PIB

Ubuntu で Document Scanner こと simple-scan で、「20200923_〜」ってファイル名で保存した後、1枚目に修正があったので、再スキャンして「20200923_〜-1.jpg」に保存しようとしたところ、何をボケたのか、一番上の「20190616_〜-1.jpg」ってファイルを選択してそのまま上書き保存してしまった。
大して重要なファイルではないのが救いではあるのだが、snapshot 取ってなかったので、万事休す、という状況。

「ZFS undelete」で検索したが容易さという点では有益な情報が得られなかったので、StackExchange で質問してみた。

• StackExchange / 2020-09-25: Does anyone know the way to undelete file on ZFS?

disk 止めて photorec を使ってみては？というアドバイスを得た。
流石に 200GB の pool から JPG 全抽出された中から選別するのは辛すぎることもあって選択肢として視野に入ってなかったのだが、確かに有効な手段ではあるし、現状で他に有効な手段も見当たらないので、とりあえず、import した状態のまま /dev/sda1 に対して photorec をかけてみた。
import したままでも意外と問題はないもので、数にして2万強のファイルが recovered 出来たのだが、その大半はサムネイルサイズで、一応、一通り目を通してみたものの残念ながら目的のファイルは発見出来なかった。
しかし、不思議なことに削除してないファイルの大半も revovered されていないことに気付く。
しばらく、頭を抱えたのだが、ふと、当該 ZFS の compression に lz4 を設定していたことを思い出した。
そりゃ駄目ですよね。orz

ということで、大して大事じゃないデータではあっても、snapshot や backup を真面目に取っておくべきだなと痛感。
あと、compression 入れるとサルベージ面倒になるってのが考慮に入ってなかったのも反省点。

一方で、ファイルサイズや画像サイズが特定可能であれば、大量に画像ファイルがあっても find や identify 等を用いてある程度機械的にスクリーニング可能なので、特定のファイルをロストしてしまった場合において photorec は意外と使えるなという知見は収穫だったかも知れない。

しかしそもそもの話 undelete やサルベージしなけりゃいけなくなるような無様な運用してるのが論外なんだけれども。とほほ。

「ZFS undelete」でググった結果、以下のようなページは見つけた。

• StackExchange / 2012-01-19: Undelete ZFS file shared by Samba

ここで挙げられている、

• Max Bruning's weblog / 2008-08-18: recovering removed file on zfs disk

及びそこで参考資料として挙げられている

• http://www.osdevcon.org/2008/files/osdevcon2008-pr...
• http://www.osdevcon.org/2008/files/osdevcon2008-ma...

で紹介されてる zdb による解析方法は、根気あれば参考にはなりそう。
他にも、

• Joynet / 2013-08-12: Bruning Questions: ZFS Forensics - Recovering Files From a Destroyed Zpool

も。

あと、

• The FreeBSD Forrum / 2010-06-10: [[Restoring deleted file from ZFS file system>https://forums.freebsd.org/threads/restoring-delet...]

の 3 ページ目で、

• Klennet Storage Software / Undelete files on ZFS

が紹介されててここで公開されてる

• Klennet ZFS Recovery

recovers deleted files できるそうなんだけど、なぜか Windows 用だったりとかいろいろと使い辛い。