服務器故障：
服務器中有一組由多塊硬盤組建的raid5磁盤陣列，服務器陣列中2塊硬盤先后掉線導致服務器崩潰。

服務器數(shù)據(jù)恢復過程：
1、將故障服務器中所有磁盤編號后取出，由硬件工程師對掉線的兩塊磁盤進行物理故障檢測，發(fā)現(xiàn)硬盤加電后磁頭無法尋道，分離PCB并清潔HDA組件后再次嘗試加電依然不能尋道，只能在無塵車間中對故障硬盤進行物理修復。修復完成后將所有磁盤以只讀方式做扇區(qū)級全盤鏡像，鏡像完成后按照編號將所有磁盤還原到原服務器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數(shù)據(jù)，北亞企安數(shù)據(jù)恢復工程師發(fā)現(xiàn)0扇區(qū)均出現(xiàn)了“55 AA”（0x01C2H處表示該分區(qū)的類型，這里顯示“05”，代表這是一個擴展分區(qū)。所以該MBR分區(qū)結構狀態(tài)不正常）。除了8號硬盤是一個正常的MBR分區(qū)，其0x01C6處數(shù)值代表指向的下一個扇區(qū)為GPT的頭部。

北亞企安數(shù)據(jù)恢復——RAID5數(shù)據(jù)恢復

7號硬盤0x01C6處數(shù)值代表指向下一個扇區(qū)，但是下一個扇區(qū)很明顯不是GPT的頭部。

北亞企安數(shù)據(jù)恢復——RAID5數(shù)據(jù)恢復

根據(jù)上面的情況可以初步判斷該陣列中8號盤和7號盤分別為第一塊盤和最后一塊盤，GPT分區(qū)所在扇區(qū)起始于172032扇區(qū)，因此初步確定LUN的起始扇區(qū)是172032扇區(qū)。
3、通過分析得知該陣列條帶大小為1024個扇區(qū)。按照1024扇區(qū)分割，一個記錄為一個條帶的大小，并且有7塊盤跳到同一記錄。當7塊盤都定位到同一位置時，通過對比可以判斷校驗區(qū)的走向，繼而判斷整個RAID5陣列的走向。
4、將前面判斷為第一塊盤的8號盤放在第一個位置，確定RAID5陣列為左走向和盤序。
5、前面已經(jīng)初步確定了LUN的起始扇區(qū)是172032扇區(qū)。跳到172032扇區(qū)對硬盤的使用情況進行觀察，正常情況下這個扇區(qū)所屬條帶中的5號盤應該是校驗區(qū)，但實際情況卻顯示校驗區(qū)為8號盤。根據(jù)該raid左走向的規(guī)律，5號盤的校驗區(qū)應該在172032-1024=171008扇區(qū)，即上一個條帶。跳轉到171008扇區(qū)，發(fā)現(xiàn)校驗區(qū)為5號盤。因此可以確定LUN的起始扇區(qū)為171008扇區(qū)。
6、按照確定的盤序重組raid。選擇RAID5、Stripe size 512KB、左異步，點擊Build開始重組。

北亞企安數(shù)據(jù)恢復——RAID5數(shù)據(jù)恢復

7、完成raid的重組后，由于數(shù)據(jù)從1024*8=8192個扇區(qū)開始，所以RAID的起始扇區(qū)(Start sectors)選擇8192。
重組后的raid5磁盤陣列：

北亞企安數(shù)據(jù)恢復——RAID5數(shù)據(jù)恢復

8、RAID5磁盤陣列重組完成后，用戶方經(jīng)過驗證沒有發(fā)現(xiàn)問題，認可數(shù)據(jù)恢復結果。本次服務器數(shù)據(jù)恢復成功。

審核編輯 黃宇