【服务器数据恢复】EMC Unity存储误操作删除数据卷的数据恢复案例

服务器数据恢复环境：
EMC Unity某型号存储；
存储设备连接的2台硬盘柜上共创建2组独立的POOL；
2组POOL共包含21块520字节的硬盘。

服务器故障&检测：
误操作删除了2组POOL上的部分数据卷，和用户沟通后得知有5个数据卷被误删。
拿到故障设备的所有硬盘后，服务器数据恢复工程师对全部硬盘做镜像备份，将硬盘转换为512字节格式。
检测&分析硬盘底层数据，发现硬盘底层数据量比较大，服务器数据恢复工程师推测数据卷被删除后相关数据空间应该没有被回收清零，恢复出数据的可能性比较大。

服务器数据恢复过程：
1、基于镜像文件分析被误删卷涉及到的硬盘数据，发现故障存储设备上一共配置了2组RAID6。其中一组RAID6包含11块硬盘. 另外一组RAID6包含10块硬盘。
2、根据分析获取到的raid相关信息虚拟重组出2组RAID6，以镜像文件形式导出。
3、读取并整理每组RAID6的全局位图信息。

 

4、将整理出来的位图信息写入数据库。
整理后的全局位图中，offset代表RAID（POOL）中的数据块的块号，据此可以大致获取到RAID（POOL）中被删除的数据卷对应的已释放的数据块。
5、遍历扫描获取到的自由数据块，找到被删除的数据卷的头部。确定用户数据的一个索引信息，根据这个索引信息可以索引到完整的用户数据卷。
6、通过读取被误删数据卷的头部获取用户数据卷的部分索引位图。继续遍历扫描自由数据块获取剩余的索引位图。

 

7、和用户沟通得知被误删的5个数据卷全部为NTFS格式。根据NTFS文件系统的结构，结合自由数据块位图和用户数据卷索引位图，北亚数据恢复工程师编写程序匹配拼接自由数据块，最终完整拼接复原出5个NTFS格式的数据卷。

 

8、数据卷拼接完成后，校验数据卷中NTFS文件系统的正确性及完整性并修复文件系统中的错误，北亚数据恢复工程师手工分析处理部分未匹配到的自由数据块并拼接到相应的数据卷中。
9、解析恢复出来的数据卷，将数据拷贝到用户准备好的目标空间中。
10、经过用户的亲自验证，被误删的5个数据卷基本完全恢复，数据可用。