服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
一臺(tái)服務(wù)器有32塊硬盤，采用Windows操作系統(tǒng)。
服務(wù)器在正常運(yùn)行的時(shí)候突然變得不可用。沒有異常斷電、進(jìn)水、異常操作、機(jī)房不穩(wěn)定等外部因素。服務(wù)器管理員重啟服務(wù)器，但是服務(wù)器無法進(jìn)入系統(tǒng)。管理員聯(lián)系北亞企安數(shù)據(jù)恢復(fù)工程師要求恢復(fù)服務(wù)器數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器上所有硬盤做好標(biāo)記后取出，經(jīng)過硬件工程師檢測(cè)后沒有發(fā)現(xiàn)有硬盤存在硬件故障。將所有硬盤以只讀方式進(jìn)行扇區(qū)級(jí)完整鏡像，鏡像完成后將所有硬盤根據(jù)標(biāo)記按照原樣還原到原服務(wù)器中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數(shù)據(jù)，經(jīng)過分析發(fā)現(xiàn)：故障服務(wù)器采用zfs文件系統(tǒng)。所有磁盤組建了幾組RAIDZ。熱備盤全部啟用。
在服務(wù)器ZFS文件系統(tǒng)中，池被稱為ZPOOL。ZPOOL的子設(shè)備可以有很多種類，包括塊設(shè)備、文件、磁盤等等，本案例中就是三組RAIDZ作為子設(shè)備。
經(jīng)過分析發(fā)現(xiàn)，三組RAIDZ中的兩組RAIDZ分別啟用1個(gè)和3個(gè)熱備盤。熱備盤啟用后，第一組RAIDZ又有一塊盤離線，第二組RAIDZ則有兩塊硬盤離線。
通過上述分析結(jié)果模擬故障：三組RAIDZ中的兩組RAIDZ出現(xiàn)離線盤，熱備盤自動(dòng)上線替換。熱備盤無冗余狀態(tài)下，其中一組RAIDZ出現(xiàn)離線硬盤的RAIDZ又有一塊盤離線，另外一組RAIDZ中又出現(xiàn)兩塊離線盤。ZPOOL進(jìn)入高負(fù)荷狀態(tài)；2塊盤離線的RAIDZ中又有第三塊盤離線，RAIDZ崩潰、ZPOOL下線、服務(wù)器崩潰。
3、重組ZPOOL，追蹤數(shù)據(jù)入口。
ZFS對(duì)所有磁盤進(jìn)行統(tǒng)一管理。在數(shù)據(jù)存儲(chǔ)時(shí)，ZFS會(huì)為每次寫入的數(shù)據(jù)分配適當(dāng)大小的空間，并計(jì)算得到指向子設(shè)備的數(shù)據(jù)指針。這種精細(xì)化的管理方式使得ZFS能夠更高效地利用磁盤空間，并且在數(shù)據(jù)存儲(chǔ)和檢索時(shí)更加靈活和智能。
當(dāng)出現(xiàn)缺盤情況時(shí)，常規(guī)RAID和ZFS的處理方式也截然不同。常規(guī)RAID通?？梢酝ㄟ^校驗(yàn)機(jī)制，利用剩余磁盤上的數(shù)據(jù)來恢復(fù)丟失的數(shù)據(jù)，因?yàn)樗诖鎯?chǔ)時(shí)已經(jīng)按照固定的規(guī)則分布了校驗(yàn)信息。
但對(duì)于ZFS管理的存儲(chǔ)池，當(dāng)RAIDZ（ZFS的一種RAID實(shí)現(xiàn)方式）缺盤時(shí)，無法直接進(jìn)行校驗(yàn)得到數(shù)據(jù)。這是因?yàn)閆FS的存儲(chǔ)特性使得數(shù)據(jù)和校驗(yàn)信息的分布更為復(fù)雜，必須將整個(gè)ZPOOL（ZFS存儲(chǔ)池）作為一個(gè)整體進(jìn)行解析，才能嘗試恢復(fù)數(shù)據(jù)。這種方式雖然在缺盤恢復(fù)時(shí)相對(duì)復(fù)雜，但也保證了數(shù)據(jù)的完整性和一致性。
北亞企安數(shù)據(jù)恢復(fù)工程師手工截取事務(wù)塊數(shù)據(jù)，編寫程序獲取最大事務(wù)號(hào)入口。
獲取文件系統(tǒng)入口：

北亞企安數(shù)據(jù)恢復(fù)—RAIDZ數(shù)據(jù)恢復(fù)

獲取到文件系統(tǒng)入口后，北亞企安數(shù)據(jù)恢復(fù)工程師編寫數(shù)據(jù)指針解析程序進(jìn)行地址解析。
解析數(shù)據(jù)指針：

北亞企安數(shù)據(jù)恢復(fù)—RAIDZ數(shù)據(jù)恢復(fù)

獲取到文件系統(tǒng)入口點(diǎn)在各磁盤分布情況后，數(shù)據(jù)恢復(fù)工程師開始手工截取并分析文件系統(tǒng)內(nèi)部結(jié)構(gòu)。經(jīng)過分析發(fā)現(xiàn)入口分布所在的磁盤組無缺失盤，可直接提取信息。根據(jù)ZFS文件系統(tǒng)的數(shù)據(jù)存儲(chǔ)結(jié)構(gòu)順利找到映射的LUN名稱，進(jìn)而找到其節(jié)點(diǎn)。
4、經(jīng)過分析發(fā)現(xiàn)此存儲(chǔ)中的ZFS版本與開源版本有較大差別，無法使用原先開發(fā)的解析程序進(jìn)行解析，所以數(shù)據(jù)恢復(fù)工程師重新編寫數(shù)據(jù)提取程序。

北亞企安數(shù)據(jù)恢復(fù)—RAIDZ數(shù)據(jù)恢復(fù)

由于磁盤組內(nèi)缺盤個(gè)數(shù)較多，每個(gè)IO流都需要通過校驗(yàn)得到，提取進(jìn)度極為緩慢。與用戶方溝通后得知，此ZVOL卷映射到XenServer作為存儲(chǔ)設(shè)備，用戶方所需的文件在其中一個(gè)vhd內(nèi)。提取ZVOL卷頭部信息，按照XenStore卷存儲(chǔ)結(jié)構(gòu)進(jìn)行分析，發(fā)現(xiàn)該vhd在整個(gè)卷的尾部，計(jì)算得到其起始位置后從此位置開始提取數(shù)據(jù)。
5、Vhd提取完成后，驗(yàn)證其內(nèi)部的壓縮包及圖片、視頻等文件，均可正常打開。
交由用戶方驗(yàn)證數(shù)據(jù)，經(jīng)過驗(yàn)證發(fā)現(xiàn)文件數(shù)量與系統(tǒng)自動(dòng)記錄的文件個(gè)數(shù)一致。驗(yàn)證文件可用性，文件全部可正常打開，服務(wù)器數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇