단일 장애점

문이 하나뿐인 건물

10층짜리 건물에 사무실이 200개 있습니다. 그런데 출입구가 하나입니다. 그 문이 고장 나면 어떻게 될까요? 사무실 200개가 전부 무용지물입니다.

건물이 얼마나 큰지, 사무실이 몇 개인지는 아무 상관이 없습니다. 들어갈 방법이 하나뿐이면 그 하나가 건물 전체의 운명을 쥡니다.

이렇게 혼자 멈춰서 전체를 멈추게 할 수 있는 자리를 단일 장애점이라고 합니다.

찾는 방법은 손가락 하나면 된다

단일 장애점을 찾는 데 특별한 도구는 필요 없습니다. 구성도를 펴놓고 부품을 하나씩 손가락으로 가려보면 됩니다. 그리고 매번 같은 질문을 합니다.

"이게 지금 사라졌다. 사용자는 여전히 서비스를 쓸 수 있는가?"

답이 "아니오"면, 방금 가린 그 부품이 단일 장애점입니다. 끝입니다. 이 점검은 시스템을 실제로 멈춰보지 않아도 구성도만 보고 할 수 있습니다.

사용자 ──> 로드밸런서 ──> 서버 1
                     └──> 서버 2

서버 1을 가린다  → 서버 2로 간다      → 괜찮다
서버 2를 가린다  → 서버 1로 간다      → 괜찮다
로드밸런서를 가린다 → 갈 길이 없다    → 단일 장애점!

서버를 두 대로 늘려놓고 안심하는 경우가 많습니다. 그런데 그 앞의 로드밸런서가 하나면 아무 소용이 없습니다. 서버 두 대는 로드밸런서가 살아 있을 때만 의미가 있습니다.

이것이 이 강의의 핵심입니다. 중복은 경로 전체에 있어야 합니다. 한 군데만 하나로 남아 있으면, 나머지에 쏟은 노력이 거기서 다 새어 나갑니다.

왜 부품을 붙일수록 더 자주 고장 나는가

직관에 반하지만 중요한 사실입니다. 사슬로 이으면 전체는 가장 약한 부품보다도 약해집니다.

부품 하나가 99% 확률로 살아 있다고 합시다. 꽤 괜찮아 보입니다. 이런 부품을 다섯 개 줄줄이 이으면 전체는 얼마나 살아 있을까요?

0.99 × 0.99 × 0.99 × 0.99 × 0.99 ≈ 0.95

95%입니다. 부품은 하나도 나빠지지 않았는데 전체는 나빠졌습니다. 전부 살아 있어야 서비스가 되기 때문입니다. 하나라도 죽으면 끝입니다.

부품을 붙일수록 시스템은 더 자주 고장 납니다. 그래서 "기능을 하나 더 붙이자"는 말에는 언제나 숨은 비용이 있습니다.

나란히 두면 뒤집힌다

반대로 나란히 두면 정반대가 됩니다. 둘 다 죽어야 서비스가 멈추니까요.

둘 다 죽을 확률 = 0.01 × 0.01 = 0.0001
살아 있을 확률  = 99.99%

99%짜리 부품 두 개로 99.99%를 만들었습니다. 부품을 더 좋게 만든 게 아니라 배치만 바꿨는데 정지 시간이 3.6일에서 1시간 아래로 줄었습니다.

사슬로 이으면 곱해서 나빠지고, 나란히 두면 곱해서 좋아집니다. 가용성 설계는 결국 "무엇을 사슬에서 빼내 나란히 둘 것인가"를 정하는 일입니다.

정직하게 말할 것

나란히 둔다고 저절로 되는 것은 아닙니다. 위 계산에는 조용한 가정이 하나 있습니다. 두 부품이 서로 무관하게 고장 난다는 가정입니다.

현실에서는 자주 틀립니다. 서버 두 대가 같은 전원에 물려 있으면 정전 때 함께 죽습니다. 같은 배포로 같은 버그가 올라가면 함께 죽습니다. 이때 두 대는 사실상 한 대입니다.

그래서 "두 대 뒀으니 됐다"가 아니라 "이 둘이 같은 이유로 함께 죽을 수 있나?"를 물어야 합니다. 이 질문을 지역 단위까지 밀고 간 것이 뒤에서 다룰 재해 복구입니다.

직접 해보세요

아래 과제의 구성에는 단일 장애점이 있습니다. 손가락으로 하나씩 가려보며 찾아낸 다음, 어떤 부품 하나가 사라져도 서비스가 유지되도록 고치세요.