Des copies ne signifient pas des pannes indépendantes

Original anglais

It can be tempting to try to math your way out of these problems. If you have a service that offers 99.9% availability in a single zone, and you need 99.95% availability, simply deploying the service in two zones should solve that requirement. The probability that both services will experience an outage at the same time is so low that two zones should provide 99.9999% availability. However, this reasoning assumes that both services are wholly independent, which is almost never the case. The two instances of your app will have common dependencies, common failure domains, shared fate, and global control planes—all of which can cause an outage in both systems, no matter how carefully it is designed and managed. Unless each of these dependencies and failure patterns is carefully enumerated and accounted for, any such calculations will be deceptive.

Traduction française

Il peut être tentant de résoudre ces problèmes par le calcul. Si un service offre 99.9% de disponibilité dans une seule zone et qu’il vous faut 99.95%, le déployer dans deux zones devrait suffire. La probabilité que les deux services tombent en panne simultanément est si faible que deux zones devraient fournir 99.9999% de disponibilité. Cependant, ce raisonnement suppose que les deux services sont entièrement indépendants, ce qui n’est presque jamais le cas. Les deux instances de votre application auront des dépendances communes, des domaines de panne communs, un destin partagé et des plans de contrôle globaux. Tous peuvent interrompre les deux systèmes, même conçus et gérés avec soin. À moins d’énumérer et de prendre en compte chaque dépendance et chaque mode de défaillance, ces calculs seront trompeurs.