Umschalten ist nicht kostenlos
Einführung · 6 Abschnitte · ~15 Min Lesezeit · Stand
Betriebsfrage
Hochverfügbarkeit wird beschafft, um Ausfallzeit zu vermeiden. Was dabei selten ausgesprochen wird: Jedes Umschaltverfahren trifft eine Entscheidung darüber, ob im Zweifel Daten oder Verfügbarkeit geopfert werden. Diese Entscheidung gehört dem Fachbereich, nicht dem Werkzeug.
Mentales Modell
- Schreiben
- Übertragen
- Bestätigen
- Anwenden
Zwei Übertragungsarten
| Synchron | Die Bestätigung an den Client erfolgt erst, wenn die Zweitkopie den Vorgang hat. Kein Datenverlust beim Umschalten — dafür hängt jede Schreiboperation an der Erreichbarkeit und Laufzeit der Zweitstelle. |
|---|---|
| Asynchron | Die Bestätigung erfolgt sofort; die Übertragung folgt. Keine Latenzkopplung — dafür ist beim Umschalten ein Verlust der zuletzt bestätigten Vorgänge möglich. |
Lesekopien
- Eine Lesekopie hinkt nach — für Auswertungen meist unkritisch, für „lies, was du gerade geschrieben hast“ ein Fehlerbild.
- Der Nachlauf ist eine zu überwachende Größe, kein Nebeneffekt.
- Lange Abfragen auf der Kopie können deren Nachführung ausbremsen.
Der gefährlichste Fall
Wenn zwei Knoten sich gegenseitig für ausgefallen halten, schreiben beide. Der entstehende Auseinanderlauf ist nachträglich nur mit fachlicher Kenntnis aufzulösen — häufig gar nicht. Deshalb braucht jedes Umschaltverfahren eine Instanz, die eine eindeutige Entscheidung trifft.