender Zugang zu dem, was geprüft werden soll. Nötig sind außerdem eine Adresse, an die gemeldet wird, und ein Mensch in Ihrem Betrieb, der die Meldung am Morgen liest. Der Festpreis steht fest, bevor gebaut wird, der Quelltext geht mit über, und es bleibt kein laufender Vertrag zurück. Im einfachsten Fall, einem einzelnen Punkt mit klarem Sollwert, steht ein erster Lauf an einem Tag.