服務(wù)器數(shù)據(jù)恢復環(huán)境：
一臺服務(wù)器共配備32塊硬盤，組建了4組RAIDZ，Windows操作系統(tǒng)+zfs文件系統(tǒng)。

服務(wù)器故障：
服務(wù)器在運行過程中突然崩潰，經(jīng)過初步檢測檢測沒有發(fā)現(xiàn)服務(wù)器存在物理故障，重啟服務(wù)器后故障依舊，需要恢復服務(wù)器內(nèi)的大量數(shù)據(jù)。
經(jīng)過北亞企安數(shù)據(jù)恢復工程師的初步檢測，發(fā)現(xiàn)故障服務(wù)器中4組raidz里有兩組raidz中的熱備盤啟動。其中第一組raidz啟用了一塊熱備盤，之后又有一塊硬盤掉線；第二組raidz第一塊磁盤離線后又有2塊硬盤掉線，總共啟用了三塊熱備盤。
這兩組raidz中硬盤離線后均啟用了熱備盤替換壞盤，熱備盤上線后這2組raidz中又出現(xiàn)其他硬盤離線的情況。為了得到正確數(shù)據(jù)，zpool在每次讀取數(shù)據(jù)時都會進行校驗。第二組raidz熱備盤上線后又有硬盤離線，服務(wù)器徹底崩潰。

服務(wù)器數(shù)據(jù)恢復過程：
1、將故障服務(wù)器中所有磁盤編號后取出，以只讀方式將所有磁盤做全盤鏡像，鏡像完成后將所有磁盤按照編號還原到原服務(wù)器中，后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復操作都基于鏡像文件進行，避免對原始磁盤數(shù)據(jù)造成二次破壞。
2、ZFS管理的存儲池與常規(guī)RAID不同。常規(guī)RAID在存儲數(shù)據(jù)時會按照特定的規(guī)則組建存儲池，并不考慮文件在子設(shè)備上的位置；而ZFS在存儲數(shù)據(jù)時會為每次寫入的數(shù)據(jù)分配適當大小的空間，通過計算獲取指向子設(shè)備的數(shù)據(jù)指針。ZFS的這種特性讓RAIDZ在缺盤時無法直接進行校驗得到數(shù)據(jù)，必須將整個ZPOOL作為一個整體進行解析。
3、手工截取事務(wù)塊數(shù)據(jù)，北亞企安數(shù)據(jù)恢復工程師編寫程序獲取最大事務(wù)號入口。
獲取文件系統(tǒng)入口：

北亞企安數(shù)據(jù)恢復——zfs數(shù)據(jù)恢復

4、獲取到文件系統(tǒng)入口后，北亞企安數(shù)據(jù)恢復工程師編寫數(shù)據(jù)指針解析程序進行地址解析。
解析數(shù)據(jù)指針：

北亞企安數(shù)據(jù)恢復——zfs數(shù)據(jù)恢復

5、獲取到文件系統(tǒng)入口點在各磁盤分布情況后，數(shù)據(jù)恢復工程師手工截取&分析文件系統(tǒng)內(nèi)部結(jié)構(gòu)。入口分布所在的磁盤組無缺失盤，可直接提取信息。根據(jù)ZFS文件系統(tǒng)的數(shù)據(jù)存儲結(jié)構(gòu)順利找到映射的LUN名稱，進而找到其節(jié)點。
6、由于在此ZFS版本與開源版本有較大差別，無法使用原先開發(fā)的解析程序進行解析，所以數(shù)據(jù)恢復工程師只能重新編寫數(shù)據(jù)提取程序。

北亞企安數(shù)據(jù)恢復——zfs數(shù)據(jù)恢復

7、由于磁盤組內(nèi)缺盤個數(shù)較多，每個IO流都需要通過校驗得到，提取進度極為緩慢。與用戶方溝通后得知此ZVOL卷映射到XenServer作為存儲設(shè)備，用戶需的文件在其中一個大小約為2T的vhd內(nèi)。提取ZVOL卷頭部信息，按照XenStore卷存儲結(jié)構(gòu)進行分析，發(fā)現(xiàn)2T vhd在整個卷的尾部，計算得到其起始位置，從起始位置開始提取數(shù)據(jù)。
8、Vhd提取完畢后，對其內(nèi)部的壓縮包、圖片、視頻等文件進行驗證，均可正常打開。
9、用戶發(fā)經(jīng)過驗證后，確定恢復出來的文件數(shù)量與系統(tǒng)自動記錄的文件數(shù)量差不多，極小部分丟失的文件可能是由于這些文件是新生成的還未刷新到磁盤。用戶驗證文件的可用性，文件全部可正常打開，本次數(shù)據(jù)恢復工作完成。

審核編輯 黃宇