Une appartenance honnête en cas de panne
Bien détecter les pannes est la partie difficile du clustering. Nodus utilise les battements de cœur, la joignabilité par pair et une fenêtre de suspicion pour distinguer un nœud lent d'un nœud parti — puis réélit de façon déterministe pour que le cluster se répare sans osciller et sans vide de leadership.
Distinguer le « lent » du « parti »
Évincez trop vite et une pause du GC ressemble à un crash ; évincez trop tard et les clients restent bloqués sur un nœud mort. Nodus est conçu autour de ce compromis.
Battements de cœur
Les membres échangent des battements de cœur sur le transport persistant. Un pair qui continue de répondre est en bonne santé ; un pair qui devient silencieux est candidat à la suspicion — aucun service de contrôle de santé séparé requis.
Joignabilité par pair
La joignabilité est suivie par pair, de sorte qu'une partition qui isole un lien ne condamne pas tout le cluster. Chaque membre juge chaque pair sur ses propres preuves.
Une fenêtre de suspicion
Avant qu'un pair silencieux ne soit évincé, il est maintenu « suspect » pendant une fenêtre (environ 20 secondes par défaut). Cette fenêtre distingue le « lent » du « parti » et empêche un bref hoquet de faire osciller l'appartenance.
Départ gracieux vs arrêt brutal
Un arrêt propre diffuse un départ afin que les pairs l'évincent immédiatement et que le basculement soit rapide. Un arrêt brutal n'a pas un tel signal, c'est donc la fenêtre de suspicion qui finit par le retirer.
Ce qui se passe quand un nœud meurt
Le basculement est automatique. Les survivants détectent la perte, réélisent si nécessaire et réadmettent le nœud à son retour — le tout sans intervention de l'opérateur.
Détecter
Les battements de cœur d'un pair cessent ; après la fenêtre de suspicion, il est déclaré parti et retiré du registre.
Réélire
Si le pair perdu était le leader, chaque survivant exécute la même élection déterministe et l'époque avance — de sorte qu'il n'y a jamais de vide sans coordinateur ni deux prétendants au rôle.
Réadmettre
Lorsque le nœud revient, il rejoint le cluster à partir de son ensemble de pairs, un événement d'arrivée se déclenche, et le registre et le leadership se stabilisent à nouveau.
Pas deux leaders, pas de vide sans leader
Parce que le leadership est porté par une époque croissante de façon monotone et que chaque survivant exécute la même élection sur les mêmes pairs joignables, le basculement converge sur exactement un nouveau leader à une époque supérieure. Un message d'un leader destitué est reconnaissablement obsolète, de sorte que les revendications de split-brain sont rejetées plutôt que suivies d'effet.
Rapide là où ça compte
- Les départs gracieux évincent immédiatement — sans attendre un timeout
- La fenêtre de suspicion (~20 s par défaut) absorbe les à-coups transitoires
- La réélection est un calcul local, pas un vote à plusieurs tours
- La libération quitte le cluster proprement pour que les pairs récupèrent vite
Une résilience que vous n'avez pas à construire
Battements de cœur, suspicion et basculement — embarqués, pour que votre service en bénéficie simplement.