Co vás přivedlo na myšlenku začlenit do přípravy projektu Volby 2002 také simulaci zátěže?
Do přípravy voleb zařazujeme simulaci zátěže od roku 1990. U takovéto rozsáhlé akce je snaha systém otestovat a podrobit zátěži. Probíhalo to při všech volbách a také při jiných rozsáhlých akcích jako například při sčítání lidu.
O spolupráci s profesionální firmou pro vytvoření zátěže systému pro volby jsme začali uvažovat po zhodnocení zpracování voleb v roce 2000, kdy realita neodpovídala našim předpokladům.
Proč skutečnost z roku 2000 neodpovídala předpokladům?
Po zkušenostech z roku 2000 jsme se rozhodli dělat zátěžové testy kvalitněji, ale také přebudovat celý výpočetní systém pro volby, jinak koncipovat filosofii systému. Na tomto úkolu se pracovalo několik měsíců. Zátěžové testy měly být, kromě jiného, také potvrzením správnosti zvolené koncepce, odlišné od té z roku 2000.
Nyní je systém pro volby konstruován jako dvě relativně nezávislé části. Z hlediska zátěže systému je třeba v prvé části řešit otázku vstupní zátěže a otázku sběru vstupních dat z přebíracích míst, tzn. zajistit sběr dat z cca 15 000 okrsků a jejich zpracování v centrální části systému.
Druhá část systému se skládá z webové aplikace, která provádí prezentaci výsledků. Je to asi jediná možnost, jak může ČSÚ předložit k veřejné kontrole postup a způsob zpracování dat z voleb, proto na to klademe takový důraz.
Obojí se obtížně simuluje, protože je zde řada technických problémů.
Pro přípravu voleb 2002 byl zvolen test zátěže doplněný o stress testy. To znamená zatěžování redukované hardwarové konfigurace simulující výpadek části systému.
To mělo také nějaké pozadí anebo to bylo jen dotažení myšlenky důkladného otestování?
Stress test nás měl pouze uklidnit, protože výpadky hardwaru nejsou příliš časté. Většinou se je daří řešit řádově v jednotkách až desítkách minut, ale pro klid duše je to významné. Při těchto testech jsme si ověřili chování systému v těchto extrémních situacích a ujistili se, že systém i za těchto podmínek fungoval ve stanovených mezích.
Takže jste postup ověření systému z roku 2000 zopakovali a navíc jste přidali zátěžový test s využitím naší technologie?
Ne, zátěžový test webové aplikace pomocí vašich nástrojů jsme použili místo toho, co jsme zkoušeli tenkrát vlastními silami. Cílem spolupráce s vámi bylo dodat si jistotu, že v průběhu voleb nemůže nastat nic mimořádného, na co bychom nebyli připraveni a ověřit tu správnost nastavení systému. To se potom naštěstí povedlo. Pro nás měla význam zejména možnost kdykoliv zopakovat zpracování dat na předem stanovené zátěži, což nám umožnilo mnohokrát si se systémem hrát a sledovat jeho parametry včetně testu z přechodu na nižší úroveň techniky. Ověřili jsme si i při plošných zkouškách, že zatížení webu a prezentační databáze neovlivňuje příjem dat. Potvrdili jsme si, že vzhledem k deseti megabitové lince, není možné zatížit servery na jejich plný výkon a to nám dodalo klidu.
Generovaná zátěž vám dovolila laborovat s hardware i software, a tím umožnila vyladění webové aplikace?
Ano, zátěžový test nám umožnil vyladit systém na optimum a ukázal nám, že se dá přejít na slabší konfiguraci a ještě to nebude znamenat totální kolaps. Hlavně nám ukázal nezávislost obou částí systému, v roce 2000 jsme cítili největší problém v replikaci oraclových databází. Teoreticky to všechno vypadá dobře, ale v praxi může být chování systému nevypočitatelné, klid nám dodal až zátěžový test.
Máte nějaké ohlasy od návštěvníků vaší stránky?
Máme velice kvalitní ohlasy např. z prezidentské kanceláře, ale i odjinud. Prezentační část systému pracovala velice spolehlivě a kdo na ní byl připojen, dostával rychlé aktuální informace. Naše informace přebírali i jiné informační servery např. na iDnes ve dvouminutových intervalech aktualizovali svoje data dle naší stránky a vytvářeli grafy.
Ale v pondělí ráno měl systém problémy?
Ano,v pondělí ráno jsme měli problém. Došlo k výpadku proudu. Mrzí nás to, protože řada lidí by se na výsledky voleb ráda podívala ještě v pondělí, když přišla první den po volbách do práce, odkud má přístup na Internet. V dalších dnech zájem prudce klesá.
Již jsme udělali příslušná opatření a jsme vybaveni dieselagregátem, který zajišťuje náhradní zdroj elektrického proudu.
Čekáte, že nápor na podzim při senátních a komunální volbách bude větší?
To bych si netroufal říct, že bude větší, myslím, že bude trochu jiný. Za prvé jsme nevěděli, co udělá rozšíření voleb do zahraničí. Existovaly odhady, že bude volit 100 000 zahraničních Čechů. Kdyby jenom každý desátý z nich sledoval na internetu průběh voleb, pak by zátěž vypadala zase trošku jinak. Zřejmě však naše volby proběhly za hlubokého nezájmu zahraničí, takže zátěž systému byla trochu jiná než jsme očekávali.
Dalším faktorem je, že dotazy byly směřovány na relativně malý počet stránek. Což bylo také výsledkem společného testování. Předřadili jsme na první úroveň co do objemu malou stránku, která dává základní informaci o jednotlivých stranách za celou republiku a až pod ni jsme zařadili tu původně uvažovanou stránku, která už byla v krajském členění. Kdyby se jenom tato výměna stránky neprovedla, systém by se vzhledem k rychlosti připojení dostal do limitního stavu, to se dá z našich grafů jednoznačně poznat. V komunálních volbách nic takového není.
Vy jste si v průběhu voleb monitorovali zátěž. Můžete porovnat reálně dosažené zatížení systému s tím co bylo dosaženo při testování?
Hodnoty máme úplně všechny, jsou uloženy v podobě logů. Stručně se dá říct, že se systém choval vzorně.
Když se nyní díváte na celý projekt s odstupem, zorganizoval byste odzkoušení vašeho systému jinak?
Myslím, že tak, jak to proběhlo, to bylo optimální. Nevidím důvody něco měnit v celém řetězci přípravy. Buď jsme měli štěstí, nebo jsme byli tak dobří. Samozřejmě v detailech je možno něco změnit a vylepšit, ale v principu si nemyslím, že by se mělo něco měnit.
Kdy je, podle vás, vhodné použít zátěžový test?
To hodně záleží na charakteru projektu a k jakým škodám v případě výpadku systému může dojít. Já považuji bezpečné zajištění voleb za důležité, protože jedna chyba by znamenala ztrátu renomé našeho úřadu a ztrátu důvěry ve výsledky voleb. Nejde jen o to, že něco spadne, že to chvíli nejede, takové věci se stávají, ale každý takový pád nese riziko, že dojde k narušení dat. Jedna špatně přičtená jednička ve volbách znamená ztrátu důvěry. Nám jde o absolutní bezchybnost a není dobře se při tak důležitých akcích, jako volby, prezentovat, že něco nefunguje. Vždy je třeba zvážit, jaké má pád systému následky a podle toho vynakládat energii a peníze do ladění systému. Samozřejmě záleží, jaké jsou možnosti systém zálohovat a ověřit si jak může přežít.
Můžete srovnat přínosy a negativní dopady na projekt? Určitě najdete i něco negativního.
Já nenajdu nic negativního, pro mne by bylo negativní, kdyby se při reálném běhu ukázalo, že se systém choval jinak něž při zátěžových testech. Za vlastní nastavení systému jsme odpovídali my, proto bych to mohl vytýkat jedině sám sobě. Potřebovali jsme kdykoli spustit řízenou zátěž a věnovat se vyladění jednotlivých částí systému. To se stalo. V reálu se ověřilo, že simulované chování odpovídá realitě. Takže skutečně nemohu žádný negativní dopad najít.