Resilienz

Wie Resilienz funktioniert

Technische Systeme können während ihres Betriebs veränderten Bedingungen ausgesetzt sein.
Hardware kann ausfallen, Netzwerkverbindungen können unterbrochen werden, externe Dienste verändern sich und Anforderungen entwickeln sich weiter.
Ein resilientes System berücksichtigt deshalb nicht nur den erwarteten Normalbetrieb.
Es muss auch mit Situationen umgehen können, in denen Teile des Systems nicht mehr so funktionieren oder sich nicht mehr so verhalten wie ursprünglich erwartet.

Dazu können beispielsweise gehören:

• Störungen erkennen
• Auswirkungen begrenzen
• wesentliche Funktionen erhalten
• auf alternative Komponenten oder Verfahren ausweichen
• einen eingeschränkten Betrieb ermöglichen
• ausgefallene Funktionen wiederherstellen
• veränderte Bedingungen erkennen
• den tatsächlichen Systemzustand beobachtbar machen
• auf neue Bedingungen reagieren

Nicht jedes resiliente System benötigt alle diese Fähigkeiten.
Welche davon relevant sind, hängt vom jeweiligen System und seinem vorgesehenen Einsatz ab.

Mehr als den Fehler überstehen

Fehlertoleranz beschäftigt sich damit, trotz bestimmter Fehler eine geforderte Funktion weiter zu erbringen.
Resilienz betrachtet einen größeren Zusammenhang.
Ein System kann beispielsweise einen Serverausfall durch eine redundante Komponente tolerieren.
Damit ist zunächst ein bestimmter Fehlerfall behandelt.
Wenn sich jedoch die Umgebung dauerhaft verändert, eine bisher zuverlässige externe Schnittstelle ein anderes Verhalten zeigt oder eine bislang unbekannte Abhängigkeit ausfällt, kann ein vorher definierter Mechanismus nicht mehr ausreichen.
Ein resilientes System benötigt deshalb nicht nur Antworten auf bekannte Fehlerfälle. Es benötigt auch Möglichkeiten, unerwartete Zustände sichtbar zu machen und darauf kontrolliert zu reagieren.

Erhalten, wiederherstellen und anpassen

Resilienz bedeutet nicht zwangsläufig, dass ein System während einer Störung vollständig unverändert weiterarbeitet.
Abhängig von der Situation kann ein System unterschiedliche Reaktionen benötigen.
Es kann versuchen, seine wesentliche Funktion unmittelbar zu erhalten.
Es kann mit eingeschränkter Funktion weiterarbeiten.
Es kann einen sicheren oder kontrollierten Zustand einnehmen.
Oder es kann seine Funktion zunächst verlieren und anschließend wiederherstellen.
Bei längerfristigen Veränderungen kann zusätzlich eine Anpassung notwendig werden.

Entscheidend ist deshalb nicht nur die Frage:

„Fällt das System aus?“

Sondern auch:

„Was kann das System während und nach einer Störung noch tun?“

Beobachtbarkeit gehört dazu

Auf unbekannte oder unerwartete Situationen kann gezielter reagiert werden, wenn relevante Auswirkungen oder Zustandsänderungen beobachtbar sind.
Deshalb ist die Beobachtbarkeit eines Systems für seine Resilienz wichtig.
Dabei reicht es nicht immer aus, lediglich festzustellen, ob einzelne Komponenten laufen.

Relevant können beispielsweise sein:

• tatsächliche Systemzustände
• Abweichungen von erwarteten Zuständen
• Fehler und Wiederholungen
• ungewöhnliche Datenflüsse
• veränderte Antwortzeiten
• ausgefallene Abhängigkeiten
• eingeschränkte Funktionen
• erfolgreiche oder fehlgeschlagene Wiederherstellungen

Beobachtbarkeit schafft noch keine Resilienz.
Sie liefert aber Informationen, auf deren Grundlage ein System oder die dafür verantwortlichen Menschen angemessen reagieren können.

Nicht jede Abweichung muss beseitigt werden

Eine beobachtete Abweichung vom erwarteten Zustand liefert zunächst eine Information über das System.
Sie kann auf einen Fehler hinweisen.
Sie kann aber auch durch veränderte Bedingungen entstehen oder einen Zustand darstellen, der für die wesentliche Funktion des Systems unproblematisch ist.
Deshalb muss die angemessene Reaktion nicht immer darin bestehen, den vorherigen Zustand sofort wiederherzustellen.

Eine Abweichung kann:

• toleriert werden
• beobachtet werden
• eine Warnung auslösen
• eine automatische Anpassung auslösen
• menschliche Bewertung erfordern
• eine Änderung der bisherigen Regeln notwendig machen

Ein System, das jede Abweichung automatisch unterdrückt, kann dadurch selbst unflexibel oder störanfällig werden.
Resilienz verlangt deshalb nicht nur Kontrolle, sondern auch eine Vorstellung davon, welche Abweichungen tatsächlich relevant sind.

Anpassung braucht Grenzen

Anpassungsfähigkeit bedeutet nicht, dass ein System beliebig sein Verhalten verändern sollte.
Auch ein anpassungsfähiges System benötigt Grenzen.
Sicherheitsanforderungen, Datenintegrität oder andere wesentliche Eigenschaften dürfen beispielsweise nicht allein deshalb aufgegeben werden, weil sich äußere Bedingungen verändert haben.

Deshalb muss unterschieden werden zwischen:

• unveränderlichen Anforderungen
• erwarteten Betriebsbereichen
• tolerierbaren Abweichungen
• Situationen, die menschliche Entscheidung benötigen
• Zuständen, in denen ein weiterer Betrieb nicht verantwortbar ist

Resilienz bedeutet damit nicht grenzenlose Flexibilität.
Sie verbindet Anpassungsfähigkeit mit kontrollierten Grenzen.

Warum Resilienz praktische Auswirkungen hat

• Störungen werden als Teil des Betriebs betrachtet: Nicht nur der ideale Normalzustand wird berücksichtigt.
• Wesentliche Funktionen können priorisiert werden: Ein eingeschränkter Betrieb kann sinnvoller sein als ein vollständiger Ausfall.
• Wiederherstellung wird mitgedacht: Entscheidend ist nicht nur der Ausfall, sondern auch der Weg zurück in einen geeigneten Zustand.
• Unbekannte Situationen werden sichtbar: Beobachtbarkeit ermöglicht Reaktionen auf nicht vollständig vorhergesehene Ereignisse.
• Veränderungen können berücksichtigt werden: Systeme müssen nicht dauerhaft von unveränderten Bedingungen ausgehen.
• Abweichungen können bewertet werden: Nicht jeder Unterschied zum erwarteten Zustand muss automatisch beseitigt werden.
• Menschen können Teil der Reaktion bleiben: Nicht jede Entscheidung muss oder sollte vollständig automatisiert werden.

Typisches Beispiel

Ein Unternehmen verwendet einen externen Dienst zur Verarbeitung bestimmter Daten.
Bei einem kurzfristigen Ausfall werden neue Vorgänge zunächst lokal zwischengespeichert. Sobald der Dienst wieder erreichbar ist, werden sie nachträglich übertragen.
Das System toleriert damit einen bekannten Fehlerfall.
Einige Monate später verändert der Anbieter jedoch das Verhalten seiner Schnittstelle. Anfragen werden weiterhin technisch erfolgreich beantwortet, enthalten aber in bestimmten Fällen andere Daten als bisher.
Ein einfacher Verfügbarkeitstest würde diese Veränderung nicht erkennen.
Ein resilientes Gesamtsystem sollte deshalb nicht nur die Erreichbarkeit der Schnittstelle betrachten. Es benötigt Möglichkeiten, relevantes Verhalten und Ergebnisse zu beobachten, Abweichungen sichtbar zu machen und eine angemessene Reaktion zu ermöglichen.
Diese Reaktion könnte darin bestehen, einzelne Ergebnisse zurückzuhalten, einen alternativen Verarbeitungsschritt zu verwenden oder eine menschliche Prüfung anzufordern.
Erst nach der Bewertung muss entschieden werden, ob das System selbst, seine Regeln oder die Integration mit dem externen Dienst verändert werden sollten.

Abgrenzung

• Resilienz und Fehlertoleranz überschneiden sich, sind aber nicht identisch. Fehlertoleranz beschreibt die Fähigkeit, trotz bestimmter Fehler eine geforderte Funktion weiter zu erbringen. Resilienz betrachtet darüber hinaus die Fähigkeit eines Systems, mit Störungen und Veränderungen umzugehen, wesentliche Funktionen zu erhalten oder wiederherzustellen und sich gegebenenfalls an veränderte Bedingungen anzupassen.
• Verfügbarkeit beschreibt wiederum, in welchem Umfang ein System zu einem bestimmten Zeitpunkt oder Zeitraum nutzbar ist. Hohe Verfügbarkeit kann ein Ziel resilienter Systeme sein, ist aber nicht mit Resilienz gleichzusetzen.
• Auch Robustheit wird häufig enger gefasst. Ein robustes System kann innerhalb bestimmter Grenzen gegenüber Störungen oder Veränderungen unempfindlich sein. Resilienz umfasst zusätzlich den Umgang mit Beeinträchtigungen und die Wiederherstellung oder Anpassung danach.

Weiterführend

Verwandte Begriffe

→ Fehlertoleranz
→ Systemanalyse
→ Systemarchitektur
→ Systemintegration
→ Verifikation und Validierung
→ Legacy-Modernisierung
→ Digitale Souveränität