Évaluation
Comprendre ce que le RAID protège vraiment
Un RAID répartit les données sur plusieurs disques selon une géométrie précise. Selon le niveau choisi, il peut maintenir le service après la panne d'un membre ou accélérer certains accès. Cette redondance protège une configuration contre un nombre limité de défauts physiques; elle ne crée ni historique ni copie indépendante.
Une suppression, un chiffrement malveillant ou une corruption applicative est donc reproduit sur le volume. La baie peut être parfaitement saine tout en hébergeant plusieurs exemplaires cohérents du même état devenu inutilisable.
La redondance donne parfois du temps pour agir. Ce délai doit servir à vérifier les sauvegardes, à documenter l'état de la grappe et à suspendre les opérations automatiques lorsque plusieurs indicateurs sont déjà mauvais.
Le mot « dégradé » ne décrit pas non plus une marge universelle. Le risque dépend du niveau RAID, du miroir touché, des autres membres et de l'historique des remplacements.
La tolérance annoncée suppose une configuration cohérente
| Niveau courant | Tolérance habituelle en fonctionnement | Limite importante |
|---|---|---|
| RAID 1 | Perte d'un membre du miroir | Une mauvaise écriture est reproduite sur les deux copies |
| RAID 5 | Perte d'un disque | Aucune marge si un second membre échoue pendant la reconstruction |
| RAID 6 | Perte de deux disques | Lecture intensive de tous les membres pendant la reconstruction |
| RAID 10 | Défaillances réparties entre des paires différentes | Volume perdu dès qu'un miroir n'a plus aucun membre lisible |
Ces indications ne valent que si les autres disques, l'ordre et le contrôleur sont cohérents. Les configurations propriétaires peuvent aussi employer des tailles de bande, rotations de parité et métadonnées particulières.
Pour une récupération RAID en laboratoire, trois éléments sont examinés ensemble : la lisibilité individuelle des disques, les paramètres exacts d'assemblage et les modifications survenues depuis la panne. L'étiquette « dégradé » ne résume pas cette situation.
Évaluation
Identifier les scénarios qui dépassent la redondance
Un RAID peut devenir inaccessible lorsque plusieurs disques faiblissent, souvent pendant une reconstruction. La lecture soutenue des membres restants révèle parfois des secteurs faibles qui étaient peu sollicités en fonctionnement normal.
Une partie de la recette d'assemblage peut appartenir au NAS ou à son contrôleur plutôt qu'aux seuls membres. Séquence des disques, largeur des bandes, parité, décalage, cache et version des métadonnées doivent donc être relevés. Dans un autre châssis, une commande présentée comme une importation peut convertir ou initialiser la grappe au lieu de la lire passivement.
Les pertes logiques sont reproduites fidèlement
La redondance réplique aussi les incidents logiques : répertoires supprimés, volume recréé, permissions erronées, base endommagée ou machine virtuelle désynchronisée. En virtualisation, la présence du magasin de données n'établit pas à elle seule la cohérence d'une VM; il faut encore relier ses descripteurs, ses disques, ses instantanés et, selon l'application, ses journaux de transactions.
Les sauvegardes branchées au même environnement peuvent également être atteintes. Une tâche planifiée peut recopier la corruption, la suppression ou le chiffrement. Une sauvegarde utile doit être séparée, historisée et restaurée lors d'essais réguliers.
Dans un hyperviseur, voir les gros fichiers de l’espace de stockage n'établit pas qu'une machine virtuelle est cohérente. La validation doit atteindre le descripteur, la chaîne de disques, les snapshots et le service réellement hébergé.
Les pannes communes contournent aussi la redondance : surtension, chaleur, défaut de micrologiciel, contrôleur défaillant ou lot de disques vieillissant dans les mêmes conditions. Plusieurs membres qui partagent la même cause ne forment pas des copies indépendantes.
La disponibilité ne remplace pas une copie de secours. Il faut pouvoir revenir à une version horodatée, l'avoir restaurée hors de la grappe et avoir contrôlé les données prioritaires dans leur usage réel.
Évaluation
Ne pas lancer une reconstruction sans contexte
Une reconstruction est normale après un remplacement maîtrisé. Elle devient risquée lorsque l'état global est incertain. Retirer le mauvais disque, perdre l'ordre, ignorer un second membre fragile ou enchaîner plusieurs reconstructions peut détruire la dernière combinaison cohérente.
Avant de sortir un tiroir, photographiez l'ensemble et créez une fiche par emplacement. On y associe le numéro de série, la capacité déclarée, l'état affiché et le moment de l'alerte. Le contrôleur, ses journaux ainsi que les membres retirés lors d'une intervention antérieure restent joints au dossier pour distinguer l'ancienne panne du remplacement le plus récent.
Les sauvegardes doivent être testées dans un environnement séparé. Une copie trop ancienne ou corrompue ne devrait pas être découverte après qu'une reconstruction a modifié l'unique volume source.
Le feu vert doit reposer sur des faits
Avant d'autoriser une reconstruction, il faut pouvoir répondre à cinq questions :
- Quel disque a quitté la grappe et quel événement horodaté a motivé sa sortie?
- Quels survivants montrent déjà des délais, secteurs instables ou erreurs de liaison?
- Quelle séquence physique était en place avant les derniers remplacements?
- Une restauration indépendante des données essentielles a-t-elle réellement été testée?
- La tâche proposée va-t-elle modifier l'unique état encore disponible?
Si une réponse manque et que les données comptent plus que le retour immédiat au service, préserver les membres est la décision la plus réversible.
Préserver avant de réparer : une reconstruction optimise la disponibilité future, mais écrit sur l'état présent. Une acquisition des membres permet plutôt de comparer les hypothèses sans modifier les originaux.
Les interfaces d'administration visent généralement à rétablir la redondance. Un bouton « réparer » peut sélectionner une source, réécrire des métadonnées ou lancer une synchronisation sans exposer toutes les hypothèses. La priorité d'une récupération de données est différente : conserver les états divergents avant toute nouvelle écriture.
Évaluation
Diagnostiquer le volume par couches
Un diagnostic RAID sérieux couvre les disques, le contrôleur ou NAS, les métadonnées RAID, le système de fichiers, les volumes logiques, les fichiers et les applications. Un volume monté ne prouve pas que les données sont complètes.
Lorsque chaque disque peut encore être lu, il est acquis individuellement avec un journal des plages obtenues, lentes ou manquantes. Ces images servent ensuite à construire plusieurs ensembles virtuels et à comparer leurs séquences de membres ainsi que leurs règles de parité. Aucun superbloc source n'est réécrit, ce qui préserve notamment les états divergents laissés par une reconstruction interrompue.
Du secteur jusqu'au service métier
Le contrôle relie le matériel à l'usage final. On confirme d'abord la qualité des images individuelles, puis on éprouve la géométrie de la grappe. Le système de fichiers est ouvert sans écriture avant l'examen des volumes qu'il contient. Enfin, machines virtuelles, bases et documents essentiels sont vérifiés avec les applications capables d'en juger le contenu.
Une parité cohérente ne garantit pas qu'une base de données l'est. Une arborescence visible ne confirme pas que tous les blocs d'un fichier sont présents. Les utilisateurs capables de reconnaître les périodes, dossiers et applications attendus participent donc à la validation.
Datastrophe traite le RAID comme un ensemble de dépendances. Le laboratoire ne cherche donc pas à remettre la configuration accidentée en service pour elle-même.
La restitution vise des données vérifiées sur un support sain. Elle précise les plages, fichiers et applications validés, ainsi que les incertitudes qui subsistent après l'assemblage.
Évaluation
Prévenir avec sauvegardes et documentation
RAID et sauvegarde ont des rôles complémentaires. Le RAID améliore la disponibilité de l'état courant. La sauvegarde permet de revenir à un état séparé, daté, contrôlé et restaurable.
Une fiche courte, tenue hors de la baie
Documentez la topologie, les emplacements et numéros de série, le contrôleur, les volumes hébergés, le dernier remplacement, la sauvegarde associée et la procédure d'arrêt. Cette fiche doit rester accessible lorsque l'interface du NAS ne démarre plus.
Les alertes doivent provoquer une action : disque dégradé, reconstruction anormalement longue, sauvegarde en échec ou erreur d'une base ne devrait pas rester dans un journal non consulté. Le temps fourni par la redondance n'a de valeur que s'il est utilisé.
Testez aussi la restauration complète plutôt que le seul remplacement d'un disque. Remettez un échantillon de données sur un environnement indépendant, vérifiez son usage et mesurez la période réellement récupérable. Cet exercice révèle les exclusions et les dépendances avant l'urgence.
Le plan distingue la personne qui confirme le membre fautif, celle qui valide la restauration et celle qui autorise l'arrêt du service. Cette séparation évite qu'une même urgence déclenche simultanément remplacement, reconstruction et restauration destructrice. Un RAID peut perdre des données malgré sa redondance : préserver l'ordre, vérifier les sauvegardes et refuser les reconstructions à l'aveugle protège mieux les options de récupération qu'une confiance abstraite dans le niveau RAID.
Évaluation
Sources techniques primaires et limites
Périmètre documentaire — face à la perte de données: Pour limites de la redondance RAID face à la perte de données, les sources primaires consultées sont Linux MD administration guide. Preuve physique — face à la perte de données: Elles définissent les principes de préservation, de stockage et de validation, mais ne démontrent ni l’état physique précis, ni le comportement du contrôleur, ni la disponibilité des clés, ni la cohérence opérationnelle du matériel reçu. Preuve contrôleur — face à la perte de données: Ces éléments doivent être mesurés sur l’ensemble original et vérifiés sur des copies.
Évaluation
Demander une évaluation contrôlée
Ensemble complet — face à la perte de données: Pour évaluer limites de la redondance RAID face à la perte de données, fournissez l’appareil ou l’ensemble complet, les composantes d’alimentation et d’interface, l’ordre et les étiquettes des membres, l’historique des symptômes et la liste exacte des fichiers prioritaires. Chronologie d’incident — face à la perte de données: Les accès autorisés sont transmis par un canal protégé distinct; évitez un nouveau démarrage uniquement pour produire une capture.
Responsabilité du laboratoire — face à la perte de données: Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son propre laboratoire avec sa propre équipe. Diagnostic gratuit — face à la perte de données: Le diagnostic et la soumission sont gratuits. Limite du transport — face à la perte de données: Le transport privé aller-retour est inclus; le transporteur déplace seulement le colis scellé, sans accéder aux données ni les traiter.
Liste contrôlée — face à la perte de données: Avant tout paiement, le client reçoit le prix proposé et une liste vérifiée. Classes de vérification — face à la perte de données: Chaque élément est classé, dans l’ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Déclenchement du paiement — face à la perte de données: Seuls les éléments recoverable_verified, ouverts et jugés utilisables, sont présentés comme récupérables. Résultat non vérifié — face à la perte de données: Le paiement est demandé uniquement après l’acceptation de la liste et du prix.
Résultat non vérifié — face à la perte de données: Si aucune donnée utilisable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucuns frais standards ne sont exigés. Pièce exceptionnelle — face à la perte de données: La seule exception vise une pièce rare, coûteuse et non remboursable, commandée seulement après l’acceptation d’une proposition distincte, explicite et chiffrée.