[DR][P1] 역방향 페일백 export의 세대 검증 및 이전 worker 쓰기 권한 회수

[dhslove]

부모 에픽: #950. 관련: #968, #953. 우선순위 P1 — 쓰기 권한 보호.

문제

페일백에서는 최초 원본 사이트가 역방향 복제의 쓰기 대상이 된다. #968의 정방향 세대 검증 및 과거 worker 회수가 startReverseTargetExport()/stopReverseTargetExport()에는 적용되지 않아 원본 사이트의 이전 worker 장애·이동·복귀에도 동일 보호가 필요하다.

이는 코드에서 확인한 계약의 비대칭이다. 역방향 실환경 동시 쓰기나 손상을 재현한 것은 아니다.

코드 근거

Cloud DrPlanOwnedTransportServiceImpl 42c43766c1: 역방향 START는 reverseTargetExport=true, workerUuid=null로 원격 dispatch하며 generation 발급/과거 writer STOP/ownershipProtocol 검증이 없다. STOP도 workerUuid=null, profile=null로 dispatch하고 일반 성공 응답만 확인한다(L140). 실시간 worker 선정은 필요하지만 그것만으로 과거 worker export가 종료됐다는 증거가 되지 않는다.

qemu gate: managed tombstone이 없는 호스트는 legacy 명령을 수용하며, managed START가 있는 경우 무세대 명령은 거절한다. 따라서 역방향 계약은 보호 누락뿐 아니라 과거 상태에 따른 호환성 차단도 점검해야 한다.

구현 방향

• 정·역방향 공통 ownership orchestration을 사용하되 site/replica/device/direction/authority 식별자를 분리한다. 서로 다른 Cloud DB의 auto-increment 숫자를 그대로 비교 가능한 전역 세대로 간주하지 않는다.
• 원본 사이트 원격 Agent API까지 grant/revoke 세대와 구조화된 ACK를 전달·검증한다. 같은 요청의 재시도는 멱등하게 처리한다.
• 이전 역방향 writer 목록과 불확실 grant를 추적하며 새 writer 허용 전 종료 또는 검증된 fencing을 요구한다. worker는 live inventory에서 고르며 Plan에 영구 pin하지 않는다.
• 원격 Mold/Agent 단절, ACK 유실, 이전 worker 복귀 및 양 사이트 역할 재전환에서 stale START/STOP을 차단한다.
• 원본 운영 VM이 살아 있는 상태에서 원본 디스크를 복제 대상으로 열지 않도록 기존 failback authority/cutover 경계를 유지한다.
• 구버전 profile/tombstone 이관 및 정방향 이후 역방향, 재보호 이후 다시 정방향의 호환성을 정의한다.

완료 기준

• 정방향 failover → 역방향 sync → failback → reprotect 전체 UI 체인에서 단일 유효 writer.
• 이전 역방향 worker 장시간 단절·복귀/Agent 재시작/worker 변경/응답 유실/중복·지연 START STOP 시험.
• RBD↔RBD, RBD↔qcow2, qcow2↔qcow2의 해당 전송 경로 검증. VMware 기존 역방향 경로는 적용 여부를 명시하고 회귀 검증.
• 원본·운영 VM/볼륨·다른 Plan 보존, durable checkpoint·authority 증거 확보.
• Cloud/qemu 공통 계약·변경 모듈 및 Actions·배포·UI/runtime 결과 연결.

일반 자원 가드 #953과 중복 구현하지 않으며, 정방향 장애 호스트 회수 후속 과제와 공통 구성요소를 공유한다. 단순히 모든 원격 호스트를 매번 필수 ACK 대상으로 늘리는 방식은 피한다.

[dhslove]

필수 계약 보완: 원본 단절은 재해 페일오버의 차단 조건이 아니다

사용자 요구 반영: 원본 단절은 실제 재해일 수 있다. Disaster Failover는 원본 VM/호스트/Agent/Mold/스토리지 전체가 응답하지 않아도 대상의 유효한 durable checkpoint와 대상 실행 능력으로 수행 가능해야 한다. 원본 PAUSE/최종 SYNC/전원 OFF ACK/원격 fencing 성공/원본 자격 증명 재검증/실시간 원본 inventory 조회를 재해 모드의 필수 선행 조건으로 두지 않는다. 장애 기간이 길다는 이유로 재해 복구를 비활성화하지 않는다.

현재 코드에서 확인한 기존 계약

검토 기준 Cloud42c43766c1:

• DrFailoverExecutionPolicy: planned/disaster를 구분하고 disaster는 원격 source 실행을 사용하지 않으며 TARGET_DISASTER scope를 사용한다.
• FtctlDrUnifiedActionAdapter: disaster는 원본 hardware snapshot 조회/검증을 생략한다. L569의 preparePlanOwnedTransport는 대상 export STOP을 수행하며, L1114의 capability 경로는 대상 disaster promote 기능을 검증한다.
• 따라서 재해 페일오버 전체가 현재 원본 응답을 요구한다고 단정하지 않는다. 확인된 Test Failover PAUSE 의존성 수정과 함께 이미 존재하는 target-only disaster 계약을 끝까지 유지하는지 UI eligibility → API readiness → profile 구성 → placement/capability → Agent 실행 → 결과 투영/재시도까지 회귀 검증한다.

#969/#970과의 경계

• 대상 복제본에 접근하는 이전 export/쓰기 연결을 대상에서 차단하는 것은 필요하다. 이것을 원본 사이트와 연락하여 원본 VM 정지나 원격 fencing 성공을 받아야 한다는 조건으로 확장하지 않는다.
• 재해 모드에서는 대상 endpoint/스토리지 권한 또는 검증된 독립 checkpoint artifact 등 대상에서 완결할 수 있는 쓰기 격리 방식을 사용한다. 원본의 ACK를 기다리는 방식으로 대체하지 않는다.
• 대상 checkpoint가 없거나 손상되었거나 대상 스토리지 자체가 불가하면 대상 조건 미충족으로 구체적으로 안내한다. 원본 단절과 혼동하지 않는다.
• 실제 재해 전환은 명시적인 disaster 모드로 기록한다. 단절만 보고 자동 전환하지 않는다. 마지막 복구 시점/RPO 및 원본 상태 미확인을 표시하되 원본 상태 UNKNOWN을 전환 거절 조건으로 쓰지 않는다.
• 원본이 실제로 살아 있는 네트워크 partition일 수도 있다. 원본 중지가 확인되지 않았는데 정지/fencing VERIFIED로 허위 기록하지 않는다. 대상 권한 전환과 원본 상태 UNKNOWN을 별도로 영속화한다.
• 원본 복귀 시 오래된 scheduler/START/쓰기 요청을 차단하고 격리·재가입 절차를 거치게 한다. 원본과 통신할 수 없을 때 원본 VM 자체가 정지했다고 보장할 수는 없다. 서비스 네트워크 충돌 방지와 원본 운영 복귀 절차까지 설계한다.
• planned failover의 최종 동기화 계약과 reverse failback의 원본 쓰기 대상 준비 조건은 별도 유지한다. 이를 disaster failover 진입 조건으로 재사용하지 않는다. 레거시 DR Cluster는 비활성 상태를 유지한다.

추가 필수 완료 기준

• 원본 Agent, Mold, 전체 사이트를 각각 단절한 상태에서 UI 재해 페일오버 선택/API 요청/대상 VM 부팅 및 QGA 검증까지 가능하다. 원본 복귀 없이 성공해야 한다.
• 원본 RPC는 테스트에서 실패 또는 응답 지연으로 설정하고, 필수 실행 경로에서 호출되지 않음을 검증한다. 긴 원본 timeout 후 진행되는 동작도 개선 대상이다.
• 동일 조건에서 planned는 최종 sync 불가를 안내하며 disaster는 유효한 대상 checkpoint로 진행한다.
• 대상 전환 시 남은 source→target 쓰기를 대상 측에서 차단하고, 원본 미응답을 이유로 확인 절차가 정체되지 않는다.
• 원본 장시간 단절 중 관리 서버 재시작/재시도에도 대상 authority가 유지되며 원본 복귀/지연 명령이 복제를 부활시키지 않는다.
• RBD→RBD, qcow2→qcow2, VMware→RBD 및 적용되는 혼합 경로를 검증하고 미검증 경로는 명시한다.

이번 반영은 분석/설계 및 완료 기준 보완이다. 실환경 원본 전체 단절 시험을 수행했거나 PASS했다는 의미가 아니다.

[dhslove]

최우선 범위 정정: 유지보수 후 정상 복제의 무인 자동 복원

최신 사용자 지시가 앞선 범위 설명에 우선한다. 이번 개선의 주목적은 원본 또는 대상 작업 호스트가 유지보수 등으로 장시간 중단되었다가 정상 복귀했을 때, 사용자의 재동기화·재개·Plan 재등록·수동 export 정리·서비스 재시작 없이 복제가 자동 복원되는 것이다. 재해 페일오버/페일백 기능 확장이 주목적이 아니다.

동작 계약

• 호스트 장애는 사용자 PAUSE가 아니다. 원래 RUNNING인 계획은 일시 중단/복구 대기로 표시하고, 실행 가능한 worker·스토리지·Agent가 확보되면 자동 복구한다.
• 가능한 경우 live inventory에서 대체 worker를 자동 선택한다. 이전 writer 권한을 확인할 수 없는 동안 신규 쓰기를 허용하지 않되, 정상 호스트 복귀 후에는 자동 회수·재협상·재시도로 수렴해야 한다. 단순 Agent Down은 전원 차단 증거가 아니다.
• 원본 VM 실행 호스트와 복제 worker를 구분한다. 공유 스토리지 작업에 VM 호스트를 영구 pin하지 않는다. 실제 VM-local 처리가 필요한 작업은 정상화 후 재시도한다.
• 대상 export/전송 연결 및 source scheduler를 자동 재연결하고 durable checkpoint/증분 baseline을 검증한다. baseline이 유효하면 증분을 이어가며, 유실 시 기존 재시드 정책과 명확한 상태를 따른다. 안전성이 확인되지 않은 자동 쓰기로 성공을 만들지 않는다.
• 원래 PAUSED이면 PAUSED 유지. 장애 중 사용자가 PAUSE/RELEASE/FAILOVER 등을 실행했다면 최신 의도가 우선하며, 오래된 자동 복구가 이를 되돌리지 않는다.
• 장기 단절 동안의 반복 실패·관리 서비스 재시작·중복 재시도에 견디는 durable 복구 상태/backoff를 구현한다. 복구 대기와 복구 완료를 구분한다.

핵심 재현 및 PASS

1. UI에서 정상 RUNNING 복제와 최신 durable checkpoint를 확인한다.
2. 원본 worker만, 대상 worker만, 양쪽 worker를 각각 장시간 단절시킨다. Agent 중지/관리망 단절/가능한 실제 호스트 중단은 별도로 구분한다.
3. 실제 timeout 및 여러 retry/reconcile 주기를 넘긴 뒤 호스트/연결만 복구한다. 양쪽 장애는 복구 순서도 바꾼다.
4. 이후 사용자는 아무 복구 액션도 하지 않는다. Full Sync/Resume/DB 수정/수동 export 삭제로 결과를 보정하지 않는다.
5. 자동 worker 재선정·export 회수/복원·scheduler 재개 후 새 durable checkpoint와 변경 데이터의 대상 반영을 확인한다. Run/서비스 RUNNING만으로 PASS를 선언하지 않는다.
6. 자동 복원 소요시간을 측정하고 설계된 retry 주기/SLO와 비교한다. 유효 baseline에서 불필요한 Full Seed가 발생하지 않는지 확인한다.
7. PAUSED 유지 및 장애 중 사용자 의도 변경을 각각 확인한다.

다른 작업에 대한 불변 조건

• 기존 planned/disaster failover, test/cleanup, failback/reprotect, release/delete의 준비 조건·실행 권한을 불필요하게 강화하거나 바꾸지 않는다.
• 원본 단절은 기존 target-only Disaster Failover를 막지 않는다. 이는 이번 범위를 재해 전환 기능 확장으로 넓히는 것이 아니라 기존 계약을 보존하는 회귀 조건이다.
• failover/failback 중 자동 복구와의 경합에서는 최신 Run/authority를 따르며 기존 방향의 복제를 부활시키지 않는다.
• [DR][P1] 역방향 페일백 export의 세대 검증 및 이전 worker 쓰기 권한 회수 #970 역방향 소유권 보강과 [DR][P1] 원본 단절 시 재해 페일오버 독립성 보장 및 체크포인트 테스트·정리 개선 #971 체크포인트 테스트 의존성 개선은 별도 후속 과제로 유지한다. 이들의 전체 구현을 #969의 선행 조건으로 만들지 않는다. 공통 코드 변경의 회귀 검증은 [DR][P1] 원본·대상 작업 호스트 장기 중단 후 정상 복제 자동 복원 #969 안에서 수행한다.

아래 기존 fencing/소유권 분석은 자동 복원을 안전하게 만드는 세부 근거이다. 호스트 복귀 후에도 사용자의 수동 fencing 완료 등록을 일반 복구 절차로 요구해서는 안 된다. 영구 폐기·실제 스토리지 손상·권한 증거 유실 같은 비정상 복구는 정상 유지보수 복귀와 구분하여 진단한다.

---

[dhslove]

#970 역방향 export 소유권 상세 설계

기준과 브랜치

Cloud c6dceb8 / qemu 7bd0017 (#969 배포 검증 누적 기준)에서 각각 독립 WSL ext4 worktree와 codex/fix-970-reverse-export-ownership 생성. 이전 브랜치를 병합하거나 변경하지 않는다. 기능은 누적 기반에 의존하므로 독립 cherry-pick 가능하다고 주장하지 않는다.

현재 공백

DrPlanOwnedTransportServiceImpl의 reverse START/STOP은 remote broker가 선택한 단일 worker의 일반 성공만 확인한다. broker는 workerHostUuid를 실행 권한으로 고정하지 않는 반면, 과거 export 소유자 회수 이력도 없다. qemu generation tombstone만으로 원격 다른 worker의 writer 종료를 증명할 수 없다.

변경 계약

1. Plan 소유 Cloud가 기존 DrExportOwnershipStore에서 정·역방향 공통 단조 generation을 발급한다. 원격 Cloud의 auto-increment를 섞지 않는다. plan UUID가 generation scope이며 양 사이트 역할 변경에도 같은 소유 Cloud가 발급한다. 역방향 START에는 STOP floor+1, STOP에는 floor를 전달한다.
2. reverse request에 exportAuthorityScope=Plan UUID, exportDirection=REVERSE, exportGeneration, reverseTargetExport=true를 전달한다. STOP도 식별 프로파일을 전달한다. Cloud는 qemu generation/scope/direction ACK와 remote ownership broker protocol을 확인해야 성공한다. 구버전 broker의 일반 성공을 허용하지 않는다.
3. 원본 사이트 FtctlDrSiteAgentBrokerServiceImpl에서 reverse export만 별도 orchestration으로 처리한다. 신규 FtctlDrReverseExportStore는 ftctl_dr_reverse_export 테이블에 Plan UUID, 원본 VM UUID, zone, generation, operation, Run 및 worker별 상태 JSON을 저장한다. 전용 DB global lock으로 여러 관리 서버 요청을 직렬화한다.
4. 초기 legacy 이관은 원본 VM zone의 기존 KVM host들을 UNKNOWN으로 기록하여 STOP 확인한다. 한 번 REVOKED로 확인된 never-owner는 다음 장애 때 필수 ACK로 다시 요구하지 않는다. 새 grant 후보만 실행 전 UNKNOWN/GRANTED로 영속 기록한다. GRANTED/불확실 host는 STOP ACK 전 새 grant 금지. host 삭제/단절/ACK 유실은 fail-closed이며 복귀 후 재시도로 수렴한다. 실제 fencing 시스템을 추가하거나 timeout을 성공으로 바꾸지 않는다.
5. worker는 원본 VM zone의 live eligible pool에서 선정한다. 이전 grant 기록은 회수 의무이며 Plan placement pin이 아니다. 같은 generation/Run 재전송은 동일 grant를 재확인하며 불확실 START 뒤 무조건 다른 worker로 보내지 않는다. 더 높은 generation 요청은 기존 grant 회수 후 새 선정이 가능하다. STOP은 새 worker 선정 없이 이력 회수만 수행한다.
6. 역방향 START 전에 원본 VM의 Stopped 상태를 확인한다. failback의 기존 cutover/authority 조건은 그대로이며 disaster failover에 원본 연결 조건을 추가하지 않는다.
7. qemu dr_export_ownership.py는 scope/direction을 generation에 결합하고 같은 generation의 방향/범위 변경을 거절한다. host-local tombstone은 프로세스/Agent 재시작 후에도 유지한다. 구조화된 protocol 2 ACK는 실제 managed scope/direction을 돌려준다. 기존 정방향 protocol 1 이력은 새 STOP으로 회수한 뒤 이관하며 managed scope를 legacy START가 덮을 수 없다.

파일/빌드

Cloud: DrPlanOwnedTransportServiceImpl, ftctl-service broker 및 신규 store/orchestrator, 두 schema SQL(Europa-After/42210to42300), 관련 단위 테스트. schema는 CREATE IF NOT EXISTS로 멱등 설치; 신규 runtime store는 배포 전 schema 확인이 필요하다. WSL ext4에서 변경 Maven 모듈만 build.
qemu: dr_export_ownership.py, dr_ablestack.sh ACK, ownership smoke 및 branch release workflow. Actions 패키지 빌드와 lifecycle/release tombstone/기존 action contract 게이트 실행.

검증과 배포

• 단위/스모크: stale/duplicate START STOP, ACK 누락, scope/direction 충돌, 초기 이관, 이전 worker Down/복귀, REVOKED worker Down 비차단, DB 재로드, 현재 원본 VM Running 차단, STOP 시 worker 미선정.
• 기존 sync/pause/resume/test/cleanup/planned/disaster/failback/reprotect/release 계약 회귀. 원본 단절 시 disaster 경로에 새 원본 RPC가 추가되지 않았음을 확인.
• 설치 버전·백업·DB schema 확인 후 원본/대상 관리 모듈과 qemu 배포. UI 정적 파일 수정 없음.
• RBD와 qcow2 UI failover→reverse sync→failback→reprotect를 통해 journal, tombstone, unit/PID/listener, authority, 신규 checkpoint 및 실제 게스트 데이터 확인. 실제 실행한 장애 주입/경로와 자동화 모의 시험을 구분해서 결과 기록. 혼합/VMware 경로 미확인 시 PASS로 집계하지 않는다.
• 발견한 별도 결함은 이슈로 추적한다. 레거시 DR Cluster 활성화 금지.

[dhslove]

#970 구현·검증 기록 (2026-09-10)

코드와 빌드

• 안전한 누적 worktree/동일 branch: codex/fix-970-reverse-export-ownership. Cloud 기준 c6dceb8, qemu 기준7bd0017. 이전 구현 브랜치를 병합하거나 수정하지 않았다.
• Cloud 구현37b0b2e8cb, 후속 차단 결함 수정 ecfb970([DR][P1] 기존 대상 VM의 동적 오퍼링 상세 누락으로 페일오버 시작 NPE 발생 #975), 2c7333d([DR][P1] 페일백 보호 재개 polling이 활성 export를 반복 교체하여 복제를 중단 #976), ab4ee66/0e7eb7b67e([DR][P1] 반복 페일오버의 권한 세대가 체크포인트 번호로 역행하여 전환 확정 실패 #977).
• qemu 최종61725fc90ad0154edc021e3f34b602bf225c7d94.
• WSL ext4 changed Maven modules: schema385, ftctl-service81, disaster-recovery 최종436 tests, 실패0. 전체 Cloud 빌드는 실행하지 않았다.
• qemu Actions 34431985704 SUCCESS. release tombstone, 기존 DR lifecycle/action suite, VMware snapshot 및 SharedMountPoint/RBD smoke 포함.
• RPM SHA256: 3dd90c877479b32dfbc5a0c4fcd288a73d4b70336fb749a6cc778a90762b0c0e.

배포

• 원격 reverse broker/schema: 13.10·22.10·31.10·32.10. Plan 소유 측31.10/32.10에는 [DR][P1] 기존 대상 VM의 동적 오퍼링 상세 누락으로 페일오버 시작 NPE 발생 #975/[DR][P1] 페일백 보호 재개 polling이 활성 export를 반복 교체하여 복제를 중단 #976/[DR][P1] 반복 페일오버의 권한 세대가 체크포인트 번호로 역행하여 전환 확정 실패 #977 후속 DR projection class까지 반영.
• qemu 최종 RPM: 13/22/31/32 각 .1/.2/.3, 총12호스트. 설치 dr_ablestack.sh hash b281aa73316441229d3673f4359b80b6a152837d6400dc55400e91bb1d90c72e.
• 호스트 mold-agent/ftctl timer active, agent.properties hash 동일, 배포 전후 VM 목록 동일.
• 관리 JAR는 빌드된 변경 class/resource만 overlay, 기존 나머지 ZIP entry 동일 및 CRC 확인. WEB-INF 보존, mold active, /client HTTP200, 실제 UI 재로그인 검증. UI 소스 변경은 없다.
• 백업은 /root/issue970, /root/issue970-v2, 관리 후속 /root/issue970-975, -976, -977, -977v2로 구분했다.

실제 검증

• qcow2 13→31 Plan6: 최종 UI planned failover Run293 → failback Run294 SUCCEEDED. 강제 옵션 해제, 최종 sync 사용. 원본13.2의 VM과 다른13.1을 reverse writer로 자동 선택. START69→STOP70, 나머지 worker는 REVOKED, 반환 후 source VM Running/target VM stopped, 복제 체크포인트1404 및 HEALTHY 확인.
• qcow2 대상에서 새로 기록한 파일이 원본으로 반환됨: SHA256 a25dd2ff3e6d1df38cc1cb07a64104d18b9b951ab46b82410679390b0e7a602d 양쪽 일치.
• RBD 22→32 Plan51: 앞선 Run415는 [DR][P1] 기존 대상 VM의 동적 오퍼링 상세 누락으로 페일오버 시작 NPE 발생 #975/[DR][P1] 반복 페일오버의 권한 세대가 체크포인트 번호로 역행하여 전환 확정 실패 #977 수정 후 수렴한 복구 실행이므로 무개입 전체 PASS와 구분. Run416 역방향 START131→STOP132,22.1만GRANTED,22.2/3 REVOKED. Windows 원본 재부팅 후 해시 0EC703DF7ACA9D5F08BD04A34A0AEDFF5152472F6878BAB75E949BC05CF19E4F 일치, 자동 복제4389완료.
• 실제 전송 중 RBD 동일 START 재전송: protocol2/세대131/scope/direction ACK, MainPID3471168 유지. 원래 요청 프로파일 재사용 시 이중 reverse 변환 없이 같은 source RBD를 연다.
• qcow2 이전 generation15 START/STOP을 종료 generation16 이후 재전송: 둘 다 DR_EXPORT_STALE_GENERATION, tombstone 유지, export inactive. 실제 CLI/호스트 검증이다.
• [DR][P1] 페일백 보호 재개 polling이 활성 export를 반복 교체하여 복제를 중단 #976 수정 후 매 projection poll마다 export 교체하지 않고 한 full seed 및 후속 증분이 완료되어 lifecycle이 자동 수렴했다. 수동 DB 상태 보정은 하지 않았다.

범위와 후속

• 이전 worker Down/복귀, 불확실 START/ACK 유실, 같은 Run 재전송, Running source 차단은 자동화 모의/단위 검증과 실제 stale/duplicate CLI 검증을 구분한다. 물리 호스트 장시간 power-off 및 모든 혼합 경로를 실환경 PASS로 주장하지 않는다.
• RBD↔qcow2 혼합 사이트와 VMware UI 전체 회귀는 이번 실환경 시험에 포함되지 않았다. VMware에는 기존 경로의 reverse broker 적용 여부를 유지하며 공통 qemu smoke를 실행했다. [DR][P1] 역방향 페일백 export의 세대 검증 및 이전 worker 쓰기 권한 회수 #970 전체 수용 매트릭스의 미실행 항목은 열린 상태로 유지한다.
• legacy 초기 UNKNOWN 목록은 이관 당시 현재 zone inventory 기준이다. 이관 전에 이미 삭제된 과거 host의 미회수 writer까지 증명한 것은 아니다. 신규 grant 이후 삭제/단절된 기록은 fail-closed로 유지한다.
• 별도 발견: [DR][P1] 기존 대상 VM의 동적 오퍼링 상세 누락으로 페일오버 시작 NPE 발생 #975 동적 target compute 누락, [DR][P1] 페일백 보호 재개 polling이 활성 export를 반복 교체하여 복제를 중단 #976 resume poll export 교체, [DR][P1] 반복 페일오버의 권한 세대가 체크포인트 번호로 역행하여 전환 확정 실패 #977 checkpoint/authority 세대 혼용은 이번 branch에서 수정. [DR][P2] Europa dr_cycle 인덱스 migration의 다중 SQL 실행 오류 수정 #978 기존 dr_cycle migration 다중 SQL 오류(P2), qemu upstream#55 CI cleanup race(P2)는 후속 작업.
• 레거시 DR Cluster 활성화 변경 없음. disaster failover에 source reachability 조건을 추가하지 않았다. 재해 단절 전체 검증은 #971에서 별도 추적한다.

최종 RBD 재검증과 종료 상태

• 최종 배포 후 무보정 UI planned failover Run417(f0350475-25e4-4deb-bf9a-5f1202641dff) 12:25:39→12:26:29 SUCCEEDED, generation9353 ACKNOWLEDGED.
• UI failback Run418(38a60658-aa0d-416c-882b-f1140c074893) 12:27:11→12:31:48 SUCCEEDED/completed/100%. reverse START143→STOP144, journal1/2/3 모두REVOKED. 새 파일 SHA256 5015EB03E5A24043186A41AAEA7861791846D7780DB6AECD22DFD7E5541F0BDF 대상/원본 일치.
• RBD 자동 보호 재개 checkpoint4392 COMPLETED/HEALTHY. qcow2 최종 UI Run293/294도 각각 SUCCEEDED/completed/100% 확인.
• Plan6/51 READY/SOURCE, target VM225/287 Stopped. 원본 게스트 QGA 실행과 반환 데이터 읽기 성공. 테스트에서 만든 Linux/Windows marker만 원본 게스트에서 삭제했다.
• 최종 Cloud31 JAR hash 35515949ad2e558de46a891bde141c0d15a103e3fc5994cb8683a398cdc0f6fa, Cloud32 29eccc7b9a34ac14f79f6c39b52d54f4ff7cf06f865134e789ff59a9f507a148.
• 실측 로그와 build/deploy 증거: WSL /home/ablecloud/work/issue970-evidence/. GitHub에는 비밀번호나 인증키를 게시하지 않는다.

[dhslove]

병합 완료로 종료 — 2026-09-12

이 이슈의 핵심 오류 수정/기능과 기록된 검증 범위가 병합됐습니다. 추가 미실행 물리 장애·이동·전체 경로 회귀는 #1048에서 별도 추적하며, 해당 조합까지 PASS로 주장하지 않습니다.

• Cloud PR [DR 통합] 복제·복구 오류 수정과 운영자 복구 경로 개선 #1022 → ablestack-europa: 4c42a079caf885ea03747f356390a2d2d633829d
• qemu PR [DR 통합] 체크포인트·워커 복원·VMware 역복제 정합성 개선 ablestack-qemu-exec-tools#56 → main: 9184ecd8ef16eb5c4b4d315e3648e6869caf0e1f
• 기존 구현 head와 최종 수정 head가 실제 대상 브랜치의 조상임을 확인했습니다. 개별 설계/실행/검증 근거는 본 이슈의 기존 댓글과 PR 내 문서 링크를 보존합니다.

사용자 요청에 따라 완료한 개별 과제는 CLOSED, 남은 작업은 독립 후속 이슈, 전체 진행 관리는 에픽 #950으로 구분합니다. 과거 댓글의 ‘병합 대기이므로 OPEN 유지’는 이 기록으로 대체합니다. 후속 CI #1043/#1044와 모든 자동 전체 빌드 성공을 이 이슈의 완료 근거로 혼동하지 않습니다.