两块希捷同型号的200G硬盘,板子是ASUS的,板载硬件RAID控制器,整个系统用了将近一年,最近一周开始有不时的自动重启,这两天更甚,表现为连续开机后到登录页面自动重启,昨晚在WIN正常关机后,再开机时RAID BIOS报错第2块硬盘Offline,而且还出现识别不正常,BIOS把第2块识别为400G... 总之系统启动不能了,我里面400G数据怎么能拿出来啊?

[posted by wap, platform: Nokia]

------------------------------------------------------------
07/29凌晨最新更新：硬盘组的RAID0貌似挂了 MB我自己修复了 觉得自己神了... 20楼有图有真相

PS：请问斑竹大人，有分加吗？

[ 本帖最后由 sceic 于 2008-7-29 00:34 编辑 ]

我也知道没有冗余备份，请问各位有没有诸如那些搞RAID恢复的经验？ 昨天搜索了下，貌似市场还蛮大的，所以也应该不会是全部没救。目前我硬盘应该是类似于分区表一类的数据故障了，那有办法再重建吗？

找到一篇恢复教学，大家等我胜利的消息吧！！



Raid恢复是数据恢复中比较难的一部分,为什么这样说呢？因为几乎所有数据恢复软件都不能准确分析出raid的读写顺序以及块大小，再简单的raid都是全部由人工分析得出的,所以这也导致了能真正恢复Raid的公司之少，恢复Raid价格之高的原因了,现在提供一份用WinHex纯手工恢复Raid0与Raid10数据。
   接下来我就来讲讲最简单的raid0的恢复(当然raid1更简单,这里就不作介绍了),其实raid0+1和raid0是一样的,把raid0+1看成两个一模一样的raid0就可以了.
  首先,我们要了解raid0的读写方式,了解了读写方式才能进一步分析raid,raid0的读写方式是交叉写入的,直观的说有点像"拉链",两个硬盘好比两边的拉链,各自分摊一半的数据,而且还是跳跃式的,等拉链拉上后就整个串到了一起,里面的数据结构就和普通硬盘里的数据没有区别了,我们可以从下图直观分析.

Disk-0      Disk -1
---------    ---------
|Stripe0 |   |Stripe1 |  
---------    ---------
|Stripe2 |   |Stripe3 |
---------    ---------
|Stripe4 |   |Stripe5 |
---------    ---------
|........|     |........|
---------    ---------
  我们可以看到数据stripe0写在disk-0上面,接下来的数据stripe1写在disk-1上面,后面的stripe2又写到disk-0上面.......
  我们所要做的就是按顺序读出stripe0 stripe1 stripe2 stripe3......但是关键的关键是怎么知道每个stripe是多少扇区,哪个硬盘又是disk-0呢,下面我就来具体举例分析。
   1.jpg (27 KB)
纯手工数据恢复阵列Raid图1
2007-6-28 21:33
  首先我们要下载一个数据恢复常用软件winhex,这个软件对于分析数据是非常有用的.而且网上到处都有下载,上图是用winhex打开两个raid0的硬盘后的数据,位置是0扇区,我们可以看到,左边有明显的硬盘起始数据,而右边那个盘则没有,这使得我们确定了.左边的硬盘就是disk-0
   2.jpg (31 KB)
纯手工数据恢复阵列Raid图2
2007-6-28 21:33
   3.jpg (25 KB)
纯手工数据恢复阵列Raid图3
2007-6-28 21:33
  上面第一张图是disk-0的63扇区,我们可以清楚的看到ntfs分区的头,说明此raid0块(块的大小是按扇区分的,也就是写多少扇区后跳到下一块硬盘.那么多少扇区就是块的大小,块大小都是2的n次方,比如8,16,32,64,128,256,512...)大小不是8,16,32,因为ntfs头还在disk-0的63扇区,第二张图是64扇区,紧接的的是ntldr,这个数据应该是紧接ntfs首扇区后面的,这说明在扇区64时,还是没有跳到下一块硬盘.这又排除的块大小是64.
   4.jpg (43 KB)
纯手工数据恢复阵列Raid图4
2007-6-28 21:33
  上图是disk-0的扇区127和129,红线上面是127,下面是129,取的都是mft表,可以看出他们是连续的,没有大的差异.又排除了块大小是128的可能性
   5.jpg (47 KB)
纯手工数据恢复阵列Raid图5
2007-6-28 21:33
  上图是disk-0的扇区255和257,同样看出.他们还是连续的,排除块大小是256的可能性.
   6.jpg (46 KB)
纯手工数据恢复阵列Raid图6
2007-6-28 21:33

  上图是disk-0的扇区511和513,这个要注意的,红线上面显示的mft表位置和下面的mft表位置有着很明显的区别(当然要看出mft表区别,首先就要对mft表非常了解才行),这时我们就可以大致确定该raid0的块大小是512个扇区.
  知道了块大小是512扇区和起始盘是左边那个盘后.我们就可以开始利用winhex重组数据了.
   7.jpg (25 KB)
纯手工数据恢复阵列Raid图7
2007-6-28 21:33
  如上图,我们打开winhex中的"组合raid系统",1的位置加载起始盘,然后依次类推,因为我们这个raid0是从硬盘开头就开始写的,所以"扇区内标头大小"是"0",扇区内端大小也就是块大小,写上512,然后确定.
   8.jpg (113 KB)
纯手工数据恢复阵列Raid图8
2007-6-28 21:33
  至此Raid0与Raid10数据恢复完成,已经可以看到文件目录和文件了,点击右键就可以恢复数据了。
转自中国硬盘基地技术社区 http://bbs.intohard.com ,原文地址：http://bbs.intohard.com/viewthread.php?tid=31586

  本来我还询价来着，他妈数据公司告诉劳资要2K，劳资说不带这样的，一般公司数据都不值这钱。丫的让我开价，我砍到500，丫说您自己找别人把，草，在此1小时后，劳资搞点了。。400G容量，10个分区，有图有真相：

主要是决定扇区块数,之后便可依据这个参数重建RAID0的链接,前页的教程里面有讲怎样根据文件系统特征分析和排除得到正确的扇区块数,但这样的分析力对于外行是最大的阻力.但我要说,这个数字其实可以穷举的,它的规则是,基数为8,每次*2来尝试,例如8、16、32、64、128、256、512、1024......等等,将正确数字添入重建RAID0工具中遍大功告成,拉链就这么拉上了,由于这个拉链是软性的,所以不必担心填错数字会弄坏数据.  ps:求加分呐

[posted by wap, platform: Nokia]

和数据量无关，我打个比方，你拉拉链的时候，是不是对齐第一个扣然后向上拉就可以了，而不比自己去对第一个扣后的其它地方？

↓你只需在这个工具里面填写块大小，然后正确设定HDD1和HDD2便可。链接会在一瞬间搞掂，之后便出现上面贴图中第二张图片中的情形，双击分区后它会再计算数秒，然后东西就出现在眼前。


[ 本帖最后由 sceic 于 2008-7-29 10:21 编辑 ]