Může být automatický či iniciovaný operátorem. Zamýšlený výsledek je restaurovaná či pokračující služba, ale přijatelné přerušení, kapacita, stav a správnost musí být definovány předem.
Spolehlivý failover závisí na důvěryhodných signálech zdraví, rozhodovacích pravidlech, pohotovosti standby, replikaci stavu, pokrytí závislostí, směrovacích či jmenných změnách a prevenci konfliktních aktivních instancí. Failback na obnovený primár je oddělená řízená změna a může nést vlastní riziko.
Klíčové body
Nastavte trigger logikuDefinujte důkazy selhání, časování detekce a potvrzení, pravidla quorum či fencing, autoritu pro manuální akci a pojistky proti oscilaci či falešnému failoveru.
Pokryjte závislostiZahrňte data, identitu, klíče, sítě, řídicí plochy, dodavatele, kapacitu, konfiguraci, observabilitu a cesty, které uživatelé potřebují k dosažení alternativní služby.
Testujte přechodyCvičte failover a failback pod zátěží a scénáři parciálního selhání, verifikujte transakce a konzistenci dat, měřte cíle obnovy a zaznamenávejte degradované funkce.
Důležité omezeníÚspěšný přepnutí komponenty nedokazuje end-to-end kontinuitu. Sdílené závislosti, zastaralý či poškozený stav, split-brain provoz, nekompatibilní konfigurace, nedostatečná kapacita či útočník přítomný v obou prostředích mohou učinit failover neúčinným či nebezpečným.