Onduleur et arrêt propre : le maillon oublié de tout homelab

L'essentiel

• Sans supervision, un onduleur ne fait que décaler la coupure brutale de quelques minutes.
• Il faut un service de supervision qui déclenche l'arrêt à un seuil, et non à l'épuisement de la batterie.
• L'ordre d'extinction compte : les machines qui consomment le stockage d'abord, le stockage en dernier.
• Le piège classique : arrêter le serveur qui pilote l'onduleur avant les autres, qui perdent alors leur source d'information.
• Une batterie se teste : elle vieillit et peut ne plus tenir que quelques secondes sans qu'aucun voyant ne l'indique.

L'onduleur est souvent le dernier équipement acheté, et le moins configuré. On le branche, la diode est verte, et le sujet est classé.

Puis survient une coupure de quarante minutes. L'onduleur tient huit minutes, personne ne déclenche rien, et tout s'éteint brutalement — exactement comme s'il n'était pas là.

Ce qu'un onduleur fait sans logiciel

Seul, un onduleur protège contre trois choses : les microcoupures, les variations de tension, et les surtensions. C'est déjà appréciable, et cela suffit à justifier son achat.

Mais face à une coupure longue, il ne fait que décaler l'arrêt brutal. Quand la batterie se vide, tout tombe d'un coup, au milieu des écritures en cours.

La protection réelle vient du service de supervision : un logiciel qui dialogue avec l'onduleur, surveille l'état de la batterie, et déclenche un arrêt ordonné pendant qu'il reste de l'autonomie.

Sans ce composant, vous avez acheté un délai, pas une protection.

Le déclenchement : une durée, pas un pourcentage

La première question est : à partir de quand arrêter ?

Le réflexe est de retenir un pourcentage de batterie. Le bon critère est différent : c'est la durée nécessaire à l'arrêt complet de votre installation.

Cette durée se mesure, elle ne s'estime pas. Chronométrez l'extinction de votre machine la plus lente — un hyperviseur qui arrête proprement une dizaine de machines virtuelles prend souvent plusieurs minutes. Ajoutez une marge, et déclenchez à un niveau qui garantit ce temps.

L'erreur classique est le seuil trop bas, retenu pour « profiter au maximum de la batterie ». L'arrêt démarre, la batterie s'épuise avant la fin, et les machines meurent en pleine écriture. Vous obtenez le pire des deux mondes : la complexité d'une séquence d'arrêt et la corruption d'une coupure brutale.

L'ordre d'extinction

Avec plusieurs machines, l'ordre n'est pas indifférent. La règle : les consommateurs de stockage d'abord, le stockage en dernier.

Si votre NAS s'éteint pendant qu'un hyperviseur écrit encore dessus, vous provoquez précisément la corruption que vous vouliez éviter — et vous l'aggravez, puisque les écritures sont interrompues par une déconnexion et non par une coupure d'alimentation.

La séquence saine :

1. Les machines virtuelles et conteneurs, arrêtés par leur hyperviseur.
2. Les hyperviseurs eux-mêmes.
3. Le stockage partagé.
4. Les équipements réseau, s'ils sont sur l'onduleur.

Chaque étape demande un délai avant la suivante, calibré sur le temps d'arrêt réel du niveau précédent. Là encore : mesurez plutôt que d'estimer.

Ce qu'il faut brancher — et ne pas brancher

Deux erreurs de câblage reviennent souvent.

Oublier le réseau. Un onduleur qui alimente les serveurs mais pas le commutateur produit une situation absurde : les machines fonctionnent, la supervision veut déclencher l'arrêt, mais plus rien ne communique. Le commutateur et le routeur consomment peu ; ils doivent être sur l'onduleur.

Y brancher ce qui n'a rien à y faire. Une imprimante laser peut demander à l'allumage une puissance considérable, largement au-delà de ce qu'un onduleur domestique encaisse. Elle n'a rien à faire sur la sortie protégée : elle réduit l'autonomie utile et peut déclencher une mise en sécurité au plus mauvais moment.

La batterie vieillit en silence

C'est le point le plus négligé. Une batterie perd sa capacité avec le temps et la chaleur, et cette dégradation ne se voit pas.

Un onduleur peut afficher un état parfaitement normal et ne tenir en réalité que quelques secondes en charge. Vous ne le découvrez qu'à la coupure suivante — trop tard.

Un test de décharge annuel, en conditions réelles et chronométré, est le seul moyen de connaître l'autonomie effective. C'est aussi l'occasion de vérifier que votre séquence d'arrêt fonctionne comme prévu : dans quel ordre, en combien de temps, et si tout redémarre correctement ensuite.

Faites-le à un moment que vous choisissez, avec des sauvegardes fraîches. Un test qui révèle un problème est un test réussi.

Le redémarrage, moitié oubliée du problème

L'arrêt est la partie visible ; le retour du courant pose ses propres questions.

Vos machines redémarrent-elles automatiquement ? Le réglage correspondant se trouve dans le firmware et vaut souvent « rester éteint » par défaut — ce qui, pour un serveur, est rarement le comportement souhaité.

Redémarrent-elles dans le bon ordre ? Un hyperviseur qui démarre avant son stockage trouve ses volumes absents et peut marquer des machines en erreur. Un délai d'allumage différencié règle la question.

Et surtout : que se passe-t-il si le courant revient pendant la séquence d'arrêt ? Ce cas déroutant — la coupure était brève mais l'arrêt était lancé — doit être prévu, sous peine d'obtenir une installation à moitié éteinte et à moitié démarrée.

À retenir

Un onduleur sans supervision est un délai, pas une protection. Le logiciel, l'ordre d'extinction, le seuil calculé sur des durées mesurées et le test annuel de la batterie sont ce qui transforme un achat en garantie. C'est peu de travail, et c'est la différence entre une coupure sans conséquence et une restauration complète un dimanche soir.