Kopien bedeuten keine unabhängigen Ausfälle

Englisches Original

It can be tempting to try to math your way out of these problems. If you have a service that offers 99.9% availability in a single zone, and you need 99.95% availability, simply deploying the service in two zones should solve that requirement. The probability that both services will experience an outage at the same time is so low that two zones should provide 99.9999% availability. However, this reasoning assumes that both services are wholly independent, which is almost never the case. The two instances of your app will have common dependencies, common failure domains, shared fate, and global control planes—all of which can cause an outage in both systems, no matter how carefully it is designed and managed. Unless each of these dependencies and failure patterns is carefully enumerated and accounted for, any such calculations will be deceptive.

Deutsche Übersetzung

Es ist verlockend, diese Probleme rechnerisch lösen zu wollen. Bietet ein Dienst in einer einzelnen Zone 99.9% Verfügbarkeit und benötigt man 99.95%, sollte die Bereitstellung in zwei Zonen genügen. Die Wahrscheinlichkeit eines gleichzeitigen Ausfalls beider Dienste ist so gering, dass zwei Zonen 99.9999% Verfügbarkeit bieten sollten. Diese Überlegung setzt jedoch voraus, dass beide Dienste völlig unabhängig sind, was fast nie zutrifft. Die beiden Anwendungsinstanzen haben gemeinsame Abhängigkeiten, gemeinsame Ausfallbereiche, ein gemeinsames Schicksal und globale Steuerungsebenen. All das kann beide Systeme zugleich ausfallen lassen, selbst bei sorgfältiger Gestaltung und Verwaltung. Solange nicht jede dieser Abhängigkeiten und jedes Ausfallmuster einzeln erfasst und berücksichtigt wird, sind solche Berechnungen irreführend.