服務器數據恢復環境&故障：

某品牌服務器，搭建raid5磁盤陣列。

用戶誤操作刪除服務器上的卷。

經過檢測發現服務器不存在物理故障，可以從raid5磁盤陣列層面進行數據恢復。

服務器數據恢復過程：

1、對故障服務器所有硬盤以只讀方式做鏡像備份，后續的數據分析和數據恢復操作都基于鏡像文件進行， 避免對原始數據造成二次破壞。

2、分析超級塊信息，獲取到raid5陣列的邏輯起始塊位置號，記錄raid5陣列起始塊位置。

3、去除raid5陣列的校驗盤。經過分析發現raid5陣列數據塊大小為8扇區，每個數據塊后有一個附加的大小為64字節的數據塊描述信息。所以在底層找到0X10位置為FFFF的就是要找的校驗塊。

北亞數據恢復——服務器RAID5數據恢復

4、分析aggr盤序。已知raid5陣列中的數據塊大小為8扇區，因此按照每塊磁盤的8號扇區進行盤序分析，確定每塊磁盤各自歸屬的組，還原磁盤在各自的組內的排序。

5、分析raid磁盤陣列節點信息。服務器的節點分布在不同的數據塊內并組成節點組，前面已經分析出每64字節記錄一些系統數據，之后用192字節為一項來記錄各個文件節點。文件節點根據用戶級別可分為兩類：“MBFP”系統文件節點和“MBFI”用戶文件節點，在恢復數據時一般只取MBFI節點組即可。

北亞數據恢復——服務器RAID5數據恢復

*頭部信息64字節(此頭部為數據文件的節點文件塊頭部，大小為64字節)

*“MBFP”為元文件的節點標志，“MBFI”為用戶文件的節點標志

6、根據更新序列值獲取到最新節點。解析節點中節點類型、邏輯塊號、文件數量、文件大小、所占塊數量及數據指針。獲取節點在節點文件中的邏輯塊號，從0開始計數。

7、獲取目錄項，并根據其節點編號，找到對應節點。

北亞數據恢復——服務器RAID5數據恢復

8、根據分析獲取到的raid陣列信息重組raid5陣列，北亞數據恢復工程師編寫小程序提取服務器內的數據。

服務器數據驗證：

北亞數據恢復工程師在服務器上搭建了與原始服務器相同的環境，在上層應用內驗證數據無誤后交付給用戶，由用戶親自驗證，經過用戶反復驗證后確認數據完整可用。

審核編輯：湯梓紅