O preço de cada nove de disponibilidade e quando ele não se paga

Uma hora fora do ar custa valores diferentes conforme o horário

Um sistema de agendamento médico indisponível às dez da manhã de uma terça-feira tem custo imediato e mensurável: atendimento parado, profissional sem acesso à escala, paciente sem conseguir marcar consulta. O mesmo sistema indisponível às três da manhã custa uma fração disso, ainda que o alerta dispare do mesmo jeito e alguém precise acordar para responder.

Essa assimetria deveria orientar o investimento em disponibilidade, e quase nunca orienta. A conta que decide o orçamento tem dois fatores: quanto custa uma hora de indisponibilidade em cada faixa de horário e qual a probabilidade de ela ocorrer naquela faixa. Sem esses dois números, a discussão vira uma negociação sobre casas decimais conduzida por quem não sabe o preço de nenhuma delas, e casas decimais custam de forma desproporcional ao que a notação sugere.

Quanto custa cada nove adicional

Disponibilidade é medida em número de noves, e a distância entre um nível e o seguinte é maior do que parece. Uma disponibilidade de 99% admite cerca de sete horas e doze minutos de indisponibilidade por mês, o equivalente a quase quinze minutos por dia. Subir para 99,9% comprime essa janela para menos de quarenta e cinco minutos mensais, e cada casa decimal seguinte reduz o que sobra por um fator de dez.

O que muda entre um patamar e outro é a estrutura exigida para sustentá-lo. Um servidor bem dimensionado, com backup testado e procedimento de restauração conhecido, sustenta o primeiro número na maior parte dos meses, como no case de migração de ERP legado para AWS, em que eliminar o ponto único de falha bastou para garantir continuidade. O segundo exige redundância entre zonas de disponibilidade, verificação automática de saúde do serviço e um mecanismo de failover exercitado com regularidade, o mesmo tipo de trabalho que fazemos na frente de Infraestrutura & Cloud, porque failover desenhado e nunca executado falha justamente na primeira vez em que alguém precisa dele.

Multiplicar zona multiplica custo de infraestrutura, já que significa manter capacidade ociosa pronta para assumir tráfego que talvez nunca chegue, paga integralmente em todos os meses em que não é usada. Some a isso a replicação de banco entre zonas, que consome largura de banda e processamento de forma contínua, e o resultado é que a passagem de 99% para 99,9% costuma custar um múltiplo do orçamento de infraestrutura anterior. A variação de menos de um ponto percentual no contrato não guarda nenhuma correspondência com a variação do custo mensal.

O que exigir de quem assina 99,9%

Contrato de nível de serviço que promete um número sem descrever o mecanismo por trás dele é uma aposta feita com o dinheiro do cliente. Um fornecedor que assina 99,9% precisa conseguir explicar quantas zonas o sistema usa, com que frequência o plano de recuperação é testado e como esse teste é conduzido, derrubando o ambiente principal de propósito para observar o comportamento do failover em condição real.

Falta ainda o item que separa cláusula de operação: quem responde fora do horário comercial e em quanto tempo, por severidade. SLA sem plantão nomeado e sem tempo de resposta acordado existe apenas no papel até o primeiro incidente de madrugada, quando fica claro que ninguém tinha obrigação contratual de atender o telefone e que a multa prevista, quando existe, é menor que o prejuízo de uma noite parada.

RTO e RPO medem coisas diferentes e custam separado

Plano de recuperação de desastre se reduz a dois números. O RTO define o tempo máximo tolerável até o sistema voltar a funcionar depois de uma falha. O RPO define a quantidade máxima de dado que a empresa aceita perder, medida em tempo desde o último backup íntegro.

Cada um deles é comprado em um lugar diferente da conta. Reduzir o RTO exige automação de recuperação e ambiente de contingência pronto para assumir tráfego, despesa que aparece como infraestrutura mantida ociosa. Reduzir o RPO exige backup mais frequente ou replicação contínua, despesa que aparece em processamento e largura de banda consumidos apenas para manter a réplica atualizada.

Os dois são independentes, e tratá-los como sinônimos leva a compras erradas nas duas direções. Um sistema pode conviver com RPO de várias horas, atendido por backup noturno, e ainda assim exigir RTO curto porque a operação não tolera ficar parada durante o expediente. Quem confunde os conceitos acaba contratando redundância cara para resolver um problema de frequência de backup, ou contratando backup barato quando o cenário pedia redundância ativa.

O custo de observabilidade antes do primeiro incidente

Monitoramento é despesa que precede o incidente e é paga enquanto nada acontece, o que a torna candidata frequente a corte na primeira revisão de orçamento. Métrica, log estruturado e alerta configurado para o que afeta o usuário exigem tempo de engenharia dedicado a decidir o que vale observar, somado ao custo da ferramenta de coleta e armazenamento, que cresce junto com o volume de tráfego do sistema.

Alerta mal calibrado tem um custo silencioso e maior que o da ferramenta. Quando dispara com frequência sem correlação com problema real, a equipe aprende a ignorá-lo, e o alerta importante chega no meio de uma fila de falsos positivos, com resposta atrasada por um hábito que a própria configuração criou. Calibrar isso é trabalho recorrente, revisado a cada mudança relevante de arquitetura, com a mesma disciplina aplicada a qualquer outra parte do sistema.

Quando a redundância não se paga

Nem todo sistema precisa de 99,9%, e insistir nesse número para uma ferramenta interna usada em horário comercial por uma equipe pequena é gasto que não retorna. Um relatório consultado algumas vezes por semana sobrevive bem com plano de recuperação de algumas horas e sem redundância entre zonas, porque o custo de uma indisponibilidade ocasional é baixo, previsível e absorvido pela própria equipe que usa a ferramenta.

A decisão pertence à área de negócio, e ela é aritmética: custo de uma hora parada, multiplicado pela probabilidade de acontecer no horário que importa, comparado ao custo mensal recorrente da estrutura que evita esse cenário. Quando o resultado desfavorece a redundância, aceitar o risco calculado e aplicar o orçamento de infraestrutura em outro lugar é a escolha tecnicamente correta, ainda que ela pareça descuido para quem lê apenas o número de noves impresso no contrato.