服務(wù)器RAID5數(shù)據(jù)恢復(fù)環(huán)境：

存儲(chǔ)中12塊SCSI硬盤組建RAID5，其中1塊熱備盤；
FreeBSD操作系統(tǒng)，zfs文件系統(tǒng)。

服務(wù)器RAID5故障：

第6塊數(shù)據(jù)硬盤出現(xiàn)故障。

服務(wù)器RAID5數(shù)據(jù)恢復(fù)過程：

一、分析服務(wù)器RAID5。

1、初步判斷RAID5起始扇區(qū)。

RAID起始扇區(qū)是指RAID內(nèi)的數(shù)據(jù)在每塊物理盤(創(chuàng)建RAID所用的每塊獨(dú)立的物理硬盤)上的起始位置。起始扇區(qū)只存在于一塊物理盤，大多數(shù)情況是0扇區(qū)。找到起始扇區(qū)恢復(fù)raid5的第一步。
用WinHex將11塊沒有問題的硬盤去RAID化。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

用WinHex的同步功能將11塊盤定位在0扇區(qū)，11塊盤中只有3塊盤（1、2、6號(hào)硬盤）的0扇區(qū)有“55 AA”標(biāo)志，這個(gè)標(biāo)志意味著MBR磁盤結(jié)構(gòu)。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

分析哪個(gè)硬盤是起始扇區(qū)。先看第6塊硬盤發(fā)現(xiàn)第6塊硬盤的結(jié)尾顯示這是一個(gè)GPT頭備份并且只有128MB大小。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

剩下的1號(hào)磁盤和2號(hào)磁盤中0扇區(qū)有起始扇區(qū)或校驗(yàn)。

2、分析塊大小(條帶大小)。

本案例使用的zfs文件系統(tǒng)，用WinHex同步顯示11塊物理盤的某個(gè)扇區(qū)，比如53654656扇區(qū)，發(fā)現(xiàn)只有1號(hào)盤的此扇區(qū)跟其他盤顯示的不一樣，這是位于1號(hào)盤的校驗(yàn)區(qū)。順著1號(hào)盤53654656扇區(qū)上下尋找，找到連續(xù)的128個(gè)扇區(qū)。這128個(gè)扇區(qū)就是這個(gè)RAID5的條帶大小。

3、RAID5成員盤的盤序。
本案例說的1號(hào)盤不一定就是RAID5的第一個(gè)盤，也就是說物理盤順序并不一定就是是RAID的順序，需要進(jìn)行人工校驗(yàn)才能確定。

用WinHex同步定位11塊硬盤的53654656扇區(qū)，發(fā)現(xiàn)1號(hào)盤的此扇區(qū)與其他盤顯示的不同，這個(gè)扇區(qū)是1號(hào)盤的校驗(yàn)區(qū)。接著分析1號(hào)盤的下一個(gè)條帶，即53654656+128=53654784扇區(qū)，得出2號(hào)盤的這個(gè)扇區(qū)和其他盤顯示的不同，所以2號(hào)盤從53654784扇區(qū)開始的條帶是校驗(yàn)區(qū)。以此方式繼續(xù)下去，接著是3號(hào)盤的校驗(yàn)區(qū)，4號(hào)盤的校驗(yàn)區(qū)……得出的校驗(yàn)區(qū)如下圖所示，“P”字母表示校驗(yàn)區(qū)。我們按照校驗(yàn)區(qū)的位置即可得到盤序，而本案例的盤序正好是從1號(hào)盤開始依次遞增的。

既然知道了盤序，從第一步分析知道了1號(hào)盤和2號(hào)盤的0扇區(qū)為起始扇區(qū)或?yàn)樾ｒ?yàn)區(qū)。對(duì)于左結(jié)構(gòu)來說，0扇區(qū)是起始扇區(qū)的物理盤一定是RAID5的1號(hào)盤；對(duì)于右結(jié)構(gòu)來說，0扇區(qū)是起始扇區(qū)的物理盤一定是RAID5的2號(hào)盤。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

4、校驗(yàn)方向。

RAID5的基本結(jié)構(gòu)有左同步、左異步、右同步、右異步。左和右是對(duì)校驗(yàn)方向來說的，區(qū)別如下圖所示。本案例中的RAID5很明顯是右走向的。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

從校驗(yàn)區(qū)的走向可以確定整個(gè)RAID5的校驗(yàn)方向是右方向。

左同步、左異步結(jié)構(gòu)中的校驗(yàn)塊都是從最后一塊物理盤開始；右同步、右異步結(jié)構(gòu)中的校驗(yàn)塊都是從第一塊物理盤開始。

判斷校驗(yàn)方向的方法有兩種：一種是先分析起始扇區(qū)，再分析條帶大小，然后是盤序，盤序分析后校驗(yàn)方向很容易就看出來了。另一種是如果盤序沒有確定下來，只確定了起始扇區(qū)和條帶大小，可以采用反推法。

使用反推法分析，在盤序還沒有確定下來的情況下，由這個(gè)校驗(yàn)區(qū)可以算出某個(gè)盤中第一個(gè)校驗(yàn)區(qū)是第幾個(gè)條帶。具體方法如下：找到某個(gè)校驗(yàn)區(qū)，比如3號(hào)盤的53654912扇區(qū)，用這個(gè)扇區(qū)對(duì)條帶大小與盤數(shù)的乘積取余。即

53654912MOD(128*12)=256

計(jì)算的結(jié)果等于256，表示256號(hào)扇區(qū)是校驗(yàn)。而位于此扇區(qū)的3號(hào)盤處于第3個(gè)條帶，并且是第3個(gè)條帶的開始扇區(qū)，包括256號(hào)扇區(qū)在內(nèi)的以后的128個(gè)扇區(qū)是3號(hào)盤的第一個(gè)校驗(yàn)區(qū)。

接著判斷1號(hào)盤下一個(gè)條帶，1號(hào)盤下一個(gè)條帶顯示3號(hào)盤是校驗(yàn)區(qū)。接著判斷3號(hào)盤下一個(gè)條帶，3號(hào)盤下一個(gè)條帶顯示3號(hào)盤是校驗(yàn)區(qū)。由此可以確定校驗(yàn)方向。

5、數(shù)據(jù)走向。

同步異步說的是數(shù)據(jù)的走向。異步結(jié)構(gòu)中，各條帶組內(nèi)的數(shù)據(jù)塊均由低號(hào)盤向高號(hào)盤依次寫入。同步結(jié)構(gòu)中，每個(gè)條帶組內(nèi)第一個(gè)數(shù)據(jù)塊寫在校驗(yàn)塊所在物理盤的下一個(gè)物理盤，若后面還有物理盤，則順序往后寫，若校驗(yàn)塊所在物理盤后沒有物理盤，則從校驗(yàn)塊所在物理盤前面的物理盤開始從低號(hào)盤向高號(hào)盤順序?qū)懭搿?/p>

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

以下是本案例RAID5的分析過程(已確定此RAID5是右結(jié)構(gòu))。

1.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。

2.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。

3.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。

4.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。

二、重組RAID5。

從上面的步驟中我們已經(jīng)解析出RAID5的一些重要信息，根據(jù)這些信息，我們就可以重組RAID5了。

下面我們用UFS Explorer工具打開并添加這11塊硬盤。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

將1.dsk添加到了左側(cè)Connected storages里。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

把RAID5的10塊盤都添加進(jìn)去。點(diǎn)擊Build RAID選項(xiàng)，依照RAID5的盤序把10塊盤都添加進(jìn)去，開始組建RAID5。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

第6塊盤因?yàn)槌霈F(xiàn)故障，所以要剔除，并在其位置添加時(shí)補(bǔ)一個(gè)空缺，并繼續(xù)順序添加完其它硬盤。點(diǎn)擊標(biāo)紅框位置處的按鈕，添加空缺硬盤。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

接著選擇校驗(yàn)方向和數(shù)據(jù)走向，本實(shí)例條帶大小為28個(gè)扇區(qū)，即65KB，右異步結(jié)構(gòu)。因此設(shè)置如下所示。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

接著點(diǎn)擊Build按鈕，出現(xiàn)如下所示。點(diǎn)擊find查找，選擇zfs文件系統(tǒng)。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

出現(xiàn)了如下圖所示的正在組建的RAID5。