服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)IBM某型號(hào)服務(wù)器，4塊SAS磁盤(pán)組建了一組RAID5磁盤(pán)陣列。服務(wù)器安裝的windows server操作系統(tǒng)，上面運(yùn)行了一個(gè)Oracle單節(jié)點(diǎn)，數(shù)據(jù)存儲(chǔ)為文件系統(tǒng)，無(wú)歸檔。該oracle數(shù)據(jù)庫(kù)的數(shù)據(jù)量不大，只有一個(gè)用戶，使用默認(rèn)的users表空間，users空間下只有一個(gè)不大的數(shù)據(jù)文件。

服務(wù)器故障：
由于服務(wù)器超負(fù)荷運(yùn)行，RAID5磁盤(pán)陣列出現(xiàn)問(wèn)題。為了保證服務(wù)器能正常穩(wěn)定運(yùn)行，工作人員做了重建RAID的操作，在重建RAID過(guò)程中由于RAID中的一塊磁盤(pán)出現(xiàn)故障，RAID初始化中止，少量數(shù)據(jù)被同步而破壞，但是RAID5磁盤(pán)陣列已經(jīng)可以訪問(wèn)。
服務(wù)器操作系統(tǒng)雖然出現(xiàn)錯(cuò)誤，但還能正常啟動(dòng)。oracle數(shù)據(jù)庫(kù)所在D盤(pán)分區(qū)報(bào)錯(cuò)無(wú)法打開(kāi)，工作人員做了chkdsk后能正常打開(kāi)D盤(pán)分區(qū)，但oracle數(shù)據(jù)庫(kù)無(wú)法啟動(dòng)。工作人員在D盤(pán)上重裝了oracle數(shù)據(jù)庫(kù)并導(dǎo)入了以前備份的dmp文件，但數(shù)據(jù)和出故障前的oracle數(shù)據(jù)庫(kù)數(shù)據(jù)相差太多。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障服務(wù)器中所有磁盤(pán)編號(hào)后取出，以只讀方式進(jìn)行全盤(pán)鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析RAID。因?yàn)橹亟≧AID會(huì)給數(shù)據(jù)造成嚴(yán)重的破壞，但經(jīng)過(guò)對(duì)底層數(shù)據(jù)的分析發(fā)現(xiàn)重建的RAID的塊大小、盤(pán)序都和原來(lái)的RAID一致。在初始化過(guò)程中僅同步了前面部分的少量數(shù)據(jù)，RAID數(shù)據(jù)損壞不大，數(shù)據(jù)庫(kù)還沒(méi)被破壞。
3、Chkdsk并不會(huì)破壞用戶數(shù)據(jù)區(qū)，chkdsk只對(duì)文件系統(tǒng)元數(shù)據(jù)區(qū)進(jìn)行修改。執(zhí)行chkdsk操作后oracle數(shù)據(jù)庫(kù)文件沒(méi)有被破壞，最多只是文件的MFT或目錄項(xiàng)被破壞。真正對(duì)數(shù)據(jù)破壞嚴(yán)重的操作是重裝Oracle數(shù)據(jù)庫(kù)和導(dǎo)入dmp文件，這一系列操作不僅對(duì)文件系統(tǒng)元數(shù)據(jù)區(qū)造成了破壞，還將用戶數(shù)據(jù)區(qū)進(jìn)行了覆蓋。
4、基于鏡像文件分析D盤(pán)的NTFS文件系統(tǒng)，發(fā)現(xiàn)所有原oracle數(shù)據(jù)文件的MFT均被覆蓋，NTFS日志也被輪回覆蓋，從NTFS元數(shù)據(jù)區(qū)找不到可利用信息。數(shù)據(jù)恢復(fù)工程師只能使用北亞企安自主研發(fā)的Oracle恢復(fù)程序?qū)φ麄€(gè)D盤(pán)分區(qū)進(jìn)行恢復(fù)。
5、經(jīng)過(guò)程序的掃描，發(fā)現(xiàn)Oracle實(shí)例為ANSORA，掃描出一個(gè)原始完整的控制文件和一個(gè)原始完整的undotbs表空間數(shù)據(jù)文件。重要的system和users表空間數(shù)據(jù)文件都被不同程度的破壞：其中system表空間的數(shù)據(jù)文件僅剩中后部的十多MB，原始文件應(yīng)該約有幾百M(fèi)B；users表空間的數(shù)據(jù)文件有部分被覆蓋，僅剩幾
MB。提取出找到的數(shù)據(jù)，然后對(duì)損壞嚴(yán)重的數(shù)據(jù)庫(kù)進(jìn)行修復(fù)。
6、由于system表空間不可用，無(wú)法得到數(shù)據(jù)字典。經(jīng)過(guò)溝通，用戶方確認(rèn)了有重要的三張表，從imp回去的數(shù)據(jù)庫(kù)中獲取到這三張表的結(jié)構(gòu)，再?gòu)幕謴?fù)users表空間的數(shù)據(jù)文件中找到對(duì)應(yīng)的segment。但有一張表無(wú)法對(duì)應(yīng)上，再次溝通得知這一張表有過(guò)更改字段的操作，北亞企安數(shù)據(jù)恢復(fù)工程師只能重新構(gòu)建新的表結(jié)構(gòu)對(duì)應(yīng)上users表空間數(shù)據(jù)文件中segment，然后通過(guò)dul工具提取這三張表的數(shù)據(jù)。
7、提取完成數(shù)據(jù)后由用戶方工程師進(jìn)行驗(yàn)證，經(jīng)過(guò)反復(fù)驗(yàn)證，用戶方工程師確認(rèn)恢復(fù)出來(lái)的數(shù)據(jù)有效。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇