【服務(wù)器數(shù)據(jù)恢復(fù)】NTFS文件系統(tǒng)下雙循環(huán)riad5的數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)使用NTFS文件系統(tǒng)的服務(wù)器；
7塊硬盤組成了一組raid5磁盤陣列。

服務(wù)器故障&初檢：
raid5磁盤陣列磁盤故障離線導(dǎo)致服務(wù)器癱瘓。用戶在處理掉線磁盤時(shí)只添加新的硬盤rebuild，并沒有將掉線的3塊硬盤從陣列中拔掉。
硬件工程師對(duì)故障服務(wù)器中所有硬盤進(jìn)行了物理檢測(cè)，沒有發(fā)現(xiàn)硬盤物理故障，只好交由服務(wù)器數(shù)據(jù)恢復(fù)工程師對(duì)所有硬盤做全盤鏡像&分析。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、對(duì)所有硬盤鏡像備份后，服務(wù)器數(shù)據(jù)恢復(fù)工程師分析服務(wù)器raid結(jié)構(gòu)。故障服務(wù)器中的硬盤每512字節(jié)多加了一個(gè)8字節(jié)的校驗(yàn)，也就是說每扇區(qū)520字節(jié)。北亞數(shù)據(jù)恢復(fù)工程師編寫了一個(gè)小程序?qū)?字節(jié)的校驗(yàn)去掉，方便后續(xù)的數(shù)據(jù)恢復(fù)。
2、完成磁盤轉(zhuǎn)換后開始分析RAID的結(jié)構(gòu)。由于多了3塊離線盤（故障離線后沒有拔出），需要比較每塊磁盤。因?yàn)槠渲袝?huì)有兩塊磁盤前面的一部分相同，這兩塊前面部分相同的磁盤中有一個(gè)是舊盤，舊盤數(shù)據(jù)量沒有新盤多，可以排除舊盤。
3、由于故障服務(wù)器使用的是NTFS文件系統(tǒng)，使用MFT就可以找到RAID結(jié)構(gòu)。搞清楚RAID結(jié)構(gòu)后發(fā)現(xiàn)這不是一個(gè)普通的RAID5，而是一個(gè)雙循環(huán)，無法通過常規(guī)手段重組RAID。
4、通過其他方法重組RAID后發(fā)現(xiàn)數(shù)據(jù)不是新的。推測(cè)可能是RAID5掉線第一塊硬盤時(shí)用戶沒有及時(shí)發(fā)現(xiàn)，沒有及時(shí)添加新的硬盤做rebuild，服務(wù)器運(yùn)行一段時(shí)間后又有一塊硬盤掉線了，造成整個(gè)RAID不可用。
5、服務(wù)器數(shù)據(jù)恢復(fù)工程師使用窮舉+校驗(yàn)的方法進(jìn)行分析：假設(shè)某個(gè)磁盤掉線，踢掉該磁盤后重組RAID，不用生成全部的數(shù)據(jù)，只生成前面幾個(gè)G的數(shù)據(jù)，然后通過查看這個(gè)索引表的位圖信息是否正確就可以判斷此RAID是否正確。如果索引表的位圖信息正確，生成此RAID數(shù)據(jù)即可完成RAID的重組。
6、數(shù)據(jù)恢復(fù)完成后由用戶親自核檢，數(shù)據(jù)完整可用，本次數(shù)據(jù)恢復(fù)完成。

Tips：
1、服務(wù)器發(fā)生故障后，切忌對(duì)服務(wù)器進(jìn)行操作；也不要隨意取出硬盤，以免弄亂盤序。
2、如果需要取出硬盤，標(biāo)記好硬盤的順序之后再取出。
3、服務(wù)器陣列癱瘓后應(yīng)該立即斷電，不要做同步或強(qiáng)制上線操作，防止數(shù)據(jù)進(jìn)一步破壞。

審核編輯 黃昊宇