服務器數據恢復環境&故障：
一臺ibm x3850服務器，有一組由5塊硬盤組建的raid5磁盤陣列，上層是Redhat Linux操作系統，部署了一個oracle數據庫。
raid5陣列中2塊硬盤離線，陣列崩潰。經過檢測發現該raid中的熱備盤未激活，硬盤無物理故障，無明顯同步表現。

服務器數據恢復方案：
1、關閉服務器，將所有磁盤標記后取出槽位。由硬件工程師檢測是否有硬盤存在硬件故障，對存在硬件故障的硬盤進行處理。將所有磁盤以只讀方式進行扇區級全盤鏡像，鏡像完成后將所有磁盤按照標記還原到原服務器中，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、基于鏡像文件分析故障raid結構，得到原陣列中的盤序、條帶大小、校驗方向、條帶規則以及meta區域等重組raid所必需的信息。
3、根據分析獲取到的raid信息重組raid5陣列，并進行文件系統解釋，對重組raid的結構做正確性檢測，確認數據無誤后回遷數據。

服務器數據恢復方案實施過程：
1、硬件工程師檢測后發現所有硬盤均不存在硬件故障，讀寫正常。在對所有硬盤做鏡像過程中，發現只有一塊硬盤有10-20個壞扇區，其他硬盤均正常。
2、基于鏡像文件分析原raid結構。

北亞企安數據恢復—raid5數據恢復

3、根據分析獲取到的raid結構相關信息重組raid。重組raid后驗證數據，發現200M以上的壓縮包解壓無報錯。按照這一結構將raid生成到一塊硬盤上，通過USB將該硬盤接到原服務器，通過linux SystemRescueCd啟動故障服務器后使用dd命令進行全盤回寫。
4、數據回寫完成后無法進入操作系統，報錯信息為：/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied。工程師使用SystemRescueCd重啟后檢查發現文件的權限、時間、大小都有明顯錯誤，對根分區再次分析，定位出錯的/sbin/pidof/，發現報錯原因是其中一塊硬盤存在壞道。
5、通過其他盤針對存在壞道硬盤的損壞區域進行xor補齊并重新校驗文件系統，依然有錯誤。工程師再次檢查inode表，發現存在壞道硬盤的損壞區域有部分節點表現為下圖中的55 55 55部分。

北亞企安數據恢復—raid5數據恢復

雖然節點中描述的uid正常存在，但大小、屬性、最初的分配塊全部是錯誤的。
6、通過日志確定原節點塊的節點信息后進行修正，重新dd根分區，執行fsck -fn /dev/sda5/檢測，報錯情況如下圖。

北亞企安數據恢復—raid5數據恢復

7、經過分析發現，節點信息新舊交集導致有多個節點共用數據塊。北亞企安數據恢復工程師按節點所屬的文件進行區別，清除錯誤節點后，再次執行fsck -fn /dev/sda5，依然有部分位于doc目錄下的節點報錯。由于不影響啟動所以強行修復后重啟系統，系統正常，啟動數據庫正常。
8、經過用戶方仔細檢測，確認恢復數據完整可用，認可數據恢復結果。

審核編輯 黃宇