环境：EMC存储服务器；10块硬盘组成RAID5磁盘阵列。
故障：RAID5磁盘阵列有3个硬盘由于故障离线导致服务器瘫痪。管理员添加了新硬盘做rebuild，但是没有拔掉掉线的硬盘，服务器中有3块多余硬盘。
数据恢复过程：
1、服务器管理员初步判断服务器瘫痪是因为阵列中硬盘出现硬件故障导致的，于是将所有硬盘交给北亚数据恢复中心进行了物理检测。北亚硬件工程师对服务器中所有硬盘进行检测后没有发现硬盘存在物理故障，把硬盘移交给北亚数据恢复工程师进行处理。
2、对所有磁盘进行镜像备份后，北亚数据恢复工程师开始对服务器raid结构进行分析。
3、北亚数据恢复工程师发现该服务器中的硬盘每512字节就多增加了一个8字节的校验，也就是每扇区520字节。这种情况下继续进行raid结构分析将十分困难。北亚数据恢复工程师编写了一个小程序将8字节的校验去掉，方便后期的工作。
4、用这个小程序将所有磁盘都转换完成后，北亚数据恢复工程师继续分析RAID的结构。由于多了3块旧盘，需要通过比较每块磁盘，即其中会有两块磁盘前面的一部分相同，而这两块磁盘中会有一个是旧的，由于旧的数据量没有新盘多，所以数据量少的就是旧盘，按照这种思路可以分辨出新盘和旧盘。这样的磁盘会有3对。
5、此服务器使用的是NTFS文件系统，可以用MFT弄清楚RAID结构。搞清楚RAID结构后，北亚数据恢复工程师发现这是一个双循环RAID 5。因此无法借助数据恢复工具重组RAID，北亚数据恢复工程师只好通过其他方式重组raid阵列。
6、重组RAID后发现数据不是最新的。北亚数据恢复工程师推断出现这种问题的原因是：RAID5第一块硬盘掉线的时候管理员没有及时发现，没有及时添加新的硬盘做rebuild，导致服务器运行一段时间后又有一块硬盘掉线了，才造成整个RAID不可用。所以还需要找出一块旧的磁盘，才能生成最新的数据。
7、北亚数据恢复工程师采用穷举加校验的方法进行分析，即假设某个磁盘是掉线的，踢掉磁盘后重组RAID，但不是生成全部的数据，而是只生成前面5G的数据，我们只需要查看这个索引表的位图的信息是否正确就可以判断此RAID是否正确。如果正确，那么生成此RAID的数据即可完成RAID的重组。经过3天的努力，数据最终完全恢复。
相关推荐
