服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境&故障：
EMC Unity 400存儲(chǔ)連接了2臺(tái)硬盤柜。2臺(tái)硬盤柜上一共有21塊硬盤（520字節(jié)）。21塊盤組建了2組RAID6：一組有11塊硬盤，一組有10塊硬盤。
在存儲(chǔ)運(yùn)行過(guò)程中，管理員誤操作刪除了 2組POOL上的部分?jǐn)?shù)據(jù)卷。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將硬盤柜中所有硬盤做好標(biāo)記后取出，硬件工程師對(duì)所有硬盤進(jìn)行檢測(cè)后沒(méi)有發(fā)現(xiàn)有硬盤存在硬件故障。于是將所有磁盤以只讀方式進(jìn)行扇區(qū)級(jí)鏡像，并將硬盤轉(zhuǎn)換為512字節(jié)格式。鏡像完成后將所有磁盤按照原樣還原到原硬盤柜中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、與用戶方進(jìn)行溝通后得知共有5個(gè)數(shù)據(jù)卷被刪除了?；阽R像文件對(duì)所有硬盤的底層數(shù)據(jù)進(jìn)行分析，發(fā)現(xiàn)硬盤底層數(shù)據(jù)量較多。用戶方刪除數(shù)據(jù)卷后，相關(guān)數(shù)據(jù)空間沒(méi)有回收清零，數(shù)據(jù)恢復(fù)可能性比較高。
3、根據(jù)分析底層數(shù)據(jù)所獲取到的raid信息虛擬重組出這2組RAID，并分別導(dǎo)出成鏡像文件。
4、讀取，整理每組RAID前面的全局位圖信息。
存儲(chǔ)的全局位圖：

北亞企安數(shù)據(jù)恢復(fù)—EMC存儲(chǔ)數(shù)據(jù)恢復(fù)

將整理后的位圖信息寫入數(shù)據(jù)庫(kù)。
北亞企安數(shù)據(jù)恢復(fù)工程師分析整理后的全局位圖，獲取POOL中被刪除的數(shù)據(jù)卷所對(duì)應(yīng)的已釋放的數(shù)據(jù)塊。
5、自由數(shù)據(jù)塊整理
遍歷掃描獲取到的自由數(shù)據(jù)塊，找到被刪除的數(shù)據(jù)卷的頭部。在被刪除的數(shù)據(jù)卷頭部找到一個(gè)索引信息，根據(jù)這個(gè)索引信息可以索引到完整的用戶數(shù)據(jù)卷。
讀取被刪除的數(shù)據(jù)卷的頭部，獲取到用戶數(shù)據(jù)卷的部分索引位圖。同時(shí)遍歷掃描自由數(shù)據(jù)塊，獲取到剩余的索引位圖。

北亞企安數(shù)據(jù)恢復(fù)—EMC存儲(chǔ)數(shù)據(jù)恢復(fù)

6、和用戶方溝通后得知，刪除的5個(gè)數(shù)據(jù)卷全部為NTFS格式的數(shù)據(jù)卷。根據(jù)NTFS文件系統(tǒng)結(jié)構(gòu)，結(jié)合自由數(shù)據(jù)塊位圖和用戶數(shù)據(jù)卷索引位圖，北亞企安數(shù)據(jù)恢復(fù)工程師編寫程序匹配拼接自由數(shù)據(jù)塊，完整拼接復(fù)原出5個(gè)NTFS格式的數(shù)據(jù)卷。

北亞企安數(shù)據(jù)恢復(fù)—EMC存儲(chǔ)數(shù)據(jù)恢復(fù)

7、數(shù)據(jù)卷拼接完成后開(kāi)始校驗(yàn)數(shù)據(jù)卷中NTFS文件系統(tǒng)的正確性及完整性，修復(fù)文件系統(tǒng)中的錯(cuò)誤。北亞企安數(shù)據(jù)恢復(fù)工程師手工分析處理部分未匹配到的自由數(shù)據(jù)塊，拼接到相應(yīng)的數(shù)據(jù)卷中。
8、解析恢復(fù)出的數(shù)據(jù)卷，將數(shù)據(jù)拷貝到準(zhǔn)備好的空間中。
9、經(jīng)過(guò)用戶方的驗(yàn)證，確認(rèn)被刪除的5個(gè)數(shù)據(jù)卷的數(shù)據(jù)完整恢復(fù)，數(shù)據(jù)全部可用，用戶方認(rèn)可本次數(shù)據(jù)恢復(fù)結(jié)果。

審核編輯 黃宇