Les gens imaginent le métier de la fiabilité comme une succession de sauvetages héroïques à trois heures du matin. La réalité que j'ai apprise est presque l'inverse. Un bon travail de fiabilité rend les nuits ennuyeuses. Les vraies décisions qui déterminent si un système tient ou s'effondre se prennent des semaines avant l'incident, dans des choix calmes que personne ne remarque.
L'idée qui a le plus changé ma manière de travailler, c'est le budget d'erreur. Accepter qu'un système n'a pas besoin d'être parfait, seulement assez fiable pour ses utilisateurs, m'a libéré d'une poursuite épuisante de la perfection. Si nous visons trois neuf de disponibilité, cela veut dire que nous avons droit à un certain temps d'indisponibilité, et ce droit est une ressource. Tant que le budget n'est pas consommé, on peut livrer vite et prendre des risques mesurés. Quand il fond, on ralentit et on stabilise. Ce cadre transforme une dispute émotionnelle entre développement et opérations en une décision chiffrée.
Le second pilier, c'est le post-mortem sans blâme. Après chaque incident sérieux, je réunis l'équipe non pas pour trouver un coupable, mais pour comprendre quel système a permis à une erreur humaine de devenir une panne. Si quelqu'un a pu supprimer une base de production en une seule commande, le vrai défaut n'est pas la personne, c'est l'absence de garde-fou. Chercher un coupable est confortable et inutile. Chercher le défaut de conception est inconfortable et précieux.
J'ai aussi appris à me méfier de l'excès de redondance. Ajouter des couches de secours partout semble prudent, mais chaque couche ajoute de la complexité, et la complexité est elle-même une source de pannes. Parfois le système le plus fiable est le plus simple, celui que toute l'équipe comprend entièrement et peut réparer sous stress. Le jugement consiste à savoir quand la robustesse supplémentaire commence à fragiliser.
La fiabilité n'est pas un acte de bravoure, c'est une accumulation de décisions modestes prises à froid. Mon meilleur travail ne se voit jamais, car il se mesure aux incidents qui ne sont jamais arrivés.
– Sergey Shinder
Top comments (0)