Sat bez signala: što vaša operacija radi kad nestane veze

Vozač uđe u cestovni tunel, podzemnu utovarnu rampu, palubu trajekta za vozila, ili jednostavno u dolinu koju pokriva jedan slab odašiljač za tri sela — i telefon ostane bez signala, na pet minuta ili na četrdeset. To nije kvar sustava ni rijedak izuzetak — to je normalan dio vožnje vozilima kroz stvaran teren, i svaka operacija s više od šačice linija na to će redovito nailaziti. Zanimljivo pitanje nije hoće li se to dogoditi. Pitanje je što aplikacija na nosaču na komandnoj ploči, i ekran dispečera u uredu, u tom trenutku rade — i može li itko dalje niz lanac razlikovati „ovdje se ništa nije dogodilo“ od „ovdje se nešto dogodilo, a mi to još ne znamo.“

Tri različita problema pod jednim imenom

„Offline“ se koristi kao da je jedno stanje, no aplikacija za vozače gubi tri odvojene stvari kad nestane signala, i one se ne ponašaju jednako kad se signal vrati.

Prvo je stanje koje je već bilo lokalno — današnji popis stajanja, ruta, teretni manifest za pošiljku trenutačno na vozilu. Ništa od toga ne treba živu vezu da bi bilo korisno; treba biti preuzeto prije ulaska u mrtvu zonu, što je pitanje kad se aplikacija zadnji put uskladila, a ne što radi dok je offline. Vozač koji u tunelu provjerava sljedeću dostavu čita podatke koji su stigli prije sat vremena i ne treba mu ništa dalje od mreže.

Drugo je radnja koju treba zabilježiti u trenutku kad se dogodi, htjela mreža u tom trenutku surađivati ili ne. Dostava se odbije na vratima. Paleta stigne oštećena. Stajanje se zatvara jer je primatelj potpisao. To su činjenice s vremenskom oznakom, a ta je oznaka sada, u mrtvoj zoni, a ne kad se signal vrati. Aplikacija koja ne može zabilježiti činjenicu dok je istovremeno i ne može poslati traži od vozača da ili čeka pokraj ceste ili se pouzda u pamćenje za verziju koju će unijeti kasnije — a „unijet ću kad dobijem signal“ upravo je način na koji operativni zapis postaje rekonstrukcija.

Treće je živi prijenos koji nema retroaktivan odgovor — prije svega, gdje se vozilo nalazi upravo sada. Položaj nije činjenica koju možete naknadno nadoknaditi ni u kojem poštenom smislu: ako kamion osamnaest minuta provede u tunelu, ne postoji istinit odgovor na „gdje je bio u devetoj minuti“ osim „negdje u tunelu, između dviju točaka s obje njegove strane.“ Ispravno ponašanje ovdje nije izmišljati kontinuitet. Ispravno je prikazati zadnji poznati položaj s vremenskom oznakom i prepustiti onome tko gleda da izvuče očit zaključak, umjesto da se tiho interpolira ravna linija kroz čvrstu stijenu i prikazuje kao podatak.

Zapis i njegov dokaz rijetko se slažu tko ide prvi

Većina operativnih događaja nije jedan upis — to je zapis plus nešto što ga potkrepljuje: dostava plus potpis, odbijanje plus fotografija, pregled plus fotografije kvara. U mrtvoj zoni obično se samo jedno od to dvoje može upisati lokalno i jeftino (sam zapis, koji je malen), dok je drugo — posebice fotografija — dovoljno veliko da „samo ponovi prijenos“ znači stvarno čekanje, a ne trenutačnu radnju.

Ta dva događaja ne žele isti redoslijed. Zapis o dostavi koji postoji bez fotografije iza sebe manji je rizik, nadoknadiv ako ga itko ikad ospori. Vozač zaglavljen na vratima jer aplikacija odbija označiti stajanje kao završeno dok se slika ne prenese preko jedne crtice signala veći je i neposredniji problem — stajanje je sada zaglavljeno, vozač ili čeka ili zaobilazi aplikaciju, a zaobilaženje aplikacije upravo je način na koji se papirnati proces tiho vraća unutar digitalnog. Zapis dakle ne smije čekati da mu dokaz stigne, no dokaz se ne smije tretirati ni kao neobavezan teret koji je u redu izgubiti. Mora sam nastaviti pokušavati, u pozadini, dok ne stigne ili doista ne propadne — a ako propadne, to netko mora vidjeti, ne smije biti tiho progutano.

Taj redoslijed ipak nije univerzalan, i to je dio vrijedan pažnje: kod nekih se događaja prioritet obrće. Izvještaj o neuspjeloj dostavi uredu je vjerojatno korisniji bez ijedne fotografije nego da uopće nije prijavljen u trenutku kad se dogodi, jer neuspjelo stajanje mijenja izgled ostatka dana — ponovni pokušaj, poziv kupcu, ponovno planiranje vožnje — a to do dispečera mora stići prije fotografija, ako se mora birati. Što ide prvo ne smije biti tehnička zadana postavka koju je netko slučajno postavio prema tome koji je poziv u kodu bilo najlakše prvi ispaliti. To je odluka o tome čiji bi izostanak više naštetio, donesena namjerno, jednom, za svaku vrstu zapisa.

Ponovni pokušaj nije automatski ponavljanje

Nezgodan je slučaj onaj u kojem zapravo nitko ne zna što se dogodilo: aplikacija je poslala zahtjev, veza je prekinuta usred prijenosa, i sa samog uređaja nema načina utvrditi je li poslužitelj zahtjev primio pa nije uspio odgovoriti, ili ga uopće nije ni vidio. Slijepo ponavljanje u redu je za nešto idempotentno. Nije u redu za radnju koja svaki put stvara novi zapis — drugi upis „dostavljeno“ nakon dvosmislenog isteka vremena za sve nizvodno može izgledati kao drugi pokušaj dostave, a ne kao potvrda prvog. Pošten sustav mora nositi tu razliku: „sigurno nije uspjelo, sigurno je ponoviti“ drukčije je stanje od „ne znamo,“ a ono drugo zaslužuje više opreza — čovjek koji potvrđuje prije nego što se pošalje ponovno, a ne tihi ponovni pokušaj koji bi na papiru mogao udvostručiti stvaran događaj.

Poznate mrtve zone tretirajte kao poznate, ne kao incidente

Većina se ovoga rješava predviđanjem, a ne dosjetljivošću. Ako linija svaki tjedan prolazi kroz isti tunel ili istu mrtvu zonu za tri sela, taj prekid nije novost — poznato je obilježje rute, i tretiranje desetominutne tišine na tom dijelu kao uzbune umjesto kao očekivanog uči dispečera da juri za vozačima zbog nečega što uopće nije problem. Vrijedna navika jest poznavati vlastite mrtve zone dovoljno dobro da razlikujete „tiho zbog tunela“ od „tiho jer je nešto stvarno pogrešno,“ a to je procjena koju i dalje mora donijeti čovjek — ali je može dobro donijeti samo ako mu sustav pred njim govori istinu o tome što upravo sada zna, a što ne zna.

Gdje stoji navichain

Aplikacija za vozače bilježi status stajanja, potpis, fotografije i razlog neuspjele dostave na licu mjesta, a današnja stajanja, navigacija i teretni manifest po stajanju već su na telefonu prije početka dana — vozač koji obrađuje sljedeću dostavu čita plan koji je već tamo, a ne onaj koji čeka na živo preuzimanje. Stranica platforme opisuje ostatak onoga što uz to radi: dnevni pregledi vozila koji otvaraju kvar u trenutku kad nešto zakaže, i podaci o opasnim tvarima ograničeni na točno ono stajanje na kojem vozač stoji, tako da informacija bitna na vratima ne ovisi o tome što signal radi kad se vrata otvore.