虚拟机快照数据恢复：VMware/Hyper-V 快照损坏、快照链断裂、快照一致性恢复的原理与方法，虚拟机误删、快照丢失的恢复路径。
虚拟化平台（VMware vSphere、Hyper-V、KVM）的快照，本质是「写时复制（COW）」机制：拍快照后，原虚拟磁盘（VMDK/VHDX）被冻结，新写入的数据写到增量快照文件里。快照是一个「时间点状态」的保存，不是完整备份。
快照链断裂是最常见的故障，比如快照文件（*-00000X.vmdk / *.avhdx）丢失、损坏，或快照描述文件（.vmsd）记录丢失，导致整条链无法挂载。恢复思路：先解析快照链结构，找回各增量文件的父子关系，再逐层合并还原完整虚拟磁盘，最后做文件系统层恢复。
误删快照但虚拟磁盘文件还在：可解析残留的 VMDK/VHDX 文件重建链。误删整个虚拟机（VMDK 文件被删）：需从存储底层（RAID/文件系统）做数据恢复，找回被删的虚拟磁盘文件，再挂载提取。虚拟机的「删除」和物理机的「删除」一样，底层数据未覆盖就可恢复。
1）立即停止虚拟机运行，避免写入覆盖；2）先做完整镜像，在镜像上操作，不动原存储；3）不轻易合并快照：合并失败可能加剧损坏；4）涉及 RAID/共享存储的，先保证存储层重组正确，再做虚拟机层恢复。
Q: VMware 快照损坏能恢复吗？
A: 多数能。快照损坏、链断裂可解析快照链结构，找回父子关系后逐层合并还原虚拟磁盘；快照文件丢失则从存储底层恢复。关键是立即停止虚拟机、先做镜像。
Q: Hyper-V 快照链断了怎么办？
A: 解析 AVHDX 增量文件的父子关系，重建快照链后合并；描述文件损坏可扫描 AVHDX 文件头重建。不要轻易手动合并，避免二次损坏。
Q: 误删虚拟机（VMDK 被删）能恢复吗？
A: 能。虚拟磁盘文件被删后底层数据未覆盖，可从存储底层（文件系统/RAID）恢复 VMDK/VHDX 文件，再挂载提取数据。越早停止写入成功率越高。
Q: 虚拟机数据恢复多少钱？
A: 逻辑故障（快照损坏/误删）800 元起，涉及 RAID/共享存储重组的按检测报价。免费检测。
VMware 快照不是备份，它是一串增量磁盘（delta）。快照链断了、或者被误删， 虚拟机可能起不来，但数据往往还在那些 delta 文件里。
| 项目 | 取值 / 位置 | 说明 |
|---|---|---|
| 描述符文件 | `*.vmdk`（小文本文件，记录父盘与几何信息） | 删除描述符不影响数据，但会失去链关系 |
| 数据文件 | `*-flat.vmdk`（基础盘）、`*-delta.vmdk`（增量） | delta 里是被改过的块 |
| 快照链 | 父盘 → 多个 delta，按创建顺序串联 | 中间断一个，后面全部无法直接打开 |
| VMFS 块 | VMFS5 起为 1MB 文件块 | 决定 delta 的块粒度 |
| consolidation | 合并快照链的操作 | 误操作可能丢弃中间层数据 |
# 1) 先整目录备份（含所有 vmdk 与 vmware.log），再动手
# 2) 看描述符内容，确认父盘与 delta 的关系
cat /vmfs/volumes/datastore1/VM/VM-000001.vmdk | head -30
# 3) 用 qemu-img 只读查看链（不要在 ESXi 生产存储上直接改）
qemu-img info --backing-chain /cases/VM-000001.vmdk顺序：备份整目录 → 读描述符理清链 → 用 qemu-img 校验 → 再考虑合并或挂载导出。 最危险的动作是在 ESXi 上直接"删除快照"，那会重写 delta 并可能丢弃数据。