服务器数据恢复环境：
HP StorageWorks系列服务器；
VMWARE ESX虚拟主机平台，VMFS文件系统；
8块硬盘组成RAID5，1块热备盘。
服务器故障：
服务器在正常运行中两块硬盘指示灯显示黄色，经服务器管理员检测发现这2块硬盘表现为：无法读取序列号，在SAS扩展卡上无法识别，需要对raid进行数据恢复。管理员联系我们数据恢复中心进行服务器raid数据恢复。
服务器数据恢复过程：
1、硬盘物理故障修复。
首先需要确定该组raid的磁盘掉线原因。硬件工程师在接到故障服务器后将2块故障盘连接到外部的SAS扩展卡上加电检测，发现磁头不寻道。硬件工程师将PCB分离后检查硬盘HDA组件，发现有部分氧化，对氧化部位进行清洁后再次加电检测发现磁头仍然不寻道。于是硬件工程师只能对故障硬盘进行开盘修复。
硬件工程师将正常的热备盘开盘拆取PCB替换掉故障盘的PCB，再将故障盘PCB上的ROM芯片拆取安装到新PCB上进行修复。故障硬盘硬件修复完成后再次进行检测可以正常起转，磁头寻道声音正常，但是敲盘声音明显。硬件工程师另找磁头进行更换，硬盘可以正常识别，故障盘数据镜像成功。
2、重组RAID5。
使用工具打开7块磁盘发现所有硬盘的0扇区都有“55 AA”标志，0x01C2H处表示该分区的类型，这里显示“05”，代表这是一个扩展分区。因此从0扇区看这是一个不正常的MBR分区结构。按照这一方法继续查找，分别在7号盘和8号盘找到了“55 AA”的标志。8号盘查询结果如下图。这是一个正常的MBR分区，其0x01C6处数值代表指向的
下一个扇区为GPT的头部。
7号盘查询结果如下图。其0x01C6处数值代表指向下一个扇区。但是下一个扇区很明显不是GPT的头部。
由此可以初步判断8号盘是第一块盘，7号盘可能是最后一块盘。GPT分区所在扇区起始于172032扇区，因此初步确定LUN的起始扇区是172032扇区。
raid小知识：条带也就是raid阵列块，它是RAID处理数据的基本单元。不同的RAID阵列的条带大小也各不相同。RAID5的1个条带组中有1个校验区，根据这个规律可以对该raid5进行分析。我们可以通过比较法确定条带大小：如某一条带组中的校验区跟这一条带组中的非校验区可能相差的很明显，通过工具查看并做对比就可以找到条带大小。
服务器数据恢复工程师对该服务器raid进行分析搞清楚条带大小为1024个扇区。按照1024扇区分割，使一个记录为一个条带的大小，如下图所示，7块盘跳到同一记录283123。
当7块盘都定位到同一位置时，通过对比可以判断校验区的走向，继而判断整个RAID5的走向。之前已经判断出8号盘是第一块盘，把8号盘放在第一个位置，确定RAID5为左走向，盘序为8，2，3，4，1，7，5。
服务器数据恢复工程师初步确定LUN的起始扇区是172032扇区，使用数据恢复工具跳到172032扇区对硬盘的使用情况进行检查，正常情况下这个扇区所属条带中的5号盘应该是校验区，但实际上却显示校验区为8号盘。根据该raid左走向的规律，5号盘的校验区应该在172032-1024=171008扇区，即上一个条带。跳转到171008扇区，北亚服务器数据恢复工程师发现校验区为5号盘。因此可以确定LUN的起始扇区为171008扇区。
使用raid重组工具按照确定的盘序重组raid添加进去，如下图所示。选择RAID5，Stripe size 512KB，左异步。
点击Build进行重组。组好RAID后，由于数据从1024*8=8192个扇区开始。如果工具没有跳转到此扇区的功能，那么刚组好的RAID必须和一个文件再进行一次Build重组操作。RAID的起始扇区(Start sectors)选择8192，这个文件可以任意选择起始扇区和大小(Count sectors)，下图为重组后的raid5。
服务器数据恢复结果验证：
RAID5磁盘阵列重建完成后经由服务器管理员亲自验证，验证通过，服务器数据恢复完成。
阅读(234) | 评论(0) | 转发(0) |
