服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

一臺IBM某型號服務(wù)器，4塊SAS磁盤組建了一組RAID5磁盤陣列。服務(wù)器安裝的windows server操作系統(tǒng)，上面運(yùn)行了一個(gè)Oracle單節(jié)點(diǎn)，數(shù)據(jù)存儲為文件系統(tǒng)，無歸檔。該oracle數(shù)據(jù)庫的數(shù)據(jù)量不大，只有一個(gè)用戶，使用默認(rèn)的users表空間，users空間下只有一個(gè)不大的數(shù)據(jù)文件。

服務(wù)器故障：

由于服務(wù)器超負(fù)荷運(yùn)行，RAID5磁盤陣列出現(xiàn)問題。為了保證服務(wù)器能正常穩(wěn)定運(yùn)行，工作人員做了重建RAID的操作，在重建RAID過程中由于RAID中的一塊磁盤出現(xiàn)故障，RAID初始化中止，少量數(shù)據(jù)被同步而破壞，但是RAID5磁盤陣列已經(jīng)可以訪問。

服務(wù)器操作系統(tǒng)雖然出現(xiàn)錯(cuò)誤，但還能正常啟動(dòng)。oracle數(shù)據(jù)庫所在D盤分區(qū)報(bào)錯(cuò)無法打開，工作人員做了chkdsk后能正常打開D盤分區(qū)，但oracle數(shù)據(jù)庫無法啟動(dòng)。工作人員在D盤上重裝了oracle數(shù)據(jù)庫并導(dǎo)入了以前備份的dmp文件，但數(shù)據(jù)和出故障前的oracle數(shù)據(jù)庫數(shù)據(jù)相差太多。

服務(wù)器數(shù)據(jù)恢復(fù)過程：

1、將故障服務(wù)器中所有磁盤編號后取出，以只讀方式進(jìn)行全盤鏡像備份，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。

2、基于鏡像文件分析RAID。因?yàn)橹亟≧AID會(huì)給數(shù)據(jù)造成嚴(yán)重的破壞，但經(jīng)過對底層數(shù)據(jù)的分析發(fā)現(xiàn)重建的RAID的塊大小、盤序都和原來的RAID一致。在初始化過程中僅同步了前面部分的少量數(shù)據(jù)，RAID數(shù)據(jù)損壞不大，數(shù)據(jù)庫還沒被破壞。

3、Chkdsk并不會(huì)破壞用戶數(shù)據(jù)區(qū)，chkdsk只對文件系統(tǒng)元數(shù)據(jù)區(qū)進(jìn)行修改。執(zhí)行chkdsk操作后oracle數(shù)據(jù)庫文件沒有被破壞，最多只是文件的MFT或目錄項(xiàng)被破壞。真正對數(shù)據(jù)破壞嚴(yán)重的操作是重裝Oracle數(shù)據(jù)庫和導(dǎo)入dmp文件，這一系列操作不僅對文件系統(tǒng)元數(shù)據(jù)區(qū)造成了破壞，還將用戶數(shù)據(jù)區(qū)進(jìn)行了覆蓋。

4、基于鏡像文件分析D盤的NTFS文件系統(tǒng)，發(fā)現(xiàn)所有原oracle數(shù)據(jù)文件的MFT均被覆蓋，NTFS日志也被輪回覆蓋，從NTFS元數(shù)據(jù)區(qū)找不到可利用信息。數(shù)據(jù)恢復(fù)工程師只能使用北亞企安自主研發(fā)的Oracle恢復(fù)程序?qū)φ麄€(gè)D盤分區(qū)進(jìn)行恢復(fù)。

5、經(jīng)過程序的掃描，發(fā)現(xiàn)Oracle實(shí)例為ANSORA，掃描出一個(gè)原始完整的控制文件和一個(gè)原始完整的undotbs表空間數(shù)據(jù)文件。重要的system和users表空間數(shù)據(jù)文件都被不同程度的破壞：其中system表空間的數(shù)據(jù)文件僅剩中后部的十多MB，原始文件應(yīng)該約有幾百M(fèi)B；users表空間的數(shù)據(jù)文件有部分被覆蓋，僅剩幾MB。提取出找到的數(shù)據(jù)，然后對損壞嚴(yán)重的數(shù)據(jù)庫進(jìn)行修復(fù)。

6、由于system表空間不可用，無法得到數(shù)據(jù)字典。經(jīng)過溝通，用戶方確認(rèn)了有重要的三張表，從imp回去的數(shù)據(jù)庫中獲取到這三張表的結(jié)構(gòu)，再從恢復(fù)users表空間的數(shù)據(jù)文件中找到對應(yīng)的segment。但有一張表無法對應(yīng)上，再次溝通得知這一張表有過更改字段的操作，北亞企安數(shù)據(jù)恢復(fù)工程師只能重新構(gòu)建新的表結(jié)構(gòu)對應(yīng)上users表空間數(shù)據(jù)文件中segment，然后通過dul工具提取這三張表的數(shù)據(jù)。

7、提取完成數(shù)據(jù)后由用戶方工程師進(jìn)行驗(yàn)證，經(jīng)過反復(fù)驗(yàn)證，用戶方工程師確認(rèn)恢復(fù)出來的數(shù)據(jù)有效。本次數(shù)據(jù)恢復(fù)工作完成。