Windows系统自检中断导致存储文件系统损坏的服务器数据恢复案例

服务器数据恢复环境：
一台挂载在Windows server操作系统服务器上的v7000存储，划分了一个分区，格式化为NTFS文件系统，该分区存放oracle数据库。

 

服务器故障：
服务器在工作过程中由于未知原因宕机，工作人员重启服务器。在服务器操作系统进行磁盘扫描修复时，工作人员强制关机并断开了存储和服务器之间的连接，这个操作导致存储文件系统损坏，报错：“文件或目录损坏且无法读取”。

服务器数据恢复过程：
1、将故障存储中所有磁盘编号后取出以只读方式进行全盘镜像备份，备份完成后将磁盘按编号还原到原存储中。后续的数据分析和数据恢复操作都基于镜像文件进行，避免对原始磁盘数据造成二次破坏。
2、基于镜像文件分析底层数据，经过分析，北亚企安数据恢复工程师发现故障发生的原因是MFT表自身的文件记录的80属性DATARUNS在操作系统自检时被截断。分区内有多达几千万个数据文件，其中mft文件就有20多G，并且有大量的碎片存在。

 

3、使用v7000数据恢复软件进行扫描恢复，结果并不理想，扫描结果只有1/3且目录结构混乱，
4、在软件恢复效果不理想的情况下，北亚企安数据恢复工程师只能采用手工分析&恢复数据的方案。
a、收集&分析所有mft表碎片信息。
b、根据mft表碎片信息改写80属性DATARUNS。
注：虽然这种方案工作量很大，但是效果比较理想，经过一番努力，分区中原本几个T的数据被完全恢复出来了，目录结构也完整。
5、用户方经过自己检查和核对，确认恢复数据完整有效。本次数据恢复工作完成。