Quando un RAID, un NAS o un server si guasta, il riflesso giusto è spegnere tutto e non ricostruire nulla: nella maggior parte dei casi, non è il guasto iniziale a far perdere i dati, ma il tentativo di riparazione che segue: un rebuild avviato su un sistema già fragile, un RAID eliminato e poi ricreato, dischi manipolati più e più volte. Un RAID degradato può spesso essere recuperato integralmente, a condizione di non aggravare la situazione. Concretamente: spegnete il sistema, non ritentate alcuna ricostruzione e affidate unicamente i dischi rigidi a un laboratorio (il server non serve a nulla).

Il seguito spiega perché questi gesti contano, e dove si nascondono le trappole, con due storie vissute che hanno rischiato di travolgere tutto.

Il RAID in tre minuti

Un RAID (Redundant Array of Independent Disks) è un insieme di più dischi visti dal sistema come un unico volume, concepito per apportare ridondanza: la capacità di sopravvivere al guasto di uno o più dischi. Bisogna però sapere di quale ridondanza si parla, perché non tutti i livelli si equivalgono.

Il RAID mirror (RAID 1) duplica automaticamente il contenuto di un disco su un altro. Tollera la perdita di un disco della coppia, ma costa caro in capacità: metà del volume totale serve per la copia.

Lo striping (RAID 0) fa l'inverso. Non c'è alcuna ridondanza, e la parola «RAID» è qui quasi impropria. Il file viene suddiviso in piccoli pezzi ripartiti su più dischi scritti simultaneamente. La suddivisione avviene a livello software, molto rapidamente, e la scrittura in parallelo fa guadagnare molta velocità. Il rovescio della medaglia è brutale: un solo disco che cede, e tutto è perduto. Su tre dischi in RAID 0, il rischio di perdita è considerevole.

Il RAID 5 e il RAID 6 cercano l'equilibrio tra velocità e sicurezza. Il file viene ripartito come nello striping, ma si calcola in più una parità (uno XOR) depositata su un disco secondo un ciclo, in modo che non sia mai sempre lo stesso disco a riceverla. Questo calcolo rende la scrittura un po' più lenta dello striping puro. In compenso, il RAID 5 tollera il guasto di un disco (e sacrifica l'equivalente di un disco in volume); il RAID 6 tollera due dischi (e sacrifica due dischi in volume). Servono almeno tre dischi per un RAID 5.

Il RAID 0+1 o 1+0 combina mirror e striping, in un senso o nell'altro a seconda della costruzione, per cumulare velocità e ridondanza.

Livello	Ridondanza	Dischi min.	Tolleranza al guasto	Costo in capacità
RAID 0 (striping)	Nessuna	2	0 dischi (perdita totale se 1 cede)	0 %
RAID 1 (mirror)	Duplicazione	2	1 disco della coppia	50 %
RAID 5	Parità	3	1 disco	1 disco
RAID 6	Doppia parità	4	2 dischi	2 dischi
RAID 1+0	Mirror + striping	4	1 disco per mirror	50 %

Un punto merita di essere posto subito, perché è all'origine di molti drammi: un RAID non è un backup. Protegge dal guasto materiale di un disco, niente di più. Non vi salverà né da una cancellazione accidentale, né da un ransomware, né da un incendio, né da un errore di configurazione. Per questo, serve una vera strategia di backup, distinta dal RAID.

Come cade un RAID

I guasti che vediamo in laboratorio seguono alcuni scenari ricorrenti.

La perdita della configurazione. Un RAID esiste solo grazie alla sua configurazione: l'informazione che descrive come i dischi si assemblano in un volume. Questa configurazione si trova o su una scheda controller fisica, o iscritta sui dischi stessi, generalmente in più esemplari. Se la scheda controller è difettosa, il RAID virtuale scompare. E anche quando la configurazione è replicata sui dischi, un problema può propagarsi a tutte le copie e far perdere l'insieme.

La modalità degradata. Quando un disco cede, il sistema lo rileva e passa in modalità degradata: nulla viene più memorizzato sul disco difettoso, e l'insieme continua a funzionare con un disco in meno. È la rete di sicurezza del RAID, ma una rete a uso unico. Su un RAID 5 in modalità degradata, se un secondo disco cede, la totalità dei dati è perduta. Da qui l'importanza di reagire in fretta, sempre che gli avvisi del sistema siano stati ben configurati e ricevuti. Molti RAID funzionano in modalità degradata per settimane senza che nessuno lo sappia.

Il rebuild: la trappola che quasi tutti sottovalutano

Un rebuild è la ricostruzione automatica del contenuto di un disco sostituito, a partire dai dati e dalla parità presenti sugli altri dischi del RAID. Sulla carta, è la procedura normale. In pratica, è il momento più pericoloso di tutta la vita di un RAID.

Ecco perché. I dischi di uno stesso server sono quasi sempre identici: stessa capacità, stesso modello, usciti dalla stessa fabbrica nello stesso periodo, dello stesso produttore. Hanno poi funzionato esattamente lo stesso numero di ore, nelle stesse condizioni. Hanno dunque, a poca differenza, la stessa età e la stessa usura.

Ora, un rebuild non è un'operazione anodina: legge l'integralità dei settori, dal primo all'ultimo, di tutti i dischi rimanenti. È la sollecitazione più intensa che un disco possa subire. E capita molto regolarmente che un secondo disco, tanto affaticato quanto quello che ha appena ceduto, scelga proprio questo momento per cedere. Su un RAID 5, il sistema si ritrova allora incapace di ricostruire alcunché: due dischi mancanti, nessuna parità sufficiente, dati perduti.

È il crudele paradosso del RAID: la procedura che dovrebbe riparare il guasto è anche quella che lo trasforma in catastrofe.

Gli errori che uccidono

Oltre al rebuild, alcune reazioni umane aggravano quasi sempre la situazione.

Eliminare e ricreare il RAID. È l'errore più distruttivo. Di fronte a un sistema che non si monta più, si crede di fare bene eliminando la configurazione del RAID per ricrearne una nuova. Ma se non si sa esattamente come il RAID era stato costruito (l'ordine preciso dei dischi, la dimensione dei blocchi), si scrive sopra la struttura esistente una struttura falsa, e si confondono le tracce che avrebbero permesso di ricostruire tutto.

Ci siamo trovati un giorno di fronte a un caso da manuale. Un informatico gestiva un sistema RAID di tre dischi, in un server che ne conteneva quattro o cinque. In seguito a un problema, ha cancellato tutto e ricostruito un RAID utilizzando i cinque dischi in una volta. Il risultato era un vero rompicapo, ma a forza di lavoro, siamo comunque riusciti a recuperare i dati.

Moltiplicare le manipolazioni. Il principio generale da ricordare: più si lavora con il software di gestione del RAID, più si avviano ripristini, rebuild, comandi da riga di comando, più si corre un rischio. Ogni manipolazione fa girare dischi che sono forse già danneggiati, e ogni rotazione supplementare di un disco morente può essere l'ultima.

Il gesto giusto, e ciò che un laboratorio fa al vostro posto

La buona reazione è dunque controintuitiva: non fare nulla di più. Spegnere il sistema, e portare i dischi rigidi a un laboratorio, unicamente i dischi, il server o il NAS non sono necessari.

Ciò che facciamo allora è l'opposto del rebuild a caldo. Il primo passo è una copia bit a bit di ciascun disco: congeliamo lo stato di ciascuno, come una fotografia, e proteggiamo le unità di origine. Da lì, non lavoriamo mai più sui dischi originali, ma sulle loro copie.

Viene poi la ricostruzione virtuale del RAID. Analizzando le copie, determiniamo l'ordine esatto dei dischi, la dimensione dei blocchi, lo schema di parità, e riassembliamo il volume al volo per estrarne i dati. I dischi di origine, invece, non girano più: sono al sicuro.

Una precisazione importante: da noi, nulla di tutto questo comporta il rischio di distruzione di un rebuild classico. Le nostre copie bit a bit sono a loro volta conservate in sola lettura, non riavviamo mai il software delle schede RAID né alcuna ricostruzione a caldo, e riassembliamo il RAID virtualmente, al volo. Il nostro procedimento non scrive nulla sui vostri dati. L'unico vero limite è lo stato fisico dei dischi: ciò che è realmente illeggibile su un piatto lo resta, ma mai a causa della manipolazione.

Per i volumi molto grandi (più terabyte, a volte 60, 70 o 80 TB ripartiti su sedici dischi o più), l'approccio è lo stesso su più larga scala: copie bit a bit di sicurezza di tutti i dischi, poi estrazione dei dati verso un NAS nuovo che il cliente mette a disposizione. Una volta terminata l'operazione, riparte con il suo nuovo NAS, dati già ristrutturati come lo erano, pronto all'uso.

Due consigli che vanno controcorrente

La nostra esperienza ci ha portati a raccomandare due cose che la logica corrente sconsiglia.

Mescolate le marche dei vostri dischi. Tutti raccomandano dischi identici (stesso modello, stesso product number) per un sistema omogeneo che funziona alla stessa velocità. È giusto sul piano delle prestazioni. Ma è anche la garanzia che tutti i vostri dischi avranno la stessa età, la stessa usura e la stessa sensibilità ai guasti, da cui i guasti a catena durante un rebuild. Raccomandiamo piuttosto dischi con prestazioni identiche o molto simili, ma di marche o serie differenti. Su un RAID 1+0, per esempio, si può montare il RAID 0 con una marca e il suo mirror con un'altra: il giorno in cui un difetto di serie colpisce una marca, l'altra tiene.

Una storia illustra perfettamente questo rischio. Siamo stati chiamati per un NAS interamente dotato di SSD. Tutti questi SSD condividevano un difetto di firmware: un valore interno, in memoria, superava una soglia dopo un certo tempo di funzionamento, nell'ordine di due o tre anni. Superata questa soglia, il firmware andava in errore, l'SSD rifiutava di inizializzarsi e non veniva più rilevato. Il cliente, su un RAID 5, ha incontrato un primo problema, spento il server, riavviato, inserito un SSD nuovo, riavviato ancora. Ma questo riavvio ha rilanciato tutti gli SSD nello stesso momento, che hanno tutti raggiunto il valore fatidico simultaneamente. Di colpo, nessun disco funzionava più. Con marche differenti, questo difetto comune non avrebbe colpito tutti i dischi nello stesso istante.

Fuggite i RAID ibridi proprietari. Alcune marche propongono sistemi RAID ibridi propri, che creano per esempio volumi virtuali a partire da più elementi assemblati in un modo specifico del produttore. Sulla carta, è pratico. In caso di guasto, di bug o di corruzione della configurazione, è un incubo: questi assemblaggi sono difficili da comprendere quando nulla è stato documentato né protocollato dai tecnici che li hanno messi in opera. Un RAID standard, ben documentato, si recupera sempre meglio di un sistema proprietario opaco.

Domande frequenti

Cosa fare quando un RAID o un NAS si guasta?

Spegnete immediatamente il sistema e non tentate alcuna ricostruzione. Non cancellate il RAID, non avviate un rebuild, non rimettete un disco. Rimuovete i dischi rigidi (annotando il loro ordine se possibile) e affidateli a un laboratorio specializzato: è la manipolazione, non il guasto, a far perdere più spesso i dati.

Perché un rebuild di RAID è pericoloso?

Perché legge l'integralità dei settori di tutti i dischi rimanenti, che hanno la stessa età e la stessa usura di quello che ha appena ceduto. Questa sollecitazione intensa fa spesso cedere un secondo disco durante l'operazione. Su un RAID 5, la perdita di un secondo disco durante il rebuild comporta la perdita totale dei dati.

Un RAID è un backup?

No. Un RAID protegge unicamente dal guasto materiale di uno o due dischi a seconda del livello. Non protegge né da una cancellazione accidentale, né da un ransomware, né da un incendio, né da un errore di configurazione. Un vero backup, distinto e idealmente delocalizzato, resta indispensabile.

Si possono recuperare i dati di un RAID 5 di cui due dischi sono caduti?

Spesso, sì, se non si è aggravata la situazione. In laboratorio, si realizza una copia bit a bit di ciascun disco, poi si ricostruisce il RAID virtualmente a partire dalle copie per estrarre i dati. I dischi di origine non vengono più sollecitati, il che protegge ciò che può ancora esserlo.

Bisogna portare il server completo al laboratorio?

No, i dischi rigidi bastano. La configurazione si ricostruisce a partire dai dischi stessi. Portare unicamente i dischi semplifica la logistica ed evita di manipolare inutilmente il materiale.

Bisogna utilizzare dischi identici in un RAID?

È l'uso corrente, ma ha un difetto: dischi identici invecchiano e si indeboliscono allo stesso ritmo, da cui i guasti a catena durante un rebuild. Raccomandiamo piuttosto dischi con prestazioni simili ma di marche o serie differenti, affinché un difetto comune non li colpisca tutti nello stesso momento.