本文へスキップ

AI運用の判断と根拠を引く

Enterprise AI運用辞典

トップへ戻る

AIディザスタリカバリ／BCP

用語・参照用語・参照公式仕様のみ公式仕様のみ鮮度未確認鮮度を確定できない

記事状態: 公開 · 最終確認: 未確認

要点

「AIのDRはAPIの切替ではなく、依存関係・状態・品質・policyを含む業務継続設計である。別提供元が存在するだけではBCPにならない。」

現在の判断

  • AI BCPは dependency map をモデル APIだけでなく主体の識別, 検索・取得/索引, ベクトル DB, ツール/API, policy/guardrail, queue, 保存領域, 稼働状況の記録まで展開する。
  • 復旧目標は RTO/RPO に加え DQO (degraded-quality objective) を置く提案が妥当。失敗時の代替処理で業務継続しても品質・安全性が許容範囲外ならDR成功とはしない。
  • failover modeは full-equivalent / degraded-capability / read-only / human-only / queue-and-replay / hard-stop に分類する。

どこまで当てはまるか

企業AI運用の共通原則 / 信頼性 / 運用管理・統制 / 相互運用性 / 組織オーバーレイ

詳しく理解する

なぜ重要か

AI依存業務では提供元 outageだけでなくモデル withdrawal、regional capacity、利用枠、主体の識別、検索・取得、ツール、policy service停止が業務停止要因になる。DRは「別モデルを呼ぶ」だけでは閉じない。

対象範囲と前提

企業AI運用の共通原則 / 信頼性 / 運用管理・統制 / 相互運用性 / 組織オーバーレイ

検討ポイント

AI DRはRTO/RPOに加えてquality degradation・policy equivalence・状態 復旧を定義すべきか。

根拠資料の対応表

  • [公式仕様 / 製品仕様の変動あり] AWS Bedrock クロスリージョン推論ドキュメント、2026-09-16参照。https://docs.aws.amazon.com/bedrock/latest/userguide/cross-region-inference.html — マルチリージョンルーティングは実在するが、Provisioned 単位時間あたりの処理量（プロビジョニング済みスループット）非対応などの制約あり。関係性=サポート/制限事項。
  • [SREの実践] Google SRE Workbook, “Implementing SLOs”, Steven Thurgood et al., 参照日 2026-09-16. https://sre.google/workbook/implementing-slos/ — 重要な依存関係、エラー予算、段階的な機能縮退、運命共同体（shared fate）を明示。関係性 = 文脈/裏付け。

利用できる条件

失敗時の代替処理 routeの事前契約・利用枠・warm capacity・region/data policy・秘密情報・モデル access・dependency 利用可能性。

実装・運用

将来Core候補 AI_BCP_RECOVERY_CONTRACT: business function, criticality, dependencies, 失敗 domains, primary/失敗時の代替処理 route, RTO/RPO/DQO, allowed degradation, 状態 途中状態の保存地点, queue/replay rule, human 失敗時の代替処理, failback criteria, exercise timestamp/result。

確認・評価方法

GameDay/chaos fixtureで提供元 5xx/429/処理待ち時間の上限、region loss、モデル unavailable、検索・取得 down、ツール down、主体の識別 downを注入。RTO、lost/duplicated work、quality delta、policy violation、manual loadを測る。

セキュリティとプライバシー

DR routeは平常時より緩いpolicyにしない。failover先のデータの保存地域/保持期間・保持方針を事前承認。warm standby費用とDR drill費用を明示。

現行性の確認範囲と限界

Cross-Region 推論 is one resilience/単位時間あたりの処理量 mechanism, not complete BCP; Geographic/Global residency and Provisioned 単位時間あたりの処理量 限界 stay explicit.

確認できていること

  • AI BCPは dependency map をモデル APIだけでなく主体の識別, 検索・取得/索引, ベクトル DB, ツール/API, policy/guardrail, queue, 保存領域, 稼働状況の記録まで展開する。

  • 復旧目標は RTO/RPO に加え DQO (degraded-quality objective) を置く提案が妥当。失敗時の代替処理で業務継続しても品質・安全性が許容範囲外ならDR成功とはしない。

  • failover modeは full-equivalent / degraded-capability / read-only / human-only / queue-and-replay / hard-stop に分類する。

よくある失敗・反証

  • 複数Region/提供元でもshared モデル vendor、主体の識別、network、制御層、prompt/設定 registryが共通なら独立失敗 domainではない。失敗時の代替処理 モデルのツール/データ形式の定義/refusal差によりsilent corruptionが起こり得る。

  • 提供元固有SLA/DR保証は公開直前再確認。実組織の利用環境 GameDay未実施。設計条件・契約とTEST_PROFILE確立につき停止条件充足。

    ---

    ---

実務での使い方

  • 失敗時の代替処理 routeの事前契約・利用枠・warm capacity・region/data policy・秘密情報・モデル access・dependency 利用可能性。

  • 将来Core候補 AI_BCP_RECOVERY_CONTRACT: business function, criticality, dependencies, 失敗 domains, primary/失敗時の代替処理 route, RTO/RPO/DQO, allowed degradation, 状態 途中状態の保存地点, queue/replay rule, human 失敗時の代替処理, failback criteria, exercise timestamp/result。

  • GameDay/chaos fixtureで提供元 5xx/429/処理待ち時間の上限、region loss、モデル unavailable、検索・取得 down、ツール down、主体の識別 downを注入。RTO、lost/duplicated work、quality delta、policy violation、manual loadを測る。

  • DR routeは平常時より緩いpolicyにしない。failover先のデータの保存地域/保持期間・保持方針を事前承認。warm standby費用とDR drill費用を明示。

  • EA-091 route 条件・契約をBCP routeへ流用し、EA-093 利用枠 exhaustionも失敗 injectionに含める。

  • Cross-Region 推論 is one resilience/単位時間あたりの処理量 mechanism, not complete BCP; Geographic/Global residency and Provisioned 単位時間あたりの処理量 限界 stay explicit.

まだ確認できていないこと

  • EA-092-UNKNOWN-01

    提供元固有SLA/DR保証は公開直前再確認。実組織の利用環境 GameDay未実施。設計条件・契約とTEST_PROFILE確立につき停止条件充足。

    ---

    ---

  • EA-092-UNKNOWN-CURRENTNESS

    外部根拠の再確認日が正式な本文・公開管理情報で確定していないため、現行性は未確認のまま保持する。確認日を推測して補わない。

根拠資料

出典ID・検証情報・機械可読データ

根拠の種類と情報の鮮度は、ラベルとアイコンで確認できます。

記事ID
EA-092
最終確認日
—
提供元・モデル・プラン・利用環境
—
対象地域
—
元資料の全文と収録照合記録
WHY_THIS_MATTERS_TO_UPDATE

AI依存業務ではprovider outageだけでなくmodel withdrawal、regional capacity、quota、identity、retrieval、tool、policy service停止が業務停止要因になる。DRは「別modelを呼ぶ」だけでは閉じない。

SCOPE_ROUTING

Enterprise AI Core / reliability / governance / interoperability / organization overlay

CLAIM_OR_RESEARCH_QUESTION

AI DRはRTO/RPOに加えてquality degradation・policy equivalence・state recoveryを定義すべきか。

EVIDENCE TABLE
FINDINGS
  • AI BCPは dependency map をmodel APIだけでなくidentity, retrieval/index, vector DB, tool/API, policy/guardrail, queue, storage, telemetryまで展開する。
  • 復旧目標は RTO/RPO に加え DQO (degraded-quality objective) を置く提案が妥当。fallbackで業務継続しても品質・安全性が許容範囲外ならDR成功とはしない。
  • failover modeは full-equivalent / degraded-capability / read-only / human-only / queue-and-replay / hard-stop に分類する。
LIMITS / COUNTEREVIDENCE / FAILURE ENVELOPE

複数Region/providerでもshared model vendor、identity、network、control plane、prompt/config registryが共通なら独立failure domainではない。fallback modelのtool/schema/refusal差によりsilent corruptionが起こり得る。

AVAILABILITY_GATES

fallback routeの事前契約・quota・warm capacity・region/data policy・secret・model access・dependency availability。

IMPLEMENTATION_STATE

将来Core候補 AI_BCP_RECOVERY_CONTRACT: business function, criticality, dependencies, failure domains, primary/fallback route, RTO/RPO/DQO, allowed degradation, state checkpoint, queue/replay rule, human fallback, failback criteria, exercise timestamp/result。

BENCHMARK_OR_EVAL

GameDay/chaos fixtureでprovider 5xx/429/timeout、region loss、model unavailable、retrieval down、tool down、identity downを注入。RTO、lost/duplicated work、quality delta、policy violation、manual loadを測る。

SECURITY / PRIVACY / AUDIT / COST / OPERABILITY

DR routeは平常時より緩いpolicyにしない。failover先のdata residency/retentionを事前承認。warm standby費用とDR drill費用を明示。

SAFE_WORDING_FOR_FUTURE_BOOK

「AIのDRはAPIの切替ではなく、依存関係・状態・品質・policyを含む業務継続設計である。別providerが存在するだけではBCPにならない。」

UPDATE_WORK_HANDOFF

EA-091 route contractをBCP routeへ流用し、EA-093 quota exhaustionもfailure injectionに含める。

OPEN_UNKNOWN / STOP_CONDITION

provider固有SLA/DR保証は公開直前再確認。実tenant GameDay未実施。設計contractとTEST_PROFILE確立につき停止条件充足。

---

---

AUDITED_CURRENTNESS_BOUNDARY

Cross-Region inference is one resilience/throughput mechanism, not complete BCP; Geographic/Global residency and Provisioned Throughput limitations stay explicit.

  • EVD-EA-092-URL-5054E58070D9研究資料研究資料根拠の出所: SOURCE_PACKET_REFERENCE

    1. [official spec / PRODUCT_VOLATILE] AWS Bedrock cross-Region inference docs, accessed 2026-09-16.

    裏付ける内容
    —
    確認日
    —
    出典・実験ID
    SRC-EA-092-URL-5054E58070D9
    検証箇所
    EVIDENCE TABLE · 1. [official spec / PRODUCT_VOLATILE] AWS Bedrock cross-Region inference docs, accessed 2026-09-16. https://docs.aws.amazon.com/bedrock/latest/userguide/cross-region-inference.html
    適用範囲
    EVIDENCE TABLE
    出典・来歴
    SOURCE_PACKET_REFERENCE_PROJECTED
    限界
    元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。
  • EVD-EA-092-URL-06C934AF218E研究資料研究資料根拠の出所: SOURCE_PACKET_REFERENCE

    2. [SRE practice] Google SRE Workbook, “Implementing SLOs”, Steven Thurgood et al., accessed 2026-09-16.

    裏付ける内容
    —
    確認日
    —
    出典・実験ID
    SRC-EA-092-URL-06C934AF218E
    検証箇所
    EVIDENCE TABLE · 2. [SRE practice] Google SRE Workbook, “Implementing SLOs”, Steven Thurgood et al., accessed 2026-09-16. https://sre.google/workbook/implementing-slos/
    適用範囲
    EVIDENCE TABLE
    出典・来歴
    SOURCE_PACKET_REFERENCE_PROJECTED
    限界
    元の監査済み資料に記載された参照先です。URLの復元は、資料の最新性や全主張の支持を新たに検証したことを意味しません。
  • EA-092-R11-RESEARCH研究資料研究資料根拠の出所: AUDITED_CANONICAL_RESEARCH_PACKET

    EA-092 監査済みresearch / canonical revision binding

    裏付ける内容
    - AI BCPは dependency map をmodel APIだけでなくidentity, retrieval/index, vector DB, tool/API, policy/guardrail, queue, storage, telemetryまで展開する。 - 復旧目標は RTO/RPO に加え DQO (degraded-quality objective) を置く提案が妥当。fallbackで業務継続しても品質・安全性が許容範囲外ならDR成功とはしない。 - failover modeは full-equivalent / degraded-capability / read-only / human-only / queue-and-replay / hard-stop に分類する。
    確認日
    —
    出典・実験ID
    COMM-082-EA0092
    検証箇所
    COMM-082-EA0092 · EA-092-R5-LEGACY-MIGRATION-20261008-R1 · content/staging/EA-092.md
    適用範囲
    監査済みEA本文・canonical revision・既存Source Graph relationの範囲。欠損currentnessは推測で閉じない。
    出典・来歴
    AUDIT_PASS_CANONICAL_BINDING
    限界
    canonical監査・revision bindingの存在を示す。外部ソースcurrentnessが本文またはcontrol-planeで確定していない場合は、currentnessをUNKNOWNのまま保持する。
  • EA-092-R11-WEB-READBACK実装資料実装資料根拠の出所: IMPLEMENTATION_READBACK

    EA-092 Web body identity / canonical readback

    裏付ける内容
    canonical staging bodyのSHA-256一致とR9 canonical ledger readbackをProduction projectionの入力として検証する。
    確認日
    —
    出典・実験ID
    WEBBODY-EA0092-R8-339045E0
    検証箇所
    WEBBODY-EA0092-R8-339045E0 · content/staging/EA-092.md · EA-092-R5-LEGACY-MIGRATION-20261008-R1
    適用範囲
    R9/R10 canonical readback後のProduction生成時body identity。
    出典・来歴
    CANONICAL_READBACK_BODY_HASH_MATCH
    限界
    body identity/readbackは本文claim自体の真偽や外部ソースの最新性を追加保証しない。
出典ID
COMM-082-EA0092, SRC-EA-092-URL-5054E58070D9, SRC-EA-092-URL-06C934AF218E, WEBBODY-EA0092-R8-339045E0
追跡中のUNKNOWN ID
EA-092-UNKNOWN-01, EA-092-UNKNOWN-CURRENTNESS
再確認のきっかけ
正式な 改訂版/publication 状態 change · 本文 成果物 hash change · 出典 現行性 change · new contradiction or 実装 結果の照合

機械検査: 通過 — 機械検査の結果です。情報の正確性や実行の承認を保証するものではありません。

    同じ記事IDの機械可読データです。