大华NVR监控恢复案例

某上市公司的网络硬盘录像机DH-NVR，用于存储64个摄像头的数据。根据客户描述，整个存储由16块8TB硬盘组成，共128TB。将其中的1-7号盘组建第一组RAID5，8号盘作为热备盘，将8-15号盘组件第二组RAID5，16号盘为热备盘。两组中硬盘出现不同程度的损坏，因此，第一组8号盘自动顶替5号盘。第二组16号盘顶替10号盘。

随着其它硬盘的相继损坏，服务器宕机，视频无法查回放，大华工程师对其两组RAID执行重建并同步，同时对每组4个分区执行了格式化操作。导致数据进一步损坏。最后求助到本公司，要求恢复19-30号的视频数据。

初步分析发现，7号盘已被新硬盘替代，但7号新盘并未写入数据。因此排除7号新盘。8号盘与16号盘分别为热备盘，数据量较多。5号盘和10号盘出现大量坏道。15号盘作为单盘在使用。此分析结果与客户描述的相差较大，使得之前的信息不可用。

根据硬盘底层数据分析重建前的RAID信息，文件系统版本为DHFS4.1。NVR系列使用了新的3.0版本的分区和文件系统信息，与2.0版的分区最大的区别是，在每个块的尾部4KB空间中，保存了当前块的具体信息，如当前块内的帧的开始时间和结束时间等，在偏移0x1FC位置设置 0xAA55AA55的签名标志，以判断块的正确性。同时大华对H265帧数据采用了二次封装，每个帧的开始有“DHAV”的标记，每个帧的结尾有"dhav"的标记，每个帧的结束就是下一个帧的开始。

根据以上规律，得出新的RAID结构：

第一组：1-6号盘，7号热备，块大小:64KB，数据走向与校验方向：左同步,

第二组：8-14号盘，16号盘热备，块大小:64KB，数据走向与校验方向：左同步

第三组：15号盘，单盘。

虚拟重组RAID5，两组RAID5数据均可直接查看，但是数据量却只有15G左右，与实际的数据量相差很大。分析DHFS的目录区，发现目录区数据异常，导致不能完整显示。

准备第二套方案，对重组后的RAID5做镜像到新的硬盘，对底层数据执行扫描，使用了市面上的多款软件扫描数据，发现所有软件均不支持，扫描时软件崩溃，或者扫描后通道无法分离等问题。

准备第三套方案，根据底层数据结构，自行开发了专门对此NVR的恢复软件，将同一个通道的帧，按照时间先后顺序重新组合，并生成可以直接播放的dav件，并将单个dav制在2GB以内。软件界面如下：

经过长达20多天的的恢复，两组RAID的数据提取完成，总数据量约30TB。99%以上的dav文件都可以直接播放。

后话：储设备在出现故障后，应避免对故障设备进行读写操作。一些厂家的工程师对某些操作的风险并不是很了解，以至于做出一些不可逆的操作，严重的可能导致数据彻底丢失。

如您也遇到类似的问题，欢迎咨询数据恢复工程师，避免人为二次破坏。

工程师：13459286608

更多相关文章

随机推荐