服務器存儲數據恢復環境：
一臺存儲中有一組由7塊硬盤組建的RAID5陣列，存儲中還有另外3塊盤是raid中掉線的硬盤（硬盤掉線了，管理員只是添加一塊的新的硬盤做rebuild，并沒有將掉線的硬盤拔掉）。整個RAID5陣列的存儲空間劃分了一個LUN。

服務器存儲故障：
硬盤出現故障導致存儲中陣列癱瘓。
和管理員溝通，據管理員說是磁盤陣列中某些硬盤出現故障導致存儲不可用，初步判斷RAID中有硬盤掉線了。

服務器存儲數據恢復過程：
1、將所有硬盤編號后取出。硬件工程師檢測所有硬盤是否存在硬件故障，檢測后并沒有發現有硬盤存在物理故障。應該是某些硬盤上出現邏輯壞道或者其他原因導致RAID崩潰。將所有硬盤以只讀方式進行扇區級全盤鏡像，鏡像完成后按照編號將所有磁盤按照原樣還原到故障存儲中。后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、基于鏡像文件分析所有硬盤底層數據。打開鏡像盤后發現每512字節多加了一個8字節的校驗，也就是說每扇區變成520字節。于是北亞企安數據恢復工程師編寫小程序將8字節的校驗去掉，方便后期的數據恢復工作。
3、轉換完成后開始分析RAID結構。由于多了3塊以前的離線的舊盤，所以需要比較每塊磁盤。其中會有兩塊磁盤前面的部分數據相同，這兩塊磁盤中會有一塊磁盤是舊的，這樣的磁盤會有3對。舊盤的數據量沒有新盤多，需要排除舊盤。
4、由于操作系統層面采用的是NTFS文件系統，通過MFT就可以獲取RAID結構。搞清楚RAID結構后發現這不是一個普通的RAID5，而是一個雙循環RAID5。通過常用軟件如winhax無法重組RAID。經過測試發現UFS可以重組這個RAID，重組RAID后發現數據不是最新的，北亞企安數據恢復工程師判斷出現這種情況的原因是管理員沒有及時發現RAID5陣列中第一塊硬盤掉線的情況，沒有及時添加新的硬盤做rebuild。一段時間后又有一塊硬盤掉線了，導致整個RAID不可用。所以還需要找出一塊舊的磁盤，才能生成最新的數據。
5、嘗試每次踢掉陣列中一塊硬盤，然后重組RAID，看最新的數據是否可用，直到重組RAID中最新數據可用時為止。然后導出數據驗證。
6、經過數據恢復工程師驗證沒有發現問題后，交由用戶方進行檢測。經過用戶方的仔細檢測和核對，確認恢復數據完整有效，認可數據恢復結果。本次數據恢復工作完成。


審核編輯 黃宇