服務器數據恢復環境：
一臺ibm某型號服務器，5塊硬盤組建一組raid5磁盤陣列，redhat linux操作系統，上層部署有oracle數據庫。

服務器故障：
raid5陣列中兩塊硬盤離線，服務器崩潰。經過初檢發現故障服務器中的硬盤不存在物理故障，熱備盤未激活，無同步跡象。

服務器數據恢復過程：
1、將故障服務器中的所有磁盤編號后取出槽位，掛載至北亞企安數據備份平臺，以只讀方式做全盤鏡像備份，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤造成二次破壞。備份完成后將磁盤按照編號還原到原服務器中。對硬盤做鏡像過程中，發現除了2號盤有十幾個壞扇區外，其他硬盤均正常。
2、基于鏡像文件分析raid5結構，獲取到原陣列中的條帶大小、校驗方向、條帶規則以及meta區域等raid相關信息。

北亞企安數據恢復——raid5數據恢復

3、根據分析出來的raid相關信息虛擬重構raid5。重構完成后進行數據驗證，200M以上的最新壓縮包解壓無報錯。將raid5生成到一塊硬盤上，通過USB的方式接入到原服務器，然后通過linux SystemRescueCd啟動故障服務器并使用dd命令進行全盤回寫。
4、數據回寫完成后無法進入操作系統，報錯信息為：/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied。北亞企安數據恢復工程師使用SystemRescueCd重啟后進行檢查，發現文件的權限、時間、大小都有明顯錯誤。對根分區再次進行分析，定位出錯的/sbin/pidof/，確定出現錯誤的原因是2號盤有壞道。
5、通過其他盤針對2號盤的損壞區域進行xor補齊并重新校驗文件系統，依然出錯。數據恢復工程師只好再次檢查inode表，發現2號盤損壞區域有部分節點表現為（圖中的55 55 55部分）：

北亞企安數據恢復——raid5數據恢復

6、雖然節點中描述的uid還在，但大小、屬性和最初分配塊全部是錯誤的。通過日志確定原節點塊的節點信息并進行修正，重新dd根分區，執行“fsck -fn /dev/sda5/”命令進行檢測。報錯情況如下圖：

北亞企安數據恢復——raid5數據恢復

7、經過分析發現，原來3號盤最先離線，節點信息新舊交集導致有多個節點共用數據塊。北亞企安數據恢復工程師按節點所屬的文件進行區別，清除錯誤節點后再次執行“fsck -fn /dev/sda5”命令，依然有部分位于doc目錄下的節點報錯。由于不影響啟動，強行修復后重啟系統，系統正常，啟動數據庫正常。
8、經過用戶方工程師反復驗證，確認恢復數據完整有效。本次數據恢復工作完成。

審核編輯 黃宇