服务器数据恢复-HP LeftHand存储数据恢复案例

HP-LeftHand存储简介：
HP LeftHand存储支持RAID5、RAID6、RAID10磁盘阵列，支持卷快照，卷动态扩容等。
服务端：

北亚企安数据恢复——LeftHand存储数据恢复

客户端：

北亚企安数据恢复——LeftHand存储数据恢复

LeftHand存储分为三个层级：物理磁盘、逻辑磁盘、逻辑卷。多个物理磁盘组成一个逻辑的磁盘，也就是RAID磁盘阵列；将不同RAID磁盘阵列组成一个空间，将空间中不同的区域划分为一个一个的卷。

北亚企安数据恢复——LeftHand存储数据恢复

卷由不同RAID阵列的N个不连续的片段组成，是用户的可用空间，存放文件系统以及用户的数据，RAID前面一部分空间用来存储记录这些片段的MAP。RAID是LeftHand存储能识别的最小单元，LeftHand存储使用比较多的是RAID5或RAID6。物理磁盘中存放的数据是不连续的，如果组建的是RAID5或RAID6，那么物理磁盘中还存放有校验数据。

HP-LeftHand存储故障：
某法院的一台LeftHand存储因raid磁盘故障导致存储不可用，更换磁盘强制上线后存储仍然不可用。
存储结构：

北亚企安数据恢复——LeftHand存储数据恢复

HP-LeftHand存储数据恢复过程：
1、由硬件工程师先对故障存储中的所有硬盘做检测，所有磁盘均可正常读取，没有发现存在物理故障。
2、将所有磁盘以只读方式做全盘镜像，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
3、基于镜像文件分析底层数据。故障存储中有2组RAID5：第一组是HP双循环RAID5，该RAID正常；第二组也是RAID5，出现问题的就是第二次RAID5。根据RAID5的特点，第二组RAID中掉盘数量至少为2块。
4、北亚企安数据恢复工程师通过穷举+校验的方法分析找出第二组RAID中早掉线的那块磁盘并踢出，根据分析获取到的RAID相关信息重组RAID。
注：穷举法：假设其中一块磁盘是早掉线的，踢掉此盘，重组RAID然后生成全部数据，将数据挂载到环境中看数据是否正确。如果数据不正确，那么再假设另一块盘是早掉线的，以此循环。虽然这种方案可行，但是每次重组RAID生成数据耗时较长且准确率低。
穷举+校验法：和穷举法一样，假设某个磁盘是早掉线的，踢掉磁盘后重组RAID，但不生成全部的数据，而是只生成前面几个G的数据，因为HP-LeftHand存储的数据的索引表位图位于RAID的前几个G的数据范围。只要通过查看这个索引表位图的信息是否正确就可以判断此RAID是否正确。如果正确就生成此RAID的全部数据。
5、将生成的数据和第一组完好的RAID一同挂载到故障存储上，启动存储，上层卷可用，检查最新文件没有发现问题。交由用户方检测，用户方工程师经过反复认证检测，确认恢复数据完整有效。本次数据恢复工作完成。

审核编辑 黄宇