一、故障環境描述

客戶設備為華為OceanStor S5600T存儲，同時支持SAN和NAS存儲協議。

客戶發現存儲上一個NAS卷中的數據丟失（卷大小為2T）之后客戶關閉系統應用，因該數據沒有備份，故向我司求助，嘗試恢復數據。丟失數據主要類型為Microsoft office文件，PDF文檔文件，圖片文件（JPG、JPEG、PNG等），視頻文件（MP4、AVI等），音頻文件（MP3等）。

二、備份數據

1、準備好備份空間及備份服務器，將備份服務器連接至客戶的存儲環境中；

2、查看存儲管理界面，找到2T卷所對應的存儲LUN，經查看，改卷對應兩個存儲LUN；

3、將對應的存儲LUN映射至備份服務器，使用winhex對LUN進行鏡像備份。

三、數據恢復過程

1、分析存儲LUN 的結構，解析兩個LUN之間的對應關系；

圖1  LUN1

圖2   LUN2

2、分析2T的NAS卷在兩個存儲LUN中的分布情況，將2T卷虛擬重組出來；

3、分析2T卷的存儲結構，獲取文件系統類型、超級塊、節點等結構；

4、分析該2T卷中的超級塊、節點等結構，獲取節點、目錄項、數據區之間的索引關系；

圖3   超級塊

圖4   節點

5、編寫程序，解析目錄項、節點，提取數據。

四、數據恢復結果

1、對2T卷的全部空間進行掃描，發現文件系統的目錄項還在，但是節點已經全部丟失，查看文件系統的日志中也沒有找到有效的節點

圖為找到的部分目錄項及其對應節點：

圖5    目錄項

圖6   節點

2、嘗試按類型直接恢復數據文件，然后根據目錄在卷中的偏移位置，數據文件在卷中的偏移位置，及客戶提供的對應文件類型、文件大小去匹配目錄項和數據文件。

五、數據恢復結論

最終客戶驗證數據沒有問題，本次數據恢復成功。