Une coupure de courant dure rarement plus de quelques secondes. C’est pourtant suffisant pour rendre un volume RAID illisible ou corrompre un système de fichiers entier sur un serveur ou un NAS. Contrairement à une idée répandue, le risque ne vient pas de l’absence d’alimentation en elle-même, mais de l’interruption brutale d’écritures en cours dans plusieurs couches de mémoire volatile : cache du contrôleur RAID, RAM, cache du disque. Voici ce qui se joue réellement pendant ces quelques secondes, et comment limiter le risque en amont.
Ce qui se passe réellement lors d’une coupure brutale
Un serveur en fonctionnement n’écrit jamais directement sur ses disques à chaque opération. Les données transitent par plusieurs zones tampons avant d’être physiquement gravées : le cache du contrôleur RAID, la mémoire vive du système, puis le cache interne du disque lui-même. Cette architecture améliore considérablement les performances, mais elle a un coût en cas de coupure : tout ce qui n’a pas encore été écrit sur le support physique est perdu, et le système de fichiers se retrouve dans un état incohérent, ce qu’on appelle un arrêt non synchronisé (dirty shutdown).
Les systèmes de fichiers modernes comme ext4, Btrfs ou ZFS intègrent des mécanismes de protection (journalisation, copy-on-write) conçus précisément pour ce scénario. Ces protections ont toutefois des limites, en particulier lorsque la coupure survient pendant une phase d’écriture intensive ou pendant une reconstruction RAID en cours. C’est dans ces moments de vulnérabilité accrue que les incidents les plus sérieux surviennent.
Le cache du contrôleur RAID, une protection à surveiller
Sur les serveurs professionnels équipés de contrôleurs RAID matériels (Dell PERC, HP Smart Array, Broadcom MegaRAID), le mode d’écriture par défaut est souvent le write-back : les données sont confirmées comme écrites dès leur arrivée dans le cache du contrôleur, avant même d’être physiquement gravées sur les disques. Ce mode gagne en performance, mais il expose les données non encore écrites en cas de coupure, à moins d’être protégé.
Deux technologies assurent cette protection :
- Une batterie BBU, dont la durée de vie tourne généralement autour de 3 à 5 ans, capable de maintenir le cache sous tension pendant 24 à 48 heures selon le modèle de contrôleur.
- Des supercondensateurs, qui transfèrent le contenu du cache vers une mémoire flash en quelques secondes seulement.
Une batterie vieillissante perd progressivement en capacité. Lorsqu’un contrôleur détecte une BBU défaillante, il bascule normalement lui-même en mode write-through, plus lent mais sans risque, puisque chaque écriture est alors confirmée uniquement une fois gravée sur le disque. Forcer manuellement le retour au mode write-back alors que la batterie est signalée défaillante est une pratique à proscrire : c’est précisément le scénario qui transforme une coupure banale en incident de données.
Les NAS grand public (Synology, QNAP, Asustor) fonctionnent différemment : ils reposent sur du RAID logiciel, sans contrôleur matériel dédié ni protection BBU équivalente. Leur exposition à une coupure suit donc une logique distincte, davantage liée à l’état du système de fichiers au moment de l’arrêt qu’au cache d’un contrôleur.
L’onduleur : indispensable, mais pas infaillible
Un onduleur (UPS) remplit deux fonctions : fournir une alimentation temporaire lors d’une coupure et filtrer les surtensions qui l’accompagnent souvent. Sur les NAS, les systèmes d’exploitation comme Synology DSM ou QNAP QTS savent détecter le passage sur batterie de l’onduleur et déclencher un arrêt propre de l’appareil avant l’épuisement complet de l’autonomie restante.
Le problème le plus fréquent ne vient pas de l’onduleur lui-même, mais de sa batterie. Les batteries plomb-acide qui équipent la plupart des onduleurs ont une durée de vie de 3 à 5 ans, réduite en environnement chaud. Une batterie dégradée peut ne tenir que quelques secondes au lieu des minutes nécessaires pour laisser au NAS le temps de s’arrêter proprement. Quelques précautions simples limitent ce risque :
- Programmer un auto-test mensuel de la batterie.
- Remplacer la batterie tous les 3 à 5 ans, sans attendre un signe de faiblesse visible.
- Viser au moins 5 minutes d’autonomie réelle sous charge, pas seulement à vide.
Il faut aussi garder à l’esprit ce qu’un onduleur ne fait pas : il ne protège pas contre une défaillance de l’alimentation interne du serveur, et il ne remplace en rien la protection BBU d’un contrôleur RAID. Ce sont deux dispositifs complémentaires, pas interchangeables.
Des corruptions différentes selon le système de fichiers
Le comportement d’un volume après une coupure dépend directement du système de fichiers utilisé.
ext4
Le journal de transactions se rejoue automatiquement au redémarrage. La cohérence est généralement retrouvée, au prix des toutes dernières secondes d’écriture avant la coupure. Si le journal lui-même est corrompu, l’utilitaire e2fsck tente une reconstruction, avec des résultats plus incertains.
Btrfs
Son fonctionnement en copy-on-write le rend plus résilient en principe. Mais une interruption survenant précisément pendant la mise à jour du superbloc peut rendre le volume tout simplement impossible à monter, sans étape intermédiaire.
ZFS
Généralement robuste grâce à ses checksums systématiques sur chaque bloc. Une coupure survenant pendant un resilvering (reconstruction d’un disque remplacé) reste néanmoins un moment de vulnérabilité réelle.
Niveau RAID
Une coupure peut provoquer une incohérence de parité, phénomène connu sous le nom de write hole. Le bitmap d’écriture (write-intent bitmap sous mdadm) limite l’étendue de la resynchronisation nécessaire après coup, en évitant de devoir revérifier l’intégralité du volume.
Trois niveaux de protection complémentaires
Aucune protection isolée ne suffit à elle seule. La réduction du risque repose sur trois niveaux qui se complètent :
- Un onduleur correctement configuré, avec arrêt automatique programmé du serveur ou du NAS, batterie testée mensuellement et remplacée tous les 3 à 5 ans, ou dès que l’autonomie devient insuffisante.
- Sur un serveur équipé d’un contrôleur RAID matériel : une vérification régulière de l’état de la BBU ou du supercondensateur via les outils fournis par le fabricant, et l’interdiction absolue de forcer le mode write-back si une défaillance de la batterie est signalée.
- Une sauvegarde selon la règle 3-2-1 (trois copies, deux supports distincts, une copie hors site) : c’est la seule garantie réelle en cas de sinistre majeur, quelle que soit la robustesse du système de fichiers en place.
Les bons réflexes juste après une coupure
Ce que vous faites dans les minutes qui suivent le redémarrage pèse autant que la coupure elle-même sur le résultat final.
- Ne pas interrompre une vérification automatique déjà en cours (rejeu du journal, vérification Btrfs, resynchronisation RAID).
- Ne pas lancer fsck ou btrfs check manuellement sur un volume dégradé : ces outils peuvent supprimer des métadonnées encore exploitables en tentant de « réparer » trop vite.
- Refuser toute proposition de réinitialisation du volume émise par un outil système, même si elle semble être la solution la plus rapide.
- Si le système reste anormal malgré ces précautions, l’éteindre proprement, noter ou étiqueter la configuration exacte des disques, puis faire appel à un spécialiste plutôt que de multiplier les tentatives.
Un point mérite d’être retenu au-delà de tout le reste : tant qu’aucune réécriture n’a démarré sur les disques, les métadonnées RAID restent généralement exploitables. C’est précisément ce délai qu’il faut préserver en évitant les manipulations hâtives.
Une coupure de courant sur un serveur ou un NAS professionnel n’entraîne pas systématiquement une perte de données, mais elle crée une fenêtre de fragilité qu’il vaut mieux anticiper que subir. Si votre volume ne remonte pas normalement après un incident de ce type, chaque manipulation supplémentaire réduit les chances de récupération complète.