А в книжке по построению дата-центров, которая у меня есть

, сказано, что рутеры должны работать в отказоустойчивом режиме, и когда меняется ПО, то оно для начала обновляется на одном из друх роутеров с целью тестирования. И только спустя некоторое время - на втором.
Тогда недоступность исключена