虛擬化數據恢復環境：
一臺虛擬機從物理機遷移到ESXI虛擬化平臺，遷移完成后做了一個快照。虛擬機上運行了一個SQL Server數據庫，記錄了數年的數據。
ESXI虛擬化平臺上有數十臺虛擬機，EXSI虛擬化平臺連接了一臺EVA存儲，所有的虛擬機都存放在EVA存儲上。

虛擬化故障：
工組人員誤操作將數年前遷移完成后做的快照還原了，也就意味著虛擬機狀態還原到數年前，近幾年數據都被刪除了。
還原快照相當于刪除數據，意味著部分存儲空間會被釋放。為了不讓這部分釋放的空間被重用，需要將連接到這臺存儲的所有虛擬機都關掉，需要將不能長時間宕機的虛擬機遷移到別的EXSI虛擬化平臺上。

虛擬化數據恢復過程：
Vmware所有的虛擬機都存放在Vmfs文件系統中。Vmfs文件系統默認會將整個存儲空間劃分為1M大小的Block，分配給文件的最小單位為一個Block。Vmfs文件系統中有一片區域描述這些1M Block的使用情況。每1024個Block（也就是1GB）會用一個MAP來記錄。
MAP記錄的1M大小的Block在物理磁盤上不一定是連續的，但MAP所記錄的所有1M大小的Block一定是同一個文件的。一個文件是由N多個MAP中的1024個Block組成的。
1、Vmware還原快照實際上就是刪掉一個文件。在Vmfs文件系統中，刪除一個文件只會刪掉文件的索引項，而不會刪掉文件的實際數據以及指向數據的MAP。只需要提取出整個vmfs文件系統中空閑的MAP，然后在空閑的MAP中找到一個符合快照文件頭結構的MAP。
2、根據快照文件的結構，提取快照文件剩下的碎片。
3、將快照文件和原vmdk合并生成新的vmdk。
4、新的vmdk中包含了所有的數據，掛載新的vmdk并使用北亞企安自主開發的程序解釋vmdk中的數據。
5、解釋完成后已經能看見所有數據，經過用戶驗證，確認數據完整有效，用戶認可恢復數據結果。

審核編輯 黃宇