O que é alta disponibilidade e por que ela não elimina todas as interrupções?

Como a disponibilidade é medida?

A disponibilidade costuma ser expressa como o percentual de tempo em que o serviço esteve utilizável em um período. Cada nove a mais reduz bastante a parada tolerada. Em um mês de 30 dias:

• 99%: cerca de 7 horas e 12 minutos de indisponibilidade.
• 99,9%: cerca de 43 minutos.
• 99,99%: cerca de 4 minutos e 19 segundos.

O custo cresce na mesma direção, porque cada nível exige mais redundância, automação e operação. Também importa onde a medição é feita. Um servidor ligado não significa que o usuário consegue emitir um pedido. Medições próximas da experiência real, como testes sintéticos de login e de transação, mostram melhor o que o negócio sente. Essas metas normalmente aparecem em um SLA com o cliente ou em um SLO interno.

Como funciona na prática?

A alta disponibilidade aparece em várias camadas da infraestrutura. Alguns exemplos comuns em empresas:

• Virtualização em cluster: se um servidor físico falha, as máquinas virtuais são reiniciadas automaticamente em outro. Há uma interrupção curta, o tempo do reinício, mas sem depender de alguém agir.
• Firewalls em par: um equipamento fica ativo e o outro assume se o primeiro parar.
• Dois links de internet: de operadoras diferentes e, de preferência, com caminhos físicos distintos até o prédio.
• Balanceador de carga: distribui acessos entre várias instâncias de uma aplicação e retira da rota a que deixa de responder.
• Banco de dados replicado: mantém uma cópia atualizada pronta para assumir.

Existem dois arranjos básicos. No ativo-passivo, um componente trabalha e outro espera. No ativo-ativo, todos atendem ao mesmo tempo e dividem a carga, o que exige folga suficiente para que os restantes absorvam a parte de quem falhou.

Quais erros mais comprometem a alta disponibilidade?

• Redundância com o mesmo ponto de falha: dois links que chegam pelo mesmo poste, dois servidores no mesmo quadro elétrico ou dois nós de cluster que dependem de um único storage.
• Confundir replicação com backup: a réplica copia em segundos uma exclusão acidental ou arquivos criptografados por ransomware. Alta disponibilidade não substitui o backup.
• Failover nunca testado: a troca automática só merece confiança depois de ser exercitada em uma janela controlada.
• Dependências esquecidas: DNS, serviço de diretório, licenciamento ou certificados que existem em um único lugar derrubam o serviço redundante.
• Falha silenciosa: quando um componente cai e o outro assume, o ambiente passa a operar sem redundância. Sem monitoramento e alerta, a próxima falha vira parada.

Quando o investimento faz sentido?

Nem todo sistema precisa do mesmo nível. Um caminho prático é estimar quanto custa uma hora parada para cada serviço, considerando vendas perdidas, equipe sem trabalhar, multas contratuais e impacto em clientes. Esse valor é comparado com o custo de manter componentes duplicados, licenças e operação.

Em geral, a loja virtual, o ERP, a telefonia de uma central de atendimento e os sistemas de produção justificam mais redundância. Um sistema de consulta usado algumas vezes por semana talvez fique bem atendido por um backup confiável e um RTO de algumas horas.