服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某品牌x3850 X5服務(wù)器，服務(wù)器上有一組由5塊硬盤組建的raid5陣列（包含一塊熱備盤），安裝linux操作系統(tǒng)，運行oracle數(shù)據(jù)庫。

服務(wù)器故障：
服務(wù)器上raid5陣列中兩塊硬盤由于未知故障離線，服務(wù)器數(shù)據(jù)丟失。北亞企安數(shù)據(jù)恢復(fù)中心安排服務(wù)器數(shù)據(jù)恢復(fù)工程師達到現(xiàn)場對故障服務(wù)器進行初檢，發(fā)現(xiàn)raid5陣列中有兩塊硬盤處于離線狀態(tài)；熱備盤未激活，經(jīng)過檢測沒有發(fā)現(xiàn)物理故障，無明顯同步表現(xiàn)。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器所有磁盤編號后取出槽位，以只讀方式進行扇區(qū)級全盤鏡像，鏡像后發(fā)現(xiàn)除了2號盤有10-20個壞扇區(qū)外其他硬盤均正常。鏡像完成后將所有磁盤按照編號還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數(shù)據(jù)，獲取raid5陣列的raid結(jié)構(gòu)信息如盤序、條帶大小、塊大小、循環(huán)方向、同異步以及meta區(qū)域等信息。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

3、根據(jù)分析獲取的raid信息虛擬重組raid5陣列。組好raid5陣列后驗證數(shù)據(jù)，發(fā)現(xiàn)200M以上的最新壓縮包解壓無報錯。按照該raid結(jié)構(gòu)將raid生成到一塊單盤上。將單盤接入原服務(wù)器并通過linux SystemRescueCd啟動服務(wù)器，使用dd命令進行全盤回寫。
4、數(shù)據(jù)回寫完成后無法進入操作系統(tǒng)，報錯信息為：/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied。北亞企安數(shù)據(jù)恢復(fù)工程師通過SystemRescueCd重啟后檢查，發(fā)現(xiàn)文件的權(quán)限、時間、大小都有明顯錯誤，對根分區(qū)再次分析，定位出錯的/sbin/pidof/，確定出問題的原因是2號盤有壞道。
5、使用其他盤對2號盤的損壞區(qū)域進行xor補齊并重新校驗文件系統(tǒng)，依然有錯誤。北亞企安數(shù)據(jù)恢復(fù)工程師再次對inode表進行檢查，發(fā)現(xiàn)2號盤損壞區(qū)域有部分節(jié)點表現(xiàn)異常。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

雖然節(jié)點中描述的uid還正常存在，但大小、屬性、最初的分配塊都是錯誤的。通過日志確定原節(jié)點塊的節(jié)點信息并進行修正，重新dd根分區(qū)，執(zhí)行fsck -fn /dev/sda5/檢測，結(jié)果報錯。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

6、經(jīng)過分析發(fā)現(xiàn)，3號盤先離線，節(jié)點信息新舊交集導(dǎo)致有多個節(jié)點共用數(shù)據(jù)塊，于是數(shù)據(jù)恢復(fù)工程師按節(jié)點所屬的文件進行區(qū)別。清除錯誤節(jié)點后，再次執(zhí)行fsck -fn /dev/sda5，依然有部分位于doc目錄下的節(jié)點報錯。由于不影響啟動所以強行修復(fù)后重啟系統(tǒng)，系統(tǒng)正常，啟動數(shù)據(jù)庫正常。
7、由用戶方工程師對服務(wù)器數(shù)據(jù)進行驗證，數(shù)據(jù)正常。

審核編輯 黃宇