服務(wù)器數(shù)據(jù)恢復(fù)環(huán)境：

NetApp某型號(hào)存儲(chǔ)，共96塊SAS硬盤，劃分的lun都映射給小型機(jī)使用，存放的是Oracle數(shù)據(jù)庫(kù)文件，采用ASM裸設(shè)備存儲(chǔ)方式。

服務(wù)器故障：

管理員誤操作刪除了該NetApp存儲(chǔ)上的所有l(wèi)un。具體情況是：工作人員給NetApp存儲(chǔ)設(shè)備重新劃分空間，直接把存儲(chǔ)的卷全部刪除并進(jìn)行重新分配。在刪除所有卷后還沒(méi)有來(lái)得及分配的時(shí)候，上層業(yè)務(wù)就出現(xiàn)異常。運(yùn)維工程師緊急排查故障情況，發(fā)現(xiàn)業(yè)務(wù)服務(wù)器上的磁盤都不見(jiàn)了，無(wú)法訪問(wèn)數(shù)據(jù)。

服務(wù)器數(shù)據(jù)恢復(fù)過(guò)程：

1、為了預(yù)防在數(shù)據(jù)恢復(fù)過(guò)程中可能對(duì)原始磁盤數(shù)據(jù)造成的二次破壞，將該NetApp存儲(chǔ)上的每塊磁盤以只讀方式做完整鏡像。后續(xù)所有的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都在鏡像文件上進(jìn)行。

2、基于鏡像文件分析Netapp存儲(chǔ)數(shù)據(jù)。

a、分析盤序和LVM的組成方式;

b、掃描硬盤內(nèi)的所有節(jié)點(diǎn)，一般只掃描“MBFI”。

c、在節(jié)點(diǎn)掃描結(jié)果中找到文件大小符合需求的節(jié)點(diǎn)并提取此節(jié)點(diǎn)uid，并判斷索引根。

d、根據(jù)索引根內(nèi)的第一級(jí)數(shù)據(jù)指針提取本文件的所有直接數(shù)據(jù)指針(需要參考節(jié)點(diǎn)中0x03位置的MAP深度。為0x00時(shí)直接從節(jié)點(diǎn)內(nèi)提取數(shù)據(jù)，為0x01時(shí)需要提取一次MAP，為0x02時(shí)需要提取兩次MAP......)。在指針提取完畢后開(kāi)始提取文件數(shù)據(jù)。

3、解析超級(jí)塊。在硬盤的前面扇區(qū)的位置找到超級(jí)塊相關(guān)信息，從超級(jí)塊中獲取到磁盤組名字、磁盤組的邏輯起始?jí)K號(hào)、總塊數(shù)、磁盤組中raid的編號(hào)。

netapp超級(jí)塊信息：

北亞企安數(shù)據(jù)恢復(fù)——NetApp數(shù)據(jù)恢復(fù)

4、剔除校驗(yàn)盤。

每個(gè)數(shù)據(jù)塊占8個(gè)扇區(qū)，數(shù)據(jù)塊后附加64字節(jié)數(shù)據(jù)塊描述信息。根據(jù)這些信息可以判斷出作為校驗(yàn)盤(提取數(shù)據(jù)時(shí)校驗(yàn)盤需剔除)的磁盤。

校驗(yàn)塊描述信息：

北亞企安數(shù)據(jù)恢復(fù)——NetApp數(shù)據(jù)恢復(fù)

5、判斷aggr盤。

確定各個(gè)磁盤所屬aggr組，然后判斷組內(nèi)盤序(依據(jù)每塊磁盤8號(hào)扇區(qū)的磁盤信息以及磁盤末尾的RAID盤序表確定盤序)。數(shù)據(jù)指針跳轉(zhuǎn)時(shí)不考慮校驗(yàn)盤，所以只取得數(shù)據(jù)盤的盤序即可。

netapp盤序表：

北亞企安數(shù)據(jù)恢復(fù)——NetApp數(shù)據(jù)恢復(fù)

6、分析節(jié)點(diǎn)及節(jié)點(diǎn)頭部信息。

Netapp的節(jié)點(diǎn)分布在數(shù)量眾多的數(shù)據(jù)塊內(nèi)，在數(shù)據(jù)塊內(nèi)又被統(tǒng)一組織為節(jié)點(diǎn)組。每個(gè)節(jié)點(diǎn)組的前半部分字節(jié)記錄系統(tǒng)數(shù)據(jù)，后半部分字節(jié)記錄各個(gè)文件節(jié)點(diǎn)。根據(jù)用戶級(jí)別可將節(jié)點(diǎn)分為兩類：“MBFP”系統(tǒng)文件節(jié)點(diǎn)和“MBFI”用戶文件節(jié)點(diǎn)，在數(shù)據(jù)恢復(fù)時(shí)一般只取MBFI節(jié)點(diǎn)組即可。

netapp節(jié)點(diǎn)樣：

北亞企安數(shù)據(jù)恢復(fù)——NetApp數(shù)據(jù)恢復(fù)

7、獲取目錄項(xiàng)，并根據(jù)目錄項(xiàng)節(jié)點(diǎn)編號(hào)找到對(duì)應(yīng)節(jié)點(diǎn)。

目錄項(xiàng)信息：

北亞企安數(shù)據(jù)恢復(fù)——NetApp數(shù)據(jù)恢復(fù)

8、分析出該Netapp存儲(chǔ)結(jié)構(gòu)后，用北亞企安自研的NetApp解析程序解析asm文件系統(tǒng)，提取出oracle數(shù)據(jù)庫(kù)文件。

北亞企安數(shù)據(jù)恢復(fù)——NetApp數(shù)據(jù)恢復(fù)

9、搭建小機(jī)環(huán)境并安裝oracle數(shù)據(jù)庫(kù)，檢測(cè)提取出來(lái)的數(shù)據(jù)庫(kù)文件和備份文件。

10、使用提取出的數(shù)據(jù)庫(kù)文件啟動(dòng)oracle數(shù)據(jù)庫(kù)，啟動(dòng)正常。

11、使用最新的數(shù)據(jù)庫(kù)備份文件還原數(shù)據(jù)庫(kù)，然后由用戶方親自進(jìn)行驗(yàn)證，經(jīng)過(guò)反復(fù)驗(yàn)證，用戶方確認(rèn)恢復(fù)出來(lái)的oracle數(shù)據(jù)庫(kù)數(shù)據(jù)完整可用，數(shù)據(jù)恢復(fù)工作完成。

審核編輯：湯梓紅