EMC Unity 400儲存誤操作刪除POOL上的資料卷的資料恢復

環境：

EMC Unity 400型號儲存（EMC新一代中端儲存，同時支援block，file和vvol三種服務型別。）；

儲存連線2臺硬碟櫃；

2臺硬碟櫃上共建立2組互相獨立的POOL；

2組POOL共包含21塊6T容量的硬碟，硬碟規格為520位元組硬碟。

故障：

在使用過程中誤操作刪除了2組POOL上的部分資料卷。管理員聯絡北亞資料恢復中心尋求幫助。

故障檢測：

在此之前，國內似乎還沒有過該型號儲存資料恢復的成功案例，沒有任何可借鑑的經驗、技術，是一個全新的資料恢復課題，需要從0開始研究如何對這個型號的儲存進行資料恢復。

經過北亞資料恢復中心研發部同事的不懈努力，終於成功逆向解析出了EMC Unity 400儲存的資料演算法結構，解決了EMC Unity 400儲存的資料恢復問題，挽回了資料。

1、北亞資料恢復工程師對全部硬碟進行備份，並轉換為512位元組格式。

2、北亞資料恢復工程師與管理員進行溝通，瞭解到一共刪除了5個數據卷，

3、北亞資料恢復工程師對硬碟底層進行初步檢測分析，硬碟底層資料量較多，刪除資料卷後，相關資料空間應該沒有回收清零，資料恢復成功的機率很大。

資料恢復過程：

1、Raid分析重組

北亞資料恢復工程師對被刪除卷涉及的共21塊6T硬碟進行分析，共配置2組RAID6。其中1號RAID包含11塊硬碟。 2號RAID包含10塊硬碟， 根據以上資訊使用專用資料恢復軟體虛擬重組出2組RAID，並分別匯出成映象檔案。

2、全域性點陣圖整理

北亞資料恢復工程師對每組RAID前面的全域性點陣圖資訊進行讀取，整理。如圖為儲存的全域性點陣圖

北亞資料恢復- EMC Unity 400儲存資料恢復

將整理後的點陣圖資訊寫入資料庫

整理後的全域性點陣圖中，offset代表RAID（POOL）中的資料塊塊號，據此，可以大致獲取RAID（POOL）中被刪除的資料卷對應的已釋放的資料塊。

3、自由資料塊整理

對獲取到的自由資料塊進行遍歷掃描，找到被刪除的資料卷的頭部，並確認使用者資料的一個索引資訊，根據這個索引資訊，可以索引到完整的使用者資料卷。對被刪除的資料卷的頭部進行讀取，獲取到使用者資料卷的部分索引點陣圖。同時對自由資料塊繼續進行遍歷掃描，獲取到剩餘的索引點陣圖。

北亞資料恢復- EMC Unity 400儲存資料恢復

4、自由資料塊拼接

與管理員的溝通了解到，刪除的5個數據卷全部為NTFS格式的資料卷，據此，根據NTFS檔案系統的結構，結合自由資料塊點陣圖和使用者資料卷索引點陣圖，北亞資料恢復工程師編寫程式對自由資料塊進行匹配拼接，完整拼接復原出5個NTFS格式的資料卷。

北亞資料恢復- EMC Unity 400儲存資料恢復

5、檔案系統修復

資料卷拼接完成後，北亞資料恢復工程師對資料卷中NTFS檔案系統的正確性及完整性進行校驗，修復檔案系統中的錯誤，手工對部分未匹配到的自由資料塊進行分析處理，拼接到相應的資料卷中。

解析恢復出的資料卷，將資料複製到目標空間中。

北亞資料恢復- EMC Unity 400儲存資料恢復

資料恢復結果：

經過管理員的驗證，被刪除的5個數據卷完全恢復，資料完整、可用。

經過這次資料恢復，北亞資料恢復工程師已經掌握了EMC Unity 400儲存的演算法結構。EMC Unity 400儲存的資料卷刪除問題，甚至硬碟損壞、控制器故障等問題都可以找北亞資料恢復中心解決。

北亞資料恢復- EMC Unity 400儲存資料恢復