服務器數據恢復環境&故障：
EMC Unity 400存儲連接了2臺硬盤柜。2臺硬盤柜上一共有21塊硬盤（520字節）。21塊盤組建了2組RAID6：一組有11塊硬盤，一組有10塊硬盤。
在存儲運行過程中，管理員誤操作刪除了 2組POOL上的部分數據卷。

服務器數據恢復過程：
1、將硬盤柜中所有硬盤做好標記后取出，硬件工程師對所有硬盤進行檢測后沒有發現有硬盤存在硬件故障。于是將所有磁盤以只讀方式進行扇區級鏡像，并將硬盤轉換為512字節格式。鏡像完成后將所有磁盤按照原樣還原到原硬盤柜中。后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、與用戶方進行溝通后得知共有5個數據卷被刪除了。基于鏡像文件對所有硬盤的底層數據進行分析，發現硬盤底層數據量較多。用戶方刪除數據卷后，相關數據空間沒有回收清零，數據恢復可能性比較高。
3、根據分析底層數據所獲取到的raid信息虛擬重組出這2組RAID，并分別導出成鏡像文件。
4、讀取，整理每組RAID前面的全局位圖信息。
存儲的全局位圖：

北亞企安數據恢復—EMC存儲數據恢復

將整理后的位圖信息寫入數據庫。
北亞企安數據恢復工程師分析整理后的全局位圖，獲取POOL中被刪除的數據卷所對應的已釋放的數據塊。
5、自由數據塊整理
遍歷掃描獲取到的自由數據塊，找到被刪除的數據卷的頭部。在被刪除的數據卷頭部找到一個索引信息，根據這個索引信息可以索引到完整的用戶數據卷。
讀取被刪除的數據卷的頭部，獲取到用戶數據卷的部分索引位圖。同時遍歷掃描自由數據塊，獲取到剩余的索引位圖。

北亞企安數據恢復—EMC存儲數據恢復

6、和用戶方溝通后得知，刪除的5個數據卷全部為NTFS格式的數據卷。根據NTFS文件系統結構，結合自由數據塊位圖和用戶數據卷索引位圖，北亞企安數據恢復工程師編寫程序匹配拼接自由數據塊，完整拼接復原出5個NTFS格式的數據卷。

北亞企安數據恢復—EMC存儲數據恢復

7、數據卷拼接完成后開始校驗數據卷中NTFS文件系統的正確性及完整性，修復文件系統中的錯誤。北亞企安數據恢復工程師手工分析處理部分未匹配到的自由數據塊，拼接到相應的數據卷中。
8、解析恢復出的數據卷，將數據拷貝到準備好的空間中。
9、經過用戶方的驗證，確認被刪除的5個數據卷的數據完整恢復，數據全部可用，用戶方認可本次數據恢復結果。

審核編輯 黃宇