Quorum et régions

Les régions

Six régions de sondes, une par continent habité : na-ewr, sa-gru, eu-fra, af-jnb, as-sgp, oce-syd. Free couvre 2 régions, Pulse 3, et Sentinel et au-delà les six. L’architecture de la flotte est décrite sur la page du réseau.

Le modèle de vote concerne les onze types de sondes régionales. Les monitors agent et heartbeat remontent leurs signaux directement et suivent leurs propres règles d’incident.

Deux seuils avant l’alerte

1. Au sein d’une région, l’algorithme agrège les résultats frais des nœuds et exige 75 % d’accord lorsque plusieurs nœuds sont actifs. Aujourd’hui, chacune des six régions exploite un nœud actif : ce niveau vaut donc actuellement 1/1, et la confirmation vient de l’ensemble des régions. D’autres nœuds par région sont prévus, et ce niveau ajoutera alors une deuxième confirmation au sein de chaque région.
2. Entre les régions, un incident s’ouvre dès qu’un quorum de régions confirme la panne, deux régions par défaut. Le rétablissement a son propre quorum, et seuls les résultats compris dans la fenêtre de fraîcheur comptent. Ce vote interrégional porte la confirmation dans la topologie actuelle.

L’incident commence, à la seconde près, au moment où le quorum confirme la panne, et il se termine au rétablissement confirmé. Ce sont exactement les bornes que reprend votre registre de disponibilité. Rien n’est arrondi, rien n’est antidaté.

Incidents en formation et liste de veille

• Un incident en formation (première région en échec, quorum pas encore atteint) est visible dans le produit, avec le nom de la région concernée, et envoie une seule notification discrète par épisode.
• Les divergences sous le quorum (une région qui dérive ou une famille IP en échec) atterrissent sur une liste de veille. Les désaccords entre nœuds y figurent aussi dès qu’une région compte plusieurs nœuds actifs. Une entrée doit tenir un intervalle de check complet avant d’être signalée, et vous l’examinez à votre rythme, pas à 3 heures du matin.

Une seule règle pour l’alerte et la preuve

Le quorum entre régions vaut deux par défaut, et un profil d’alerte peut modifier cette politique. Le registre conserve la règle configurée à côté de chaque borne d’incident. Pour les onze types régionaux, la même politique explicite écarte les alertes dues à un seul chemin et définit la fenêtre de disponibilité, si bien que l’alerte et la preuve concordent toujours. La règle confirme qu’un service est tombé. La chronologie de l’incident et votre équipe établissent pourquoi.

Pour aller plus loin

• Alertes et astreinte : comment une panne confirmée devient une alerte.
• Preuves et rétention : comment ces bornes deviennent des chiffres SLA.