La santé de la plateforme — constater le silence

01Le silence est le mode de défaillance le plus grave #sec_554cde20

Un traitement qui échoue écrit une ligne. Un traitement qui ne tourne plus n'écrit rien. Toute la difficulté de la supervision tient dans cet écart : la panne la plus coûteuse est celle qui ne laisse aucune trace, et aucune colonne d'aucun écran ne peut montrer ce qui n'a jamais été écrit.

REVIEWIT en tire une règle de conception : un état de santé ne se stocke pas, il se calcule. Un état stocké devrait être tenu à jour par quelqu'un — et dans le cas qui nous occupe, ce quelqu'un est précisément celui qui s'est arrêté. Le verdict est donc produit à la lecture, en confrontant ce qu'on attendait à ce que le magasin porte réellement.

La même exigence vaut pour la nuance entre vérifier et ne pas pouvoir vérifier. Une sonde qui n'a pas su regarder ne rend jamais « en bonne santé » : elle rend « je ne sais pas ». Confondre les deux est le défaut le plus coûteux d'un dispositif de surveillance, parce qu'il ne se découvre qu'en audit, et jamais avant.

02Le veilleur ne partage pas le sort du veillé #sec_e4470335

Un traitement qui surveille les traitements s'arrête avec l'ordonnanceur qui le porte. La réponse n'est pas de renoncer à surveiller, mais de choisir où se tient l'observateur, en cercles de résistance croissante.

Le premier cercle est l'écran : le verdict se calcule dans un autre processus, il dit vrai même lorsque le surveillé est mort, mais seulement lorsqu'un humain regarde. Le deuxième est la remontée : la région observée pousse un condensé vers un tiers de confiance, qui mesure l'âge de ce qu'il reçoit — un système ne peut pas constater sa propre mort, mais son silence se constate ailleurs. Le troisième est le battement sortant, dont l'arrêt alerte un tiers réellement étranger.

Le même raisonnement s'applique au canal d'alerte lui-même. Une alerte qui emprunterait le service de messagerie du produit serait incapable d'annoncer la panne de ce service : le canal qui annonce ne partage jamais le sort de ce qu'il annonce.

Enfin, un dispositif de santé alerte, il ne pilote pas. Aucun redémarrage automatique, aucune bascule d'état, aucune suspension déclenchée par un silence. La raison n'est pas la prudence mais la logique : agir sur une absence de signal, c'est traiter « je ne sais pas » comme « je sais que non ». Un rapport qui n'arrive pas peut signaler une panne du surveillé, du canal ou du lecteur — trois causes, une seule apparence.

03Ce qu'on attend se déclare #sec_2e13ea82

Sans déclaration explicite de ce qui devrait exister, un composant retiré volontairement et un composant dont l'enregistrement a échoué en silence sont rigoureusement indiscernables : les deux se présentent comme une absence.

REVIEWIT tient donc un catalogue de ce qui est attendu. Il coûte une ligne par élément et rend l'absence non seulement visible, mais qualifiée : « attendu, absent » devient une alarme quand rien ne le justifie, et une explication quand une condition déclarée n'est pas remplie — une fonctionnalité désactivée, un service non configuré, une option non souscrite.

Un catalogue peut dériver, et c'est son seul vrai risque. La parade est un contrôle automatique qui lit le système réel et compare les deux listes : un élément neuf fait échouer le contrôle avant d'atteindre un déploiement.

La gravité, elle, ne se confond pas avec la nature du problème. « Absent », « silencieux », « en échec » décrivent ce qui se passe, pas ce que cela coûte. Un traitement secondaire absent pèse moins qu'un traitement vital en échec : la gravité est un calcul — nature, criticité déclarée, ancienneté, répétition — et non une position dans une liste.

04Alerter sans épuiser l'attention #sec_35228c41

Un lecteur qui constate une panne toutes les cinq minutes enverrait près de trois cents messages par jour pour un seul incident. La distinction qui l'évite est simple : le verdict est sans état, la notification en a un. Ce qui est conservé n'est pas la santé, mais le fait qu'un humain a déjà été prévenu — supprimer entièrement ce registre ne changerait aucun verdict.

De là découle le cycle : un délai avant d'ouvrir un incident, parce qu'un constat vu une seule fois est peut-être un redémarrage ; un seul incident par sujet ; un rappel à cadence déclarée ; et un rétablissement annoncé une seule fois, et seulement si l'ouverture l'avait été. On ne rassure pas quelqu'un qu'on n'a pas dérangé.

Lorsqu'une alarme connue ne doit plus réveiller personne, deux voies existent : faire taire le constat, ou déclarer qu'on l'assume. La première est un mensonge différé. REVIEWIT n'offre donc que la seconde : une mise en veille porte un motif, un auteur et une échéance — les trois ou aucun. Elle ne change pas le verdict, seulement l'envoi. Le constat reste vrai, reste affiché, et reprend son cours à l'échéance. L'acquittement obéit à la même logique : « je sais » arrête les rappels, jamais le fait, et ce qui s'aggrave n'a pas été acquitté.

05Deux audiences, une seule réalité #sec_5568dbff

L'exploitant et le client regardent la même plateforme et n'ont pas la même question. Le premier demande quel composant est tombé ; le second demande si le service qu'on lui doit fonctionne.

Relayer les noms techniques au second n'est pas de la transparence, c'est un transfert de charge : on lui laisse une traduction qu'il ne peut pas faire. Masquer un retard réel serait l'excès inverse, et un mensonge. REVIEWIT interpose donc une projection explicite et versionnée, qui vit dans le module et non dans l'écran — sinon deux portails finiraient par répondre différemment à la même question.

Trois règles la gouvernent : le pire état l'emporte, ce qui n'est pas monté est hors périmètre et jamais en retard, et la date présentée est celle du fait, pas celle de la page. Le client lit ainsi des promesses tenues ou en retard — la collecte des identités, la relance des campagnes, l'envoi des notifications — et non des codes de traitements.

06La direction du flux et la dernière preuve #sec_337c2c62

Lorsqu'un plan de contrôle central et des régions autonomes coexistent, le sens de circulation est une décision d'architecture et non un détail d'implémentation. Ouvrir un canal descendant pour le seul confort d'un écran de supervision suffirait à rendre l'autonomie régionale intenable.

La conséquence est libératrice plutôt que contraignante : puisque le centre ne va pas chercher, ce sont les régions qui poussent leur condensé — et leur silence devient un signal de premier ordre, gratuit, qu'aucun autre dispositif n'aurait fourni. Ce qui doit être observé de près se sonde de près : une région sonde ses propres voisins et rapporte ; le centre lit ce qu'on lui a dit, et l'âge de ce qu'on lui a dit.

Reste à ne pas détruire ce qui permet de dater un silence. Un journal sans purge devient illisible ; une purge sans plancher efface la dernière trace d'un sujet devenu muet, qui redevient alors indiscernable d'un sujet neuf. La règle est donc structurelle et non paramétrable : quelle que soit la durée de rétention retenue, la dernière trace connue de chaque sujet survit — y compris, et surtout, celle des sujets qui n'existent plus.

07En résumé #sec_cffea994

Un dispositif de santé n'a pas pour objet d'annoncer que tout va bien. Il a pour objet de rendre visible ce qui, par nature, ne se voit pas : l'arrêt silencieux, l'absence non déclarée, le traitement qui réussit sans plus rien produire. REVIEWIT calcule ses verdicts au lieu de les stocker, place l'observateur hors du périmètre observé, déclare ce qu'il attend, n'agit jamais sur une ignorance, traduit pour le client sans lui relayer sa tuyauterie, et conserve toujours la dernière preuve qui permet de dater un silence.