Haute disponibilité

La haute disponibilité ( HA ) est une caractéristique d'un système qui vise à garantir un niveau convenu de performance opérationnelle, généralement de disponibilité , pendant une période supérieure à la normale.

La modernisation a accru la dépendance à l'égard de ces systèmes. Par exemple, pour pouvoir effectuer leurs tâches quotidiennes habituelles, les hôpitaux et les centres de données ont besoin que leurs systèmes soient hautement disponibles. La disponibilité fait référence à la capacité de la communauté des utilisateurs à obtenir un service ou un bien, à accéder au système, à soumettre de nouveaux travaux, à mettre à jour ou à modifier des travaux existants ou à collecter les résultats de travaux antérieurs. Si un utilisateur ne peut pas accéder au système, celui-ci est, de son point de vue, indisponible . En général, le terme « temps d'arrêt » est utilisé pour désigner les périodes pendant lesquelles un système est indisponible.

La haute disponibilité est une propriété de la résilience du réseau , la capacité à « fournir et maintenir un niveau de service acceptable face aux pannes et aux défis du fonctionnement normal ». Les menaces et les défis pour les services peuvent aller d'une simple mauvaise configuration à des catastrophes naturelles à grande échelle, en passant par des attaques ciblées. En tant que telle, la résilience du réseau touche à un très large éventail de sujets. Afin d'accroître la résilience d'un réseau de communication donné, les défis et les risques probables doivent être identifiés et des mesures de résilience appropriées doivent être définies pour le service à protéger.

L’importance de la résilience des réseaux ne cesse de croître, car les réseaux de communication deviennent un élément fondamental du fonctionnement des infrastructures critiques. Par conséquent, les efforts récents se concentrent sur l’interprétation et l’amélioration de la résilience des réseaux et des ordinateurs avec des applications aux infrastructures critiques. À titre d’exemple, on peut considérer comme objectif de résilience la fourniture de services sur le réseau, plutôt que les services du réseau lui-même. Cela peut nécessiter une réponse coordonnée à la fois du réseau et des services exécutés sur le réseau.

Ces services comprennent :

• prise en charge du traitement distribué
• prise en charge du stockage réseau
• maintenir le service de services de communication tels que
  • vidéoconférence
  • messagerie instantanée
  • collaboration en ligne
• accès aux applications et aux données selon les besoins

La résilience et la capacité de survie sont utilisées de manière interchangeable selon le contexte spécifique d’une étude donnée.

Il existe trois principes de conception de systèmes en ingénierie de fiabilité qui peuvent aider à atteindre une haute disponibilité.

1. Élimination des points de défaillance uniques . Cela signifie ajouter ou créer une redondance dans le système de sorte que la défaillance d'un composant n'entraîne pas la défaillance de l'ensemble du système.
2. Croisement fiable. Dans les systèmes redondants , le point de croisement lui-même a tendance à devenir un point de défaillance unique. Les systèmes fiables doivent assurer un croisement fiable.
3. Détection des pannes dès qu'elles se produisent. Si les deux principes ci-dessus sont respectés, il est possible qu'un utilisateur ne voie jamais de panne, mais l'activité de maintenance, elle, le fera.

Il est possible de faire une distinction entre les temps d'arrêt planifiés et non planifiés. En règle générale, les temps d'arrêt planifiés résultent d'une maintenance qui perturbe le fonctionnement du système et qui ne peut généralement pas être évitée avec la conception du système actuellement installé. Les temps d'arrêt planifiés peuvent inclure des correctifs du logiciel système qui nécessitent un redémarrage ou des modifications de la configuration du système qui ne prennent effet qu'au redémarrage. En général, les temps d'arrêt planifiés résultent généralement d'un événement logique initié par la direction. Les temps d'arrêt non planifiés résultent généralement d'un événement physique, tel qu'une défaillance matérielle ou logicielle ou une anomalie environnementale. Les exemples de temps d'arrêt non planifiés comprennent les pannes de courant, les composants CPU ou RAM défaillants (ou éventuellement d'autres composants matériels défaillants), un arrêt lié à une surchauffe, des connexions réseau logiquement ou physiquement interrompues, des failles de sécurité ou diverses défaillances d'applications , de middleware et de systèmes d'exploitation .

Si les utilisateurs peuvent être avertis des temps d'arrêt programmés, la distinction est utile. Mais si l'exigence est une véritable haute disponibilité, alors un temps d'arrêt est un temps d'arrêt, qu'il soit programmé ou non.

De nombreux sites informatiques excluent les temps d'arrêt programmés des calculs de disponibilité, en supposant qu'ils ont peu ou pas d'impact sur la communauté des utilisateurs informatiques. Ce faisant, ils peuvent prétendre avoir une disponibilité extrêmement élevée, ce qui peut donner l'illusion d' une disponibilité continue . Les systèmes qui présentent une disponibilité véritablement continue sont relativement rares et plus chers, et la plupart ont mis en œuvre des conceptions spécialisées soigneusement mises en œuvre qui éliminent tout point de défaillance unique et permettent des mises à niveau, des correctifs et des remplacements en ligne du matériel, du réseau, du système d'exploitation, du middleware et des applications. Pour certains systèmes, les temps d'arrêt programmés n'ont pas d'importance, par exemple les temps d'arrêt du système dans un immeuble de bureaux après que tout le monde soit rentré chez lui pour la nuit.

La disponibilité est généralement exprimée sous forme de pourcentage de disponibilité sur une année donnée. Le tableau suivant indique le temps d'arrêt autorisé pour un pourcentage particulier de disponibilité, en supposant que le système doit fonctionner en continu. Les accords de niveau de service font souvent référence au temps d'arrêt ou à la disponibilité mensuels afin de calculer les crédits de service correspondant aux cycles de facturation mensuels. Le tableau suivant indique la conversion d'un pourcentage de disponibilité donné en durée d'indisponibilité du système.

Les termes uptime et Availability sont souvent utilisés de manière interchangeable, mais ne désignent pas toujours la même chose. Par exemple, un système peut être « opérationnel » mais ses services ne sont pas « disponibles » en cas de panne du réseau . Ou encore, un système en cours de maintenance logicielle peut être « disponible » pour être utilisé par un administrateur système , mais ses services ne semblent pas « opérationnels » pour l' utilisateur final ou le client. Le sujet des termes est donc important ici : que le sujet d'une discussion soit le matériel du serveur, le système d'exploitation du serveur, le service fonctionnel, le service/processus logiciel ou autre, ce n'est que s'il existe un sujet unique et cohérent de la discussion que les termes uptime et Availability peuvent être utilisés comme synonymes.

Une règle mnémotechnique simple stipule que 5 neufs permettent environ 5 minutes d'indisponibilité par an. Des variantes peuvent être dérivées en multipliant ou en divisant par 10 : 4 neufs correspondent à 50 minutes et 3 neufs à 500 minutes. Dans le sens inverse, 6 neufs correspondent à 0,5 minute (30 secondes) et 7 neufs correspondent à 3 secondes.

Une autre astuce de mémoire pour calculer la durée d'indisponibilité autorisée pour un pourcentage de disponibilité « -neuf » consiste à utiliser la formule secondes par jour.

Par exemple, 90 % (« un neuf ») donne l'exposant , et par conséquent le temps d'arrêt autorisé est de secondes par jour.

De plus, 99,999 % (« cinq neufs ») donne l'exposant , et donc le temps d'arrêt autorisé est de secondes par jour.

Les pourcentages d'un ordre de grandeur particulier sont parfois désignés par le nombre de neuf ou « classe de neuf » dans les chiffres. Par exemple, l'électricité qui est fournie sans interruption ( pannes de courant , baisses de tension ou surtensions ) 99,999 % du temps aurait une fiabilité de 5 neufs, ou classe cinq. En particulier, le terme est utilisé en relation avec les mainframes ou l'informatique d'entreprise, souvent dans le cadre d'un accord de niveau de service .

De même, les pourcentages se terminant par un 5 ont des noms conventionnels, traditionnellement le nombre de neuf, puis « cinq », donc 99,95 % est « trois neuf cinq », abrégé 3N5. On parle familièrement de « trois neufs et demi », mais c'est incorrect : un 5 n'est qu'un facteur de 2, tandis qu'un 9 est un facteur de 10, donc un 5 est 0,3 neuf (selon la formule ci-dessous : ) : La disponibilité à 99,95 % est de 3,3 neufs, pas de 3,5 neufs. Plus simplement, passer de 99,9 % de disponibilité à 99,95 % de disponibilité est un facteur de 2 (0,1 % à 0,05 % d’indisponibilité), mais passer de 99,95 % à 99,99 % de disponibilité est un facteur de 5 (0,05 % à 0,01 % d’indisponibilité), soit plus de deux fois plus.

Une formulation de la classe des 9 basée sur l'indisponibilité d'un système serait

(cf. Fonctions sol et plafond ).

Une mesure similaire est parfois utilisée pour décrire la pureté des substances.

En général, le nombre de neuf n'est pas souvent utilisé par un ingénieur réseau lors de la modélisation et de la mesure de la disponibilité, car il est difficile à appliquer dans une formule. Le plus souvent, l'indisponibilité exprimée sous forme de probabilité (comme 0,00001) ou de temps d'arrêt par an est citée. La disponibilité spécifiée sous forme de nombre de neuf est souvent vue dans les documents marketing . L'utilisation des « neufs » a été remise en question, car elle ne reflète pas de manière appropriée le fait que l'impact de l'indisponibilité varie en fonction de son heure d'apparition. Pour de grandes quantités de 9, l'indice « d'indisponibilité » (mesure du temps d'arrêt plutôt que du temps de fonctionnement) est plus facile à gérer. Par exemple, c'est pourquoi une mesure d'« indisponibilité » plutôt que de disponibilité est utilisée dans les taux d'erreur binaire sur disque dur ou sur liaison de données .

Parfois, le terme humoristique « neuf cinq » (55,5555555 %) est utilisé pour contraster avec « cinq neuf » (99,999 %), bien qu'il ne s'agisse pas d'un objectif réel, mais plutôt d'une référence sarcastique à quelque chose qui ne parvient absolument pas à atteindre un objectif raisonnable.

La mesure de la disponibilité est sujette à un certain degré d'interprétation. Un système qui a fonctionné pendant 365 jours au cours d'une année non bissextile peut avoir été éclipsé par une panne réseau qui a duré 9 heures au cours d'une période de pointe d'utilisation ; la communauté des utilisateurs considérera le système comme indisponible, tandis que l'administrateur système déclarera une disponibilité de 100 %. Cependant, compte tenu de la véritable définition de la disponibilité, le système sera disponible à environ 99,9 %, soit trois neuf (8 751 heures de temps de disponibilité sur 8 760 heures par année non bissextile). En outre, les systèmes qui rencontrent des problèmes de performances sont souvent considérés comme partiellement ou totalement indisponibles par les utilisateurs, même lorsque les systèmes continuent de fonctionner. De même, l'indisponibilité de certaines fonctions d'application peut passer inaperçue aux yeux des administrateurs, mais être dévastatrice pour les utilisateurs. Une véritable mesure de la disponibilité est holistique.

La disponibilité doit être mesurée pour être déterminée, idéalement à l'aide d'outils de surveillance complets (« instrumentation ») qui sont eux-mêmes hautement disponibles. En l'absence d'instrumentation, les systèmes prenant en charge le traitement de transactions à volume élevé tout au long de la journée et de la nuit, tels que les systèmes de traitement de cartes de crédit ou les commutateurs téléphoniques, sont souvent intrinsèquement mieux surveillés, au moins par les utilisateurs eux-mêmes, que les systèmes qui connaissent des baisses périodiques de la demande.

Une mesure alternative est le temps moyen entre pannes (MTBF).

Le temps de récupération (ou temps estimé de réparation (ETR), également connu sous le nom d' objectif de temps de récupération (RTO) est étroitement lié à la disponibilité, c'est-à-dire le temps total requis pour une panne planifiée ou le temps nécessaire pour récupérer complètement après une panne imprévue. Une autre mesure est le temps moyen de récupération (MTTR). Le temps de récupération peut être infini avec certaines conceptions et pannes de système, c'est-à-dire qu'une récupération complète est impossible. Un tel exemple est un incendie ou une inondation qui détruit un centre de données et ses systèmes lorsqu'il n'y a pas de centre de données de reprise après sinistre secondaire .

Un autre concept connexe est la disponibilité des données , c'est-à-dire le degré auquel les bases de données et autres systèmes de stockage d'informations enregistrent et signalent fidèlement les transactions du système. La gestion des informations se concentre souvent séparément sur la disponibilité des données, ou objectif de point de récupération , afin de déterminer la perte de données acceptable (ou réelle) en cas de divers événements de défaillance. Certains utilisateurs peuvent tolérer les interruptions de service des applications, mais ne peuvent pas tolérer la perte de données.

Un accord de niveau de service (« SLA ») formalise les objectifs et les exigences de disponibilité d'une organisation.

La haute disponibilité est l'une des principales exigences des systèmes de contrôle des véhicules sans pilote et des navires maritimes autonomes . Si le système de contrôle devient indisponible, le véhicule de combat terrestre (GCV) ou le navire sans pilote à traînée continue ASW (ACTUV) serait perdu.

D'un côté, l'ajout de composants supplémentaires à la conception globale d'un système peut compromettre les efforts visant à atteindre une haute disponibilité, car les systèmes complexes présentent par nature davantage de points de défaillance potentiels et sont plus difficiles à mettre en œuvre correctement. Alors que certains analystes avancent la théorie selon laquelle les systèmes les plus hautement disponibles adhèrent à une architecture simple (un seul système physique polyvalent de haute qualité avec une redondance matérielle interne complète), cette architecture souffre de l'exigence selon laquelle l'ensemble du système doit être arrêté pour l'application de correctifs et les mises à niveau du système d'exploitation. Les conceptions de systèmes plus avancées permettent d'appliquer des correctifs et de mettre à niveau les systèmes sans compromettre la disponibilité des services (voir équilibrage de charge et basculement ). La haute disponibilité nécessite moins d'intervention humaine pour rétablir le fonctionnement des systèmes complexes ; la raison en est que la cause la plus courante des pannes est l'erreur humaine.

D'autre part, la redondance est utilisée pour créer des systèmes avec des niveaux de disponibilité élevés (par exemple, les sites de commerce électronique populaires). Dans ce cas, il est nécessaire d'avoir des niveaux élevés de détectabilité des pannes et d'éviter les pannes de cause commune.

Si des composants redondants sont utilisés en parallèle et présentent des défaillances indépendantes (par exemple en ne se trouvant pas dans le même centre de données), ils peuvent augmenter de manière exponentielle la disponibilité et rendre le système global hautement disponible. Si vous avez N composants parallèles ayant chacun une disponibilité X, vous pouvez utiliser la formule suivante :

Disponibilité des composants parallèles = 1 - (1 - X)^ N

Ainsi, par exemple, si chacun de vos composants n'a qu'une disponibilité de 50 %, en utilisant 10 composants en parallèle, vous pouvez atteindre une disponibilité de 99,9023 %.

Il existe deux types de redondance : la redondance passive et la redondance active.

La redondance passive est utilisée pour atteindre une haute disponibilité en incluant suffisamment de capacité excédentaire dans la conception pour faire face à une baisse de performances. L'exemple le plus simple est celui d'un bateau équipé de deux moteurs distincts entraînant deux hélices distinctes. Le bateau continue sa route vers sa destination malgré la panne d'un seul moteur ou d'une seule hélice. Un exemple plus complexe est celui de plusieurs installations de production d'énergie redondantes au sein d'un grand système impliquant la transmission d'énergie électrique . Le dysfonctionnement de composants individuels n'est pas considéré comme une panne à moins que la baisse de performances qui en résulte ne dépasse les limites de spécification pour l'ensemble du système.

La redondance active est utilisée dans les systèmes complexes pour atteindre une haute disponibilité sans baisse de performances. Plusieurs éléments du même type sont intégrés dans une conception qui comprend une méthode de détection des pannes et de reconfiguration automatique du système pour contourner les éléments défaillants à l'aide d'un schéma de vote. Ceci est utilisé avec des systèmes informatiques complexes qui sont liés. Le routage Internet est dérivé des premiers travaux de Birman et Joseph dans ce domaine. La redondance active peut introduire des modes de défaillance plus complexes dans un système, tels qu'une reconfiguration continue du système en raison d'une logique de vote défectueuse.

La conception d'un système à temps d'arrêt nul signifie que la modélisation et la simulation indiquent que le temps moyen entre les pannes dépasse largement la période de temps entre les opérations de maintenance planifiées , les mises à niveau ou la durée de vie du système. Le temps d'arrêt nul implique une redondance massive, qui est nécessaire pour certains types d'aéronefs et pour la plupart des types de satellites de communication . Le système de positionnement global est un exemple de système à temps d'arrêt nul.

L'instrumentation de panne peut être utilisée dans les systèmes à redondance limitée pour atteindre une haute disponibilité. Les actions de maintenance se produisent pendant de brèves périodes d'arrêt uniquement après l'activation d'un indicateur de panne. Une panne n'est significative que si elle se produit pendant une période critique pour la mission .

La modélisation et la simulation sont utilisées pour évaluer la fiabilité théorique des grands systèmes. Le résultat de ce type de modèle est utilisé pour évaluer différentes options de conception. Un modèle de l'ensemble du système est créé et le modèle est soumis à des contraintes en supprimant des composants. La simulation de redondance implique le critère Nx. N représente le nombre total de composants du système. x est le nombre de composants utilisés pour soumettre le système à des contraintes. N-1 signifie que le modèle est soumis à des contraintes en évaluant les performances avec toutes les combinaisons possibles où un composant est défaillant. N-2 signifie que le modèle est soumis à des contraintes en évaluant les performances avec toutes les combinaisons possibles où deux composants sont défaillants simultanément.

Une enquête réalisée en 2010 auprès d'experts en disponibilité universitaire a classé les raisons de l'indisponibilité des systèmes informatiques des entreprises. Toutes les raisons renvoient au non-respect des meilleures pratiques dans chacun des domaines suivants (par ordre d'importance) :

1. Suivi des composants concernés
2. Exigences et approvisionnement
3. Opérations
4. Éviter les pannes de réseau
5. Éviter les pannes d'application internes
6. Éviter les services externes défaillants
7. Environnement physique
8. Redondance du réseau
9. Solution technique de sauvegarde
10. Solution de processus de sauvegarde
11. Localisation physique
12. Redondance des infrastructures
13. Redondance de l'architecture de stockage

Un livre sur les facteurs eux-mêmes a été publié en 2003.

Dans un rapport de 1998 d' IBM Global Services , on estime que les systèmes indisponibles ont coûté aux entreprises américaines 4,54 milliards de dollars en 1996, en raison de la perte de productivité et de revenus.