服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)某品牌存儲(chǔ)設(shè)備上有一組由10塊硬盤(pán)（9塊數(shù)據(jù)盤(pán)+1塊熱備盤(pán)）組建的raid5陣列，上層部署vmware exsi虛擬化平臺(tái)。

服務(wù)器故障：
raid5陣列中兩塊硬盤(pán)對(duì)應(yīng)的指示燈亮黃燈掉線。硬盤(pán)序列號(hào)無(wú)法讀取，通過(guò)SAS擴(kuò)展卡也無(wú)法讀取。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將存儲(chǔ)中所有磁盤(pán)標(biāo)記后取出。將掉線的其中一塊故障盤(pán)連接到外部的SAS擴(kuò)展卡上，加電后通過(guò)硬盤(pán)聲音判斷電機(jī)可以啟動(dòng)，但是磁頭沒(méi)有進(jìn)行尋道操作。硬件工程師將硬盤(pán)PCB分離下來(lái)清潔HDA組件氧化部分，清潔后故障依舊。和用戶方溝通并得到同意后，硬件工程師在無(wú)塵室將熱備盤(pán)的PCB替換到故障盤(pán)上，并將故障盤(pán)PCB上的ROM芯片替換到從熱備盤(pán)上取出的PCB上面。這時(shí)硬盤(pán)的電機(jī)起轉(zhuǎn)和磁頭尋道聲音正常，但是在尋道結(jié)束后，有明顯的敲盤(pán)聲音，基本上可以判斷磁頭損壞。和用戶方溝通后使用熱備盤(pán)中的磁頭替換故障盤(pán)上的磁頭，不幸的是這塊故障盤(pán)已經(jīng)無(wú)法識(shí)別，無(wú)法讀取數(shù)據(jù)。
再次和用戶方溝通后嘗試對(duì)另一塊故障盤(pán)進(jìn)行修復(fù)。和第一塊故障盤(pán)一樣，這塊故障盤(pán)的磁頭損壞，通過(guò)各種渠道找到相同型號(hào)的硬盤(pán)并更換磁頭。更換磁頭后這塊故障盤(pán)能夠被正常識(shí)別，于是將這塊故障盤(pán)所有扇區(qū)以只讀方式做完整鏡像。其他完好硬盤(pán)也以只讀方式做扇區(qū)級(jí)全盤(pán)鏡像。鏡像完成后將所有磁盤(pán)按照原樣還原到存儲(chǔ)設(shè)備中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始數(shù)據(jù)造成二次破壞。
2、判斷起始扇區(qū)。
所有硬盤(pán)鏡像完成后，使用工具打開(kāi)9塊數(shù)據(jù)盤(pán)，9塊盤(pán)的0扇區(qū)都有“55 AA”標(biāo)志。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

0x01C2H處顯示“05”，表示這是一個(gè)擴(kuò)展分區(qū)。從0扇區(qū)看這是一個(gè)不正常的MBR分區(qū)結(jié)構(gòu)。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

繼續(xù)往下找，在另外的2塊盤(pán)上找到了“55 AA”的標(biāo)志。其中一塊盤(pán)上是一個(gè)正常的MBR分區(qū)，其0x01C6處數(shù)值代表指向的下一個(gè)扇區(qū)為GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

另外一塊盤(pán)的0x01C6處數(shù)值表示指向下的一個(gè)扇區(qū)不是GPT的頭部。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

由此可以確定這2塊盤(pán)中其中一塊是第一塊盤(pán)，另外一塊盤(pán)可能是最后一塊盤(pán)。GPT分區(qū)所在扇區(qū)起始于172032扇區(qū)，因此初步確定LUN的起始扇區(qū)是172032扇區(qū)。
3、判斷條帶(stripe)大小。
條帶也稱塊，是RAID處理數(shù)據(jù)的基本單元。不同RAID的條帶大小各不相同。RAID5的1個(gè)條帶組中有1個(gè)校驗(yàn)區(qū)，1個(gè)校驗(yàn)區(qū)的大小等于1個(gè)條帶的大小。根據(jù)這個(gè)特征分析這個(gè)RAID5。如果對(duì)VMFS不熟悉，可以通過(guò)比較法確定條帶大小。如果某一條帶組中的校驗(yàn)區(qū)和該條帶組中的非校驗(yàn)區(qū)相差很明顯，通過(guò)工具查看并對(duì)比就可以找出條帶大小。北亞企安數(shù)據(jù)恢復(fù)工程師通過(guò)上述方法判斷出本案例中條帶大小是1024個(gè)扇區(qū)。
4、判斷RAID5陣列成員盤(pán)盤(pán)序。
按照1024扇區(qū)進(jìn)行分割，使一個(gè)記錄為一個(gè)條帶的大小，9塊盤(pán)跳到同一記錄283123。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

當(dāng)9塊盤(pán)都定位到同一位置時(shí)，通過(guò)對(duì)比可以判斷校驗(yàn)區(qū)的走向，繼而判斷整個(gè)RAID5的走向。將之前判斷出的第一塊盤(pán)放在第一個(gè)位置就可以判斷走向了。北亞企安數(shù)據(jù)恢復(fù)工程師通過(guò)上述方法判斷出本案例中raid5的走向和盤(pán)序。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

5、前面的步驟中已經(jīng)確定LUN的起始扇區(qū)是172032扇區(qū)。跳到172032扇區(qū)并觀察各硬盤(pán)的情況。如果172032扇區(qū)是LUN的起始扇區(qū)，那么這個(gè)扇區(qū)所屬條帶中的那塊盤(pán)應(yīng)該是校驗(yàn)區(qū)，但是此條帶中卻顯示另外一塊盤(pán)是檢驗(yàn)區(qū)。根據(jù)RAID5的左走向，172032扇區(qū)所屬條帶中的那塊盤(pán)的校驗(yàn)區(qū)應(yīng)該在172032-1024=171008扇區(qū)，即上一個(gè)條帶。跳轉(zhuǎn)到171008扇區(qū)，卻發(fā)現(xiàn)校驗(yàn)區(qū)為172032扇區(qū)所屬條帶顯示的另外一塊盤(pán)，因此可以確定LUN的起始扇區(qū)為171008扇區(qū)。
6、在工具中按照確定的盤(pán)序組織好磁盤(pán)并添加進(jìn)去，選擇RAID5，Stripe size 512KB，左異步。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

點(diǎn)擊Build重組raid5。由于數(shù)據(jù)從1024*8=8192個(gè)扇區(qū)開(kāi)始，若工具沒(méi)有跳轉(zhuǎn)到此扇區(qū)的功能，那么剛組好的RAID必須和一個(gè)文件再進(jìn)行一次重組操作。RAID的起始扇區(qū)選擇8192，這個(gè)文件可以任意選擇起始扇區(qū)和大小。

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)—Raid5數(shù)據(jù)恢復(fù)

7、移交數(shù)據(jù)。RAID5重組完成后，聯(lián)系用戶方驗(yàn)收數(shù)據(jù)。經(jīng)過(guò)驗(yàn)證，用戶方確認(rèn)數(shù)據(jù)沒(méi)有問(wèn)題。根據(jù)用戶方要求把數(shù)據(jù)移交到用戶方帶來(lái)的新盤(pán)上。

審核編輯 黃宇