Multi-Region-Datenbank-Failover: Was in der Produktion wirklich kaputtgeht

Auf jeder Marketingseite klingt Multi-Region-Failover, als würde man einfach einen Schalter umlegen: Die Primärinstanz fällt aus, die Replik übernimmt, der Traffic wird umgeleitet, niemand merkt etwas. Ich habe inzwischen vier echte Failovers durchgemacht — zwei geplant, zwei ungeplant — und keiner davon entsprach dieser Beschreibung. Die Lücke zwischen „wir haben eine Replik in einer anderen Region" und „wir können tatsächlich failovern, ohne Daten zu verlieren oder veraltete Lesezugriffe auszuliefern" ist der Ort, an dem der eigentliche Ingenieursaufwand steckt.

Dieser Beitrag behandelt die Fehlermodi, die erst sichtbar werden, wenn man bereits mitten in einem Incident steckt, sowie die Designentscheidungen, die darüber entscheiden, ob ein Failover unbemerkt bleibt oder zu einem stundenlangen Ausfall wird.