主备难在切换

双机架构看似简单，真正复杂的是故障判断、数据同步和主备切换时机。发散：主备方案要重点验证“误切”和“不切”两种失败，因为它们都可能扩大事故。