服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：
ORACLE SUN ZFS某型號(hào)存儲(chǔ)，共40塊磁盤(pán)組建存儲(chǔ)池，其中的36塊磁盤(pán)分為三組，每組12塊，單個(gè)組使用ZFS特有的RAIDZ管理所有磁盤(pán)，RAIDZ級(jí)別為2；另外的4塊磁盤(pán)作為全局熱備。存儲(chǔ)池內(nèi)劃分出若干空間映射到服務(wù)器使用。

北亞企安數(shù)據(jù)恢復(fù)——ZFS數(shù)據(jù)恢復(fù)

服務(wù)器故障：
服務(wù)器正常運(yùn)行過(guò)程中崩潰，服務(wù)器管理員重啟設(shè)備后無(wú)法進(jìn)入系統(tǒng)。通過(guò)對(duì)服務(wù)器和存儲(chǔ)的初步檢測(cè)以及和管理人員的溝通，排除了斷電、進(jìn)水、異常操作等外部因素。

北亞企安數(shù)據(jù)恢復(fù)——ZFS數(shù)據(jù)恢復(fù)

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：
1、將存儲(chǔ)中所有磁盤(pán)編號(hào)后取出，硬件工程師檢測(cè)后沒(méi)有發(fā)現(xiàn)有硬盤(pán)存在硬件故障。以只讀方式將所有磁盤(pán)進(jìn)行扇區(qū)級(jí)全盤(pán)鏡像，鏡像完成后按照編號(hào)將所有磁盤(pán)還原到原存儲(chǔ)中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、基于磁盤(pán)鏡像文件分析底層數(shù)據(jù)，發(fā)現(xiàn)全局熱備盤(pán)全部啟用。
在ZFS文件系統(tǒng)中，ZPOOL（池）的子設(shè)備有很多種類(lèi)：塊設(shè)備、文件、磁盤(pán)等，本案例中三組RAIDZ作為子設(shè)備。
分析底層數(shù)據(jù)發(fā)現(xiàn)，三組RAIDZ中的兩組RAIDZ分別啟用的熱備盤(pán)個(gè)數(shù)為1和3。北亞企安數(shù)據(jù)恢復(fù)工程師基于獲取到的信息推斷故障過(guò)程：熱備盤(pán)啟用后，在熱備盤(pán)無(wú)冗余狀態(tài)下，第一組RAIDZ中又有一塊磁盤(pán)離線(xiàn)，第二組RAIDZ中則又有兩塊磁盤(pán)離線(xiàn)，ZPOOL進(jìn)入高負(fù)荷狀態(tài)；直到第二組RAIDZ中第三塊盤(pán)離線(xiàn)，RAIDZ崩潰，ZPOOL下線(xiàn)，服務(wù)器崩潰。
ZFS管理的存儲(chǔ)池中所有磁盤(pán)都由ZFS進(jìn)行管理。常規(guī)RAID按照特定的規(guī)則組建池，并不關(guān)心文件在子設(shè)備上的位置；而ZFS會(huì)為每次寫(xiě)入的數(shù)據(jù)分配適當(dāng)大小的空間，并計(jì)算得到指向子設(shè)備的數(shù)據(jù)指針。RAIDZ這種特性導(dǎo)致RAIDZ缺盤(pán)時(shí)無(wú)法直接通過(guò)校驗(yàn)得到數(shù)據(jù)，而必須將整個(gè)ZPOOL作為一個(gè)整體進(jìn)行解析。
3、手工截取事務(wù)塊數(shù)據(jù)，北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)程序獲取最大事務(wù)號(hào)入口。
獲取文件系統(tǒng)入口：

北亞企安數(shù)據(jù)恢復(fù)——ZFS數(shù)據(jù)恢復(fù)

獲取到文件系統(tǒng)入口后，北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)數(shù)據(jù)指針解析程序解析地址。
解析數(shù)據(jù)指針：

北亞企安數(shù)據(jù)恢復(fù)——ZFS數(shù)據(jù)恢復(fù)

4、獲取到文件系統(tǒng)入口點(diǎn)在各磁盤(pán)分布情況后，北亞企安數(shù)據(jù)恢復(fù)工程師手動(dòng)截取&分析文件系統(tǒng)內(nèi)部結(jié)構(gòu)。由于入口分布所在的磁盤(pán)組無(wú)缺失盤(pán)，可直接提取信息。根據(jù)ZFS的數(shù)據(jù)存儲(chǔ)結(jié)構(gòu)順利找到映射的LUN名稱(chēng)，然后找到其節(jié)點(diǎn)。
5、北亞企安數(shù)據(jù)恢復(fù)工程師編寫(xiě)解析程序解析ZFS&提取數(shù)據(jù)。
編輯配置文件，提取ZVOL卷：

北亞企安數(shù)據(jù)恢復(fù)——ZFS數(shù)據(jù)恢復(fù)

6、由于磁盤(pán)組內(nèi)缺盤(pán)數(shù)目較多，每個(gè)IO流都需要通過(guò)校驗(yàn)得到，提取進(jìn)度極為緩慢。通過(guò)和用戶(hù)溝通后得知用戶(hù)需要恢復(fù)的數(shù)據(jù)在一個(gè)vhd內(nèi)，經(jīng)過(guò)分析發(fā)現(xiàn)這個(gè)vhd在ZVOL卷的尾部，計(jì)算其起始位置后從此位置開(kāi)始提取數(shù)據(jù)。
7、Vhd提取完畢后，驗(yàn)證其內(nèi)部的壓縮包、圖片、視頻等文件，均可正常打開(kāi)。
8、用戶(hù)方對(duì)數(shù)據(jù)進(jìn)行驗(yàn)證，經(jīng)過(guò)驗(yàn)證發(fā)現(xiàn)恢復(fù)出來(lái)的文件數(shù)量與系統(tǒng)自動(dòng)記錄的文件數(shù)量基本一致，文件全部可以正常打開(kāi)。本次服務(wù)器數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇