服務器數(shù)據(jù)恢復環(huán)境&故障：
一臺服務器中有5塊硬盤，其中的4塊組建了一組RAID5陣列，剩下一塊盤作為熱備盤(Hot-Spare)使用。服務器操作系統(tǒng)為linux，應用系統(tǒng)為構架于oracle數(shù)據(jù)庫的一個oa。
raid5陣列中一塊盤離線，但熱備盤未自動激活rebuild。直到另外一塊盤離線，RAID崩潰。
由于oracle已經(jīng)不再對本案例中的oa系統(tǒng)提供后續(xù)支持，用戶方要求盡可能恢復數(shù)據(jù)和操作系統(tǒng)。經(jīng)過檢測發(fā)現(xiàn)熱備盤完全沒有啟用，硬盤無明顯物理故障，無明顯同步表現(xiàn)。

服務器數(shù)據(jù)恢復過程：
1、將故障服務器中所有硬盤做好標記后取出，以只讀方式將所有硬盤進行扇區(qū)級別完整鏡像，鏡像后發(fā)現(xiàn)后離線的硬盤有10-20個壞扇區(qū)，其余磁盤，均無壞道。鏡像完成后將所有硬盤根據(jù)標記按照原樣還原到原服務器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免后續(xù)操作對原始數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析raid結構，獲取到盤序、塊大小、backward parity(Adaptec)等raid結構相關信息。

北亞企安數(shù)據(jù)恢復—服務器數(shù)據(jù)恢復

3、驗證數(shù)據(jù)發(fā)現(xiàn)大小200M以上的壓縮包解壓無報錯，確定結構正確。
4、按照此結構虛擬重組RAID到一塊單硬盤上，打開文件系統(tǒng)無明顯報錯。
5、確定備份包安全的情況下，經(jīng)用戶方同意后，對原盤重建RAID（重建時已經(jīng)用全新硬盤更換發(fā)現(xiàn)壞扇區(qū)的硬盤）。將恢復好的單盤用USB方式接入故障服務器，再用linux SystemRescueCd啟動故障服務器，之后通過dd命令進行全盤回寫。
6、回寫后啟動操作系統(tǒng)。無法正常進入操作系統(tǒng)并且報錯。
懷疑報錯信息中提到的文件權限有問題。使用SystemRescueCd重啟后檢查，發(fā)現(xiàn)此文件時間，權限，大小均有明顯錯誤，顯然節(jié)點損壞。
7、重新分析重組數(shù)據(jù)中的根分區(qū)，定位出錯的目錄，發(fā)現(xiàn)問題是由硬盤壞道引起的。
使用其他數(shù)據(jù)盤盤，針對發(fā)現(xiàn)壞道的硬盤的損壞區(qū)域進行xor補齊。補齊后重新校驗文件系統(tǒng)，依然有錯誤。再次檢查inode表，發(fā)現(xiàn)壞道的硬盤上的損壞區(qū)域有部分節(jié)點表現(xiàn)下圖中的55 55 55部分。

北亞企安數(shù)據(jù)恢復—服務器數(shù)據(jù)恢復

8、雖然節(jié)點中描述的uid還正常存在，但屬性、大小、最初的分配塊全部是錯誤的。按照所有可能進行分析，確定無法找回此損壞節(jié)點。要么修復此節(jié)點，或者復制一個相同的文件過來。
對所有可能有錯的文件，通過日志確定原節(jié)點塊的節(jié)點信息，再做修正。
修正后重新dd根分區(qū)，執(zhí)行fsck命令進行檢測，依然報錯。

北亞企安數(shù)據(jù)恢復—服務器數(shù)據(jù)恢復

9、根據(jù)提示，在系統(tǒng)中發(fā)現(xiàn)有多個節(jié)點共用同樣的數(shù)據(jù)塊。按此提示進行底層分析，發(fā)現(xiàn)存在節(jié)點信息的新舊交集。
10、北亞企安數(shù)據(jù)恢復工程師按照節(jié)點所屬的文件進行區(qū)別。清除錯誤節(jié)點后，再次執(zhí)行fsck命令檢測，依然出現(xiàn)報錯，但數(shù)量已經(jīng)很少。根據(jù)提示，發(fā)現(xiàn)這些節(jié)點大多位于doc目錄下，不影響系統(tǒng)啟動，于是直接fsck命令強行修復。
修復完成后重啟系統(tǒng)，成功進入桌面。啟動數(shù)據(jù)庫服務和應用軟件，一切正常，無報錯。數(shù)據(jù)庫數(shù)據(jù)恢復工作完成。

審核編輯 黃宇