服務器數據恢復環境：
一臺IBM某型號服務器，4塊SAS磁盤組建了一組RAID5磁盤陣列。服務器安裝的windows server操作系統，上面運行了一個Oracle單節點，數據存儲為文件系統，無歸檔。該oracle數據庫的數據量不大，只有一個用戶，使用默認的users表空間，users空間下只有一個不大的數據文件。

服務器故障：
由于服務器超負荷運行，RAID5磁盤陣列出現問題。為了保證服務器能正常穩定運行，工作人員做了重建RAID的操作，在重建RAID過程中由于RAID中的一塊磁盤出現故障，RAID初始化中止，少量數據被同步而破壞，但是RAID5磁盤陣列已經可以訪問。
服務器操作系統雖然出現錯誤，但還能正常啟動。oracle數據庫所在D盤分區報錯無法打開，工作人員做了chkdsk后能正常打開D盤分區，但oracle數據庫無法啟動。工作人員在D盤上重裝了oracle數據庫并導入了以前備份的dmp文件，但數據和出故障前的oracle數據庫數據相差太多。

服務器數據恢復過程：
1、將故障服務器中所有磁盤編號后取出，以只讀方式進行全盤鏡像備份，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、基于鏡像文件分析RAID。因為重建RAID會給數據造成嚴重的破壞，但經過對底層數據的分析發現重建的RAID的塊大小、盤序都和原來的RAID一致。在初始化過程中僅同步了前面部分的少量數據，RAID數據損壞不大，數據庫還沒被破壞。
3、Chkdsk并不會破壞用戶數據區，chkdsk只對文件系統元數據區進行修改。執行chkdsk操作后oracle數據庫文件沒有被破壞，最多只是文件的MFT或目錄項被破壞。真正對數據破壞嚴重的操作是重裝Oracle數據庫和導入dmp文件，這一系列操作不僅對文件系統元數據區造成了破壞，還將用戶數據區進行了覆蓋。
4、基于鏡像文件分析D盤的NTFS文件系統，發現所有原oracle數據文件的MFT均被覆蓋，NTFS日志也被輪回覆蓋，從NTFS元數據區找不到可利用信息。數據恢復工程師只能使用北亞企安自主研發的Oracle恢復程序對整個D盤分區進行恢復。
5、經過程序的掃描，發現Oracle實例為ANSORA，掃描出一個原始完整的控制文件和一個原始完整的undotbs表空間數據文件。重要的system和users表空間數據文件都被不同程度的破壞：其中system表空間的數據文件僅剩中后部的十多MB，原始文件應該約有幾百MB；users表空間的數據文件有部分被覆蓋，僅剩幾
MB。提取出找到的數據，然后對損壞嚴重的數據庫進行修復。
6、由于system表空間不可用，無法得到數據字典。經過溝通，用戶方確認了有重要的三張表，從imp回去的數據庫中獲取到這三張表的結構，再從恢復users表空間的數據文件中找到對應的segment。但有一張表無法對應上，再次溝通得知這一張表有過更改字段的操作，北亞企安數據恢復工程師只能重新構建新的表結構對應上users表空間數據文件中segment，然后通過dul工具提取這三張表的數據。
7、提取完成數據后由用戶方工程師進行驗證，經過反復驗證，用戶方工程師確認恢復出來的數據有效。本次數據恢復工作完成。

審核編輯 黃宇