【北亚数据恢复】服务器误删除卷导致raid5阵列数据丢失的数据恢复

 

服务器故障：

用户误删除了服务器上的卷，raid5磁盘阵列数据丢失，联系北亚数据恢复中心进行数据恢复。

服务器数据恢复过程：

经过检测，服务器没有物理故障。可以从raid5磁盘阵列层面进行数据恢复。

1、分析超级快信息，记录raid阵列起始块位置。
北亚数据恢复工程师对服务器raid阵列进行数据分析，获取到阵列的逻辑起始块位置号。

2、去除raid阵列的校验盘。
经过分析，这组raid5阵列中每个数据块大小为8扇区，每个数据块后有一个附加的数据块描述信息，大小为64字节，由此在底层找到的0X10位置为FFFF的就是要找的校验块。

 

3、分析aggr盘序。
由于之前通过分析已经获知阵列中的数据块大小为8扇区，所以在进行盘序分析时也依据每块磁盘的8号扇区进行分析，确定每块硬盘各自归属的组，再还原硬盘在各自的组内的排序。

4、分析raid磁盘阵列节点信息。
服务器的节点分布在不同的数据块内组成节点组，前面已经分析出每64字节记录一些系统数据，之后用192字节为一项记录各个文件节点。根据用户级别可分为两类：“MBFP”系统文件节点和“MBFI”用户文件节点，在数据恢复时一般只取MBFI节点组即可。

 

头部信息64字节
解析如下：（此头部为数据文件的节点文件块头部，大小为64字节）
标志，常量（“MBFP”为元文件的节点标志，“MBFI”为用户文件的节点标志）；
根据更新序列值获取到最新节点；
解析节点中节点类型，逻辑块号，文件数量，文件大小，所占块数量，及数据指针；
获取节点在节点文件中的逻辑块号，从0开始计数。

5、获取目录项，并根据其节点编号，找到对应节点。

 

6、编写数据提取程序恢复服务器数据。
根据分析到的raid阵列信息重组raid5阵列，北亚数据恢复工程师编写数据恢复小程序提取服务器内的数据。

7、搭建服务器环境验证数据。
在北亚专用数据恢复服务器上搭建了与原服务器相同的环境，在上层应用内对数据进行验证，验证无误后由服务器管理员对数据进行最终验证，经管理员验证，本次服务器内的所有数据全部恢复，完整可用。