服务器数据恢复—V7000存储NTFS文件系统分区数据恢复案例

V7000 存储中文件系统报错的数据恢复案例。

服务器存储数据恢复环境：

一台挂载在 Windows server 服务器上的 V7000 存储，存储空间划分了一个分区，采用 NTFS 文件系统存放 oracle 数据库。服务器存储故障，服务器在运行过程中宕机，于是管理员重启服务器，服务器进入系统自动进行磁盘扫描修复时，管理员强制关机并断开了存储和服务器之间的连接，导致这台存储上的文件系统损坏，报错文件或目录损坏且无法读取。

服务器存储数据恢复过程：

1. 将故障服务器存储上的磁盘标记后取出，硬件工程师检测后没有发现有硬盘存在物理故障和坏道，以只读方式将所有磁盘进行扇区级全盘镜像，镜像完成后将所有磁盘按照原样还原到存储中，后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。

2. 基于镜像文件分析所有磁盘底层数据，经过对底层数据的分析，数据恢复工程师发现出现故障的原因是 MFT 表自身的文件记录的 80 属性 DATARUNS 在操作系统自检时被截断，分区内多达数千万个文件中就有数十 GB 的 MFT 文件，并且有大量碎片。

3. 使用常规数据恢复工具进行扫描，扫描出来的数据量只有丢失数据量的三分之一左右，且目录结构混乱，北亚企安数据恢复工程师只能采用手工分析的方式来恢复数据。

4. 收集分析所有 MFT 表碎片信息，然后根据这些信息改写 80 属性 DATARUNS，手工分析的工作量十分繁杂，但结果可观。

5. 数据恢复工程师通过手工分析的方式尽量将数据恢复出来，恢复完成后分区可以正常打开，恢复出来的数据量和丢失的数据量基本一致，目录结构完整。

6. 经过用户方的仔细检测后确认恢复出来的数据完整有效，认可数据恢复结果。