服務(wù)器RAID5數(shù)據(jù)恢復(fù)環(huán)境：

存儲中12塊SCSI硬盤組建RAID5，其中1塊熱備盤；
FreeBSD操作系統(tǒng)，zfs文件系統(tǒng)。

服務(wù)器RAID5故障：

第6塊數(shù)據(jù)硬盤出現(xiàn)故障。

服務(wù)器RAID5數(shù)據(jù)恢復(fù)過程：

一、分析服務(wù)器RAID5。

1、初步判斷RAID5起始扇區(qū)。

RAID起始扇區(qū)是指RAID內(nèi)的數(shù)據(jù)在每塊物理盤(創(chuàng)建RAID所用的每塊獨(dú)立的物理硬盤)上的起始位置。起始扇區(qū)只存在于一塊物理盤，大多數(shù)情況是0扇區(qū)。找到起始扇區(qū)恢復(fù)raid5的第一步。
用WinHex將11塊沒有問題的硬盤去RAID化。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

用WinHex的同步功能將11塊盤定位在0扇區(qū)，11塊盤中只有3塊盤（1、2、6號硬盤）的0扇區(qū)有“55 AA”標(biāo)志，這個標(biāo)志意味著MBR磁盤結(jié)構(gòu)。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

分析哪個硬盤是起始扇區(qū)。先看第6塊硬盤發(fā)現(xiàn)第6塊硬盤的結(jié)尾顯示這是一個GPT頭備份并且只有128MB大小。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

剩下的1號磁盤和2號磁盤中0扇區(qū)有起始扇區(qū)或校驗。

2、分析塊大小(條帶大小)。

本案例使用的zfs文件系統(tǒng)，用WinHex同步顯示11塊物理盤的某個扇區(qū)，比如53654656扇區(qū)，發(fā)現(xiàn)只有1號盤的此扇區(qū)跟其他盤顯示的不一樣，這是位于1號盤的校驗區(qū)。順著1號盤53654656扇區(qū)上下尋找，找到連續(xù)的128個扇區(qū)。這128個扇區(qū)就是這個RAID5的條帶大小。

3、RAID5成員盤的盤序。
本案例說的1號盤不一定就是RAID5的第一個盤，也就是說物理盤順序并不一定就是是RAID的順序，需要進(jìn)行人工校驗才能確定。

用WinHex同步定位11塊硬盤的53654656扇區(qū)，發(fā)現(xiàn)1號盤的此扇區(qū)與其他盤顯示的不同，這個扇區(qū)是1號盤的校驗區(qū)。接著分析1號盤的下一個條帶，即53654656+128=53654784扇區(qū)，得出2號盤的這個扇區(qū)和其他盤顯示的不同，所以2號盤從53654784扇區(qū)開始的條帶是校驗區(qū)。以此方式繼續(xù)下去，接著是3號盤的校驗區(qū)，4號盤的校驗區(qū)……得出的校驗區(qū)如下圖所示，“P”字母表示校驗區(qū)。我們按照校驗區(qū)的位置即可得到盤序，而本案例的盤序正好是從1號盤開始依次遞增的。

既然知道了盤序，從第一步分析知道了1號盤和2號盤的0扇區(qū)為起始扇區(qū)或為校驗區(qū)。對于左結(jié)構(gòu)來說，0扇區(qū)是起始扇區(qū)的物理盤一定是RAID5的1號盤；對于右結(jié)構(gòu)來說，0扇區(qū)是起始扇區(qū)的物理盤一定是RAID5的2號盤。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

4、校驗方向。

RAID5的基本結(jié)構(gòu)有左同步、左異步、右同步、右異步。左和右是對校驗方向來說的，區(qū)別如下圖所示。本案例中的RAID5很明顯是右走向的。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

從校驗區(qū)的走向可以確定整個RAID5的校驗方向是右方向。

左同步、左異步結(jié)構(gòu)中的校驗塊都是從最后一塊物理盤開始；右同步、右異步結(jié)構(gòu)中的校驗塊都是從第一塊物理盤開始。

判斷校驗方向的方法有兩種：一種是先分析起始扇區(qū)，再分析條帶大小，然后是盤序，盤序分析后校驗方向很容易就看出來了。另一種是如果盤序沒有確定下來，只確定了起始扇區(qū)和條帶大小，可以采用反推法。

使用反推法分析，在盤序還沒有確定下來的情況下，由這個校驗區(qū)可以算出某個盤中第一個校驗區(qū)是第幾個條帶。具體方法如下：找到某個校驗區(qū)，比如3號盤的53654912扇區(qū)，用這個扇區(qū)對條帶大小與盤數(shù)的乘積取余。即

53654912MOD(128*12)=256

計算的結(jié)果等于256，表示256號扇區(qū)是校驗。而位于此扇區(qū)的3號盤處于第3個條帶，并且是第3個條帶的開始扇區(qū)，包括256號扇區(qū)在內(nèi)的以后的128個扇區(qū)是3號盤的第一個校驗區(qū)。

接著判斷1號盤下一個條帶，1號盤下一個條帶顯示3號盤是校驗區(qū)。接著判斷3號盤下一個條帶，3號盤下一個條帶顯示3號盤是校驗區(qū)。由此可以確定校驗方向。

5、數(shù)據(jù)走向。

同步異步說的是數(shù)據(jù)的走向。異步結(jié)構(gòu)中，各條帶組內(nèi)的數(shù)據(jù)塊均由低號盤向高號盤依次寫入。同步結(jié)構(gòu)中，每個條帶組內(nèi)第一個數(shù)據(jù)塊寫在校驗塊所在物理盤的下一個物理盤，若后面還有物理盤，則順序往后寫，若校驗塊所在物理盤后沒有物理盤，則從校驗塊所在物理盤前面的物理盤開始從低號盤向高號盤順序?qū)懭搿?/p>

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

以下是本案例RAID5的分析過程(已確定此RAID5是右結(jié)構(gòu))。

1.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。

2.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。

3.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。

4.從“數(shù)據(jù)塊A”入手。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

首先查看“數(shù)據(jù)塊A”末尾扇區(qū)的數(shù)據(jù)，然后再查看“數(shù)據(jù)塊B”和“數(shù)據(jù)塊C”開始扇區(qū)的數(shù)據(jù)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊B” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于異步結(jié)構(gòu)。如果“數(shù)據(jù)塊A” 末尾扇區(qū)的數(shù)據(jù)能夠與“數(shù)據(jù)塊C” 開始扇區(qū)的數(shù)據(jù)銜接，則該RAID5屬于同步結(jié)構(gòu)。

二、重組RAID5。

從上面的步驟中我們已經(jīng)解析出RAID5的一些重要信息，根據(jù)這些信息，我們就可以重組RAID5了。

下面我們用UFS Explorer工具打開并添加這11塊硬盤。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

將1.dsk添加到了左側(cè)Connected storages里。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

把RAID5的10塊盤都添加進(jìn)去。點(diǎn)擊Build RAID選項，依照RAID5的盤序把10塊盤都添加進(jìn)去，開始組建RAID5。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

第6塊盤因為出現(xiàn)故障，所以要剔除，并在其位置添加時補(bǔ)一個空缺，并繼續(xù)順序添加完其它硬盤。點(diǎn)擊標(biāo)紅框位置處的按鈕，添加空缺硬盤。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

接著選擇校驗方向和數(shù)據(jù)走向，本實(shí)例條帶大小為28個扇區(qū)，即65KB，右異步結(jié)構(gòu)。因此設(shè)置如下所示。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

接著點(diǎn)擊Build按鈕，出現(xiàn)如下所示。點(diǎn)擊find查找，選擇zfs文件系統(tǒng)。

北亞數(shù)據(jù)恢復(fù)——RAID5數(shù)據(jù)恢復(fù)

出現(xiàn)了如下圖所示的正在組建的RAID5。