服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)存儲(chǔ)中有一組由7塊硬盤(pán)組建的RAID5陣列，存儲(chǔ)中還有另外3塊盤(pán)是raid中掉線的硬盤(pán)（硬盤(pán)掉線了，管理員只是添加一塊的新的硬盤(pán)做rebuild，并沒(méi)有將掉線的硬盤(pán)拔掉）。整個(gè)RAID5陣列的存儲(chǔ)空間劃分了一個(gè)LUN。

服務(wù)器存儲(chǔ)故障：
硬盤(pán)出現(xiàn)故障導(dǎo)致存儲(chǔ)中陣列癱瘓。
和管理員溝通，據(jù)管理員說(shuō)是磁盤(pán)陣列中某些硬盤(pán)出現(xiàn)故障導(dǎo)致存儲(chǔ)不可用，初步判斷RAID中有硬盤(pán)掉線了。

服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)過(guò)程：
1、將所有硬盤(pán)編號(hào)后取出。硬件工程師檢測(cè)所有硬盤(pán)是否存在硬件故障，檢測(cè)后并沒(méi)有發(fā)現(xiàn)有硬盤(pán)存在物理故障。應(yīng)該是某些硬盤(pán)上出現(xiàn)邏輯壞道或者其他原因?qū)е翿AID崩潰。將所有硬盤(pán)以只讀方式進(jìn)行扇區(qū)級(jí)全盤(pán)鏡像，鏡像完成后按照編號(hào)將所有磁盤(pán)按照原樣還原到故障存儲(chǔ)中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有硬盤(pán)底層數(shù)據(jù)。打開(kāi)鏡像盤(pán)后發(fā)現(xiàn)每512字節(jié)多加了一個(gè)8字節(jié)的校驗(yàn)，也就是說(shuō)每扇區(qū)變成520字節(jié)。于是北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)小程序?qū)?字節(jié)的校驗(yàn)去掉，方便后期的數(shù)據(jù)恢復(fù)工作。
3、轉(zhuǎn)換完成后開(kāi)始分析RAID結(jié)構(gòu)。由于多了3塊以前的離線的舊盤(pán)，所以需要比較每塊磁盤(pán)。其中會(huì)有兩塊磁盤(pán)前面的部分?jǐn)?shù)據(jù)相同，這兩塊磁盤(pán)中會(huì)有一塊磁盤(pán)是舊的，這樣的磁盤(pán)會(huì)有3對(duì)。舊盤(pán)的數(shù)據(jù)量沒(méi)有新盤(pán)多，需要排除舊盤(pán)。
4、由于操作系統(tǒng)層面采用的是NTFS文件系統(tǒng)，通過(guò)MFT就可以獲取RAID結(jié)構(gòu)。搞清楚RAID結(jié)構(gòu)后發(fā)現(xiàn)這不是一個(gè)普通的RAID5，而是一個(gè)雙循環(huán)RAID5。通過(guò)常用軟件如winhax無(wú)法重組RAID。經(jīng)過(guò)測(cè)試發(fā)現(xiàn)UFS可以重組這個(gè)RAID，重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是最新的，北亞企安數(shù)據(jù)恢復(fù)工程師判斷出現(xiàn)這種情況的原因是管理員沒(méi)有及時(shí)發(fā)現(xiàn)RAID5陣列中第一塊硬盤(pán)掉線的情況，沒(méi)有及時(shí)添加新的硬盤(pán)做rebuild。一段時(shí)間后又有一塊硬盤(pán)掉線了，導(dǎo)致整個(gè)RAID不可用。所以還需要找出一塊舊的磁盤(pán)，才能生成最新的數(shù)據(jù)。
5、嘗試每次踢掉陣列中一塊硬盤(pán)，然后重組RAID，看最新的數(shù)據(jù)是否可用，直到重組RAID中最新數(shù)據(jù)可用時(shí)為止。然后導(dǎo)出數(shù)據(jù)驗(yàn)證。
6、經(jīng)過(guò)數(shù)據(jù)恢復(fù)工程師驗(yàn)證沒(méi)有發(fā)現(xiàn)問(wèn)題后，交由用戶(hù)方進(jìn)行檢測(cè)。經(jīng)過(guò)用戶(hù)方的仔細(xì)檢測(cè)和核對(duì)，確認(rèn)恢復(fù)數(shù)據(jù)完整有效，認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。本次數(shù)據(jù)恢復(fù)工作完成。


審核編輯 黃宇