【伺服器資料恢復】VMFS檔案系統RAID5硬碟故障的資料恢復案例

伺服器資料恢復環境：

VMware ESX伺服器；

伺服器檔案系統：VMFS；

8塊硬碟組建RAID5，4號盤是熱備盤。

伺服器故障：

伺服器兩塊硬碟指示燈亮黃色，機房管理員檢測後初步判斷這2塊盤出現物理故障，序列號無法讀取，在SAS擴充套件卡上無法

識別。管理員聯絡我們資料恢復中心對raid進行資料恢復。

伺服器資料恢復過程：

1、硬碟物理故障修復。

硬體工程師拿到所有伺服器硬碟後首先檢查了raid中的兩塊掉線盤，將故障盤連線到外部SAS擴充套件卡上加電檢測，磁頭不

尋道。硬體工程師在無塵工作間對故障硬碟進行開盤修復。修復完成後對故障盤資料做映象。

2、重組RAID5。伺服器資料恢復工程師發現所有硬碟的的0扇區都有“55 AA”標誌，0x01C2H處表示該分割槽的型別，

這裡顯示“05”，代表這是一個擴充套件分割槽。因此從0扇區看這是一個不正常的MBR分割槽結構。按照這一方法繼續查詢，

分別在7號盤和8號盤找到了“55 AA”的標誌。8號盤查詢結果如下。這是一個正常的MBR分割槽，其0x01C6處數值代表

指向的下一個扇區為GPT的頭部。

7號盤查詢結果如下。其0x01C6處數值代表指向下一個扇區。但是下一個扇區很明顯不是GPT的頭部。

由此可以確定8號盤是第一塊盤，7號盤可能是最後一塊盤。GPT分割槽所在扇區起始於172032扇區，因此初步確定LUN的

起始扇區是172032扇區。

條帶也就是raid陣列塊，是RAID處理資料的基本單元，不同的RAID的條帶大小也各不相同。RAID5的1個條帶組中有1個

校驗區，可以根據這個規律對該raid5進行分析，也可以通過比較法確定條帶大小。如某一條帶組中的校驗區跟這一條帶

組中的非校驗區可能相差很明顯，通過WinHex檢視做對比就可以找到條帶大小。伺服器資料恢復工程師對該伺服器raid

進行分析確定條帶大小為1024個扇區。按照1024扇區分割，使一個記錄為一個條帶的大小，如圖5所示。並且7塊盤跳到

同一記錄283123。

當7塊盤都定位到同一位置時，通過對比就可以判斷校驗區的走向，繼而判斷整個RAID5的走向。之前已經判斷出8號盤

是第一塊盤了，把8號盤放在第一個位置，確定RAID5為左走向，盤序為8，2，3，4，1，7，5。

伺服器資料恢復工程師初步確定了LUN的起始扇區是172032扇區。使用資料恢復工具跳到172032扇區對硬碟的使用情況

進行觀察，正常情況下這個扇區所屬條帶中的5號盤應該是校驗區，但實際情況中卻顯示校驗區為8號盤。根據該raid走向

的規律，5號盤的校驗區應該在172032-1024=171008扇區，即上一個條帶。跳轉到171008扇區，發現校驗區為5號盤。

因此可以確定LUN的起始扇區為171008扇區。

北亞資料恢復工程師使用資料恢復工具按照確定的盤序重組raid新增進去，如圖所示。選擇RAID5，Stripe size 512KB，

左非同步。

點選Build進行重組。組好後，由於資料從1024*8=8192個扇區開始，若專業恢復工具沒有跳轉到此扇區的功能，那麼剛

組好的RAID必須和一個檔案再進行一次Build重組操作。RAID的起始扇區(Start sectors)選擇8192，這個檔案可以任意選

擇起始扇區和大小(Count sectors)，下圖為重組後的raid5磁碟陣列。

伺服器資料恢復結果：

RAID5磁碟陣列重建完成後由伺服器管理員驗證通過，本次資料恢復工作完成。