Délai de remplacement d'une pièce : stock sur site ou expédition, l'écart qui change la durée d'une panne
Une pièce qui casse se remplace en quelques minutes ; ce qui prend des jours, c'est de l'avoir sous la main. Sur un serveur dédié, la durée réelle d'une panne dépend donc moins de la compétence de celui qui intervient que de l'endroit où dort le rechange : dans la baie voisine, dans un carton du site, ou dans un entrepôt à plusieurs milliers de kilomètres.
Deux horloges, pas une
Quand un disque tombe, le geste technique est bref : on retire le tiroir, on glisse un disque, l'ensemble repart. Ce qui allonge la panne n'est presque jamais ce geste, mais l'attente qui le précède. Entre le moment où le défaut est constaté et celui où la pièce est réellement en place, il y a un trajet, une commande, une validation, parfois une frontière.
La question « en combien de temps intervenez-vous ? » mélange trois durées : la détection, qui dépend de la surveillance en place ; la décision, qui dépend de qui a le droit de commander ; et la disponibilité de la pièce, qui dépend de l'endroit où elle se trouve. Un contrat peut promettre une intervention rapide tout en laissant la pièce arriver une semaine plus tard.
C'est cette troisième durée qui décide de tout, et c'est celle dont on parle le moins. Le contexte insulaire la rend visible : une pièce absente du site traverse forcément de l'eau, et ce trajet ne se comprime pas avec de la bonne volonté. Les ordres de grandeur varient trop d'un cas à l'autre pour être annoncés ici : ils se chiffrent localement, machine par machine.
Ce que la redondance absorbe, et ce qu'elle ne fait que reporter
La redondance ne supprime pas l'attente : elle la rend invisible. Sur un ensemble en miroir ou en parité, le retrait d'un disque laisse le service tourner ; le noyau signale simplement un ensemble dégradé, et le compteur correspondant passe de zéro à un. Le site répond, les utilisateurs ne voient rien, et la panne semble n'avoir pas eu lieu.
Elle a eu lieu, pourtant. Pendant toute l'attente de la pièce, l'ensemble fonctionne sans marge : un second disque qui tombe à ce moment-là n'est plus absorbé. Le noyau va jusqu'à refuser de remonter un ensemble à parité à la fois sale et dégradé, parce que ni la parité ni les blocs manquants ne sont fiables ; il faut alors forcer l'assemblage en acceptant l'incertitude sur les données.
L'attente convertit donc une marge de sécurité en risque, à taux constant : plus la pièce met de temps à venir, plus la fenêtre sans redondance est longue. Ce n'est pas un argument contre le RAID, mais une raison de traiter le délai de pièce comme une donnée d'exploitation, au même titre que la surveillance des disques.
Une alimentation ou une barrette n'attend pas
Tout ne se comporte pas comme un disque. Une machine équipée d'une seule alimentation s'arrête dès que le bloc tombe ; deux cordons branchés sur la même barre de prises ne constituent qu'une alimentation déguisée. Une barrette de mémoire défaillante produit d'abord des erreurs corrigées, puis des erreurs non corrigées, et à ce stade c'est la machine entière qui s'arrête. Dans ces deux cas, l'attente de la pièce est un arrêt complet.
La liste des pièces non redondées est donc la vraie carte du risque. Elle est courte et change d'une machine à l'autre : alimentation au format propriétaire, module mémoire d'une référence précise, parfois fond de panier ou contrôleur. Ce sont précisément les pièces qu'on ne trouve pas chez un revendeur local un samedi, parce qu'elles ne se vendent pas au détail. Le classement utile n'est donc pas la fréquence de la panne, mais le délai qui dépasse ce que l'activité supporte.
La reconstruction se calcule, elle ne s'espère pas
Remettre un disque dans la baie ne referme pas l'incident : la reconstruction commence. Le noyau expose une action de synchronisation et une vitesse courante, exprimée en kilooctets par seconde, et la durée s'en déduit. Elle se compte en heures, parfois en jours sur de gros volumes, et tant qu'elle dure, l'ensemble reste sans marge.
Cette durée n'est pas qu'une affaire de taille : elle dépend de la charge. La priorité de reconstruction se règle, globalement ou pour un ensemble donné, et l'abaisser protège les performances du service, au prix d'une fenêtre dégradée plus longue. C'est un arbitrage explicite, qui se décide mieux à froid qu'au milieu de la nuit, quand plus personne n'ose toucher aux réglages.
Il faut alors additionner les deux horloges : le temps d'obtenir la pièce, puis le temps de reconstruire. La panne réelle dure la somme des deux. Un stock sur site réduit la première à quelques dizaines de minutes ; une expédition laisse la seconde commencer des jours plus tard, sans que rien n'ait été gagné sur le problème.
Le stock sur site : un carton qui vaut une clause
Garder une pièce sur site ne se résume pas à l'acheter. Il faut qu'elle corresponde à la machine : même capacité, même interface, même taille de secteur logique, et un micrologiciel que l'ensemble sait reconnaître. Un disque de capacité légèrement différente peut être accepté comme remplaçant, mais la reconstruction ne se fait pas toujours de la même façon, et la capacité utile peut se retrouver bridée.
Il faut aussi que la pièce soit vivante. Un disque stocké quatre ans dans un placard n'est pas une pièce de rechange, c'est une hypothèse : il peut être mort, ou porter un micrologiciel que la baie ne connaît plus. La seule vérification qui vaille consiste à le faire tourner une fois, à contrôler son état, à noter son numéro de série, puis à le remettre en réserve.
L'expédition : plusieurs mains et un formulaire
Quand la pièce n'est pas sur site, chaque étape a son propre délai et chacune peut manquer. Commande passée par qui, sur quel compte, au titre de la garantie ou d'un achat : sans accès au compte de l'hébergeur, personne ne commande. Vient l'expédition, avec son mode, son acheminement et, pour une île, une étape douanière qui ne se négocie pas. Puis la réception, qui suppose des horaires d'ouverture et quelqu'un pour signer.
Enfin l'intervention : la pièce est là, encore faut-il des mains autorisées à ouvrir la machine et un créneau dans une salle qui n'est pas toujours ouverte. Un week-end, un jour férié ou une nuit peuvent annuler le bénéfice d'un envoi express. Le délai total est une somme, jamais un maximum : trois étapes de deux jours ne font pas deux jours d'indisponibilité, elles en font six.
Les questions à poser sont matérielles plutôt que contractuelles : où sont physiquement les pièces, lesquelles sont en stock, qui déclenche la commande, qui la paie en urgence, et que se passe-t-il un dimanche. Un échange anticipé, où le remplaçant part avant le retour du défectueux, raccourcit l'attente ; il se négocie à froid, jamais pendant l'incident.
Reste à l'écrire : la liste des pièces dont le délai dépasse ce que l'activité supporte, avec leur référence et l'endroit où elles dorment ; les conditions de déclenchement d'une commande urgente et qui l'assume ; et ce qui revient au client, puisque le matériel appartient à l'hébergeur, que l'exploitation appartient à l'exploitant, et que la décision de payer l'express n'appartient souvent à personne en particulier.
Sur guadeloupe.net : les trois responsabilités superposées.
Sur guadeloupe.net : la différence entre garantie matérielle et continuité de service.