HP RAID ADG扩容出现异常后的数据恢复记录

zhouyi

　　翻开几年前做的一个数据恢复案例，那是一个Raid扩容没有完成，出现异常后，导致数据不正常，以下是我当时的分析记录，最终把数据完美的组合出来了。
　　1、每块盘的25010816 sec以前是由14块盘组成的raid ADG
磁盘顺序:129 130 131 132 133 134 135 136 137 140 141 139 138
起始冗余编号9
　　2、每块盘的25010816 sec以后是由8块盘（扩充前的8块盘）组成的raid ADG
磁盘顺序:129 130 131 132 133 134 135 136
起始冗余编号1
　　数据重组信息
14块盘的组合方式
每块盘起始扇区 166144 sec 结束于 25010816 sec
目标盘从 0 开始 结束于 298136064 sec
　　从298136064 sec 到 298137984 sec 填充目标盘320*6=1920 sec
　　1920 sec 是由8块盘raid ADG组合生成的
　　8块盘组合方式
每块盘起始扇区 25011136 sec
目标盘从 298137984 sec 开始
　　
　　数据组合结束于单盘的 25010816 sec
目标盘的结束位置应该为：（25010816-166144）*12=298136064 sec
　　假如是8块盘组合的话，目标盘应该结束于：（25010816-166144）*6=149068032 sec
　　也就是说：原先8块盘的前25010816 sec按照raid ADG上面信息（每块盘起始点166144 sec）组合的话，目标数据盘数据量大小应该为：149068032 sec
而按照14块盘组合的话，目标数据盘数据量大小应该为：298136064 sec
　　如果是由原先8块盘前25010816 sec分散到14块盘中的话，那么目标盘的结束点就不应该在298136064 sec
　　每块盘的大小：67.8*2*1024*1024=142186906 sec
　　要把8块盘raid ADG总数据量为 142186906*6 分散到 14块盘的raid ADG上，那么每块盘分担的数据量应该是 142186906*6/12=71093453
　　如果是由8块盘组合生成 298136064 sec，那么每块盘应该是组合到：
（X-166144）*6=298136064
X=49855488 sec
　　
从BOOT扇区进行分析：
生成目标盘boot位置：67647sec
第一个$MFT表项在786432*8+67647=6359103 sec
第二个$MFT表项在53220328*8+67647=425830271 sec (理论值)
实际值却在：57588693X sec 比理论值大多了
　　单盘第二个$MFT表项在1号盘的71302913 sec
单盘boot在第2号盘的171807 sec
　　这种数据组合方式 从14块盘的raid ADG 转到 8块盘的raid ADG 衔接点是25010816 sec
14块盘单盘组合到25010816 sec所得的目标数据是正确的，接下去要找的是8块盘的那个点能接上目标盘的数据
　　理论上讲，8块盘直接从25010816 sec往后接是不对的，应该在更后边的位置 X=49855488 sec
　　71302913-49855488=21447425 sec
21447425*6=128684550 sec
128684550+298136064=426820614 sec $MFT 和理论值相差 990343 sec
　　
验证方法:
找出138(硬盘编号即10号盘)的25010816 sec和25010815 sec
看看1-8号盘单盘 49855488 sec和49855487 sec  有没有一样的数据？
　　
　　本文由达思总工程师覃廷良撰写,转载请注明出处