恢复也要设计

故障恢复不是把服务拉起来就结束，还包括确认数据一致、修复拓扑、补齐监控和避免旧主重新写入。发散：切换后的收尾流程决定下一次故障会不会更难处理。