先选一个具体恢复场景
演练应从一句具体需求开始，例如“找回上周误删的一张个人照片”或“在源 NAS 不可用时读出一份个人笔记”。只浏览备份版本不足以证明恢复可行，也没有必要第一次就模拟整机灾难。先用无敏感样本确认工具、凭据、路径与版本选择，再逐步扩大到实际重要资料。本文没有连接 NAS、触发备份或执行恢复，所有命令只是后续个人演练的参考。
记录允许的数据损失窗口和可接受恢复时长，然后说明本轮测的是文件级恢复还是包含套件、设置的更大范围。两者不能混为一谈：能导出照片，不代表可以重建用户权限或启动应用。准备足够空间的独立恢复目录，并保留原样本，不覆盖正在使用的目录。临时目录是写操作，创建成功后要记住实际路径，后面的示例路径必须相应替换。
mktemp -d ./restore-check.XXXXXX-d 新建唯一目录；用输出路径作为 Hyper Backup Explorer 导出目的地，避免覆盖现有文件。 示意：./restore-check.A1b2C3；实际名称随机生成，需在后续步骤使用实际路径。 创建失败检查当前目录写权限和空间；不要改到系统目录或沿用已含资料的恢复目录。
通过官方入口选择仓库与时间点
原 NAS 可用时，在 Hyper Backup 中选中正确任务，查看版本与浏览入口，选定日期后恢复指定样本。源设备不可用时，可根据备份类型使用 Hyper Backup Explorer 读取受支持仓库；完整套件与系统设置恢复应走 Hyper Backup 对应向导，不能指望桌面文件浏览器完成所有操作。不同任务类型、目的地和机型功能不同，先核对官方支持的恢复方式。
识别仓库时核对任务名称、来源范围和时间，不靠文件夹名字里写着“最新”判断。加密仓库要能够取得对应密码或密钥，并确保它们不只保存在失效设备上。解密信息只在工具安全输入界面使用，不贴进命令、截图或博客。不要修改 .hbk 内部文件，不把仓库当普通目录用同步工具修补；打不开时先检查工具版本、目标可达性与错误信息。
du -sk ./personal-sample-s 汇总，-k 以 1024 字节单位估计分配空间；用于容量预算，不代表逻辑大小或压缩后备份大小。 示意：10240 ./personal-sample，约 10 MiB 分配空间。 权限拒绝、占位云文件会使估算不完整；大目录查询会读元数据，不能只按此数值承诺保留天数。
先验证字节，再验证文件能打开
恢复出文件后，先用原样本和恢复样本进行逐字节比较或摘要比较。文本、图片、较大文件各选几项，包含中文和空格文件名更能暴露路径处理问题。稳定样本应在备份前确定并保持不变，否则源后来修改会让比对失去意义。代码示例中的示意结果只解释退出码和输出格式，不代表本次已经验证任何真实资料。
比对不一致时，先核对是否选错历史版本、是否比较了编辑后的源文件、是否恢复到预期位置。工具读取错误与内容不同要分开记录，不能把失败项从清单里删掉后宣布成功。摘要相同只说明读到的文件内容一致，还要用常用应用实际打开，确认图片可解码、文档内容完整、压缩文件可以在独立目录查看。
cmp -s ./personal-sample/notes.txt ./restore-check/notes.txt
compare_status=$?
printf 'cmp_exit=%s\n' "$compare_status"-s 不显示文件内容，立即记录退出码；只读取两个指定的普通文件。 示意：cmp_exit=0 表示相同，1 表示不同，大于 1 表示读取等错误。 执行别的命令后再读 $? 会丢失结果；相同不包括权限或扩展属性。路径中的样本须已恢复到对应位置。
shasum -a 256 ./personal-sample/photo.jpg ./restore-check/photo.jpg-a 256 指定 SHA-256，比较两个本地样本的摘要；无需 NAS 管理权限。 示意：两行 64 位摘要相同，表示所读内容一致。 找不到文件检查导出位置；不能证明整库、权限或未来介质可靠。请只用个人无敏感样本。
恢复内容与恢复访问权限分别验收
个人文档可读只是第一层验收，依赖权限的资料还需要确认属主、组、访问控制和应用身份。Mac 导出的普通文件，元数据会受到本机文件系统和导出方式影响，不能把本机 stat 结果直接当成 NAS 原生还原结果。若恢复目标是另一个 DSM，必须在独立目标上按照受支持流程验证用户身份映射与共享权限，避免管理员能读就误认为普通用户也能正常使用。
数据库、套件与容器数据还涉及一致性和兼容版本。仅有文件目录不保证应用能启动，恢复演练应按应用支持的导入流程在隔离环境进行，再做最小功能测试。不要在个人日常 NAS 上直接覆盖套件设置试验。若没有独立环境，本轮结论应明确止于文件级恢复，并列出尚未验证的权限、设置和应用范围。
stat -f '%N | bytes=%z | mode=%Sp | uid=%u gid=%g' ./restore-check/notes.txt-f 为 BSD/macOS 格式，显示名称、字节数、权限、数字身份；便于与恢复前私人记录对照。 示意：bytes=128 | mode=-rw-------；仅展示格式，不是已测结果。 不能使用 GNU 的 -c；不同机器 UID 可不同，Mac 导出元数据也不能代替 DSM 原生权限恢复验收。
比较目录时承认工具的盲区
对恢复出来的普通样本目录，可以使用 rsync 的校验 dry-run 辅助找出源侧缺失或变化的项目。它会读取文件内容，所以大样本可能需要明显时间与 I/O。没有删除选项时，目标额外文件不会自动被完整报告；空输出不能直接解释为两棵目录所有方面完全相同。目录验收还应人工核对样本清单和数量，必要时从两个方向分别比较。
禁止把这种比较套到运行中的 Hyper Backup 仓库、Time Machine sparsebundle 或厂商快照内部目录。那些结构有自己的完整性与恢复机制，文件级比较不理解其语义。日志显示完整性检查成功也不替代本轮恢复；反之，一组样本成功不能证明所有历史版本都安全。至少覆盖一个近期版本和一个较早版本，让验收真正检验保留策略是否可用。
rsync -rnic -- ./personal-sample/ ./restore-check/-r 递归、-n dry-run、-i 显示变化、-c 依据内容校验比较；尾斜杠比较源的内容，不写目标。 示意：>f 表示源文件相对目标需要更新；无输出仅说明源侧选中文件无需更新。 没有 --delete，因此不报告目标多出的文件；-c 会完整读取内容。不得对运行中的备份仓库做目录级比较。
把演练结果写成可以复做的记录
记录从开始寻找恢复入口，到文件可以打开的实际耗时，并拆出寻找凭据、等待下载与导出验收所占时间。若远程目标速度慢，恢复时长可能主要受数据体积和链路限制，不能用一个小文件成功推算整库恢复只需几分钟。确认结果后，按个人隐私需求处理临时副本，但不要在验收尚未结束时删除原样本或唯一恢复结果。
一份合格记录应明确任务和版本、恢复对象、目的地、比对结果、应用打开结果、耗时与遗留问题。未完成项要具体，例如“尚未验证普通用户对共享文件夹的权限”，而不是只写可能有风险。更换目标介质、备份工具升级、轮换规则修改后再做演练，保持恢复路径可用。结论应写“本轮这些样本通过”，不能夸大成任何灾难都可以恢复。
- 演练记录模板：日期与时区；仓库代号；选定版本；样本清单；独立目标；内容与权限结果；实际耗时；未覆盖范围。
- 失败处理：保留错误与原仓库，区分凭据、版本、空间、读取和应用兼容问题，再使用官方支持路径排查。
准备一个能区分版本的个人样本包
样本包应有明确预期，而不是临时挑几份能打开的文件。可以准备一份说明、一张原始图片、一段短视频和一个带空格的子目录。说明的第一版写“蓝色封面”，第二版改为“绿色封面”；图片与视频保持不变。先将第一版送入一次完成的备份，再修改说明并等待第二次完成。没有两个实际完成版本时，不要把手写的两个日期当作真实恢复点。
开始前还要准备工具安装来源、仓库代号、解密材料的获取提示和独立目的地。恢复工具可以预先从官方渠道准备，但工具能启动不表示仓库能读。加密口令是否可取得，应在演练中通过实际打开样本仓库确认；公开记录只保留“已取得”或“未取得”。不要把解密密码与样本内容一起写入恢复报告。
此次任务的停止条件是：两个版本的说明分别符合标记，图片和视频可用，所有恢复输出都位于新目录，原样本没有被覆盖。若只完成其中一项，仍可保存部分结果，但整轮应标为部分完成。这样即使中途离开，也能知道下一次继续验证哪个文件、哪个时间点，而不用从头猜测哪些步骤已经做过。
样本,版本甲预期,版本乙预期,附加验收
说明.txt,蓝色封面,绿色封面,中文与换行
原图.jpg,保持不变,保持不变,尺寸与方向
短片.mov,保持不变,保持不变,中段和结尾播放完整填写模板；数字与代号均为示意，未实机验证。阅读不改变系统；另存并填写记录属于 write。请将待填写项替换为自己的实际结果。
以导出为入口完成两次文件级恢复
在DSM打开Hyper Backup，选中样本所属任务，进入备份浏览器，用时间线或日历选定第一版。对单文件可以按当前界面使用下载，对文件夹则核对复制到指定位置的受支持入口。选择新目的地后再执行。官方恢复说明提醒，复制或下载取得的文件不保留原权限，因此此路径的结论只覆盖内容取得，不覆盖DSM原生权限恢复。
第一版完成后先打开说明检查蓝色标记，再把实际版本标识写进记录；随后选择第二版导出到另一个子目录，检查绿色标记。不要对同一个目的地连续覆盖两次，否则第一份证据会消失，也容易把最后看到的文件误认成两个版本都成功。若当前工具不允许明确选择独立目标，就停在选择步骤，换官方支持的文件导出路径。
源NAS不可用的练习可以只从独立仓库打开样本，模拟“恢复时不依赖源共享”。不需要为了证明这一点故意关闭日常NAS，更不需要拆盘。记录当时使用的是桌面Explorer还是DSM浏览器、仓库在哪里、是否依赖原设备账号。若仓库仍在原设备上，这一轮就没有验证整机不可得场景，必须保留边界。
为导出空间和恢复时间做预算
假设选中的照片八GB、短视频十二GB、文档一GB，总样本二十一GB。若一次导出近期与旧版两组，即使其中不少文件相同，也先按四十二GB普通文件预算，再留八GB临时与记录空间，目标至少准备五十GB可用空间。此处不把仓库去重效果套用到导出目录：备份内部节省了空间，独立导出后仍可能占两份。
如果网络读取按二十MB每秒的有效速度作示意，四十二GB的纯传输下界约为三十五分钟。实际还要加目录遍历、小文件处理、解密和应用验证，因此不能把三十五分钟填成承诺完成时间。计时从寻找恢复入口开始，到样本能正常使用结束，另记传输时间，可以帮助发现真正耗时的是网络还是材料准备。
样本数量也要配合阅读成本。第一次选十个以内有明确用途的文件，通常比恢复几万个项目后只看总数更容易发现问题。后续扩大覆盖范围时，把近期新增、长期未访问、中文命名与大文件分别纳入。不要为追求百分之百统计而让首次演练无法完成；应说明本轮覆盖哪些风险，下一轮补哪一类样本。
演练代号：REST-A（示意，未执行）
实际时间与时区：待填写
仓库／任务／工具版本：待填写
选定恢复点：待填写真实版本
源是否参与恢复：待填写
目的地：restore-check/version-a/
查找凭据耗时：待计时
传输耗时：待计时
说明标记／照片／视频：待验收
内容比较结果：待执行
原权限：文件导出不保留，另测
整机与套件：未验证
失败样本／原因／下一步：待填写完整填写模板；数字与代号均为示意，未实机验证。阅读不改变系统；另存并填写记录属于 write。请将待填写项替换为自己的实际结果。
失败分支与演练后的交付物
仓库打不开但目标可访问，先查任务类型、工具支持与解密材料，不直接新建任务覆盖目标。版本能打开但文件不存在，先对照源范围、排除项与样本进入备份的时间，再换相邻已完成版本。文件能导出但内容不同，先核对版本标记与原样本是否后来又变了；只有确定比较对象正确，才继续调查备份或读取异常。
内容正确但应用打不开，要区分格式依赖与内容损坏。例如一个项目文件可能还需要附件、字体或配套资源，单独恢复主文件不够。记录缺失依赖，然后扩大到对应项目目录再次演练。普通用户无权读取则进入权限恢复验证，不能靠长期使用管理员账号绕过问题；桌面下载本来不保留NAS原权限，更不能据此推断原权限已经坏掉。
交付物包括样本清单、两次恢复记录、错误分支和恢复入口说明。对尚未具备独立环境的套件恢复，可以写明需要另一个受支持目标与相应应用版本后再测。验收结果保存到个人记录区，临时恢复目录在确认不再需要后通过正常文件管理清理；清理仅限本轮已识别的输出，不触碰备份仓库、时间线和原样本。收尾完成后安排下一次由实际变更触发的复测，而不填写虚构的成功日期。
性质：模拟范例，非真实执行结果
样本说明.txt、原图.jpg、短片.mov
甲版蓝色封面；乙版绿色封面
目标restore-check/version-a/与restore-check/version-b/
空间两组各21GB+余量8GB=50GB
模拟结果：两版标记正确；照片方向正常；视频中段可播放
模拟故障：额外项目缺附件打不开→下一轮补完整项目目录
结论：三个基础样本通过，额外项目未通过；权限与套件未验证
实际日期／完成版本／工具版本／耗时／结果：____完整模拟填写范例，用于说明结果和故障分支。复制后以真实信息替换，另存记录属于write。