服务器数据恢复—RAID5阵列重建重建导致数据丢失的数据恢复案例

服务器数据恢复环境&故障：
一台服务器，有一组由5块硬盘组建的raid5磁盘阵列。
服务器在运行过程中一块有磁盘掉线，由于raid5阵列支持一块磁盘掉线的特性，服务器还在正常工作。不久之后服务器出现故障，管理员在不了解raid配置情况下，以原raid5阵列中的4块盘作为成员盘重建了raid5阵列。结果原raid5阵列中的全部数据丢失。
该服务器品牌SMART ARRAY系列阵列卡在创建一组新的RAID5阵列时，默认会全盘重建所有块校验。也就是说在组成RAID5阵列的任一条带中，总有一个校验块的数据是创建时生成的，这肯定会对原raid5阵列中的数据造成破坏。

经过分析，后组建的4盘RAID5阵列是按双循环、64K块大小、16次条带化校验的方式组织的。也就是说在4块成员盘中，每隔3M便会有1M的数据是错误的。
经过分析以及和用户的沟通得知，原5盘RAID5阵列的结构为双循环、128K块大小、16次条带化校验。
要想恢复数据，必须修复早掉线的硬盘，能恢复多少数据取决于早掉线的硬盘掉线之后的数据变更情况。
数据恢复方案：通过对原5盘raid5阵列和后来的4盘raid5阵列的组成结构进行差异性分析，用之前掉线的盘补回重建RAID时破坏的校验信息，然后重组RAID，解释文件系统，导出文件。

服务器数据恢复过程：
1、将故障服务器中所有硬盘编号后取出，硬件工程师检测后没有发现有硬盘存在硬件问题。以只读方式将所有磁盘做扇区级的全盘镜像，镜像完成后将所有磁盘按照编号还原到原服务器中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、基于镜像文件分析所有磁盘底层数据。根据破坏前后的数据痕迹，获取破坏前后的RAID结构。
3、分析原5盘raid5阵列和后来的4盘raid5阵列之间的差异，北亚企安数据恢复工程师编写校验修正程序。
4、按照分析获取到的原RAID5阵列结构重组RAID，生成重组后的镜像文件。修正重组后的镜像文件系统错误。
5、部分分区导出数据，部分分区在无错的前提下完全镜像到新空间。
6、经过测试和检测，用户方确认恢复出来的数据有效。