ロールバックシナリオ

（事業・管理）

1）ロールバックシナリオが必要な理由

完璧なテストでも、いくつかの変更は劣化につながります。ロールバック（Rollback）とは、データの損失やコンプライアンスがなくても、あらかじめ定義された「安全な」バージョンに戻す管理操作です。目標：MTTRを削減し、お金/データを保護し、パートナーや規制当局の信頼を維持します。

2）変更とロールバックアプローチの分類

コードとコンテナ：バージョン管理されたアーティファクト→青緑色、カナリア、前の画像へのインスタントロールバックで転がります。
Configurations/phicheflags： feature toggle rollback、 atomic switches with TTL and audit。
データベーススキーマ：expand→migrate→contract、双方向マイグレーション、「shadow」列、バックフィル。
データ/価格リスト/税金：アーティファクトバージョン（'fx_version'、 'tax_rule_version'、 'pricelist_version'）、 「freeze」、およびリターン。
統合（PSP/KYC/コンテンツプロバイダ）：ルート/プールの切り替え、バックアッププロバイダへのフォールバック。
インフラ/ネットワーク/CDN：ルール/ルートの段階的なロールバック、二重ローディングによる証明書/キーのロールバック。

3）可逆性のための建築パターン

不変リリース：各リリースは署名付きアーティファクト（image/config）で、前のリリースを即座に選択できます。
互換性レイヤー：schema-compat （add、 not remove）、消費者側のtolerant-reader。
Double-writeとshadow-reads：「切り替える」前の整合性を比較します。
Idempotenceとsagas：クロスサービストランザクションの補償ステップ。
Ficheflags： 「hot」再配置の代わりに、迅速なシャットダウン/フェーズイン。

4）リターンポイントによるローリング戦略

カナリアN％：メトリック/ガードレール→劣化中の自動ロールバック；成功した場合-100％への拡張。
青緑：2つのprodの積み重ね；トラフィックの切換えおよび即刻のロールバック。
一時停止でのローリング：「一時停止ポイント」と前の波にロールバックする機能を持つパーティーごとに更新します。
コホートによるフィッシュフラグ：「ダークローンチ」、ホワイトリスト、地域/テナントフラグ。

5）データベースと移行のロールバック： 安全なテンプレート

1.展開：新しいカラム/インデックス/エンドポイントを追加し、コードは両方のバージョンに書き込みます。

2.移行：バックフィルと検証；新しい構造から「影」を読み込みます。

3.契約：安定性の後で古い無効にして下さい。

双方向：各マイグレーションには'down（）'があります。大きなセットの場合-物理的な削除の代わりに論理リバート（フラグ、ルーティング）。

スナップショット/ポイントインタイム：クリティカルリリース前のテーブルのPITR/スナップショット。

スキーム制御：ステージング/レプリカのCI/CD+「dry-run」のコントラクト・バリデータ。

6）カタログ/価格/税ロールバック

価格表と税金規則を修正する。出版物の領収書を保管してください。
注文の'fx_version'/'tax_rule_version'を修正しました。
「PriceMismatch」→はキャッシュの強制障害、以前のバージョンのアーティファクトへの復帰、ポリシーによる補償です。

7）統合および外部プロバイダー

PSP/KYC/content：バックアップルート、健康サンプル、DNS/LB高速スイッチング、個々のキーを保持します。
Webhook：書き込みドロップとキューを含める。ロールバック中-idempotentキーで「死んだ文字」からのリプレイ。
証明書/キー：ダブルロード（古い+新しい）、切り替える前に互換性を確認します。

8）キックバック（「ルーン」）とガードレールの自動化

Rollback Release、 Disable Flag、 Re-route、 Flush Cache、 Scale Back、 Restore Schema。
ガードレール：IC/所有者に利用できるキックバックの進水；署名（DSSE）、トランザクション周波数制限、確認チェックリスト。
自動ロールバック：SLO/percentiles/errors/financialシグナルの条件（例：Δ quote↔checkout ≠ 0）。

9）コミュニケーションとアーティファクト

リリースカードで：バージョン、ハッシュ、プレビューのチェックリスト、ロールバック再生ブック、責任。
ロールバック中：タイムスタンプ、原因、影響を受けるトラフィックの量、アーティファクト（ログリンク、メトリックの前後）。
外部コミュニケーション（ステータスページ/パートナー）：簡潔で事実関係。

10）ロールバックのプレイブック（参照）

1.再ルート/ブルーグリーン→2）バージョンを修正→3）さらに圧延をブロック→4）ひずみ。

1.Feature Flagを無効にする（100％）→2）フラッシュキャッシュ/フォールバック→3）チケットを修正します。

1.stop heavy-backfill→2）古いスキームへの読み込みを返す（dual-read off）→3）負荷/インデックスを減らす→4） 'down（）'または論理ロールバックを評価する。

1.ロールバック'pricelist_version'/'tax_rule_version'→2）エッジキャッシュの無効化→3）チェックの補正と調整。

1.スタンバイPSP→2）グレー取引の検疫→3）安定化後のキューのレプリカに切り替えます。

1.前のキー（デュアルキー）→2）の回転に戻り、再起動します。

11） RACI

12）品質とSLOの指標

Change Failure Rate （CFR）-rollbackを使用したリリースのシェア（target→）。
MTTR（ロールバック付き）は安定性に戻る中央値です。
タイムツーロールバック-トリガーからロールバックの終わりまで（P1 ≤ 15-20分）。
Δ-メトリックの前後（p95、 error-rate、 E2E success）。
同じ原因のロールバックをN/quarter ≤繰り返しました。
監査カバレッジ：アーティファクトと署名付きの100％ロールバック。

13）セキュリティ、プライバシー、コンプライアンス

リリース/ロールバックのためのWORM雑誌；規制当局によるアーティファクトの保管。
PII/Finance：ロールバックが未解決のゾーン/古いポリシーへのアクセスを開かないことを確認します。
SoD：「誰がロールバックを開始するか」「誰が≠ ≠承認するか」。
クレジット/シークレット：デュアルロールオーバーと前のキーに即座に戻ります。

14）財務および運用上の影響

ダウンタイムとロールバックのコストのコスト：SLOガードレールを使用してソリューションを自動化します。
SLA補償/クレジット-プレイブックのテンプレート。
Egress/compute-cap：ロールバックは一時的に負荷を上げることができます（リプレイ/キャッシュ）-プランウィンドウ。

15）プレリリースチェックリスト（go/no-go）

• 署名されたアーティファクトとリターンポイント（image/config/data version）。
• ロールアウトプランとロールバック再生ブック（ステップ）。
• Migration validated： expand→migrate→contract、 PITR active。
• ダイヤル/ガードレールSLO：アラートシステムの自動ロールバック条件。
• コミュニケーションチャンネル：IC/オーナー/コムオンコール。
• ステージングでの下位互換性テストと「ドライラン」。
• 重要な統合のためのバックアップルート。
• コミュニケーションプラン（内部/外部）とテンプレート。

16）ロールバック中のチェックリスト（インシデント中）

• トリガーと影響を受けるボリューム（地域/テナント/チャネル）を確認します。
• 「What we are rolling back」バージョンを修正しました。
• ロールバックルーン（code/flag/route/data）を実行します。
• SLI/SLOとビジネスメトリック（E2E、チェックアウト、Webhook）を確認します。
• ディレクトリ/バージョン（FX/Tax/PriceList）を確認します。
• 状態を修正：新しいローリングを禁止し、アーティファクトを収集します。
• コミュニケーション：ステータスページ、パートナー、内部。

17）頻繁なエラーとアンチパターン

アーティファクトと署名なしで「手動で」ロールバックします。
双方向性とPITRのない破壊的な移行。
「グローバルスイッチ」なしのフィーチャーフラグ。
PSP/KYCへのバックアップルートはありません。
ウォームアップせずにキャッシュをフラッシュ→コールドリクエストの雪崩。
価格表のリターンの後の未使用のquote≠checkout。

18） FAQ

ロールバックが「所定の位置にある」修正より優れているのはいつですか？
SLO違反/お金/データのリスクの場合、既知の安定版に戻る方が高速で安全です。

「破壊的な」移行をロールバックすることは可能ですか？
はい、expand→migrate→contractとして'down（）'/PITRと論理follbackで設計されている場合。

ロールバックの決定を自動化するにはどうすればよいですか？
SLOガードレール（p95、エラー率、Δ値、webhookの成功）+リスクマトリックス→オートルーン。

注文/トランザクション「間」で何をすべきか？
Idempotentキー、「グレー」操作の検疫、重複排除を伴うキューのレプリカ。

概要：ロールバックシナリオは即興ではなく、迅速に安定性に戻るための事前設計された能力です。すべてをバージョン化し、リバーシブルデータスキームを維持し、フィッシュフラグとカナリアを使用し、ルーンを自動化し、アーティファクトとSLOガードレールをキャプチャします。その後、リリースは引き続き管理可能であり、ビジネスは予測的に安定しています。