Le terme « sûreté de fonctionnement » caractérise le niveau de confiance d'un système informatique.
Une défaillance correspond à un dysfonctionnement du service, c'est-à-dire un état de fonctionnement anormal ou plus exactement non conforme aux spécifications. Du point de vue de l'utilisateur, un service possède deux états :
- service approprié, c'est-à-dire conforme aux attentes ;
- service inapproprié, c'est-à-dire non conforme aux attentes.
Une défaillance est imputable à une erreur, c'est-à-dire un dysfonctionnement local. Toutes les erreurs ne conduisent pas nécessairement à une défaillance du service.
Il existe plusieurs moyens de limiter les défaillances d'un service :
- la prévention des fautes consistant à éviter les fautes en les anticipant.
- la tolérance aux fautes dont l'objectif est de fournir un service conforme aux spécifications malgré les fautes en introduisant une redondance.
- l'élimination des fautes visant à réduire le nombre de fautes grâce à des actions correctives.
- la prévision des fautes en anticipation les fautes et leur impact sur le service.
Introduction à la haute disponibilité
On appelle « haute disponibilité » (en anglais « high availability ») toutes les dispositions visant à garantir la disponibilité d'un service, c'est-à-dire assurer le bon fonctionnement d'un service 24H/24.
Le terme « disponibilité » désigne la probabilité qu'un service soit en bon état de fonctionnement à un instant donné.
Le terme « fiabilité », parfois également utilisé, désigne la probabilité qu'un système soit en fonctionnement normal sur une période donnée. On parle ainsi de « continuité de service ».
La disponibilité s'exprime la plupart du temps sous la forme de taux de disponibilité, exprimé en pourcentage, en ramenant le temps de disponibilité sur le temps total. Le tableau suivant présente le temps d'indisponibilité (en anglais downtime) sur une base d'une année (365 jours) en fonction du taux de disponibilité :
| Taux de disponibilité |
Durée d'indisponibilité |
| 97% |
11 jours |
| 98% |
7 jours |
| 99% |
3 jours et 15 heures |
| 99,9% |
8 heures et 48 minutes |
| 99,99% |
53 minutes |
| 99,999% |
5 minutes |
| 99,9999% |
32 secondes |
Evaluation des risques
En effet, la panne d'un système informatique peut causer une perte de productivité et d'argent, voire des pertes matérielles ou humaines dans certains cas critiques. Il est ainsi essentiel d'évaluer les risques liés à un dysfonctionnement (faute) d'une des composantes du système d'information et de prévoir des moyens et mesures permettant d'éviter ou de rétablir dans des temps acceptables tout incident.
Comme chacun le sait, les risques de pannes d'un système informatique en réseau sont nombreux. L'origine des fautes peut être schématisée de la manière suivant :
- Origines physiques : elles peuvent être d'origine naturelle ou criminelle :
- Désastre naturel (innondation, séisme, incendie)
- Environnement (intempéries, taux d'humidité de l'air, température) ;
- Panne matérielle ;
- Panne du réseau ;
- Coupure électrique.
- Origines humaines : elles peuvent être intentionnelles ou fortuites :
- Erreur de conception (bogue logiciel, mauvais dimensionnement du réseau) ;
- Origines humaines : elle peuvent être intentionnelles ou fortuites :
- Erreur de conception (bogue logiciel, mauvais dimensionnement du réseau) ;
- Origines opérationnelles : elle sont lié à un état du système à un moment donné :
- Bogue logiciel ;
- Dysfonctionnement logiciel ;
L'ensemble de ces risques peuvent avoir différentes causes telles que les suivantes :
- Malveillance intentionnelle.
Tolérance aux pannes
Puisqu'il est impossible d'empêcher totalement les pannes, une solution consiste à mettre en place des mécanismes de redondance, en dupliquant les ressources critiques.
La capacité d'un système à fonctionner malgré une défaillance d'une de ses composantes est appelée tolérance aux pannes (parfois nommée tolérance aux fautes », en anglais fault tolerance).
Lorsqu'une des ressources tombe en panne, les autres ressources prennent le relais afin de laisser le temps aux administrateurs du système de remédier à l'avarie. En anglais le terme de « Fail-Over Service » (noté FOS) est ainsi utilisé.
Idéalement, dans le cas d'une panne matérielles, les éléments matériels fautifs devront pouvoir être « extractibles à chaud » (en anglais « hot swappable »), c'est-à-dire pouvoir être extraits puis remplacés, sans interruption de service.
La sauvegarde
Néanmoins, la mise en place d'une architecture redondante ne permet que de s'assurer de la disponibilité des données d'un système mais ne permet pas de protéger les données contre les erreurs de manipulation des utilisateurs ou contre des catastrophes naturelles telles qu'un incendie, une inondation ou encore un tremblement de terre.
Il est donc nécessaire de prévoir des mécanismes de sauvegardes, idéalement sur des sites distants, afin de garantir la pérennité des données.
Par ailleurs, un mécanisme de sauvegarde permet d'assurer une fonction d'archivage, c'est-à-dire de conserver les données dans un état correspondant à une date donnée.
Au sujet de l'auteur:
Jean-François PILLOU est ingénieur au Ministère de l'Education Nationale Il est rIngénieur au Ministère de l'Education Nationale de France. Il est responsable de projets techniques impliquant l'utilisation des nouvelles technologies dans l'enseignement scolaire esponsable de projets techniques impliquant l'utilisation des nouvelles technologies dans l'enseignement scolaire.
