Quorum et régions

Les régions

Six régions de sondes, une par continent habité : na-ewr, sa-gru, eu-fra, af-jnb, as-sgp, oce-syd. Free couvre 2 régions, Pulse 3 ; à partir de Sentinel, les six. L’architecture de la flotte est décrite sur la page du réseau.

Le modèle de vote de cette page concerne onze types de sondes régionales. Les monitors Agent et Heartbeat n’utilisent ni région de sonde ni quorum régional ; leurs signaux entrants suivent leurs propres règles d’incident.

Deux seuils avant l’alerte

1. Au sein d’une région, l’algorithme agrège les résultats frais des nœuds et exige 75 % d’accord lorsque plusieurs nœuds sont actifs. Dans la topologie actuelle à six régions, un seul nœud est actif par région : ce niveau vaut donc actuellement 1/1 et ne constitue pas une deuxième confirmation indépendante au sein de la région.
2. Entre les régions, un incident ne s’ouvre que lorsqu’un quorum de régions confirme la panne : deux régions par défaut. Le rétablissement a son propre quorum, et les résultats plus anciens que la fenêtre de fraîcheur ne comptent pas. C’est la confirmation interrégionale active dans la topologie actuelle.

L’incident commence, à la seconde près, au moment où le quorum confirme la panne, et il se termine au rétablissement confirmé. Ce sont exactement les bornes que reprend votre registre de disponibilité. Rien n’est arrondi, rien n’est antidaté.

Sous le quorum : incidents en formation et liste de veille

• Un incident en formation (première région en échec, quorum pas encore atteint) est visible dans le produit, avec le nom de la région concernée, et n’envoie qu’une seule notification discrète par épisode.
• Les divergences sous le quorum (une région qui dérive ou une famille IP en échec) atterrissent sur une liste de veille. Les désaccords entre nœuds y figurent aussi dès qu’une région compte plusieurs nœuds actifs. Une entrée doit survivre à un intervalle de check complet avant même d’être signalée ; vous l’examinez à votre rythme, pas à 3 heures du matin.

Pourquoi une règle explicite et configurable

Le quorum entre régions vaut deux par défaut, et un profil d’alerte peut modifier cette politique. Le registre conserve donc la règle configurée avec la borne d’incident produite. Pour les onze types régionaux, la même politique explicite réduit les alertes dues à un seul chemin et définit ensuite la fenêtre de disponibilité ; elle ne prouve pas seule la cause.