
面向恢复性的设计
|
149
9.4
预期外的收益
本章中描述的设计原则建立在弹性设计原则的基础上,可以提高系统的可恢复性。除可靠
性和安全性外,这样做还能带来一系列预期外的收益,有助于推动这些实践在组织内的落
地。假设有一台服务器用于为固件更新身份认证、回滚、锁定和提供认证机制。使用这些
原语,在检测到机器被入侵后,可以有条不紊地开展恢复工作。现在假设要在“裸机”云
托管服务环境下使用这台机器,供应商希望自动化地清理并转售它。面向易恢复性设计的
机器已经有了安全和自动化的解决方案。
在供应链安全方面,这些好处会更加深远。当机器是由许多不同的部件组装而成时,由于
这些组件的完整性是以自动化的方式恢复的,这样就不需要对供应链安全有过多的关注
了,只需要执行一次恢复过程即可。还有一个额外的好处是,由于会对恢复过程做重新调
整,可以定期演练关键恢复能力。在事件发生后员工就可以立即开展行动。
设计用于恢复的系统是一个很深奥的话题,其业务价值只有在系统偏离预期状态时才能被
验证。但考虑到我们建议操作系统使用错误预算来最大限度地提高成本效率
28
,可以预期的
是,这类系统会不时地发生错误。建议团队尽早在开发过程中逐步投入速率限制或回滚机
制的建设。有关如何影响组织的更多信息,请参阅第
21
章。
9.5
小结
本章探讨了设计易恢复性系统的方方面面,解释了为什么系统在部署变更的速率方面应具
有灵活性:这种灵活性允许在可能的情况下缓慢地展开变更并避免带来一系列故障。同
时,这样做也有助于在必须接受更多风险以实现安全目标时快速且从容地发布变更。对于 ...