服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
一臺(tái)服務(wù)器上共有10塊硬盤，其中的7塊硬盤組建了一組raid5磁盤陣列，另外3塊硬盤是沒(méi)有拔掉的掉線磁盤。
服務(wù)器raid5陣列中硬盤出現(xiàn)物理故障掉線，服務(wù)器崩潰。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障服務(wù)器中所有硬盤編號(hào)后取出，硬件工程師經(jīng)過(guò)逐一檢測(cè)后沒(méi)有發(fā)現(xiàn)有硬盤存在物理故障。
2、將所有磁盤以只讀方式進(jìn)行完整鏡像，鏡像完成后將所有磁盤根據(jù)編號(hào)按照原樣還原到原服務(wù)器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
3、基于鏡像文件分析所有硬盤的底層數(shù)據(jù)。經(jīng)過(guò)分析發(fā)現(xiàn)故障服務(wù)器中所有硬盤每512字節(jié)加了一個(gè)8字節(jié)的校驗(yàn)，即每扇區(qū)520字節(jié)。北亞企安數(shù)據(jù)恢復(fù)工程師編寫一個(gè)小程序?qū)?字節(jié)的校驗(yàn)去掉，方便后續(xù)數(shù)據(jù)恢復(fù)。
4、由于服務(wù)器中有3塊沒(méi)有及時(shí)拔掉的掉線硬盤，所以需要比較每塊磁盤。其中會(huì)有兩塊磁盤前面的一部分?jǐn)?shù)據(jù)相同，舊的硬盤數(shù)據(jù)量沒(méi)有新的硬盤多。這樣的磁盤有3對(duì)，通過(guò)這個(gè)思路排除舊的磁盤，即可以排除所有舊的磁盤。
5、由于上層采用的是NTFS文件系統(tǒng)，使用MFT就可以搞清楚RAID結(jié)構(gòu)。經(jīng)過(guò)分析發(fā)現(xiàn)這不是一個(gè)普通的RAID5，而是一個(gè)雙循環(huán)。重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是最新的。服務(wù)器數(shù)據(jù)恢復(fù)工程師初步判斷當(dāng)RAID 5陣列中掉線一塊硬盤后，管理員沒(méi)有及時(shí)發(fā)現(xiàn)并添加新的硬盤做rebuild。運(yùn)行一段時(shí)間后又有一塊硬盤掉線，整個(gè)RAID不可用。所以需要找出一塊舊的磁盤才能生成最新的數(shù)據(jù)。
6、服務(wù)器數(shù)據(jù)恢復(fù)工程師采用窮舉加校驗(yàn)的方法進(jìn)行分析。假設(shè)某個(gè)磁盤是掉線的，踢掉磁盤后重組RAID，但不是生成全部的數(shù)據(jù)，而是只生成前面幾G的數(shù)據(jù)，然后查看這個(gè)索引表的位圖的信息是否正確，就可以判斷此RAID是否正確。
7、如果RAID正確，生成此RAID的數(shù)據(jù)即可完成RAID的重組。

審核編輯 黃宇