服務(wù)器數(shù)據(jù)恢復環(huán)境：
一臺IBM某型號服務(wù)器，4塊SAS磁盤組建了一組RAID5磁盤陣列。服務(wù)器安裝的windows server操作系統(tǒng)，上面運行了一個Oracle單節(jié)點，數(shù)據(jù)存儲為文件系統(tǒng)，無歸檔。該oracle數(shù)據(jù)庫的數(shù)據(jù)量不大，只有一個用戶，使用默認的users表空間，users空間下只有一個不大的數(shù)據(jù)文件。

服務(wù)器故障：
由于服務(wù)器超負荷運行，RAID5磁盤陣列出現(xiàn)問題。為了保證服務(wù)器能正常穩(wěn)定運行，工作人員做了重建RAID的操作，在重建RAID過程中由于RAID中的一塊磁盤出現(xiàn)故障，RAID初始化中止，少量數(shù)據(jù)被同步而破壞，但是RAID5磁盤陣列已經(jīng)可以訪問。
服務(wù)器操作系統(tǒng)雖然出現(xiàn)錯誤，但還能正常啟動。oracle數(shù)據(jù)庫所在D盤分區(qū)報錯無法打開，工作人員做了chkdsk后能正常打開D盤分區(qū)，但oracle數(shù)據(jù)庫無法啟動。工作人員在D盤上重裝了oracle數(shù)據(jù)庫并導入了以前備份的dmp文件，但數(shù)據(jù)和出故障前的oracle數(shù)據(jù)庫數(shù)據(jù)相差太多。

服務(wù)器數(shù)據(jù)恢復過程：
1、將故障服務(wù)器中所有磁盤編號后取出，以只讀方式進行全盤鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析RAID。因為重建RAID會給數(shù)據(jù)造成嚴重的破壞，但經(jīng)過對底層數(shù)據(jù)的分析發(fā)現(xiàn)重建的RAID的塊大小、盤序都和原來的RAID一致。在初始化過程中僅同步了前面部分的少量數(shù)據(jù)，RAID數(shù)據(jù)損壞不大，數(shù)據(jù)庫還沒被破壞。
3、Chkdsk并不會破壞用戶數(shù)據(jù)區(qū)，chkdsk只對文件系統(tǒng)元數(shù)據(jù)區(qū)進行修改。執(zhí)行chkdsk操作后oracle數(shù)據(jù)庫文件沒有被破壞，最多只是文件的MFT或目錄項被破壞。真正對數(shù)據(jù)破壞嚴重的操作是重裝Oracle數(shù)據(jù)庫和導入dmp文件，這一系列操作不僅對文件系統(tǒng)元數(shù)據(jù)區(qū)造成了破壞，還將用戶數(shù)據(jù)區(qū)進行了覆蓋。
4、基于鏡像文件分析D盤的NTFS文件系統(tǒng)，發(fā)現(xiàn)所有原oracle數(shù)據(jù)文件的MFT均被覆蓋，NTFS日志也被輪回覆蓋，從NTFS元數(shù)據(jù)區(qū)找不到可利用信息。數(shù)據(jù)恢復工程師只能使用北亞企安自主研發(fā)的Oracle恢復程序?qū)φ麄€D盤分區(qū)進行恢復。
5、經(jīng)過程序的掃描，發(fā)現(xiàn)Oracle實例為ANSORA，掃描出一個原始完整的控制文件和一個原始完整的undotbs表空間數(shù)據(jù)文件。重要的system和users表空間數(shù)據(jù)文件都被不同程度的破壞：其中system表空間的數(shù)據(jù)文件僅剩中后部的十多MB，原始文件應(yīng)該約有幾百MB；users表空間的數(shù)據(jù)文件有部分被覆蓋，僅剩幾
MB。提取出找到的數(shù)據(jù)，然后對損壞嚴重的數(shù)據(jù)庫進行修復。
6、由于system表空間不可用，無法得到數(shù)據(jù)字典。經(jīng)過溝通，用戶方確認了有重要的三張表，從imp回去的數(shù)據(jù)庫中獲取到這三張表的結(jié)構(gòu)，再從恢復users表空間的數(shù)據(jù)文件中找到對應(yīng)的segment。但有一張表無法對應(yīng)上，再次溝通得知這一張表有過更改字段的操作，北亞企安數(shù)據(jù)恢復工程師只能重新構(gòu)建新的表結(jié)構(gòu)對應(yīng)上users表空間數(shù)據(jù)文件中segment，然后通過dul工具提取這三張表的數(shù)據(jù)。
7、提取完成數(shù)據(jù)后由用戶方工程師進行驗證，經(jīng)過反復驗證，用戶方工程師確認恢復出來的數(shù)據(jù)有效。本次數(shù)據(jù)恢復工作完成。

審核編輯 黃宇