服務器數(shù)據(jù)恢復環(huán)境&故障：
EMC Unity 400存儲連接了2臺硬盤柜。2臺硬盤柜上一共有21塊硬盤（520字節(jié)）。21塊盤組建了2組RAID6：一組有11塊硬盤，一組有10塊硬盤。
在存儲運行過程中，管理員誤操作刪除了 2組POOL上的部分數(shù)據(jù)卷。

服務器數(shù)據(jù)恢復過程：
1、將硬盤柜中所有硬盤做好標記后取出，硬件工程師對所有硬盤進行檢測后沒有發(fā)現(xiàn)有硬盤存在硬件故障。于是將所有磁盤以只讀方式進行扇區(qū)級鏡像，并將硬盤轉(zhuǎn)換為512字節(jié)格式。鏡像完成后將所有磁盤按照原樣還原到原硬盤柜中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、與用戶方進行溝通后得知共有5個數(shù)據(jù)卷被刪除了?；阽R像文件對所有硬盤的底層數(shù)據(jù)進行分析，發(fā)現(xiàn)硬盤底層數(shù)據(jù)量較多。用戶方刪除數(shù)據(jù)卷后，相關(guān)數(shù)據(jù)空間沒有回收清零，數(shù)據(jù)恢復可能性比較高。
3、根據(jù)分析底層數(shù)據(jù)所獲取到的raid信息虛擬重組出這2組RAID，并分別導出成鏡像文件。
4、讀取，整理每組RAID前面的全局位圖信息。
存儲的全局位圖：

北亞企安數(shù)據(jù)恢復—EMC存儲數(shù)據(jù)恢復

將整理后的位圖信息寫入數(shù)據(jù)庫。
北亞企安數(shù)據(jù)恢復工程師分析整理后的全局位圖，獲取POOL中被刪除的數(shù)據(jù)卷所對應的已釋放的數(shù)據(jù)塊。
5、自由數(shù)據(jù)塊整理
遍歷掃描獲取到的自由數(shù)據(jù)塊，找到被刪除的數(shù)據(jù)卷的頭部。在被刪除的數(shù)據(jù)卷頭部找到一個索引信息，根據(jù)這個索引信息可以索引到完整的用戶數(shù)據(jù)卷。
讀取被刪除的數(shù)據(jù)卷的頭部，獲取到用戶數(shù)據(jù)卷的部分索引位圖。同時遍歷掃描自由數(shù)據(jù)塊，獲取到剩余的索引位圖。

北亞企安數(shù)據(jù)恢復—EMC存儲數(shù)據(jù)恢復

6、和用戶方溝通后得知，刪除的5個數(shù)據(jù)卷全部為NTFS格式的數(shù)據(jù)卷。根據(jù)NTFS文件系統(tǒng)結(jié)構(gòu)，結(jié)合自由數(shù)據(jù)塊位圖和用戶數(shù)據(jù)卷索引位圖，北亞企安數(shù)據(jù)恢復工程師編寫程序匹配拼接自由數(shù)據(jù)塊，完整拼接復原出5個NTFS格式的數(shù)據(jù)卷。

北亞企安數(shù)據(jù)恢復—EMC存儲數(shù)據(jù)恢復

7、數(shù)據(jù)卷拼接完成后開始校驗數(shù)據(jù)卷中NTFS文件系統(tǒng)的正確性及完整性，修復文件系統(tǒng)中的錯誤。北亞企安數(shù)據(jù)恢復工程師手工分析處理部分未匹配到的自由數(shù)據(jù)塊，拼接到相應的數(shù)據(jù)卷中。
8、解析恢復出的數(shù)據(jù)卷，將數(shù)據(jù)拷貝到準備好的空間中。
9、經(jīng)過用戶方的驗證，確認被刪除的5個數(shù)據(jù)卷的數(shù)據(jù)完整恢復，數(shù)據(jù)全部可用，用戶方認可本次數(shù)據(jù)恢復結(jié)果。

審核編輯 黃宇