Alta disponibilidade

Alta disponibilidade é a capacidade de um sistema continuar operando mesmo quando um de seus componentes falha. Não significa que nada quebra: significa que a quebra de uma peça não derruba o serviço, porque existe outra pronta para assumir. Na prática, é o trabalho de eliminar os pontos em que uma única falha para tudo.

Pelo percentual de tempo em que o sistema fica disponível ao longo do ano, e o jargão do setor conta os noves depois da vírgula. Num ano de 8.766 horas: 99% admite 3 dias e 15 horas de parada; 99,9%, os três noves, admite 8 horas e 45 minutos; 99,99%, quatro noves, admite 52 minutos e 35 segundos; e 99,999%, cinco noves, admite 5 minutos e 15 segundos. É por isso que o número precisa ser escolhido pelo negócio, e não pela TI: cada nove a mais custa caro.

A diferença entre três e quatro noves é de 8 horas e 45 minutos para 52 minutos de parada por ano. Parece pouco no percentual e é enorme na operação: a primeira aceita uma manhã inteira fora do ar, a segunda não aceita nem uma hora. É essa passagem que costuma justificar o investimento em redundância, e é nela que a conta muda de tamanho.

É qualquer componente cuja falha derruba o serviço inteiro sozinho: um servidor sem par, um link de internet único, uma fonte de energia, um storage sem espelho. Alta disponibilidade é, na prática, o trabalho de encontrar e eliminar esses pontos. O diagnóstico costuma revelar pontos que a própria equipe interna não tinha mapeado.

Quatro, e eles se combinam. Redundância é ter mais de um componente fazendo o mesmo trabalho, para que a queda de um não pare o serviço. Balanceamento de carga distribui as requisições entre eles e tira de circulação o que falhou. Failover é a passagem automática para o componente reserva, sem intervenção manual. E backup é a rede de proteção para o caso em que o dado se perde, não apenas o equipamento.

Alta disponibilidade mantém o serviço de pé quando um componente falha, e o usuário idealmente não percebe. Disaster recovery é o que se aciona quando o ambiente inteiro é perdido, e aí existe parada declarada e um plano de retomada. Um trabalha em segundos, o outro em horas. Os dois são necessários e nenhum substitui o outro.

Não, e confiar nisso é um erro caro. Redundância e replicação copiam o que acontece, inclusive o que não deveria: se um dado for apagado por engano ou criptografado por ransomware, o nó redundante recebe a mesma alteração. Backup guarda o estado anterior, e é a única coisa que traz o dado de volta nesse cenário.

Pelo custo da parada, não pela ambição do número. Vale calcular quanto a empresa perde por hora fora do ar, somando faturamento, multa contratual e retrabalho, e comparar com o custo de cada nove adicional. Sistemas diferentes costumam merecer níveis diferentes: nem tudo precisa de cinco noves.

Não elimina a manutenção, mas permite fazê-la sem derrubar o serviço. Com redundância e failover, atualiza-se um nó de cada vez enquanto os outros continuam atendendo. A janela de manutenção deixa de ser uma parada e passa a ser um procedimento.

Nos dois, e em arranjos híbridos. O desenho parte do diagnóstico do ambiente atual, dos pontos únicos de falha encontrados e do nível de disponibilidade que o negócio precisa sustentar.