翻开几年前做的一个数据恢复案例，那是一个Raid扩容没有完成，出现异常后，导致数据不正常，以下是我当时的分析记录，最终把数据完美的组合出来了。

1、每块盘的25010816 sec以前是由14块盘组成的raid ADG
磁盘顺序:129 130 131 132 133 134 135 136 137 140 141 139 138
起始冗余编号9

2、每块盘的25010816 sec以后是由8块盘（扩充前的8块盘）组成的raid ADG
磁盘顺序:129 130 131 132 133 134 135 136
起始冗余编号1

数据重组信息
14块盘的组合方式
每块盘起始扇区 166144 sec 结束于 25010816 sec
目标盘从 0 开始 结束于 298136064 sec

从298136064 sec 到 298137984 sec 填充目标盘320*6=1920 sec

1920 sec 是由8块盘raid ADG组合生成的

8块盘组合方式
每块盘起始扇区 25011136 sec
目标盘从 298137984 sec 开始

 

数据组合结束于单盘的 25010816 sec
目标盘的结束位置应该为：（25010816-166144）*12=298136064 sec

假如是8块盘组合的话，目标盘应该结束于：（25010816-166144）*6=149068032 sec

也就是说：原先8块盘的前25010816 sec按照raid ADG上面信息（每块盘起始点166144 sec）组合的话，目标数据盘数据量大小应该为：149068032 sec
而按照14块盘组合的话，目标数据盘数据量大小应该为：298136064 sec

如果是由原先8块盘前25010816 sec分散到14块盘中的话，那么目标盘的结束点就不应该在298136064 sec

每块盘的大小：67.8*2*1024*1024=142186906 sec

要把8块盘raid ADG总数据量为 142186906*6 分散到 14块盘的raid ADG上，那么每块盘分担的数据量应该是 142186906*6/12=71093453

如果是由8块盘组合生成 298136064 sec，那么每块盘应该是组合到：
（X-166144）*6=298136064
X=49855488 sec


从BOOT扇区进行分析：
生成目标盘boot位置：67647sec
第一个$MFT表项在786432*8+67647=6359103 sec
第二个$MFT表项在53220328*8+67647=425830271 sec (理论值)
实际值却在：57588693X sec 比理论值大多了

单盘第二个$MFT表项在1号盘的71302913 sec
单盘boot在第2号盘的171807 sec

这种数据组合方式 从14块盘的raid ADG 转到 8块盘的raid ADG 衔接点是25010816 sec
14块盘单盘组合到25010816 sec所得的目标数据是正确的，接下去要找的是8块盘的那个点能接上目标盘的数据

理论上讲，8块盘直接从25010816 sec往后接是不对的，应该在更后边的位置 X=49855488 sec

71302913-49855488=21447425 sec
21447425*6=128684550 sec
128684550+298136064=426820614 sec $MFT 和理论值相差 990343 sec


验证方法:
找出138(硬盘编号即10号盘)的25010816 sec和25010815 sec
看看1-8号盘单盘 49855488 sec和49855487 sec  有没有一样的数据？

 

本文由达思总工程师覃廷良撰写,转载请注明出处