一、準(zhǔn)備知識(shí)

RAID-5是數(shù)據(jù)和奇偶校驗(yàn)間斷分布在三個(gè)或更多物理磁盤(pán)上的、具有容錯(cuò)功能的陣列方式。如果物理磁盤(pán)的某一部分失敗，您可以用余下的數(shù)據(jù)和奇偶校驗(yàn)重新創(chuàng)建磁盤(pán)上失敗的那一部分上的數(shù)據(jù)。對(duì)于多數(shù)活動(dòng)由讀取數(shù)據(jù)構(gòu)成的計(jì)算機(jī)環(huán)境中的數(shù)據(jù)冗余來(lái)說(shuō)，RAID-5是一種很好的解決方案。

有一些服務(wù)器或者磁盤(pán)陣列柜會(huì)將RAID信息存儲(chǔ)在磁盤(pán)的某些地方，一般是陣列內(nèi)每塊磁盤(pán)的最前面的一些扇區(qū)或者位于磁盤(pán)最后的一些扇區(qū)內(nèi)。當(dāng)RAID信息存儲(chǔ)在每塊磁盤(pán)的前面的扇區(qū)時(shí)，在分析與重組RAID的時(shí)候就需要人為的去掉這些信息，否則就會(huì)得到錯(cuò)誤的結(jié)果。

在做RAID5的數(shù)據(jù)恢復(fù)的時(shí)候，除了需要知道RAID內(nèi)數(shù)據(jù)的起始扇區(qū)，還需要了解（數(shù)據(jù)）塊大小（也稱(chēng)深度，depth）、數(shù)據(jù)與校驗(yàn)的方式等。

在實(shí)際應(yīng)用中，陣列控制器一般要先把磁盤(pán)分成很多條帶（Stripe，如圖1上綠色線(xiàn)框起來(lái)的部分就是一個(gè)條帶），然后再對(duì)每組條帶做校驗(yàn)。每個(gè)條帶上有且僅有一個(gè)磁盤(pán)上存放校驗(yàn)信息，其他的磁盤(pán)上均存放數(shù)據(jù)。數(shù)據(jù)被控制器劃分為相等的大小，分別寫(xiě)在每一塊硬盤(pán)上面。每一個(gè)數(shù)據(jù)塊的長(zhǎng)度或者說(shuō)數(shù)據(jù)塊的容量就被稱(chēng)為塊大小或者叫（條帶）深度。在陣列內(nèi)，條帶大小一般是相同的，即在每個(gè)磁盤(pán)內(nèi)的數(shù)據(jù)塊的大小和校驗(yàn)塊的大小是一致的。

圖1

每一個(gè)條帶內(nèi)的校驗(yàn)盤(pán)上的內(nèi)容是通過(guò)這個(gè)條帶上其他磁盤(pán)上的數(shù)據(jù)做異或而來(lái)，如P1=D1 XOR D2 XOR D3（見(jiàn)圖2）。一般來(lái)說(shuō)，在盤(pán)序是正確的情況下，校驗(yàn)塊在RAID5內(nèi)每塊磁盤(pán)的寫(xiě)入順序都是從第一塊盤(pán)到最后一塊盤(pán)或者從最后一塊盤(pán)到第一塊盤(pán)（如圖2）。從圖上看，校驗(yàn)的排列總是從圖的左上角到右下角，或者從圖的有上角到左下角。這就為我們判斷磁盤(pán)的順序提供了依據(jù)。如果考慮上數(shù)據(jù)寫(xiě)入磁盤(pán)的順序（這個(gè)就是所謂的校驗(yàn)旋轉(zhuǎn)方式，以下簡(jiǎn)稱(chēng)旋轉(zhuǎn)方式），我們便得到了如圖2所示的4種數(shù)據(jù)與校驗(yàn)的排列形式：forward 123（右不對(duì)稱(chēng)）、forward dyn（右對(duì)稱(chēng)）、backward 321（左不對(duì)稱(chēng)）、backward dyn（左對(duì)稱(chēng)）。其中forward dyn的方式比較不常見(jiàn)，在判斷旋轉(zhuǎn)方式的時(shí)候可以不考慮。

圖2

最后，不論是單獨(dú)使用的磁盤(pán)還是使用多塊磁盤(pán)組合成RAID，MBR始終是這個(gè)單獨(dú)磁盤(pán)或者RAID的0扇區(qū)。

二、恢復(fù)過(guò)程

1.一般思路

對(duì)于一般的RAID5數(shù)據(jù)恢復(fù)，我們需要了解以下參數(shù)：盤(pán)序、塊大小、旋轉(zhuǎn)方式和數(shù)據(jù)起始扇區(qū)等。所以，對(duì)于RAID5的數(shù)據(jù)恢復(fù)也就是通過(guò)文件系統(tǒng)、文件格式、磁盤(pán)內(nèi)其它相關(guān)數(shù)據(jù)等來(lái)確定這四個(gè)參數(shù)的過(guò)程。當(dāng)這四個(gè)參數(shù)確定后，便可以通過(guò)相關(guān)的工具將分散在每塊磁盤(pán)上數(shù)據(jù)還原為RAID5內(nèi)實(shí)際的數(shù)據(jù)，從而達(dá)到恢復(fù)RAID5內(nèi)數(shù)據(jù)的目的。

下面的是RAID5數(shù)據(jù)恢復(fù)的一般過(guò)程，之后將通過(guò)一個(gè)案例的分析過(guò)程來(lái)具體說(shuō)明如何恢復(fù)RAID5的數(shù)據(jù)。

通過(guò)工具找到MBR與DBR，并判斷硬盤(pán)內(nèi)的數(shù)據(jù)是否同步—〉通過(guò)MBR的位置判斷起始扇區(qū)位置—〉通過(guò)DBR找到NTFS分區(qū)的MFT記錄的位置—〉通過(guò)MFT記錄判斷塊大小、盤(pán)序、旋轉(zhuǎn)方式—〉數(shù)據(jù)重組、恢復(fù)RAID5內(nèi)數(shù)據(jù)

2.恢復(fù)過(guò)程

環(huán)境及工具：windows2003 server、Raid reconstructor3.02（以下簡(jiǎn)稱(chēng)RR3）、Runtimes DiskExplorer for NTFS 3.01（以下簡(jiǎn)稱(chēng)DE3）

基本情況：這是一組由四塊盤(pán)組成的RAID5，每塊硬盤(pán)為100M，windows2003的操作系統(tǒng)，分了一個(gè)分區(qū)290M，分區(qū)格式為NTFS。

首先，打開(kāi)Raid reconstructor。①在 #drives 后面的文本框中輸入這個(gè)RAID5的盤(pán)數(shù)4。②分別在Drive1、Drive2、Drive3、Drive4后輸入每個(gè)磁盤(pán)或磁盤(pán)鏡像的路徑或單擊右鍵進(jìn)行選擇。③單擊軟件下面的Open drives。

圖3

選擇Tools菜單中的XOR Test（這個(gè)命令用來(lái)測(cè)試RAID內(nèi)的這些磁盤(pán)上的數(shù)據(jù)是否同步，即是否有硬盤(pán)是先掉線(xiàn)的），見(jiàn)到如圖4所示的窗口。④點(diǎn)擊軟件下方的Start鍵進(jìn)行XOR測(cè)試。注意：這個(gè)測(cè)試需要這個(gè)RAID內(nèi)的每一塊磁盤(pán)都參與測(cè)試，否則結(jié)果不具有參考價(jià)值。

圖4

等測(cè)試完成后會(huì)看到如圖5所示的結(jié)果。

圖5

在窗口的左側(cè)，RR3用帶有顏色的小方格表示測(cè)試的結(jié)果：一個(gè)小方格代表一個(gè)扇區(qū)，綠色表示XOR測(cè)試通過(guò)，紅色表示測(cè)試未通過(guò)，白色表示相應(yīng)扇區(qū)上沒(méi)有數(shù)據(jù)。在窗口的右側(cè)，列出來(lái)的分區(qū)表（MBR）和啟動(dòng)扇區(qū)（DBR）的相關(guān)信息。如在那個(gè)磁盤(pán)（鏡像文件）的第多少扇區(qū)上有MBR或DBR，并且會(huì)有關(guān)于這個(gè)MBR或者DBR一個(gè)簡(jiǎn)要的說(shuō)明。

對(duì)于當(dāng)前的這個(gè)案例來(lái)講，從圖5上可以看出：在窗口的左面均是綠色的，說(shuō)明XOR測(cè)試通過(guò)，這四塊磁盤(pán)上的數(shù)據(jù)是同步的；在窗口的右面，列出了在Disk1.img的第8扇區(qū)上有MBR，第71扇區(qū)上有DBR。在Disk3.img的1402扇區(qū)上有未知格式DBR。從基本情況描述上了解到，這個(gè)RAID內(nèi)只有一個(gè)NTFS的分區(qū)，所以這個(gè)未知格式DBR不是我們要尋找的。

我們現(xiàn)在來(lái)看Disk1.img上的MBR和DBR：MBR里定義了一個(gè)NTFS的分區(qū)，這個(gè)分區(qū)是從63扇區(qū)開(kāi)始，大小是578277個(gè)扇區(qū)。這些信息和這個(gè)RAID的基本情況描述的比較接近，所以這個(gè)MBR應(yīng)該是這個(gè)RAID的MBR。根據(jù)在準(zhǔn)備知識(shí)里提到的MBR所在的扇區(qū)就是RAID的起始扇區(qū)，所以這個(gè)RAID在各個(gè)磁盤(pán)上的起始扇區(qū)就是8號(hào)扇區(qū)（扇區(qū)的編號(hào)是從0號(hào)開(kāi)始的），即每塊磁盤(pán)的前面8個(gè)扇區(qū)是沒(méi)有用處的，在重組RAID時(shí)需要剔除掉。

使用DE3打開(kāi)Disk1.img，找到DBR的位置（71扇區(qū)），在view菜單里選擇as Boot Record或者直接按F10鍵，會(huì)看到如圖6所示內(nèi)容。

圖6

注意紅框內(nèi)的內(nèi)容，它們分別表示每簇扇區(qū)數(shù)和$MFT所在的簇。用$MFT所在簇乘以每簇扇區(qū)數(shù)得到$MFT位于當(dāng)前分區(qū)的哪個(gè)扇區(qū)上。因?yàn)樵诿總€(gè)分區(qū)前面都有一部分的隱藏扇區(qū)，所以用$MFT在當(dāng)前分區(qū)的位置加上當(dāng)前分區(qū)前面的隱藏扇區(qū)數(shù)便得到了這個(gè)$MFT在RAID內(nèi)的絕對(duì)位置（從這個(gè)RAID的0扇區(qū)開(kāi)始）。RAID5的使用容量比磁盤(pán)的實(shí)際容量少一塊盤(pán)的容量（用來(lái)存儲(chǔ)交驗(yàn)數(shù)據(jù)了），所以$MFT在每塊磁盤(pán)上的位置就應(yīng)該是用$MFT的絕對(duì)位置除以盤(pán)數(shù)減一。又因?yàn)槊繅K磁盤(pán)前面存有一部分RAID信息，所以$MFT在單塊磁盤(pán)上的位置還要再加上RAID信息所占用的扇區(qū)數(shù)（起始扇區(qū)數(shù)）。具體公式如下：

由于數(shù)據(jù)是按照條帶存儲(chǔ)在硬盤(pán)上的，所以這個(gè)公式計(jì)算出來(lái)的MFT位置只是個(gè)大概位置，MFT在每塊磁盤(pán)上的實(shí)際位置應(yīng)該在這個(gè)位置附近。而且，在這之后的有關(guān)計(jì)算會(huì)因?yàn)橛?jì)算時(shí)所選取的扇區(qū)號(hào)等原因出現(xiàn)一些誤差，一般在±4個(gè)扇區(qū)之內(nèi)。

在這個(gè)例子中，MFT所在的位置=192759*1/(4-1) + 8 =64261。所以，MFT在每塊磁盤(pán)上的位置為64261扇區(qū)附近。使用DE3打開(kāi)每個(gè)鏡像文件的64261扇區(qū)，在view菜單里選擇as File entry或者按F6鍵，會(huì)看到如圖7所示內(nèi)容。

圖7

這里面的每一條記錄對(duì)應(yīng)MFT里的一條記錄。這時(shí)，向下拖拽滑動(dòng)條，會(huì)在記錄文件名的地方出現(xiàn)亂碼、文件名內(nèi)出現(xiàn)非法字符（* ? \ / : ” < > | 等）或者不顯示文件名或文件的屬性（如圖8中紅框內(nèi)部分）。

圖8

為什么在MFT的記錄內(nèi)會(huì)出現(xiàn)這種情況呢？在準(zhǔn)備知識(shí)中曾經(jīng)說(shuō)過(guò)，RAID5直所以可以容錯(cuò)是因?yàn)镽AID5對(duì)每個(gè)條帶內(nèi)的數(shù)據(jù)做了XOR校驗(yàn)，并將校驗(yàn)的結(jié)果按照規(guī)律均勻的存儲(chǔ)在RAID5內(nèi)每塊硬盤(pán)上。之所以在MFT的記錄內(nèi)會(huì)出現(xiàn)如圖8所示的現(xiàn)象就是因?yàn)檫@塊區(qū)域存儲(chǔ)的是校驗(yàn)內(nèi)容。所以，我們只需要找到出現(xiàn)問(wèn)題的MFT記錄起始位置與結(jié)束位置，就可以確定校驗(yàn)塊的容量，而這個(gè)校驗(yàn)塊的容量就是塊大小。如何在這個(gè)案例中，出現(xiàn)問(wèn)題的MFT記錄是從64392扇區(qū)開(kāi)始的，到64520扇區(qū)結(jié)束。所以，這個(gè)案例的塊大小就是64520-64392=128個(gè)扇區(qū)。

由于每個(gè)盤(pán)上的數(shù)據(jù)塊和校驗(yàn)塊出現(xiàn)的順序是一定的（見(jiàn)圖1、圖2），所以可以通過(guò)確定校驗(yàn)塊位于RAID5的哪個(gè)條帶上，從而確定磁盤(pán)的盤(pán)序。即，分別找到每一個(gè)磁盤(pán)或者鏡像文件內(nèi)MFT記錄的一個(gè)校驗(yàn)塊的末尾扇區(qū)，用這個(gè)扇區(qū)數(shù)減去起始扇區(qū)數(shù)的結(jié)果與塊大小和盤(pán)數(shù)的乘積取余，所得的結(jié)果除以塊大小，最后的這個(gè)得數(shù)就是這個(gè)校驗(yàn)塊位于哪個(gè)條帶上。具體公式如下：

所以，Disk1.img的校驗(yàn)塊位于的條帶號(hào)是（（64520—8）MOD（128*4））/128 =0 =4，用同樣的方法計(jì)算余下硬盤(pán)鏡像內(nèi)的校驗(yàn)塊的位置，

Disk2.img的校驗(yàn)塊位于的條帶號(hào)是（（64898—8）MOD（128*4））/128≈2.95≈3，Disk3.img的校驗(yàn)塊位于的條帶號(hào)是（（64776—8）MOD（128*4））/128≈2，

Disk4.img的校驗(yàn)塊位于的條帶號(hào)是（（64646—8）MOD（128*4））/128≈1。

參考圖2，可以得到盤(pán)序是1234 Backward的或者是4321 Forward的。由于在Disk1.img上存在MBR，所以Disk1.img上的數(shù)據(jù)應(yīng)該是RAID5內(nèi)的起始數(shù)據(jù)塊，或者說(shuō)Disk1.img上的數(shù)據(jù)是條帶1上D1。當(dāng)盤(pán)序?yàn)?234 Backward時(shí)，這種數(shù)據(jù)的存放方式符合Disk1.img上的數(shù)據(jù)是條帶1上D1；當(dāng)盤(pán)序?yàn)?321 Forward時(shí)，條帶上的第一個(gè)數(shù)據(jù)塊D1位于Disk3.img上，這個(gè)與Disk1.img上的數(shù)據(jù)是條帶1上D1不符。所以，盤(pán)序是1234 Backward。

至此，我們已經(jīng)分析出來(lái)了起始扇區(qū)位置、盤(pán)序和塊大小，再分析出旋轉(zhuǎn)方式，對(duì)于RAID5的分析就完成了。再分析旋轉(zhuǎn)方式之前，先介紹一下MFT記錄文件的方式。MFT中對(duì)于文件的記錄采用的是一種被稱(chēng)為”B-tree”的管理方式。簡(jiǎn)單的說(shuō)，就是在MFT中記錄的文件名一般都是按字母（中文按拼音字母）升序排列。使用DE3察看MFT記錄會(huì)看到每條文件記錄中的文件名與該條記錄附近記錄的文件名有很高的相關(guān)性（一致性）。

圖9

這種對(duì)于文件記錄的管理方式為我們提供了判斷數(shù)據(jù)之間關(guān)系的依據(jù)，即相鄰的帶有MFT記錄的數(shù)據(jù)塊內(nèi)的文件記錄的相關(guān)程度好與非相鄰數(shù)據(jù)塊內(nèi)的文件記錄。

圖10

如圖10所示，當(dāng)磁盤(pán)3中位于條帶1上的數(shù)據(jù)塊（D3）與磁盤(pán)4位于條帶2上的數(shù)據(jù)塊（D6，見(jiàn)圖10左側(cè)backward部分）相連時(shí)，旋轉(zhuǎn)方式就是backward dyn；當(dāng)磁盤(pán)3中位于條帶1上的數(shù)據(jù)塊（D3）與磁盤(pán)1位于條帶2上的數(shù)據(jù)塊（D4，見(jiàn)圖10左側(cè)backward部分）相連時(shí)，旋轉(zhuǎn)方式就是backward 321。旋轉(zhuǎn)方式的判斷不僅限于使用D3數(shù)據(jù)塊來(lái)判斷，使用其他位置的數(shù)據(jù)也可以。如D5是與D6相連接還是與D7項(xiàng)連接等等?？傊?，只要可以判斷數(shù)據(jù)的存儲(chǔ)的位置即可。

在這個(gè)案例中，我們選擇64648扇區(qū)這個(gè)位置，因?yàn)檫@個(gè)位置是磁盤(pán)3上一個(gè)校驗(yàn)塊的首扇區(qū)，即圖10中P2的首扇區(qū)。將每個(gè)鏡像文件都定位到64648扇區(qū)，選擇view菜單中的as File entry，將64648扇區(qū)置于窗口的中間位置（如圖11—圖14所示），方便查看。

圖11 Disk1.img

圖12 Disk2.img

圖13 Disk3.img

圖14 Disk4.img

通過(guò)查看每個(gè)磁盤(pán)中MFT的文件記錄中的文件名（使用紅色粗線(xiàn)框起來(lái)的部分），可以發(fā)現(xiàn)：Disk3上的文件記錄與Disk4上的文件記錄的文件名的關(guān)聯(lián)程度要高于Disk3與Disk1上文件名的關(guān)聯(lián)程度，即Disk3上的數(shù)據(jù)與Disk4上的數(shù)據(jù)聯(lián)系更緊密一些，數(shù)據(jù)應(yīng)該是寫(xiě)完Disk3后寫(xiě)Disk4。所以，旋轉(zhuǎn)方式是Backward dyn的（參考圖10或者圖2的數(shù)據(jù)存放方式）。

經(jīng)過(guò)以上的分析，我們已經(jīng)得到了起始扇區(qū)位置、盤(pán)序、塊大小和旋轉(zhuǎn)方式，將這些參數(shù)填加到RR3中（如圖15所示），⑤點(diǎn)擊open drives按鈕，⑥在Target的位置填寫(xiě)輸出到設(shè)備或文件的路徑，⑦最后Copy按鈕。

圖15

如果重組好的目標(biāo)設(shè)備是磁盤(pán)，一般可使直接打開(kāi)（可能會(huì)需要重新啟動(dòng)）；如果重組的結(jié)果是鏡像文件，則可以通過(guò)工具打開(kāi)，如R-studio等。

圖16就是使用R-studio打開(kāi)重組后的鏡像文件。注意，一般來(lái)說(shuō)，如果重組結(jié)果是正確的且原RAID內(nèi)文件系統(tǒng)沒(méi)有問(wèn)題，使用R-studio打開(kāi)鏡像文件是不會(huì)出現(xiàn)任何錯(cuò)誤提示的（圖16中紅框內(nèi)部分），目錄結(jié)構(gòu)也是正常的，文件名或目錄名不會(huì)出現(xiàn)亂碼。此時(shí)，可選擇該分區(qū)內(nèi)的一些比較大的文件（文件大小最好大于三個(gè)數(shù)據(jù)塊的大?。┗謴?fù)出來(lái)看一下結(jié)果，如果這些文件可以正常打開(kāi)，則這個(gè)重組結(jié)果一般沒(méi)有問(wèn)題。

圖16

至此，這個(gè)RAID5的各項(xiàng)參數(shù)已經(jīng)分析完全，數(shù)據(jù)也已經(jīng)恢復(fù)。

三、其他

關(guān)于RAID5數(shù)據(jù)恢復(fù)的基本過(guò)程如上，但是，對(duì)于RAID5各個(gè)參數(shù)的分析方法、RAID5數(shù)據(jù)的恢復(fù)方法并不僅限于此。對(duì)于不同類(lèi)型的RAID5，可能會(huì)有不同的、更簡(jiǎn)捷的辦法，比如通過(guò)硬盤(pán)內(nèi)的其他標(biāo)志或者明文判斷盤(pán)序、通過(guò)修改RAID信息將RAID修好等等。當(dāng)然，這些需要實(shí)際的操作經(jīng)驗(yàn)以及對(duì)文件系統(tǒng)、文件格式等的深入研究。

四、附錄

1、關(guān)于Hp的RAID5雙循環(huán)

首先，Hp的RAID5雙循環(huán)也是RAID5，它符合RAID5的所有特點(diǎn)，它的校驗(yàn)也是XOR出來(lái)的。其次，RAID5雙循環(huán)是在RAID5的基礎(chǔ)上變形而來(lái)，在數(shù)據(jù)存儲(chǔ)的方式上較普通RAID5有了一定的變化。Hp的RAID5簡(jiǎn)單的說(shuō)，就是將RAID5的每一個(gè)條帶再細(xì)分為更小的條帶（如圖17）。所以，也可以通過(guò)上面介紹的辦法，先判斷出條帶的整體大小，再來(lái)分析其它的參數(shù)。

圖17

2、盤(pán)柜

由于操作系統(tǒng)或RAID控制器在設(shè)計(jì)上原因，或由于實(shí)際需要，有一部分RAID卡在管理RAID，尤其是外接盤(pán)柜的時(shí)候，會(huì)允許用戶(hù)將磁盤(pán)組分成多個(gè)Logical Drive，即多個(gè)RAID進(jìn)行管理。每個(gè)Logical Drive之間可以相互關(guān)聯(lián)，也可以完全獨(dú)立。比如一個(gè)有6塊300G SCSI硬盤(pán)的盤(pán)柜，可以使用這10塊硬盤(pán)先建立一個(gè)容量為200G RAID5，作為一個(gè)Logical Drive使用；再建立一個(gè)400G的RAID0；剩余的空間再建立一個(gè)RAID5（如圖18所示）。此時(shí)，在每一個(gè)Logical Drive的首扇區(qū)都會(huì)有一個(gè)MBR，這個(gè)MBR里定義的是當(dāng)前這個(gè)Logical Drive的分區(qū)情況。所以，這些MBR內(nèi)分區(qū)的容量要比實(shí)際的總?cè)萘啃≡S多。在分析參數(shù)的時(shí)候，需要每一個(gè)Logical Drive作為一個(gè)單獨(dú)的RAID考慮。

圖18

1. 常見(jiàn)服務(wù)器RAID參數(shù)

僅供參考

表1

轉(zhuǎn)載請(qǐng)注明：成都千喜數(shù)據(jù)恢復(fù)中心 » RAID5數(shù)據(jù)恢復(fù)入門(mén)