服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)服務(wù)器共配備32塊硬盤，組建了4組RAIDZ，Windows操作系統(tǒng)+zfs文件系統(tǒng)。

服務(wù)器故障：
服務(wù)器在運(yùn)行過程中突然崩潰，經(jīng)過初步檢測(cè)檢測(cè)沒有發(fā)現(xiàn)服務(wù)器存在物理故障，重啟服務(wù)器后故障依舊，需要恢復(fù)服務(wù)器內(nèi)的大量數(shù)據(jù)。
經(jīng)過北亞企安數(shù)據(jù)恢復(fù)工程師的初步檢測(cè)，發(fā)現(xiàn)故障服務(wù)器中4組raidz里有兩組raidz中的熱備盤啟動(dòng)。其中第一組raidz啟用了一塊熱備盤，之后又有一塊硬盤掉線；第二組raidz第一塊磁盤離線后又有2塊硬盤掉線，總共啟用了三塊熱備盤。
這兩組raidz中硬盤離線后均啟用了熱備盤替換壞盤，熱備盤上線后這2組raidz中又出現(xiàn)其他硬盤離線的情況。為了得到正確數(shù)據(jù)，zpool在每次讀取數(shù)據(jù)時(shí)都會(huì)進(jìn)行校驗(yàn)。第二組raidz熱備盤上線后又有硬盤離線，服務(wù)器徹底崩潰。

服務(wù)器數(shù)據(jù)恢復(fù)過程：
1、將故障服務(wù)器中所有磁盤編號(hào)后取出，以只讀方式將所有磁盤做全盤鏡像，鏡像完成后將所有磁盤按照編號(hào)還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、ZFS管理的存儲(chǔ)池與常規(guī)RAID不同。常規(guī)RAID在存儲(chǔ)數(shù)據(jù)時(shí)會(huì)按照特定的規(guī)則組建存儲(chǔ)池，并不考慮文件在子設(shè)備上的位置；而ZFS在存儲(chǔ)數(shù)據(jù)時(shí)會(huì)為每次寫入的數(shù)據(jù)分配適當(dāng)大小的空間，通過計(jì)算獲取指向子設(shè)備的數(shù)據(jù)指針。ZFS的這種特性讓RAIDZ在缺盤時(shí)無法直接進(jìn)行校驗(yàn)得到數(shù)據(jù)，必須將整個(gè)ZPOOL作為一個(gè)整體進(jìn)行解析。
3、手工截取事務(wù)塊數(shù)據(jù)，北亞企安數(shù)據(jù)恢復(fù)工程師編寫程序獲取最大事務(wù)號(hào)入口。
獲取文件系統(tǒng)入口：

北亞企安數(shù)據(jù)恢復(fù)——zfs數(shù)據(jù)恢復(fù)

4、獲取到文件系統(tǒng)入口后，北亞企安數(shù)據(jù)恢復(fù)工程師編寫數(shù)據(jù)指針解析程序進(jìn)行地址解析。
解析數(shù)據(jù)指針：

北亞企安數(shù)據(jù)恢復(fù)——zfs數(shù)據(jù)恢復(fù)

5、獲取到文件系統(tǒng)入口點(diǎn)在各磁盤分布情況后，數(shù)據(jù)恢復(fù)工程師手工截取&分析文件系統(tǒng)內(nèi)部結(jié)構(gòu)。入口分布所在的磁盤組無缺失盤，可直接提取信息。根據(jù)ZFS文件系統(tǒng)的數(shù)據(jù)存儲(chǔ)結(jié)構(gòu)順利找到映射的LUN名稱，進(jìn)而找到其節(jié)點(diǎn)。
6、由于在此ZFS版本與開源版本有較大差別，無法使用原先開發(fā)的解析程序進(jìn)行解析，所以數(shù)據(jù)恢復(fù)工程師只能重新編寫數(shù)據(jù)提取程序。

北亞企安數(shù)據(jù)恢復(fù)——zfs數(shù)據(jù)恢復(fù)

7、由于磁盤組內(nèi)缺盤個(gè)數(shù)較多，每個(gè)IO流都需要通過校驗(yàn)得到，提取進(jìn)度極為緩慢。與用戶方溝通后得知此ZVOL卷映射到XenServer作為存儲(chǔ)設(shè)備，用戶需的文件在其中一個(gè)大小約為2T的vhd內(nèi)。提取ZVOL卷頭部信息，按照XenStore卷存儲(chǔ)結(jié)構(gòu)進(jìn)行分析，發(fā)現(xiàn)2T vhd在整個(gè)卷的尾部，計(jì)算得到其起始位置，從起始位置開始提取數(shù)據(jù)。
8、Vhd提取完畢后，對(duì)其內(nèi)部的壓縮包、圖片、視頻等文件進(jìn)行驗(yàn)證，均可正常打開。
9、用戶發(fā)經(jīng)過驗(yàn)證后，確定恢復(fù)出來的文件數(shù)量與系統(tǒng)自動(dòng)記錄的文件數(shù)量差不多，極小部分丟失的文件可能是由于這些文件是新生成的還未刷新到磁盤。用戶驗(yàn)證文件的可用性，文件全部可正常打開，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇