Cómo se logran los 11 nueves (99.999999999%) de S3 - Lo que hay detrás de la durabilidad del almacenamiento de objetos
Se explica la arquitectura interna que sostiene la durabilidad del 99.999999999% que declara S3 a partir de tres mecanismos (distribución de datos, verificación de integridad y reparación automática), y se muestra con cifras concretas qué significan en realidad los 11 nueves.
Qué cifra son, en concreto, los 11 nueves
La cifra 99.999999999% tiene un número de dígitos difícil de comprender de forma intuitiva. Dicho en términos concretos, si se almacenan 10 millones de objetos en S3, equivale a la probabilidad de perder 1 objeto en 10,000 años. Es necesario tener en cuenta que esta cifra no se refiere a la «disponibilidad», sino a la «durabilidad» (Durability). La disponibilidad es el porcentaje de tiempo durante el que se puede acceder al servicio, y la disponibilidad de S3 Standard es del 99.99% (unos 52 minutos de inactividad al año). La durabilidad es la probabilidad de que los datos no se pierdan, y AWS indica explícitamente que el diseño ofrece una durabilidad del 99.999999999% por año. Este valor de diseño no es exclusivo de S3 Standard, sino que se aplica por igual a S3 Intelligent-Tiering, S3 Standard-IA, S3 Glacier Instant Retrieval, S3 Glacier Flexible Retrieval y S3 Glacier Deep Archive (a fecha de agosto de 2026). Es decir, el diseño es tal que puede haber momentos en que no se pueda acceder temporalmente a S3, pero los datos en sí prácticamente no desaparecen. Si no se comprende esta distinción, hay casos en que, ante un fallo de S3, se malinterpreta que «los datos se han perdido».
Distribución de datos - El mecanismo de redundancia en al menos 3 AZ
El primer pilar de la durabilidad de S3 es la distribución física de los datos. Cuando se sube un objeto a S3 Standard, AWS replica los datos de forma redundante en varios dispositivos repartidos en al menos 3 zonas de disponibilidad (AZ) de la misma región (a fecha de agosto de 2026). La documentación oficial explica que, antes de considerar correcta una carga, se verifica que los datos se han almacenado de forma redundante y correcta en varios dispositivos de almacenamiento. Es decir, la respuesta de éxito a una solicitud PUT significa que la verificación de la redundancia ya ha terminado. Cada AZ está formada por uno o más centros de datos independientes con alimentación eléctrica / red / conectividad redundantes. Las AZ están separadas físicamente por una distancia significativa (del orden de varios kilómetros), y, al mismo tiempo, todas las AZ de una región se encuentran dentro de 100 km (60 millas) unas de otras. Con esta disposición, aunque una AZ se pierda por completo por un desastre natural o un fallo a gran escala, los datos existen en las AZ restantes, por lo que los objetos no se pierden. AWS también indica explícitamente que las clases de almacenamiento como S3 Standard están diseñadas para soportar la pérdida de una AZ y conservar los datos. S3 One Zone-IA es la excepción: como almacena los datos solo en varios dispositivos dentro de una única AZ, su valor de diseño de durabilidad sigue siendo del 99.999999999%, pero es vulnerable a la destrucción física de toda la AZ.
Verificación de integridad - Supervisión constante de todos los bits
Con solo distribuir los datos en varias AZ no se pueden alcanzar los 11 nueves. Son imprescindibles medidas contra la «corrupción silenciosa de datos» (silent data corruption), en la que los datos se dañan sin que se note por causas como el envejecimiento de los discos, la inversión de bits por rayos cósmicos o los errores del firmware. S3 verifica la integridad de los datos con una suma de comprobación en el momento de la carga. Solo acepta el objeto cuando el valor del lado del cliente coincide con el valor que S3 ha calculado de forma independiente, y el valor de la suma de comprobación se guarda como metadato del objeto. En febrero de 2022 se añadió la posibilidad de elegir algoritmos de suma de comprobación adicionales, y a fecha de agosto de 2026 se puede elegir entre CRC-64/NVME, CRC-32, CRC-32C, SHA-1, SHA-256, SHA-512, XXHash64, XXHash3, XXHash128 y MD5. Si no se especifica ningún algoritmo, se usa automáticamente CRC-64/NVME. La documentación oficial indica explícitamente que, también después del almacenamiento, estas clases de almacenamiento están diseñadas para verificar periódicamente la integridad de los datos mediante sumas de comprobación. Es el enfoque que en el ámbito del almacenamiento se denomina generalmente data scrubbing: volver a leer periódicamente los datos ya almacenados y cotejarlos. La frecuencia y la escala con que se ejecuta la verificación no se han publicado, pero si se detecta una corrupción, se repara a partir de una copia sana que se conserva de forma redundante. Este ciclo de detección y reparación es el mecanismo que evita de antemano el deterioro de los datos.
Reparación automática - Recuperación sin intervención humana al detectar un fallo
El mecanismo de reparación automática de S3 actúa por etapas frente a fallos de disco, fallos de servidor y fallos a nivel de AZ. Cuando falla un disco concreto, S3 lo detecta y vuelve a replicar los datos que contenía ese disco en otros dispositivos sanos. Las infraestructuras de almacenamiento a gran escala se diseñan partiendo de que los fallos de disco ocurren a diario, y esta reparación se ejecuta las 24 horas, los 365 días, sin intervención humana. Ante un fallo a nivel de servidor funciona un proceso similar. La documentación oficial también explica que las clases de almacenamiento como S3 Standard están diseñadas para afrontar los casos en que varios dispositivos fallan a la vez detectando y reparando con rapidez la redundancia perdida. Lo importante es la velocidad de esta reparación. Desde que se produce el fallo hasta que termina la nueva replicación, la redundancia queda temporalmente reducida. La clave de la durabilidad es cuánto se puede acortar esta «ventana de vulnerabilidad», pero AWS no publica tiempos de reparación concretos. Del mismo modo, tampoco se publica la implementación interna de cómo S3 divide / codifica los objetos para almacenarlos, por lo que hay que evitar construir el diseño sobre supuestos como si se usa replicación o códigos de borrado. En lo que se puede apoyar el diseño es en el valor de diseño de durabilidad publicado y en el método de almacenamiento, que replica los datos de forma redundante en al menos 3 AZ.
Escenarios en los que se pierden datos incluso con 11 nueves
La durabilidad de S3 es extremadamente alta, pero eso no significa que el riesgo de pérdida de datos sea cero. Lo que garantizan los 11 nueves es la protección frente a la pérdida de datos por fallos físicos del lado de AWS. Los errores de operación del lado del usuario quedan fuera de la garantía. La causa más frecuente de pérdida de datos es una operación DELETE errónea. Si se elimina un objeto sin haber habilitado el control de versiones de S3, se elimina por completo de inmediato. Incluso con el control de versiones habilitado, un DELETE que especifica el ID de versión es una eliminación permanente. Como medida frente a este problema, si se configura S3 Object Lock (WORM: Write Once Read Many), se puede hacer físicamente imposible eliminar o sobrescribir los objetos durante el periodo especificado. Si se habilita MFA Delete, se puede exigir autenticación MFA para las operaciones de eliminación. Otro riesgo que se suele pasar por alto es la pérdida de las claves de cifrado. Los objetos cifrados con SSE-C (claves proporcionadas por el cliente) no se pueden descifrar si se pierde la clave. Los datos existen en el lado de S3, pero no se pueden leer. Este riesgo se puede reducir usando SSE-KMS y configurando un periodo de espera (de 7 a 30 días) para la eliminación de las claves de KMS.
Referencias (recursos oficiales de AWS)
Las fuentes primarias de esta página son el sitio web y la documentación oficiales de AWS. Consulta las páginas oficiales siguientes para conocer las especificaciones y los precios más recientes.
Si esta página y la documentación oficial difieren, prevalece la documentación oficial.