LinuCレベル4 システムアーキテクト 可用性の設計 問28
可用性の設計／データレプリケーションと災害対策PostgreSQLを2台（プライマリ＋スタンバイ）で冗長化している。プライマリ障害発生から5分以内の自動復旧（RTO ≤ 5分）が必要な業務における切り替え方式の設計として最も適切なものはどれか。
当サイトのオリジナル問題（LinuCレベル4 システムアーキテクトの出題範囲「可用性の設計」に対応。実際の試験問題ではありません）
- A手動切り替えとし、担当者が障害を確認してからスタンバイを昇格させる。誤検知による切り替えが起きない点を優先してRTO要件を達成する
- B手動切り替えとし、監視ツールのアラートを受けたオペレーターがスタンバイを昇格させる。人手の判断が入るため確実だが、認知・対応時間でRTO 5分の達成は困難なことが多い
- CPacemaker/Corosyncによる自動フェイルオーバーを導入し、ハートビートで障害を検知してスタンバイへの昇格とVIPの移動を自動的に行い、人手の介在を省いてRTO要件を達成する
- D手動切り替えと自動フェイルオーバーの両方を並行して有効にし、どちらか早い方が切り替えを実行する構成にする
正解：C
解説
RTO 5分以内という厳しい要件を達成するには、障害検知から昇格・VIP切り替えまでを人手なしに完結させる自動フェイルオーバーが必要です。手動切り替えは人の認知・判断・操作の時間が加わるため、5分以内の復旧は困難なことが多いです。Pacemaker/Corosyncはハートビートで障害を自動検知し、リソースエージェントを通じてPostgreSQLのスタンバイ昇格とVIPの移動を自動的に実行できます。手動と自動の両立は制御が複雑になり、二重動作や競合のリスクがあるため適切ではありません。
選択肢ごとの解説
- A誤り。5分以内のRTO要件のある業務において、担当者の確認・対応を経る手動切り替えでは時間的に要件を満たせない可能性が高いです。
- B誤り。オペレーターによる手動切り替えは誤検知を防げる利点がありますが、認知・対応の時間が積み重なりRTO 5分の達成が困難です。
- C正しい。Pacemaker/Corosyncによる自動フェイルオーバーは人手の介在なしに障害検知から復旧までを完結させるため、RTO 5分以内の要件を達成できます。
- D誤り。手動と自動の両方を有効にすると、どちらが先に動作するかによって制御が競合したり二重昇格が起きたりするリスクがあり、適切な設計ではありません。