服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)環(huán)境&故障：
某存儲(chǔ)設(shè)備中一共有40塊磁盤(pán)組建存儲(chǔ)池，其中4塊磁盤(pán)作為全局熱備盤(pán)使用。存儲(chǔ)池內(nèi)劃分出若干空間映射到服務(wù)器使用。
服務(wù)器存儲(chǔ)設(shè)備在沒(méi)有斷電、進(jìn)水、異常操作、供電不穩(wěn)定等外部因素的情況下突然崩潰。管理員重啟服務(wù)器后無(wú)法進(jìn)入操作系統(tǒng)，數(shù)據(jù)丟失。

服務(wù)器存儲(chǔ)數(shù)據(jù)恢復(fù)過(guò)程：
1、將故障存儲(chǔ)中所有硬盤(pán)做好標(biāo)記后取出，以只讀方式進(jìn)行完整硬盤(pán)鏡像。鏡像完后把所有磁盤(pán)按照編號(hào)還原到原存儲(chǔ)設(shè)備中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤(pán)的底層數(shù)據(jù)，北亞企安數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)所有磁盤(pán)是通過(guò)ZFS進(jìn)行管理，磁盤(pán)內(nèi)記錄系統(tǒng)元信息的NVLIST較為混亂。需要恢復(fù)數(shù)據(jù)的磁盤(pán)分為三組，每組12塊；單個(gè)組使用ZFS特有的RAIDZ管理所有磁盤(pán)；RAIDZ級(jí)別為2，即每個(gè)組內(nèi)可缺失磁盤(pán)個(gè)數(shù)最大為2；全局熱備盤(pán)全部啟用。
Tips：在ZFS文件系統(tǒng)中，池被稱為ZPOOL。ZPOOL的子設(shè)備可以有很多種類：塊設(shè)備、文件、磁盤(pán)等。本案例中的子設(shè)備為三組RAIDZ。
經(jīng)過(guò)分析發(fā)現(xiàn)，三組RAIDZ中的兩組RAIDZ啟用熱備盤(pán)個(gè)數(shù)分別為1和3。啟用熱備盤(pán)后，第一組RAIDZ又有一塊離線盤(pán)，第二組RAIDZ內(nèi)則又有兩塊盤(pán)離線。
故障模擬：三組RAIDZ內(nèi)第一和二組RAIDZ中有磁盤(pán)離線，熱備盤(pán)自動(dòng)上線進(jìn)行替換；熱備盤(pán)無(wú)冗余情況下第一組RAIDZ中有一塊盤(pán)離線，第二組RAIDZ中有兩塊盤(pán)離線，ZPOOL進(jìn)入高負(fù)荷狀態(tài)（每次讀取數(shù)據(jù)都需要進(jìn)行校驗(yàn)得到正確數(shù)據(jù)）；由于第二組RAIDZ內(nèi)有三塊盤(pán)離線，該組RAIDZ崩潰、ZPOOL下線、服務(wù)崩潰。
3、ZFS管理的存儲(chǔ)池與常規(guī)存儲(chǔ)不同。ZFS管理的存儲(chǔ)池中所有磁盤(pán)都由ZFS進(jìn)行管理。常規(guī)RAID在存儲(chǔ)數(shù)據(jù)時(shí)，只按照特定的規(guī)則組建池，不關(guān)心文件在子設(shè)備上的位置；而ZFS在存儲(chǔ)數(shù)據(jù)時(shí)會(huì)為每次寫(xiě)入的數(shù)據(jù)分配適當(dāng)大小的空間，并通過(guò)計(jì)算得到指向子設(shè)備的數(shù)據(jù)指針。這種特性決定了RAIDZ缺盤(pán)時(shí)無(wú)法直接通過(guò)校驗(yàn)得到數(shù)據(jù)，必須將整個(gè)ZPOOL作為一個(gè)整體進(jìn)行解析。
北亞企安數(shù)據(jù)恢復(fù)工程師手工截取事務(wù)塊數(shù)據(jù)，并編寫(xiě)程序獲取最大事務(wù)號(hào)入口。

北亞企安數(shù)據(jù)恢復(fù)—RAIDZ數(shù)據(jù)恢復(fù)

4、獲取到文件系統(tǒng)入口后，北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)數(shù)據(jù)指針解析程序進(jìn)行地址解析。

北亞企安數(shù)據(jù)恢復(fù)—RAIDZ數(shù)據(jù)恢復(fù)

5、獲取到文件系統(tǒng)入口點(diǎn)在各磁盤(pán)分布情況后，北亞企安數(shù)據(jù)恢復(fù)工程師手工截取并分析文件系統(tǒng)內(nèi)部結(jié)構(gòu)。入口分布所在的磁盤(pán)組無(wú)缺失盤(pán)，可直接提取信息。數(shù)據(jù)恢復(fù)工程師根據(jù)ZFS文件系統(tǒng)的數(shù)據(jù)存儲(chǔ)結(jié)構(gòu)找到映射的LUN名稱，從而找到其節(jié)點(diǎn)。
6、經(jīng)過(guò)分析，數(shù)據(jù)恢復(fù)工程師發(fā)現(xiàn)在此存儲(chǔ)中的ZFS版本與開(kāi)源版本有較大差別，無(wú)法使用以前開(kāi)發(fā)的解析程序解析，所以北亞企安數(shù)據(jù)恢復(fù)工程師重新編寫(xiě)了數(shù)據(jù)提取程序提取數(shù)據(jù)。

北亞企安數(shù)據(jù)恢復(fù)—RAIDZ數(shù)據(jù)恢復(fù)

由于磁盤(pán)組內(nèi)缺盤(pán)個(gè)數(shù)較多，每個(gè)IO流都需要通過(guò)校驗(yàn)得到，提取進(jìn)度極為緩慢。與用戶方溝通后得知，此ZVOL卷映射到XenServer作為存儲(chǔ)設(shè)備，需要恢復(fù)的文件在其中一個(gè)vhd內(nèi)。提取ZVOL卷頭部信息，按照XenStore卷存儲(chǔ)結(jié)構(gòu)進(jìn)行分析，發(fā)現(xiàn)該vhd在整個(gè)卷的尾部，計(jì)算得到其起始位置后從此位置開(kāi)始提取數(shù)據(jù)。
7、Vhd提取完畢后，驗(yàn)證其內(nèi)部的壓縮包及圖片、視頻等文件，均可正常打開(kāi)。
8、用戶方驗(yàn)證數(shù)據(jù)后，確定恢復(fù)出來(lái)的文件數(shù)量與系統(tǒng)自動(dòng)記錄的文件個(gè)數(shù)基本一致，文件全部可正常打開(kāi)。本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇