StorageWorks存储RAID5数据恢复案例

服务器数据恢复环境&故障：

某品牌StorageWorks存储设备，8块磁盘组建一组raid5磁盘阵列。存储中2块磁盘掉线导致阵列崩溃，经过检查发现掉线的2块磁盘均存在物理故障。

服务器数据恢复过程：

1、硬件工程师对掉线的两块磁盘进行检测，加电后磁头无法寻道，分离PCB并清洁HDA组件后再次尝试加电，磁头依然无法寻道，需要进行物理修复。经过复杂的修复过程(此处略过)后2块故障硬盘可以正常识别。

2、将故障存储内所有磁盘以只读方式进行镜像备份，后续数据分析和数据恢复操作都基于镜像文件进行，避免在恢复数据的过程中对原始数据造成二次破坏。

3、基于镜像文件分析故障存储设备中硬盘的底层数据，发现所有磁盘的0扇区出现了“55 AA”(0x01C2H处表示该分区的类型，显示“05”就表示这是一个扩展分区，从0扇区看这是一个不正常的 MBR 分区结构)。7号盘和8号盘的0扇区也找到了“55 AA”的标志。8号硬盘是一个正常的MBR分区，

其0x01C6处的数值代表指向的下一个扇区为GPT的头部。

北亚企安数据恢复——RAID5数据恢复

7号硬盘0x01C6处的数值代表指向下一个扇区，但是下一个扇区很明显不是GPT的头部。

北亚企安数据恢复——RAID5数据恢复

通过上面的分析，北亚企安数据恢复工程师初步判断阵列中的8号盘和7号盘分别为第一块和最后一块硬盘，GPT分区所在扇区起始于172032扇区，因此初步确定LUN的起始扇区是172032扇区。

4、经过分析raid确定了条带大小为1024个扇区。按照1024扇区进行分割，使一个记录为一个条带的大小。

5、当7块盘都定位到同一位置时，通过对比可以判断校验区的走向，继而判断整个RAID5的走向。之前已经判断出8号盘是第一块盘了，把8号盘放在第一个位置，确定RAID5的走向和盘序。

6、上面已经初步确定了LUN的起始扇区是172032扇区，跳转到172032扇区进行观察，正常情况下这个扇区所属条带中的5号盘应该是校验区，但实际显示校验区为8号盘。根据该raid左走向的规律，5号盘的校验区应该在172032-1024=171008扇区，即上一个条带。跳转到171008扇区，发现校验区为5号盘。因此可以确定LUN的起始扇区为171008扇区。

7、根据上面步骤中获取到的raid相关信息使用工具重组raid。

北亚企安数据恢复——RAID5数据恢复

8、由于数据从1024*8=8192个扇区开始，刚组好的RAID必须和一个文件再进行一次重组操作。RAID的起始扇区(Start sectors)选择8192，这个文件可以任意选择起始扇区和大小(Count sectors)，下图为重组后的raid5磁盘阵列。

北亚企安数据恢复——RAID5数据恢复

数据验证：

RAID5磁盘阵列重建完成后由用户方工程师进行验证，经过反复验证确认恢复数据完整有效，本次数据恢复工作完成。

审核编辑：汤梓红