Я думаю, что рекомендуемое решение состоит в том, чтобы не выполнять восстановление после отказа, а переключать роли, как описано здесь . Я думаю, что они даже рекомендуют, чтобы отказоустойчивый сервер назывался как-то вроде Prod2 вместо JustincasefailoverServer
Но вы могли бы переключиться два раза и ваш сет, где вы хотите быть. Рационализируйте это тем, что вы хотите убедиться, что отказавший сервер должен доказать, что он способен работать и работать в течение дня или двух.