two is one, one is none
expressãocultura de operaçõesredes
O provérbio da redundância: com dois você pode perder um; com um, uma única falha deixa você com nada.
De origem militar e nativo do projeto de redes: alimentação dupla, supervisores duplos, pares de HA, dois de tudo no caminho crítico. O corolário que todo operador aprende: redundância não testada conta como um.
Dois é um e um é nenhum é uma máxima militar sobre redundância de equipamento, adotada na infraestrutura porque a aritmética é idêntica. Um componente isolado não tem margem: quando falha, a capacidade acabou. Dois componentes significam que um pode falhar e a capacidade sobrevive, que é a única configuração que tolera aquilo que você sabe que vai acontecer.
O jeito como isso falha na prática é por comunalidade oculta. Duas fontes alimentadas pelo mesmo circuito são uma fonte. Dois servidores no mesmo rack, dois enlaces pelo mesmo conduíte, duas zonas de disponibilidade com plano de controle compartilhado, dois administradores que aprenderam o sistema com a mesma pessoa: cada par parece redundante e compartilha um modo de falha. Encontrá-los exige perguntar de que ambas as cópias dependem, que é pergunta diferente de contá-las.
A outra metade é que redundância não testada é decorativa. Um secundário que nunca carregou tráfego, um failover nunca exercitado, um sobressalente nunca ligado: cada um é suposto, e não sabido, funcional, e a suposição é testada pela primeira vez durante o incidente. Redundância não exercitada está mais perto de um que de dois.