Region Failover Runbook: khi vùng chính biến mất

Khi toàn bộ region chính mất khả năng phục vụ, đội vận hành theo một runbook cố định: xác nhận đây là lỗi hạ tầng thật (không phải blind spot của monitoring), ngừng ghi vào region chết, promote standby, chuyển traffic bằng DNS/anycast, rồi xác minh từng dependency cũng đã failover — kết thúc bằng việc luyện tập định kỳ và fencing để region cũ không quay lại làm second writer.