服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某品牌P2000服務(wù)器，有一組由數(shù)塊硬盤組建的raid5磁盤陣列（有熱備盤），部署了VMWARE ESX虛擬化平臺，VMFS文件系統(tǒng)。

服務(wù)器故障：
服務(wù)器在正常運(yùn)行中，raid5陣列有兩塊硬盤亮黃色故障燈。經(jīng)用戶方工作人員初步檢測，亮黃色故障燈的硬盤出現(xiàn)物理故障，故障表現(xiàn)為：序列號無法讀取，通過SAS擴(kuò)展卡無法識別硬盤。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器上所有磁盤編號后取出，然后由硬件工程師將那2塊故障盤連接到SAS擴(kuò)展卡上加電檢測，結(jié)果磁頭不尋道。硬件工程師將PCB分離，檢查硬盤HDA組件發(fā)現(xiàn)氧化的情況。清潔后再次加電依然無法尋道。于是硬件工程師在北亞企安的無塵工作室對故障硬盤進(jìn)行開盤操作。
硬件工程師將檢測完好的備件盤開盤，拆取PCB替換掉故障盤的PCB，再將故障盤PCB上的ROM芯片拆掉替換到新的PCB上。再次將修復(fù)完成的故障硬盤加電檢測，這回可以正常起轉(zhuǎn)，磁頭尋道聲音正常，但是發(fā)出明顯的敲盤聲。由于熱備盤的磁頭與故障盤不匹配，于是另找同型號的磁頭替換故障盤的磁頭，這次硬盤可以正常識別。
將修復(fù)好的故障盤和其他完好的硬盤以只讀方式做全盤鏡像。鏡像完成后將所有磁盤按照編號還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、使用工具打開所有磁盤的鏡像文件，發(fā)現(xiàn)所有硬盤的0扇區(qū)都有“55 AA”標(biāo)志。0x01C2H處表示該分區(qū)的類型，0x01C2H處顯示“05”意味著這是一個(gè)擴(kuò)展分區(qū)。因此從0扇區(qū)看這是MBR分區(qū)結(jié)構(gòu)異常。
繼續(xù)查找，分別在另外2塊磁盤（暫時(shí)稱為a盤和b盤）找到了“55 AA”的標(biāo)志。其中a盤的查詢結(jié)果表示這是一個(gè)正常的MBR分區(qū)，其0x01C6處數(shù)值意味著指向的下一個(gè)扇區(qū)為GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

查看b盤的0x01C6處數(shù)值，但是下一個(gè)扇區(qū)明顯不是GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

由此可以初步判斷a盤是第一塊盤，b是最后一塊盤。GPT分區(qū)所在扇區(qū)起始于172032扇區(qū)，因此初步確定LUN的起始扇區(qū)是172032扇區(qū)。
3、對故障服務(wù)器raid5陣列進(jìn)行分析，發(fā)現(xiàn)raid條帶大小為1024個(gè)扇區(qū)。按照1024扇區(qū)進(jìn)行分割，使一個(gè)記錄為一個(gè)條帶的大小，所有盤跳到同一記錄283123。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

當(dāng)所有盤都定位到同一位置時(shí)，通過對比可以判斷校驗(yàn)區(qū)的走向，從而判斷整個(gè)RAID5的走向。將判斷出是第一塊盤的a盤放在第一個(gè)位置，確定RAID5的走向和盤序。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

4、跳到172032扇區(qū)對硬盤的使用情況進(jìn)行觀察，正常情況下這個(gè)扇區(qū)所屬條帶中的那塊盤應(yīng)該是校驗(yàn)區(qū)，但實(shí)際情況中卻顯示校驗(yàn)區(qū)為a盤。根據(jù)該raid左走向規(guī)律，172032扇區(qū)所屬條帶中的那塊盤的校驗(yàn)區(qū)應(yīng)該在172032-1024=171008扇區(qū)，即上一個(gè)條帶。跳轉(zhuǎn)到171008扇區(qū)，發(fā)現(xiàn)校驗(yàn)區(qū)為172032扇區(qū)所屬條帶中的那塊盤。因此可以確定LUN的起始扇區(qū)為171008扇區(qū)。
按照確定的盤序重組raid。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

點(diǎn)擊Build進(jìn)行重組。組好raid后，由于數(shù)據(jù)從1024*8=8192個(gè)扇區(qū)開始，若工具沒有跳轉(zhuǎn)到此扇區(qū)的功能，那么剛組好的RAID必須和一個(gè)文件再進(jìn)行一次Build重組操作。
重組后的raid5磁盤陣列：

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

5、RAID5磁盤陣列重建完成后由用戶方進(jìn)行驗(yàn)證，經(jīng)過驗(yàn)證用戶方確認(rèn)數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇