O preço da perfeição: o que os cinco noves custam às pessoas por trás deles

Já vi engenheiros chorarem em salas de servidores. Não por causa do calor, embora também houvesse calor, mas pelo peso de saber que trinta mil pessoas não conseguiam processar pagamentos por causa de uma decisão tomada anos antes, que não havia sido documentada em lugar nenhum e que só eles haviam conseguido reconstituir às duas da manhã.

Esta é a economia não declarada dos cinco noves: uma disponibilidade de 99,999% permite apenas 5,26 minutos de indisponibilidade por ano. Tratamos isso como uma especificação técnica. Mais precisamente, é um contrato psicológico escrito com sangue e privação de sono.

A matemática nos seduz. Cinco noves evocam pureza, como se tivéssemos dominado a própria entropia. O que raramente calculamos é o esforço humano necessário para sustentá-los. Cada minuto dessa indisponibilidade permitida se torna uma margem a ser defendida, um limite cujo rompimento aciona cadeias de escalonamento, salas de crise, análises pós-incidente com a presença de executivos. O sistema nunca pode falhar de maneira controlada porque a falha foi excluída por definição.

Passei anos nesse mundo. Conheço a sensação física: o pico de cortisol quando o celular vibra de um jeito específico, o olhar involuntário para os painéis de monitoramento antes mesmo de despertar por completo, o cálculo de se você tem reserva cognitiva suficiente para dirigir até em casa com segurança depois de um incidente de quatorze horas. Nós normalizamos isso. Chamamos isso de “senso de responsabilidade”. Demos nomes heroicos a isso, “apagar incêndios”, “salas de guerra”, “todos a postos”, que encobriam o que realmente era: uma falha estrutural sustentada por meio do sacrifício humano.

As indisponibilidades de 2024 e 2025 mudaram alguma coisa. Quando uma atualização da CrowdStrike paralisou milhões de máquinas com Windows, quando grandes provedores de nuvem sofreram falhas em cascata, a infraestrutura se tornou brevemente visível para pessoas que nunca haviam pensado em onde seus aplicativos estavam hospedados. A cobertura se concentrou nas causas técnicas: atualizações defeituosas, erros de configuração, testes insuficientes. O que ficou sem exame foi a condição das pessoas que vinham mantendo esses sistemas de pé à custa de conhecimento especializado e exaustão.

Quero examinar essa condição diretamente.

A engenharia de confiabilidade desenvolveu capacidades técnicas extraordinárias. Podemos fazer implantações sem interrupção do serviço, replicar dados entre continentes, recuperar automaticamente instâncias que falharam. Mas nossas práticas organizacionais continuam primitivas. Montamos escalas de plantão como se o estado de alerta humano seguisse ciclos previsíveis. Medimos o “tempo médio de recuperação” sem acompanhar o “tempo médio de recuperação da recuperação”, os dias de capacidade reduzida, as relações desgastadas, as consequências para a saúde deixadas para depois.

A cultura de estar sempre disponível produz uma deformação particular. Engenheiros aprendem a desconfiar do descanso. As férias se tornam fonte de ansiedade; depender de alguém para cobrir seu trabalho parece um fracasso pessoal. Já vi pessoas talentosas abandonarem a área por completo, não por falta de capacidade, mas porque não conseguiam mais tolerar as consequências fisiológicas da hipervigilância prolongada. Isso não é um problema de formação de talentos. É uma crise de saúde ocupacional que escolhemos não nomear.

O que significaria projetar para a confiabilidade humana com a mesma seriedade com que projetamos para a confiabilidade dos sistemas?

Começaríamos com uma contabilidade honesta. Cinco noves alcançados por meio de esforços individuais heroicos não são a mesma coisa que cinco noves alcançados por meio de uma arquitetura resiliente. O primeiro é uma dívida; o segundo é um ativo. Distinguiríamos entre “o sistema falhou” e “o sistema falhou de maneiras que escolhemos não tornar recuperáveis sem intervenção humana em horários incompatíveis com a vida social”. Mediríamos a carga operacional não pela quantidade de chamados encerrados, mas pela demanda cognitiva sustentável distribuída entre os integrantes de uma equipe.

De maneira mais radical, questionaríamos se cinco noves são sempre adequados. Nem todo sistema atende a marca-passos. O custo da perfeição deve ser comparado ao custo da imperfeição, e esse cálculo deve incluir o custo humano total, não apenas salários e rotatividade, mas também o desgaste da capacidade, da criatividade e do cuidado que acompanha o estresse crônico.

Não estou defendendo a negligência. Estou defendendo a proporcionalidade. Os melhores engenheiros de confiabilidade que conheço não são os que respondem mais rápido aos chamados do pager. São os que projetam sistemas que raramente precisam que eles respondam. Isso exige paciência das organizações: investimento em automação, em documentação, em decisões arquiteturais que priorizem a recuperação em vez da prevenção. Exige aceitar que algumas indisponibilidades são aceitáveis, que a degradação controlada costuma ser preferível à manutenção heroica.

As indisponibilidades de 2024 e 2025 não foram apenas falhas técnicas. Foram falhas de imaginação, nossa incapacidade coletiva de imaginar que os sistemas poderiam ser operados de outra forma, que as pessoas que trabalham neles mereciam proteção contra a perfeição que exigíamos delas.

Construímos infraestrutura para atender às necessidades humanas. Quando a infraestrutura consome os seres humanos que a mantêm, invertemos nosso propósito. A próxima fronteira da engenharia de confiabilidade não é mais um nove. É o reconhecimento de que sistemas sustentáveis exigem pessoas capazes de operá-los de maneira sustentável e de que essa sustentabilidade é, por si só, um problema de engenharia digno da nossa melhor atenção.

Às vezes ainda acordo às três da manhã e procuro um celular que já não tem o aplicativo de pager instalado. O corpo se lembra. A questão é se vamos deixar que isso continue acontecendo com as pessoas que vierem depois de nós.