服務器數(shù)據(jù)恢復環(huán)境：
某品牌P2000服務器，有一組由數(shù)塊硬盤組建的raid5磁盤陣列（有熱備盤），部署了VMWARE ESX虛擬化平臺，VMFS文件系統(tǒng)。

服務器故障：
服務器在正常運行中，raid5陣列有兩塊硬盤亮黃色故障燈。經(jīng)用戶方工作人員初步檢測，亮黃色故障燈的硬盤出現(xiàn)物理故障，故障表現(xiàn)為：序列號無法讀取，通過SAS擴展卡無法識別硬盤。

服務器數(shù)據(jù)恢復過程：
1、將故障服務器上所有磁盤編號后取出，然后由硬件工程師將那2塊故障盤連接到SAS擴展卡上加電檢測，結(jié)果磁頭不尋道。硬件工程師將PCB分離，檢查硬盤HDA組件發(fā)現(xiàn)氧化的情況。清潔后再次加電依然無法尋道。于是硬件工程師在北亞企安的無塵工作室對故障硬盤進行開盤操作。
硬件工程師將檢測完好的備件盤開盤，拆取PCB替換掉故障盤的PCB，再將故障盤PCB上的ROM芯片拆掉替換到新的PCB上。再次將修復完成的故障硬盤加電檢測，這回可以正常起轉(zhuǎn)，磁頭尋道聲音正常，但是發(fā)出明顯的敲盤聲。由于熱備盤的磁頭與故障盤不匹配，于是另找同型號的磁頭替換故障盤的磁頭，這次硬盤可以正常識別。
將修復好的故障盤和其他完好的硬盤以只讀方式做全盤鏡像。鏡像完成后將所有磁盤按照編號還原到原服務器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、使用工具打開所有磁盤的鏡像文件，發(fā)現(xiàn)所有硬盤的0扇區(qū)都有“55 AA”標志。0x01C2H處表示該分區(qū)的類型，0x01C2H處顯示“05”意味著這是一個擴展分區(qū)。因此從0扇區(qū)看這是MBR分區(qū)結(jié)構(gòu)異常。
繼續(xù)查找，分別在另外2塊磁盤（暫時稱為a盤和b盤）找到了“55 AA”的標志。其中a盤的查詢結(jié)果表示這是一個正常的MBR分區(qū)，其0x01C6處數(shù)值意味著指向的下一個扇區(qū)為GPT的頭部。

北亞企安數(shù)據(jù)恢復——raid5數(shù)據(jù)恢復

查看b盤的0x01C6處數(shù)值，但是下一個扇區(qū)明顯不是GPT的頭部。

北亞企安數(shù)據(jù)恢復——raid5數(shù)據(jù)恢復

由此可以初步判斷a盤是第一塊盤，b是最后一塊盤。GPT分區(qū)所在扇區(qū)起始于172032扇區(qū)，因此初步確定LUN的起始扇區(qū)是172032扇區(qū)。
3、對故障服務器raid5陣列進行分析，發(fā)現(xiàn)raid條帶大小為1024個扇區(qū)。按照1024扇區(qū)進行分割，使一個記錄為一個條帶的大小，所有盤跳到同一記錄283123。

北亞企安數(shù)據(jù)恢復——raid5數(shù)據(jù)恢復

當所有盤都定位到同一位置時，通過對比可以判斷校驗區(qū)的走向，從而判斷整個RAID5的走向。將判斷出是第一塊盤的a盤放在第一個位置，確定RAID5的走向和盤序。

北亞企安數(shù)據(jù)恢復——raid5數(shù)據(jù)恢復

4、跳到172032扇區(qū)對硬盤的使用情況進行觀察，正常情況下這個扇區(qū)所屬條帶中的那塊盤應該是校驗區(qū)，但實際情況中卻顯示校驗區(qū)為a盤。根據(jù)該raid左走向規(guī)律，172032扇區(qū)所屬條帶中的那塊盤的校驗區(qū)應該在172032-1024=171008扇區(qū)，即上一個條帶。跳轉(zhuǎn)到171008扇區(qū)，發(fā)現(xiàn)校驗區(qū)為172032扇區(qū)所屬條帶中的那塊盤。因此可以確定LUN的起始扇區(qū)為171008扇區(qū)。
按照確定的盤序重組raid。

北亞企安數(shù)據(jù)恢復——raid5數(shù)據(jù)恢復

點擊Build進行重組。組好raid后，由于數(shù)據(jù)從1024*8=8192個扇區(qū)開始，若工具沒有跳轉(zhuǎn)到此扇區(qū)的功能，那么剛組好的RAID必須和一個文件再進行一次Build重組操作。
重組后的raid5磁盤陣列：

北亞企安數(shù)據(jù)恢復——raid5數(shù)據(jù)恢復

5、RAID5磁盤陣列重建完成后由用戶方進行驗證，經(jīng)過驗證用戶方確認數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復工作完成。

審核編輯 黃宇