服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

某公司一臺EMC某型號存儲中有一組由12塊硬盤組建的raid5磁盤陣列，其中有2塊盤作為熱備盤使用。

服務(wù)器故障&分析：

raid5磁盤陣列中有2塊磁盤離線，只有1塊熱備盤成功啟用，另外一塊熱備盤未啟用，raid陣列崩潰。

服務(wù)器硬盤離線的原因無非為磁盤出現(xiàn)物理故障或者硬盤出現(xiàn)壞道。由于EMC的raid控制器磁盤檢查策略比較嚴(yán)格，經(jīng)常將陣列中性能不穩(wěn)定的磁盤判定為物理故障并踢出陣列。所以導(dǎo)致EMC存儲中磁盤陣列崩潰的原因有可能是由于磁盤讀寫不穩(wěn)定。

服務(wù)器數(shù)據(jù)恢復(fù)過程：

1、將故障存儲中所有磁盤編號后取出，由硬件工程師對所有磁盤做物理故障檢測，經(jīng)過檢測發(fā)現(xiàn)沒有磁盤存在物理故障和壞道。以只讀方式將所有磁盤做全盤鏡像備份，備份完成后將所有磁盤按照編號還原到原存儲中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對原始磁盤數(shù)據(jù)造成二次破壞。

北亞企安數(shù)據(jù)恢復(fù)——ZFS文件系統(tǒng)數(shù)據(jù)恢復(fù)

2、基于鏡像文件分析原RAID5磁盤陣列結(jié)構(gòu)，經(jīng)過分析發(fā)現(xiàn)2塊熱備盤上沒有數(shù)據(jù)，其中一塊熱備盤已成功激活并替換了其中的一塊離線磁盤，但數(shù)據(jù)并未同步。繼續(xù)分析條帶大小、數(shù)據(jù)的分布規(guī)律、磁盤順序等raid相關(guān)信息，發(fā)現(xiàn)有一塊盤在同一條帶上的數(shù)據(jù)與raid中其他硬盤不同，初步判斷該盤為掉線較早的硬盤。使用北亞企安自主開發(fā)的raid校驗(yàn)程序?qū)Υ藯l帶進(jìn)行校驗(yàn)，確認(rèn)這塊盤為先掉線的盤。通過分析獲取到的raid相關(guān)信息虛擬重構(gòu)原raid5磁盤陣列。

3、對磁盤陣列中的LUN信息進(jìn)行分析后解釋map數(shù)據(jù)并導(dǎo)出。使用北亞企安自主開發(fā)程序解釋zfs文件系統(tǒng)，某些文件系統(tǒng)中的文件在解析過程中報錯。北亞企安數(shù)據(jù)恢復(fù)工程師手動debug程序做后發(fā)現(xiàn)報錯的原因是ZFS文件系統(tǒng)在進(jìn)行I/O操作時raid陣列崩潰導(dǎo)致某些元文件損壞，程序無法正常解釋。只有修復(fù)好損壞的文件系統(tǒng)元文件后，才能使用程序解析ZFS文件系統(tǒng)。

4、使用程序解析修復(fù)好的ZFS文件系統(tǒng)，解析所有文件節(jié)點(diǎn)及目錄結(jié)構(gòu)。經(jīng)過用戶方工程師的反復(fù)驗(yàn)證，確認(rèn)恢復(fù)出來的數(shù)據(jù)完整可用。

部分文件目錄和驗(yàn)證截圖：

北亞企安數(shù)據(jù)恢復(fù)——ZFS文件系統(tǒng)數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——ZFS文件系統(tǒng)數(shù)據(jù)恢復(fù)

北亞企安數(shù)據(jù)恢復(fù)——ZFS文件系統(tǒng)數(shù)據(jù)恢復(fù)

審核編輯：湯梓紅