服務(wù)器數(shù)據(jù)恢復(fù)—RAID5多塊磁盤掉線導(dǎo)致崩潰的數(shù)據(jù)恢復(fù)案例

服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
某公司的一臺(tái)服務(wù)器中的raid5磁盤陣列有兩塊磁盤先后掉線，服務(wù)器崩潰。故障服務(wù)器的操作系統(tǒng)為linux，操作系統(tǒng)部署了oa，數(shù)據(jù)庫(kù)為oracle。oracle數(shù)據(jù)庫(kù)已經(jīng)不再對(duì)該oa系統(tǒng)提供后續(xù)支持，用戶要求盡可能恢復(fù)操作系統(tǒng)和數(shù)據(jù)。
經(jīng)過(guò)北亞企安數(shù)據(jù)恢復(fù)工程師檢測(cè)，發(fā)現(xiàn)熱備盤完全無(wú)啟用，所有硬盤不存在明顯物理故障，無(wú)明顯同步的表現(xiàn)。

數(shù)據(jù)恢復(fù)及操作系統(tǒng)還原過(guò)程：
1、對(duì)故障服務(wù)器中所有硬盤以只讀方式進(jìn)行完整鏡像，鏡像過(guò)程中后發(fā)現(xiàn)raid中2號(hào)盤有少量壞扇區(qū)，其余磁盤均無(wú)壞道。
2、基于鏡像文件分析raid結(jié)構(gòu)，獲取到條帶規(guī)則、條帶大小、校驗(yàn)方向、META區(qū)域等信息。raid最佳結(jié)構(gòu)為0,1,2,3盤序，缺3號(hào)盤，塊大小512扇區(qū)，backward parity(Adaptec)。

北亞企安數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

3、按照上面獲取到的raid信息重組raid后驗(yàn)證數(shù)據(jù)，發(fā)現(xiàn)200M以上的最新壓縮包解壓無(wú)報(bào)錯(cuò)，確定raid結(jié)構(gòu)正確。
4、按照此結(jié)構(gòu)生成RAID到一塊單硬盤上，打開(kāi)文件系統(tǒng)無(wú)明顯報(bào)錯(cuò)。
5、經(jīng)客戶同意后，用全新硬盤更換損壞的2號(hào)盤，然后使用原盤重建RAID。將恢復(fù)好的單盤接入故障服務(wù)器，再用linux SystemRescueCd啟動(dòng)故障服務(wù)器，之后通過(guò)dd命令進(jìn)行全盤回寫。
6、回寫后啟動(dòng)操作系統(tǒng)。如果正常進(jìn)入系統(tǒng)，則所有工作就完成了。不巧的是，dd所有數(shù)據(jù)后，啟動(dòng)操作系統(tǒng)，無(wú)法進(jìn)入，報(bào)錯(cuò)信息為：“/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied”。
7、懷疑此文件權(quán)限有問(wèn)題，用SystemRescueCd重啟后檢查，此文件時(shí)間，權(quán)限，大小均有明顯錯(cuò)誤，顯然節(jié)點(diǎn)損壞。
8、重新分析重組數(shù)據(jù)中的根分區(qū)，定位出錯(cuò)的/sbin/pidof，發(fā)現(xiàn)問(wèn)題是由raid中的2號(hào)盤壞道引起。
9、使用0號(hào)，1號(hào)，3號(hào)這3塊盤對(duì)2號(hào)盤的損壞區(qū)域進(jìn)行xor補(bǔ)齊。補(bǔ)齊后重新校驗(yàn)文件系統(tǒng)，依然有錯(cuò)誤。再次檢查inode表，發(fā)現(xiàn)2號(hào)盤損壞區(qū)域有部分節(jié)點(diǎn)表現(xiàn)為下圖中55 55 55部分。

北亞企安數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

很明顯，雖然節(jié)點(diǎn)中描述的uid還正常存在，但屬性、大小、最初的分配塊全部是錯(cuò)誤的?；谒锌赡苓M(jìn)行分析，確定無(wú)任何辦法找回此損壞節(jié)點(diǎn)。只能希望修復(fù)此節(jié)點(diǎn)，或復(fù)制一個(gè)相同的文件過(guò)來(lái)。
10、針對(duì)所有可能有錯(cuò)的文件，均通過(guò)日志確定原節(jié)點(diǎn)塊的節(jié)點(diǎn)信息，再做修正。
11、修正后重新dd根分區(qū)，執(zhí)行fsck -fn /dev/sda5進(jìn)行檢測(cè)，依然有報(bào)錯(cuò)。

北亞企安數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

12、根據(jù)提示，在系統(tǒng)中發(fā)現(xiàn)有多個(gè)節(jié)點(diǎn)共用同樣的數(shù)據(jù)塊。按此提示分析底層，發(fā)現(xiàn)由于3號(hào)盤很早就掉線，所以存在節(jié)點(diǎn)信息的新舊交集。
13、按節(jié)點(diǎn)所屬的文件進(jìn)行區(qū)別，清除錯(cuò)誤節(jié)點(diǎn)后，再次執(zhí)行fsck -fn /dev/sda5，依然有少量報(bào)錯(cuò)信息。提示中信息表示這些節(jié)點(diǎn)多位于doc目錄下，不影響系統(tǒng)啟動(dòng)，于是直接執(zhí)行fsck -fy /dev/sda5進(jìn)行強(qiáng)行修復(fù)。
14、修復(fù)后，重啟系統(tǒng)，成功進(jìn)入系統(tǒng)桌面。啟動(dòng)oracle數(shù)據(jù)庫(kù)服務(wù)和OA應(yīng)用軟件，一切正常，無(wú)報(bào)錯(cuò)。
15、經(jīng)過(guò)用戶檢測(cè)后，確認(rèn)恢復(fù)數(shù)據(jù)完整有效，認(rèn)可數(shù)據(jù)恢復(fù)結(jié)果，本次數(shù)據(jù)恢復(fù)工作結(jié)束。

審核編輯 黃宇