服務器數據恢複環境：

ibm x3850系列服務器；

5塊硬盤組成raid5磁盤陣列；

linux redhat 5.x操作系統；

oracle數據庫。

服務器故障：

服務器上兩塊硬盤由于未知故障離線，服務器數據丢失，管理員聯系我們數據恢複中心要求恢複故障服務器的數據。經過服務器數據恢複工程師對故障服務器進行初檢，發現服務器陣列中有兩塊硬盤處于離線狀态，熱備盤未激活。硬盤無物理故障，無明顯同步表現。

服務器數據恢複過程：

1、将故障服務器關機，标記好故障盤後取出槽位挂載至準備好的數據恢複服務器環境進行鏡像備份。對原硬盤鏡像後發現除了2号盤有10-20個壞扇區外其他硬盤均正常。完成鏡像後将硬盤重新安裝到原服務器。

2、服務器數據恢複工程師分析備份盤中的raid結構，獲取陣列中的raid條帶大小、校驗方向、條帶規則以及meta區域等信息。經過分析發現最佳盤序結構是0-1-2-3，缺失3号盤，結構如下圖：

北亞數據恢複——raid5數據恢複

根據分析出來的raid信息虛拟搭建一組raid5環境，組好後進行數據驗證，200M以上的最新壓縮包解壓無報錯，按照這一結構将虛拟raid生成到一塊硬盤上，通過USB的方式把恢複後的單盤接入原服務器，通過軟件啟動故障服務器後進行全盤回寫。

3、數據回寫完成後無法進入操作系統，報錯信息為：/etc/rc.d/rc.sysinit:Line 1:/sbin/pidof:Permission denied。數據恢複工程師重啟服務器後發現文件的權限、時間、大小都有明顯錯誤，對根分區再次分析定位出錯的/sbin/pidof/，發現問題的原因是2号盤壞道。

4、利用其他盤對2号盤的損壞區域進行xor補齊并重新校驗文件系統，依然報錯，數據恢複工程師再次對inode表進行檢查，發現2号盤損壞區域有部分節點表現為(圖中的55 55 55部分)：

北亞數據恢複——raid5數據恢複

5、雖然節點中描述的uid還正常存在，但大小、屬性、最初的分配塊全部是錯誤的。通過日志确定原節點塊的節點信息後進行修正，重新dd根分區，執行fsck -fn /dev/sda5檢測，報錯情況如下圖：

北亞數據恢複——raid5數據恢複

6、經過分析發現，原來3号盤最先離線，節點信息新舊交集導緻有多個節點共用數據塊。數據恢複工程師按節點所屬的文件進行區别，清除錯誤節點後再次執行fsck -fn /dev/sda5，依然有部分位于doc目錄下的節點報錯。由于不影響啟動所以強行修複後重啟系統，系統正常，啟動數據庫正常。

7、由服務器管理員親自對服務器數據進行驗證，驗證結果表示數據正常，數據恢複成功。