三盘RAID-5成员盘前部带RAID信息复盘

现场是一个基于Windows系统的RAID-5，由三块硬盘组成，三块成员盘的部分镜像已编号为0、1、2。用WinHex打开后，0号盘和1号盘的128号扇区都出现了内容相同的MBR，2号盘同位置为空，需要先判断哪一个MBR是有效数据、哪一个是校验，再确定RAID参数。

现场情况：三块盘前部都有线索，但不能直接下结论

先从每块成员盘的第一个扇区看起。硬盘0的第一个扇区不是MBR，硬盘1也不是，硬盘2是一个空扇区。于是从0号扇区往后搜索MBR结束标志55AA，结果在硬盘0的128号扇区发现了MBR，分区表中有三个表项：第一个是DE类型，一般是系统自定义的管理分区；第二个是NTFS 07；第三个是扩展分区。这个MBR结构完整。

继续对比其他盘：硬盘1的128号扇区也是MBR，内容与硬盘0一样，分区表三个表项一样，甚至连磁盘签名都完全一样。这说明两块MBR中必有一个是校验。再猜硬盘2的128号扇区应该是空扇区，跳转过去看，果然是全0。计算这个分区表中全部分区的总扇区数，结果刚好等于三块硬盘组成的RAID-5中两块盘容量的总容量，说明这个MBR就是该RAID-5逻辑盘的有效MBR。

由此确认，这个RAID-5的开始扇区在128号扇区，128号扇区之前的扇区没有参与RAID运算，属于之前的管理部分。现场还看到硬盘1对应位置的数据像发生偏移，FAT表开始位置往前偏，素材中提出这可能是故障原因之一，但后续仍以参数分析和验证为准。

第一步看什么：先锁定阵列起始扇区

这类成员盘前部带RAID信息的案例，第一步不能直接从物理盘0号扇区推断文件系统，也不能看到一个MBR就当成有效数据。现场先搜索MBR结束标志55AA，在硬盘0的128号扇区找到完整MBR，然后马上做交叉验证：分区表记录的总扇区数，与三盘RAID-5的可用容量关系是否一致。三块盘组成RAID-5，可用容量相当于两块盘容量之和，分区表数值刚好符合，因此确认128号扇区是该RAID-5逻辑盘的有效MBR。

这一步的意义是把阵列起始位置定下来。后续很多扇区号都是RAID-5逻辑盘中的相对扇区，需要加上128才变成物理成员盘中的绝对扇区号。素材中后面反复出现加128的换算，就是因为这个阵列开始于128号扇区。到此，五个关键参数中的第一个参数已经确定：RAID开始扇区为128。接下来才用这个起点分析条带大小、盘序、校验方向和数据方向。

关键参数怎么定：条带大小从64到128的确认

第一个分区是DE类型，开始于63号扇区。相对63号扇区，绝对扇区号要加128，即191号扇区。跳到191号扇区看，像是一个DBR，进一步判断是FAT16类型的DBR。既然从逻辑盘63号扇区跳过去就是DBR，说明这个RAID-5的条带大小一定大于或等于64个扇区，因为在这之间的64个扇区没有跨条带，数据是连续存放的。

继续看DBR内部参数：保留扇区是1，说明FAT1的位置就在DBR的下一个扇区。往后翻一个扇区，看到的是FAT16文件系统的FAT表，FAT1与DBR衔接，仍然没有跨条带。这样就能证明条带大小不是64，至少需要是128扇区。

再找边界验证。DBR中记录每个FAT表占63个扇区。从FAT1往后调63个扇区，刚好到255号扇区，这里是FAT2的开始，说明前面仍然连续。接着比较255号扇区和256号扇区是否衔接：255号扇区是FAT2开始，256号扇区前半部分没数据，后半部分数据显然不是FAT表的表现，两个扇区不衔接。因此条带在255号扇区之后分开，条带大小确认为128扇区。

盘序与校验方向：左右结构假设与反推

已知条带大小是128扇区后，回来看盘序和校验方向。硬盘0和硬盘1在128号扇区都有MBR，但其中一个必定是校验。191、192号扇区都在第一个条带之内，这里看到的是FAT表；硬盘1的数据看起来发生偏移，FAT表开始位置往前偏，素材中提出这可能就是RAID-5故障的原因之一。转到255号扇区，它是第一个条带的最后一个扇区：硬盘0这里还是FAT2的开始，与结构相符；硬盘1这里已经和硬盘0不一样；硬盘2的255号扇区不是空扇区，而是一个系统文件扇区。由此可以证明硬盘1这个位置是校验，硬盘0第一个条带是数据。

接着用左右结构假设来定盘序。若为左结构，硬盘0第一个条带是数据MBR，硬盘1第一个条带是校验，则应把硬盘1放在最后一块盘，硬盘2放中间，盘序为0号盘硬盘0、1号盘硬盘2、2号盘硬盘1。若为右结构，硬盘1的第一个条带是校验，它应作为0号盘，硬盘0作为1号盘，硬盘2作为2号盘。两种结构只能有一种正确。

检查硬盘0的第二个条带。相对256号扇区，绝对扇区号就是256号扇区，因为这里不是加128后的错误位置。查看硬盘0的256号扇区，数据是系统文件的一部分，其他两块盘256号扇区数据也很满，不会是校验。右结构要求硬盘0第二个条带必须是校验，因此右结构被推翻，确定该RAID-5是左结构，盘序为021。

数据方向与第二个NTFS分区验证

最后一个参数是数据方向，即同步还是异步。办法是看一个数据块后面的数据接到哪块盘。素材中拿硬盘2第一个数据块A来分析，它的最后一个扇区是相对127号，绝对255号。硬盘2的255号扇区是系统文件部分数据；再看其他两块盘第二个条带的第一个扇区，绝对256号。硬盘0的256号也是系统文件数据，硬盘1的256号不是。因此硬盘2的255号扇区衔接在硬盘0的256号扇区上，判定为异步结构。

为了进一步验证，又用第二个NTFS分区重新分析一遍。从分区表取得第二个分区开始位置，换算到物理盘后在32258附近找到NTFS DBR，分区大小与DBR记录相符，说明DBR有效。再算主文件表位置：开始簇号20308，簇大小为1个扇区，逻辑盘数值除以2，再加上DBR绝对地址，在附近找到MFT。

查看MFT碎片，第一个数据流32个扇区只能容纳16个文件记录，不够分析；继续找第二个碎片。到其他两块盘同位置查看，两块是MFT，另一块标志不在，显然该位置是校验。再用搜索文件记录标志的方式找校验开始和结束，中间相差128个扇区，再次确认条带大小为128。用480000、480128等位置反推，先减去阵列起始128，再对384取模，可确定硬盘0第一个校验块在第3个条带、硬盘1第一个条带就是校验，从而确认左结构和盘序021。结合NTFS文件记录、文件名和目录关系，硬盘2的数据块与硬盘0的目录记录衔接，也支持异步结论，与FAT16分析结果一致。

重组验证：按021、左异步、128扇区组阵列

参数确认后做重组。素材提到可以用R-Studio或UFS这类工具，本次演示使用UFS。先把三个镜像文件添加进来，创建虚拟RAID，再按盘序021添加成员盘：0号盘放硬盘0，1号盘放硬盘2，2号盘放硬盘1。RAID类型选RAID-5，条带大小选64K，也就是128个扇区；结构选左异步；阵列开始位置填128号扇区。其他参数不再改动。

重组后能看到两个分区出来。由于当前镜像是部分镜像，不完整，后面其实还有一个扩展分区，里面的驱动器看不到。这个重组结果与前面从FAT16分区推导出的参数一致，也与第二个NTFS分区反推验证的结果一致：开始扇区128、条带大小128扇区、盘序021、左结构、异步方向。数据验证的重点不是单独看某一处，而是让两套分区分析结果互相印证。

可迁移经验与适用边界

这类案例的可迁移点在于：成员盘前部带RAID信息时，不要只凭第一块盘的第一个扇区下结论。先搜索55AA和完整MBR，用分区表总扇区数与RAID-5可用容量关系确认阵列起始；再用DBR、FAT表、MFT、文件记录、目录关系和校验块位置去反推条带大小、盘序、校验方向和数据方向。面对两块盘同一位置出现相同MBR或DBR时，要意识到其中一块可能是校验，必须结合后续条带边界验证。

适用的情况是：三盘RAID-5、成员盘前部有MBR等RAID信息、后面还有可用的FAT16或NTFS分区数据，能提供DBR、FAT、MFT、文件记录或目录关系作为交叉验证。若没有记录号，也可以用校验块位置反推盘序和结构。素材中第一个FAT16分区数据较少，虽然勉强能分析，但仍用第二个NTFS分区再验证一遍，这是更稳妥的做法。

不适用或需要谨慎的情况是：分区内数据太少，MFT碎片不够，或者镜像不完整，重组后可能只能看到部分分区，扩展分区中的驱动器未必能看到。若只依据前部少量RAID信息，缺少后部连续数据块和文件记录辅助，参数判断会变困难。因此，遇到类似故障盘，应尽量保留完整镜像，并用多个分区、多处结构互相验证。

常见问题

数据无价，先检测再决定

到店免费检测，出具检测报告后根据具体故障报价，不做盲目低价引流再加价。不成功不收费。

📞 韦工：18620311365

📍 办公室：福田区深南中路2070号电子科技大厦

📖 延伸阅读：RAID 参数判定方法 · RAID5 重建实战 · 技术专题