服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

EMC Unity某型號(hào)存儲(chǔ)，連接了2臺(tái)硬盤(pán)柜。2臺(tái)硬盤(pán)柜上創(chuàng)建2組互相獨(dú)立的POOL，2組POOL共有21塊520字節(jié)硬盤(pán)。21塊硬盤(pán)組建了2組RAID6，1號(hào)RAID6有11塊硬盤(pán). 2號(hào)RAID6有10塊硬盤(pán)。

服務(wù)器故障&檢測(cè)：

工作人員誤操作，刪除了2組POOL上的部分?jǐn)?shù)據(jù)卷。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：

1、將故障存儲(chǔ)全部硬盤(pán)編號(hào)后取出，由硬件工程師進(jìn)行硬件故障檢測(cè)，沒(méi)有發(fā)現(xiàn)有硬盤(pán)存在硬件故障。以只讀方式對(duì)所有磁盤(pán)進(jìn)行扇區(qū)級(jí)別的鏡像備份，并轉(zhuǎn)換為512字節(jié)格式。備份完成后按照編號(hào)將所有磁盤(pán)還原到原存儲(chǔ)設(shè)備中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。

2、基于鏡像文件分析所有磁盤(pán)的底層數(shù)據(jù)。因?yàn)橛脖P(pán)底層數(shù)據(jù)量較多，刪除數(shù)據(jù)卷后，相關(guān)數(shù)據(jù)空間應(yīng)該還沒(méi)有回收清零，數(shù)據(jù)恢復(fù)可能性比較大。

3、基于鏡像文件分析2組raid6陣列，獲取到2組raid6陣列的相關(guān)信息。根據(jù)獲取到的raid6相關(guān)信息虛擬重組2組RAID6陣列，并分別導(dǎo)出成鏡像文件。

4、讀取，整理每組RAID6陣列前面的全局位圖信息。將整理好的位圖信息寫(xiě)入到數(shù)據(jù)庫(kù)。

存儲(chǔ)的全局位圖：

北亞企安數(shù)據(jù)恢復(fù)——EMC存儲(chǔ)數(shù)據(jù)恢復(fù)

offset代表RAID(POOL)中的數(shù)據(jù)塊的塊號(hào)。據(jù)此可以大致獲取RAID(POOL)中被刪除的數(shù)據(jù)卷對(duì)應(yīng)的已釋放的數(shù)據(jù)塊。

5、遍歷掃描獲取到的自由數(shù)據(jù)塊，找到被刪除的數(shù)據(jù)卷的頭部。確定用戶(hù)數(shù)據(jù)的一個(gè)索引信息并根據(jù)這個(gè)索引信息索引到完整的用戶(hù)數(shù)據(jù)卷。讀取被刪除的數(shù)據(jù)卷的頭部，獲取到用戶(hù)數(shù)據(jù)卷的部分索引位圖。繼續(xù)遍歷掃描自由數(shù)據(jù)塊&獲取到剩余的索引位圖。

北亞企安數(shù)據(jù)恢復(fù)——EMC存儲(chǔ)數(shù)據(jù)恢復(fù)

6、與用戶(hù)溝通后得知被刪除的幾個(gè)數(shù)據(jù)卷全部為NTFS格式。根據(jù)NTFS文件系統(tǒng)的結(jié)構(gòu)，結(jié)合自由數(shù)據(jù)塊位圖和用戶(hù)數(shù)據(jù)卷索引位圖，北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)程序?qū)ψ杂蓴?shù)據(jù)塊進(jìn)行匹配拼接，完整拼接復(fù)原出5個(gè)NTFS格式的數(shù)據(jù)卷。

北亞企安數(shù)據(jù)恢復(fù)——EMC存儲(chǔ)數(shù)據(jù)恢復(fù)

7、數(shù)據(jù)卷拼接完成后，對(duì)數(shù)據(jù)卷中NTFS文件系統(tǒng)的正確性及完整性進(jìn)行校驗(yàn)，修復(fù)文件系統(tǒng)中的錯(cuò)誤。北亞企安數(shù)據(jù)恢復(fù)工程師手工對(duì)部分未匹配到的自由數(shù)據(jù)塊進(jìn)行分析處理，并拼接到相應(yīng)的數(shù)據(jù)卷中。

8、解析恢復(fù)出的數(shù)據(jù)卷，將數(shù)據(jù)拷貝到用戶(hù)方準(zhǔn)備好的環(huán)境中。

9、經(jīng)過(guò)用戶(hù)方工程師的驗(yàn)證，確認(rèn)被刪除的數(shù)據(jù)卷完全恢復(fù)，數(shù)據(jù)完整可用，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯：湯梓紅