HAとDRのためにマルチリージョンDBをどのように設計しますか？

Question

IT Interview Practice · Accepted Answer

データベースをリージョンにまたがってレプリケートし、必要に応じてトポロジーを選びます：シンプルさと強い一貫性のための**アクティブ-パッシブ**（1つのライター、フェイルオーバー時に引き継ぐウォームスタンバイ）か、コンフリクト解決を代償に低い書き込みレイテンシを得る**アクティブ-アクティブ**（複数ライター）です。その上で**同期対非同期レプリケーション**を選んで耐久性とレイテンシをトレードし、フェイルオーバーを駆動する明示的な**RPO/RTO**目標を定めます。

```text
        ┌──────────── Region A (primary) ────────────┐
writes ─▶ app ─▶ DB primary ──┐
                              │ replication
        ┌─────────────────────┼── async (RPO>0) ─────┐
        │                     └── sync (RPO=0, slow)  │
        ▼                                             ▼
   Region B standby                            (failover promotes standby)
        │
   health check ──▶ on primary loss: promote + repoint DNS/traffic
```

## アクティブ-パッシブ対アクティブ-アクティブ

**アクティブ-パッシブ**は書き込みを扱う1つのプライマリと、読み取り専用のスタンバイを持ちます。障害時にスタンバイを**昇格**させます。シンプルで書き込みコンフリクトを避けますが、パッシブ容量が遊び、フェイルオーバーにギャップがあります。**アクティブ-アクティブ**は各リージョンがローカルレイテンシのために書き込みを受け付け、フェイルオーバー昇格が不要ですが、2つのリージョンが同じ行を同時編集しうるので、コンフリクトを解決*せねばなりません*（last-write-wins、CRDT、アプリレベルのマージ）。ほとんどのチームはアクティブ-パッシブから始めます。アクティブ-アクティブは他に達成手段のないグローバルな書き込みレイテンシのためのものです。

## 同期対非同期レプリケーション

これが中心的な耐久性/レイテンシのトレードです。**同期：** プライマリはコミット前にリモートレプリカのackを待ちます。**RPO = 0**（フェイルオーバー時のデータ損失なし）ですが、すべての書き込みがクロスリージョンのラウンドトリップレイテンシ（約数十ms）を支払い、レプリカが到達不能なら書き込みが停止します。**非同期：** プライマリはローカルにコミットして後から変更を送ります。書き込みは速いが、リージョン喪失で直近数秒を失いえます（**RPO > 0**）。クロスリージョンの同期はしばしば遅すぎるので、多くは非同期を使い小さなRPOを受け入れます。

## フェイルオーバー、RPOとRTO

- **RPO（目標復旧地点）：** 許容できるデータ損失量 — 同期対非同期で決まる。
- **RTO（目標復旧時間）：** 復旧までの時間 — 障害検知と昇格の速さで決まる。
- フェイルオーバー = 検知（ヘルスチェック） → スタンバイ昇格 → トラフィック向け先変更（DNS/グローバルLB）。自動化しつつ、**スプリットブレイン**（両リージョンが自分をプライマリと思う）をquorum/フェンシングトークンで防ぎます。

## 面接での観点

探るのは、HA/DRが「レプリカを追加するだけ」ではなく**一貫性、レイテンシ、データ損失のトレード**だと理解しているかです。良い：スタンバイ付きアクティブ-パッシブ。優れた：RPO/RTO、同期対非同期の含意、スプリットブレインのリスクを述べること。罠：非同期がデータ損失ゼロを与えると主張する、あるいはフェイルオーバーが即時かつ無損失だと仮定すること。

## トレードオフと障害モード

- **スプリットブレイン：** ネットワーク分断が2つのプライマリを昇格 → データ乖離。quorum、フェンシング、witnessリージョンを使う。
- **フェイルバックは難しい：** 旧プライマリの復帰後、乖離した書き込みの照合は手作業でエラーが起きやすい。
- **コスト：** 真のマルチリージョンはインフラをほぼ倍増させ、クロスリージョンのegress帯域幅の請求を追加する。
- **テストされていないフェイルオーバーは失敗する：** 訓練していないDRは本番障害で機能しない。game-dayを実施する。

アクティブ-パッシブ対アクティブ-アクティブ

同期対非同期レプリケーション

フェイルオーバー、RPOとRTO

面接での観点

トレードオフと障害モード

関連する質問