服務器數據恢復環境：

NetApp某型號存儲，共96塊SAS硬盤，劃分的lun都映射給小型機使用，存放的是Oracle數據庫文件，采用ASM裸設備存儲方式。

服務器故障：

管理員誤操作刪除了該NetApp存儲上的所有lun。具體情況是：工作人員給NetApp存儲設備重新劃分空間，直接把存儲的卷全部刪除并進行重新分配。在刪除所有卷后還沒有來得及分配的時候，上層業務就出現異常。運維工程師緊急排查故障情況，發現業務服務器上的磁盤都不見了，無法訪問數據。

服務器數據恢復過程：

1、為了預防在數據恢復過程中可能對原始磁盤數據造成的二次破壞，將該NetApp存儲上的每塊磁盤以只讀方式做完整鏡像。后續所有的數據分析和數據恢復操作都在鏡像文件上進行。

2、基于鏡像文件分析Netapp存儲數據。

a、分析盤序和LVM的組成方式;

b、掃描硬盤內的所有節點，一般只掃描“MBFI”。

c、在節點掃描結果中找到文件大小符合需求的節點并提取此節點uid，并判斷索引根。

d、根據索引根內的第一級數據指針提取本文件的所有直接數據指針(需要參考節點中0x03位置的MAP深度。為0x00時直接從節點內提取數據，為0x01時需要提取一次MAP，為0x02時需要提取兩次MAP......)。在指針提取完畢后開始提取文件數據。

3、解析超級塊。在硬盤的前面扇區的位置找到超級塊相關信息，從超級塊中獲取到磁盤組名字、磁盤組的邏輯起始塊號、總塊數、磁盤組中raid的編號。

netapp超級塊信息：

北亞企安數據恢復——NetApp數據恢復

4、剔除校驗盤。

每個數據塊占8個扇區，數據塊后附加64字節數據塊描述信息。根據這些信息可以判斷出作為校驗盤(提取數據時校驗盤需剔除)的磁盤。

校驗塊描述信息：

北亞企安數據恢復——NetApp數據恢復

5、判斷aggr盤。

確定各個磁盤所屬aggr組，然后判斷組內盤序(依據每塊磁盤8號扇區的磁盤信息以及磁盤末尾的RAID盤序表確定盤序)。數據指針跳轉時不考慮校驗盤，所以只取得數據盤的盤序即可。

netapp盤序表：

北亞企安數據恢復——NetApp數據恢復

6、分析節點及節點頭部信息。

Netapp的節點分布在數量眾多的數據塊內，在數據塊內又被統一組織為節點組。每個節點組的前半部分字節記錄系統數據，后半部分字節記錄各個文件節點。根據用戶級別可將節點分為兩類：“MBFP”系統文件節點和“MBFI”用戶文件節點，在數據恢復時一般只取MBFI節點組即可。

netapp節點樣：

北亞企安數據恢復——NetApp數據恢復

7、獲取目錄項，并根據目錄項節點編號找到對應節點。

目錄項信息：

北亞企安數據恢復——NetApp數據恢復

8、分析出該Netapp存儲結構后，用北亞企安自研的NetApp解析程序解析asm文件系統，提取出oracle數據庫文件。

北亞企安數據恢復——NetApp數據恢復

9、搭建小機環境并安裝oracle數據庫，檢測提取出來的數據庫文件和備份文件。

10、使用提取出的數據庫文件啟動oracle數據庫，啟動正常。

11、使用最新的數據庫備份文件還原數據庫，然后由用戶方親自進行驗證，經過反復驗證，用戶方確認恢復出來的oracle數據庫數據完整可用，數據恢復工作完成。

審核編輯：湯梓紅