服務(wù)器存儲數(shù)據(jù)恢復(fù)環(huán)境：
一臺存儲中有一組由7塊硬盤組建的RAID5陣列，存儲中還有另外3塊盤是raid中掉線的硬盤（硬盤掉線了，管理員只是添加一塊的新的硬盤做rebuild，并沒有將掉線的硬盤拔掉）。整個RAID5陣列的存儲空間劃分了一個LUN。

服務(wù)器存儲故障：
硬盤出現(xiàn)故障導(dǎo)致存儲中陣列癱瘓。
和管理員溝通，據(jù)管理員說是磁盤陣列中某些硬盤出現(xiàn)故障導(dǎo)致存儲不可用，初步判斷RAID中有硬盤掉線了。

服務(wù)器存儲數(shù)據(jù)恢復(fù)過程：
1、將所有硬盤編號后取出。硬件工程師檢測所有硬盤是否存在硬件故障，檢測后并沒有發(fā)現(xiàn)有硬盤存在物理故障。應(yīng)該是某些硬盤上出現(xiàn)邏輯壞道或者其他原因?qū)е翿AID崩潰。將所有硬盤以只讀方式進(jìn)行扇區(qū)級全盤鏡像，鏡像完成后按照編號將所有磁盤按照原樣還原到故障存儲中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有硬盤底層數(shù)據(jù)。打開鏡像盤后發(fā)現(xiàn)每512字節(jié)多加了一個8字節(jié)的校驗，也就是說每扇區(qū)變成520字節(jié)。于是北亞企安數(shù)據(jù)恢復(fù)工程師編寫小程序?qū)?字節(jié)的校驗去掉，方便后期的數(shù)據(jù)恢復(fù)工作。
3、轉(zhuǎn)換完成后開始分析RAID結(jié)構(gòu)。由于多了3塊以前的離線的舊盤，所以需要比較每塊磁盤。其中會有兩塊磁盤前面的部分?jǐn)?shù)據(jù)相同，這兩塊磁盤中會有一塊磁盤是舊的，這樣的磁盤會有3對。舊盤的數(shù)據(jù)量沒有新盤多，需要排除舊盤。
4、由于操作系統(tǒng)層面采用的是NTFS文件系統(tǒng)，通過MFT就可以獲取RAID結(jié)構(gòu)。搞清楚RAID結(jié)構(gòu)后發(fā)現(xiàn)這不是一個普通的RAID5，而是一個雙循環(huán)RAID5。通過常用軟件如winhax無法重組RAID。經(jīng)過測試發(fā)現(xiàn)UFS可以重組這個RAID，重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是最新的，北亞企安數(shù)據(jù)恢復(fù)工程師判斷出現(xiàn)這種情況的原因是管理員沒有及時發(fā)現(xiàn)RAID5陣列中第一塊硬盤掉線的情況，沒有及時添加新的硬盤做rebuild。一段時間后又有一塊硬盤掉線了，導(dǎo)致整個RAID不可用。所以還需要找出一塊舊的磁盤，才能生成最新的數(shù)據(jù)。
5、嘗試每次踢掉陣列中一塊硬盤，然后重組RAID，看最新的數(shù)據(jù)是否可用，直到重組RAID中最新數(shù)據(jù)可用時為止。然后導(dǎo)出數(shù)據(jù)驗證。
6、經(jīng)過數(shù)據(jù)恢復(fù)工程師驗證沒有發(fā)現(xiàn)問題后，交由用戶方進(jìn)行檢測。經(jīng)過用戶方的仔細(xì)檢測和核對，確認(rèn)恢復(fù)數(shù)據(jù)完整有效，認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。本次數(shù)據(jù)恢復(fù)工作完成。


審核編輯 黃宇