HP P2000 RAID-5兩塊盤離線的資料恢複報告

存儲：HP P2000

作業系統：VMWARE ESX

檔案系統：VMFS

磁盤陣列：RAID-5

    本案例的RAID-5由10塊lT硬碟組成，其中6号盤是熱備盤，由于故障導緻RAID-5磁盤陣列的兩塊盤掉線，表現為兩塊硬碟亮黃燈。

    經使用者方維護人員檢測，故障硬碟應為實體故障，表現為：序列号無法讀取，在SAS擴充卡上硬碟無法識别。

    故障發生後使用者方工程師與我公司(北亞資料恢複中心)聯系，經過詳細咨詢，了解到故障比較嚴重，必須把RAID-5磁盤陣列帶到我公司進行檢測，檢測RAID-5的每塊成員盤是實體故障(磁頭損壞或者盤片劃傷)還是邏輯故障。由于情況緊急，我北亞工程師在接到原盤以後，立即着手準備檢測。對能識别的好盤用連接配接到北亞鏡像伺服器上使用WinHex做扇區級鏡像，同時對不能識别的壞盤進行檢測。

    首先将壞盤連接配接到外部的SAS擴充卡上，加電後通過硬碟工作聲音判斷硬碟電機能夠起轉，但是磁頭沒有進行尋道操作，于是嘗試把硬碟PCB分離下來對HDA元件氧化部分進行清潔操作，将PCB還原後故障依舊。于是和客戶溝通使用6号熱備盤的好PCB替換到故障盤上進行嘗試性修複，再将故障盤PCB上的ROM晶片替換到6号盤的好PCB上面後硬碟工作時起轉和磁頭尋道聲音都正常，但是在尋道結束後，有明顯的敲盤聲音，于是判斷有可能磁頭損壞。在和使用者溝通後嘗試使用6号熱備盤中的好磁頭對故障盤進行替換操作以讀取資料。

    在無塵室對故障盤進行開盤更換磁頭操作後，将故障盤連接配接到專業硬碟維修工作上進行檢測，發現故障盤已經不能識别，資料無法讀取(下圖是北亞工程師在實驗室開盤時的情景)。

以為使用者有兩塊故障盤，之前嘗試修複的都是其中一塊，再次和客戶溝通嘗試對另一塊故障盤進行修複操作。和先前的故障盤一樣，這塊盤的故障依舊是磁頭損壞，因為使用者的HP OEM盤價格昂貴，于是嘗試在網上購買ST原廠的相同型号硬碟進行磁頭更換。這塊硬碟的磁頭更換完成後，裝置能夠正常識别硬碟，于是将故障盤所有扇區完整鏡像到一塊相同容量的備份盤中。

<a href="http://s3.51cto.com/wyfs02/M02/54/5F/wKioL1SAdwnCmCDZAAFZ50dXCtY612.jpg" target="_blank"></a>

    所有硬碟都鏡像好後就可以重組了，用WinHex打開9塊盤(熱備盤不需要加進去重組)，先把鏡像檔案解析成磁盤。可以看到這9塊盤的0扇區都有“55 AA”标志，如圖1所示。

<a href="http://s3.51cto.com/wyfs02/M02/54/60/wKioL1SAfUKikA-0AANJ0IUkYU8251.bmp" target="_blank"></a>

圖1

    查找結果如圖2所示，0x01C2H處表示該分區的類型，這裡顯示“05”，代表這是一個擴充分區。是以從0扇區看這是一個不正常的MBR分區結構。

<a href="http://s3.51cto.com/wyfs02/M00/54/61/wKiom1SAdnzywafaAACYLT5wzvY452.jpg" target="_blank"></a>

圖2

圖3

    8号盤查詢結果如圖4所示。其0x01C6處數值代表指向下一個扇區。但是下一個扇區很明顯不是GPT的頭部。

<a href="http://s3.51cto.com/wyfs02/M02/54/60/wKioL1SAfb7RxJNvAARuxJM2OKY424.bmp" target="_blank"></a>

圖4

    由此可以确定9号盤是第一塊盤，8号盤可能是最後一塊盤。GPT分區所在扇區起始于172032扇區，是以初步确定LUN的起始扇區是172032扇區。

    條帶也稱塊，它是RAID處理資料的基本單元。不同的RAID其條帶大小有所不同。RAID-5的1個條帶組中有1個校驗區，1個校驗區的大小等于1個條帶的大小，根據這一點，針對這個RAID-5案例做分析。如果對VMFS的檔案系統不熟悉，可以通過比較法确定條帶大小。如某一條帶組中的校驗區跟這一條帶組中的非校驗區可能相差的很明顯，通過WinHex檢視并做對比，就可以找到條帶大小。本案例判斷出一個條帶是1024個扇區。

    按照1024扇區分割，使一個記錄為一個條帶的大小，如圖5所示。并且9塊盤跳到同一記錄283123。

<a href="http://s3.51cto.com/wyfs02/M00/54/61/wKiom1SAdnyiGd_fAAB70sK-nQE034.jpg" target="_blank"></a>

圖5

    當9塊盤都定位到同一位置時，通過對比可以判斷校驗區的走向，繼而判斷整個RAID-5的走向。之前已經判斷出9号盤是第一塊盤了，把9号盤放在第一個位置，接着就可以判斷走向了，結果如圖6所示(drive9是第4塊盤)。确定RAID-5為左走向，盤序為9，2，3，4，10，1，7，8，5。

<a href="http://s3.51cto.com/wyfs02/M00/54/60/wKioL1SAffmREGQQAAkMdL5c6yo498.bmp" target="_blank"></a>

圖6

    前面内容初步确定了LUN的起始扇區是172032扇區。用WinHex跳到172032扇區，觀察各硬碟實際情況。如果172032扇區是LUN的起始扇區，那麼這個扇區所屬條帶中的5号盤應該是校驗區，但是此條帶中卻顯示8号盤是檢驗區，根據本案例RAID-5的左走向，5号盤的校驗區應該在172032-1024=171008扇區，即上一個條帶。跳轉到171008扇區，發現校驗區為5号盤。是以可以确定LUN的起始扇區為171008扇區。

    使用專業恢複工具按照确定的盤序組好，添加進去，如圖7所示。選擇RAID-5，Stripe size 512KB，左異步。

<a href="http://s3.51cto.com/wyfs02/M00/54/61/wKiom1SAfcCCHnSlAAeP-NSuNik950.bmp" target="_blank"></a>

圖7

    點選Build進行重組。組好後，由于資料從1024*8=8192個扇區開始，若專業恢複工具沒有跳轉到此扇區的功能，那麼剛組好的RAID必須和一個檔案再進行一次Build重組操作。RAID的起始扇區(Start sectors)選擇8192，這個檔案可以任意選擇起始扇區和大小大小(Count sectors)，如圖8和圖9所示，圖10是組好的RAID-5。

<a href="http://s3.51cto.com/wyfs02/M01/54/61/wKiom1SAfdGy4-8PAAbMmGtCjtA472.bmp" target="_blank"></a>

圖8

<a href="http://s3.51cto.com/wyfs02/M00/54/60/wKioL1SAfnHhtlqvAAaqeC7ePrQ412.bmp" target="_blank"></a>

圖9

<a href="http://s3.51cto.com/wyfs02/M00/54/60/wKioL1SAfoTgR0sgAASTCDaEkjU287.bmp" target="_blank"></a>

圖10

    整個RAID-5就重建好後，由我公司商務聯系使用者方驗收資料，使用者方确定資料沒問題，簽訂完驗收合同後，完整的RAID-5資料即可移交。移交時根據使用者方要求把資料移交到使用者方帶來的新盤上。恢複完的資料保留在我公司伺服器上3天，之後資料自動被系統銷毀。

本文轉自 張宇 51CTO部落格，原文連結：http://blog.51cto.com/zhangyu/1586471，如需轉載請自行聯系原作者