RAID5數據恢復環境：
一臺存儲上有一組由12塊SCSI硬盤（11塊數據盤+1塊熱備盤）組建的RAID5磁盤陣列，FreeBSD操作系統+zfs文件系統。

RAID5故障：
其中一塊盤出現故障，需要重組該raid5磁盤陣列。

RAID5數據恢復過程：
1、將存儲關機，將存儲中所有磁盤標記后從槽位上取出。以只讀方式將所有磁盤進行扇區級全盤鏡像，鏡像完成后將所有磁盤按照原樣還原到存儲中。后續的數據分析和數據恢復操作都基于鏡像文件進行，避免對原始磁盤數據造成二次破壞。
2、基于鏡像文件分析所有磁盤底層數據，獲取重組raid5所需要的信息，包括：RAID5起始扇區、塊大小(條帶大小)分析、RAID5成員盤盤序、校驗方向、數據走向。
2.1、RAID5起始扇區。
RAID起始扇區是指RAID內的數據在每塊物理盤上的起始位置。起始扇區只存在于一塊物理盤，大多數情況是0扇區。

使用數據恢復軟件的同步功能將11塊數據盤定位在0扇區，可以看到11塊盤中只有3塊盤（1號盤、2號盤和出現故障的那塊盤）的0扇區有“55 AA”標志，這個標志說明是MBR磁盤結構。

分析raid5起始扇區位于哪塊硬盤。先看出現故障的那塊硬盤，這塊故障硬盤的結尾顯示這是一個GPT頭備份且只有128MB大小。

剩下的0扇區有“55 AA”標志的另外2塊磁盤（1號盤和2號盤）中的0扇區有起始扇區或校驗。
2.2、塊大小(條帶大小)。
塊也稱條帶，是RAID處理數據的基本單元，不同的RAID條帶大小有所不同。由于一個校驗區的大小是一個條帶的大小，根據這個規則分析該RAID5實例。此實例使用的是zfs文件系統，同步顯示11塊物理盤的某個扇區，發現有一塊盤的此扇區和其他盤的的此扇區明顯不一樣，這是位于該盤的校驗區。順著該盤的該扇區上下尋找，找到連續的128個扇區。這128個扇區就是這個RAID5的條帶大小。
2.3、RAID5盤序。
同步定位11塊硬盤的53654656扇區。發現1號盤的該扇區與其他盤的該扇區不同，這個是1號盤的校驗區。接著分析1號盤的下一個條帶，即53654656+128=53654784扇區，發現2號盤的這個扇區和其他盤的不同，所以2號盤從53654784扇區開始的條帶是校驗區。以此方式繼續分析，找到3號盤的校驗區，4號盤的校驗區……，“P”字母即表示校驗區。按照校驗區的位置可得到盤序。這個實例的盤序正好是從1號盤開始依次遞增的。
對于左結構來說，0扇區是起始扇區的物理盤一定是RAID5的1號盤；對于右結構來說，0扇區是起始扇區的物理盤一定是RAID5的2號盤。

2.4、校驗方向。
RAID5的基本結構有左同步、左異步、右同步、右異步。左和右是對校驗方向來說的，區別如表1和表2所示。該RAID5實例很明顯是右走向的。

左同步、左異步結構中的校驗塊都是從最后一塊物理盤開始，右同步、右異步結構中的校驗塊都是從第一塊物理盤開始。
判斷校驗方向的方法有兩種：
方法一、先分析起始扇區，再分析條帶大小，然后是盤序，盤序分析出來后校驗方向很容易就能看出來。
方法二、如果盤序沒有確定下來，只確定了起始扇區和條帶大小，可以采用反推法（想了解反推法可以咨詢北亞企安數據恢復工程師）。
2.5、數據走向。
數據的走向指同步或者異步。異步結構中，各條帶組內的數據塊均由低號盤向高號盤依次寫入。同步結構中，每個條帶組內第一個數據塊寫在校驗塊所在物理盤的下一個物理盤，若后面還有物理盤，則順序往后寫；若校驗塊所在物理盤后沒有物理盤，則從校驗塊所在物理盤前面的物理盤開始從低號盤向高號盤順序寫入。

3、RAID5實例分析過程（已確定此RAID5是右結構）：
a、從“數據塊A”入手。

查看“數據塊A”末尾扇區的數據，然后再查看“數據塊B”和“數據塊C”開始扇區的數據。如果“數據塊A” 末尾扇區的數據能夠與“數據塊B” 開始扇區的數據銜接，則該RAID5屬于異步結構。如果“數據塊A” 末尾扇區的數據能夠與“數據塊C” 開始扇區的數據銜接，則該RAID5屬于同步結構。
b、從“數據塊A”入手。

查看“數據塊A”末尾扇區的數據，然后再查看“數據塊B”和“數據塊C”開始扇區的數據。如果“數據塊A” 末尾扇區的數據能夠與“數據塊B” 開始扇區的數據銜接，則該RAID5屬于異步結構。如果“數據塊A” 末尾扇區的數據能夠與“數據塊C” 開始扇區的數據銜接，則該RAID5屬于同步結構。
c、從“數據塊A”入手。

查看“數據塊A”末尾扇區的數據，然后再查看“數據塊B”和“數據塊C”開始扇區的數據。如果“數據塊A” 末尾扇區的數據能夠與“數據塊B” 開始扇區的數據銜接，則該RAID5屬于同步結構。如果“數據塊A” 末尾扇區的數據能夠與“數據塊C” 開始扇區的數據銜接，則該RAID5屬于異步結構。
d、從“數據塊A”入手。

查看“數據塊A”末尾扇區的數據，然后再查看“數據塊B”和“數據塊C”開始扇區的數據。如果“數據塊A” 末尾扇區的數據能夠與“數據塊B” 開始扇區的數據銜接，則該RAID5屬于異步結構。如果“數據塊A” 末尾扇區的數據能夠與“數據塊C” 開始扇區的數據銜接，則該RAID5屬于同步結構。
4、重組RAID5陣列。
上面步驟分析出重組RAID5陣列所需要的信息，根據這些信息，我們就可以開始重組RAID5陣列了。
用工具打開并添加這11塊硬盤。

北亞企安數據恢復—raid5數據恢復

將1.dsk添加到了左側Connected storages里。

北亞企安數據恢復—raid5數據恢復

點擊Build RAID選項，依照RAID5的盤序把10塊盤都添加進去，開始組建RAID5陣列。

北亞企安數據恢復—raid5數據恢復

剔除出現故障的那塊盤，在其位置添加時補一個空缺，并繼續按照順序添加完其它硬盤。點擊標紅框位置處的按鈕，添加空缺硬盤。

北亞企安數據恢復—raid5數據恢復

選擇校驗方向和數據走向。本實例條帶大小為28個扇區，即65KB，右異步結構。

北亞企安數據恢復—raid5數據恢復

點擊Build按鈕，在彈出窗口中點擊find查找，選擇zfs文件系統。

北亞企安數據恢復—raid5數據恢復

出現正在組建的RAID5陣列。

北亞企安數據恢復—raid5數據恢復

審核編輯 黃宇