RAID5數(shù)據(jù)恢復(fù)環(huán)境：
一臺(tái)存儲(chǔ)上有一組由12塊SCSI硬盤（11塊數(shù)據(jù)盤+1塊熱備盤）組建的RAID5磁盤陣列，F(xiàn)reeBSD操作系統(tǒng)+zfs文件系統(tǒng)。

RAID5故障：
其中一塊盤出現(xiàn)故障，需要重組該raid5磁盤陣列。

RAID5數(shù)據(jù)恢復(fù)過(guò)程：
1、將存儲(chǔ)關(guān)機(jī)，將存儲(chǔ)中所有磁盤標(biāo)記后從槽位上取出。以只讀方式將所有磁盤進(jìn)行扇區(qū)級(jí)全盤鏡像，鏡像完成后將所有磁盤按照原樣還原到存儲(chǔ)中。后續(xù)的數(shù)據(jù)分析和數(shù)據(jù)恢復(fù)操作都基于鏡像文件進(jìn)行，避免對(duì)原始磁盤數(shù)據(jù)造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數(shù)據(jù)，獲取重組raid5所需要的信息，包括：RAID5起始扇區(qū)、塊大小(條帶大小)分析、RAID5成員盤盤序、校驗(yàn)方向、數(shù)據(jù)走向。
2.1、RAID5起始扇區(qū)。
RAID起始扇區(qū)是指RAID內(nèi)的數(shù)據(jù)在每塊物理盤上的起始位置。起始扇區(qū)只存在于一塊物理盤，大多數(shù)情況是0扇區(qū)。

使用數(shù)據(jù)恢復(fù)軟件的同步功能將11塊數(shù)據(jù)盤定位在0扇區(qū)，可以看到11塊盤中只有3塊盤（1號(hào)盤、2號(hào)盤和出現(xiàn)故障的那塊盤）的0扇區(qū)有“55 AA”標(biāo)志，這個(gè)標(biāo)志說(shuō)明是MBR磁盤結(jié)構(gòu)。

分析raid5起始扇區(qū)位于哪塊硬盤。先看出現(xiàn)故障的那塊硬盤，這塊故障硬盤的結(jié)尾顯示這是一個(gè)GPT頭備份且只有128MB大小。

剩下的0扇區(qū)有“55 AA”標(biāo)志的另外2塊磁盤（1號(hào)盤和2號(hào)盤）中的0扇區(qū)有起始扇區(qū)或校驗(yàn)。
2.2、塊大小(條帶大小)。
塊也稱條帶，是RAID處理數(shù)據(jù)的基本單元，不同的RAID條帶大小有所不同。由于一個(gè)校驗(yàn)區(qū)的大小是一個(gè)條帶的大小，根據(jù)這個(gè)規(guī)則分析該RAID5實(shí)例。此實(shí)例使用的是zfs文件系統(tǒng)，同步顯示11塊物理盤的某個(gè)扇區(qū)，發(fā)現(xiàn)有一塊盤的此扇區(qū)和其他盤的的此扇區(qū)明顯不一樣，這是位于該盤的校驗(yàn)區(qū)。順著該盤的該扇區(qū)上下尋找，找到連續(xù)的128個(gè)扇區(qū)。這128個(gè)扇區(qū)就是這個(gè)RAID5的條帶大小。
2.3、RAID5盤序。
同步定位11塊硬盤的53654656扇區(qū)。發(fā)現(xiàn)1號(hào)盤的該扇區(qū)與其他盤的該扇區(qū)不同，這個(gè)是1號(hào)盤的校驗(yàn)區(qū)。接著分析1號(hào)盤的下一個(gè)條帶，即53654656+128=53654784扇區(qū)，發(fā)現(xiàn)2號(hào)盤的這個(gè)扇區(qū)和其他盤的不同，所以2號(hào)盤從53654784扇區(qū)開(kāi)始的條帶是校驗(yàn)區(qū)。以此方式繼續(xù)分析，找到3號(hào)盤的校驗(yàn)區(qū)，4號(hào)盤的校驗(yàn)區(qū)……，“P”字母即表示校驗(yàn)區(qū)。按照校驗(yàn)區(qū)的位置可得到盤序。這個(gè)實(shí)例的盤序正好是從1號(hào)盤開(kāi)始依次遞增的。
對(duì)于左結(jié)構(gòu)來(lái)說(shuō)，0扇區(qū)是起始扇區(qū)的物理盤一定是RAID5的1號(hào)盤；對(duì)于右結(jié)構(gòu)來(lái)說(shuō)，0扇區(qū)是起始扇區(qū)的物理盤一定是RAID5的2號(hào)盤。

2.4、校驗(yàn)方向。
RAID5的基本結(jié)構(gòu)有左同步、左異步、右同步、右異步。左和右是對(duì)校驗(yàn)方向來(lái)說(shuō)的，區(qū)別如表1和表2所示。該RAID5實(shí)例很明顯是右走向的。

左同步、左異步結(jié)構(gòu)中的校驗(yàn)塊都是從最后一塊物理盤開(kāi)始，右同步、右異步結(jié)構(gòu)中的校驗(yàn)塊都是從第一塊物理盤開(kāi)始。
判斷校驗(yàn)方向的方法有兩種：
方法一、先分析起始扇區(qū)，再分析條帶大小，然后是盤序，盤序分析出來(lái)后校驗(yàn)方向很容易就能看出來(lái)。
方法二、如果盤序沒(méi)有確定下來(lái)，只確定了起始扇區(qū)和條帶大小，可以采用反推法（想了解反推法可以咨詢北亞企安數(shù)據(jù)恢復(fù)工程師）。
2.5、數(shù)據(jù)走向。
數(shù)據(jù)的走向指同步或者異步。異步結(jié)構(gòu)中，各條帶組內(nèi)的數(shù)據(jù)塊均由低號(hào)盤向高號(hào)盤依次寫入。同步結(jié)構(gòu)中，每個(gè)條帶組內(nèi)第一個(gè)數(shù)據(jù)塊寫在校驗(yàn)塊所在物理盤的下一個(gè)物理盤，若后面還有物理盤，則順序往后寫；若校驗(yàn)塊所在物理盤后沒(méi)有物理盤，則從校驗(yàn)塊所在物理盤前面的物理盤開(kāi)始從低號(hào)盤向高號(hào)盤順序?qū)懭搿?/p>

3、RAID5實(shí)例分析過(guò)程（已確定此RAID5是右結(jié)構(gòu)）：
a、從“數(shù)據(jù)塊A”入手。

查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開(kāi)始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。
b、從“數(shù)據(jù)塊A”入手。

查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開(kāi)始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。
c、從“數(shù)據(jù)塊A”入手。

查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開(kāi)始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。
d、從“數(shù)據(jù)塊A”入手。

查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開(kāi)始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開(kāi)始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。
4、重組RAID5陣列。
上面步驟分析出重組RAID5陣列所需要的信息，根據(jù)這些信息，我們就可以開(kāi)始重組RAID5陣列了。
用工具打開(kāi)并添加這11塊硬盤。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

將1.dsk添加到了左側(cè)Connected storages里。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

點(diǎn)擊Build RAID選項(xiàng)，依照RAID5的盤序把10塊盤都添加進(jìn)去，開(kāi)始組建RAID5陣列。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

剔除出現(xiàn)故障的那塊盤，在其位置添加時(shí)補(bǔ)一個(gè)空缺，并繼續(xù)按照順序添加完其它硬盤。點(diǎn)擊標(biāo)紅框位置處的按鈕，添加空缺硬盤。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

選擇校驗(yàn)方向和數(shù)據(jù)走向。本實(shí)例條帶大小為28個(gè)扇區(qū)，即65KB，右異步結(jié)構(gòu)。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

點(diǎn)擊Build按鈕，在彈出窗口中點(diǎn)擊find查找，選擇zfs文件系統(tǒng)。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

出現(xiàn)正在組建的RAID5陣列。

北亞企安數(shù)據(jù)恢復(fù)—raid5數(shù)據(jù)恢復(fù)

審核編輯 黃宇