【哭着写下这篇文章】win2008软raid5变成2个磁盘组的数据恢复

2019-05-15 15:02:45

5点赞

9收藏

0评论

创作立场声明：作为略知皮毛，非专业数据维护人员，如果哪里介绍有问题，或者我不懂的地方恰好你明白，请评论指点谢谢！

真的，你们没看错标题，真的是哭着写的。而且就是几分钟前刚刚发生的事情，现在情绪比较激动，然后可能逻辑会有点混乱，但我会把我在这次问题当中学习到的，以及经验都分享给你们。虽然我不是专业的，但我遇到的这次问题，在百度搜索中似乎是第一个出现这类问题的。

系统背景介绍

Win2008下面，通过4个3T硬盘搭建的软raid5。不定时开机，冷备份一些数据，电脑不接显示器，都是通过3389或者远程软件进行访问，数据也是局域网共享。

故障产生介绍

某次开机后，发现内部线挡住了风扇，子拉兹拉，然后拆开螺丝 拽了一下主板，可能因此导致了pci扩展卡脱落(原因不详，不确定是因为这个原因)然后再次连接发现数据不对，磁盘丢失，关机反复插拔无果。

4盘raid5，丢失2个，但丢失的变成了外部，选择导入会提示资源不完整，有丢失风险。

4个硬盘接在其他系统内，看见是这样的。

DG显示，卷0和卷1，目录都可以看见。正常只有卷0

学习过程

软件WinHex，RStudio

我整理一些自己心得给你们。

查找MBR,DBR扇区

我个人感觉作者是在MBR分区的raid5里面操作，我们实际使用，大容量的硬盘肯定gpt分区了，多少有一些出入。不变的是，首先打开4个磁盘或者4个镜像文件

这里是制作镜像

但是除非你硬盘够多，数据很重要，否则不推荐了，不管你raid里存了多少，你物理盘2.73t，你就要保存出来2.73t的文件。

打开的4个磁盘

图中红圈部分，每个磁盘都一样，只有第二个磁盘，磁盘4，有下面volme1的字样。据我猜测，后面264192是逻辑盘(raid)的扇区，4个盘也仅仅在磁盘4里，物理盘的88064扇区，发现了一个DBR扇区(和视频一样，均无MBR扇区，直接DBR管控)88064恰好等于264192/(4-1)4是磁盘数，视频里都有介绍。

接下来的，不截图了，你们全看视频。

------------个人心得开始------------

1、搜索55AA，偏移512=510【偏移含义猜测是55AA必须出现在扇区最末尾】

2、如果扇区开头是EB5290，是DBR扇区【视频中21380，我的是88064】

第二行的CDEF，数值32位是【看数据解释器，视频中64260，我的是264192】

这是逻辑盘的数值扇区号，转换为物理盘，除以磁盘数-1，和当前扇区号对比，如果和DBR扇区号相近，相符这个DBR是raid当中的有效DBR，并且可以肯定，raid5的开始位置是0号扇区。【我的图应该也是有效DBR】

没有MBR，直接DBR管理，且开始位置是0号扇区。

3、分析条代号。根据MFT来分析。

第四行，0-7，8个数值代表主文件表的开始簇号。[3432350]逻辑盘的簇号。 第一行D，是每一簇占的扇区。【视频里面是01，我的是08，我估计我们格式化的时候选择了4096导致的吧。总之，我们大多数都是1个簇占8个扇区】但这个簇号是逻辑盘，转换到物理盘是一致，除以乘以大小，除以3的到【1144116.66】加上DBR当前扇区数得到【1165496】大概位置，附近查找

4、搜46494C45，主文件表。往上找到主文件表自身记录。[MFT 24004D004600]看是否有碎片，第一个碎片够不够。看80属性，20处有40信息，再往下2行，31代表碎片。后面4个字节是round[音译]信息.3个字节代表起始簇号.相对位置，相对前一个碎片的距离。

【个人猜测，31代表4个字节，32代表5个字节？？32是我在虚拟机里操作的结果。实际硬盘这里是33，导致我直接懵逼。】

找到绝对位置，换算成扇区，乘以每簇几个扇区，除以三，加上当前扇区数。

-------------个人心得结束--------------

当然，我尝试着弄啊弄啊，也弄出来了一个结构表，基本上软raid都是左同步结构。

加粗是校验，斜体是我猜测的

因为我很难判断到底哪个是校验盘，所以文件号我都写出来了，不过有些很明显的，文件名里面包含什么@?/等等特殊字符，肯定不是一个合法的文件名称。所以加粗的方式标记了。斜杠这个是根本判断不了，但是找规律谁不会呢，明显7919和下面7919重复了，肯定是无效的文件号。

但是，我代入虚拟raid5，没用，完全没用。又研究了很久，教程视频前前后后看了十几遍，解决不了。各种群加了，论坛发了，没人回答你的问题。百度搜索“raid5 变成2个磁盘组”除了我没人提出过同类问题。

这时候开始求助收费服务，报价基本上都是推荐你寄盘过去，收费1000元一个盘。或者总共3000到6000不等。远程修复大概在900-1600这样。虽然1600这家被我还价到了900，他们也帮忙尝试了，告诉我数据能找到，他们采用的是DS直接扫描，需要很久很久那种，最后他们来合并，不重组。至于怎么恢复不知道，我没付款。

讨价还价过程

结局

这个问题已经困扰我3天了，从5月12日出的问题。每天醒来，睡前都在看视频，研究。硬盘反反复复插拔了N次。各种pe，换系统盘。修复结果是这样的。

卖家操作完，今天早上变成3个磁盘组了分别1个1个2个盘。卷0 1 2了

心一横，点确定，提示我数据缺失损毁，导入可能存在数据丢失

瞬间蒙蔽了。变成了失败的重复？多么眼熟的字样啊，我看了一下，我的盘符出来了！赶紧的，还有一个要导入。同理，提示我数据可能会损毁。

4个都上线了，然后点一下同步卷。

处在重新同步中了。数据全部回来了。

然后就像一个孩子，玩具丢了，顺着影子，去寻找，边找边问路，最后还是找不到，准备放弃的时候，回头一看，玩具就在自己身后。《无敌破坏王2:大闹互联网》其中某个游戏环节，并不需要速度比别人快，终点其实就在起跑线往后跑。

刚刚去查看了一下，现在已经正在重新同步了

最后，尽可能别选择raid5了，网上也说，如果物理损坏，极容易同时坏2个，相关都可以去搜索看看。你缺多买一个硬盘的钱吗？数据恢复需要不止一个硬盘的费用！所以，有能力的，就raid1吧！我把数据存出来，也就上raid1了。

【求建议】我要不要把我3t硬盘卖了。希捷酷鱼，买来530，估计300能卖出去，然后入手亚马逊的8T 10T硬盘？关键是费电！同时插这么多硬盘。

最后希望大家分析下这个是什么情况。

但是，可能下一次 又好了。是插线的问题吗？还是硬盘有隐患。