服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某品牌X3850服務(wù)器中有一組由數(shù)塊SAS硬盤(pán)組建的RAID5陣列，該陣列中有一塊盤(pán)是熱備盤(pán)。操作系統(tǒng)為linux redhat，上面跑著一個(gè)基于oracle數(shù)據(jù)庫(kù)的oa。

服務(wù)器故障：
服務(wù)器raid5陣列中有一塊硬盤(pán)離線，但是熱備盤(pán)沒(méi)有成功激活，之后另外一塊硬盤(pán)離線，RAID崩潰。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障服務(wù)器中所有硬盤(pán)標(biāo)記后取出，硬件工程師檢測(cè)后沒(méi)有發(fā)現(xiàn)存在硬件故障的硬盤(pán)。將所有硬盤(pán)以只讀方式進(jìn)行扇區(qū)級(jí)全盤(pán)鏡像，鏡像過(guò)程中發(fā)現(xiàn)較后掉線的那塊盤(pán)上存在少量壞扇區(qū)，其余磁盤(pán)均沒(méi)有發(fā)現(xiàn)無(wú)壞道。
2、基于鏡像文件分析所有磁盤(pán)底層數(shù)據(jù)，找到重組raid所需要的相關(guān)信息。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

3、根據(jù)上述獲取到的raid結(jié)構(gòu)相關(guān)信息（RAID級(jí)別，條帶規(guī)則，條帶大小，校驗(yàn)方向，META區(qū)域等）重組raid，重組完成后進(jìn)行數(shù)據(jù)驗(yàn)證，發(fā)現(xiàn)200M以上的最新壓縮包解壓正常，判斷該raid結(jié)構(gòu)信息沒(méi)有問(wèn)題。
4、按照該結(jié)構(gòu)生成RAID到一塊單硬盤(pán)上，打開(kāi)文件系統(tǒng)無(wú)明顯報(bào)錯(cuò)。
5、在確定備份沒(méi)有問(wèn)題后，經(jīng)用戶方授權(quán)，對(duì)原盤(pán)重建RAID。重建時(shí)已經(jīng)用全新硬盤(pán)更換發(fā)現(xiàn)壞道的后掉線的那塊盤(pán)。
6、將恢復(fù)好的單盤(pán)接入故障服務(wù)器，用linux SystemRescueCd啟動(dòng)故障服務(wù)器并通過(guò)dd命令進(jìn)行全盤(pán)回寫(xiě)。
7、回寫(xiě)完成后啟動(dòng)操作系統(tǒng)，無(wú)法進(jìn)入操作系統(tǒng)并且報(bào)錯(cuò)，報(bào)錯(cuò)信息為：/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied，懷疑該文件權(quán)限有問(wèn)題。用SystemRescueCd重啟后檢查，發(fā)現(xiàn)此文件時(shí)間，權(quán)限，大小均有明顯錯(cuò)誤，顯然節(jié)點(diǎn)損壞。
8、分析重組數(shù)據(jù)中的根分區(qū)，定位出錯(cuò)的/sbin/pidof，發(fā)現(xiàn)問(wèn)題是由于后掉線硬盤(pán)上的壞道導(dǎo)致的。
9、使用其他幾塊完好的硬盤(pán)針對(duì)后離線磁盤(pán)的損壞區(qū)域進(jìn)行xor補(bǔ)齊。補(bǔ)齊后重新校驗(yàn)文件系統(tǒng)，依然有錯(cuò)誤。再次檢查inode表，發(fā)現(xiàn)這塊盤(pán)損壞區(qū)域有部分節(jié)點(diǎn)表現(xiàn)異常。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

雖然節(jié)點(diǎn)中描述的uid還正常存在，但屬性、大小、最初的分配塊全部錯(cuò)誤。按照所有可能性進(jìn)行分析后，確定無(wú)法找回此損壞節(jié)點(diǎn)。只能希望能夠修復(fù)此節(jié)點(diǎn)，或復(fù)制一個(gè)相同的文件過(guò)來(lái)。
10、針對(duì)所有可能有錯(cuò)的文件，北亞企安數(shù)據(jù)恢復(fù)工程師通過(guò)日志確定原節(jié)點(diǎn)塊的節(jié)點(diǎn)信息，然后做修正。
11、修正后重新dd根分區(qū)，執(zhí)行fsck -fn /dev/sda5進(jìn)行檢測(cè)，依然報(bào)錯(cuò)。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

根據(jù)提示檢查發(fā)現(xiàn)在系統(tǒng)中發(fā)現(xiàn)有多個(gè)節(jié)點(diǎn)共用同樣的數(shù)據(jù)塊。按此提示分析底層，發(fā)現(xiàn)因?yàn)橛幸粔K盤(pán)很早掉線，所以存在節(jié)點(diǎn)信息的新舊交集。
12、按照節(jié)點(diǎn)所屬的文件進(jìn)行區(qū)別，清除錯(cuò)誤節(jié)點(diǎn)后，再次執(zhí)行fsck -fn /dev/sda5，依然有報(bào)錯(cuò)信息，但已經(jīng)很少。根據(jù)提示，發(fā)現(xiàn)這些節(jié)點(diǎn)多位于doc目錄下，不影響系統(tǒng)啟動(dòng)，于是執(zhí)行fsck -fy /dev/sda5強(qiáng)行修復(fù)。
13、修復(fù)后，重啟系統(tǒng)，成功進(jìn)入桌面。啟動(dòng)數(shù)據(jù)庫(kù)服務(wù)，啟動(dòng)應(yīng)用軟件，一切正常，無(wú)報(bào)錯(cuò)。用戶方檢測(cè)后，認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇