Alta disponibilidad no es recuperación

La alta disponibilidad mantiene el servicio funcionando cuando falla una pieza: varios nodos, varias zonas, y un balanceador que reparte el trabajo. Casi no se nota la falla. La recuperación ante desastres vuelve a poner el servicio en pie en otro lugar cuando se pierde el sitio entero, y suele aceptar una interrupción. Una copia permite volver a un momento anterior en el tiempo.

La diferencia clave está en lo que replican las dos primeras: copian también los errores. Si un proceso escribe datos equivocados, la replicación los reparte con fidelidad a todos los nodos. Solo una copia, que guarda estados pasados, permite deshacerlo.

Declarar recuperación ante desastres es fácil: basta una línea en el plan. Que sea cierta depende de una condición física: que los datos existan en un segundo sitio. Un servicio con todas sus zonas dentro de la misma región sobrevive a la caída de una zona, pero no a la pérdida de la región, por muchas zonas que tenga.

Lee la arquitectura de Cabuya y cruza dos columnas: la que dice si el servicio declara recuperación ante desastres y la que cuenta en cuántas regiones hay datos.

El RTO de un servicio con recuperación ante desastres no lo fija la tecnología, lo fija el procedimiento. Detectar, decidir, promover el sitio secundario y esperar a que los clientes lleguen allí: cada tramo suma. El tiempo humano de decidir suele ser el que más pesa, y el que nadie mide al diseñar.

El procedimiento de conmutación de S-01 anota el tiempo de cada tramo. Uno de ellos no está en minutos: es un valor técnico del DNS, y hay que convertirlo antes de sumar.

Una tabla de modos de falla es la herramienta con que un arquitecto comprueba que no hay una pregunta sin responder. Cada fila es algo que puede salir mal y cada columna un mecanismo; si en una fila las dos primeras columnas dicen «no», solo una copia puede responder, y si no hay copia verificada, no hay respuesta.

Un servicio de nivel B no necesita la recuperación de un servicio de nivel A. Pedir réplica síncrona entre regiones para algo que tolera una hora de datos perdidos es pagar una capacidad que el negocio no ha pedido, con un costo de latencia añadido. Lo que sí necesita Reclamaciones (S-02) es poder reconstruirse si se pierde la región, con sus objetivos de nivel B.

Lee en el archivo de arquitectura el nivel de S-02, sus zonas y su réplica, y elige el cambio que cubre la pérdida de región al menor costo.