چهار دقیقه‌ای که کلینیک را تعطیل نکرد
سیمرغ پایداری را روی کاغذ تعریف نکرد؛ آن را بارها تمرین کرد و بعد در یک قطعی واقعی مرکز داده، با عدد و زمان اندازه گرفت.
پایداری، در محصول
بعد از بازیابی، همان روز کاری ادامه دارد
معنای چهار دقیقه برای کلینیک یک نمودار زیرساختی نیست: پذیرش باید دوباره همان نوبت‌ها، وضعیت‌ها و کارهای روز را ببیند و از همان‌جا ادامه دهد.
دیدن مسیر تداوم کار←
چهار دقیقه‌ای که کلینیک را تعطیل نکرد
تقریباً همه‌ی نرم‌افزارها می‌گویند «پایدار» هستند.
تا روزی که سرور اصلی از دسترس خارج می‌شود.
آن‌وقت سؤال پذیرش و درمانگر خیلی ساده است:
کلینیک می‌تواند به کارش ادامه بدهد یا نه؟
برای ما در سیمرغ، جواب این سؤال نباید یک وعده می‌بود. باید قبل از بحران تمرین می‌شد، در بحران واقعی کار می‌کرد و بعد با عدد گزارش می‌شد.
نتیجه‌ی آخرین مانورهای بازیابی و یک قطعی واقعی مرکز داده این بود:
- ۲ شهر: دو مرکز داده‌ی مستقل در دو شهر
- کمتر از ۴ دقیقه: زمان بازیابی خودکار در قطعی کامل مرکز داده
- حدود ۱ ثانیه: فاصله‌ی همگام‌سازی داده‌ها میان دو شهر
- ۳ نسخه: از داده‌ها روی زیرساخت‌های جدا از هم
این عددها در شرایط واقعی ثبت و مستند شده‌اند؛ زمانی که زیرساخت اصلی از دسترس خارج شد و سیمرغ از مسیر دوم به کار ادامه داد.
چهار دقیقه برای یک کلینیک یعنی چه؟
چهار دقیقه در گزارش فنی فقط یک عدد است.
اما پشت میز پذیرش، معنای دیگری دارد.
یعنی تیم کلینیک مجبور نشود ناگهان دفتر کاغذی پیدا کند، نوبت‌ها را از روی پیام‌ها حدس بزند یا از مراجع بخواهد «بعداً دوباره تماس بگیرد».
یعنی درمانگر بتواند به برنامه‌ی روز و اطلاعات لازم دسترسی داشته باشد.
یعنی مدیر کلینیک به‌جای پیگیری یک بحران زیرساختی، روی کار خود کلینیک تمرکز کند.
و برای درمان‌جو، بهترین حالت این است که اصلاً متوجه نشود اتفاقی افتاده است.
پایداری واقعی دقیقاً همین‌جاست: نه اینکه هیچ مشکلی در دنیا رخ ندهد، بلکه وقتی مشکل رخ داد، کلینیک با آن زمین نخورد.
داشتن نسخه‌ی پشتیبان کافی نیست
بسیاری از مجموعه‌ها می‌گویند از اطلاعات نسخه‌ی پشتیبان دارند.
این خوب است، اما فقط قدم اول است.
نسخه‌ی پشتیبانی که هیچ‌وقت بازیابی نشده، بیشتر شبیه یک امید است تا یک برنامه.
ممکن است فایل وجود داشته باشد، اما ناقص باشد. ممکن است فرایند بازیابی درست کار نکند. ممکن است در روز بحران تازه مشخص شود که کسی دقیقاً نمی‌داند باید چه کاری انجام دهد.
به همین دلیل، نسخه‌های پشتیبان سیمرغ فقط ذخیره نمی‌شوند؛ به‌صورت دوره‌ای واقعاً بازیابی و راستی‌آزمایی می‌شوند.
تفاوت مهم همین است:
ما فقط بررسی نمی‌کنیم که نسخه‌ای وجود دارد؛ بررسی می‌کنیم که می‌توان کلینیک را با آن دوباره روشن کرد.
بحران، زمان یاد گرفتن نیست
برنامه‌ی بازیابی را نمی‌شود هنگام قطعی طراحی کرد.
در لحظه‌ای که مرکز داده از دسترس خارج شده، زمان مناسبی برای تصمیم گرفتن درباره‌ی مسیر جایگزین، پیدا کردن آخرین نسخه‌ی سالم یا آزمودن یک روش جدید نیست.
به همین دلیل، جابه‌جایی میان دو شهر پیش از بحران بارها تمرین شده بود.
وقتی قطعی واقعی اتفاق افتاد، سیستم قرار نبود تازه کاری خلاقانه انجام دهد. فقط همان مسیری را طی کرد که پیش‌تر آزموده شده بود.
این شاید مهم‌ترین بخش داستان باشد:
بحران واقعی برای ما اولین اجرا نبود؛ یکی دیگر از اجراهای برنامه‌ای بود که قبلاً تمرین شده بود.
آیا این یعنی سیمرغ هیچ‌وقت قطع نمی‌شود؟
نه.
هیچ نرم‌افزار جدی نباید چنین ادعایی کند.
برق قطع می‌شود. شبکه‌ها مشکل پیدا می‌کنند. سخت‌افزار خراب می‌شود. سرویس‌دهنده‌ها از دسترس خارج می‌شوند و حتی بهترین برنامه‌ها هم ممکن است با شرایط پیش‌بینی‌نشده روبه‌رو شوند.
تفاوت یک سیستم قابل اتکا با یک سیستم شکننده در این نیست که اولی هرگز با حادثه روبه‌رو نمی‌شود.
تفاوت در این است که:
- برای حادثه مسیر جایگزین دارد؛
- آن مسیر را قبلاً آزمایش کرده است؛
- زمان بازیابی را اندازه می‌گیرد؛
- نسخه‌های پشتیبانش را واقعاً برمی‌گرداند؛
- و بعد از هر اتفاق، برنامه را بهتر می‌کند.
پایداری یک ویژگی نیست که یک‌بار ساخته و تمام شود. یک عادت عملیاتی است.
چرا این موضوع برای کلینیک روان‌شناسی مهم‌تر است؟
در یک فروشگاه اینترنتی، قطعی سیستم شاید خریدی را چند دقیقه عقب بیندازد.
اما در کلینیک روان‌شناسی، نرم‌افزار بخشی از جریان زنده‌ی مراقبت است:
- پذیرش باید بداند چه کسی امروز نوبت دارد؛
- پرداخت‌ها و بدهی‌ها باید روشن باشند؛
- درمانگر باید به اطلاعات لازم دسترسی داشته باشد؛
- پیگیری‌ها نباید میان شلوغی گم شوند؛
- و داده‌های حساس درمان‌جویان باید قابل اتکا باقی بمانند.
برای همین، پایداری در سیمرغ یک موضوع پشت‌صحنه و صرفاً فنی نیست. بخشی از تجربه‌ی روزمره‌ی کلینیک است.
کلینیک نباید به‌خاطر مشکلی که کیلومترها دورتر در یک مرکز داده رخ داده، کارش را متوقف کند.
ادامهٔ کار، با مسیر جایگزین
سیمرغ در قطعی مرکز داده از مسیر دوم به کار ادامه می‌دهد؛ نتیجهٔ ثبت‌شده در همان قطعی:
- دو شهر.
- کمتر از چهار دقیقه بازیابی.
- حدود یک ثانیه فاصله‌ی همگام‌سازی.
- سه نسخه روی زیرساخت‌های جدا. و یک قطعی واقعی که کلینیک را متوقف نکرد.
آرامش یک کلینیک، نباید به سالم ماندن یک سرور وابسته باشد.
مشاهده‌ی اعداد و جزئیات پایداری سیمرغ
این ماجرا قطعی سمتِ ما بود. اگر قطعی سمتِ خودِ کلینیک باشد، نسخه‌ی دسکتاپ بدون اینترنت کار را ادامه می‌دهد.
