服务器数据恢复—Zfs文件系统下文件被误删除的数据恢复案例

服务器故障：
一台zfs文件系统服务器，管理员误操作删除服务器上的数据。

服务器数据恢复过程：
1、将故障服务器所有磁盘编号后取出，硬件工程师检测所有硬盘后没有发现有磁盘存在硬件故障。以只读方式将全部磁盘做扇区级别的镜像备份，备份完成后按照编号将磁盘还原到原服务器中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、北亚企安数据恢复工程师团队早期的研究攻关已掌握zfs文件系统的底层存储结构和算法规律，针对zfs文件系统误删除数据具有成熟的数据恢复方案。基于镜像文件，根据zfs文件系统结构和元信息分析zfs文件系统的盘序、使用盘个数和校验盘个数等信息。

3、根据故障服务器的具体情况，北亚企安数据恢复工程师编写自动扫描程序，基于硬盘镜像文件全盘扫描节点入口。扫描结束后分析扫描结果，查找最新事件的入口，经过分析查找最终确认时间最近、目录结构最完整的节点入口。
4、解析节点指针块，提取出节点表，提取过程中因部分指针块损坏，导致节点表有部分损坏。

5、解析节点表和目录项，将文件名、目录名、节点号、父节点号记录到数据库。
6、根据数据库中的信息以及对应关系，将整个目录结构重建并提取数据。
7、因为之前节点表有部分损坏，重新查找节点表完整的节点入口。最终确认时间最新且节点表完整的新的节点入口。
8、提取完整的节点表，解析目录项，提取数据。
9、北亚企安数据恢复工程师尝试修复最新时间的节点表。

10、经用户方工程师验证，确认恢复数据的完整度可以接受且数据正确可用，本次数据恢复工作完成。