beiya123的博客

掉线的2块硬盘存在大量坏道，无法通过常规方式镜像。服务器崩溃，经过初步检测，发现raid5阵列的两块硬盘掉线。这2块硬盘经过初步检测，硬件工程师推断掉线的2块硬盘存在物理故障，导致服务器数据丢失。需要修复存在物理故障的硬盘，然后再重组raid，从而恢复服务器数据。获取到2块离线硬盘的离线顺序，剔除较早离线的硬盘。3、根据用户方提供的信息，北亚企安数据恢复工程师验证恢复出来的数据。4、在北亚企安数据恢复工程师的协助下，将恢复出来的服务器数据回迁到用户方新搭建好的服务器环境中，本次服务器数据恢复工作完成。

北亚企安数据恢复工程师对数据库进行仔细排查，发现报错的原因是从重组的raid中提取出的dmp文件异常，导致dmp导入数据时报错。2、所有硬盘镜像完成后，查看镜像工具生成的日志，发现在storage manager和硬盘SMART状态中均没有报错的一块盘（非掉线盘）存在坏道，离线的2块硬盘存在大量不规律的坏道分布。根据坏道列表定位到目标镜像文件，经过分析发现ext3文件系统的部分关键源数据信息被坏道破坏，只能通过同一条带进行xor以及根据文件系统上下文关系的方式手动修复被损坏的文件系统。

1、将故障服务器中所有硬盘做好标记后取出，以只读方式将所有硬盘进行扇区级别完整镜像，镜像后发现后离线的硬盘有10-20个坏扇区，其余磁盘，均无坏道。5、确定备份包安全的情况下，经用户方同意后，对原盘重建RAID（重建时已经用全新硬盘更换发现坏扇区的硬盘）。8、虽然节点中描述的uid还正常存在，但属性、大小、最初的分配块全部是错误的。使用SystemRescueCd重启后检查，发现此文件时间，权限，大小均有明显错误，显然节点损坏。7、重新分析重组数据中的根分区，定位出错的目录，发现问题是由硬盘坏道引起的。

要恢复服务器内的数据，需分析掉线的硬盘。通过对比5盘raid阵列和4盘raid5阵列的差异，利用掉线硬盘里的数据对每一块硬盘中被破坏的原始数据进行补缺，然后重组raid；按照服务器内的5盘raid5阵列结构虚拟重组raid5阵列，生成一组重组后的镜像文件。条带换校验次数也为16。服务器一块硬盘掉线，运维人员在没有完全了解服务器的具体情况下，使用服务器上的另外4块正常硬盘重建了一组新的raid5阵列，导致服务器原有数据丢失。4、提取掉线硬盘内的数据，补全虚拟重组的raid5阵列数据，修正文件系统错误。

由于EMC存储的控制器针对磁盘的检查策略比较严格，一旦检测到某些磁盘性能不稳定，EMC存储上的控制器就很大可能性将这些磁盘识别为坏盘，并踢出RAID。本案例中基于RAID的LUN只有一个，分配给SUN小机使用，上层文件系统为ZFS。分析其他10块硬盘，分析数据在硬盘中分布的规律、RAID条带的大小、盘序等重组raid所需的raid相关信息。分析每一块硬盘中的数据，发现有一块硬盘在同一个条带上的数据和其他硬盘明显不一样，因此初步判断此硬盘是先掉线的，通过RAID校验程序校验这个条带，确定先掉线的硬盘。

1、将故障服务器上所有硬盘标记后取出，经过硬件工程师没有发现有硬盘存在物理故障。2、服务器数据恢复工程师基于镜像文件分析raid结构，通过分析获取到故障服务器的上raid5阵列的盘序、校验方式、数据块大小等重组阵列所必需的相关信息。根据获取到的信息重组raid5阵列。4、用户方对恢复出来的数据进行验证，经过验证，用户方确定原服务器上的数据完整无误。3、对重组完成的raid阵列进行逻辑校验，通过逻辑校验后，查看所有参数正确无误。5、将恢复出来的数据移交给用户方那个准备好的新服务器内，本次数据恢复工作完成。

热备盘数据同步还没有结束的情况下，与离线盘处于同一组Mdisk中的另一块磁盘离线。1、将设备关机，在数据恢复平台以只读方式挂载故障存储，然后进行扇区级的完整备份。2、根据V7000存储的原始配置信息，将硬盘按照Mdisk组分类。将原故障恢复到初始状态后交还给用户方，后续所有数据分析和数据恢复操作均在镜像文件上进行，避免对原始磁盘数据造成二次破坏。5、北亚企安数据恢复工程师编写程序解析NTFS文件系统，生成卷中的全部数据。3、通过分析Mdisk获取pool的相关信息，然后虚拟重组pool。

6、在虚拟机下创建快照，将修复后的数据挂载到新创建好的快照下，这时已经可以看到文件内容。4、调整文件系统中的文件，生成B+树并导出所有节点。排查导出的节点，去掉对恢复数据无用的节点，然后重新排序生成对应的位置信息。3、基于镜像文件对所有磁盘的底层数据进行分析。通过节点间的相互关联关系分析数据被破坏前的节点信息，并对节点进行修复。2、基于镜像文件对服务器数据进行检测，发现重装系统的操作导致逻辑卷发生改变，文件系统被破坏，出现空白超级快。5、按照对应位置信息查询节点，生成树的索引信息，随后生成超级块信息。

重组RAID后发现数据不是最新的。假设某个磁盘是掉线的，踢掉磁盘后重组RAID，但不是生成全部的数据，而是只生成前面几G的数据，然后查看这个索引表的位图的信息是否正确，就可以判断此RAID是否正确。其中会有两块磁盘前面的一部分数据相同，旧的硬盘数据量没有新的硬盘多。这样的磁盘有3对，通过这个思路排除旧的磁盘，即可以排除所有旧的磁盘。一台服务器上共有10块硬盘，其中的7块硬盘组建了一组raid5磁盘阵列，另外3块硬盘是没有拔掉的掉线磁盘。7、如果RAID正确，生成此RAID的数据即可完成RAID的重组。

基于镜像文件分析服务器上层数据，发现硬盘掉线导致了上层虚拟机文件系统被破坏，北亚企安数据恢复工程师分析后决定通过拼接文件碎片的方式恢复数据。经过验证发现这两个目录十分相似，数据恢复工程师详细对比了这2个目录中的目录、文件、底层数据，发现两个目录中的数据完全一致，确认其中一个目录为备份数据。6、服务器数据恢复工程师继续对不完整的数据部分进行提取、拼接、手动修复，最终恢复出服务器内的所有数据。经用户方工程师的验证，确认服务器上层虚拟机可以正常使用，数据完整，本次数据恢复工作完成。

NTFS文件系统下格式化在理论上不会对数据造成太大影响，但有可能造成部分文件目录结构丢失的情况。下面介绍一个人为误操作导致服务器磁盘阵列中的NTFS文件系统分区被格式化后的服务器数据恢复案例。

恢复工作完成后，经过检测，所有虚拟机都可以全部启动，虚拟机中部署的业务应用也能成功启动。根据用户方提供的文件信息列表编写脚本，读取数据库并重构文件的目录树，优先恢复着急的虚拟机。针对目录树完整的文件，重构完整目录树。北亚企安数据恢复工程师编写程序扫描lun，读取ocfs2文件系统的节点，目录信息，并把扫描到的所有信息插入数据库。2、北亚企安数据恢复工程师根据研究出来的该型号存储的算法和文件系统底层结构分析故障存储中raid5阵列的结构。B、根据文件系统的结构，北亚企安数据恢复工程师编写相应的程序提取数据。

一台服务器中有一组由三块SAS硬盘组建的raid阵列。服务器上部署的数据库存储在D分区，数据库备份存储在E分区。服务器上一块硬盘指示灯显示红色。D分区不可识别。E分区虽然可以识别，但是E分区拷贝文件报错。管理员重启服务器，先离线的硬盘上线开始同步数据，同步没有完成的情况下管理员将服务器强制关机，之后没有动过服务器。

服务器常见故障：硬件故障：磁盘损坏、电池故障等。软件问题：操作系统崩溃、未知的程序运行错误等。病毒破坏：勒索病毒加密、删除服务器数据等。不可控力量；服务器浸水、火烧、机房倒塌等导致服务器损坏和数据丢失。误操作：工作人员操作失误导致数据丢失，如格式化、删除、覆盖等。

基于镜像文件分析底层数据，在存储日志发现2块硬盘的报警提示，这与物理故障检测结果吻合。数据恢复工程师通过分析底层数据确定两块离线硬盘的离线顺序，将先离线的硬盘剔除。数据同步完成后，数据恢复工程师检查上层数据情况并进行数据完整性验证。硬件工程师针对存在物理故障的两块硬盘进行物理修复，然后通过专业数据恢复工具进行完整镜像备份。磁盘阵列中有2块硬盘出现故障离线，服务器崩溃，上层数据丢失。硬件工程师对客户服务器内的所有硬盘进行物理故障检测，最终确认这2块硬盘存在坏道，这是导致两块硬盘离线的原因。

某公司一台服务器，服务器上有一组由8块硬盘组建的raid5磁盘阵列。磁盘阵列中2块硬盘的指示灯显示异常，其他硬盘指示灯显示正常。上层应用不可用。

一台服务器中有一组由16块SAS接口的硬盘组建的raid5阵列。服务器磁盘阵列中有2块硬盘离线，服务器上跑的应用崩溃。经过后续的分析发现丢失的数据为虚拟机文件，包含4个卷的数据。

EMC Unity 400存储连接了2台硬盘柜。2台硬盘柜上一共有21块硬盘（520字节）。21块盘组建了2组RAID6：一组有11块硬盘，一组有10块硬盘。在存储运行过程中，管理员误操作删除了 2组POOL上的部分数据卷。

服务器硬盘指示灯闪烁黄灯是一种警示，意味着服务器硬盘出现故障即将下线。发现这种情况建议及时更换硬盘。一旦服务器上有大量数据频繁读写，硬盘指示灯会快速闪烁。服务器上某个硬盘的指示灯只有黄灯亮着，而其他颜色的灯没有亮的话，通常表示这块硬盘出现故障，这时候更换新硬盘同步数据即可。如果没有及时发现硬盘损坏或者更换硬盘失败导致服务器崩溃，应该如何恢复数据呢？下面通过一个真实案例讲解一下服务器硬盘指示灯亮黄色的数据恢复案例。

一台配有32块硬盘的服务器在运行过程中突然崩溃不可用。经过初步检测，基本上确定服务器硬件不存在物理故障。管理员重启服务器后问题依旧。需要恢复该服务器中的数据。

华为OceanStor T系列某型号存储中有一组由24块机械硬盘组建的一组RAID5阵列。运行过程中该存储设备RAID5阵列上多块硬盘出现故障离线，阵列失效，存储中数据无法访问。

2、基于镜像文件分析硬盘底层数据。6、由于故障硬盘损坏严重，无法修复，且部分硬盘存在坏道，导致raid结构存在缺陷，部分文件损坏。将故障RAID5阵列中的两块离线硬盘标记后取出进行检测，发现先离线硬盘无法识别，初步推断该盘存在硬件故障，需要开盘修复，另一块硬盘可以正常识别。两组分别由4块SAS接口硬盘组建的raid5阵列，两组raid5阵列划分LUN并由LVM管理，格式化为EXT3文件系统。4、LVM重组完成之后，使用北亚企安自主开发的工具解析LV（逻辑卷）中的EXT3文件系统，恢复并导出其中的全部数据。

服务器存储数据恢复环境：华为S5300存储中有12块FC硬盘，其中11块硬盘作为数据盘组建了一组RAID5阵列，剩下的1块硬盘作为热备盘使用。基于RAID的LUN分配给linux操作系统使用，存放的数据主要是Oracle数据库。服务器存储故障：RAID5阵列中1块硬盘出现故障离线，热备盘自动激活开始同步数据，在同步数据的过程中又一块硬盘离线，RAID5阵列瘫痪，上层LUN无法使用。

某品牌服务器上有一组由两块SAS硬盘组建的raid0阵列，上层是windows server操作系统+ntfs文件系统。服务器上一个硬盘指示灯显示黄颜色，该指示灯对应的硬盘离线，raid不可用。

服务器存储数据恢复环境：存储中有一组由12块硬盘组建的RAID6阵列，上层linux操作系统+EXT3文件系统，该存储划分3个LUN。服务器存储故障&分析：存储中RAID6阵列不可用。为了抢救数据，运维人员使用原始RAID中的部分硬盘重新组建RAID并进行了初始化。初始化开始一段时间后，运维人员察觉到情况有异后强制终止初始化，这个时候初始化已经完成一半以上。数据部分已被不可逆的破坏。

服务器存储数据恢复环境：某品牌光纤存储上共有16块FC硬盘。存储上的卷映射到Linux操作系统上。Linux操作系统上运行Oracle数据库。服务器存储故障&检测：存储上2块硬盘故障灯亮起，存储映射到linux操作系统上的卷挂载不上，业务中断。

服务器存储数据恢复环境：某品牌MSA2000FC存储中有一组由7块盘组建的RAID5阵列，另外还有1块硬盘作为热备盘使用。基于RAID5阵列划分的几个LUN分配给小机使用，存储空间通过LVM管理，重要数据为Oracle数据库及OA服务端。服务器存储故障：RAID5阵列中2块硬盘离线，唯一的热备盘成功激活，RAID5阵列还是变得不可用，上层LUN无法使用。

服务器数据恢复环境：两组分别由4块SAS硬盘组建的raid5阵列，两组阵列划分的LUN组成LVM架构，格式化为EXT3文件系统。服务器故障：一组raid5阵列中的一块硬盘离线。热备盘自动上线替换离线硬盘，但在热备盘上线同步数据的过程中，又有一块硬盘离线，导致热备盘同步失败。该组raid阵列崩溃，LVM结构不完整，文件系统无法正常使用。将2块离线硬盘做好标记后取出&进行检测，发现先离线的硬盘无法识别，初步判断该硬盘出现硬件故障，需要开盘修复，另一块离线硬盘可以识别。

服务器存储数据恢复环境：某单位一台某品牌型号为DS5300的服务器存储，1个机头+4个扩展柜，底层是2组分别由数十块硬盘组建的RAID5阵列。存储系统上层一共分了11个卷。服务器存储故障&分析：存储设备上一组raid5阵列上的2块磁盘出现故障，对应的硬盘指示灯亮黄灯，阵列崩溃，存储不可用。该组故障阵列上层存放的是Oracle数据库文件。

服务器数据恢复环境：某品牌X3850服务器中有一组由数块SAS硬盘组建的RAID5阵列，该阵列中有一块盘是热备盘。操作系统为linux redhat，上面跑着一个基于oracle数据库的oa。服务器故障：服务器raid5阵列中有一块硬盘离线，但是热备盘没有成功激活，之后另外一块硬盘离线，RAID崩溃。

服务器存储数据恢复环境：华为品牌型号为OceanStor S2600T的存储设备，存储上有一组由24块4T容量的机械硬盘组建的RAID5阵列，作为存储池使用。服务器存储故障&检测：存储设备中raid5阵列上多块硬盘出现故障离线，raid5阵列失效，数据无法正常访问。关机后将存储中所有硬盘标记&取出，硬件工程师对所有硬盘进行硬件故障检测。经过检测，没有发现存在物理故障的磁盘，都可以正常读取。

服务器虚拟化数据恢复环境：某品牌720服务器中有一组通过同品牌、型号为H710P的RAID卡+4块STAT硬盘组建的RAID10磁盘阵列。上层部署XenServer虚拟化平台。1台Windows Server操作系统虚拟机，该虚拟机有2块虚拟磁盘（系统盘+数据盘），当作网站服务器使用。服务器虚拟化故障：XenServer虚拟机不可用，虚拟磁盘中数据丢失。

服务器数据恢复环境：一台服务器中有一组由4块SAS硬盘组建的RAID5阵列，上层安装linux操作系统统。分区结构：boot分区+LVM卷+swap分区（按照顺序），LVM卷中划分了一个reiserfs文件系统作为根分区。服务器故障：服务器操作系统在运行过程中由于未知原因崩溃，管理员重装操作系统后发现分区结构变为：boot分区+swap分区+LVM卷（按照顺序），LVM卷中文件系统位置有个空的reiserfs超级块。用户方需要恢复reiserfs文件系统中所有数据，包含数据库、网站程序与网页、OA

服务器存储数据恢复环境：某单位有一台EVA某型号存储主机+2个扩展柜，共12个FATA磁盘+10个FC磁盘，LUN数量不确定，操作系统为WINDOWS SERVER。该存储用来存放单位的历史案例审理材料。服务器存储故障&检测：该EVA存储出现故障，无法正常使用。而且经过几家数据恢复服务商的操作，具体故障原因已经无法确定。

服务器存储数据恢复环境：一台EqualLogic存储中有一组由16块SAS硬盘组建的RAID5阵列。上层划分了4个卷，采用VMFS文件系统，存放虚拟机文件。服务器存储故障：存储RAID5阵列中磁盘出现故障，有2块硬盘对应的指示灯亮黄灯，存储不可用，且存储设备已经过保。

服务器数据恢复环境：一台服务器挂接一台存储，该存储中有一组由5块硬盘组建的RAID5阵列。服务器故障：存储raid5阵列中有一块硬盘掉线。由于RAID5的特性，阵列并没有出现问题。工作一段时间后，服务器出现故障，用户方请人维修。维修人员在没有了解故障磁盘阵列环境的情况下，用另外4块硬盘（除去掉线的硬盘）重新创建了一组全新的RAID5阵列并完成数据同步，导致原raid5阵列数据全部丢失。

服务器数据恢复环境：邮件服务器中有一组由8块盘组成的RAID5阵列, 上层是Linux操作系统+EXT3文件系统。服务器故障：由于误删除导致文件系统中的邮件数据丢失。

RAID5数据恢复环境：一台存储上有一组由12块SCSI硬盘（11块数据盘+1块热备盘）组建的RAID5磁盘阵列，FreeBSD操作系统+zfs文件系统。RAID5故障：其中一块盘出现故障，需要重组该raid5磁盘阵列。

服务器数据恢复环境：一台浪潮服务器中有一组由6块SAS硬盘组建的RAID。服务器上划分了1个卷，存放Oracle数据库文件。服务器故障&检测：服务器上有两个硬盘指示灯亮黄灯，RAID崩溃，服务器不可用。将故障服务器中所有磁盘标记后取出。由硬件工程师检测故障服务器上的取出的6块硬盘是否存在硬件故障，经过检测发现变黄的指示灯所对应的2块硬盘存在坏道且SMART的错误冗余级别已经超过阈值。

服务器数据恢复环境：三台V7000存储，共有64块SAS硬盘（其中有三块热备盘，其中一块已启用）组建了数组raid5阵列。分配若干LUN，上层安装Windows server操作系统，数据分区格式化为NTFS文件系统。服务器故障：V7000存储中有多块硬盘出现故障离线，阵列失效，LUN无法访问。需要恢复卷中所有数据（主要为dcm文件）。