Довго я вважав, що моя робота як інженера надійності — не допустити жодного збою. Ціль була проста й нездійсненна: нуль інцидентів. Кожне падіння я сприймав як особисту поразку. Це виснажувало й, як не дивно, робило систему менш надійною, а не більш. Бо коли ти боїшся будь-якої зміни, ти або морозиш розробку, або тихо накопичуєш ризик.
Усе змінив один концепт — бюджет помилок. Ідея майже дитяча за простотою. Ти визнаєш, що стовідсоткової надійності не існує й вона нікому не потрібна. Ставиш чесну ціль — скажімо, 99.9% доступності. Різниця до сотні — це і є твій бюджет на збої. Не провина, а ресурс. Дозволений обсяг того, що система може бути недоступною, і світ від цього не завалиться.
Це перевернуло мислення. Поки бюджет є — команда сміливо релізиться, експериментує, викочує нове. Ризик оплачений заздалегідь. Бюджет вичерпали — автоматично гальмуємо фічі й вкладаємось у стабільність, поки не відновимо запас. Замість вічної суперечки «розробка хоче швидше, надійність хоче безпечніше» зʼявилось число, з яким не сперечаються. Рішення стало спільним і холоднокровним, а не емоційним.
І головне, чого мене це навчило, — відпускати. Не кожен збій треба героїчно гасити о третій ночі. Якщо впало щось, що не їсть бюджет і не болить користувачу, воно може дочекатись ранку. Мій сон теж ресурс надійності: виснажений інженер приймає гірші рішення, ніж той, що виспався. Стійка команда — це не та, що не спить заради аптайму. Це та, що вміє відрізнити «горить зараз» від «полагодимо вранці».
Тепер надійність для мене — не про ідеальність. Вона про адаптацію. Система буде падати, і люди навколо неї будуть змінюватись, і навантаження стрибатиме непередбачувано. Питання не в тому, як не впасти жодного разу. Питання в тому, як швидко піднятись, скільки болю це завдасть користувачу і чи вистачило в команди сил зробити це спокійно.
Бюджет помилок навчив мене найважчого для інженера — відпускати те, що не варте паніки, і берегти сили на те, що справді горить.
– Sergey Shinder
