【伺服器資料恢復】VMFS檔案系統RAID5硬碟故障的資料恢復案例

北亞資料恢復發表於2022-06-20

伺服器資料恢復環境:

VMware ESX伺服器;

伺服器檔案系統:VMFS;

8塊硬碟組建RAID5,4號盤是熱備盤。


伺服器故障:

伺服器兩塊硬碟指示燈亮黃色,機房管理員檢測後初步判斷這2塊盤出現物理故障,序列號無法讀取,在SAS擴充套件卡上無法

識別。管理員聯絡我們資料恢復中心對raid進行資料恢復。



伺服器資料恢復過程:


1、硬碟物理故障修復。

硬體工程師拿到所有伺服器硬碟後首先檢查了raid中的兩塊掉線盤,將故障盤連線到外部SAS擴充套件卡上加電檢測,磁頭不

尋道。硬體工程師在無塵工作間對故障硬碟進行開盤修復。修復完成後對故障盤資料做映象。


2、重組RAID5。伺服器資料恢復工程師發現所有硬碟的的0扇區都有“55 AA”標誌,0x01C2H處表示該分割槽的型別,

這裡顯示“05”,代表這是一個擴充套件分割槽。因此從0扇區看這是一個不正常的MBR分割槽結構。按照這一方法繼續查詢,

分別在7號盤和8號盤找到了“55 AA”的標誌。8號盤查詢結果如下。這是一個正常的MBR分割槽,其0x01C6處數值代表

指向的下一個扇區為GPT的頭部。



7號盤查詢結果如下。其0x01C6處數值代表指向下一個扇區。但是下一個扇區很明顯不是GPT的頭部。



由此可以確定8號盤是第一塊盤,7號盤可能是最後一塊盤。GPT分割槽所在扇區起始於172032扇區,因此初步確定LUN的

起始扇區是172032扇區。


條帶也就是raid陣列塊,是RAID處理資料的基本單元,不同的RAID的條帶大小也各不相同。RAID5的1個條帶組中有1個

校驗區,可以根據這個規律對該raid5進行分析,也可以通過比較法確定條帶大小。如某一條帶組中的校驗區跟這一條帶

組中的非校驗區可能相差很明顯,通過WinHex檢視做對比就可以找到條帶大小。伺服器資料恢復工程師對該伺服器raid

進行分析確定條帶大小為1024個扇區。按照1024扇區分割,使一個記錄為一個條帶的大小,如圖5所示。並且7塊盤跳到

同一記錄283123。



當7塊盤都定位到同一位置時,通過對比就可以判斷校驗區的走向,繼而判斷整個RAID5的走向。之前已經判斷出8號盤

是第一塊盤了,把8號盤放在第一個位置,確定RAID5為左走向,盤序為8,2,3,4,1,7,5。



伺服器資料恢復工程師初步確定了LUN的起始扇區是172032扇區。使用資料恢復工具跳到172032扇區對硬碟的使用情況

進行觀察,正常情況下這個扇區所屬條帶中的5號盤應該是校驗區,但實際情況中卻顯示校驗區為8號盤。根據該raid走向

的規律,5號盤的校驗區應該在172032-1024=171008扇區,即上一個條帶。跳轉到171008扇區,發現校驗區為5號盤。

因此可以確定LUN的起始扇區為171008扇區。


北亞資料恢復工程師使用資料恢復工具按照確定的盤序重組raid新增進去,如圖所示。選擇RAID5,Stripe size 512KB,

左非同步。



點選Build進行重組。組好後,由於資料從1024*8=8192個扇區開始,若專業恢復工具沒有跳轉到此扇區的功能,那麼剛

組好的RAID必須和一個檔案再進行一次Build重組操作。RAID的起始扇區(Start sectors)選擇8192,這個檔案可以任意選

擇起始扇區和大小(Count sectors),下圖為重組後的raid5磁碟陣列。



伺服器資料恢復結果:

RAID5磁碟陣列重建完成後由伺服器管理員驗證通過,本次資料恢復工作完成。


來自 “ ITPUB部落格 ” ,連結:http://blog.itpub.net/31380569/viewspace-2901582/,如需轉載,請註明出處,否則將追究法律責任。

相關文章