【伺服器儲存裝置資料恢復】EMC儲存裝置POOL上的資料卷被刪除的資料恢復案例

伺服器儲存裝置資料恢復環境：

EMC某型號中端儲存裝置，支援block，file和vvol三種服務型別；

儲存裝置連線了2臺硬碟櫃，2臺硬碟櫃上面有2組互相獨立的POOL，共21塊520位元組的硬碟。

伺服器儲存裝置故障：

工作人員的誤操作將2組POOL上的部分資料卷給刪除了，一共有5個資料卷被刪除。於是聯絡我們資料恢復中心進行資料

恢復。

我們拿到故障儲存裝置的所有硬碟後先對所有硬碟進行映象備份，並將硬碟轉換為512位元組的格式。

伺服器儲存裝置資料恢復過程：

1、基於映象檔案對誤刪除涉及到的硬碟資料進行底層分析，發現一共配置了2組RAID6：其中一組RAID6由11塊成員盤組

成，另外一組RAID6由10塊成員盤組成。

根據分析獲取到的RAID資訊虛擬重組出2組RAID6，並分別匯出成映象檔案。

2、讀取，整理每組RAID6前面的全域性點陣圖資訊。全域性點陣圖如下圖：

將整理好的點陣圖資訊寫入資料庫。全域性點陣圖中的offset代表RAID（POOL）中的資料塊的塊號，根據塊號可以大致獲取到

RAID（POOL）中被刪除的資料卷對應的已釋放的資料塊。

3、掃描獲取到的自由資料塊，找到被刪除的資料卷的頭部。確定使用者資料的一個索引資訊，根據這個索引資訊索引到完整

的使用者資料卷。讀取刪除的資料卷的頭部，獲取到使用者資料卷的部分索引點陣圖。繼續遍歷掃描自由資料塊獲取剩餘的索引位

圖。

4、使用者刪除的5個資料卷全部為NTFS格式。根據自由資料塊點陣圖和使用者資料卷索引點陣圖，結合NTFS檔案系統的結構，北亞

資料恢復工程師編寫程式對自由資料塊進行匹配拼接，最終完整拼接復原出5個NTFS格式的資料卷。

5、資料卷拼接完成後校驗資料卷中NTFS檔案系統的正確性及完整性並修復檔案系統中的錯誤。對於部分未匹配到的自由數

據塊，北亞資料恢復工程師透過手工進行分析處理並拼接到相應的資料卷中。

6、解析恢復出來的資料卷，將資料複製到使用者準備好的空間中。

資料恢復結果：

經過使用者的親自驗證，被刪除5個資料卷的資料基本上完全恢復並且全部可用。

經過課題攻關，北亞資料恢復工程師團隊成功逆向解析出EMC儲存的資料演算法結構，EMC儲存資料卷刪除、硬碟損壞、控制

器故障等導致資料丟失的問題可以交給我們來解決。