SPOF: Satu Komponen Gagal, Bisnis Ikut Berhenti

SPOF, singkatan dari single point of failure, adalah satu komponen yang kegagalannya menghentikan proses penting tanpa jalur pengganti. Contohnya router kantor, basis data, vendor pembayaran, atau satu orang pemegang akses. Telusuri proses pemesanan sampai selesai, lalu catat ketergantungannya. Dahulukan cadangan yang sesuai dampak gangguannya; tidak semua bisnis membutuhkan infrastruktur mahal.

Pada banyak gangguan besar yang saya periksa, satu komponen tanpa cadangan menghentikan komponen lain yang bergantung padanya. Komponen tersebut dapat kecil dan jarang diperhatikan. Mulailah dengan memetakan ketergantungan proses, sebelum menentukan anggaran cadangannya.

Apa yang membuat satu komponen menjadi SPOF?

Single point of failure (SPOF) adalah "bagian sistem yang, jika gagal, akan menghentikan seluruh sistem" — dengan implikasi tidak ada cadangan redundan di baliknya. Definisi Wikipedia ini kebetulan persis definisi yang dipakai para tenaga teknik. Perhatikan apa yang tidak disebutkan: seberapa mungkin komponen itu gagal.

Peluang kegagalan yang kecil tidak menghilangkan SPOF. Tingkat kegagalan tahunan 0,01% tetap perlu diperhitungkan jika tidak tersedia jalur pengganti.

Praktisi teknik menyebut tiga bentuk yang berulang. Bottleneck memperlambat, bukan menghentikan total — satu penyedia pembayaran, atau satu orang yang meninjau setiap penerapan. Kegagalan berantai adalah saat kegagalan satu komponen menyeret komponen dependen berikutnya, sampai satu fault menjadi gangguan penuh. Achilles' heel adalah SPOF yang tak pernah dicurigai, tak terlihat sampai ia jadi satu-satunya hal yang menentukan.

Bagian mana yang perlu diperiksa pemilik UKM?

Periksa enam kelompok ketergantungan berikut, termasuk yang berada di luar server.

Satu server atau basis data tanpa jalur cadangan otomatis (failover). Backup malam hari yang tidak pernah dipulihkan siapa pun, tanpa replika yang siap pakai. Salinan basis data yang belum pernah dipulihkan belum membuktikan kemampuan pemulihan — lihat verifikasi pencadangan Postgres benar-benar bekerja.

Satu jalur jaringan atau router. Satu jalur ISP, satu router yang melayani kantor. Begitu kru konstruksi tak sengaja memutus kabel fiber beberapa blok dari kantor, seluruh operasi ikut luring — sebagus apa pun server di baliknya.

Satu vendor atau ketergantungan SaaS. Payment processing, email transaksional, CRM tempat seluruh proses penjualan berjalan. Outage vendor atau perubahan API tanpa jalur cadangan di sisi sendiri mengubah insiden mereka jadi insiden internal.

Satu orang yang tahu segalanya. Masalah bus factor, jumlah orang yang hilangnya membuat pekerjaan berhenti: satu tenaga teknik memegang kredensial deploy atau satu-satunya pemahaman lengkap tentang arsitektur. Bus factor satu adalah SPOF kritis menurut definisinya; tiga sampai empat orang dianggap sehat.

Satu penyetuju proses. Satu orang yang menandatangani surat pesanan atau pengembalian dana, tanpa delegasi. Saat ia sedang bepergian, seluruh alur kerja antre di belakangnya — ketergantungan pada satu penyetuju dapat menghentikan pekerjaan seperti basis data tanpa replika.

Satu sumber daya listrik. Satu jalur listrik utilitas, UPS yang tidak pernah diuji beban, generator yang tidak pernah dinyalakan sesuai jadwal. Listrik berada di bawah semua SPOF lain di daftar ini: replika tidak menolong kalau semuanya kehilangan daya bersamaan.

Empat gangguan, satu pola

April 2011, peningkatan kapasitas rutin di region US-East AWS salah mengarahkan trafik ke jaringan EBS redundan berkapasitas lebih rendah, bukan router yang dituju. Kesalahan itu memicu cascade menjadi gangguan multi-hari — post-mortem AWS sendiri menelusuri persis bagaimana caranya.

Oktober 2021, server DNS Meta dikonfigurasi untuk menarik kembali pengumuman rute-nya sendiri setiap kali tidak bisa menjangkau data center Meta. Sebuah perintah maintenance memutus konektivitas backbone, dan DNS menarik dirinya sendiri luring juga, membawa Facebook, Instagram, dan WhatsApp turun sekitar enam jam. Mekanisme keamanannya sendiri adalah ketergantungan yang self-referential — satu-satunya cara ia memberi sinyal "tidak sehat" adalah dengan ikut padam.

Juli 2024, CrowdStrike merilis channel file yang strukturnya tidak cocok dengan yang diharapkan kode sensornya. Kesalahan itu memicu out-of-bounds read yang membuat sekitar 8,5 juta mesin Windows di seluruh dunia crash, menurut estimasi Microsoft sendiri. Laporan root-cause CrowdStrike menunjukkan satu file, dirilis ke semua pelanggan sekaligus, menjadi SPOF untuk satu kategori perangkat lunak secara keseluruhan.

Dan Mei 2017, British Airways kehilangan sistem check-in dan ground selama tiga hari setelah seorang tenaga teknik listrik memutus uninterruptible power supply (UPS) di data center. Seperti banyak diberitakan, ribuan penumpang terdampak, dan chairman saat itu, Willie Walsh, menunjuk tindakan pemutusan itu sebagai penyebabnya.

Keempat kasus melibatkan pemicu berbeda: jaringan, DNS, pembaruan perangkat lunak, dan listrik. Cadangan pada sebagian komponen belum melindungi keseluruhan proses ketika masih ada ketergantungan bersama yang belum diperiksa.

Bagaimana memetakan ketergantungan bisnis?

Pilih dua atau tiga alur yang penting bagi kelangsungan bisnis, seperti penerimaan pesanan, pembayaran, dan konfirmasi pengiriman. Lalu telusuri setiap ketergantungan yang disentuh masing-masing: layanan, basis data, antrean, DNS, jalur jaringan, API pihak ketiga. Apa pun yang muncul sekali, tanpa apa pun di baliknya, adalah kandidat SPOF, termasuk ketergantungan operasional. Satu alur penerapan otomatis atau satu orang yang bisa menjalankannya adalah SPOF dalam pengertian yang sama seperti basis data tanpa replika.

Penelusuran ketergantungan biasanya dapat menemukan lima hingga sepuluh kandidat SPOF dalam satu sore, termasuk yang belum pernah didokumentasikan.

Cadangan apa yang sepadan dengan risikonya?

Tidak semua SPOF butuh solusi yang sama, kira-kira berurutan dari biayanya:

• Gratis atau nyaris gratis: penyetuju cadangan yang terdokumentasi, panduan penanganan tertulis, satu orang lagi dengan akses terbatas ke kredensial produksi.
• Biaya relatif rendah, sebagian berulang: jalur ISP kedua atau router failover LTE, uji beban bulanan untuk UPS dan generator, halaman status di penyedia berbeda.
• Biaya nyata: replika basis data siap pakai dengan pengujian pemulihan, penyedia pembayaran cadangan yang benar-benar diuji, jalur redundan dari dua penyedia jaringan hulu.
• High availability penuh: infrastruktur multi-region active-active, failover otomatis, on-call 24/7 — mahal dan berat secara operasional, tepat untuk sebagian bisnis, salah untuk kebanyakan.

Kapan tambahan cadangan terlalu mahal?

Praktik rekayasa keandalan situs Google sendiri berargumen bahwa keandalan 100% "probably never the right reliability target." Biayanya tidak berskala linear terhadap keandalan: "an incremental improvement in reliability may cost 100x more than the previous increment." Sesuaikan perlindungan dengan biaya nyata ketika proses berhenti selama satu jam.

Untuk perusahaan yang omzetnya bergantung pada tiap transaksi, angka itu gampang menembus ratusan ribu dolar per jam. Itu asuransi murah untuk jalur cadangan pemroses dan replika yang teruji.

Untuk bisnis sepuluh orang, satu jam yang sama mungkin hanya berbiaya beberapa ratus dolar kehilangan penjualan. Uang untuk membangun multi-region lebih baik dibelanjakan ke produknya sendiri. Gunakan dampak gangguan pada bisnis Anda sebagai dasar anggaran perlindungan.

Audit mandiri untuk minggu ini

1. Pilih dua atau tiga alur yang bisnis tidak bisa bertahan kehilangannya.
2. Telusuri setiap ketergantungan; tandai apa pun yang muncul sekali tanpa cadangan.
3. Catat berapa biaya per jam tiap SPOF kalau ia gagal hari ini.
4. Perbaiki yang gratis minggu ini: penyetuju cadangan, panduan penanganan, kredensial kedua.
5. Hitung harga yang mahal terhadap biaya per jam itu sebelum berkomitmen.

Banyak langkah awal hanya memerlukan waktu satu sore. Pemetaan membantu Anda menemukan perlindungan sederhana yang berguna sebelum berinvestasi pada cadangan lintas wilayah. Kalau perlu sudut pandang kedua soal bagian mana dari peta yang masih berlubang, hubungi saya.