服務(wù)器存儲數(shù)據(jù)恢復(fù)環(huán)境：
EMC CX4-480存儲，該存儲中有10塊硬盤，其中有3塊磁盤為掉線磁盤，另外7塊磁盤組成一組RAID5磁盤陣列。運(yùn)維人員在處理掉線磁盤時(shí)只添加新的硬盤做rebuild，并沒有將掉線的硬盤拔掉，所以存儲中有3塊掉線的磁盤。

服務(wù)器存儲故障：
硬盤出現(xiàn)故障離線導(dǎo)致存儲中raid5陣列癱瘓。運(yùn)維人員聯(lián)系我們數(shù)據(jù)恢復(fù)中心尋求幫助。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、經(jīng)過和運(yùn)維人員溝通，服務(wù)器數(shù)據(jù)恢復(fù)工程師初步推測陣列癱瘓的原因是硬盤出現(xiàn)硬件故障。將故障存儲中所有磁盤編號后取出，由硬件工程師對所有磁盤進(jìn)行物理故障檢測。經(jīng)過逐一排查并沒有發(fā)現(xiàn)有硬盤存在物理故障。于是數(shù)據(jù)恢復(fù)工程師將所有硬盤以只讀方式做全盤鏡像，鏡像完成后按照編號將所有磁盤還原到原存儲中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析raid結(jié)構(gòu)。經(jīng)過分析發(fā)現(xiàn)該服務(wù)器存儲中的硬盤每512字節(jié)多加了一個(gè)8字節(jié)的校驗(yàn)，也就是每扇區(qū)520字節(jié)。這種情況下分析raid結(jié)構(gòu)十分不方便，于是北亞企安數(shù)據(jù)恢復(fù)工程師編寫了一個(gè)小程序?qū)?字節(jié)的校驗(yàn)去掉以方便后面的工作。
3、將所有磁盤轉(zhuǎn)換完成后，數(shù)據(jù)恢復(fù)工程師重新開始分析RAID結(jié)構(gòu)。由于存儲中有3塊掉線的舊盤，需將這3塊盤分別與其他盤進(jìn)行比較。經(jīng)過比較，會發(fā)現(xiàn)這3塊磁盤中每一塊盤都會和另外7塊盤中的一塊盤前面的一部分相同，而這兩塊盤中會有一個(gè)是舊的（舊的數(shù)據(jù)量沒有新盤多），這樣的磁盤會有3對。通過這種方式排除舊的磁盤。
4、由于上層采用的NTFS文件系統(tǒng)，使用MFT就可以很容易找到RAID結(jié)構(gòu)。找到raid結(jié)構(gòu)后發(fā)現(xiàn)這不是一個(gè)普通的RAID5陣列，而是一個(gè)雙循環(huán)。重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是最新的。服務(wù)器數(shù)據(jù)恢復(fù)工程師推測RAID5陣列中一塊硬盤掉線時(shí)，運(yùn)維人員沒有及時(shí)發(fā)現(xiàn)，沒有及時(shí)添加新的硬盤做rebuild。一段時(shí)間后又有一
塊硬盤掉線了，于是整個(gè)RAID不可用。所以還需要找出一塊舊的磁盤才能生成最新的數(shù)據(jù)。
5、北亞企安數(shù)據(jù)恢復(fù)工程師采用窮舉+校驗(yàn)的方法進(jìn)行分析：假設(shè)某個(gè)磁盤是掉線的，踢掉該磁盤后重組RAID，生成前面5GB的數(shù)據(jù)，然后只需要查看這個(gè)索引表的位圖的信息是否正確就可以判斷此RAID是否正確。如果正確那么生成此RAID的數(shù)據(jù)即可完成RAID的重組。
6、經(jīng)過多次嘗試，最終找到正確的RAID并完成RAID的重組。經(jīng)過用戶仔細(xì)驗(yàn)證，確認(rèn)數(shù)據(jù)有效，認(rèn)可本次數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇