服務器數據恢復環境：
從物理機遷移一臺虛擬機到ESXI，遷移后做了一個快照。該虛擬機上部署了一個SQLServer數據庫，存放了5年左右的數據。ESXI上有數十臺虛擬機，EXSI連接了一臺EVA存儲，所有的虛擬機都在EVA存儲上。

服務器故障：
由于工作人員的誤操作，不小心將幾年前遷移數據后做的快照還原了。因為快照是幾年前做的，還原快照意味著這幾年的數據被刪除了。
還原快照相當于刪除數據，底層的空間會被釋放。為了避免這部分釋放的空間寫入新數據，需要將連接這臺存儲的所有虛擬機都關掉。如果有重要的虛擬機不能長時間宕機，則需要將該虛擬機遷移到別的EXSI上。剛好用戶有一臺虛擬機很重要，不能長時間關機，只能做熱遷移。vmware的熱遷移需要建立N多個快照來完成，這給后期的恢復工作帶來很多麻煩。

服務器數據恢復過程：
Vmware的文件系統叫做Vmfs，所有的虛擬機都存放在這個Vmfs中。Vmfs默認將磁盤分成1M的Block，分配給文件的最小單位為一個Block。Vmfs有一片區域來描述這些1M Block的使用情況，而每1024個Block（也就是1GB）會用一個MAP來記錄。MAP記錄的1M Block在物理磁盤上不一定是連續的。但一個MAP所記錄的所有1M Block一定是同一個文件的。一個文件是由N多個MAP中的1024個Block組成的，即FileSize= N * MAP * 1024（Block）。
Vmware的快照其實就是一個文件，還原快照也就意味著是刪掉一個文件。在Vmfs中，刪除一個文件只會刪掉文件的索引項，而不會刪掉文件的實際數據以及指向數據的MAP。
1、將故障服務器中所有磁盤編號后取出，以只讀方式將所有磁盤做全盤鏡像備份，備份完成后按照編號將磁盤還原到原服務器中，后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、基于鏡像文件分析Vmfs，北亞企安數據恢復工程師編寫小程序提取整個vmfs中空閑的MAP。
3、在提取出的空閑MAP中找到一個符合快照文件頭結構的MAP。根據快照文件的結構，北亞企安數據恢復工程師調整程序提取快照文件剩下的碎片。
4、快照文件提取完成后，將快照文件和原vmdk合并生成新的vmdk，新的vmdk中包含了所有的數據。
5、掛載新的vmdk并解釋其中的數據。
6、用戶對恢復出來的數據進行驗證，經過反復驗證確認恢復出來的數據完整可用。本次數據恢復工作完成。

審核編輯 黃宇