服務器存儲數(shù)據(jù)恢復環(huán)境：
EMC CX4-480存儲，該存儲中有10塊硬盤，其中有3塊磁盤為掉線磁盤，另外7塊磁盤組成一組RAID5磁盤陣列。運維人員在處理掉線磁盤時只添加新的硬盤做rebuild，并沒有將掉線的硬盤拔掉，所以存儲中有3塊掉線的磁盤。

服務器存儲故障：
硬盤出現(xiàn)故障離線導致存儲中raid5陣列癱瘓。運維人員聯(lián)系我們數(shù)據(jù)恢復中心尋求幫助。

服務器數(shù)據(jù)恢復過程：
1、經過和運維人員溝通，服務器數(shù)據(jù)恢復工程師初步推測陣列癱瘓的原因是硬盤出現(xiàn)硬件故障。將故障存儲中所有磁盤編號后取出，由硬件工程師對所有磁盤進行物理故障檢測。經過逐一排查并沒有發(fā)現(xiàn)有硬盤存在物理故障。于是數(shù)據(jù)恢復工程師將所有硬盤以只讀方式做全盤鏡像，鏡像完成后按照編號將所有磁盤還原到原存儲中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析raid結構。經過分析發(fā)現(xiàn)該服務器存儲中的硬盤每512字節(jié)多加了一個8字節(jié)的校驗，也就是每扇區(qū)520字節(jié)。這種情況下分析raid結構十分不方便，于是北亞企安數(shù)據(jù)恢復工程師編寫了一個小程序將8字節(jié)的校驗去掉以方便后面的工作。
3、將所有磁盤轉換完成后，數(shù)據(jù)恢復工程師重新開始分析RAID結構。由于存儲中有3塊掉線的舊盤，需將這3塊盤分別與其他盤進行比較。經過比較，會發(fā)現(xiàn)這3塊磁盤中每一塊盤都會和另外7塊盤中的一塊盤前面的一部分相同，而這兩塊盤中會有一個是舊的（舊的數(shù)據(jù)量沒有新盤多），這樣的磁盤會有3對。通過這種方式排除舊的磁盤。
4、由于上層采用的NTFS文件系統(tǒng)，使用MFT就可以很容易找到RAID結構。找到raid結構后發(fā)現(xiàn)這不是一個普通的RAID5陣列，而是一個雙循環(huán)。重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是最新的。服務器數(shù)據(jù)恢復工程師推測RAID5陣列中一塊硬盤掉線時，運維人員沒有及時發(fā)現(xiàn)，沒有及時添加新的硬盤做rebuild。一段時間后又有一
塊硬盤掉線了，于是整個RAID不可用。所以還需要找出一塊舊的磁盤才能生成最新的數(shù)據(jù)。
5、北亞企安數(shù)據(jù)恢復工程師采用窮舉+校驗的方法進行分析：假設某個磁盤是掉線的，踢掉該磁盤后重組RAID，生成前面5GB的數(shù)據(jù)，然后只需要查看這個索引表的位圖的信息是否正確就可以判斷此RAID是否正確。如果正確那么生成此RAID的數(shù)據(jù)即可完成RAID的重組。
6、經過多次嘗試，最終找到正確的RAID并完成RAID的重組。經過用戶仔細驗證，確認數(shù)據(jù)有效，認可本次數(shù)據(jù)恢復結果。

審核編輯 黃宇