Was in einem Disaster-Recovery-Plan meist fehlt
Die Wiederherstellungsplanung orientiert sich meist am Anlagenverzeichnis eines Unternehmens. Server, Datenbanken, Anwendungen und Netzwerkverbindungen stehen auf einer Liste, jeweils mit einem Verantwortlichen und einem Wiederherstellungsziel. Integrationen tauchen dort selten auf, da sie meist nicht als eigenständige Komponente erworben wurden.
Eine Punkt-zu-Punkt-Verbindung zwischen einem ERP- und einem Lagersystem ist oft nur ein Skript auf einem Server oder ein geplanter Job in einem System, für das sich niemand direkt verantwortlich fühlt. Es gibt keine Lizenz, keinen Anbieter und oft keine Dokumentation. Als der Wiederherstellungsplan erstellt wurde, war diese Verbindung schlicht nicht präsent genug, um sie aufzunehmen.
Diese Lücke zeigt sich in vier Fragen, die während eines Vorfalls niemand beantworten kann:
- Was war gerade in Übertragung: welche Aufträge, Lieferungen oder Produktionsanweisungen hatten ein System bereits verlassen, waren aber beim Abbruch der Verbindung noch nicht im anderen angekommen
- Ob Daten verloren gegangen sind: ob diese Datensätze irgendwo in einer Warteschlange liegen oder ob sie schlichtweg verschwunden sind
- Wer den Neustart durchführt: welches Team für die Verbindung zuständig ist, im Gegensatz zu den Teams, die die beiden verbundenen Systeme betreuen
- In welcher Reihenfolge der Neustart erfolgen muss: ob das ERP-System erst wieder stabil laufen muss, bevor der Datenstrom zum Lager fortgesetzt wird, oder umgekehrt
Jede dieser Fragen lässt sich im Voraus klären. Während eines Ausfalls ist keine davon zu beantworten, wenn nichts dokumentiert wurde. Deshalb verbringt man die erste Stunde eines Integrationsvorfalls meist mit der Ursachenforschung statt mit der Wiederherstellung.
Warum bleiben Integrationsausfälle unbemerkt?
Ein ausgefallener Server macht sich bemerkbar. Benutzer können sich nicht anmelden, Dashboards zeigen Fehler an und innerhalb von Minuten wird jemand alarmiert. Ein Integrationsausfall ist leiser, da jedes der verbundenen Systeme weiterhin normal läuft.
Der Webshop nimmt weiterhin Bestellungen entgegen. Das ERP zeigt den Lagerbestand von gestern an. Das Lager kommissioniert weiterhin das, was ihm vor einer Stunde mitgeteilt wurde. Aus Sicht der einzelnen Systeme ist nichts defekt, und das bleibt auch so, bis die Datenlücke groß genug wird, dass sie jemandem auffällt.
Genau deshalb werden Integrationsfehler meist von Kunden gemeldet und nicht durch das Monitoring erkannt. Ein Käufer fragt nach dem Verbleib seiner Bestellung, und erst dann stellt jemand fest, dass der Bestellfluss um 02:00 Uhr gestoppt hat. Die frühzeitige Erkennung ist die Aufgabe von Monitoring und Logging, was eine andere Disziplin ist als die Wiederherstellung, sobald der Fehler bekannt ist.
Was eine Stunde Integrationsausfall kostet
Die Kosten eines Integrationsausfalls sind nicht proportional zu seiner Dauer. Sie hängen davon ab, wie stark das Unternehmen von dem Prozess abhängt und wie lange der Fehler unentdeckt bleibt:
- Eine Produktionslinie, die auf Arbeit wartet: ein MES ohne neue Aufträge, weil die ERP-Verbindung unterbrochen ist, während die Schicht bezahlt wird, obwohl sie nicht arbeiten kann
- Bestellungen für nicht vorhandene Bestände: ein Webshop, der vier Stunden lang auf Basis der letzten übermittelten Daten verkauft
- Sendungen, die den Versanddienstleister nie erreichen: Versandaufträge, die in einem unbeaufsichtigten System feststecken und erst am nächsten Morgen entdeckt werden
- Doppelte Datensätze nach dem Neustart: ein Prozess, der ohne Kenntnis der bereits verarbeiteten Daten neu gestartet wird, wodurch jede Bestellung aus der Lücke doppelt angelegt wird
- Abstimmungen, die Tage dauern: die Finanzabteilung gleicht zwei Systeme manuell ab, um herauszufinden, was übertragen wurde und was nicht
Der vierte Punkt ist die teure Überraschung. Eine Verbindung neu zu starten ist einfach. Sie jedoch neu zu starten, ohne laufende Daten zu duplizieren oder zu überspringen, erfordert die genaue Kenntnis des Abbruchpunkts, und die meisten Punkt-zu-Punkt-Verbindungen zeichnen dies nicht auf.
Warum die Wiederherstellung ohne eine zentrale Integrationsschicht schwieriger ist
Wenn jede Verbindung separat aufgebaut wird, ist die Wiederherstellung für jede einzelne eine eigene Aufgabe. Das Skript zwischen dem ERP-System und dem Lager hat sein eigenes Neustartverfahren, geschrieben von demjenigen, der es erstellt hat. Die Anbindung an den Marktplatz hat ein anderes. Keines davon ist zusammen mit dem anderen dokumentiert, und die Person, die weiß, wie eines davon funktioniert, ist in dieser Woche nicht erreichbar.
Auch die Ausfallsicherheit wird ungleichmäßig aufgebaut. Eine Verbindung versucht es bei einem Fehler erneut, eine andere gibt stillschweigend auf, und eine dritte schreibt in ein Protokoll, das niemand liest. Es gibt keine Möglichkeit, ein Wiederherstellungsziel für Verbindungen festzulegen, die sich alle unterschiedlich verhalten.
Die meisten Unternehmen erreichen diesen Punkt eher durch Zufall als durch eine bewusste Entscheidung. Verbindungen wurden nacheinander hinzugefügt, jede war dringend, jede wurde von demjenigen gebaut, der gerade verfügbar war. Das Ergebnis ist eine Infrastruktur, bei der der Wiederherstellungsplan zwar jedes System abdeckt, aber keine der Verbindungen zwischen ihnen.
Wie eine Integrationsplattform die Notfallwiederherstellung unterstützt
Eine Integration Platform-as-a-Service (iPaaS) bietet einem Unternehmen einen zentralen Ort, an dem alle Systeme zusammenlaufen. Jedes System verbindet sich nur einmal mit der Plattform, anstatt direkt mit anderen Systemen zu kommunizieren, und die Plattform überträgt und transformiert die Daten zwischen ihnen. Hersteller nutzen dies bereits für ihre tägliche Arbeit: Sie übertragen Produktionsaufträge vom ERP an das MES, melden Fertigstellungen und Ausschuss zurück und senden Versanddaten an den Logistikdienstleister.
Die Wiederherstellung basiert auf derselben Struktur. Die Datenflüsse sind an einem Ort gebündelt, anstatt über verschiedene Skripte verstreut zu sein. So gibt es nur eine Stelle zur Überwachung, einen zentralen Ort für Daten, die sich gerade in der Übertragung befinden, und ein einheitliches Neustartverfahren anstelle von zwanzig verschiedenen.
Die Integrationsplattform Alumio bietet Funktionen, die so konfiguriert werden können, dass Integrationen wiederherstellbar sind. Vier davon erledigen den Großteil der Arbeit:
- Gespeicherte Nachrichten: Die Speicherung innerhalb von Alumio kann Daten, die sich gerade in der Übertragung befanden, vorhalten. So wird ein Fehler zu einer Warteschlange, die abgearbeitet werden kann, anstatt zu einem Stapel von Datensätzen, die niemand zuordnen kann.
- Wiederholung ab dem Fehlerpunkt: Ein Datenfluss kann erneut gegen die gespeicherten Nachrichten ausgeführt werden, sobald das empfangende System wieder betriebsbereit ist, was sowohl Duplikate als auch Lücken vermeidet.
- Automatische Wiederholung mit definiertem Verhalten: Jede Route kann mit einer eigenen Wiederholungs- und Fehlerbehandlungslogik konfiguriert werden, sodass bei einem kurzen Ausfall an einem Endpunkt kein manuelles Eingreifen erforderlich ist.
- Status in einer zentralen Ansicht: Durch die Überwachung aller Datenflüsse wird eine unterbrochene Verbindung innerhalb von Minuten bemerkt, anstatt erst dann, wenn ein Kunde anruft.
Dieselbe Struktur hält E-Commerce-Integrationen auch bei hohem Volumen nachhaltig, aus demselben Grund. Das Hinzufügen einer Verbindung erweitert das Bestehende, anstatt eine weitere Komponente hinzuzufügen, an die man im Störungsfall denken muss.
Was eine wiederherstellbare Integrationsschicht dem Unternehmen bringt
Bei der Wiederherstellungsplanung werden Integrationen oft als bloße Rohrleitungen betrachtet, die entweder funktionieren oder nicht. In der Praxis enthalten sie jedoch die Anweisungen, die einen Betrieb am Laufen halten und einen Shop korrekt arbeiten lassen – und sie fallen häufiger aus als die Systeme an den jeweiligen Endpunkten.
Eine Integrationsplattform macht diese Verbindungen planbar. Sie speichert Daten, die sich gerade in der Übertragung befanden, setzt dort fort, wo sie unterbrochen wurde, und zeigt den Status jedes Datenflusses in einer einzigen Ansicht an. Ein Wiederherstellungsziel kann so verbindlich festgelegt werden, anstatt nur darauf zu hoffen.
Das Unternehmen profitiert von kürzeren Ausfallzeiten, einer Abstimmung, die nur Minuten statt Tage dauert, und einer fundierten Antwort, wenn ein Wirtschaftsprüfer fragt, was mit den während der Unterbrechung aufgegebenen Bestellungen geschehen ist.
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
.svg)
