HP P2000RAID-5两块盘离线的数据恢复报告

HPP2000RAID-5两块盘离线的数据恢复报告   1.故障叙述

存储:惠普P2000

计算机 *** 作系统:VMWAREESX

系统:VMFS

磁盘阵列:RAID-5

本例中的RAID-5由10个lT计算机硬盘组成，其中第六个磁盘是热备盘。因为故障，RAID-5磁盘阵列的两个磁盘断开，主要表现为两个电脑硬盘的黄灯。

根据客户维修人员的检查，出现故障的电脑硬盘应该是物理故障，主要表现为无法加载序列号，SAS扩展卡上无法识别电脑硬盘。

2.备份数据与恢复

故障发生后，客户的技术工程师联系了我们企业(北亚数据恢复管理中心)，详细咨询后得知故障严重。我们必须将RAID-5磁盘阵列发送到我们的企业进行检查，并检查每个RAID-5成员磁盘是物理故障(磁带驱动器损坏或磁盘划伤)还是逻辑故障。因为情况紧急，我北亚的技术工程师收到原板后马上提前做好了检验准备。对于可以识别的好盘，在北亚镜像系统连接的网络服务器上，应该使用WinHex作为扇区级镜像系统，不能识别的坏盘要进行检查。

首先，将坏磁盘连接到外部SAS扩展卡。通电后可以根据电脑硬盘的噪音识别出电脑硬盘电机可以启动和转动。但是，磁带机并没有执行实际的路径搜索 *** 作。所以尽量把电脑硬盘PCB分开，把HDA元器件空氧化的部分清理干净。PCB修复后，故障依然存在。因此，与客户沟通，将6号热备的好PCB应用到故障磁盘上进行查询学习和恢复，然后将故障磁盘PCB上的ROM集成ic更换到6号磁盘的好PCB上。电脑硬盘工作后，磁带机寻道噪音正常，但寻道完成后，有明显的敲击声，可以认定磁带机可能被破坏。与客户沟通后，尝试使用6号热备盘中的完好磁带机替换故障磁盘以获取数据。

在洁净室新房开房拆装更换磁带机的实际 *** 作后，将故障盘接入技术专业的硬盘维修工进行检查。发现故障盘长时间无法识别，数据信息无法加载(下图为北亚技术工程师在实验室新房开盘时的场景)。

认为客户有两个故障磁盘，之前都尝试过恢复，我们应该再次与客户沟通，尝试恢复另一个故障磁盘。和之前的故障盘一样，这个盘的故障还是磁带机的破坏。由于客户的惠普OEM盘价格昂贵，尽量在网上订购ST原厂的同型号同规格电脑硬盘进行拆换磁带机。在这方面，电脑硬盘的磁带机拆卸更换后，机器设备可以正常识别电脑硬盘，因此故障磁盘的所有扇区都被详细镜像到一个相同卷的备份数据磁盘中。

3.资产重组RAID-5流程 3.1.分辨起止扇区

所有计算机硬盘镜像后，可以重组资产。用WinHex打开9个磁盘(不需要添加资产重组到热备盘)，先解析镜像文件到硬盘。可以看到，这9个磁盘的所有扇区0都标有“55AA”，如图1所示。

图1

搜索结果如图2所示。0x01C2H表示系统分区的类型，此处显示信息“05”，表示这是一个扩展分区。所以从扇区0来看，这是一个异常的MBR系统分区结构。

图2

按照图1的方法再往下看，分别在第9块和第6块板上找到“55AA”的标志。9号盘的观看结果如图3所示。这是一个正常的MBR系统分区，它的标志值0x01C6表示下一个扇区是GPT的头顶。

图3

6号盘的观看结果如图4所示。0x01C6标记值意味着它偏向下一个扇区。但是下一个扇区显然不是GPT的顶部。

图4

所以可以明确第9张盘是第一张盘，第6张盘可能是最后一张盘。GPT系统分区所属的扇区起源于172032扇区，所以基本可以明确LUN的起始和结束扇区是172032扇区。

3.2.分辨条带(stripe)尺寸

条带，也叫块，是RAID解决数据信息的基本模块。不同的RAID具有不同的条带大小。RAID-5的条带组有一个检查区，检查区的大小相当于一个条带的大小。基于此，本文分析了这个RAID-5的例子。如果不知道VMFS的系统文件，可以根据对比分析来确定条带大小。例如，波段组中的校准区域很可能与该波段组中的非校准区域显著不同，通过WinHex查询和比较可以找到波段大小。在本例中，一个条带有1024个扇区。

3.3分辨RAID-5组员盘盘序

根据1024扇区分段，一条记录相当于一个条带的大小，如图5所示。还有9张碟片跳到了同样的283123的记录。

图5

当所有9个磁盘都精确定位在同一位置时，根据比较可以区分校准区域的趋势，进而可以区分所有RAID-5的趋势。已经认识到第9张盘是之前的第一张盘。把第9张碟片放在第一个位置，然后就可以辨别方向了。结果如图6所示(drive9是第4张光盘)。很明显RAID-5是从左边移动的，磁盘顺序是9，2，3，4，10，1，7，8，5。

图6

前面基本明确了LUN的起始扇区和结束扇区是172032个扇区。用WinHex跳转到172032扇区，观察每个电脑硬盘的具体情况。如果扇区172032是LUN的起始和结束扇区，则该扇区条带中的磁盘5应该是检查区域，但该条带显示的信息表明磁盘6是检查区域。按照本例中RAID-5的左向，磁盘5的校验区应该在扇区172032-1024=171008，也就是前面的条带。自动跳转到扇区171008，发现校准区是磁盘5。因此，很清楚LUN的起始和结束扇区是171008个扇区。

3.资产重组RAID-5

应用专业的还原软件按照明盘顺序更稳定，添加了，如图7所示。选择RAID-5，条带大小512KB，左多线程。

图7

点击【建立】，进行资产重组。稳定后，由于数据信息是从1024*8=8192个扇区开始的，如果技术专业恢复软件没有自动跳转到这个扇区，那么新稳定的RAID必须重新用一个文件进行楼宇资产重组的实际 *** 作。选择8192作为RAID的起始扇区。这个文件可以随机选择起始扇区和计数扇区，如图8和图9所示。图10是一个更稳定的RAID-5。

图8

图9

图10

4.转交数据信息

RAID-5全部改造后，我来到企业的业务接待处，接触客户的工程验收数据信息。客户明确表示数据信息没有问题。签订工程验收合同后，即可移交详细的RAID-5数据信息。根据客户端的规定，将数据信息转移到客户端生成的新开楼盘中。修复后的数据信息在我们的企业网服务器上保存三天，然后数据信息会被系统软件彻底销毁。