Mise à jour du noyau : pourquoi la mise à jour la plus dangereuse est la plus discrète

Une mise à jour du noyau s’installe, l’installation se termine sans encombre, et rien ne semble avoir changé. Le système tourne toujours sur l’ancien noyau, car un nouveau noyau ne prend effet qu’au redémarrage.

Et c’est précisément là que se cache le danger.

Des semaines s’intercalent entre la cause et l’effet

La plupart des pannes de paquets se manifestent pendant que vous regardez. Un service tombe, il signale une erreur, vous le remarquez le jour même.

Le noyau n’est pas comme cela. Le problème apparaît au démarrage suivant, et ce démarrage n’est peut-être pas une nuit de maintenance planifiée. Le courant est coupé, la machine redémarre toute seule, et elle ne revient pas.

À ce moment-là, personne ne fait le lien avec « la mise à jour que j’ai faite le mois dernier ». Vous avez une panne inexpliquée qui ne ressemble pas du tout à un problème de mise à jour.

Le principe général : ce qui est nouveau ne doit pas être le choix par défaut tant qu’il n’a pas fait ses preuves

C’est la leçon transposable de cet article, et elle ne vaut pas que pour les noyaux.

Un nouveau noyau peut être installé, mais le choix persistant par défaut doit rester l’ancien noyau. Le nouveau ne doit être essayé que sous la forme « essaie ceci une fois au prochain démarrage ».

Monté ainsi, la forme de la panne change : si la machine se fige, elle revient d’elle-même à l’ancien au démarrage suivant. Car un choix à usage unique est, par définition, valable une fois.

Ce que vous y gagnez : le nom de l’échec devient « rien ne s’est passé », pas « la machine a disparu ».

La deuxième couche : ce qui est installé ne doit pas devenir le défaut en silence

Dès qu’un noyau est installé, la plupart des systèmes disent « désormais je démarre avec le plus récent ». Si vous ne voulez pas cela, il faut épingler le noyau en cours avant la mise à jour.

L’épinglage ne bloque pas le nouveau noyau, il l’empêche seulement de devenir le défaut tout seul. Quand vous voulez l’essayer, c’est vous qui choisissez.

La troisième couche : qui va remarquer le blocage

Pour qu’un mécanisme de repli fonctionne, il faut que quelque chose dise « cette machine n’est pas remontée ». S’il existe un surveillant au niveau matériel, c’est lui qui le fait et redémarre la machine.

Sinon, le repli demande une réinitialisation manuelle. Cela ne rend pas le mécanisme inutile, mais il faut le savoir : la phrase « il revient automatiquement en arrière » n’est qu’à moitié vraie sans surveillant.

La règle valable même sans produit

Après une mise à jour du noyau, redémarrez délibérément et rapidement. Pendant que vous regardez.

Un redémarrage que vous avez planifié est un test. Un redémarrage imposé par une coupure de courant trois semaines plus tard est un incident. La seule différence entre les deux est votre présence au moment voulu.

Ce que fait Atlas

Quand Atlas fait une mise à jour, il épingle par défaut le noyau en cours, de sorte que le noyau fraîchement installé ne devienne pas tout seul le choix de démarrage. Ce comportement n’est pas obligatoire : il est proposé comme une option désactivable dans l’interface. Le produit ne décide pas ici, il fait du côté sûr le choix par défaut.

Le mécanisme de transition vérifiée est bâti sur le même principe : le choix persistant est toujours l’ancien noyau, le nouveau n’est essayé qu’avec un démarrage unique, et s’il se fige le système revient de lui-même. Le type de gestionnaire de démarrage est détecté à l’exécution, car il varie d’une machine à l’autre.

Et deux limites honnêtes :

Ce mécanisme fonctionne par défaut en mode observation. Il dit donc ce qu’il ferait mais ne touche pas à la configuration de démarrage. Intervenir réellement est un choix distinct.

S’il n’y a pas de surveillant matériel, le mécanisme ne l’ignore pas en silence : il se désactive proprement et indique qu’une réinitialisation manuelle peut être nécessaire. Faire croire à une garantie qui n’existe pas est pire que de n’en donner aucune.