デプロイとリリースの分離（feature-flagとの境界）

deploy と release は同じ行為ではない

多くの現場で「リリース」と「デプロイ」は同義語のように使われますが、原理的には別の操作です。deploy はアーティファクト（ビルド済みのコード）を本番環境に配置する行為、release はその中の機能を実際のユーザーに露出させる行為を指します。両者を一体で扱うと、「コードを本番に置く瞬間」と「ユーザーが新挙動を体験する瞬間」が必ず一致してしまい、リリースの判断がデプロイの時刻・成否・ロールアウト速度に縛られます。

この束縛を外すのが「デプロイとリリースの分離（decoupling）」です。分離が成立すると、デプロイは平日昼間に静かに完了させ、機能の露出だけを後から、別の人が、別のタイミングで、別の単位（ユーザー・割合・地域）で制御できます。

露出を制御する三つの原理

release を deploy から切り離したあと、露出そのものをどう刻むか。中核となる仕組みは三つで、いずれも「再デプロイせずに挙動を変える」という共通点を持ちます。

ダークローンチ（dark launch）

新しいコードパスを本番に配備しつつ、結果をユーザーに返さない状態で実行します。たとえば新検索エンジンを旧エンジンと並行して走らせ、応答は旧エンジンのものを返しながら、新エンジンの結果・レイテンシ・エラーだけを記録する。これにより本番トラフィックでの負荷・正しさを、ユーザーに影響を与えずに検証できます。露出ゼロのリリース、と言い換えてもよい段階です。

リクエスト
  ├─→ 旧パス（結果をユーザーへ返す）
  └─→ 新パス（実行するが結果は捨てる／記録のみ）
        観測: レイテンシ・エラー率・出力の一致率

トラフィックシフト（traffic shifting）

露出を割合で刻みます。1% → 5% → 25% → 100% のように、新挙動を見るユーザーの比率を段階的に上げる。割り当ては乱数ではなくユーザーIDのハッシュで決めるのが原則で、同じユーザーが毎リクエストで新旧を行き来する（フラッピング）のを防ぎます。これは デプロイ戦略 のカナリアと同じ発想ですが、ここではアーティファクトは1つのままで、露出割合だけを設定で動かす点が異なります。

kill switch（緊急遮断）

露出中の機能を即座にオフへ倒すスイッチです。要件は二つ。第一に反映が速いこと（再デプロイを挟まず、設定配信で秒オーダー）。第二にフェイルセーフであること——フラグ評価系自体が落ちても、既定値が安全側（=機能オフ、旧挙動）になるよう設計します。kill switch は「巻き戻し」ではなく「遮断」であり、デプロイ済みのコードはそのまま、露出だけをゼロに戻す操作です。

フィーチャーフラグとの境界はどこか

ここで頻出の誤解を解きます。「デプロイとリリースの分離＝フィーチャーフラグ」ではありません。フラグは分離を実装する一手段にすぎず、分離はフラグ以外（ルーター設定、DNSウェイト、ロードバランサの重み、設定ファイル）でも実現できます。境界を定義すると次のようになります。

判定基準は単純で、再デプロイせずに挙動を変えられるならそれは release 側の操作、アーティファクトの差し替えが要るなら deploy 側の操作です。フィーチャーフラグは「コード中に if 分岐を埋め込み、その真偽を実行時の外部設定で切る」もので、release をコードの粒度で制御したいときの道具です。一方トラフィックルーティングはインスタンスやバージョンの粒度で露出を制御します。粒度が違うだけで、どちらも「デプロイと分離された露出制御」という同じ目的に属します。

分離が支払うコストと運用規律

分離はただではありません。第一のコストはコードパスの増加です。新旧両方のコードが本番に同居するため、if flag then 新 else 旧 の分岐がテスト対象を倍にし、組み合わせが指数的に増えます。第二はフラグの寿命管理です。露出が100%に到達し新挙動が定着したら、フラグと旧コードは速やかに削除する。放置すると「いつ消したか誰も知らない死んだフラグ」が積もり、ある日の設定ミスで旧コードが復活する事故を招きます。

第三は観測の必須化です。露出を割合で刻む以上、新旧それぞれの SLI（エラー率・レイテンシ）を分けて測れなければ、シフトを進めてよいか判断できません。これは プログレッシブデリバリと自動ロールバック が扱う統計判定そのものであり、分離はその前提を用意する基盤になります。

まとめ

• deploy（アーティファクトの本番配備）と release（機能のユーザー露出）は別の行為。分離すると露出の判断を時刻・成否・速度から切り離せる。
• 露出制御の三段構えはダークローンチ（露出ゼロで本番検証）・トラフィックシフト（割合で段階露出）・kill switch（即時遮断、フェイルセーフ既定値）。
• フィーチャーフラグは分離を実装する一手段にすぎない。境界は「再デプロイなしに挙動を変えられるか」。フラグはコード粒度、ルーティングはバージョン粒度。
• 分離のコストは分岐増・フラグ寿命管理・観測の必須化。死んだフラグの放置は事故源になるため寿命管理を運用規律に組み込む。
• release ロールバック（秒オーダー）と deploy ロールバック（分オーダー）は別物。まず安い release で止血し、落ち着いて deploy 判断、が分離の最大の利得。