服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某品牌P2000服務(wù)器，有一組由數(shù)塊硬盤(pán)組建的raid5磁盤(pán)陣列（有熱備盤(pán)），部署了VMWARE ESX虛擬化平臺(tái)，VMFS文件系統(tǒng)。

服務(wù)器故障：
服務(wù)器在正常運(yùn)行中，raid5陣列有兩塊硬盤(pán)亮黃色故障燈。經(jīng)用戶(hù)方工作人員初步檢測(cè)，亮黃色故障燈的硬盤(pán)出現(xiàn)物理故障，故障表現(xiàn)為：序列號(hào)無(wú)法讀取，通過(guò)SAS擴(kuò)展卡無(wú)法識(shí)別硬盤(pán)。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障服務(wù)器上所有磁盤(pán)編號(hào)后取出，然后由硬件工程師將那2塊故障盤(pán)連接到SAS擴(kuò)展卡上加電檢測(cè)，結(jié)果磁頭不尋道。硬件工程師將PCB分離，檢查硬盤(pán)HDA組件發(fā)現(xiàn)氧化的情況。清潔后再次加電依然無(wú)法尋道。于是硬件工程師在北亞企安的無(wú)塵工作室對(duì)故障硬盤(pán)進(jìn)行開(kāi)盤(pán)操作。
硬件工程師將檢測(cè)完好的備件盤(pán)開(kāi)盤(pán)，拆取PCB替換掉故障盤(pán)的PCB，再將故障盤(pán)PCB上的ROM芯片拆掉替換到新的PCB上。再次將修復(fù)完成的故障硬盤(pán)加電檢測(cè)，這回可以正常起轉(zhuǎn)，磁頭尋道聲音正常，但是發(fā)出明顯的敲盤(pán)聲。由于熱備盤(pán)的磁頭與故障盤(pán)不匹配，于是另找同型號(hào)的磁頭替換故障盤(pán)的磁頭，這次硬盤(pán)可以正常識(shí)別。
將修復(fù)好的故障盤(pán)和其他完好的硬盤(pán)以只讀方式做全盤(pán)鏡像。鏡像完成后將所有磁盤(pán)按照編號(hào)還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、使用工具打開(kāi)所有磁盤(pán)的鏡像文件，發(fā)現(xiàn)所有硬盤(pán)的0扇區(qū)都有“55 AA”標(biāo)志。0x01C2H處表示該分區(qū)的類(lèi)型，0x01C2H處顯示“05”意味著這是一個(gè)擴(kuò)展分區(qū)。因此從0扇區(qū)看這是MBR分區(qū)結(jié)構(gòu)異常。
繼續(xù)查找，分別在另外2塊磁盤(pán)（暫時(shí)稱(chēng)為a盤(pán)和b盤(pán)）找到了“55 AA”的標(biāo)志。其中a盤(pán)的查詢(xún)結(jié)果表示這是一個(gè)正常的MBR分區(qū)，其0x01C6處數(shù)值意味著指向的下一個(gè)扇區(qū)為GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

查看b盤(pán)的0x01C6處數(shù)值，但是下一個(gè)扇區(qū)明顯不是GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

由此可以初步判斷a盤(pán)是第一塊盤(pán)，b是最后一塊盤(pán)。GPT分區(qū)所在扇區(qū)起始于172032扇區(qū)，因此初步確定LUN的起始扇區(qū)是172032扇區(qū)。
3、對(duì)故障服務(wù)器raid5陣列進(jìn)行分析，發(fā)現(xiàn)raid條帶大小為1024個(gè)扇區(qū)。按照1024扇區(qū)進(jìn)行分割，使一個(gè)記錄為一個(gè)條帶的大小，所有盤(pán)跳到同一記錄283123。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

當(dāng)所有盤(pán)都定位到同一位置時(shí)，通過(guò)對(duì)比可以判斷校驗(yàn)區(qū)的走向，從而判斷整個(gè)RAID5的走向。將判斷出是第一塊盤(pán)的a盤(pán)放在第一個(gè)位置，確定RAID5的走向和盤(pán)序。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

4、跳到172032扇區(qū)對(duì)硬盤(pán)的使用情況進(jìn)行觀察，正常情況下這個(gè)扇區(qū)所屬條帶中的那塊盤(pán)應(yīng)該是校驗(yàn)區(qū)，但實(shí)際情況中卻顯示校驗(yàn)區(qū)為a盤(pán)。根據(jù)該raid左走向規(guī)律，172032扇區(qū)所屬條帶中的那塊盤(pán)的校驗(yàn)區(qū)應(yīng)該在172032-1024=171008扇區(qū)，即上一個(gè)條帶。跳轉(zhuǎn)到171008扇區(qū)，發(fā)現(xiàn)校驗(yàn)區(qū)為172032扇區(qū)所屬條帶中的那塊盤(pán)。因此可以確定LUN的起始扇區(qū)為171008扇區(qū)。
按照確定的盤(pán)序重組raid。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

點(diǎn)擊Build進(jìn)行重組。組好raid后，由于數(shù)據(jù)從1024*8=8192個(gè)扇區(qū)開(kāi)始，若工具沒(méi)有跳轉(zhuǎn)到此扇區(qū)的功能，那么剛組好的RAID必須和一個(gè)文件再進(jìn)行一次Build重組操作。
重組后的raid5磁盤(pán)陣列：

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

5、RAID5磁盤(pán)陣列重建完成后由用戶(hù)方進(jìn)行驗(yàn)證，經(jīng)過(guò)驗(yàn)證用戶(hù)方確認(rèn)數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇