BlueCat 强烈建议集群至少两台 HSM 服务器用于故障切换和灾难复原。
重要： 当主 HSM 服务器因计划维护、硬件错误或网络中断而停机时，将自动进行故障切换到备用 HSM 服务器。但是，一旦主 HSM 服务器重新联机，第二次故障切换就存在已知的限制。
如果在主 HSM 服务器上触发故障切换，则备用 HSM 服务器将升级为主状态。然而，主 HSM 服务器恢复正常操作后，必须重启 BIND 才能完成从备用 HSM 服务器到主 HSM 服务器的故障切换。目前，这是 Entrust netHSM 服务器硬件的限制。