Alarmierung und Rufbereitschaft

Kanäle

Push (native iOS-App und Apple Watch) und E-Mail gibt es in jedem Tarif. Persönliche SMS-Alarme sind ab Pulse enthalten, je Person Opt-in, gehen an eine verifizierte Nummer und brauchen keinen Bereitschaftsplan. Bereitschaftspläne sind ab Sentinel enthalten, und ihre Eskalation reicht von Push über SMS bis zum Anruf, ebenfalls an verifizierte Nummern. Die vollständige Kanaltabelle steht unter Alarmierung und Integrationen.

Erfolgreich zugestellte persönliche und Rufbereitschafts-SMS sowie Telefonanrufe teilen sich die monatlichen und rollierenden 24-Stunden-Kontingente.

Die Live-Anzeige

Ein offener Incident legt eine mitlaufende Anzeige auf das Telefon, das er geweckt hat: auf den Sperrbildschirm, in die Dynamic Island, auf eine Apple Watch im Smart Stack und ins CarPlay-Dashboard. Legen Sie das Telefon quer ans Ladekabel, füllt sie den Bildschirm und ist quer durch den Raum lesbar.

Sie folgt der Lage, nicht dem Moment ihres Erscheinens: wie viele Incidents offen sind, wie schwer der schlimmste davon wiegt, welcher Dienst betroffen ist und wie lange das schon läuft. Sobald jemand einen Fall übernimmt, bietet die Anzeige auf allen anderen Telefonen das Übernehmen nicht mehr an.

Bei genau einem offenen Incident trägt sie Übernehmen, und der Fall wird direkt vom Sperrbildschirm aus übernommen, ohne zu entsperren. Bei mehreren offenen wählen Sie den Fall in der App, damit die Quittung immer den Incident trifft, den Sie meinen. Auf der Uhr und in CarPlay hält Sie die Anzeige auf dem Laufenden, und Sie quittieren in der App oder per Sprache.

Apple beendet eine solche Anzeige einige Stunden nach ihrem Beginn. Die Eskalation läuft davon unabhängig: Die Anzeige ist die stille Sicht neben dem Alarm.

Quittieren per Sprache

Wer nachts geweckt wird, hat die Kopfhörer im Ohr und das Telefon irgendwo im Raum. Das Quittieren ist die eine Handlung, die in dieser Minute zählt, denn sie stoppt die Kette, bevor sie den nächsten Kollegen weckt. Per Sprache gelingt sie, ohne dass jemand erst ein Gerät findet und entsperrt.

Sagen Sie “Quittiere den Incident in Perstat” oder “Incident übernehmen in Perstat”. Ist genau ein Fall offen, wird er ohne Rückfrage quittiert. Sind mehrere offen, fragt Siri nach und nennt die Dienstnamen zur Auswahl, damit der richtige Fall seine zuständige Person bekommt. Ist nichts offen, sagt Siri auch das.

Das Ergebnis wird angesagt, der Fehlschlag ebenso. Wer nachts “quittieren” sagt, “quittiert” hört und sich umdreht, verlässt sich auf dieses Wort.

Das Quittieren per Sprache funktioniert am gesperrten Telefon und zählt damit genau in der Minute, in der es darauf ankommt. Wer physischen Zugriff auf ein Bereitschaftstelefon hat, kann damit eine laufende Eskalation stoppen. Schließt Ihre Richtlinie das aus, schalten Sie Siri am gesperrten Gerät ab, unter Einstellungen, dann Face ID & Code, dann Siri bei gesperrtem Gerät.

Fest eingebaut sind die Phrasen auf Deutsch und Englisch. In der Kurzbefehle-App geben Sie der Aktion eine eigene Formulierung, in jeder Sprache, die Ihr Siri spricht.

Die Eskalationskette

Ein Incident erreicht die Rufbereitschaft zuerst per Push. Bleibt die Quittung aus, geht es weiter per SMS und dann per Anruf, mit den Zeiten je Stufe aus dem Bereitschaftsplan. Nach 2 Anrufen je Incident ist Schluss: Eine Eskalation soll einen Menschen wecken, keinen Akku leeren.

Die Kette selbst legen Sie fest, unter Bereitschaft im Abschnitt Eskalationskette. Jede Stufe hat einen Zeitpunkt (sofort oder nach X Minuten), ihre Empfänger und ihre Kanäle. Stufen fügen Sie hinzu und entfernen sie nach Bedarf. Ohne Änderung behalten Sie die zweistufige Kette, die sich aus den Zeiten des Bereitschaftsplans ergibt.

Eine Stufe erreicht mehrere Empfänger gleichzeitig. “Nach 15 Minuten die Inhaber und den Teamleiter und den Slack-Kanal” ist eine Stufe mit drei Zielen, nicht drei Stufen. Ein Ziel ist die diensthabende Person, eine bestimmte Person, eine Rolle, Inhaber und Admins, oder ein Endpunkt: jeder Connector, den Sie unter Integrationen eingerichtet haben (Slack, Microsoft Teams, Discord, Google Chat, PagerDuty, Opsgenie oder ein eigener signierter Webhook).

Kanäle lassen sich je Empfänger setzen. Eine Stufe nennt die Kanäle, auf denen ihre Personen erreicht werden, und das ist die Einstellung, die die meisten Ketten je brauchen. Soll ein Empfänger anders erreicht werden, trägt die Karte der Stufe neben ihm einen kleinen Schalter wie Stufe: Umgestellt, wird genau dieser Empfänger auf Ihrem Weg alarmiert, während alle anderen derselben Sprosse bei der Einstellung der Stufe bleiben. “Zur Minute 15 die diensthabende Person anrufen und der zweiten Reihe einen Push schicken” ist damit eine Stufe und nicht drei zu drei künstlich verschiedenen Minuten. Ein Endpunkt hat genau einen Weg hinein und ignoriert Kanäle vollständig, die der Stufe wie die eigenen.

Das Raster über den Stufen zeigt die Kanäle, die wirklich hinausgehen, und nicht die Voreinstellung der Stufe: Überschreiben alle Empfänger einer Sprosse sie, zeigt die Sprosse, was diese Empfänger bekommen.

Weil eine Stufe schon mehrere Empfänger trägt, hat jede Stufe ihre eigene Minute. Perstat speichert keine zwei Stufen zur selben Minute, denn nur eine von beiden würde hinausgehen.

Über den Stufen wird die Kette als Raster gezeichnet: oben der Auslöser, darunter die Stufen in der Reihenfolge der Zeit, und neben jeder Stufe ihr Fächer aus Empfängern. Es zeigt auf einen Blick, was eine Liste nicht zeigen kann, nämlich wie viele Menschen eine Stufe gleichzeitig weckt. Geändert wird in den Karten darunter, das Raster dient als Landkarte.

Ein Endpunkt, der stillgelegt ist oder bei der letzten Zustellung fehlschlug, wird direkt an der Stufe markiert, mit dem Grund. So zeigt jede Sprosse, ob sie ihr Ziel erreicht.

Ein Endpunkt, den eine Stufe alarmiert hat, bekommt auch die Entwarnung, selbst wenn er dieses Ereignis unter Integrationen nicht abonniert hat. Das zählt vor allem bei PagerDuty und Opsgenie: Wer einen Endpunkt in eine Stufe setzt, öffnet dort einen Alarm, und ein Alarm, der nie geschlossen wird, klingelt nach dem Ende des Incidents weiter. Was die Kette öffnet, schließt die Kette auch.

Zwei Regeln greifen in jeder Kette: Ein Incident, der lange offen liegt, landet auf der spätesten fälligen Stufe, statt die Kette von vorn abzulaufen, und hat niemand Dienst, greift sofort das Ende der Kette. Eine Eskalation wartet nie auf einen Timer, der niemanden erreicht.

Verifizierung der Telefonnummer

Jede Nummer wird verifiziert, bevor über sie alarmiert werden kann: ein 6-stelliger Einmalcode, 10 Minuten gültig, 60 Sekunden Sperre bis zum erneuten Senden, höchstens 5 Versuche. Alarme gehen ausschließlich an verifizierte Nummern.

Was eine Quittung bewirkt

Wer einen Incident quittiert, übernimmt ihn: Die Eskalation stoppt, alle anderen Geräte werden still, und Erinnerungen gehen an die Person, die übernommen hat, statt an das ganze Team. Die Quittung selbst steht mit Zeitstempel auf der Zeitleiste des Incidents, wie jedes andere Ereignis auch.

Stummschalten

Stummschalten ist die kleinere, persönliche Geste. Es stellt einen Incident für 15 Minuten und nur für Sie still. Alle anderen hören ihn weiter, die Eskalation läuft weiter, die Zuständigkeit bleibt offen, und die Zeitleiste verzeichnet keine Entscheidung.

Schalten Sie stumm, wenn Sie längst Bescheid wissen und auf dem Weg zum Rechner sind, und quittieren Sie, wenn Sie die Person sind, die sich kümmert. Stummschalten, wo Quittieren hingehört, lässt das Team im Glauben, der Incident sei ohne zuständige Person. Quittieren, wo Stummschalten reicht, stoppt die Eskalation für alle.

Weil Stummschalten die Person betrifft, die es auslöst, braucht es keine besondere Rolle: Wer von einem Alarm geweckt werden kann, darf sein eigenes Telefon ruhigstellen.

Abhängige Alarme

Wenn ein Ausfall zehn nach sich zieht, wollen Sie einen Alarm und nicht zehn. Ein Monitor kann die Monitore benennen, von denen er abhängt, und solange einer dieser Ursprünge belegt unten ist, hält dieser Monitor seine Alarmkette zurück, statt zum Lärm beizutragen.

Eingestellt wird das an dem Monitor, für den geweckt würde, nicht am Ursprung. Die Regel besteht aus 1 bis 20 Ursprungs-Monitoren und einer Frist zwischen einer Minute und 24 Stunden.

Die Regel hält die Alarmkette zurück, und alles andere läuft weiter:

Gehalten	Die Alarmkette: Push, SMS, Anruf, die Eskalationsstufen
Läuft wie gewohnt	Der Incident selbst, seine Startzeit, die Ausfallzeit, die SLA-Aufzeichnung, die Statusseite und deren Abonnenten

Der Incident entsteht genau so, wie er es sonst täte. Ihre öffentliche Seite und ihre Abonnenten bleiben stimmig, weil die Benachrichtigung nach außen weiterläuft. Nur das Wecken im eigenen Team wartet.

Drei Eigenschaften sorgen dafür, dass jeder gehaltene Alarm nachvollziehbar bleibt:

• Im Zweifel laut. Gehalten wird nur, wenn der Ausfall eines Ursprungs positiv belegt ist. Keine Regel, ein nicht erreichbarer Ursprung, eine gescheiterte Abfrage oder ein Ursprung, der läuft oder bloß unbekannt ist, bedeuten alle laut.
• Eine Frist, die immer existiert, gerechnet ab Beginn des Incidents und nicht ab jetzt. Ist sie abgelaufen, wird laut alarmiert, egal was der Ursprung gerade tut. Die Rechnung ab dem Beginn hindert einen flatternden Ursprung daran, die Stille beliebig zu verlängern.
• Sichtbar, solange gehalten wird. Ein gehaltener Alarm steht in der Glocke, mit Halter und Frist, und bleibt so immer von einem verlorenen unterscheidbar.

Ein Monitor, der sich selbst als Ursprung benennt, alarmiert ganz normal, ein Dienst kann also nie seinen eigenen Alarm unterdrücken.

Bereitschaftspläne

Rotationen mit Eskalationsstufen, dazu eine Warnung, sobald eine Lücke im Plan entsteht und niemand Dienst hat. Rufbereitschaft ist wie die Incident-Führung ab Sentinel enthalten. Welcher Tarif was freischaltet, steht unter Tarife und Limits.

Alarme folgen einer ausdrücklichen Regel

Eine konfigurierte Richtlinie entscheidet, ob Sie geweckt werden, und jeder Alarm lässt sich auf eine Regel zurückführen, die Sie lesen können. Bei den 11 regionalen Checktypen bestätigt die Richtlinie den Ausfall über Regionen hinweg, standardmäßig über 2. Agent- und Heartbeat-Monitore folgen ihren eigenen Eingangsregeln. Die Quorum-Regel erklärt den regionalen Mechanismus.

Nächste Schritte

• Incidents und Post-mortems: was geschieht, sobald jemand den Incident übernommen hat.
• Signierter Webhook: Ihr eigenes Incident-Werkzeug an die Kette anschließen.