【服务器存储设备数据恢复】EMC存储设备误删除数据卷的数据恢复案例

服务器存储设备数据恢复环境：

EMC某型号中端存储设备，支持block，file和vvol三种服务类型;

存储设备连接了2台硬盘柜，2台硬盘柜上面有2组互相独立的POOL，共21块520字节的硬盘。

服务器存储设备故障：

工作人员的误操作将2组POOL上的部分数据卷给删除了，一共有5个数据卷被删除。于是联系我们数据恢复中心进行数据恢复。

我们拿到故障存储设备的所有硬盘后先对所有硬盘进行镜像备份，并将硬盘转换为512字节的格式。

服务器存储设备数据恢复过程：

1、基于镜像文件对误删除涉及到的硬盘数据进行底层分析，发现一共配置了2组RAID6：其中一组RAID6由11块成员盘组成，另外一组RAID6由10块成员盘组成。

根据分析获取到的RAID信息虚拟重组出2组RAID6，并分别导出成镜像文件。

2、读取，整理每组RAID6前面的全局位图信息。全局位图如下图：

北亚数据恢复——EMC存储数据恢复

将整理好的位图信息写入数据库。全局位图中的offset代表RAID(POOL)中的数据块的块号，根据块号可以大致获取到RAID(POOL)中被删除的数据卷对应的已释放的数据块。

3、扫描获取到的自由数据块，找到被删除的数据卷的头部。确定用户数据的一个索引信息，根据这个索引信息索引到完整的用户数据卷。读取删除的数据卷的头部，获取到用户数据卷的部分索引位图。继续遍历扫描自由数据块获取剩余的索引位图。

北亚数据恢复——EMC存储数据恢复

4、用户删除的5个数据卷全部为NTFS格式。根据自由数据块位图和用户数据卷索引位图，结合NTFS文件系统的结构，北亚数据恢复工程师编写程序对自由数据块进行匹配拼接，最终完整拼接复原出5个NTFS格式的数据卷。

北亚数据恢复——EMC存储数据恢复

5、数据卷拼接完成后校验数据卷中NTFS文件系统的正确性及完整性并修复文件系统中的错误。对于部分未匹配到的自由数据块，北亚数据恢复工程师通过手工进行分析处理并拼接到相应的数据卷中。

6、解析恢复出来的数据卷，将数据拷贝到用户准备好的空间中。

数据恢复结果：

经过用户的亲自验证，被删除5个数据卷的数据基本上完全恢复并且全部可用。

经过课题攻关，北亚数据恢复工程师团队成功逆向解析出EMC存储的数据算法结构，EMC存储数据卷删除、硬盘损坏、控制器故障等导致数据丢失的问题可以交给我们来解决。

审核编辑：汤梓红