服務器數據恢復環境：

某公司一臺EMC某型號存儲中有一組由12塊硬盤組建的raid5磁盤陣列，其中有2塊盤作為熱備盤使用。

服務器故障&分析：

raid5磁盤陣列中有2塊磁盤離線，只有1塊熱備盤成功啟用，另外一塊熱備盤未啟用，raid陣列崩潰。

服務器硬盤離線的原因無非為磁盤出現物理故障或者硬盤出現壞道。由于EMC的raid控制器磁盤檢查策略比較嚴格，經常將陣列中性能不穩定的磁盤判定為物理故障并踢出陣列。所以導致EMC存儲中磁盤陣列崩潰的原因有可能是由于磁盤讀寫不穩定。

服務器數據恢復過程：

1、將故障存儲中所有磁盤編號后取出，由硬件工程師對所有磁盤做物理故障檢測，經過檢測發現沒有磁盤存在物理故障和壞道。以只讀方式將所有磁盤做全盤鏡像備份，備份完成后將所有磁盤按照編號還原到原存儲中。后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。

北亞企安數據恢復——ZFS文件系統數據恢復

2、基于鏡像文件分析原RAID5磁盤陣列結構，經過分析發現2塊熱備盤上沒有數據，其中一塊熱備盤已成功激活并替換了其中的一塊離線磁盤，但數據并未同步。繼續分析條帶大小、數據的分布規律、磁盤順序等raid相關信息，發現有一塊盤在同一條帶上的數據與raid中其他硬盤不同，初步判斷該盤為掉線較早的硬盤。使用北亞企安自主開發的raid校驗程序對此條帶進行校驗，確認這塊盤為先掉線的盤。通過分析獲取到的raid相關信息虛擬重構原raid5磁盤陣列。

3、對磁盤陣列中的LUN信息進行分析后解釋map數據并導出。使用北亞企安自主開發程序解釋zfs文件系統，某些文件系統中的文件在解析過程中報錯。北亞企安數據恢復工程師手動debug程序做后發現報錯的原因是ZFS文件系統在進行I/O操作時raid陣列崩潰導致某些元文件損壞，程序無法正常解釋。只有修復好損壞的文件系統元文件后，才能使用程序解析ZFS文件系統。

4、使用程序解析修復好的ZFS文件系統，解析所有文件節點及目錄結構。經過用戶方工程師的反復驗證，確認恢復出來的數據完整可用。

部分文件目錄和驗證截圖：

北亞企安數據恢復——ZFS文件系統數據恢復

北亞企安數據恢復——ZFS文件系統數據恢復

北亞企安數據恢復——ZFS文件系統數據恢復

審核編輯：湯梓紅