Garantie matérielle et continuité de service : pourquoi ce n'est pas la même chose
Une garantie matérielle dit qui remplace une pièce défaillante. La continuité de service dit ce qui continue de tourner pendant ce temps. Les deux engagements se ressemblent sur un contrat, se mesurent différemment dans les faits, et se confondent assez souvent pour qu'on découvre l'écart le jour de la panne, quand plus rien ne se négocie.
Garantie et continuité ne mesurent pas la même chose
Une garantie matérielle répond à une question étroite : quand un composant est reconnu défaillant, qui le remplace, dans quel cadre et à quelle condition. Elle porte sur une pièce, pas sur un service. Sa durée se compte en mois, son déclenchement suppose un constat, et sa mise en oeuvre suit un processus : ticket, diagnostic, expédition, remontage, redémarrage. Aucune étape ne dit combien de temps la machine reste indisponible.
La continuité de service répond à l'autre question : ce qui continue de fonctionner pendant ce temps, et à quelle vitesse l'activité revient. Elle ne dépend pas du contrat de pièces mais de ce qui est installé avant la panne — disque en miroir, alimentation de secours, machine de reprise, sauvegarde à jour. Deux serveurs identiques, sous la même garantie, peuvent afficher des durées d'arrêt sans rapport.
Le raccourci courant consiste à lire une garantie comme une promesse de disponibilité. Un remplacement rapide réduit l'arrêt, il ne le supprime pas : il faut encore que quelqu'un constate la panne, que la pièce soit disponible et que les services remontent. À l'inverse, une machine hors garantie peut rester en ligne longtemps si la redondance et les pièces de rechange sont prévues.
Ce qui est garanti : un composant remplaçable, pas une machine
Le vocabulaire technique aide à poser la bonne question. La documentation du noyau décrit la mémoire comme des barrettes réunies sur un module, et désigne ce module comme l'unité remplaçable en cas d'erreurs excessives : c'est la pièce qu'on échange, pas le serveur. La même logique vaut pour un disque. Une garantie porte sur une liste de pièces, et la première question est cette liste, avec ce qui n'y figure pas.
Cette liste suppose un diagnostic préalable. Tant que la machine répond au réseau, l'hébergeur constate qu'elle est joignable ; il ne sait pas si le défaut vient du disque, du contrôleur ou du système de fichiers. Il faut aussi savoir qui ouvre le ticket et avec quels droits : un exploitant sans accès à l'interface de l'hébergeur ne peut ni déclencher un remplacement, ni en suivre l'avancement.
La continuité se joue sur la redondance déjà installée
Le noyau gère les ensembles RAID logiciels, et plusieurs de leurs opérations de maintenance n'ont de sens que sur un ensemble redondant : elles ne s'appliquent ni au RAID0 ni au mode linéaire, qui répartissent les données sans copie. Un serveur monté sur un disque unique, ou sur un agrégat de bandes, s'arrête au premier défaut de support, quelle que soit la rapidité du remplacement.
Sur un ensemble en miroir, la panne d'un disque n'interrompt pas le service. L'outil d'administration décrit l'ajout d'un disque de réserve : sur un ensemble dégradé, il déclenche immédiatement la reconstruction, et la machine sert pendant que la copie se refait. C'est cette reconstruction la vraie période à risque, et les paramètres du noyau qui bornent sa vitesse pour ne pas saturer les entrées-sorties la font durer des heures.
Un cas mérite d'être connu : le noyau refuse normalement de démarrer un ensemble RAID5 ou RAID6 à la fois sale et dégradé, parce que la parité n'est plus fiable et que des blocs seraient reconstruits de travers. Il faut alors forcer l'assemblage. Après une coupure de courant suivie d'une panne de disque, le redémarrage peut donc ne pas être automatique, et cela ne se découvre pas le jour de l'incident.
Alimentation et mémoire : les pannes qui ne se voient pas
Deux alimentations ne font une redondance que si elles sont branchées sur deux sources distinctes. Deux cordons sur la même prise protégée, ou sur le même étage d'onduleur, ne protègent de rien. L'épreuve est simple et rare à faire : couper une arrivée, vérifier que la machine ne bronche pas, puis lire le journal pour identifier l'alimentation tombée. L'outil de gestion matérielle donne ce journal daté et l'état détaillé des capteurs.
La mémoire est l'autre cas silencieux. Le sous-système du noyau prévu pour ces erreurs distingue celles qui sont corrigées par le code correcteur, celles qui ne le sont pas, les erreurs différées et les erreurs fatales. Une erreur corrigée n'arrête rien, mais elle annonce une barrette qui se dégrade. Sans mémoire à correction d'erreur, le défaut ne se signale pas : il produit une valeur fausse ou un arrêt sans message.
Un disque qui prévient encore : le délai que l'autocontrôle fait gagner
L'utilitaire d'interrogation des disques lit le système d'autocontrôle intégré aux supports. Son option d'état de santé est explicite : un échec signifie soit que le disque a déjà lâché, soit qu'il annonce sa défaillance dans les vingt-quatre heures, avec pour consigne de mettre les données à l'abri. Une alerte lue à temps transforme un remplacement sous garantie en maintenance planifiée plutôt qu'en incident.
Pour l'automatiser, la page de manuel documente un statut de sortie sous forme de masque de bits : un bit pour un disque déclaré en échec, un autre pour un attribut passé sous son seuil, un autre pour des erreurs enregistrées, un dernier pour un autotest en échec. Une surveillance qui ne regarde que le code global rate ces nuances. Ces signaux ne couvrent pas tout : un contrôleur ou une nappe peuvent tomber sans prévenir.
Mettre les deux engagements par écrit, puis les éprouver
La rédaction utile tient en deux colonnes. Côté garantie : pièces couvertes et exclues, procédure de déclaration, qui diagnostique, qui intervient, délai de mise à disposition — un ordre de grandeur à vérifier localement, l'acheminement vers un territoire insulaire ajoutant son incertitude. Côté continuité : composants redondants, état de la redondance au dernier contrôle, machine de reprise, restauration testée.
L'épreuve se fait à froid, sur une machine qui n'est pas la production : retirer un disque d'un ensemble en miroir, vérifier que l'alerte parvient à la bonne personne et que la reconstruction aboutit, couper une alimentation, relire le journal d'événements, restaurer une sauvegarde. Ce qu'on vérifie n'est pas la clause du contrat mais le comportement réel, et les écarts trouvés se corrigent sans client à prévenir.
Reste la limite que la garantie ne franchit pas : si la machine et ses disques disparaissent, le remplacement ne rend pas les données. Les sauvegardes hors machine et la machine de reprise relèvent de la continuité, jamais du matériel, et aucune redondance ne les remplace. Le schéma des trois responsabilités sert justement à savoir à qui poser chaque question avant que la panne n'en décide.
Sur guadeloupe.net : les trois responsabilités superposées.