物理的破壊とリージョン崩壊：AWS ME-CENTRAL-1 障害の分析

クラウドインフラのレジリエンスは、ソフトウェアバグ、設定ミス、あるいは局所的な停電といった観点で語られることが多い。しかし、最近の AWS 中東（UAE）リージョン（ME-CENTRAL-1）での一連の出来事は、物理的なセキュリティと地政学的安定性がデジタル可用性の基盤であることを痛感させるものだった。最初は「局所的な電力問題」と報告された事象が、データセンターの構造的損傷へとエスカレートし、130 以上の AWS サービスが停止した。

この事例は、アーキテクトやエンジニアにとって、アベイラビリティゾーン（AZ）冗長性と真のリージョン災害復旧の違いを示す重要なケーススタディとなる。複数ゾーンの物理的完全性が損なわれた場合、従来の「マルチ AZ」戦略だけでは不十分になる。

エスカレーション：電力問題から物理的攻撃へ

障害は段階的に展開し、AWS のコミュニケーションも事態の深刻さに応じて変化した。最初は 3 月 1 日に、単一のアベイラビリティゾーン（mec1-az2）に「局所的な電力問題」が発生したと位置付けられた。AWS は、物体がデータセンターに衝突し火花と炎が発生、消防隊が施設と発電機の電源を遮断したと報告した。

3 月 2 日までに影響範囲は大幅に拡大した。AWS は、ME-CENTRAL-1（UAE）と ME-SOUTH-1（バーレーン）リージョンがドローン攻撃による物理的被害を受けたことを確認した。UAE では 2 つの施設が直接衝突され、バーレーンでは近隣の攻撃により大きな物理的損傷が生じた。結果として、以下のような壊滅的影響が発生した：

構造的損傷：データセンター施設への直接的な衝突。
電力障害：電力供給システムの中断。
二次的損傷：消火活動に伴う水害。

ドミノ効果：基盤サービスの崩壊

このイベントから得られる最も技術的な教訓の一つは、AWS サービス間の依存関係チェーンである。「基盤サービス」の障害がエコシステム全体に連鎖的な崩壊をもたらすことが示された。

S3 と DynamoDB のボトルネック

AWS は、Amazon S3 と Amazon DynamoDB を主要な基盤サービスとして特定した。多くの他サービス（AWS Lambda、Amazon Kinesis、Amazon CloudWatch、Amazon RDS など）が S3 と DynamoDB の状態、設定、またはストレージに依存しているため、これらの依存サービスは初期の電力喪失後も長時間にわたり劣化し続けた。

AZ 冗長性の限界

Amazon S3 は単一のアベイラビリティゾーンの完全喪失に耐えるよう設計されている。しかし、ログは重要な転換点を示している：

"When the mec1-az2 AZ was powered off... S3 continued to operate normally. As the second AZ became impaired, S3 error rates increased. With two Availability Zones significantly impacted, customers are seeing high failure rates for data ingest and egress."

この記述は、S3 が非常に高い耐久性を持つ一方で、リージョン内の機能するゾーン数に依存した可用性を持つことを裏付けている。3 つのゾーンのうち 2 つ（mec1-az2 と mec1-az3）が障害を受けた時点で、リージョンサービスは実質的に崩壊した。

復旧の課題と対策

物理的破壊からの復旧は、ソフトウェアクラッシュからの復旧とは根本的に異なる。AWS は以下の 2 本の並行作業を進めた：

物理的復旧：構造損傷の修復、冷却設備の復旧、現地当局と協調して施設の安全な再給電を実施。完全復旧には数か月を要すると見積もられた。
ソフトウェアベースの緩和策：S3 と DynamoDB が極めて制約されたインフラ上でも動作できるようアップデートを配布し、ネットワークレベルの変更で影響を受けたゾーンからトラフィックを迂回させた。

これらの取り組みにも関わらず、障害の不安定さは極めて深刻で、AWS は前例のない措置として、顧客に対し全リソースを他リージョン（米国、欧州、またはアジア太平洋）へ移行し、リモートバックアップから復元することを強く推奨した。運用環境は「予測不可能」な状態が続いていると付記された。

広範な影響と得られた教訓

提供されたログは中東に焦点を当てているが、コミュニティの反応はリージョン集中に対する永続的な不安を浮き彫りにした。Hacker News のユーザーは Coinbase や Modal といったプラットフォームへの下流効果を指摘し、リージョン単位の AWS 障害が SaaS エコシステム全体にグローバルな波紋を広げ得ることを示した。

主なアーキテクチャ上の教訓

マルチ AZ はマルチリージョンではない：本事例は、物理的災害が複数の AZ を同時に失わせ得ることを証明した。ミッションクリティカルなワークロードには、リージョン単位の災害に備えたマルチリージョン戦略が唯一の継続性確保手段となる。
バックアップのローカリティ：プライマリワークロードと同一リージョン内に保存されたバックアップは、リージョンが物理的に破壊された場合に無意味になる。真の災害復旧には、リモートかつクロスリージョンのバックアップが必須である。
依存関係の可視化：エンジニアは自らのアプリケーションが依存する「基盤」サービスを正確に把握すべきである。もしアプリが S3 に依存するサービスに依存しているなら、実質的に S3 のリージョンヘルスに依存していることになる。

要するに、ME-CENTRAL-1 の障害はクラウドコンピューティングにおける「ブラックスワン」事象の顕著な例であり、クラウド自体の物理的破壊がもたらすリスクを改めて認識させるものだった。