Wie lange der Rebuild eines 22-TB-Laufwerks dauert

Die teuerste Angabe an einer 22-TB-Festplatte steht in keinem Datenblatt. Kapazität findet man auf dem Etikett, die Schnittstelle in der Spezifikation, die Workload-Klasse in der Fußnote; die Größe, die darüber entscheidet, ob ein Verbund seine erste schlechte Woche übersteht, ist dagegen eine Zeitspanne. Sie gehört zu dem System, das um die Platte herum gebaut wird.

Ein Modell wie die WD Ultrastar WUH722422ALE6L4 benennt eine 22-TB-SATA-Platte — mehr nicht. Wie lange die Wiederherstellung der Redundanz dauert, legen Paritätsgeometrie, Rebuild-Richtlinie des Controllers, freie Einschübe und die Last zur Unzeit fest. Das sind Entscheidungen aus der Beschaffung, nicht aus dem Störfall.

Die Rebuild-Dauer ist die eigentliche Kaufgröße

Wie lange ein Verbund ohne Schutz dasteht, sollte über den Kauf entscheiden — und genau diese Größe wird selten notiert. Redundanz ist eine Versicherung mit Selbstbehalt in Stunden: Der Ausfall einer Platte zerstört keine Daten, er startet einen Countdown, in dem kein Spielraum mehr für einen zweiten Defekt, einen unkorrigierbaren Lesefehler oder einen ungünstig getimten Stromausfall bleibt. Wer erst nach dem Ausfall rechnet, rechnet unter Zeitdruck, mit degradiertem Verbund und meist ohne Vergleichsmaßstab.

Alle anderen Zahlen im Angebot beschreiben Kapazität oder Tempo. Diese eine beschreibt, wie lange der Dienst genau einen Fehler von einem Ausfall entfernt ist — und sie lässt sich im Voraus abschätzen, mit einer Rechnung, die man auch einem Kollegen vorlegen kann. Die Fragen zu Kapazität und Rebuild-Planung, die vor eine Bestellung gehören, sind fast alle Varianten dieser einen Größe.

Vier Faktoren bestimmen die Dauer — und keiner steht im Datenblatt

Keiner der vier Faktoren steht als fertige Zahl in der Spezifikation; einer hängt an der Kapazität der Platte, die übrigen an Verbund und Betrieb.

An erster Stelle steht der Durchsatz, den der Verbund abgeben kann. Controller und Firmware begrenzen die Rebuild-Rate meist, um die Produktionsleistung zu schützen; diese Grenze ist eine Richtlinieneinstellung, keine Eigenschaft der Platte. Maßgeblich ist der Wert zur Spitzenstunde, nicht der stille Nachtwert.

Zweitens zählt die Größe der Aufgabe. In einem Paritätsverbund wird beim Verlust einer Platte jede überlebende Platte vollständig gelesen und eine Plattenbreite geschrieben; ein Spiegel kopiert dagegen nur, was er tatsächlich hält. Ein breiter Verbund aus großen Platten bewegt beim Rebuild mehr Bytes als ein schmaler Verbund aus kleinen — selbst bei gleicher Nutzkapazität.

Drittens entscheidet die schwächste überlebende Platte. Ein Rebuild wird nicht schneller als das langsamste beteiligte Laufwerk; eine Platte mit grenzwertigen Sektoren kann den Transfer immer wieder anhalten, und der Durchschnittszustand des Verbunds hilft nicht, wenn eine einzelne schlechte Zone das Tempo vorgibt.

Viertens zählt der Umgang mit Fehlern. Wiederholungsversuche, Timeouts und ein Prüflauf nach dem Rebuild sind der Punkt, an dem aus einer sauberen Division eine Bandbreite wird. Ein linearer Kopiervorgang ist der Bestfall; Tiefenrecovery und Verifikation sind bei Platten, die seit Jahren laufen, der Normalfall.

Das eigene Zeitfenster: eine Division, drei Korrekturen

Die Expositionsdauer lässt sich mit einer Division und drei Korrekturen schätzen — mit Messwerten aus dem eigenen Verbund, nicht mit einer veröffentlichten Dauer.

1. Messen Sie den Durchsatz, den der Verbund einem Rebuild während des normalen Betriebs tatsächlich überlässt — etwa über die Zähler der Plattform während eines geplanten Scrubs oder durch eine bewusste Plattenentnahme in einem Testverbund gleicher Geometrie.
2. Teilen Sie die Bytes, die tatsächlich neu geschrieben werden müssen, durch diesen Messwert. Zählen Sie Lese- und Schreibseite getrennt, wenn Ihre Geometrie sie unterschiedlich behandelt.
3. Korrigieren Sie auf die schlechteste Stunde: Spitzenlast statt Nachtwert, plus den Prüflauf der Plattform, falls einer folgt.
4. Korrigieren Sie mit der zweiten Uhr: der Zeit zwischen Ausfall und dem Moment, in dem die Ersatzplatte sitzt. In vielen Umgebungen ist diese Lücke größer als der Kopiervorgang selbst.
5. Prüfen Sie das Ergebnis gegen einen Probelauf. Ein einzelner Testverbund, aus dem unter realistischer Last absichtlich eine Platte entfernt wird, ist mehr wert als jede Schätzung.

Was herauskommt, ist eine belastbare Dauer — kein Versprechen. Der häufigste Fehler in dieser Rechnung ist die Annahme, ein Rebuild laufe mit dem Tempo, das die Platte allein erreicht. Multipliziert mit der Zahl der betriebenen Verbünde ergibt die Dauer die ungeschützten Verbundstunden pro Vorfall; gemessen an dem, was der Dienst aushält, entscheidet sich der Kauf fast von selbst. Warum eine einzelne große Platte das Risikoprofil eines ganzen Verbunds verändert, steht in dieser Einordnung zum Einzelplattenrisiko.

Was jede Schutzmaßnahme wirklich kostet

Keine Schutzmaßnahme ist gratis: Jede verkürzt das Zeitfenster oder nimmt ihm die Schärfe — und bezahlt wird in Kapazität, Steckplätzen, Strom oder operativer Disziplin.

Breitere Redundanz, also RAID 6 oder ein Erasure-Coding-Layout, beseitigt die Klippe, an der ein zweiter Plattenausfall das Ende bedeutet. Bezahlt wird mit einer Plattenbreite Nutzkapazität, etwas Schreibdurchsatz und mehr Rechenarbeit während des Rebuilds. Eine Hot-Spare-Platte verkürzt nur die Lücke bis zum Start des Rebuilds, nicht den Rebuild selbst; sie kostet einen Einschub, ein Laufwerk, das sonst nichts tut, und Strom. Eine Kaltreserve im Schrank verkürzt nur die Zeit bis zur Beschaffung — und nur dann, wenn im Ernstfall klar ist, wer sie holt und einsetzt. Kleinere Platten in größerer Zahl verkürzen jeden einzelnen Vorgang, erhöhen aber die Zahl der Ausfälle, die der Verbund überhaupt erlebt — ein echter Tauschhandel. Und ein Belastungstest vor dem Produktivbetrieb beschleunigt keinen Rebuild, sortiert aber schwache Laufwerke aus, bevor sie an einem teilnehmen; wie lange ein solcher Lauf dauern sollte, steht im risikobasierten Leitfaden zum Stresstest.

Backup und Restore sind der ehrliche Rückfallweg — und der am häufigsten falsch eingeschätzte. Wenn die Wiederherstellung länger dauert als der Rebuild, ist das Backup nicht die Versicherung, für die es gehalten wird; wenn sie nie gestoppt wurde, ist es eine Hoffnung mit Termin.

Drei Regeln gelten über alle Varianten hinweg. Wenn das gemessene Fenster länger ist, als der Dienst ungeschützt laufen darf, ändert sich die Geometrie oder die Plattengröße in der Bestellung — nicht das Notfallverfahren. Wenn der Verbund während eines Rebuilds volle Leistung liefern muss, rechnen Sie mit dem Durchsatz zur Spitzenstunde. Und wenn im Gehäuse nur ein Einschub frei ist, bringt eine Reserveplatte dort mehr als ein schnelleres Modell derselben Größe.

Zwei Punkte, die in die Bestellung gehören

Fehlerbudget und Wiederherstellungsweg sind Entscheidungen der Beschaffung, weil nach dem ersten Ausfall nur noch Reaktion bleibt.

Das Fehlerbudget legt fest, wie viele gleichzeitige Plattenverluste der Verbund überstehen muss und welche Leistung der Dienst mit einer fehlenden Platte garantiert. Dieser eine Satz bestimmt Geometrie, Plattengröße und ob eine Reserve im Gehäuse sitzt.

Der Wiederherstellungsweg legt fest, was im Regal liegt, wer es einsetzen darf, welche Wiederherstellung tatsächlich gestoppt wurde und was der Plattformanbieter zum Rebuild-Verhalten schriftlich bestätigt: Ratengrenze unter Last, Fehlerbehandlung und ob eine Verifikation folgt. Ein Datenblatt beantwortet das nicht, und eine mündliche Zusage übersteht keine schlechte Woche. Fordern Sie die Bestätigung mit der Bestellung an — zusammen mit der Workload-Einstufung, mit der die Platten betrieben werden sollen.

Der teure Fehler passiert im Bestellprozess

Das Zeitfenster wird beim Kauf festgelegt; die Panne deckt es nur auf. Plattengröße, Anzahl, Geometrie und freie Einschübe sind mit der Bestellung fixiert, und die Wahl der Plattform bestimmt, welche Rebuild-Richtlinien überhaupt zur Verfügung stehen. Nach dem ersten Ausfall bleiben nur Notlösungen: unter Druck Kapazität nachkaufen, im degradierten Betrieb weiterlaufen oder aus dem Backup zurückspielen — nach einer Uhr, die niemand getestet hat.

Genau deshalb gehört die Division vor die Bestellung. Den Ausfall planen, bevor er passiert ist billiger, als ihn im Störkanal zu beantworten; die Rechnung ist der Teil, der in Ruhe erledigt werden kann. Wer möchte diese Division um drei Uhr morgens rechnen, während der Verbund degradiert läuft? Die übrigen Beschaffungsnotizen in der Insights-Bibliothek folgen demselben Grundsatz: Was sich beim Bestellen kalkulieren lässt, sollte nicht der schlechtesten Stunde überlassen werden.