Progettare per il guasto, non contro
Un sistema che «non si rompe mai» non esiste: cadono le linee, scadono i certificati, i fornitori cambiano formato senza avvisare, un aggiornamento di Windows blocca una stampante. La domanda giusta non è come evitarlo, ma cosa succede quando accade. Le tre risposte da avere per iscritto: come ve ne accorgete, come si continua a lavorare, come si rientra senza fare danni.
Allarmi che servono, allarmi che vengono ignorati
La regola pratica: se un allarme scatta più di una volta a settimana senza che nessuno debba fare niente, entro un mese verrà ignorato — e con lui quello importante. Tre allarmi ben scelti valgono più di venti.
- Silenzio: nessun dato ricevuto da più tempo del normale per quella fascia oraria. È il più prezioso, perché i guasti silenziosi sono i più costosi.
- Errori sopra soglia: più del X% di scarti in un'ora, con X tarato sul processo.
- Disallineamento: due sistemi che dovrebbero dire la stessa cosa non la dicono.
Ogni allarme deve arrivare a una persona precisa, su un canale che quella persona guarda davvero, e deve dire in una riga cosa è successo e cosa fare adesso.
La procedura di ripiego: una pagina, stampata
Serve una pagina — davvero una sola — che dica come si lavora senza il sistema. Per un punto vendita: dove sono i blocchetti, come si annota una vendita, come si recupera dopo. Per un ufficio: quale file si compila e chi lo inserisce quando il sistema torna. Va scritta prima, provata una volta, e tenuta anche su carta: il giorno che serve, il sistema che la contiene potrebbe essere proprio quello fermo.
La regola dei doppioni
Quando qualcosa fallisce a metà, la tentazione è ripetere. È il momento in cui nascono i doppioni: la fattura emessa due volte, lo scontrino stampato due volte, l'ordine spedito due volte. Regola ferma: prima si verifica se l'operazione è andata a buon fine, poi si ripete — e la verifica deve essere possibile senza il sistema guasto.
Rientrare senza fare danni
Al ritorno del sistema si accumulano i lavori arretrati. Tre accorgimenti tecnici evitano quasi tutti i problemi:
- Chiavi stabili su ogni operazione, così ciò che è già stato fatto viene riconosciuto e non ripetuto (è l'idempotenza di cui parliamo in far parlare due software).
- Elaborazione in ordine e a ritmo controllato: riversare seimila messaggi in un minuto su un gestionale è un secondo guasto.
- Un riepilogo del recupero: quanti elementi elaborati, quanti scartati e perché. Senza, nessuno saprà dire se il buco è stato colmato del tutto.
Backup: il test è più importante del backup
Il criterio minimo per una piccola azienda:
- Tre copie dei dati, su due supporti diversi, di cui una fuori sede.
- Almeno una copia non cancellabile dal sistema che sta salvando: è la protezione contro i ransomware, che per primi vanno a cercare i backup raggiungibili.
- Una prova di ripristino ogni trimestre, cronometrata. Un backup mai ripristinato è un'ipotesi, non una garanzia.
La prova serve anche a conoscere il numero che conta davvero: quanto tempo ci vuole a tornare operativi. È quello il dato da confrontare con quanto costa un'ora di fermo.
I due numeri da decidere insieme, all'inizio
- Quanto tempo potete stare fermi senza danni seri (un'ora? un giorno?).
- Quanti dati potete permettervi di perdere (l'ultimo minuto? l'ultima ora?).
Da questi due numeri discende tutto il resto: frequenza dei backup, ridondanza, presenza o meno di un secondo apparato, tipo di contratto di assistenza. Deciderli prima costa una riunione; deciderli dopo un guasto costa molto di più.
La manutenzione che nessuno vede
Un'automazione in produzione ha bisogno di poche attenzioni regolari, ma non nulle: certificati che scadono, aggiornamenti di sicurezza, spazio disco, credenziali da ruotare, dipendenze da aggiornare. Poche ore al mese. È esattamente la voce che sparisce dai preventivi e che, quando manca, trasforma un sistema che funziona in un sistema che si è fermato «da solo».