服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)環(huán)境：
EMC CX4-480存儲(chǔ)，該存儲(chǔ)中有10塊硬盤(pán)，其中有3塊磁盤(pán)為掉線磁盤(pán)，另外7塊磁盤(pán)組成一組RAID5磁盤(pán)陣列。運(yùn)維人員在處理掉線磁盤(pán)時(shí)只添加新的硬盤(pán)做rebuild，并沒(méi)有將掉線的硬盤(pán)拔掉，所以存儲(chǔ)中有3塊掉線的磁盤(pán)。

服務(wù)器存儲(chǔ)故障：
硬盤(pán)出現(xiàn)故障離線導(dǎo)致存儲(chǔ)中raid5陣列癱瘓。運(yùn)維人員聯(lián)系我們數(shù)據(jù)恢復(fù)中心尋求幫助。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、經(jīng)過(guò)和運(yùn)維人員溝通，服務(wù)器數(shù)據(jù)恢復(fù)工程師初步推測(cè)陣列癱瘓的原因是硬盤(pán)出現(xiàn)硬件故障。將故障存儲(chǔ)中所有磁盤(pán)編號(hào)后取出，由硬件工程師對(duì)所有磁盤(pán)進(jìn)行物理故障檢測(cè)。經(jīng)過(guò)逐一排查并沒(méi)有發(fā)現(xiàn)有硬盤(pán)存在物理故障。于是數(shù)據(jù)恢復(fù)工程師將所有硬盤(pán)以只讀方式做全盤(pán)鏡像，鏡像完成后按照編號(hào)將所有磁盤(pán)還原到原存儲(chǔ)中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析raid結(jié)構(gòu)。經(jīng)過(guò)分析發(fā)現(xiàn)該服務(wù)器存儲(chǔ)中的硬盤(pán)每512字節(jié)多加了一個(gè)8字節(jié)的校驗(yàn)，也就是每扇區(qū)520字節(jié)。這種情況下分析raid結(jié)構(gòu)十分不方便，于是北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)了一個(gè)小程序?qū)?字節(jié)的校驗(yàn)去掉以方便后面的工作。
3、將所有磁盤(pán)轉(zhuǎn)換完成后，數(shù)據(jù)恢復(fù)工程師重新開(kāi)始分析RAID結(jié)構(gòu)。由于存儲(chǔ)中有3塊掉線的舊盤(pán)，需將這3塊盤(pán)分別與其他盤(pán)進(jìn)行比較。經(jīng)過(guò)比較，會(huì)發(fā)現(xiàn)這3塊磁盤(pán)中每一塊盤(pán)都會(huì)和另外7塊盤(pán)中的一塊盤(pán)前面的一部分相同，而這兩塊盤(pán)中會(huì)有一個(gè)是舊的（舊的數(shù)據(jù)量沒(méi)有新盤(pán)多），這樣的磁盤(pán)會(huì)有3對(duì)。通過(guò)這種方式排除舊的磁盤(pán)。
4、由于上層采用的NTFS文件系統(tǒng)，使用MFT就可以很容易找到RAID結(jié)構(gòu)。找到raid結(jié)構(gòu)后發(fā)現(xiàn)這不是一個(gè)普通的RAID5陣列，而是一個(gè)雙循環(huán)。重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是最新的。服務(wù)器數(shù)據(jù)恢復(fù)工程師推測(cè)RAID5陣列中一塊硬盤(pán)掉線時(shí)，運(yùn)維人員沒(méi)有及時(shí)發(fā)現(xiàn)，沒(méi)有及時(shí)添加新的硬盤(pán)做rebuild。一段時(shí)間后又有一
塊硬盤(pán)掉線了，于是整個(gè)RAID不可用。所以還需要找出一塊舊的磁盤(pán)才能生成最新的數(shù)據(jù)。
5、北亞企安數(shù)據(jù)恢復(fù)工程師采用窮舉+校驗(yàn)的方法進(jìn)行分析：假設(shè)某個(gè)磁盤(pán)是掉線的，踢掉該磁盤(pán)后重組RAID，生成前面5GB的數(shù)據(jù)，然后只需要查看這個(gè)索引表的位圖的信息是否正確就可以判斷此RAID是否正確。如果正確那么生成此RAID的數(shù)據(jù)即可完成RAID的重組。
6、經(jīng)過(guò)多次嘗試，最終找到正確的RAID并完成RAID的重組。經(jīng)過(guò)用戶仔細(xì)驗(yàn)證，確認(rèn)數(shù)據(jù)有效，認(rèn)可本次數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇