NetApp存儲(chǔ)數(shù)據(jù)恢復(fù)環(huán)境：
NetApp FAS某型號(hào)存儲(chǔ)，該NetApp存儲(chǔ)中有96塊扇區(qū)大小是520字節(jié)的SAS硬盤(pán)。存儲(chǔ)中的lun都映射給小型機(jī)使用，存放Oracle數(shù)據(jù)庫(kù)文件，采用ASM裸設(shè)備存儲(chǔ)方式。

NetApp存儲(chǔ)故障：
工作人員誤操作刪除了該NetApp存儲(chǔ)上所有l(wèi)un。
和工作人員溝通后得知：由于業(yè)務(wù)需要，需要重新規(guī)劃該NetApp存儲(chǔ)的存儲(chǔ)空間，工作人員直接把存儲(chǔ)卷全部刪除并重新分配。在完成卷的刪除但還沒(méi)有重新分配的時(shí)候，上層業(yè)務(wù)宕機(jī)。運(yùn)維工程師緊急排查故障情況，發(fā)現(xiàn)跑業(yè)務(wù)的服務(wù)器上的磁盤(pán)都“消失”了，無(wú)法訪問(wèn)數(shù)據(jù)。

NetApp存儲(chǔ)數(shù)據(jù)恢復(fù)過(guò)程：
1、北亞企安數(shù)據(jù)恢復(fù)工程師到達(dá)現(xiàn)場(chǎng)后將該NetApp存儲(chǔ)中每塊磁盤(pán)編號(hào)后取出，由硬件工程師初步檢測(cè)沒(méi)有發(fā)現(xiàn)有硬盤(pán)存在明顯硬件故障，都可以正常讀取。于是以只讀方式將每塊磁盤(pán)做扇區(qū)級(jí)全盤(pán)鏡像，鏡像完成后按照編號(hào)將所有磁盤(pán)還原到該NetApp存儲(chǔ)中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤(pán)數(shù)據(jù)造成二次破壞。
2、分析Netapp存儲(chǔ)的存儲(chǔ)過(guò)程。
a、分析盤(pán)序和LVM的組成方式。
b、掃描硬盤(pán)內(nèi)的所有節(jié)點(diǎn)，一般只掃描MBFI（用戶節(jié)點(diǎn)）。
c、在節(jié)點(diǎn)掃描結(jié)果中找到文件大小符合需求的節(jié)點(diǎn)，提取此節(jié)點(diǎn)并判斷索引根；
d、根據(jù)索引根內(nèi)的第一級(jí)數(shù)據(jù)指針提取本文件的所有直接數(shù)據(jù)指針（需要參考節(jié)點(diǎn)中0x03位置的MAP深度，為0x00時(shí)直接從節(jié)點(diǎn)內(nèi)提取數(shù)據(jù)，0x01時(shí)需要提取一次MAP，0x02時(shí)需要提取兩次MAP......）。指針提取完畢后開(kāi)始提取文件數(shù)據(jù)。
3、在硬盤(pán)靠前扇區(qū)的位置找到超級(jí)塊相關(guān)信息，從超級(jí)塊相關(guān)信息中獲取磁盤(pán)組名字、磁盤(pán)組邏輯起始?jí)K號(hào)、總塊數(shù)、磁盤(pán)組中raid的編號(hào)。
netapp超級(jí)塊：

北亞企安數(shù)據(jù)恢復(fù)——Netapp數(shù)據(jù)恢復(fù)

4、每個(gè)數(shù)據(jù)塊占8個(gè)扇區(qū)，數(shù)據(jù)塊后附加64字節(jié)數(shù)據(jù)塊的描述信息。根據(jù)這些信息可以判斷出作為校驗(yàn)盤(pán)的磁盤(pán)（提取數(shù)據(jù)需剔除校驗(yàn)盤(pán)）。
校驗(yàn)塊描述信息樣例：

北亞企安數(shù)據(jù)恢復(fù)——Netapp數(shù)據(jù)恢復(fù)

5、根據(jù)每塊磁盤(pán)8號(hào)扇區(qū)的磁盤(pán)信息以及磁盤(pán)末尾的RAID盤(pán)序表確定盤(pán)序。首先確定各個(gè)磁盤(pán)所屬aggr組，然后再判斷組內(nèi)盤(pán)序。數(shù)據(jù)指針跳轉(zhuǎn)時(shí)不考慮校驗(yàn)盤(pán)，所以只需要取得數(shù)據(jù)盤(pán)的盤(pán)序即可。
netapp盤(pán)序表：

北亞企安數(shù)據(jù)恢復(fù)——Netapp數(shù)據(jù)恢復(fù)

6、Netapp的節(jié)點(diǎn)分布在數(shù)量眾多的數(shù)據(jù)塊內(nèi)，數(shù)據(jù)塊內(nèi)節(jié)點(diǎn)被統(tǒng)一組織為節(jié)點(diǎn)組。每個(gè)節(jié)點(diǎn)組的前半部分字節(jié)記錄一些系統(tǒng)數(shù)據(jù)，后半部分字節(jié)記錄各個(gè)文件節(jié)點(diǎn)。根據(jù)用戶級(jí)別可將文件節(jié)點(diǎn)分為兩類：“MBFP”系統(tǒng)文件節(jié)點(diǎn)和“MBFI”用戶文件節(jié)點(diǎn)，在數(shù)據(jù)恢復(fù)時(shí)一般只需要MBFI節(jié)點(diǎn)組即可。
netapp節(jié)點(diǎn)樣例圖：

北亞企安數(shù)據(jù)恢復(fù)——Netapp數(shù)據(jù)恢復(fù)

7、獲取目錄項(xiàng)，并根據(jù)其節(jié)點(diǎn)編號(hào)找到對(duì)應(yīng)節(jié)點(diǎn)。
目錄項(xiàng)信息：

北亞企安數(shù)據(jù)恢復(fù)——Netapp數(shù)據(jù)恢復(fù)

8、完成對(duì)NetApp存儲(chǔ)的存儲(chǔ)結(jié)構(gòu)的分析后，使用北亞企安自主開(kāi)發(fā)的NetApp解析程序提取數(shù)據(jù)， 解析asm文件系統(tǒng)并提取出數(shù)據(jù)庫(kù)文件。

北亞企安數(shù)據(jù)恢復(fù)——Netapp數(shù)據(jù)恢復(fù)

9、搭建小機(jī)環(huán)境，安裝oracle數(shù)據(jù)庫(kù)，檢測(cè)數(shù)據(jù)庫(kù)文件和備份文件。
a、通過(guò)提取出的數(shù)據(jù)庫(kù)文件啟動(dòng)數(shù)據(jù)庫(kù)，數(shù)據(jù)庫(kù)可以正常啟動(dòng)。
b、檢測(cè)數(shù)據(jù)庫(kù)備份文件，篩選出最新的數(shù)據(jù)庫(kù)備份文件，使用篩選出的備份文件還原數(shù)據(jù)庫(kù)。經(jīng)過(guò)用戶驗(yàn)證后，確認(rèn)恢復(fù)出來(lái)的數(shù)據(jù)庫(kù)文件無(wú)誤，本次數(shù)據(jù)恢復(fù)工作完成。

審核編輯 黃宇