客户直接将文件服务器搬到我数据恢复中心处进行数据恢复，该服务器由7块企业级的希捷500GB硬盘组成RAID5磁盘阵列。首先对这7块硬盘进行检测，发现6

该三星移动硬盘容量为160GB，接入PC3000检测发现指示灯BUSY常亮，盘体内有敲盘声音，磁头不复位并伴随有敲盘声音的固件和磁头本身出问题的机率很大

客户反应须恢复的数据是一些照片，存放于D盘和E盘，虽然只是进行了分区，但是听客户说后来还安装了大量的游戏，所以估计可能造成了覆盖。经检测

硬盘是西数的，容量有1TB，首先接入PC3000，发现可以正常识别，对硬盘进行进一步的测试，发现该硬盘有大量的坏扇区，应该是客户备份大量日志文件

因为客户经常对该Excel文件进行编辑，所以Excel文件应该会碎片化了，对于加密码的Excel文件做碎片恢复难度是相当大的。于是只能通过通用扫描软件对

该笔记本使用的是日立硬盘，容量为640GB，日立硬盘有个比较典型的固件故障，就是G表的问题报错导致无法读取硬件数据。首先使用PC3000对该硬盘进行

工程师将四块SAS硬盘以单盘的方式接到server上，然后利用镜像工具by disk image将四块盘完整备份到其他存储上，然后通过分析raid结构信息，重新搭建虚拟

工程师为避免故障扩大，首先对故障硬盘做完全扇区级克隆。如部分硬盘有物理故障，交由硬件恢复组解决硬件故障。分析存储使用的的RAID6算法，再按

工程师分析，这三张无法访问的表均有 blob 字段，原因是由断电造成的 lob segment 块损坏，造成表查询被强制中止。原因找到了，接下来是恢复过程。在

工程师根据客户提供的文件名称及修改时间等信息，通过磁盘底层查找文件的索引，发现文件索引没有被破坏，文件有3个碎片，提取出来后文件无法打

工程师通过磁盘底层分析硬盘原来的文件存储结构，发现原来有3个分区，找到原来D盘的信息，手动构建分区信息，将D盘所有数据恢复。

工程师拿到硬盘后分别对硬盘进行检测发现其中一块硬盘存在大量的坏道，而且损坏的位置恰好是ext3文件系统中最重要的超级块位置。对那块完好的硬

工程师将原1TB VMFS存储备份成镜像文件；分析生成的镜像文件，依据VMFS文件系统数据删除特性及用户提供的可参考信息逆向查找丢失的虚拟机文件索引

工程师先是对所有磁盘进行一次完整镜像，就是个备份过程，也是一个对磁盘进行全面检测的过程。检测发现有两块磁盘有严重的物理上坏道，只得使

镜像工程师FreeNAS层分析整个存储，发现就一个900多GB的大文件，文件名： iscsidata。通过UFS2文件系统的二进制结构，定位到 iscsidata 文件的Inode数据，发

工程师开始对所有磁盘进行镜像，发现有两块磁盘有严重物理坏道，通过专用设备最大化镜像出数据，然后着手RAID分析、重组过程。分析发现热备磁盘

用WINHEX打开后发现第一个分区的DBR被破坏了，FAT32的分区，经过查看发现备份DBR也被破坏。移到FAT表发现表正常，找同样分区格式的COPY一个DBR过来，重

这种情况应该只是逻辑故障，问题不大，可以使用WINHEX打开故障盘，分析发现DBR的55AA标志被改写，手动写回后计算BPB参数发现正常。直接保存，数据100%

该TF卡是金士顿的，容量有8GB，像这样的TF卡如果是芯片故障的话想要恢复数据是相当麻烦的，我自己心里也没有底，死马当活马医吧，凭直觉，接上电

拿到这个盘，我马上通电，将盘放在手里，但是不转，闻了一下有烧坏的味道，拆下电路板，一看驱动IC被烧的面目全非的，当时找了一片好板换上去，

接电在终端上显示是F级，这种现象在ST的硬盘大部份是因为磁头有问题而导致的。只有开盘换磁头了，找了一个型号一样，产地一样，生产日期也差不

因多块磁盘出现故障离线，造成RAID5那组RAID崩溃，此时ESX4.1系统还正常，但虚拟机全部丢失。工程师将所有磁盘镜像到安全存储中，在镜像过程中发现

工程师指导客户将存储进行镜像，镜像到一块2TB的硬盘上。工程师将数据库提取出来，并挂载到技王数据恢复中心的 linux orac10.2.0.4 环境中，修改参数文

工程师用 dd 命令，将其ESX Server 的整个存储导入一块单盘中，原存储仅1.4 T。用我们自主研发的 ESX系统的VMFS文件系统数据恢复软件进行恢复.软件扫描出

工程师对500GB数据分区进行备份。分析xfs文件系统meta数据信息，确定文件系统当前状态。标记meta数据的分布位置，并对这些数据做底层分析，确定root目