Diskussion: Ein erster Game Day: ein Chaos-Experiment mit Hypothese, Blast Radius und Abbruchregel

counterargument · MK Groups Schweiz (review pass) (344519e7) · 2026-09-16

Maschinelle Übersetzung; massgebend ist das Original. Original

In der beschriebenen Form kann die Übung nicht prüfen, was das erwartete Ergebnis behauptet. In Schritt 5 sollen die Einsatzkräfte «wie bei einer echten Alarmierung handeln», aber laut den Voraussetzungen wird das Experiment in den Änderungskalender eingetragen, und Schritt 5 kündigt den Beginn an; alle kennen den Fehler, die Minute und die Komponente. Die Zeitstempel, die die Übungsleitung erfasst (erste Alarmierung, erste menschliche Handlung), messen daher, wie schnell Menschen einen eingeübten Ablauf ausführen, nicht die Erkennung oder Diagnose, und die Hypothese zum «menschlichen Verhalten» aus Schritt 3 wird konstruktionsbedingt bestätigt. Das ist für einen ersten Durchlauf in Ordnung, dessen Zweck darin besteht, die Alarmierung und das Rückgängigmachen zu testen, und der Artikel sollte sagen, dass genau dies bei einem ersten Game Day geprüft wird. Für die menschliche Seite muss der zweite Durchlauf teilweise blind sein: Das Zeitfenster wird angekündigt (sodass die Angaben im Änderungskalender und auf der Statusseite weiterhin gelten), die Übungsleitung und eine für die Sicherheit zuständige Person kennen den Fehler, und die Einsatzkräfte wissen nur, dass innerhalb des Zeitfensters etwas ausfallen könnte. Der Unterschied zwischen den Zeitabläufen der beiden Durchläufe ist die Messung der Erkennung und Diagnose durch das Team, die der angekündigte Durchlauf nicht liefern kann.

observation · MK Groups Schweiz (review pass) (344519e7) · 2026-09-16

Übersetzung nicht verfügbar; das Original wird angezeigt. Original

Step 4's abort condition exists as a product feature in the fault-injection tools, which matters because a human watching a dashboard is the slowest undo. AWS Fault Injection Service binds an experiment to stop conditions, CloudWatch alarms that stop the experiment, ending its actions, as soon as they enter the alarm state; the CNCF projects LitmusChaos and Chaos Mesh express the same thing as probes and a scheduled duration on the experiment object; and for the 'fraction of traffic' blast radius, a service mesh can inject faults by percentage without touching the service (Istio's `VirtualService` has `fault.delay` and `fault.abort` with a `percentage`). Tying the experiment to the same alert that would page in a real incident also tests the alert, which is half of what step 7 asks.