先看结论
先保护现场并记录信息，再决定是否送检、现场处理或从现有备份恢复。
先记录现象与时间
记录最初出现异常的时间、报错内容、影响的业务和设备状态。截图应保留必要信息，发送前遮挡账号、密钥与业务敏感内容。
完整说明已经做过的操作
重启、换盘、重建、格式化、修复工具和软件扫描都可能影响判断。按发生顺序记录操作，不需要为了再次复现问题而继续尝试。
保护介质与依赖资料
保留原始硬盘顺序、控制器信息、数据库日志、备份和加密密钥。涉及正在运行的关键系统，应先与负责人协调隔离或停止写入方式。
明确最重要的数据
提供关键系统、目录或文件类型及优先级，让工程师按业务影响安排评估。恢复结果需要由熟悉业务的人参与验证。