服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
某品牌服務(wù)器中有4塊SAS硬盤(pán)組建了一組RAID5陣列，另外1塊磁盤(pán)作為熱備盤(pán)使用。上層操作系統(tǒng)為redhat linux，部署了一個(gè)數(shù)據(jù)庫(kù)是oracle的OA。

服務(wù)器故障&初檢：
RAID5中一塊磁盤(pán)離線后熱備盤(pán)未自動(dòng)激活rebuild，之后另外一塊磁盤(pán)離線，RAID5陣列崩潰。因?yàn)閛racle已經(jīng)不再對(duì)服務(wù)器中部署的oa提供后續(xù)支持，用戶聯(lián)系我們數(shù)據(jù)恢復(fù)中心要求恢復(fù)數(shù)據(jù)和復(fù)原操作系統(tǒng)。
將故障服務(wù)器中所有磁盤(pán)編號(hào)后取出，由硬件工程師對(duì)所有磁盤(pán)進(jìn)行檢測(cè)。經(jīng)過(guò)檢測(cè)發(fā)現(xiàn)熱備盤(pán)根本沒(méi)有啟用，不存在物理故障，無(wú)明顯同步表現(xiàn)。

服務(wù)器數(shù)據(jù)恢復(fù)&操作系統(tǒng)復(fù)原過(guò)程：
1、將故障服務(wù)器中所有磁盤(pán)以只讀方式做完整鏡像，鏡像過(guò)程中發(fā)現(xiàn)后離線的磁盤(pán)有十幾個(gè)壞扇區(qū)，其余磁盤(pán)均沒(méi)有發(fā)現(xiàn)有壞道。鏡像完成后將所有磁盤(pán)按照編號(hào)還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析RAID5結(jié)構(gòu)信息，獲取到盤(pán)序，塊大小，backward parity(Adaptec)等RAID相關(guān)信息。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

3、根據(jù)上一步獲取到的RAID相關(guān)信息虛擬重組RAID并驗(yàn)證數(shù)據(jù)，發(fā)現(xiàn)200M以上的壓縮包解壓無(wú)報(bào)錯(cuò)，確定結(jié)構(gòu)正確。
4、按照此RAID結(jié)構(gòu)生成虛擬RAID到一塊單硬盤(pán)上，打開(kāi)文件系統(tǒng)沒(méi)有發(fā)現(xiàn)明顯報(bào)錯(cuò)。
5、得到用戶授權(quán)后在原盤(pán)重建RAID（重建時(shí)已經(jīng)用全新硬盤(pán)更換發(fā)現(xiàn)壞道的后離線磁盤(pán)）。
6、將恢復(fù)好的單盤(pán)用USB方式接入故障服務(wù)器，用linux SystemRescueCd啟動(dòng)故障服務(wù)器，然后使用dd命令全盤(pán)回寫(xiě)。
7、回寫(xiě)完成后啟動(dòng)操作系統(tǒng)，但是無(wú)法進(jìn)入系統(tǒng)，報(bào)錯(cuò)信息為：/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied。
8、懷疑此文件權(quán)限有問(wèn)題，用SystemRescueCd重啟后檢查，此文件時(shí)間，權(quán)限，大小均有明顯錯(cuò)誤，顯然是節(jié)點(diǎn)損壞導(dǎo)致的錯(cuò)誤。
9、重新分析重組數(shù)據(jù)中的根分區(qū)，定位出錯(cuò)的/sbin/pidof，發(fā)現(xiàn)錯(cuò)誤是由后離線的那塊磁盤(pán)上的壞道所引起。
10、使用完好的3塊盤(pán)對(duì)后離線的那塊盤(pán)的損壞區(qū)域進(jìn)行xor補(bǔ)齊。補(bǔ)齊后重新校驗(yàn)文件系統(tǒng)仍然出現(xiàn)錯(cuò)誤。再次檢查inode表，發(fā)現(xiàn)后離線磁盤(pán)損壞區(qū)域有部分節(jié)點(diǎn)表現(xiàn)異常。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

雖然節(jié)點(diǎn)中描述的uid正常存在，但屬性，大小和最初的分配塊都是錯(cuò)誤的。按照所有可能進(jìn)行分析，但是沒(méi)有找到方法找回此損壞節(jié)點(diǎn)。只能試圖修復(fù)此節(jié)點(diǎn)或復(fù)制一個(gè)相同的文件過(guò)來(lái)。
11、針對(duì)所有可能存在錯(cuò)誤的文件，北亞企安數(shù)據(jù)恢復(fù)工程師通過(guò)日志確定原節(jié)點(diǎn)塊的節(jié)點(diǎn)信息，然后做修正。
12、修正后重新dd根分區(qū)，執(zhí)行fsck -fn /dev/sda5依然報(bào)錯(cuò)。

北亞企安數(shù)據(jù)恢復(fù)——raid5數(shù)據(jù)恢復(fù)

根據(jù)報(bào)錯(cuò)信息，北亞企安數(shù)據(jù)恢復(fù)工程師在系統(tǒng)中發(fā)現(xiàn)有多個(gè)節(jié)點(diǎn)共用同樣的數(shù)據(jù)塊。按此提示分析底層，發(fā)現(xiàn)存在節(jié)點(diǎn)信息的新舊交集。
13、按照節(jié)點(diǎn)所屬的文件進(jìn)行區(qū)分，清除錯(cuò)誤節(jié)點(diǎn)后再次執(zhí)行fsck -fn /dev/sda5，依然有少量報(bào)錯(cuò)。根據(jù)報(bào)錯(cuò)信息，發(fā)現(xiàn)這些節(jié)點(diǎn)多位于doc目錄下，不影響系統(tǒng)啟動(dòng)，于是直接執(zhí)行fsck -fy /dev/sda5強(qiáng)行修復(fù)。
14、修復(fù)完成后重啟系統(tǒng)，成功進(jìn)入系統(tǒng)桌面。
15、啟動(dòng)oracle數(shù)據(jù)庫(kù)服務(wù)，啟動(dòng)OA，一切正常無(wú)報(bào)錯(cuò)。
16、由用戶方對(duì)恢復(fù)的操作系統(tǒng)和數(shù)據(jù)（OA和oracle數(shù)據(jù)庫(kù)）進(jìn)行檢測(cè)，經(jīng)過(guò)用戶方多方檢測(cè)，確認(rèn)恢復(fù)數(shù)據(jù)完整有效。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇