Un lien de secours qui emprunte le même fourreau ne secourt rien

Deux contrats d’accès, deux factures, deux numéros de service. Sur le papier, le site dispose d’un lien principal et d’un lien de secours. Le jour où une pelleteuse sectionne un fourreau à trois kilomètres de là, les deux tombent ensemble, et personne ne comprend pourquoi la redondance payée pendant quatre ans n’a pas fonctionné.

Ce qui se partage sans qu’on le sache

Un accès de secours est censé tomber pour des causes différentes de celles qui font tomber le lien principal. Cette indépendance se vérifie à quatre niveaux, et elle se perd à n’importe lequel d’entre eux.

Le trajet physique est le premier. Deux fibres livrées par deux opérateurs distincts passent fréquemment dans le même fourreau, sur les mêmes appuis, par le même point de pénétration dans le bâtiment. La mutualisation des infrastructures de génie civil est la règle, pas l’exception, et elle est invisible depuis le contrat.

Le second est l’opérateur d’infrastructure. Un revendeur ne possède pas de réseau : il achète de la capacité à celui qui en possède un. Deux fournisseurs commerciaux différents peuvent s’appuyer sur le même porteur, auquel cas une panne du porteur interrompt les deux services simultanément.

Le troisième est l’énergie. Un lien redondé dont les deux équipements terminaux sont alimentés par le même tableau, sans onduleur, tombe à la première coupure. C’est le cas le plus fréquent et le moins coûteux à corriger.

Le quatrième est la configuration. Deux liens fonctionnels ne produisent une continuité que si un mécanisme de bascule existe, qu’il a été essayé, et que les services qui en dépendent tolèrent le temps de convergence.

Ce qui se demande, et à qui

Le trajet physique se demande à l’opérateur, par écrit, sous la forme d’un plan de cheminement ou d’un engagement de diversité de parcours. Certains le fournissent ; d’autres refusent, ce qui est en soi une information. Un opérateur qui ne peut pas attester la diversité du parcours ne vend pas de la redondance, il vend un second abonnement.

L’identité du porteur se demande de la même manière. La question tient en une phrase : sur quelle infrastructure de transport ce service repose-t-il, et cette infrastructure est-elle la même que celle du service déjà en place ?

Le cas des sites isolés

Sur un site minier, un poste frontière ou une station technique éloignée d’un centre urbain, la diversité de parcours filaire n’existe souvent pas. Il n’y a qu’un axe, et il est unique. La redondance passe alors par un support de nature différente — faisceau hertzien, liaison satellitaire — dont la bande passante et la latence ne sont pas comparables à celles du lien principal.

Cette asymétrie doit être arbitrée avant la mise en service, pas découverte pendant l’incident. Les applications qui doivent continuer de fonctionner sur le lien dégradé sont identifiées, et celles qui s’arrêteront le sont aussi. Un secours qui n’a jamais porté la charge réelle est une hypothèse, pas un dispositif.

Ce qu’il faut exiger

Une attestation écrite de diversité de parcours, du répartiteur jusqu’au point de pénétration du bâtiment. L’identité de l’opérateur d’infrastructure de chaque lien. Un essai de bascule conduit à la réception, en charge, avec relevé du temps d’interruption. Et sa répétition à intervalle fixe : un mécanisme de bascule qui n’a pas été éprouvé depuis dix-huit mois a la même valeur qu’un extincteur qu’on n’a jamais contrôlé.