Inside CockroachDB’s Survivability Model