服务器数据恢复—EMC存储中raid6上的数据卷被误删除的数据恢复案例

服务器数据恢复环境&故障：
EMC Unity 400存储连接了2台硬盘柜。2台硬盘柜上一共有21块硬盘（520字节）。21块盘组建了2组RAID6：一组有11块硬盘，一组有10块硬盘。
在存储运行过程中，管理员误操作删除了 2组POOL上的部分数据卷。

服务器数据恢复过程：
1、将硬盘柜中所有硬盘做好标记后取出，硬件工程师对所有硬盘进行检测后没有发现有硬盘存在硬件故障。于是将所有磁盘以只读方式进行扇区级镜像，并将硬盘转换为512字节格式。镜像完成后将所有磁盘按照原样还原到原硬盘柜中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、与用户方进行沟通后得知共有5个数据卷被删除了。基于镜像文件对所有硬盘的底层数据进行分析，发现硬盘底层数据量较多。用户方删除数据卷后，相关数据空间没有回收清零，数据恢复可能性比较高。
3、根据分析底层数据所获取到的raid信息虚拟重组出这2组RAID，并分别导出成镜像文件。
4、读取，整理每组RAID前面的全局位图信息。
存储的全局位图：

北亚企安数据恢复—EMC存储数据恢复

将整理后的位图信息写入数据库。
北亚企安数据恢复工程师分析整理后的全局位图，获取POOL中被删除的数据卷所对应的已释放的数据块。
5、自由数据块整理
遍历扫描获取到的自由数据块，找到被删除的数据卷的头部。在被删除的数据卷头部找到一个索引信息，根据这个索引信息可以索引到完整的用户数据卷。
读取被删除的数据卷的头部，获取到用户数据卷的部分索引位图。同时遍历扫描自由数据块，获取到剩余的索引位图。

北亚企安数据恢复—EMC存储数据恢复

6、和用户方沟通后得知，删除的5个数据卷全部为NTFS格式的数据卷。根据NTFS文件系统结构，结合自由数据块位图和用户数据卷索引位图，北亚企安数据恢复工程师编写程序匹配拼接自由数据块，完整拼接复原出5个NTFS格式的数据卷。

北亚企安数据恢复—EMC存储数据恢复

7、数据卷拼接完成后开始校验数据卷中NTFS文件系统的正确性及完整性，修复文件系统中的错误。北亚企安数据恢复工程师手工分析处理部分未匹配到的自由数据块，拼接到相应的数据卷中。
8、解析恢复出的数据卷，将数据拷贝到准备好的空间中。
9、经过用户方的验证，确认被删除的5个数据卷的数据完整恢复，数据全部可用，用户方认可本次数据恢复结果。

审核编辑 黄宇