服务器数据恢复—服务器宕机导致挂载的V7000存储NTFS文件系统损坏的数据恢复案例

服务器存储数据恢复环境：

一台挂载在Windows server服务器上的v7000存储。存储空间划分了一个分区，采用NTFS文件系统，存放oracle数据库。

服务器存储故障：

服务器在运行过程中宕机，于是管理员重启服务器。服务器进入系统自动进行磁盘扫描修复时，管理员强制关机并断开了存储和服务器之间的连接，导致这台存储上的文件系统损坏，报错“文件或目录损坏且无法读取”。

服务器存储数据恢复过程：

1、将故障服务器存储上的磁盘标记后取出，硬件工程师检测后没有发现有硬盘存在物理故障和坏道。以只读方式将所有磁盘进行扇区级全盘镜像，镜像完成后将所有磁盘按照原样还原到存储中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。

2、基于镜像文件分析所有磁盘底层数据。经过对底层数据的分析，数据恢复工程师发现出现故障的原因是MFT表自身的文件记录的80属性DATARUNS在操作系统自检时被截断。分区内多达数千万个文件中就有数十GB的MFT文件，并且有大量碎片。

3、使用常规数据恢复工具进行扫描，扫描出来的数据量只有丢失数据量的三分之一左右且目录结构混乱。北亚企安数据恢复工程师只能采用手工分析的方式来恢复数据。

4、收集分析所有MFT表碎片信息，然后根据这些信息改写80属性DATARUNS。手工分析的工作量十分繁杂，但结果可观。

5、数据恢复工程师通过手工分析的方式尽量将数据恢复出来。恢复完成后分区可以正常打开，恢复出来的数据量和丢失的数据量基本一致，目录结构完整。

6、经过用户方的仔细检测后，确认恢复出来的数据完整有效，认可数据恢复结果。