服務器數據恢復環境：

EMC Unity某型號存儲;

存儲設備連接的2臺硬盤柜上共創建2組獨立的POOL;

2組POOL共包含21塊520字節的硬盤。

服務器故障&檢測：

誤操作刪除了2組POOL上的部分數據卷，和用戶溝通后得知有5個數據卷被誤刪。

拿到故障設備的所有硬盤后，服務器數據恢復工程師對全部硬盤做鏡像備份，將硬盤轉換為512字節格式。

檢測&分析硬盤底層數據，發現硬盤底層數據量比較大，服務器數據恢復工程師推測數據卷被刪除后相關數據空間應該沒有被回收清零，恢復出數據的可能性比較大。

服務器數據恢復過程：

1、基于鏡像文件分析被誤刪卷涉及到的硬盤數據，發現故障存儲設備上一共配置了2組RAID6。其中一組RAID6包含11塊硬盤. 另外一組RAID6包含10塊硬盤。

2、根據分析獲取到的raid相關信息虛擬重組出2組RAID6，以鏡像文件形式導出。

3、讀取并整理每組RAID6的全局位圖信息。

北亞數據恢復——EMC存儲數據恢復

4、將整理出來的位圖信息寫入數據庫。

整理后的全局位圖中，offset代表RAID(POOL)中的數據塊的塊號，據此可以大致獲取到RAID(POOL)中被刪除的數據卷對應的已釋放的數據塊。

5、遍歷掃描獲取到的自由數據塊，找到被刪除的數據卷的頭部。確定用戶數據的一個索引信息，根據這個索引信息可以索引到完整的用戶數據卷。

6、通過讀取被誤刪數據卷的頭部獲取用戶數據卷的部分索引位圖。繼續遍歷掃描自由數據塊獲取剩余的索引位圖。

北亞數據恢復——EMC存儲數據恢復

7、和用戶溝通得知被誤刪的5個數據卷全部為NTFS格式。根據NTFS文件系統的結構，結合自由數據塊位圖和用戶數據卷索引位圖，北亞數據恢復工程師編寫程序匹配拼接自由數據塊，最終完整拼接復原出5個NTFS格式的數據卷。

北亞數據恢復——EMC存儲數據恢復

8、數據卷拼接完成后，校驗數據卷中NTFS文件系統的正確性及完整性并修復文件系統中的錯誤，北亞數據恢復工程師手工分析處理部分未匹配到的自由數據塊并拼接到相應的數據卷中。

9、解析恢復出來的數據卷，將數據拷貝到用戶準備好的目標空間中。

10、經過用戶的親自驗證，被誤刪的5個數據卷基本完全恢復，數據可用。

審核編輯：湯梓紅