La pyramide inversée de la catastrophe

Le modèle 3-2-1 d'architecture système est extrêmement répandu aujourd'hui et représente presque toujours exactement l'inverse de ce dont une entreprise a besoin, ou même de ce qu'elle voudrait si elle prenait le temps de coucher par écrit ses objectifs métier plutôt que d'aborder une architecture sous l'angle de la technologie d'abord. Concevoir une solution impose de partir des exigences métier, faute de quoi nous ne risquons pas seulement que l'architecture soit mal conçue pour l'entreprise : nous devons nous y attendre.

Ce nom fait référence à trois (c'est un point souple, il s'agit souvent de deux ou plus) serveurs hôtes de virtualisation redondants connectés à deux (ou potentiellement plus) commutateurs redondants, eux-mêmes connectés à un unique périphérique de stockage, généralement un SAN (mais du DAS ou du NAS sont également valables ici). C'est une pyramide inversée parce que la partie qui compte, les hôtes de virtualisation, dépend entièrement du réseau, lequel, à son tour, dépend entièrement de l'unique SAN ou du périphérique de stockage de substitution. Ainsi, tout repose sur un unique point de défaillance, et toute la protection et la redondance sont bâties de plus en plus haut au sommet de ce fondement fragile. Contrairement à une véritable pyramide dotée d'une base large et stable et d'une pointe au sommet, celle-ci est construite avec toute la faiblesse à la base. (Souvent, le modèle marketing des « pets de licorne » selon lequel « les SAN sont magiques et ne peuvent pas tomber en panne grâce à leurs doubles contrôleurs » ressort ici, alors que les gens tentent d'expliquer en quoi il ne s'agirait pas d'un point de défaillance unique, alors que c'en est un à tous les égards.)

Ainsi, cette solution, souvent appelée conception 3-2-1, peut également être qualifiée de « pyramide inversée de la catastrophe », car il s'agit d'une pyramide à l'envers, trop fragile pour être exploitée et extrêmement onéreuse au regard de ce qu'elle apporte. À la différence de bien d'autres modèles fragiles, elle est donc très coûteuse, peu flexible et pas aussi fiable que le simple fait de ne rien faire de plus que de disposer d'un unique serveur de qualité.

Il existe des cas où une configuration 3-2-1 a du sens, mais ce sont essentiellement des cas limites extrêmes où un environnement fragile est recherché et où de hauts niveaux de stockage partagé assortis de capacités de traitement massives sont nécessaires : rien que l'on verrait dans le monde des PME, et très rarement ailleurs.

La pyramide inversée fait grande impression auprès des personnes qui ne perçoivent pas l'architecture dans son ensemble, comme les managers et les responsables métier. Il y a beaucoup de boîtiers, beaucoup de câbles, il y a généralement des composants logiciels étiquetés « HA » qui, pour l'observateur extérieur, donnent l'impression que l'ensemble de la solution doit être hautement fiable. Les pyramides inversées sont populaires parce qu'elles offrent de la « HA » d'un point de vue marketing, faisant paraître tout merveilleux, et qu'elles maintiennent le coût global dans des limites raisonnables, de sorte que cela ressemble presque à un miracle : des promesses de haute disponibilité sans les coûts traditionnels. La « redondance » supplémentaire de certains des composants est excellente pour le marketing. Comme la fiabilité est difficile à mesurer, les responsables métier comme les techniciens en viennent souvent à parler de redondance plutôt que de fiabilité, car la redondance est facile à constater. La pyramide inversée parle bien à ces personnes, car elle apporte de la redondance sans fiabilité. La redondance ne se trouve pas là où elle importe le plus. Il est absolument essentiel de se rappeler que la redondance n'est ni une case à cocher ni un objectif : c'est un outil à employer pour obtenir des améliorations de fiabilité. Une redondance mal placée n'a aucune valeur. À quoi sert une voiture dotée d'un volant de rechange dans le coffre ? À quoi sert un avion redondant si vous mourez lorsque le premier s'écrase ? À quoi sert un serveur redondant si votre entreprise est à l'arrêt et vos données perdues lorsque l'unique SAN est parti en fumée ?

La pyramide inversée est l'un des exemples les plus manifestes et les plus omniprésents de « l'habit neuf de l'empereur » utilisé dans la vente de technologies. Parce qu'elle répond aux besoins des revendeurs et des fournisseurs en favorisant les ventes à forte marge et en réduisant au minimum celles à faible marge, et parce que presque tous les fournisseurs en font la promotion en raison de ses avantages financiers pour le vendeur, elle s'est imposée comme une excellente solution : elle est juste assez compliquée et technique pour qu'aucune dénonciation généralisée ne se produise, et, sous l'effet de l'incroyable pression du marché exercée par la multitude de fournisseurs tirant profit de cette architecture, elle est devenue le statu quo, et peu de gens s'arrêtent pour se demander si l'architecture dans son ensemble a le moindre mérite. Cela, combiné au fait que tous les systèmes actuels sont hautement fiables comparés à ceux d'il y a à peine une décennie, rendant les défaillances suffisamment rares pour que le fait qu'elles soient plus fréquentes qu'elles ne devraient l'être passe inaperçu, et au fait que les taux de défaillance statistiques ne sont pas partagés entre les PME, fait que cette architecture prospère et est devenue la solution de facto pour la plupart des PME.

En définitive, l'approche de la pyramide inversée n'a aucun sens : elle est bien plus peu fiable que des solutions plus simples, ne serait-ce qu'un unique serveur autonome, tout en coûtant plusieurs fois plus cher. Si le coût est un critère déterminant, elle devrait être écartée d'emblée. Si la fiabilité est un critère déterminant, elle devrait être écartée d'emblée. Ce n'est que si le coût et la fiabilité passent très largement après la flexibilité qu'elle devrait même être envisagée, et même alors, il est rare qu'une solution moins coûteuse et plus fiable ne l'égale pas en flexibilité globale dans le périmètre de flexibilité anticipé. Il vaut mieux l'éviter purement et simplement.

Publié initialement sur Spiceworks sous une forme abrégée : http://community.spiceworks.com/topic/312493-the-inverted-pyramid-of-doom