A pressão de manter 99.999% — o que alta disponibilidade faz com a sua cabeça
Cinco noves de disponibilidade. Isso é 5 minutos de downtime por ano. Aqui está o que ninguém conta sobre o que é operar sistemas com esse SLA — e o custo humano disso.
Cinco noves de disponibilidade soa como número técnico. 99.999%. No papel, é uma meta de SLA. Na prática, é 5 minutos e 15 segundos de downtime aceitável por ano.
Quando você é responsável por manter isso, esse número vira uma presença constante.
Não estou falando de paranoia. Estou falando de uma mudança real em como você pensa sobre qualquer mudança que vai para produção. Cada deploy carrega a pergunta: o que pode dar errado? Como eu reverteria? Quanto tempo levaria? Qual seria o impacto?
Esse pensamento é saudável e necessário. O que fica difícil é quando ele não desliga.
A primeira vez que fui chamado por pagerduty às 2h da manhã, levei quinze minutos para acordar completamente. O sistema estava fora, o alerta estava disparando, e eu estava tentando reconstruir contexto enquanto meu cérebro ainda estava em modo de sono. Depois disso, instalei uma rotina: antes de qualquer deploy crítico, escrevo um runbook mental do que fazer se der errado. Não porque acredito que vai dar errado — mas porque quero que a resposta seja reflexo, não raciocínio às 2h da manhã.
O que alta disponibilidade faz com sua relação com risco é sutil. Você fica muito bom em avaliar risco de forma sistemática. Blast radius de uma mudança, taxa de rollback, tempo de detecção, tempo de recuperação — esses conceitos viram vocabulário natural. Isso é genuinamente valioso.
O custo é que você começa a avaliar risco em outras áreas da vida com a mesma intensidade. Às vezes isso é útil. Às vezes é exaustivo. Você precisa aprender quando desligar esse modo.
A coisa mais importante que aprendi sobre sustentabilidade em sistemas de alta disponibilidade: on-call saudável é responsabilidade de sistema, não de indivíduo. Se as mesmas pessoas são acordadas repetidamente pelos mesmos problemas, o sistema está errado — não as pessoas. O trabalho correto é eliminar o alerta, não se adaptar a ser acordado por ele.
Isso parece óbvio mas é contraintuitivo na cultura de muitos times onde ser chamado frequentemente vira sinal de importância. Não é. É sinal de problema sistêmico não resolvido.
Minha prática para manter saúde mental operando em sistemas críticos: clara separação de responsabilidade e controle. Eu sou responsável por fazer boa engenharia e seguir boas práticas. Não sou responsável por cada falha que acontece — sistemas complexos têm falhas que ninguém antecipa. A diferença entre essas duas coisas importa para não internalizar cada incidente como falha pessoal.
Post-mortem sem culpa não é só política corporativa — é saúde mental. Quando o foco é no sistema e não no indivíduo, você consegue analisar o que aconteceu de forma mais clara e fazer melhorias reais.
O que ninguém fala sobre alta disponibilidade é que o trabalho mais importante é o trabalho invisível — o que previne incidente que nunca aconteceu. Não há alerta, não há post-mortem, não há gratidão explícita. Há silêncio, que é exatamente o que você quer.
Aprender a encontrar satisfação no silêncio — no sistema que funcionou sem ser notado — foi uma das mudanças mais importantes que fiz em como penso sobre o trabalho.
O que eu diria para alguém entrando em sistemas de alta disponibilidade pela primeira vez: o objetivo não é zero incidentes. Sistemas suficientemente complexos, operando em escala suficientemente grande, vão falhar eventualmente. O objetivo é detectar rápido, recuperar rápido, e aprender sistematicamente. Quando você internaliza isso, o trabalho fica sustentável.
E se você está sendo acordado mais de uma vez por semana pelo mesmo tipo de alerta, esse é o problema que você deveria estar resolvendo — não aprendendo a acordar mais rápido.
Essa semana: olha para os alertas que despertam on-call no seu time no último mês. Quantos são o mesmo tipo de problema? Se você resolver o problema raiz desse alerta recorrente, quantas horas de sono e de stress você elimina? Esse cálculo tende a mostrar que o investimento vale muito mais do que parece.