Montamos um monitoramento cruzado entre dois serviços: cada um vigia o outro. Um deles expõe endpoints HTTP, então testá-lo é fácil. O outro não expõe nada por design (menos superfície, menos risco) e para esse lado escolhemos a única coisa que parecia possível: um ping.
Um ping responde se o host está ligado. Não responde se o serviço está fazendo o que tem que fazer.
Testamos o modo de resgate do provedor sem que houvesse nenhuma emergência real, só para confirmar que funcionava. O serviço subiu em outro sistema operacional, sem nenhuma das suas tarefas rodando, com o disco nem sequer montado. O ping continuou respondendo que estava tudo bem durante toda a janela do teste. Fazia dias que dizia isso porque não podia dizer outra coisa.
O critério que adotamos: uma sonda tem que verificar que o serviço está trabalhando, não que o host responde. Aplica-se a toda sonda, presente ou futura. A pergunta de design não é o que é fácil de medir, e sim que evidência só existiria se o serviço estivesse funcionando de verdade.
O ping ficou: para a única coisa que ele de fato responde, é barato. Em cima dele colocamos a verificação que faltava, sem expor nada novo. O serviço que não conseguíamos sondar é, ele mesmo, um vigia: a cada poucos minutos chama o outro para conferir, e essas chamadas sempre ficaram anotadas do lado que as recebe. Agora essa anotação é a sonda. Se a última tem menos de vinte minutos, o serviço está trabalhando.