5盘Raid5被重建为4盘raid5的数据恢复案例

服务器数据恢复环境：
一台服务器上5块硬盘组建raid5磁盘阵列，用于存储公司数据，无备份。

服务器故障&分析：
服务器上一块硬盘故障掉线，用户聘请一家运维公司对服务器进行维护，运维公司技术人员在没有了解清楚服务器原始环境的情况下，将服务器上没有掉线的4块硬盘重新组建为一组新的raid5阵列，导致服务器原有数据全部丢失。
本案例中导致服务器数据丢失的原因就是重建raid5这个操作。用户服务器上原始阵列是raid5，即使有一块硬盘掉线也不会影响服务器的正常运行和数据的完整性。但运维公司技术人员在没有搞清楚原始环境的情况下使用剩下4块没有掉线的硬盘重建raid5阵列，重建raid5磁盘阵列会导致全盘重建校验块，意味着原始raid5阵列的数据肯定会被破坏。
经过北亚数据恢复工程师初步检测，运维公司技术人员通过4块硬盘组建的raid5是双循环，块大小为64，条带化校验次数为16；故障服务器内原始的5盘raid5阵列也是双循环，块大小为12，条带化校验次数为16。由此可以推断：服务器内重建raid5阵列的4块硬盘中每隔3M的数据将出现1M的原始数据被破坏。要恢复服务器内原始raid5的数据就要分析掉线的那块硬盘，通过对比5盘raid阵列和4盘raid阵列的差异，利用掉线硬盘数据补缺其他4块硬盘中被破坏的原始数据，最后重组raid，解释文件系统并导出文件即可。因此本案例恢复数据的完整度取决于掉线硬盘的数据量。

服务器数据恢复过程：
1、对故障服务器内的所有硬盘以只读方式做扇区级别的镜像备份，后续的数据分析和恢复操作都基于镜像文件，避免对原始数据造成二次破坏。
2、分析镜像文件，获取服务器数据被破坏之前原始raid5阵列的raid结构和破坏之后新组建raid5阵列的raid结构。
3、对比数据被破坏前后的raid阵列结构，分析raid结构差异，北亚数据恢复工程师编写修正程序并提取数据。
4、按照故障服务器内原始raid5磁盘阵列结构虚拟重组raid5阵列，生成镜像文件。
5、提取掉线硬盘内的数据，利用掉线硬盘数据补全虚拟重组的raid5阵列数据，对文件系统错误进行修正。
6、将修复后的数据导入到新空间并进行验证，验证无误后交由用户亲自验证。
7、经过用户客户反复验证，确认恢复出来数据完整可用，本次数据恢复工作完成。

审核编辑 黄昊宇