Concevoir pour la coupure : le cloud quand la liaison n'est pas garantie
TW Micronics
Auteur
Le 14 mars 2024, aux alentours de 12h30, un éboulement sous-marin au large de la Côte d'Ivoire a sectionné quatre systèmes de câbles en même temps : WACS, ACE, MainOne et SAT-3. NetBlocks a relevé des perturbations dans au moins seize pays d'Afrique de l'Ouest et centrale. La Côte d'Ivoire était en coupure sévère ; le Liberia, le Bénin, le Ghana et le Burkina Faso en impact élevé. Et l'effet ne s'est pas arrêté aux utilisateurs finaux : les services Azure des régions Afrique du Sud Nord et Ouest ont connu latence accrue et pertes de paquets les 14 et 15 mars.
Ce n'était ni une cyberattaque, ni une négligence d'opérateur. C'était de la géologie. Et c'est précisément ce qui rend l'événement instructif : aucune clause contractuelle ne protège d'un éboulement.
L'hypothèse que personne n'écrit
La plupart des architectures conçues ces dix dernières années portent une hypothèse implicite : la liaison vers le fournisseur est disponible. Elle n'est jamais formulée, parce qu'elle est vraie 99 % du temps. Le problème n'est pas le 1 % restant — c'est que le 1 % arrive d'un coup, sur plusieurs jours, et pendant les heures ouvrées.
Le raisonnement habituel consiste à multiplier les régions du fournisseur. C'est utile, et insuffisant : le 14 mars, ce n'est pas une région qui est tombée, c'est le chemin pour l'atteindre. Deux régions derrière le même câble ne font pas deux chemins.
Trois questions qui changent une architecture
Avant de choisir un fournisseur ou une région, nous posons trois questions à nos clients. Elles ne sont pas techniques, elles sont métier — et ce sont elles qui déterminent la suite.
- Quelles opérations doivent continuer sans liaison ? Encaisser une vente, imprimer un bon de livraison, pointer une entrée en stock, consulter une fiche patient. La réponse est presque toujours plus courte qu'on ne le croit — et c'est une bonne nouvelle : seul ce noyau doit fonctionner hors ligne.
- Combien de temps le métier tient-il en mode dégradé ? Quatre heures, deux jours, une semaine ? Cette durée détermine la taille du cache local et la profondeur de la file d'attente. Sans elle, on dimensionne au hasard.
- Que se passe-t-il quand la liaison revient ? C'est la question la plus négligée, et de loin la plus coûteuse. Deux caisses qui ont vendu la même dernière pièce hors ligne produisent un conflit qu'aucune synchronisation automatique ne peut trancher seule.
Ce qui marche réellement
Le tampon local. L'application écrit d'abord localement, puis transmet. Ce n'est pas de la mise en cache : c'est une file d'attente durable, qui survit à un redémarrage et se vide dans l'ordre. La différence se voit le jour où le poste est éteint pendant la coupure.
Les identifiants générés côté client. Si le numéro de facture ou de bon vient du serveur, rien ne peut être créé hors ligne. Des identifiants générés localement, uniques par construction, suppriment cette dépendance — et évitent au passage les doublons de numérotation au retour.
La réconciliation explicite. Les conflits ne se résolvent pas « automatiquement » : ils se présentent à quelqu'un qui décide. Une file de conflits, visible et traitable par le responsable d'agence, vaut mieux qu'une règle du dernier écrivain qui efface silencieusement une vente réelle.
La diversité de transit, pas seulement de région. Un second opérateur qui emprunte un autre chemin physique — terrestre, satellite, ou un câble d'une autre façade maritime — protège davantage qu'une seconde région derrière la même fibre. Les pays qui s'en sortent le mieux lors de ces incidents sont ceux dont la diversité de transit et le nombre de points d'échange sont les plus élevés.
Ce que cela coûte, et ce que cela ne coûte pas
Concevoir pour la coupure coûte du temps d'analyse et un peu de complexité au départ. Cela ne coûte presque rien en infrastructure : un tampon local est quelques mégaoctets, une file d'attente durable une bibliothèque, des identifiants côté client une ligne de code. L'essentiel de la dépense est intellectuel, et il est consenti une fois.
La rénovation d'une application qui n'a pas été pensée ainsi, en revanche, se compte en mois. C'est pourquoi la question se pose au moment de la conception, jamais après le premier incident.
Le point que nous répétons le plus souvent
« Hors ligne » n'est pas une panne, c'est un mode de fonctionnement. Tant qu'une équipe traite l'absence de liaison comme un incident, elle attend qu'il se termine. Le jour où elle le traite comme un état prévu, avec ses écrans, ses règles et sa procédure de retour, une coupure de trois jours devient un désagrément au lieu d'un arrêt d'activité.
C'est une différence d'état d'esprit avant d'être une différence technique — et c'est la seule qui se voie encore trois ans plus tard, quand le câble suivant cède.
Sources