Analyse
Comprendre le contexte datacenter
Un disque dur en datacenter est rarement une unité documentaire autonome. Il peut être membre d'un RAID, d'un pool distribué, d'un magasin de données ou d'une baie présentée à plusieurs hôtes. Ses blocs n'ont de sens qu'avec l'ordre, la géométrie, les métadonnées et la génération du volume auquel il appartenait.
Avant extraction, il faut qualifier son rôle : membre actif, disque déclaré défaillant, hot spare, ancien membre retiré, cache, journal ou disque système. Deux supports identiques placés successivement dans la même baie peuvent contenir des états différents. Le numéro de tiroir ne suffit donc pas sans numéro de série et chronologie.
Un hot spare ayant commencé une reconstruction n'est plus un disque neutre. Il peut porter une génération partielle du volume et doit être inventorié avec les membres d'origine. La politique habituelle de retour fournisseur ou d'effacement automatique doit être suspendue tant que l'incident n'est pas qualifié.
Situer le disque dans la chaîne
| Couche | Informations à préserver | Erreur de crise |
|---|---|---|
| Support | Modèle, série, interface, état et slot | Mélanger ou réinitialiser les membres |
| Baie et RAID | Niveau, largeur de bande, ordre, contrôleur | Lancer un rebuild avant acquisition |
| Volume | LUN, pool, thin provisioning, chiffrement | Confondre capacité présentée et blocs présents |
| Virtualisation | Magasin de données, VMDK/VHDX, snapshots | Copier un delta sans son parent |
| Application | Base, journaux, partages, période | Valider le service par le seul montage du volume |
La panne déclarée par la baie ne désigne pas toujours le premier support en défaut. Un disque peut être écarté après des délais de réponse causés par une alimentation, un chemin ou un autre membre. Les journaux et l'ordre des événements sont nécessaires pour ne pas reconstruire depuis la mauvaise génération.
La récupération de données sur serveur couvre l'infrastructure complète. Pour un membre physique de datacenter, provenance, baie et rôle dans l'ensemble restent indissociables.
Analyse
Préserver l'ordre des disques et les métadonnées
L'inventaire doit précéder tout retrait supplémentaire. Chaque baie est photographiée, chaque numéro de série rattaché à son emplacement et chaque support étiqueté sans masquer ses évents. Les disques déjà remplacés restent associés au dossier, même s'ils ont été déclarés hors service.
Conserver les générations, pas seulement les « bons » membres
Un ancien membre peut contenir des blocs plus anciens mais cohérents ; un membre reconstruit peut contenir une géométrie erronée ou une opération interrompue. Le diagnostic compare ces générations. Jeter, reformater ou réaffecter un disque retire une hypothèse qui ne pourra plus être testée.
Les éléments à figer comprennent :
- Configuration exportée du contrôleur ou de la baie ;
- État de chaque membre et heure des alertes ;
- Ordre physique et ordre logique connus ;
- Opérations de remplacement et progression des rebuilds ;
- Journaux hôtes, stockage et hyperviseur ;
- Clés, certificats et comptes nécessaires ;
- Sauvegardes, réplications et snapshots disponibles.
Un contrôleur de remplacement ou une autre baie peut interpréter les métadonnées différemment ou proposer leur import. Accepter une configuration étrangère, initialiser ou forcer un membre en ligne sont des écritures qui doivent être évaluées après acquisition.
Règle de baie — « failed » ne veut pas dire « inutile » et « online » ne veut pas dire « sain ». L'état affiché par le contrôleur est un indice daté, pas une autorisation de reconstruire.
Dans un environnement virtualisé, les métadonnées physiques ne suffisent pas. VMFS, VHDX, VMDK, snapshots et journaux applicatifs doivent rester reliés. Un disque virtuel visible sans sa chaîne peut produire un système démarrable mais incohérent.
Analyse
Séparer continuité de service et récupération
La continuité vise un RTO ; la récupération cherche le meilleur état de données disponible. Ces objectifs peuvent diverger. Un failover ou une restauration ancienne remet un service en ligne sans restituer les dernières transactions. Une reconstruction sur les membres sources peut améliorer la disponibilité tout en détruisant des traces.
Ouvrir deux pistes de travail
La piste de reprise utilise une infrastructure saine, une réplication qualifiée ou une sauvegarde restaurée dans un environnement distinct. La piste de récupération gèle les sources, acquiert les membres utiles et reconstruit les versions sur une copie. Les écritures de reprise ne reviennent pas sur la source de diagnostic.
| Piste | Source | Critère de réussite |
|---|---|---|
| Continuité | Sauvegarde ou infrastructure distincte | Service disponible avec périmètre annoncé |
| Récupération | Membres et métadonnées préservés | Données prioritaires validées et limites décrites |
La reprise doit annoncer son point temporel. Une équipe qui travaille sur une base restaurée plus ancienne crée de nouvelles données ; celles-ci ne doivent pas être fusionnées silencieusement avec une restitution ultérieure. La consolidation devient un chantier métier séparé.
Décision de crise — redémarrer ailleurs n'oblige pas à abandonner les données récentes. En revanche, redémarrer sur le stockage original peut les réécrire avant qu'elles soient acquises.
Les données critiques d'un serveur définissent le point métier attendu. Le disque datacenter exige en plus une discipline de baie, de changement et de chaîne technique.
Analyse
Documenter RAID, serveur et sauvegardes
Un dossier exploitable tient dans une chronologie factuelle. Il distingue alertes observées, interprétations et actions. « RAID dégradé » est moins utile que l'heure du premier timeout, le membre concerné, le support remplacé et la progression du rebuild avant arrêt.
Le paquet de diagnostic
Il rassemble :
- Modèle de baie, contrôleur et micrologiciel ;
- Liste des membres avec slot, série et état ;
- Niveau RAID, volumes, LUN et système de fichiers ;
- Hyperviseur, magasin de données et machines concernées ;
- Opérations, redémarrages et changements ;
- Sauvegardes, réplications et dernier test ;
- Chiffrement et accès légitimes ;
- Données, services et périodes prioritaires.
Les journaux doivent être exportés sans provoquer de rotation ou de nettoyage sur le stockage touché. Les captures complètent les fichiers bruts mais ne les remplacent pas. Un horodatage décalé entre baie, hyperviseur et application doit être signalé.
Datastrophe analyse ensuite les couches : état physique, acquisition, géométrie, volume, système de fichiers, conteneur virtuel et donnée applicative. L'environnement contrôlé n'intervient que si un disque mécanique demande une opération interne ; il ne répare pas un RAID mal reconstruit ni une clé absente.
La redondance RAID et ses limites clarifie pourquoi les membres disponibles ne constituent pas une sauvegarde. En datacenter, réplication et haute disponibilité peuvent aussi propager un état corrompu ; chacune doit être datée et testée séparément.
Analyse
Préparer une restitution exploitable
Une restitution datacenter répond à une cible : volume montable en lecture seule, machine virtuelle isolée, base ouverte, partage avec droits ou période de transactions. Le nombre de fichiers et le pourcentage de blocs acquis ne suffisent pas à valider cette cible.
Du secteur au service
Le contrôle suit plusieurs niveaux :
- Acquisition et zones non lues documentées ;
- Volume reconstruit selon une géométrie justifiée ;
- Système de fichiers et arborescence contrôlés ;
- Machines, bases ou archives ouvertes sur une copie ;
- Période et données métier confirmées ;
- Éléments partiels séparés du lot validé.
Les clés, certificats, annuaires et droits sont conservés lorsqu'ils conditionnent l'exploitation. Une base sans journaux ou une VM sans snapshot parent peut être présente mais non cohérente. Ces limites doivent être nommées au lieu d'être masquées par une copie volumineuse.
Les supports sources restent conservés jusqu'à la validation et à la décision de clôture. La restitution se fait sur une cible saine ; aucun membre récupéré ne retourne en production. La confidentialité impose aussi de contrôler les accès aux images techniques et aux copies temporaires.
Le retour d'expérience transforme l'incident en preuves : plan de baie à jour, sauvegarde restaurée, alerte attribuée, procédure de gel et responsable de validation. Un disque datacenter se récupère avec son architecture et son historique. L'isoler de ce contexte ou reconstruire trop tôt ajoute une incertitude que la puissance de calcul ne peut pas supprimer.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Disque dur en datacenter : récupérer sans aggraver »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.