Disque, alimentation, mémoire : ce qui continue de fonctionner quand un composant tombe
Un serveur ne s'arrête pas quand un composant tombe : il s'arrête quand ce composant était le seul à faire son travail. Disque en miroir, seconde alimentation, mémoire à correction d'erreur : trois redondances qui n'ont pas la même valeur, ne se vérifient pas de la même façon, et dont l'absence ne se remarque qu'au pire moment.
Ce qui continue dépend de ce qui était installé avant
Trois cas résument la différence. Sur un ensemble en miroir, un disque peut mourir sans que le site cesse de répondre. Sur une machine à deux alimentations correctement câblées, un bloc peut lâcher sans coupure visible. Sur une mémoire à correction d'erreur, un bit qui se retourne est corrigé sans que personne ne s'en aperçoive : dans les trois cas le service continue, et dans les trois la machine reste dégradée.
L'inverse est aussi net. Un disque unique s'arrête au premier défaut de support, une alimentation unique coupe la machine, une mémoire sans correction transforme l'erreur en donnée fausse. La vitesse de remplacement ne change alors que la durée de l'arrêt, pas son existence. La question à poser avant l'incident est donc : qu'est-ce qui continue de fonctionner si cet élément tombe ?
Disque : le miroir travaille pendant la reconstruction
Un ensemble en miroir écrit la même donnée sur deux disques. Quand l'un tombe, lectures et écritures continuent sur l'autre : le site ne s'arrête pas, mais l'ensemble passe en mode dégradé et il n'y a plus de copie. L'état se lit dans les fichiers que le noyau expose, et rien n'oblige à intervenir dans la minute, même si la fenêtre sans protection est ouverte.
La reconstruction recopie le disque survivant sur le disque neuf. Elle se fait pendant que la machine sert, ce qui la ralentit, et sa durée dépend de la taille des disques, de leur vitesse et de la charge. Le noyau permet de borner la vitesse de synchronisation par des paramètres dédiés, pour ne pas saturer les entrées-sorties ; tant qu'elle n'est pas finie, une seconde panne emporte les données.
Les ensembles à parité continuent aussi avec un disque manquant, mais la reconstruction y est plus coûteuse. Le cas à connaître est celui d'un ensemble à la fois sale et dégradé, après une coupure de courant suivie d'une panne : le noyau refuse normalement de le démarrer, la parité n'étant plus fiable et des blocs risquant d'être reconstruits de travers. Il faut alors forcer l'assemblage, ce qui n'est pas anodin quand la racine est sur cet ensemble.
Alimentation : deux blocs, deux sources, sinon un seul
Deux alimentations redondantes ne protègent que si elles sont alimentées par deux sources distinctes. Deux cordons branchés sur la même multiprise ou le même étage d'onduleur ne font qu'une seule alimentation avec deux connecteurs. L'épreuve est simple : couper une arrivée, vérifier que la machine ne bronche pas, puis lire le journal matériel pour identifier le bloc tombé.
La panne d'un bloc est souvent invisible côté service : la machine continue, les sites répondent, rien ne remonte dans la supervision applicative. Le contrôleur de gestion de la carte mère expose pourtant l'état des capteurs, leurs seuils et un journal d'événements daté, que l'outil en ligne de commande permet de lire à distance. Sans cette lecture, un bloc mort reste mort jusqu'à ce que le second lâche.
Mémoire : l'erreur corrigée, l'erreur qui arrête
La mémoire à correction d'erreur ajoute des bits de contrôle aux données : la documentation du sous-système noyau décrit des modules de soixante-douze bits, dont soixante-quatre de données et huit de correction. Un bit qui se retourne est corrigé à la volée, sans erreur visible, sans redémarrage. La machine continue comme avant, et c'est précisément ce qui rend le défaut difficile à voir.
Le noyau tient des compteurs par contrôleur mémoire, par canal et par module : erreurs corrigées, non corrigées, différées et fatales. Une correction isolée est un incident sans conséquence ; des corrections répétées sur le même module annoncent une barrette qui se dégrade, et cette barrette est l'unité remplacée en cas d'erreurs excessives. C'est un signal de maintenance, pas encore une panne.
Une erreur non corrigée change de nature : le processus fautif est arrêté, ou la machine s'arrête, ou une donnée fausse est écrite sans que rien ne le signale. Sans mémoire à correction d'erreur, ce dernier cas domine : un bit retourné devient une valeur erronée dans une base, un index corrompu, un plantage sans message. C'est le composant où tout fonctionne encore veut dire le moins de choses.
Ce qui prévient, ce qui lâche sans annonce, et les délais sur place
L'autocontrôle intégré aux disques existe pour annoncer les défaillances avant qu'elles n'arrivent : il suit la fiabilité du support, exécute des autotests et conserve un journal d'erreurs. L'utilitaire qui l'interroge donne un état de santé et un code de sortie utilisable par une supervision. Un disque qui prévient permet un remplacement planifié, au lieu d'un incident.
En contexte insulaire, l'humidité et l'air salin attaquent les contacts et les ventilateurs plus vite qu'ailleurs, et une pièce de rechange peut arriver avec plusieurs jours de retard, ordre de grandeur à vérifier localement. Le stock sur place, ou son absence, fait partie de la réponse à la question de ce qui continue, au même titre que le RAID ou la seconde alimentation.
Écrire ce qui doit survivre, puis l'éprouver à froid
La rédaction utile tient en quatre colonnes, une par composant : ce qui continue, ce qui est perdu, qui intervient, et ce qu'il faut vérifier avant de redémarrer. Côté contrat, les mêmes lignes deviennent des questions : quelles pièces sont couvertes, qui constate la panne, qui ouvre le ticket, quel délai de mise à disposition est annoncé. Ce dernier point reste un ordre de grandeur à faire préciser localement.
L'épreuve se fait sur une machine qui n'est pas la production : retirer un disque d'un miroir et suivre la reconstruction, couper une arrivée électrique et relire le journal du contrôleur, vérifier que l'alerte arrive à la bonne personne, restaurer une sauvegarde pour voir si elle fonctionne encore. Ce qu'on mesure n'est pas la clause mais le comportement réel, et les écarts se corrigent sans client à prévenir.
Reste la limite que la redondance ne franchit pas : une machine détruite ne rend pas ses données, et un miroir ne protège ni d'une suppression ni d'un rançongiciel, puisque la mauvaise écriture est copiée comme l'autre. Les sauvegardes hors machine et la machine de reprise relèvent d'un autre plan : c'est la frontière entre garantir une pièce et garantir un service.
Sur guadeloupe.net : la différence entre garantie matérielle et continuité de service.