Air yang mendidih selalu menemukan cara untuk mengumumkan dirinya: gelembung yang naik ke permukaan, uap yang mengepul dari mulut panci, desisan yang tidak bisa disalahartikan. Termometer di dapur hanyalah alat verifikasi — ia mencatat apa yang sudah nyata, bukan apa yang seharusnya diwaspadai. Industri reliability modern membalik urutan itu dengan sopan: jika termometer tidak membaca seratus derajat, air dianggap belum mendidih; jika tidak ada angka yang melewati ambang, kegagalan dianggap tidak terjadi — sampai seorang pelanggan mengeluh cukup keras untuk didengar manusia. Pekan ini, Tempo mengutip dokumen post-mortem sebuah bank digital Asia Tenggara yang memuat detail yang seharusnya mustahil: layanan payment-nya ambruk selama lima jam empat puluh tujuh menit pada 10 Agustus 2026, dan setiap dashboard yang berjaga menampilkan warna hijau dari menit pertama hingga menit terakhir.
Garis yang Digambar oleh Orang yang Lelah
Dokumen itu mencatat puncak kegagalan transaksi sebesar 4,2 persen — angka yang nyaris mustahil dianggap darurat, karena ambang peringatan sistem monitoring bank tersebut dipasang di lima persen. Lima persen bukan angka yang lahir dari analisis risiko; ia lahir dari notifikasi. Alarm error rate sebelumnya berbunyi terlalu sering, hampir selalu pada tengah malam, dan untuk sebagian besar kejadian yang ternyata tidak membutuhkan manusia. Tim on-call lalu “menyesuaikan” ambangnya — bahasa halus post-mortem untuk kalibrasi ulang yang arahnya salah. Dalam istilah infrastruktur, ini bukan instrumen yang disetel ke kebenaran; ini kebenaran yang disetel ke kenyamanan instrumen.
Bagian lain dari cerita itu sama instruktifnya. Ambang autoscaling dipasang pada 70 persen penggunaan CPU, dan tidak pernah tersentuh — karena titik sesaknya ada pada kumpulan koneksi database, bukan pada prosesor. Dashboard memantau metrik yang relevan dengan teliti, dan tidak relevan dengan kenyataan. Sementara itu, alarm slow query yang dulu berbunyi dua puluh kali semalam telah dihapus pada kuartal ketiga 2025, atas nama kebersihan operasional. Setiap ambang batas adalah teori tentang bagaimana sistem akan gagal; teori itu ditulis oleh manusia yang lelah, pada jam tiga pagi, setelah alarm kedelapan belas malam itu. Teori itu tidak pernah ditinjau kembali ketika beban berubah — dan beban selalu berubah.
Satu Persen di Mana-Mana, Seratus Persen di Suatu Tempat
Ada alasan struktural mengapa kegagalan 4,2 persen tidak terlihat dramatis: ia dihitung sebagai rata-rata. Layanan top-up hanya menyumbang sekitar dua persen dari seluruh lalu lintas bank itu, dan pada jalur itulah kegagalan bermukim — bukan menyebar. Bagi dashboard, dua persen lalu lintas yang gagal total menghasilkan error rate keseluruhan yang hampir tidak bergerak. Bagi pengguna yang kebetulan berada di jalur itu, kegagalannya seratus persen, dan berlangsung selama lima jam empat puluh tujuh menit. Dalam arsitektur sistem, ini adalah kegagalan yang belajar menyamar sebagai noise: menyebar tipis agar tidak ada satu node pun yang menonjol, tidak ada satu metrik pun yang melampaui garis.
Rata-rata adalah tempat persembunyian terbaik yang pernah ditemukan insiden. Percentile yang menghaluskan ekor melakukan pekerjaan serupa dengan cara yang lebih halus: latency rata-rata tetap cantik selama sebagian kecil permintaan menderita di ekor, dan ambang batas yang dihitung dari distribusi yang dihaluskan tidak pernah melihat ekor itu. Ekor adalah tempat tinggal insiden. Garis alarm tidak pernah dipasang di sana, karena garis alarm dipasang di tempat yang paling sering dikunjungi manusia — rata-rata, baseline, angka normal yang nyaman.
Gelembung yang Tidak Pernah Dianggap Sah
Survei State of Alerting 2026 yang dirilis SignalPost — analisis terhadap 1.400 organisasi — mencatat 61 persen tim mengakui menaikkan ambang peringatan setidaknya sekali dalam setahun terakhir demi mengurangi notifikasi malam hari. Median waktu deteksi untuk insiden yang tidak memicu alarm: empat jam dua belas menit, dan dalam 78 persen kasus, yang menemukan insiden lebih dulu adalah keluhan pelanggan — bukan instrumen yang dibayar untuk menemukannya. Satu dari lima insiden senyap berakhir dengan kerusakan yang tidak bisa dipulihkan. Angka-angka itu tidak mengejutkan siapa pun yang pernah merawat sistem: alarm yang terlalu sering berbunyi akan disetel, disenyapkan, atau dihapus; ambang yang terlalu tinggi adalah harga yang dibayar untuk tidur malam — dan tidur malam selalu menang atas kemungkinan.
Ada pula pembalikan yang lebih halus: error budget, yang dalam arsitektur sistem lahir sebagai ruang kegagalan yang disepakati bersama, dibaca ulang sebagai lisensi. Selama konsumsi anggaran itu berada di bawah garis, sistem dinyatakan sehat — dan degradasi yang terkendali menjadi definisi baru dari kesehatan. Termometer bergeser setengah derajat per tahun, alarm dipasang di 105 derajat karena 100 dianggap terlalu sering berbunyi, dan air tetap mendidih di panci yang sama. Gelembungnya nyata; ia naik ke permukaan setiap hari. Yang tidak pernah tercatat hanyalah kesaksian instrumennya.
Di Ruang Operasional yang Terbatas
Bagi operator di lokalitas terbatas, pola ini bukan anomali melainkan kondisi bawaan. Tim kecil jarang memiliki kesempatan mengkalibrasi ulang apa pun: ambang batas dipasang sekali saat go-live, disalin dari proyek sebelumnya, dan tidak pernah ditinjau sampai insiden membuktikan garis itu salah — dan insiden selalu membuktikannya dengan cara yang paling mahal. Di ruang operasional yang terbatas, alarm yang terlalu berisik tidak disetel ulang; ia dimatikan, secara prosedural, dan kata silenced di chat operator adalah pemberhentian satu-satunya saksi yang dimiliki sistem. Beban berubah mengikuti kalender: promo, hari libur nasional, lalu lintas yang melonjak saat orang pulang kampung. Garis tidak pernah ikut berubah.
Yang sering dilupakan: garis alarm bukan bagian dari sistem yang dipantau — ia bagian dari sistem yang memantau, dan sistem itu tidak pernah masuk SLA, tidak pernah diuji, tidak pernah diberi anggaran pemeliharaan. Ia dianggap konfigurasi, padahal ia keputusan. Dalam istilah infrastruktur, keputusan tanpa peninjauan adalah utang teknis dengan bunga terbesar, karena bunganya dibayar dalam bentuk insiden yang tidak pernah berbunyi — lalu ditemukan oleh pelanggan, dicatat oleh media, dan baru dianggap nyata setelah manusia ikut mengeluh.
Tidak ada yang perlu diperbaiki dari sisi monitoring bank itu; monitoring-nya bekerja persis seperti yang dikonfigurasi. Yang perlu ditinjau ulang adalah garisnya — dan garis tidak pernah terlihat dalam dashboard, karena garis adalah bagian dari dashboard yang tidak pernah digambar.
Log ditutup. Air tetap mendidih meski termometer membaca 96 derajat; yang berubah hanyalah definisi tentang kapan kegaduhan itu dianggap sah. Ambang batas tidak pernah mengukur kesehatan sistem — ia mengukur berapa banyak rasa sakit yang pemiliknya sepakat untuk tidak melihatnya.