服务器数据恢复—RAID5阵列硬盘报警亮黄灯的数据恢复案例

服务器数据恢复环境：
某品牌P2000服务器，有一组由数块硬盘组建的raid5磁盘阵列（有热备盘），部署了VMWARE ESX虚拟化平台，VMFS文件系统。

服务器故障：
服务器在正常运行中，raid5阵列有两块硬盘亮黄色故障灯。经用户方工作人员初步检测，亮黄色故障灯的硬盘出现物理故障，故障表现为：序列号无法读取，通过SAS扩展卡无法识别硬盘。

服务器数据恢复过程：
1、将故障服务器上所有磁盘编号后取出，然后由硬件工程师将那2块故障盘连接到SAS扩展卡上加电检测，结果磁头不寻道。硬件工程师将PCB分离，检查硬盘HDA组件发现氧化的情况。清洁后再次加电依然无法寻道。于是硬件工程师在北亚企安的无尘工作室对故障硬盘进行开盘操作。
硬件工程师将检测完好的备件盘开盘，拆取PCB替换掉故障盘的PCB，再将故障盘PCB上的ROM芯片拆掉替换到新的PCB上。再次将修复完成的故障硬盘加电检测，这回可以正常起转，磁头寻道声音正常，但是发出明显的敲盘声。由于热备盘的磁头与故障盘不匹配，于是另找同型号的磁头替换故障盘的磁头，这次硬盘可以正常识别。
将修复好的故障盘和其他完好的硬盘以只读方式做全盘镜像。镜像完成后将所有磁盘按照编号还原到原服务器中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、使用工具打开所有磁盘的镜像文件，发现所有硬盘的0扇区都有“55 AA”标志。0x01C2H处表示该分区的类型，0x01C2H处显示“05”意味着这是一个扩展分区。因此从0扇区看这是MBR分区结构异常。
继续查找，分别在另外2块磁盘（暂时称为a盘和b盘）找到了“55 AA”的标志。其中a盘的查询结果表示这是一个正常的MBR分区，其0x01C6处数值意味着指向的下一个扇区为GPT的头部。

北亚企安数据恢复——raid5数据恢复

查看b盘的0x01C6处数值，但是下一个扇区明显不是GPT的头部。

北亚企安数据恢复——raid5数据恢复

由此可以初步判断a盘是第一块盘，b是最后一块盘。GPT分区所在扇区起始于172032扇区，因此初步确定LUN的起始扇区是172032扇区。
3、对故障服务器raid5阵列进行分析，发现raid条带大小为1024个扇区。按照1024扇区进行分割，使一个记录为一个条带的大小，所有盘跳到同一记录283123。

北亚企安数据恢复——raid5数据恢复

当所有盘都定位到同一位置时，通过对比可以判断校验区的走向，从而判断整个RAID5的走向。将判断出是第一块盘的a盘放在第一个位置，确定RAID5的走向和盘序。

北亚企安数据恢复——raid5数据恢复

4、跳到172032扇区对硬盘的使用情况进行观察，正常情况下这个扇区所属条带中的那块盘应该是校验区，但实际情况中却显示校验区为a盘。根据该raid左走向规律，172032扇区所属条带中的那块盘的校验区应该在172032-1024=171008扇区，即上一个条带。跳转到171008扇区，发现校验区为172032扇区所属条带中的那块盘。因此可以确定LUN的起始扇区为171008扇区。
按照确定的盘序重组raid。

北亚企安数据恢复——raid5数据恢复

点击Build进行重组。组好raid后，由于数据从1024*8=8192个扇区开始，若工具没有跳转到此扇区的功能，那么刚组好的RAID必须和一个文件再进行一次Build重组操作。
重组后的raid5磁盘阵列：

北亚企安数据恢复——raid5数据恢复

5、RAID5磁盘阵列重建完成后由用户方进行验证，经过验证用户方确认数据完整有效。本次数据恢复工作完成。

审核编辑 黄宇