服務器數據恢復環境：

EMC Unity某型號存儲，連接了2臺硬盤柜。2臺硬盤柜上創建2組互相獨立的POOL，2組POOL共有21塊520字節硬盤。21塊硬盤組建了2組RAID6，1號RAID6有11塊硬盤. 2號RAID6有10塊硬盤。

服務器故障&檢測：

工作人員誤操作，刪除了2組POOL上的部分數據卷。

服務器數據恢復過程：

1、將故障存儲全部硬盤編號后取出，由硬件工程師進行硬件故障檢測，沒有發現有硬盤存在硬件故障。以只讀方式對所有磁盤進行扇區級別的鏡像備份，并轉換為512字節格式。備份完成后按照編號將所有磁盤還原到原存儲設備中，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。

2、基于鏡像文件分析所有磁盤的底層數據。因為硬盤底層數據量較多，刪除數據卷后，相關數據空間應該還沒有回收清零，數據恢復可能性比較大。

3、基于鏡像文件分析2組raid6陣列，獲取到2組raid6陣列的相關信息。根據獲取到的raid6相關信息虛擬重組2組RAID6陣列，并分別導出成鏡像文件。

4、讀取，整理每組RAID6陣列前面的全局位圖信息。將整理好的位圖信息寫入到數據庫。

存儲的全局位圖：

北亞企安數據恢復——EMC存儲數據恢復

offset代表RAID(POOL)中的數據塊的塊號。據此可以大致獲取RAID(POOL)中被刪除的數據卷對應的已釋放的數據塊。

5、遍歷掃描獲取到的自由數據塊，找到被刪除的數據卷的頭部。確定用戶數據的一個索引信息并根據這個索引信息索引到完整的用戶數據卷。讀取被刪除的數據卷的頭部，獲取到用戶數據卷的部分索引位圖。繼續遍歷掃描自由數據塊&獲取到剩余的索引位圖。

北亞企安數據恢復——EMC存儲數據恢復

6、與用戶溝通后得知被刪除的幾個數據卷全部為NTFS格式。根據NTFS文件系統的結構，結合自由數據塊位圖和用戶數據卷索引位圖，北亞企安數據恢復工程師編寫程序對自由數據塊進行匹配拼接，完整拼接復原出5個NTFS格式的數據卷。

北亞企安數據恢復——EMC存儲數據恢復

7、數據卷拼接完成后，對數據卷中NTFS文件系統的正確性及完整性進行校驗，修復文件系統中的錯誤。北亞企安數據恢復工程師手工對部分未匹配到的自由數據塊進行分析處理，并拼接到相應的數據卷中。

8、解析恢復出的數據卷，將數據拷貝到用戶方準備好的環境中。

9、經過用戶方工程師的驗證，確認被刪除的數據卷完全恢復，數據完整可用，本次數據恢復工作完成。

審核編輯：湯梓紅