服務器數(shù)據(jù)恢復環(huán)境&故障：
一臺服務器上共有10塊硬盤，其中的7塊硬盤組建了一組raid5磁盤陣列，另外3塊硬盤是沒有拔掉的掉線磁盤。
服務器raid5陣列中硬盤出現(xiàn)物理故障掉線，服務器崩潰。

服務器數(shù)據(jù)恢復過程：
1、將故障服務器中所有硬盤編號后取出，硬件工程師經(jīng)過逐一檢測后沒有發(fā)現(xiàn)有硬盤存在物理故障。
2、將所有磁盤以只讀方式進行完整鏡像，鏡像完成后將所有磁盤根據(jù)編號按照原樣還原到原服務器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
3、基于鏡像文件分析所有硬盤的底層數(shù)據(jù)。經(jīng)過分析發(fā)現(xiàn)故障服務器中所有硬盤每512字節(jié)加了一個8字節(jié)的校驗，即每扇區(qū)520字節(jié)。北亞企安數(shù)據(jù)恢復工程師編寫一個小程序將8字節(jié)的校驗去掉，方便后續(xù)數(shù)據(jù)恢復。
4、由于服務器中有3塊沒有及時拔掉的掉線硬盤，所以需要比較每塊磁盤。其中會有兩塊磁盤前面的一部分數(shù)據(jù)相同，舊的硬盤數(shù)據(jù)量沒有新的硬盤多。這樣的磁盤有3對，通過這個思路排除舊的磁盤，即可以排除所有舊的磁盤。
5、由于上層采用的是NTFS文件系統(tǒng)，使用MFT就可以搞清楚RAID結構。經(jīng)過分析發(fā)現(xiàn)這不是一個普通的RAID5，而是一個雙循環(huán)。重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是最新的。服務器數(shù)據(jù)恢復工程師初步判斷當RAID 5陣列中掉線一塊硬盤后，管理員沒有及時發(fā)現(xiàn)并添加新的硬盤做rebuild。運行一段時間后又有一塊硬盤掉線，整個RAID不可用。所以需要找出一塊舊的磁盤才能生成最新的數(shù)據(jù)。
6、服務器數(shù)據(jù)恢復工程師采用窮舉加校驗的方法進行分析。假設某個磁盤是掉線的，踢掉磁盤后重組RAID，但不是生成全部的數(shù)據(jù)，而是只生成前面幾G的數(shù)據(jù)，然后查看這個索引表的位圖的信息是否正確，就可以判斷此RAID是否正確。
7、如果RAID正確，生成此RAID的數(shù)據(jù)即可完成RAID的重組。

審核編輯 黃宇