Hvorfor vi starter servere på nytt

Et spørsmål som dukker opp ganske regelmessig er om servere bør startes på nytt rutinmessig, for eksempel en gang per uke, eller om de bør få lov til å kjøre så lenge som mulig for å oppnå maksimal «oppetid». For meg er svaret enkelt – med sjeldne unntak er regelmessige omstarter det mest hensiktsmessige valget for servere.

Som med enhver regel finnes det tilfeller der den ikke gjelder. For eksempel har noen virksomheter som kjører kritiske systemer ingen mulighet for nedetid og må være tilgjengelige 24/7. Systemer som dette kan åpenbart ikke bare startes på nytt på en rutinmessig måte. Men hvis et system er så kritisk at det aldri kan gå ned, bør denne situasjonen utløse et varselssignal om at dette systemet er et enkelt feilpunkt, og kanskje bør det vurderes hvordan man skal håndtere nedetid, enten planlagt eller uplanlagt.

Et annet unntak er at noen AIX-systemer trenger betydelig oppetid, mer enn noen uker, for å oppnå maksimal effektivitet, ettersom systemet er selvjusterende og trenger tid til å innhente bruksinformasjon og justere seg deretter. Dette er i stor grad begrenset til store, sjelden skiftende databaseservere og lignende bruksscenarioer som er mindre vanlige enn andre plattformer.

I IT tilber vi ofte konseptet «oppetid» – hvor lenge et system kan kjøre uten å trenge å starte på nytt. Men «oppetid» er ikke et konsept som tilfører virksomheten verdi, og IT må alltid ha virksomhetens behov i tankene fremfor å fokusere på kunstige måleparametere. Virksomheten er ikke opptatt av hvor lenge en server har klart å holde seg online uten å starte på nytt – de bryr seg bare om at serveren er tilgjengelig og klar når det trengs for forretningsprosessering. Dette er svært ulike konsepter.

For de fleste normale forretningsservere finnes det et vindu når serveren må være tilgjengelig for forretningsmessige formål og et vindu når den ikke er nødvendig. Disse vinduene kan være daglige, ukentlige eller månedlige, men det er en sjelden server som faktisk er i bruk døgnet rundt uten unntak.

Jeg hører ofte folk si at fordi de kjører operativsystem X i stedet for Y, trenger de ikke lenger å starte på nytt, men dette er rett og slett ikke sant. Det er to hovedgrunner til å starte på nytt regelmessig: å verifisere serverens evne til å starte på nytt og å anvende oppdateringer som ikke kan anvendes uten omstart.

Å anvende oppdateringer er grunnen til at de fleste virksomheter starter på nytt. Nesten alle operativsystemer mottar regelmessige oppdateringer som krever omstart for å tre i kraft. Siden de fleste oppdateringer utgis for sikkerhets- og stabilitetsformål, særlig de som krever omstart, er viktigheten av å anvende dem ganske høy. Å gjøre en server unødvendig sårbar bare for å opprettholde oppetid er ikke klokt.

Å teste en servers kapasitet til å starte på nytt er det som ofte overses. De fleste servere har endringer påført seg på regelmessig basis. Endringer kan være oppdateringer, nye applikasjoner, konfigurasjonsendringer, oppdateringer eller lignende. Enhver endring introduserer risiko. Bare fordi en server er sunn umiddelbart etter at en endring er påført, betyr ikke det at serveren eller applikasjonene som kjører på den vil starte som forventet ved omstart.

Hvis serveren aldri startes på nytt, vet vi aldri om den kan starte på nytt. Over tid vil antall endringer som er påført siden siste omstart øke. Dette er svært farlig. Det vi frykter er at et stort antall endringer er gjort, muligens mange av dem udokumenterte, og at en omstart deretter mislykkes. På det tidspunktet kan det å identifisere hvilken endring som forårsaker at systemet svikter, være en uoverkommelig prosess. Ingen enkelt endring å rulle tilbake, ingen kjent vei til gjenoppretting. Det er da panikk setter inn. Selvfølgelig er en server som aldri startes på nytt med hensikt, mer sannsynlig til å starte på nytt utilsiktet – noe som betyr at sjansen for en mislykket omstart er både mer sannsynlig til å skje og mer sannsynlig til å skje mens den er i aktiv bruk.

Selv om regelmessige omstarter ikke er ment å redusere hyppigheten av mislykkede omstarter – faktisk øker de faktisk forekomsten av feil – er formålet å gjøre disse feilene lett håndterbare fra et «kjent endring»-standpunkt, og viktigere, å kontrollere når disse omstartene skjer for å sikre at de skjer på et tidspunkt når serveren er beregnet som tilgjengelig for vedlikehold og er designet for å bli belastet slik at problemer oppdages på et tidspunkt da de kan dempes uten forretningsmessig innvirkning.

Jeg har hørt mange systemadministratorer si at de unngår omstarter i helgene fordi de ikke ønsker å sitte og jobbe på søndager på grunn av servere som ikke klarer å komme tilbake opp etter omstart. Jeg har selv blitt varslet mange søndagsmorgener om mislykkede omstarter, men hver gang jeg mottar det varselet, kjenner jeg en følelse av lettelse. Jeg vet at vi nettopp fanget opp et problem på et tidspunkt da virksomheten ikke er påvirket finansielt. Hadde den serveren ikke blitt startet på nytt i fritiden, kunne den ha vært uoppdaget som «ikke-startbar» frem til den sviktet i aktive forretningstimer og forårsaket tap av inntekt.

Takket være regelmessige helgeomstarter kan vi fange opp ventende katastrofer trygt, og takket være at vi vet at vi bare har én ukes verdi av endringer å undersøke, er vi rutinemessig i stand til å fikse problemene med generelt lite innsats og stor tillit til at vi forstår hvilke endringer som ble gjort før feilen.

Regelmessige omstarter handler om å beskytte virksomheten mot avbrudd og nedetid som kan dempes gjennom svært enkle og pålitelige prosesser.