Telegram VoIP dla operacji: powiadamianie omijające tryb «nie przeszkadzać», którego nie znienawidzą odbiorcy

Marek z naszego zespołu w sierpniu zeszłego roku przegapił pożar produkcji o 04:12. Telefon leżał metr od głowy. Wibracje wyłączone. Tryb skupienia od 22:00 do 07:00. Slack, Teams, e-mail, nawet SMS od Twilio — wszystko przechodziło przez ten sam filtr ciszy, który Marek zbudował przez rok, żeby przestać reagować na każde powiadomienie z bota integracji ciągłej. Awaria sama się rozwiązała o 04:47, gdy ktoś z drugiej zmiany w innym mieście zauważył anomalie i ręcznie zrestartował usługę. Marek dowiedział się rano.

Po tygodniu analizy po incydencie dodaliśmy do łańcucha jeden kanał, który wcześniej traktowaliśmy jako gadżet — wezwanie głosowe przez Telegrama. Od tamtego momentu Marek nie przegapił żadnego pożaru. Łańcuch wygląda dzisiaj tak:

1. Wezwanie głosowe Telegram do głównego dyżurnego   (darmowe, głośne)
2. Czekaj 60 sekund na potwierdzenie
3. SMS do głównego dyżurnego                          (płatne, inna sieć)
4. Czekaj 60 sekund na potwierdzenie
5. Połączenie głosowe tradycyjne do głównego          (płatne, najgłośniejsze)
6. Czekaj 90 sekund na potwierdzenie
7. Powtórz kroki 1–6 dla zapasowego dyżurnego
8. Eskalacja do kierownika plus kanał dla zespołu

Reszta tego tekstu wyjaśnia, dlaczego ten łańcuch wygląda akurat tak, a nie inaczej, w kolejności odwrotnej od tego, jak go zbudowaliśmy.

Tryb «Nie przeszkadzać» i luka, którą wykorzystuje Telegram

Tryb «Nie przeszkadzać» w iOS i Android działa po prostym protokole: powiadomienia od aplikacji są wyciszane, przychodzące rozmowy — nie. System operacyjny traktuje połączenie głosowe jak coś, czego nie da się zignorować, ponieważ historycznie połączenie głosowe oznaczało rozmowę z człowiekiem.

Twórcy Telegrama zachowali tę samą kategorię dla swoich wbudowanych rozmów. Wezwanie głosowe z bota wpada na taką samą ścieżkę co rozmowa z mamą — pełen ekran, pełen dzwonek, wibracja nawet w trybie cichym. Aplikacja jest w trybie cichym, system operacyjny w trybie skupienia, użytkownik śpi — telefon i tak zadzwoni.

Powiadomieniom na dyżurze brakuje właśnie tego: głośnej, darmowej drogi, która nie wymaga umowy z operatorem telefonii.

Drugi krok przez SS7 — gdy bot zawiódł, sieć sygnalizacji nadal działa

Drugie wezwanie do tej samej osoby ma sens tylko wtedy, gdy idzie inną drogą sieciową. Powtórzenie próby przez Telegrama nie pomoże — jeśli pierwsza nie zadzwoniła z powodu wyciszenia bota albo wyłączonych powiadomień, druga zadziała tak samo.

SMS dociera przez sieć sygnalizacji SS7, kompletnie inną od ruchu Telegrama. Telefon, który nie reaguje na Telegrama, może zareagować na SMS. To nie jest gwarancja, ale to inna ścieżka, i właśnie o to chodzi.

Sekundowe opóźnienie 60 jest empiryczne. Zbyt krótkie i obudzimy odbiorcę dwa razy z rzędu, raz przez głośne wezwanie, raz przez SMS. Zbyt długie i tracimy minuty na incydencie. Sześćdziesiąt sekund — wystarczająco, żeby człowiek z prysznica zdążył wziąć telefon, niewystarczająco, żeby zasnął ponownie.

Trzeci krok — dzwonek operatora, ostatnia linia obrony

Trzecie wezwanie — przez operatora telefonii. Najbardziej kosztowny krok i najgłośniejszy. Dzwonek operatora przebije się przez ustawienia, których nawet Telegram nie obejdzie — bo system traktuje rozmowę telefoniczną tradycyjną jako absolutny priorytet.

Tu cena jednostkowa rośnie do 0,04 dolara za połączenie, ale przy 200 wezwaniach miesięcznie to wciąż mniej niż 10 dolarów. Nie ekonomia. Ostatnia linia obrony.

41% głównych odpowiada za drugim razem — i co to mówi o zapasowych

Statystyka, którą zmierzyliśmy na własnym łańcuchu za 18 miesięcy: główny dyżurny odpowiada na drugie wezwanie w 41% przypadków, gdy przegapił pierwsze. Czyli prawie połowa «pominiętych» pierwszych prób kończy się sukcesem dwie minuty później.

Przejście do zapasowego po pierwszym przegapionym wezwaniu oznaczałoby, że w 41% incydentów budzimy dwie osoby zamiast jednej. Zapasowy też ma życie. Jego małżonek też śpi obok. Każde niepotrzebne obudzenie zapasowego dyżurnego psuje jego stosunek do tej roli — a zapasowy demoralizuje się szybciej niż główny, bo «teoretycznie nie miałem chodzić nocą».

Powtórzenie wezwania głównego dyżurnego dwie minuty po pierwszej próbie, a sięgnięcie po zapasowego dopiero po trzeciej, ratuje nam średnio półtorej godziny zapasowych zmian miesięcznie. To bardziej wartość psychologiczna niż finansowa.

Trzy sytuacje, w których ten łańcuch nie pomoże

Trzy konkretne sytuacje, w których łańcuch nie pomoże:

Odbiorca wyłączył powiadomienia od bota. Aplikacja nawet nie wyświetli ekranu połączenia przychodzącego. Pierwszy krok łańcucha zawodzi cicho, system idzie do drugiego. SMS przebija — i właśnie dlatego SMS musi być drugi, nie powtórzenie Telegrama.

Telegram jako platforma niedostępny. Zdarza się rzadko, notowane incydenty istnieją. Jeśli SMS od operatora telefonii też przechodzi przez infrastrukturę, która zależy od Telegrama — całość przestaje działać. Stąd wybór drogi przez SS7, kompletnie niezależnej.

Kraj, w którym Telegram jest blokowany. rosja, Iran, Chiny, Pakistan. Sieć VPN dla połączeń przychodzących nie działa stabilnie — tunel albo się odłącza, albo dodaje opóźnienia, które łamią rękojeść połączenia. Dla odbiorców w tych jurysdykcjach pierwszy krok łańcucha traktujemy jako «w miarę możliwości», a SMS i połączenie tradycyjne jako podstawowy.

Czego nie ma w tym tekście

Brakuje sekcji «jak to działa pod spodem». Nie napisałem opisu MadelineProto, libtgvoip i MTProto, bo żaden czytelnik tego artykułu nie potrzebuje tej wiedzy, żeby skonfigurować łańcuch. Inżynier, który wdraża to u siebie, dodaje kanał telegram_voip do konfiguracji eskalacji, prosi każdego dyżurnego o jednorazowe /start na bocie, i kończy. Wszystko, co dzieje się między tymi krokami, jest cudzą inżynierią — naszą lub bibliotek otwartych.

Brakuje też sekcji «czemu odbiorcy tego nie nienawidzą». Marek po roku używania kanału ma do niego stosunek pozytywny: «lepsze niż SMS, bo mogę przerwać sen jednym przyciskiem i odsłuchać treść alarmu». Reszta zespołu się nie wypowiadała — bo gdyby było źle, wypowiedziałaby się głośno. Cisza w tym kontekście oznacza akceptację.