RAID: Plattenverbünde für Verfügbarkeit, nicht für Datensicherung

RAID (Redundant Array of Independent Disks) fasst mehrere physische Datenträger zu einem logischen Laufwerk zusammen. Das Ziel ist Verfügbarkeit: Fällt eine Platte aus, läuft der Server weiter. Was RAID nicht leistet, ist der Schutz vor gelöschten, überschriebenen oder verschlüsselten Daten — und genau diese Fälle treten in der Praxis häufiger auf als ein Plattendefekt.

Was RAID technisch leistet

Ein RAID-Verbund verteilt Daten nach einem festen Schema über mehrere Datenträger. Je nach Verfahren werden die Daten gespiegelt, in Blöcke zerlegt (Striping) oder um Paritätsinformationen ergänzt, aus denen sich der Inhalt einer ausgefallenen Platte rechnerisch rekonstruieren lässt. Gesteuert wird das entweder durch einen dedizierten Hardware-Controller oder durch den Betriebssystem-Kernel beziehungsweise ein Dateisystem wie ZFS oder Storage Spaces. Für das darüberliegende System bleibt der Verbund ein einziges Volume; der Ausfall einer Komponente ist im laufenden Betrieb zunächst nicht spürbar.

Die relevanten RAID-Level

In der Praxis sind fünf Varianten verbreitet. Sie unterscheiden sich in Kapazitätsausbeute, Schreibleistung und der Anzahl der Ausfälle, die sie verkraften.

• RAID 0: Reines Striping über mindestens zwei Platten. Volle Kapazität, hohe Geschwindigkeit, aber keinerlei Redundanz — der Ausfall einer einzigen Platte zerstört den gesamten Verbund. Für produktive Daten ungeeignet.
• RAID 1: Spiegelung auf zwei Datenträger. Es steht die Kapazität einer Platte zur Verfügung, ein Ausfall wird toleriert. Robust, einfach, gut für Systemlaufwerke.
• RAID 5: Striping mit über alle Platten verteilter Parität, mindestens drei Datenträger. Es geht die Kapazität einer Platte verloren, ein Ausfall wird toleriert. Schreibvorgänge erfordern das Neuberechnen der Parität und sind entsprechend langsamer.
• RAID 6: Wie RAID 5, jedoch mit doppelter Parität und mindestens vier Datenträgern. Es gehen zwei Platten Kapazität verloren, dafür werden zwei gleichzeitige Ausfälle toleriert. Bei großen Kapazitäten die vernünftigere Wahl gegenüber RAID 5.
• RAID 10: Kombination aus Spiegelung und Striping über mindestens vier Datenträger. Es steht die Hälfte der Rohkapazität zur Verfügung. Sehr gute Schreibleistung und schnelle Wiederherstellung, weil beim Rebuild lediglich eine Platte kopiert und nichts berechnet wird.

Das Rebuild-Risiko bei großen Platten

Nach dem Austausch eines defekten Datenträgers muss der Verbund wiederhergestellt werden. Bei paritätsbasierten Verfahren wie RAID 5 und RAID 6 werden dazu sämtliche verbleibenden Platten vollständig gelesen. Mit Festplatten im zweistelligen Terabyte-Bereich zieht sich dieser Vorgang über viele Stunden bis Tage hin. In dieser Zeit läuft das Array ohne Schutz oder mit reduziertem Schutz, die verbliebenen Platten stehen unter dauerhafter Last, und sie stammen typischerweise aus derselben Fertigungscharge mit vergleichbarer Betriebszeit. Ein zweiter Ausfall während des Rebuilds ist deshalb kein theoretischer Fall. Hinzu kommt: Ein einzelner unlesbarer Sektor auf einer der verbleibenden Platten kann den Rebuild eines RAID 5 abbrechen lassen. Für große Volumes sind daher RAID 6 oder RAID 10 die tragfähigeren Konstruktionen.

Warum RAID kein Backup ist

RAID schützt gegen genau ein Szenario: den mechanischen oder elektronischen Ausfall eines Datenträgers. Gegen alle anderen Verlustursachen ist es wirkungslos, weil jede Änderung sofort und unwiderruflich auf allen Platten des Verbunds landet. Versehentlich gelöschte Verzeichnisse, eine fehlerhafte Datenmigration, ein Verschlüsselungstrojaner, ein Controller-Defekt, ein Überspannungsschaden, Diebstahl oder Feuer — in all diesen Fällen ist ein RAID-Verbund keine Hilfe. Ein Backup benötigt zeitlich versetzte, unveränderliche Stände an einem anderen Ort. Behandeln Sie RAID als Maßnahme zur Verfügbarkeit und das Backup als Maßnahme zur Wiederherstellbarkeit; beides ist notwendig, keines ersetzt das andere.

Worauf es im Betrieb ankommt

Ein RAID entfaltet seinen Nutzen nur, wenn der Ausfall auch bemerkt und zügig behoben wird. Erstaunlich viele Verbünde laufen über Monate im degradierten Zustand, weil niemand den Status prüft.

• Aktives Monitoring des Controller-Status mit Alarmierung, nicht nur eine LED am Gehäuse.
• Ein Hot-Spare oder mindestens ein passender Ersatzdatenträger vor Ort, um die Zeit im ungeschützten Zustand kurz zu halten.
• Regelmäßige Konsistenzprüfungen (Patrol Read beziehungsweise Scrubbing), um stille Lesefehler zu finden, bevor sie beim Rebuild auffallen.
• Funktionsfähige Pufferbatterie oder Flash-Modul des Controllers, sonst droht bei aktiviertem Schreibcache Datenverlust nach einem Stromausfall.
• Dokumentation von Controller-Modell, Konfiguration und Plattenbelegung, damit ein Ersatzsystem den Verbund im Notfall lesen kann.

Typische Fehler

Am häufigsten wird das Backup mit Verweis auf das vorhandene RAID vernachlässigt. Ebenfalls verbreitet: RAID 5 mit sehr großen Platten, ein ignoriertes Ausfallsignal, der Einsatz von Desktop-Festplatten ohne geeignetes Fehlerverhalten in einem Controller-RAID sowie das Ziehen der falschen Platte beim Tausch. Letzteres beendet einen degradierten Verbund endgültig — prüfen Sie die Seriennummer, bevor Sie den Einschub entnehmen.

• RAID sichert Verfügbarkeit bei Plattenausfall, nicht die Wiederherstellbarkeit von Daten.
• RAID 6 oder RAID 10 sind bei großen Kapazitäten die belastbarere Wahl gegenüber RAID 5.
• Der Rebuild ist die kritische Phase: lange Laufzeit, hohe Last, reduzierter oder fehlender Schutz.
• Ohne Monitoring und Ersatzdatenträger bleibt die Redundanz eine Annahme statt einer Tatsache.
• Ein Backup mit versetzten, unveränderlichen Ständen an einem zweiten Ort bleibt zwingend erforderlich.