Capítulo 8 — Modos de falha
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX029.
flowchart TD
N0["8.1 Modos de dano"]
N1["8.2 Condições de parada"]
N2["8.3 Falha segura de ferramentas"]
N3["8.4 Comunicação da parada"]
N4["8.5 Ensaio"]
N5["8.6 Sem culpa no momento"]
N6["8.7 Contato secundário"]
N7["8.8 Interruptor de emergência das ferramentas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX029"]
Desenho lógico
flowchart LR
N0["8.1 Modos de dano"]
N1["8.2 Condições de parada"]
N2["8.3 Falha segura de ferramentas"]
N3["8.4 Comunicação da parada"]
N4["8.5 Ensaio"]
N5["8.6 Sem culpa no momento"]
N6["8.7 Contato secundário"]
N7["8.8 Interruptor de emergência das ferramentas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX029"]
[8.1 Modos de dano]
|
v
[8.2 Condições de parada]
|
v
[8.3 Falha segura de ferramentas]
|
v
[8.4 Comunicação da parada]
|
v
[8.5 Ensaio]
|
v
[8.6 Sem culpa no momento]
|
v
[8.7 Contato secundário]
|
v
[8.8 Interruptor de emergência das ferramentas]
|
v
[Exemplo resolvido] --> [Exercício EX029]
Objetivos de aprendizagem
Você vai (1) listar como os testes podem prejudicar a TI de transporte; (2) mapear condições de parada; (3) descrever a falha segura de ferramentas; (4) praticar a comunicação de uma parada.
8.1 Modos de dano
Os testes podem prejudicar a TI de transporte por bloqueio de contas, quedas da homologação, um acerto acidental na produção, tempestades de logs e caches envenenados. Para o ENG-512, os modos de dano incluem o bloqueio da API, a saturação da VPN e qualquer toque nos validadores de tarifa. Cada cartão de método de Sam lista que dano sua verificação poderia causar, para que as condições de parada não sejam inventadas sob estresse. Cartões sem modos de dano estão incompletos para o ENG-512 e ficam fora da lista de sábado até que o autor os acrescente. A linha de dano de um cartão também nomeia quem deve ser avisado primeiro se aquele dano ocorrer, por exemplo o responsável pela API num bloqueio.
8.2 Condições de parada
As condições de parada são: o responsável pede para parar; uma indisponibilidade sem explicação; alertas do sistema de tarifas em qualquer lugar; dados pessoais expostos num chamado; uma ferramenta em laço. Cada condição tem uma mensagem de parada de uma linha preparada no cartão das ROE, para que Sam a publique sem redigir sob estresse. Qualquer uma basta; Sam não termina "só mais um objetivo" antes. Alertas do sistema de tarifas em qualquer lugar, mesmo os aparentemente sem relação, interrompem o ENG-512 até que a operação libere a linha, e Sam não discute correlação no momento. Dados pessoais aparecendo num chamado são uma parada mesmo que nada esteja quebrado, porque o sistema de chamados pode ser lido por pessoas que o acordo nunca cobriu. Uma ferramenta presa num laço é uma parada por outro motivo: ela pode empurrar o tráfego além da taxa combinada antes que alguém perceba.
8.3 Falha segura de ferramentas
Prefira ferramentas que falham de forma fechada (param no erro) a ferramentas que tentam de novo até criar uma tempestade. Falha segura significa que um script sai e libera seus hosts quando os erros se repetem, em vez de tentar para sempre contra a homologação. O exercício do laço de 401 ensina exatamente isso: quando as verificações de autenticação entram em laço, o script de Sam fecha seus sockets e imprime um motivo de parada que nomeia a causa. Uma ferramenta que continua tentando até criar uma tempestade é tratada como defeituosa, por mais completa que pareça, porque o tráfego extra consome o orçamento de ruído e esconde o erro original das pessoas que precisam ler os logs.
8.4 Comunicação da parada
Diga o que você estava fazendo, o que observou, o que interrompeu e peça orientação — de forma curta e factual. A mensagem de parada vai para o canal do engajamento num formato fixo: ENG-512 stop, causa, halted HH:MM, need guidance. No exercício, ela diz ENG-512 stop — looping auth checks on staging API — halted 10:12 — need guidance. Palavras de atenuação e pedidos de desculpa são apagados antes do envio, porque quem está de plantão precisa agir a partir da primeira linha. Um cabeçalho factual permite ver o que parou, quando parou e que decisão está agora esperando por essa pessoa.
8.5 Ensaio
Uma vez por trimestre, Sam ensaia uma mensagem de parada no canal do engajamento com o SOC, e a mensagem de parada também é ensaiada no Laboratório II antes de uma janela real. Sam pratica a publicação do padrão das 10:12 para que a primeira parada real não seja a primeira vez que ele escreve uma, e o Laboratório II avalia a publicação de parada do ensaio antes de qualquer janela real. Uma primeira parada sem ensaio é uma falha do programa esperando para acontecer. O SOC também ensaia a sua parte: confirmar o recebimento da publicação e nomear quem decide.
8.6 Sem culpa no momento
Pare primeiro; investigue a causa depois que os sistemas estiverem estáveis. A culpa não tem lugar no momento da parada. Durante o ENG-512, o canal ao vivo traz apenas os fatos da interrupção e o pedido de orientação, e qualquer linguagem de culpa que apareça na conversa da parada é moderada. A discussão sobre por que as verificações de autenticação entraram em laço espera pela revisão pós-ação, que é dona do aprendizado. Separar as duas coisas mantém a equipe de resposta concentrada em estabilizar a homologação e dá à revisão posterior uma linha do tempo limpa, em vez de uma discussão registrada no meio do incidente.
8.7 Contato secundário
Se o contato de emergência principal não atender em cinco minutos, Sam liga para o secundário nomeado nas ROE; esperar em silêncio não é um plano. A marca de cinco minutos é contada a partir da primeira ligação não atendida, e os horários das duas ligações vão para o registro de atividades. As ROE de Sam listam os dois contatos, e ligar apenas para o principal não é um caminho de parada completo. Ele disca os dois números a partir do cartão das ROE, e não de memória. Se nenhum dos dois atender, a interrupção continua e Sam segue ligando; a janela não é retomada por padrão.
8.8 Interruptor de emergência das ferramentas
Todo script de longa duração que Sam inicia tem uma forma conhecida de ser encerrado, como um grupo de processos ou a parada de um contêiner, e ele testa esse interruptor uma vez antes da janela. No ENG-512, o interruptor é a flag de desativação do script mais o comando de encerramento no jump host praticado no ensaio, de modo que Sam pode parar as próprias tarefas sem esperar a linha de suporte de um fornecedor. O ensaio do interruptor é um item da lista do Laboratório II, e uma flag de desativação não testada mantém a automação fora da lista de sábado.
8.9 Disciplina de campo
Depois de qualquer parada real, Sam registra uma nota curta e sem culpa: gatilho, tempo até a interrupção, quem foi chamado, se os passageiros foram afetados e uma mudança de processo. A NMT revisa as notas de parada a cada trimestre. Equipes que escondem paradas acabam causando indisponibilidades maiores; equipes que as registram ganham interruptores melhores e ROE mais claras. O exercício do laço de autenticação existe para que a primeira parada não seja também a primeira vez que Sam escreve essa nota. A disciplina de campo para modos de falha é ter condições de parada escritas, mensagens ensaiadas, um contato secundário e um interruptor de emergência, cada um verificado antes de a janela de sábado se abrir, para que o ENG-512 não dependa de heroísmo nem de improviso quando um laço começar.
Exemplo resolvido (NMT sintética)
Durante um exercício sintético, o script de Sam entra em laço com respostas 401. Ele para o script, publica ENG-512 stop — looping auth checks on staging API — halted 10:12 — need guidance e espera.
Caso sintético — Northline Municipal Transit (NMT). A operadora de transporte, Sam Park e todos os números foram inventados para fins didáticos.
Erros e limites
Sistemas de transporte reais e equipamentos de tarifa nunca são testados sem uma autorização separada e especializada. Este livro usa apenas dados sintéticos e não concede autorização para testar sistemas reais.
Exercícios
- EX029 — Lista de danos. Nomeie três modos de dano dos testes. Rubrica: 3 = três do capítulo; 2 = dois; 1 = um; 0 = nada.
- EX030 — Alerta de tarifa. Um alerta de tarifa aparece durante um teste web. O que Sam faz? Rubrica: 3 = parar; acionar o contato de emergência; não tocar na tarifa; 2 = parar; 1 = continuar na web; 0 = nada.
- EX031 — Mensagem de parada. Quais quatro fatos entram numa mensagem de parada? Rubrica: 3 = ação, observação, interrupção, pedido; 2 = três; 1 = um; 0 = nada.
- EX032 — Falhar de forma fechada. O que significa falhar de forma fechada para uma ferramenta de teste? Rubrica: 3 = para no erro em vez de tentar de novo de forma agressiva; 2 = parcial; 1 = continua; 0 = nada.
Síntese
Paradas são ensaiadas, rápidas e factuais; as ferramentas devem falhar de forma fechada.
Continue estudando — capítulo 08 de 18
← Capítulo 07 (rascunho) · Índice de capítulos do curso · Capítulo 09 (rascunho) →