Rollback

Eine direkte Messung dazu gibt es nicht, nur eine Näherung: Die Änderungsfehlerrate des DORA-Programms zählt den Anteil der Veröffentlichungen, die sofortiges Eingreifen verlangen – laut Definition meist per Rollback oder Eilkorrektur. Für Spitzenteams nennen die Sekundärdarstellungen übereinstimmend rund fünf Prozent; die Werte der schwächeren Gruppen gehen weit auseinander und sind im Primärbericht nicht nachlesbar. Rollback und Eilkorrektur sind darin ohnehin nicht getrennt ausgewiesen. Als Planungsgröße taugt die Zahl trotzdem: Bei zwanzig Veröffentlichungen im Jahr ist mindestens eine Rückkehr einzuplanen.

Drei verbreitete Werkzeuge beantworten das mit einer Voreinstellung: Kubernetes behält zehn alte Replikatsätze und nennt als Zweck ausdrücklich den Rollback, das PHP-Werkzeug Deployer hält zehn Release-Verzeichnisse, Capistrano fünf. Die Zahl selbst ist beliebig – maßgeblich ist die Zeit, bis ein Fehler auffällt. Wer dreimal täglich ausrollt und Fehler erst nach zwei Tagen bemerkt, braucht sechs Stände, fünf sind dann zu wenig. Mehr Stände belegen Speicherplatz, sonst nichts.

Sie bleiben stehen. Ein Rollback setzt den Code zurück, nicht den Datenbestand: Bestellungen, Formulareingaben und neu gesetzte Feldwerte aus den Minuten vor der Rückkehr stehen weiter in der Datenbank, und die alte Fassung muss sie verarbeiten können. Trifft sie auf einen Status, den sie nicht kennt, ist ein Fehler gegen einen zweiten getauscht. Das leistet ein Rollback ausdrücklich nicht: Falsche Werte, die die neue Fassung geschrieben hat, bleiben falsch – dafür braucht es eine eigene Korrektur der Daten.

Ein Rollback nimmt die ganze Veröffentlichung zurück, ein Feature-Flag nur ein einzelnes Verhalten – im laufenden Betrieb, ohne neuen Durchlauf, notfalls nur für einen Teil der Besucher. Daraus folgt die Auswahl: Steckt der Fehler in einer neuen Funktion, schaltet das Flag sie ab und die übrigen Korrekturen derselben Veröffentlichung bleiben in Betrieb; steckt er in einer aktualisierten Abhängigkeit oder im Bauergebnis, bleibt nur der Rollback. Jedes Flag, das stehen bleibt, verdoppelt die Zahl der zu prüfenden Zustände.

Einen Ladefehler beim Nachladen von Programmteilen. Bauwerkzeuge vergeben Dateinamen mit Inhalts-Prüfsumme, und die Dokumentation von Vite beschreibt den Fall für den Weg nach vorn: Das bereits geladene HTML verweist auf Namen, die es nach der Veröffentlichung nicht mehr gibt. Beim Rollback greift derselbe Mechanismus rückwärts. Deshalb gehören die Dateien der letzten Stände weiter ausgeliefert statt gelöscht, und der Ladefehler wird abgefangen und mit einem Neuladen beantwortet.