Визначення параметрів raid

Отже, спробуємо знайти невідомі параметри простого томи RAID 5

Необхідно визначити:
1. Порядок диска
2. Розмір блоку
3. Порядок блоку
4. Зсув диска

Диски, що утворюють RAID, є Соза в R-Studio файлами-образами:
Disk1.arc
Disk2.arc
Disk3.arc

Клацніть по зображенню щоб його збільшити
Файли-образи компонент RAID, відкриті в R-Studio

Зверніть увагу: незважаючи на те, що R-Studio знайшла об'єкт Disk1 на Disk2.arc, це зовсім не означає, що саме він є першим диском RAID.

NДалее необхідно визначити завантажувальний сектор NTFS.
Подивимося значення поля Sectors preceding partition (Сектора попередні розділу) в панелі Templates (Шаблони)

Клацніть по зображенню щоб його збільшити
Панель Templates (Шаблони) для Disk2 і Disk3

У нашому випадку сектор попередній розділу - це сектор 16,065.

Якщо дана величина більше 63, то ми повинні розділити її на N-1, де N - число дисків (в нашому випадку N = 3), в результаті чого ми отримуємо значення 8,032. Це приблизна позиція, з якої слід почати пошук завантажувального сектора NTFS. Починати пошук треба з цієї позиції, щоб не знайти завантажувальних секторів колишніх NTFS розділів.

У діалоговому вікні Search (Пошук) введіть EB 52 90 4E 54 46 53 20 20 20 20 (завантажувальний сектор NTFS завжди починається з цих байтів) в поле HEX, встановіть радіокнопку From current position (С поточної позиції) і введіть 0 в поле Search at offset (Шукати в зміщенні).

Клацніть по зображенню щоб його збільшити
Дані діалогового вікна Search (Пошук), щоб почати пошук завантажувального сектора NTFS

Ми знайшли такі параметри
Bytes per sector (Байтов в секторі): 512
Sectors per cluster (Секторів в кластері): 8
Logical Cluster Number for the file $ MFT (Логічний Номер Кластера для файлу $ MFT): 786432

Раніше знайдені параметри:
Зсув RAID: 0

Далі нам потрібно визначити MFT (головний файловий таблицю) на диску:

1. Спробуємо знайти зразкову зміщення MFT з початку RAID:
Зсув MFT з початку розділу в секторах = Логічний Номер Кластера файлу $ MFT * Секторів в кластері + зміщення RAID = 786,432 * 8 + 0 = 6,291,456
Якщо зсув RAID НЕ 0, то його необхідно додати до результату вищенаведеного рівняння.
Початок MFT на першому диску = Зсув MFT з початку розділу в секторах / (N-1) = 6,291,456 / 2 = 3,145,728

Клацніть по зображенню щоб його збільшити
Перший сектор файлового запису на Disk3. Початок блоку даних.

Важливо відзначити наступне: сигнатура FILE закінчується значенням 0, що означає, що індекс файлового запису ні перезаписан значенням fixup. Якби вона закінчувалася значенням * (FILE *), то в подальшому нам довелося б змінити наш пошук.

Шаблон $ .M.F.T. (HEX 24 00 4D 00 46 00 54) показує, що це коректне початок MFT.
Так як сектор 3,153,792 ближче до знайденого нами зразковому зміщення MFT 3,145,728, ніж до сектору 10,241,463, то це дозволяє припустити, що Disk3 є першим диском RAID.

Далі нам треба врахувати, що файловий запис в MFT займає два сектори і при успішній записи даних на RAID 5 один блок даних записується на один диск, потім наступний блок даних на наступний диск, далі блок парності на третій диск. Приклад такої схеми наведений у наступній таблиці.

Перший диск RAID

Другий диск RAID

Третій диск RAID