服務器數據恢復環境：
某品牌P2000服務器，有一組由數塊硬盤組建的raid5磁盤陣列（有熱備盤），部署了VMWARE ESX虛擬化平臺，VMFS文件系統。

服務器故障：
服務器在正常運行中，raid5陣列有兩塊硬盤亮黃色故障燈。經用戶方工作人員初步檢測，亮黃色故障燈的硬盤出現物理故障，故障表現為：序列號無法讀取，通過SAS擴展卡無法識別硬盤。

服務器數據恢復過程：
1、將故障服務器上所有磁盤編號后取出，然后由硬件工程師將那2塊故障盤連接到SAS擴展卡上加電檢測，結果磁頭不尋道。硬件工程師將PCB分離，檢查硬盤HDA組件發現氧化的情況。清潔后再次加電依然無法尋道。于是硬件工程師在北亞企安的無塵工作室對故障硬盤進行開盤操作。
硬件工程師將檢測完好的備件盤開盤，拆取PCB替換掉故障盤的PCB，再將故障盤PCB上的ROM芯片拆掉替換到新的PCB上。再次將修復完成的故障硬盤加電檢測，這回可以正常起轉，磁頭尋道聲音正常，但是發出明顯的敲盤聲。由于熱備盤的磁頭與故障盤不匹配，于是另找同型號的磁頭替換故障盤的磁頭，這次硬盤可以正常識別。
將修復好的故障盤和其他完好的硬盤以只讀方式做全盤鏡像。鏡像完成后將所有磁盤按照編號還原到原服務器中，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、使用工具打開所有磁盤的鏡像文件，發現所有硬盤的0扇區都有“55 AA”標志。0x01C2H處表示該分區的類型，0x01C2H處顯示“05”意味著這是一個擴展分區。因此從0扇區看這是MBR分區結構異常。
繼續查找，分別在另外2塊磁盤（暫時稱為a盤和b盤）找到了“55 AA”的標志。其中a盤的查詢結果表示這是一個正常的MBR分區，其0x01C6處數值意味著指向的下一個扇區為GPT的頭部。

北亞企安數據恢復——raid5數據恢復

查看b盤的0x01C6處數值，但是下一個扇區明顯不是GPT的頭部。

北亞企安數據恢復——raid5數據恢復

由此可以初步判斷a盤是第一塊盤，b是最后一塊盤。GPT分區所在扇區起始于172032扇區，因此初步確定LUN的起始扇區是172032扇區。
3、對故障服務器raid5陣列進行分析，發現raid條帶大小為1024個扇區。按照1024扇區進行分割，使一個記錄為一個條帶的大小，所有盤跳到同一記錄283123。

北亞企安數據恢復——raid5數據恢復

當所有盤都定位到同一位置時，通過對比可以判斷校驗區的走向，從而判斷整個RAID5的走向。將判斷出是第一塊盤的a盤放在第一個位置，確定RAID5的走向和盤序。

北亞企安數據恢復——raid5數據恢復

4、跳到172032扇區對硬盤的使用情況進行觀察，正常情況下這個扇區所屬條帶中的那塊盤應該是校驗區，但實際情況中卻顯示校驗區為a盤。根據該raid左走向規律，172032扇區所屬條帶中的那塊盤的校驗區應該在172032-1024=171008扇區，即上一個條帶。跳轉到171008扇區，發現校驗區為172032扇區所屬條帶中的那塊盤。因此可以確定LUN的起始扇區為171008扇區。
按照確定的盤序重組raid。

北亞企安數據恢復——raid5數據恢復

點擊Build進行重組。組好raid后，由于數據從1024*8=8192個扇區開始，若工具沒有跳轉到此扇區的功能，那么剛組好的RAID必須和一個文件再進行一次Build重組操作。
重組后的raid5磁盤陣列：

北亞企安數據恢復——raid5數據恢復

5、RAID5磁盤陣列重建完成后由用戶方進行驗證，經過驗證用戶方確認數據完整有效。本次數據恢復工作完成。

審核編輯 黃宇