服务器数据恢复环境:
某品牌P2000服务器,有一组由数块硬盘组建的raid5磁盘阵列(有热备盘),部署了VMWARE ESX虚拟化平台,VMFS文件系统。

服务器故障:
服务器在正常运行中,raid5阵列有两块硬盘亮黄色故障灯。经用户方工作人员初步检测,亮黄色故障灯的硬盘出现物理故障,故障表现为:序列号无法读取,通过SAS扩展卡无法识别硬盘。

服务器数据恢复过程:
1、将故障服务器上所有磁盘编号后取出,然后由硬件工程师将那2块故障盘连接到SAS扩展卡上加电检测,结果磁头不寻道。硬件工程师将PCB分离,检查硬盘HDA组件发现氧化的情况。清洁后再次加电依然无法寻道。于是硬件工程师在北亚企安的无尘工作室对故障硬盘进行开盘操作。
硬件工程师将检测完好的备件盘开盘,拆取PCB替换掉故障盘的PCB,再将故障盘PCB上的ROM芯片拆掉替换到新的PCB上。再次将修复完成的故障硬盘加电检测,这回可以正常起转,磁头寻道声音正常,但是发出明显的敲盘声。由于热备盘的磁头与故障盘不匹配,于是另找同型号的磁头替换故障盘的磁头,这次硬盘可以正常识别。
将修复好的故障盘和其他完好的硬盘以只读方式做全盘镜像。镜像完成后将所有磁盘按照编号还原到原服务器中,后续的数据分析和数据恢复操作都基于镜像文件进行,避免对原始磁盘数据造成二次破坏。
2、使用工具打开所有磁盘的镜像文件,发现所有硬盘的0扇区都有“55 AA”标志。0x01C2H处表示该分区的类型,0x01C2H处显示“05”意味着这是一个扩展分区。因此从0扇区看这是MBR分区结构异常。
继续查找,分别在另外2块磁盘(暂时称为a盘和b盘)找到了“55 AA”的标志。其中a盘的查询结果表示这是一个正常的MBR分区,其0x01C6处数值意味着指向的下一个扇区为GPT的头部。
服务器数据恢复—RAID5阵列硬盘指示灯显示黄色的数据恢复案例-LMLPHP
查看b盘的0x01C6处数值,但是下一个扇区明显不是GPT的头部。
服务器数据恢复—RAID5阵列硬盘指示灯显示黄色的数据恢复案例-LMLPHP
由此可以初步判断a盘是第一块盘,b是最后一块盘。GPT分区所在扇区起始于172032扇区,因此初步确定LUN的起始扇区是172032扇区。
3、对故障服务器raid5阵列进行分析,发现raid条带大小为1024个扇区。按照1024扇区进行分割,使一个记录为一个条带的大小,所有盘跳到同一记录283123。
服务器数据恢复—RAID5阵列硬盘指示灯显示黄色的数据恢复案例-LMLPHP
当所有盘都定位到同一位置时,通过对比可以判断校验区的走向,从而判断整个RAID5的走向。将判断出是第一块盘的a盘放在第一个位置,确定RAID5的走向和盘序。
服务器数据恢复—RAID5阵列硬盘指示灯显示黄色的数据恢复案例-LMLPHP
4、跳到172032扇区对硬盘的使用情况进行观察,正常情况下这个扇区所属条带中的那块盘应该是校验区,但实际情况中却显示校验区为a盘。根据该raid左走向规律,172032扇区所属条带中的那块盘的校验区应该在172032-1024=171008扇区,即上一个条带。跳转到171008扇区,发现校验区为172032扇区所属条带中的那块盘。因此可以确定LUN的起始扇区为171008扇区。
按照确定的盘序重组raid。
服务器数据恢复—RAID5阵列硬盘指示灯显示黄色的数据恢复案例-LMLPHP
点击Build进行重组。组好raid后,由于数据从1024*8=8192个扇区开始,若工具没有跳转到此扇区的功能,那么刚组好的RAID必须和一个文件再进行一次Build重组操作。
重组后的raid5磁盘阵列:
服务器数据恢复—RAID5阵列硬盘指示灯显示黄色的数据恢复案例-LMLPHP
5、RAID5磁盘阵列重建完成后由用户方进行验证,经过验证用户方确认数据完整有效。本次数据恢复工作完成。

06-01 23:58