Pular para o conteúdo
fernando.moretes.com
BlogEstudosCursosE-booksOpen SourcePodcasts
Loading…
Fernando Azevedo

Arquiteto de TI Especialista

Arquitetura, AWS, IA em produção, sistemas financeiros e FinOps, escritos a partir do que foi operado, com os números.

  • LinkedIn
  • GitHub
  • E-mail

Conteúdo

  • Blog
  • Estudos de arquitetura
  • Cursos
  • E-books
  • Open Source
  • Podcasts
  • Assuntos
  • Trilhas

Ferramentas

  • Well-Architected self-check
  • Arquitetura deste site
  • Números públicos
  • Histórico de estudo

Sobre

  • Comunidade
  • IA Builder
  • Perfil
  • Currículo (CV)
  • Trabalhe comigo
  • Media kit
  • RSS do blog
  • RSS dos estudos
  • Artigos narrados (podcast)
  • llms.txt
  • Termos, privacidade e uso de IA

(c) 2026 Fernando Francisco Azevedo

Assuntos/Resiliência

Resiliência e segurança

Resiliência

26 conteúdos publicados sobre este assunto: artigos, estudos de arquitetura e guias de repositório.

Artigos· 10

IA & AgentesQuatro padrões de engenharia que separam multiagente de prompt chainO Google publicou os quatro padrões de engenharia que apareceram nos vencedores do AI Agents Challenge. Nenhum deles é sobre modelo: são interface de ferramenta, mensageria assíncrona, validação estrutural e roteamento barato antes da inferência. Reviso cada um com o que muda ao levá-lo para AgentCore, EventBridge e Bedrock, e onde o protótipo do desafio não sobrevive à produção.Abrir Dados & PlataformasMediaLive sem timecode: o que o Video Aligned Locking muda na redundânciaO MediaLive passou a sincronizar pipelines por assinatura visual dos frames, sem depender de timecode embutido, exatamente a peça que faltava para fontes SRT/RTMP de campo e para canais single-pipeline ligados entre regiões. Disseco o padrão: o problema que ele resolve, a anatomia dos modos e métodos de locking, as regras de frame rate e de input que derrubam a sincronização em silêncio, e as três métricas que precisam de alarme antes de ir para produção.Abrir Segurança & ResiliênciaAmazon Connect ativo-ativo: a lição de resiliênciaA novidade de 31 de agosto de 2026 muda o modelo mental: duas regiões do Amazon Connect podem receber contatos e agentes de forma ativa, com visão operacional unificada. Eu leio isso menos como uma função de failover e mais como uma correção de uma fragilidade clássica: o standby que ninguém exercita até o dia em que precisa dele.Abrir AWS & CloudAurora DSQL Multi-Region: O Que Muda para Arquiteturas FinanceirasA Amazon expandiu os clusters multi-Region do Aurora DSQL para mais quatro regiões em julho de 2026, totalizando 16 regiões com suporte a escrita ativa em ambos os lados do par. Para arquitetos de sistemas financeiros, isso não é apenas uma expansão geográfica, é uma mudança fundamental no modelo de resiliência disponível sem gerenciar replicação manual ou aceitar consistência eventual. Neste briefing, analiso o que esse sinal significa para o design de plataformas de alta disponibilidade, onde os trade-offs realmente residem e como posicionar essa tecnologia em um portfólio de dados.Abrir Segurança & ResiliênciaAurora DSQL Multi-Região: Retro de Resiliência em Sistemas FinanceirosA expansão do Aurora DSQL para Estocolmo, Espanha, Mumbai e Singapura em julho de 2026 não é apenas um anúncio de disponibilidade regional, é um sinal de maturidade de uma primitiva de banco de dados distribuído que muda o cálculo de resiliência para sistemas financeiros. Neste retro, analiso o que essa topologia active-active com consistência forte realmente significa na prática, onde os times costumam errar na adoção, e quais mudanças de design seguem obrigatoriamente.Abrir AWS & CloudZone-Aware Routing no ECS Service Connect: O Fim do Trade-off Custo vs. ResiliênciaO ECS Service Connect ganhou roteamento zone-aware em julho de 2026, priorizando automaticamente endpoints na mesma AZ de origem sem código adicional. Para arquiteturas financeiras com alta frequência de chamadas serviço-a-serviço, isso muda o cálculo econômico de multi-AZ de forma significativa. Neste artigo, analiso o mecanismo, os trade-offs reais e como posicionar essa feature no contexto de plataformas de pagamento e dados em tempo real.Abrir Arquitetura de SoluçõesC7a em us-west-1: Retro de Migração e Resiliência em ProduçãoA disponibilização do EC2 C7a em us-west-1 em julho de 2026 parece trivial, mais uma região, mais um tipo de instância. Mas para equipes que operam workloads compute-intensivos com SLOs rígidos, cada expansão regional carrega riscos reais de migração que raramente aparecem nos anúncios. Neste retro, analiso o que pode (e costuma) dar errado, qual a causa raiz sistêmica, e como construir a remediação certa.Abrir Segurança & ResiliênciaDRS + EBS Initialization Rate: RTO Previsível em Ambientes FinanceirosO AWS Elastic Disaster Recovery agora suporta o EBS Provisioned Rate for Volume Initialization, eliminando a variabilidade de performance de storage no caminho crítico do RTO. Para arquitetos de sistemas financeiros, isso muda a conversa de 'esperamos que o volume inicialize a tempo' para 'sabemos exatamente quando o storage estará em plena performance'. O sinal é pequeno na superfície, mas o impacto no design de DR é substancial.Abrir Segurança & ResiliênciaPadrões de Recuperação de Ransomware na AWS: Uma Análise TécnicaRansomware continua sendo o vetor de ameaça com maior impacto financeiro em ambientes corporativos, e a AWS oferece primitivas técnicas sólidas para construir resiliência real. Nesta análise, examino os padrões de recuperação publicados pelo AWS Architecture Blog sob a lente de quem já operou planos de DR em ambientes financeiros regulados. O resultado é uma visão honesta: onde esses padrões entregam valor real, onde há lacunas operacionais e o que você precisa adicionar para que funcionem sob pressão.Abrir Segurança & ResiliênciaCognito Multi-Region: Migrando Identidade para Alta DisponibilidadeAutenticação é infraestrutura crítica, uma falha regional no Cognito derruba toda a jornada do usuário. Com a replicação multi-Region do Cognito agora disponível, existe um caminho concreto para elevar o plano de identidade ao mesmo nível de resiliência que já exigimos de bancos de dados e filas. Neste artigo, documento a jornada de migração, as decisões de arquitetura e os riscos que precisam ser gerenciados ativamente.Abrir

Estudos de arquitetura· 16

Post-mortemAWS us-east-1 (2025): Evento Térmico em Datacenter Derruba EC2 e EBSUma falha no sistema de refrigeração de um datacenter em us-east-1 causou superaquecimento de servidores, acionando desligamentos de proteção térmica que degradaram EC2 e EBS na região. O incidente reacende debates críticos sobre concentração de workloads em us-east-1, o papel do isolamento físico por AZ e a necessidade de graceful degradation em arquiteturas de produção.Abrir Decisão (ADR)ADR: Cognito Multi-Região para Autenticação ResilienteEste ADR analisa quando e como adotar replicação multi-região de User Pools no Amazon Cognito para reduzir indisponibilidade de autenticação em plataformas de identidade com requisitos de alta disponibilidade. São discutidos failover regional, chaves KMS gerenciadas pelo cliente, sincronização de usuários, impacto em sessões e tokens, domínios customizados e experiência do cliente, com raciocínio explícito sobre trade-offs operacionais e de custo.Abrir Design Doc / RFCDesign Doc: Jornada SRE com GenAI usando AWS Resilience HubEste documento propõe uma plataforma SRE baseada no AWS Resilience Hub com camada de GenAI para automatizar descoberta de dependências, análise de modos de falha e geração de runbooks em aplicações críticas. O objetivo é reduzir o risco operacional por meio de políticas de resiliência modulares e relatórios consolidados por organização, substituindo processos manuais propensos a lacunas. O design prioriza rastreabilidade, automação incremental e integração com pipelines CI/CD existentes.Abrir Post-mortemAzure (2026): Sobrecarga de Workloads GenAI e o Blast Radius CompartilhadoEm 29 de maio de 2026, a Microsoft Azure sofreu um incidente de disponibilidade ligado à saturação de infraestrutura de roteamento compartilhada por workloads de IA generativa de primeira-parte. O evento expôs o risco clássico de noisy neighbor em escala de nuvem hiper-escalável e levou a Microsoft a migrar cargas GenAI próprias para planos de roteamento dedicados. Esta análise reconstrói o incidente, avalia as decisões de arquitetura envolvidas e extrai lições aplicáveis a qualquer plataforma que hospede inferência de LLM em infraestrutura multi-tenant.Abrir Post-mortemCoinbase (2026): o control plane do AWS MSK que travou o tradingEm 7 de maio de 2026, um defeito no control plane do Amazon MSK impediu a reeleição automática de líderes de partição em dois clusters Kafka gerenciados da Coinbase, bloqueando silenciosamente os serviços de fee, quoting e execução de trades por horas. O incidente expõe os riscos ocultos de depender de serviços gerenciados como ponto único de coordenação, e a necessidade crítica de observabilidade profunda em infraestrutura que você não opera.Abrir Post-mortemCloudflare (2026): quando uma dependência single-AZ derruba um cluster 'HA'Em 20 de fevereiro de 2026, a Cloudflare sofreu um outage no plano de controle e em analytics porque Kafka e ClickHouse, serviços críticos de ingestão e consulta de dados, existiam apenas na zona PDX-04, enquanto o cluster declarado como de alta disponibilidade dependia deles de forma implícita. O incidente expõe um padrão recorrente em sistemas distribuídos: a ilusão de HA criada por redundância parcial que não cobre todas as dependências da cadeia.Abrir Design Doc / RFCDesign Doc: API de Pagamentos Multi-Região Active-ActiveEste documento propõe uma arquitetura active-active multi-região para uma API de pagamentos crítica, endereçando RTO/RPO próximos de zero, replicação de dados com resolução de conflitos determinística e um rollout faseado que minimiza risco operacional. O design parte de princípios reais de engenharia financeira e padrões AWS, com trade-offs explícitos entre consistência, latência e custo.Abrir Post-mortemAWS us-east-1 (2025): uma corrida na automação de DNS do DynamoDB derruba meia regiãoEntre 23:48 PDT de 19/10 e 14:20 PDT de 20/10/2025, uma condição de corrida latente na automação de DNS do DynamoDB deixou vazio o registro do endpoint regional em us-east-1, e a própria automação não conseguiu se reparar. Analiso a cascata: o EC2 perdeu leases, os health checks do NLB derrubaram serviço saudável e a recuperação de cada camada levou horas a mais que a anterior. Fecho com o que eu mudaria num sistema de pagamentos que só roda em us-east-1.Abrir Post-mortemOpenAI (2024): como um novo serviço de telemetria derrubou o control plane do KubernetesEm dezembro de 2024, a OpenAI implantou um novo agente de telemetria em toda a sua frota Kubernetes simultaneamente. A sobrecarga resultante nos API servers cascateou para uma indisponibilidade global do ChatGPT, da API e do Sora por várias horas, e o próprio control plane saturado impediu o rollback. Uma análise de como a separação entre control plane e data plane, rollouts graduais e desacoplamento de observabilidade não eram opcionais.Abrir Post-mortemCrowdStrike (2024): o content update que derrubou 8,5 milhões de máquinas WindowsEm 19 de julho de 2024, uma atualização de conteúdo do sensor Falcon da CrowdStrike causou leitura fora dos limites em um driver de kernel Windows, provocando BSOD em escala global e paralisando infraestruturas críticas em aviação, saúde e finanças. A ausência de rollout progressivo para atualizações de conteúdo e uma falha no validador interno foram os vetores centrais do incidente. Este post-mortem examina a cadeia de falhas, o blast radius real e as lições arquiteturais que todo engenheiro que opera software em kernel-space deve internalizar.Abrir Post-mortemGoogle Cloud × UniSuper (2024): Quando uma Configuração Apagou uma Subscrição InteiraEm maio de 2024, uma configuração equivocada durante o provisionamento de um ambiente VMware privado na Google Cloud resultou na exclusão completa da subscrição da UniSuper em duas regiões. A recuperação só foi possível porque a UniSuper mantinha backups em um provedor de nuvem separado, uma decisão que salvou dados de 500 mil membros. O incidente expõe falhas sistêmicas em salvaguardas de exclusão, blast radius de automação e a falácia de assumir resiliência dentro de um único provedor.Abrir Post-mortemRoblox 2021: 73 Horas de Indisponibilidade, Consul e o Efeito de CargaEm outubro de 2021, o Roblox ficou indisponível por 73 horas consecutivas, o maior outage da história da plataforma. A causa raiz foi uma combinação de contenção no BoltDB (backend do Consul) amplificada por um novo recurso de streaming de telemetria ativado durante um período de tráfego elevado. Este post-mortem reconstrói a cadeia de falhas, analisa as decisões de infraestrutura envolvidas e extrai lições aplicáveis a qualquer plataforma que dependa de service mesh e coordenação distribuída.Abrir TeardownNetflix: Chaos Engineering e Resiliência por DesignUma reconstrução arquitetural de como a Netflix transformou falhas inevitáveis em prática deliberada, da Simian Army ao failover regional automatizado. Este teardown examina as decisões técnicas, os trade-offs reais e o que separa resiliência de verdade de alta disponibilidade cosmética.Abrir Post-mortemAWS Kinesis us-east-1 (2020): Quando um Limite de Threads do SO Derrubou Metade da AWSEm novembro de 2020, uma expansão de capacidade no front-end do Amazon Kinesis esgotou o limite de threads por processo do sistema operacional, causando falhas em cascata que afetaram Cognito, CloudWatch, Lambda, ECS e dezenas de outros serviços na região us-east-1 por mais de oito horas. O incidente expôs dependências ocultas entre serviços AWS e os riscos de mudanças operacionais aparentemente seguras em sistemas de larga escala.Abrir Post-mortemGitHub 2018: 43 Segundos de Partição, 24 Horas de Split-Brain no MySQLEm 21 de outubro de 2018, uma janela de manutenção de rede de 43 segundos desencadeou uma cascata de falhas que manteve o GitHub degradado por quase 24 horas. O Orchestrator promoveu réplicas em regiões erradas, criando um split-brain entre datacenters, e revelando como automação de failover sem fencing adequado pode transformar uma microfalha em uma catástrofe de consistência de dados.Abrir Post-mortemAWS S3 us-east-1 (2017): quando um typo derruba a internetEm 28 de fevereiro de 2017, um engenheiro da AWS executou um comando de debug com um parâmetro incorreto e removeu uma quantidade muito maior de servidores do subsistema de indexação do S3 do que o pretendido. O resultado foi quatro horas de degradação severa em us-east-1 que afetou centenas de serviços dependentes, de ferramentas de monitoramento a grandes plataformas SaaS. O incidente expôs fragilidades estruturais em torno de dependências implícitas, ausência de rate limiting em operações destrutivas e a falácia de assumir que uma única região AWS seria suficientemente resiliente.Abrir