Blog/Artigos · Operações
O contrato com o cliente, a diferença entre SLA, SLO e SLI, a matemática dos noves e a margem que salva, com base no ITIL.
A Torá trata o voto com uma seriedade rara: quem faz um neder não profana a sua palavra, cumpre tudo o que saiu da boca. Um SLA, Service Level Agreement, é um voto no sentido literal: uma promessa formal, escrita em contrato, com consequência financeira se quebrada. E como todo voto, a regra de ouro é não prometer o que você não pode garantir. O SLA é o compromisso que sai para o cliente; e há uma disciplina inteira em nunca deixá-lo mais rígido do que a meta que você defende por dentro.
Os três termos vivem juntos e são constantemente confundidos, mas o papel de cada um é claro. O SLI é a medida, o prumo: a métrica honesta do lado do usuário. O SLO é a meta interna, a linha: o alvo que a engenharia se compromete a manter. O SLA é o contrato externo, o voto: a promessa ao cliente, com penalidade se descumprida. Um mede, o outro mira, o terceiro promete e paga.
A regra que amarra os três é a hierarquia de rigor: o SLO deve ser sempre mais rígido que o SLA. Se você promete 99,9% ao cliente (SLA), sua meta interna deve ser mais alta, 99,95% (SLO), para que quando o SLO começar a falhar você ainda tenha margem antes de quebrar o contrato e pagar. O SLO é o alarme que dispara antes do prejuízo; o SLA é o prejuízo. Prometer no contrato o mesmo número que você mal alcança por dentro é assinar para pagar multa.
Todo SLA de disponibilidade se expressa em noves, e a conta é implacável. 99,9% parece quase perfeito, mas significa quase nove horas de indisponibilidade por ano, ou 43 minutos por mês. 99,99% cai para 52 minutos por ano. 99,999%, os cinco noves que soam impressionantes, permite apenas cinco minutos por ano, o que exige arquitetura redundante cara e automação de recuperação que dispensa humano, porque nenhuma pessoa reage em cinco minutos.
O erro fatal em negociação de SLA é prometer noves sem fazer a conta do que eles exigem. Um vendedor promete cinco noves para fechar contrato, e a engenharia herda um voto impossível de cumprir. A disciplina é traduzir cada nove em minutos concretos, em custo de arquitetura e em maturidade de automação, antes de assinar. O SLA honesto é o que a operação consegue cumprir em um ano ruim, não em um mês bom de sorte.
| Disponibilidade | Por ano | Por mês | O que exige |
|---|---|---|---|
| 99% (dois noves) | 3,65 dias | 7,2 horas | operação básica |
| 99,9% (três noves) | 8,76 horas | 43 min | redundância e plantão |
| 99,99% (quatro noves) | 52 min | 4,3 min | failover automático |
| 99,999% (cinco noves) | 5,26 min | 26 seg | recuperação sem humano no caminho |
Um SLA sério define três coisas além do número: o que conta como indisponibilidade, como ela é medida e o que acontece quando é quebrada. A penalidade costuma ser crédito na fatura em faixas, quanto maior a quebra, maior o crédito, e as exclusões, como manutenção programada e falha de terceiros, precisam estar escritas. A janela de medição importa: 99,9% medido no mês é bem mais folgado que medido no dia, e é nas letras miúdas que o SLA se ganha ou se perde.
O ITIL organiza isso no Service Level Management, distinguindo o SLA, com o cliente, dos OLAs, acordos internos entre times, e dos contratos de apoio com fornecedores. A lógica é encadeada: você só pode prometer ao cliente o que os seus times e fornecedores garantem para você. Um SLA de 99,9% para o cliente apoiado num fornecedor de banco de dados que só oferece 99,5% é uma promessa que você não controla, e a matemática dos elos em série não perdoa: a disponibilidade da cadeia é sempre menor que a do elo mais fraco.
O SLA maduro nasce de uma cultura, não de um número na proposta. É a cultura de tratar a palavra como voto: conservadora na promessa, generosa na entrega. Prometa o que você cumpre num ano ruim e entregue melhor na maioria dos anos, e você constrói confiança; prometa o teto do que alcança num mês bom, e você constrói multa e desgaste. A margem entre o SLA e o SLO é o espaço dessa prudência.
Isso conecta o SLA a tudo que vem antes: o SLI mede, o SLO mira mais alto que o contrato, o error budget administra o risco, e o SLA é a ponta externa protegida por todas essas camadas. Quem opera bem raramente pensa no SLA no dia a dia, porque o SLO já o mantém longe da linha de multa. O SLA vira notícia só quando o resto falhou, e o objetivo de toda a disciplina de confiabilidade é justamente que o voto nunca chegue perto de ser quebrado.
O SLA é o voto externo: a promessa em contrato, com penalidade, que não se quebra sem pagar. A disciplina é prometer menos do que a meta interna: o SLO mais rígido protege o SLA, o SLI mede os dois, e a cadeia de OLAs e contratos de apoio define o teto do que dá para prometer. A matemática dos noves não perdoa, e o ITIL organiza os acordos. A IA calcula o teto real, estressa o voto e vigia a margem, mas tratar a palavra dada como compromisso que se cumpre continua sendo cultura de quem opera.
Gerente de Operações, Tecnologia e Infraestrutura (SRE) numa central de registros. Trabalho com tecnologia desde 2009 e com cibersegurança em tempo integral desde 2015, em infraestrutura crítica, fintech e banking. Escrevo sobre o que eu opero: confiabilidade, segurança, governança e IA que passa por gate antes de chegar em produção.
Operaçõesקָו
Buscar 100% de disponibilidade é caro e inútil. O SLO define quanto de confiabilidade basta, e o error budget transforma isso em decisão: quando inovar e quando frear.
Operaçõesמִשְׁקָלֶת
Não se governa o que não se mede, e quase todo mundo mede a coisa errada. O SLI é a métrica que reflete a experiência real do usuário, com os quatro sinais de ouro, RED e USE.
