Windows 四盘 RAID-5 左同步实战复盘

这是一个由四块硬盘组建的 Windows RAID-5 案例。四块盘被做成四个不完整的镜像文件，编号 0 到 3，物理盘前部没有 MBR，只在二号盘 21380 扇区发现一个 NTFS DBR。目标是分析阵列参数并重组虚拟 RAID-5 提取数据。

现场情况：四盘镜像与缺失的 MBR

本案例来自四块硬盘组建的 RAID 5，运行在 Windows 系统下。送修时并没有拿到四块完整的物理盘，而是四个镜像文件，编号为 0 到 3。每个镜像文件并不是硬盘的完整镜像，只是镜像的一部分。为方便分析，技术过程中把 0 号文件称为硬盘 0，1 号文件称为硬盘 1，依此类推。

分析工具使用 WinHex。需要把每个镜像文件都用 WinHex 打开，四个文件一起打开后，再按 RAID-5 的结构逐一判断参数。RAID-5 需要分析五个关键参数：RAID 开始扇区、条带大小、盘序、校验方向、数据方向。只有这五个参数都得到结论，才能重组出一个虚拟 RAID-5，再从中获得数据。

先检查每块盘的 0 号扇区。硬盘 0、硬盘 1、硬盘 2、硬盘 3 的第一个扇区都不是 MBR。继续在每块盘中往后搜索 55AA，硬盘 0 搜到二十多万扇区出现 55AA，但不是 MBR；硬盘 1 搜到十二万多扇区也有 55AA，同样不是 MBR；硬盘 2 出现一个 55AA，分析后不是 MBR，而是 DBR 扇区，并且是 NTFS 文件系统的 DBR；硬盘 3 没有找到 MBR。这个现场特征直接决定后续要先判断 DBR 与 RAID 起始位置的关系。

第一步看什么：用 DBR 隐藏扇区数判断 RAID 起始

四块盘前部都没有 MBR，那么 RAID 是否从物理盘 0 号扇区开始，需要找证据。硬盘 2 的 21380 扇区有一个 DBR，这个 DBR 是否属于该 RAID-5 的逻辑盘，是分析起点。关键参数是 DBR 中的隐藏扇区数，也就是分区的开始位置。当前解释器显示的值为 64260，这是逻辑盘中的一个数值。

由于该 RAID-5 由四块物理硬盘组成，RAID-5 的有效数据盘数为盘数减一，即四块盘去掉一块校验盘，剩三块盘。把 64260 除以 3，结果是 21420。这个结果与当前 DBR 所在的 21380 扇区非常接近。由此可以判断，这个 DBR 是以物理盘开始位置来计算的，它确实是该 RAID-5 逻辑盘中的有效 DBR。

结论是：该 RAID-5 的开始位置就在每块盘的 0 号扇区。只不过它没有 MBR，直接由 DBR 来管理文件系统。这个判断很重要，因为后面组建虚拟 RAID 时，RAID 开始扇区这个参数就要填 0。素材中也提到，这个案例唯一的难点可能就在 DBR 判断，即它是否是这个逻辑盘的有效 DBR，以及 RAID 起始位置跟 DBR 的关系。

关键参数怎么定：条带大小、盘序与左同步

下一步分析条带大小、盘序、校验方向和数据方向。NTFS 下利用主文件表 MFT 分析比较方便。DBR 中记录主文件表开始簇号为 3432350，这是逻辑盘簇号，每簇 1 扇区。转到物理盘时，按盘数减一除以 3，再加上 DBR 之前的 21380 扇区，得到约 1165496。这个值只是大概位置，需要在附近搜索。

在硬盘 1 的 1165474 扇区发现主文件表自身记录。其 80 属性的 runlist 显示第一个碎片起始簇号 3432350，长度 20，换成十进制为 32，只占 32 扇区，只能包含 16 个文件记录，不够分析；第二个碎片簇数较大，应该足够。换算第二个碎片绝对地址后，在四块物理盘同一扇区并列分析。

四个扇区都像文件记录，但必有一个校验。通过模板判断，硬盘 3 是校验，因为 30 属性文件名不正常，属性类型不规范。硬盘 0、1、2 的记录号为 47、111、175，相邻差 64。每个记录占 2 扇区，所以条带大小为 64×2，即 128 扇区。

继续加 128 扇区到下一组条带对比。校验方向按左结构排列，数据方向表现为同步结构，因此是左同步。盘序确定：硬盘 0 到 3 依次对应 0 号盘到 3 号盘。

数据验证：组建虚拟 RAID-5 与手工建立区域

五个参数分析完后，开始组建虚拟 RAID-5 提取数据。素材中提到可以用多个工具组建虚拟 RAID，包括 RStudio、UFS Explorer 等。本案例选择用 RStudio 进行重组。操作时先把成员盘加入，选择镜像文件位置，把四个镜像文件加入进来；然后创建一个虚拟 RAID，类型选择 RAID5，按分析好的盘序依次加入成员盘。

参数设置中，RAID 开始扇区为 0，条带大小按此前分析结果设置，循环方向选择左同步。几个参数设置正确后应用。但应用后虚拟 RAID 下面看不到任何分区。原因是在分析 RAID 开始扇区时已经发现，每块盘最前面并没有 MBR，所以软件无法读取分区信息，也就找不见文件系统结构。

解决办法是手工创建一个区域，开始位置就是 DBR 所描述的自身开始位置 64260 扇区，它作为 RAID-5 逻辑盘的真正开始地址。DBR 中还有八个字节表示分区的总扇区数，但当前镜像文件没有那么大，只截取了一部分，所以这个总扇区数不能填真实大小，只能按现有镜像范围处理。创建这个区域后，区域显示为 NTFS 文件系统。虽然不太完整，但已经可以读取信息并看到数据。恢复出来的数据表明，前面推算的 RAID 结构是正确的。

结论：五个参数如何落定

这个四盘 Windows RAID-5 案例中，五个参数最终结论如下：RAID 开始扇区为 0，即每块物理盘的 0 号扇区就是 RAID 开始位置；条带大小为 128 个扇区；盘序为硬盘 0、硬盘 1、硬盘 2、硬盘 3 依次对应 0 号盘到 3 号盘；校验方向为左结构；数据方向为同步结构。合起来，这是一个左同步 RAID-5。

参数判定过程中，最直接的线索是硬盘 2 的 21380 扇区 DBR。通过隐藏扇区数 64260 除以 3 得到 21420，与 DBR 所在物理位置接近，从而确认 DBR 有效，并反推出 RAID 起始为 0。条带大小和盘序则借助 NTFS 的 MFT 文件记录号完成：四盘同一位置中硬盘 3 为校验，硬盘 0、1、2 的记录号为 47、111、175，相邻差 64，乘以每个记录 2 个扇区，得到 128 扇区。之后通过下一个条带的校验分布和记录号衔接，判断出左同步结构。

素材也指出，这个案例因为存在文件记录号，相对来讲比较简单，唯一难点是 DBR 的判断。最终虚拟 RAID 重组后能读取 NTFS 信息并看到数据，说明结构计算正确。这个结论只对应本案例现场看到的现象和参数，不能直接套到其他没有验证过的阵列上。

这类案例的可迁移经验与不适用情况

可迁移的经验是：面对 Windows 四盘 RAID-5 且只有部分镜像时，不要先急着重组，先按五个参数逐一找证据。若每块盘前部没有 MBR，就要检查盘内是否有 DBR，并利用 DBR 中的隐藏扇区数去反推 RAID 起始位置。若文件系统是 NTFS，且 MFT 文件记录号可用，可以用同一扇区并列分析的方法判断校验块、条带大小、盘序和方向。素材案例中，记录号 47、111、175 的相邻差值 64，再乘以 2 个扇区，得到 128 扇区条带，这种判断路径比较清晰。

但这类方法也有适用边界。它依赖 NTFS 的 MFT 结构，尤其是文件记录号能够正常读取；如果文件系统不是 NTFS，或 MFT 已经严重损坏，素材中的记录号分析法不一定直接可用。它也需要 DBR 能被判断为逻辑盘的有效 DBR；如果 DBR 不可用，RAID 起始位置就要另找证据。此外，本案例拿到的是部分镜像，虽然最终能看到数据，但分区总扇区数不能按 DBR 中的真实值填写，只能按现有镜像范围处理。若镜像范围不足、关键条带缺失，验证难度会上升。因此，这些经验应作为现场判断思路，而不是对所有 RAID-5 故障的固定结论。

常见问题

数据无价，先检测再决定

到店免费检测，出具检测报告后根据具体故障报价，不做盲目低价引流再加价。不成功不收费。

📞 韦工：18620311365

📍 办公室：福田区深南中路2070号电子科技大厦

📖 延伸阅读：RAID 参数判定方法 · RAID5 重建实战 · 技术专题