近日，我中心接到一例儲存資料恢復的業務，客戶儲存裝置為EMC Unity 400型號儲存，是EMC新一代中端儲存，同時支援block，file和vvol三種服務型別。

在此之前，國內的同行似乎都還沒有過該型號儲存恢復的經驗，也沒有聽說過任何成功恢復的案例，可以說我們沒有任何可借鑑的經驗、技術，需要我們完全自助的研究開發。

而經過研發部門小夥伴的不懈努力，我們終於成功逆向解析出了EMC Unity 400儲存的資料演算法結構，解決了EMC Unity 400儲存的故障恢復，為客戶挽回了資料。以下就是此次恢復案例的具體故障情況及恢復過程。

一.故障描述

故障情況：客戶裝置為EMC UNITY400儲存，共連線2臺硬碟櫃。在2臺硬碟櫃上，共建立2組POOL，這2組POOL互相獨立。

在使用過程中，由於誤操作，刪除了 2組POOL上的部分資料卷，這2組POOL共包含21塊6T容量的硬碟，硬碟規格為520位元組硬碟。

二.故障檢測

1、對客戶全部硬碟進行備份，並轉換為512位元組格式。

2、與客戶進行溝通，得知共刪除5個資料卷，

3、對硬碟底層進行初步檢測分析，硬碟底層資料量較多，刪除資料卷後，相關資料空間應該沒有進行回收清零，資料具有可恢復性。

對被刪除卷涉及的共21塊6T硬碟進行分析，共配置2組RAID6。其中1號RAID包含11塊硬碟. 2號RAID包含10塊硬碟，

根據以上資訊使用專用資料恢復軟體虛擬重組出2組RAID，並分別匯出成映象檔案。

對每組RAID前面的全域性點陣圖資訊進行讀取，整理。如圖為儲存的全域性點陣圖

將整理後的點陣圖資訊寫入資料庫

整理後的全域性點陣圖中，offset代表RAID（POOL）中的資料塊的塊號，據此，可以大致獲取RAID（POOL）中被刪除的資料卷對應的，已釋放的資料塊。

對獲取到的自由資料塊進行遍歷掃描，找到被刪除的資料卷的頭部。並確使用者資料的一個索引資訊，根據這個索引資訊，可以索引到完整的使用者資料卷。

對被刪除的資料卷的頭部進行讀取，獲取到使用者資料卷的部分索引點陣圖。同時對自由資料塊繼續進行遍歷掃描，獲取到剩餘的索引點陣圖。

根據與客戶的溝通得知，客戶刪除的5個資料卷，全部為NTFS格式的資料卷，據此，根據NTFS檔案系統的結構，結合自由資料塊點陣圖和使用者資料卷索引點陣圖，編寫程式對自由資料塊進行匹配拼接，完整拼接復原出5個NTFS格式的資料卷。

資料卷拼接完成後，對資料卷中NTFS檔案系統的正確性及完整性進行校驗，修復檔案系統中的錯誤，手工對部分未匹配到的自由資料塊進行分析處理，拼接到相應的資料卷中。

解析恢復出的資料卷，將資料複製到客戶準備的目標空間中。

經過客戶的驗證，被刪除的5個資料卷基本完全恢復，其中資料完整度達100%，資料全部可用，此次資料恢復工作圓滿成功。

經此一役，EMC Unity 400儲存的演算法結構對我們來說已經不是秘密，同樣的資料卷刪除問題，甚至硬碟損壞、控制器故障等情況我們已經都可以解決了。