すべてのシステムが正常稼働しています。

コンポーネント

正常稼働とは、直近 1 時間でそのコンポーネントが目標を満たしているという意味です。次の 1 時間を保証するものではありません。

各状態の意味

たぶん大丈夫、という意味の状態はありません。コンポーネントは目標を満たしているか、このページに名前が出ているかのどちらかです。

インシデント対応の方針

全体を支えているのは 2 つの約束で、どちらも意図的に居心地の悪いものです。1 つ目は、影響を受けたお客さまに、気づかれる前にこちらから伝えること。2 つ目は、30 分を超えたものはすべて、書面のポストモーテムを 72 時間以内に公開することです。

ポストモーテムでは、個々の従業員ではなくシステムと判断を名指しします。書くのはオンコール担当だった本人であり、他人について説明する管理職ではありません。

72 時間の期限に間に合わないとわかった場合は、その 72 時間のうちに遅れと理由を公開します。守れなかった期限を後から知らせるのは、失敗が 2 つ重なることだからです。

• 検知は回線発行の成功率と決済承認率から自動で行います。インシデントは、誰かが苦情を言ったときではなく、数字が動いたときに始まります
• このページのコンポーネントの状態は、原因が判明する前でも、宣言から 5 分以内に切り替わります
• 対応はインシデントコマンダーが指揮し、広報は別の担当者が受け持ちます。どちらの仕事も、もう一方に押しつぶされないためです
• 影響を受けたお客さまを特定してご連絡します。サービスが低下していた場合の返金は、申し出を待つのではなく、すでに反映した状態でお知らせします
• 失敗するとわかっている経路では購入をブロックします。返金することになるお金を受け取るのは、売上を逃すより悪いからです
• 重大障害の間は、少なくとも 30 分ごとに更新を出します。まだわからない、という内容であっても出します
• 復旧から 72 時間以内に、時系列、お客さまへの影響を示す数字、原因、そして担当者と期日を伴うすべての対策を記したポストモーテムを公開します

目標を 100 パーセントにしない理由

通信ネットワークが関わる以上、100 パーセントは嘘になるからです。回線発行の目標が 99.5 パーセントであるということは、1000 件のうちおよそ 5 件が、決済から使えるプロファイル までのどこかで失敗すると公言していることです。

大事なのは、その 5 件のための道筋が設計されていることです。返金はチケットなしで 60 秒以内に実行され、メッセージは何が起きたのか、代わりに何を試せばよいのかを説明します。そのお客さまが返金に値するかどうかを、誰かが判断する必要はありません。

同じ考え方が通信品質にも当てはまります。複数の通信事業者で提供している地域でパートナー回線が混雑した場合は、インシデントとして記録するのではなく接続先を切り替え、その切り替え内容を注記に書きます。

回線が 1 つしかなく、その回線の調子が悪い日は、国別ページにそう書きます。通信品質ページで中央値、遅い方の 10 パーセント、サンプル数を公開しているのは、まさにこのためです。

インシデントの履歴

現在の報告期間中に、30 分を超えるインシデントの宣言はありません。

この一文の価値は、それを書き換える覚悟の分だけです。だからこそ上の方針をここまで細かく書いています。過去のポストモーテムは 90 日で消えることなく、すべて恒久的に公開したままにしています。

実際によくいただく質問