Okno serwisowe w utrzymaniu IT

Okno serwisowe to z góry ustalony przedział godzin, w którym wolno restartować serwery, wgrywać łatki i robić prace z ryzykiem krótkiej przerwy. Bez niego aktualizacja czeka „na spokojny moment”, którego nigdy nie ma, a krytyczna łatka wisi tygodniami. Administracja serwerami bez okna zamienia się w gaszenie pożarów albo w odkładanie zmian do skutku.

Okno ustala właściciel procesu biznesowego razem z IT, nie sam informatyk w kalendarzu. Magazyn może pracować do 22:00, księgowość do 18:00, sklep internetowy całą dobę. Jedno wspólne „niedziela 2:00” nie pasuje do wszystkich. Na stronie o serwerach dla firm ten kompromis widać przy planowaniu utrzymania: najpierw kto boli przy restarcie, potem która godzina jest najtańsza.

W oknie mieści się nie tylko restart. Mieści się też test, czy usługa wstała, czy backup nocny nie koliduje z aktualizacją i czy ktoś dyżuruje na telefonie. Okno bez dyżuru to zgoda na to, że problem wykryją użytkownicy rano. Okno z dyżurem, ale bez procedury cofnięcia, to zgoda na długi debugging przy otwartej produkcji.

Częsty błąd to okno zapisane w umowie i nigdy nieużywane, bo „nie było czasu ogłosić”. Drugi błąd to okno na papierze w godzinach, w których i tak pracuje zmiana. Trzeci błąd to pakowanie w jedno okno wymiany macierzy, aktualizacji hypervisora i migracji bazy. To trzy ryzyka naraz; jedno nieudane wystarczy, żeby całe okno przepalić bez efektu.

Awaria nie pyta o kalendarz. Okno serwisowe nie chroni przed padniętym dyskiem w środę o 11:00. Chroni przed sytuacją, w której łatka znana od miesiąca nadal nie jest wgrana, bo nikt nie miał odwagi ruszyć serwera. Różnica między planowaną przerwą a awarią to przygotowanie użytkowników i obecność osoby, która wie, jak cofnąć zmianę.

Dobrze spisane okno ma datę, listę systemów, oczekiwany czas przerwy i kryterium sukcesu („użytkownicy logują się do programu X”). Po oknie wpisujemy wynik: co zrobiono, co odłożono, czy trzeba drugiego terminu. Ten zapis buduje zaufanie mocniej niż obietnica „dbamy o aktualizacje”. Gdy okno wypada w nocy, ustalamy też, kto ma prawo przełożyć je o tydzień, jeśli w ciągu dnia wydarzy się coś ważniejszego w biznesie. Bez tej reguły każde „przełóżmy” staje się precedensem, a łatki znów czekają bez terminu.

Komunikat do użytkowników przed oknem ma trzy zdania: co będzie niedostępne, od której do której, kto dyżuruje. Dłuższy esej nikt nie czyta. Po oknie jeden komunikat „skończone, działa” zamyka temat albo mówi, że wydłużamy o godzinę. Cisza po restarcie jest gorsza niż sama przerwa. W umowie o administracji warto zapisać liczbę okien w miesiącu i maksymalny czas planowanej przerwy, żeby oczekania były wspólne. Awaryjne prace poza oknem też mają regułę: kto zatwierdza wyjątek. Bez reguły każde „pilne” staje się normą i okno traci sens. Sens okna wraca dopiero wtedy, gdy wyjątki są rzadkie i mają imię osoby, która je podpisała. Wtedy łatki wchodzą planowo, a nie dopiero po głośnym incydencie w branży.