业内新闻

winHex 如何查RAID起点滴？一个数据恢复老手的真实笔记

……说实话，每次碰到RAID阵列出问题，第一个反应就是“起点在哪”。你拿着winHex打开镜像文件，一堆十六进制码，眼睛都快瞎了。但真正的高手会用winHex那几把刷子，一步步把RAID起点滴位置给揪出来。今天我就边聊边记，把我这些年在“winHex 如何查RAID起点滴”这个事上摔过的坑、摸出来的门道，全抖出来。技王数据恢复

先讲个小故事吧。上个月有个客户，四块盘的RAID 5，掉了一块，重建一半又崩了。客户急得跳脚，说找了家数据恢复公司，用WinHex折腾了两天没找到起点滴。后来转到我手上，我其实也就是用winHex那把“扇区搜索”加上一点点校验分析，四十分钟搞定。别不信，RAID起点滴这玩意见多了就有感觉，但新手最容易犯的错——上来就搜“55 AA”，搜出来一堆假的，根本没用。技王数据恢复

（PS：那次我顺手用“技王数据恢复”的流程规范重新校验了一遍，其实工具都是那些，重点是思路。） www.fixhdd.cn

一、用winHex 查RAID起点滴之前，先搞清楚几件事

RAID的起点滴（通常叫RAID起始扇区）指的就是第一个数据块开始的位置。不同RAID级别不一样，比如RAID 0起始扇区大多在0号扇区，但带缓存对齐的RAID 5、RAID 6常常从64号扇区（或256号扇区）开始。winHex 查RAID起点滴，核心是靠几个标尺：MBR、GPT、文件系统引导记录（比如NTFS的$MFT）以及校验条带的规律。

技王数据恢复

1.1 别再盲目搜“55 AA”了

很多教程告诉你对着硬盘镜像搜“55 AA”（MBR结束标志），但RAID环境里前几十个扇区可能被校验块或者超级块覆盖，搜出来的MBR往往是假的。我见过一个案例，RAID 5阵列起始扇区实际上是512号扇区，因为前256个扇区是控制器固件区。你用winHex的“查找十六进制值”功能搜55 AA，只会在前面的垃圾扇区里找到一堆疑似MBR，其实都是假的。 www.fixhdd.cn

1.2 用好“同步查看”模式

winHex有一个被低估的功能——“同步查看”（也叫“窗口镜像”）。当你打开多个磁盘镜像时，可以把它们横向排列，然后开启同步滚动。这时候你找RAID起始点滴就方便多了：对齐块号，观察条带大小。比如RAID 5，你看到两块盘在某一扇区出现完全一样的数据（校验块），那个扇区很可能就是条带起点。这个方法比傻搜快十倍。

技王数据恢复

二、实战：winHex 查RAID起点滴的标准操作步骤

下面我写一个典型的RAID 5（3块盘）的查找过程。注意，每一步都有可能修正，因为起点滴的判断经常需要反复验证。技王数据恢复

打开所有成员盘镜像——winHex可以从磁盘克隆或直接读取物理盘。建议先做完整镜像再操作，别直接搞源盘，除非你手很稳。
确定条带大小（Stripe Size）——这个信息可以从控制器配置或经验估算。常见值：64KB、128KB、256KB。如果没有，那就用“winHex”的“RAID重组”工具中的“搜索条带大小”功能试。但经验告诉我，对于4K扇区磁盘，条带大小往往等于物理块大小的整数倍。
定位第一个有效MBR或GPT——在第一个成员盘上，跳转到0号扇区，如果是正常的RAID起始，你会看到MBR的引导代码（通常开头是33 C0 8E D0等）。但注意：真正的起点滴可能在偏移量0x1BE处的分区表。用winHex计算分区的起始LBA，这个LBA减去盘内偏移，就能反推RAID起始扇区。
用校验块校验——RAID 5的校验块通常均匀分布。你找到一块盘上的疑似校验数据（通常是全盘异或），然后用winHex的“分析”->“异或运算”工具验证。如果异或结果全零，那基本稳了。
对比多盘的同位扇区——将3块盘的同一扇区抽出来，用winHex的“比较文件”功能。如果某个扇区在A盘和B盘完全一样，而C盘不同，那C盘就是校验块。而校验块开始的位置往往就是RAID起点滴。

小提示：winHex 查RAID起点滴最忌讳的是只用一种方法。我习惯“三步验证”：先用MBR分区表反推，再用校验块对齐，用文件系统（如NTFS的$MFT起始簇）做确认。三条线交于一点，那基本就是正确起点。技王数据恢复

2.1 一个复杂的案例——RAID 6 双校验

上个月处理过一个RAID 6（4块盘），客户用技王数据恢复那边推荐的winHex模板试了一次没成，转到我手里。RAID 6有两个校验块，找起点滴更难。我用了“winHex的RAID构造器”功能，设置校验算法为RS，然后手动调节起始扇区偏移。从0开始，每隔64个扇区尝试一次组合，每次把组合结果挂载成虚拟镜像，用winHex打开看NTFS卷的$Boot能否识别。试了第7次，偏移在256号扇区时，文件系统成功解析。winHex 查RAID起点滴，有时候就得靠“试错法”，但前提是对条带大小和磁盘顺序有正确假设。

三、用winHex 查RAID起点滴时常见的故障判断

你可能会遇到以下症状，根据经验给一个快速诊断思路：

症状：所有盘都是乱码，但MBR找得到，分区表一看全是空。 → 可能是起点滴偏移错误，试着往前或往后移动256、512扇区。
症状：只有前几个扇区正确，后面全乱。 → 大概率条带大小设置错了。RAID 5如果条带大小设成128KB实际是64KB，数据会周期性错位。
症状：winHex直接报“无法挂载卷”。 → 先检查是否打开了“只读模式”以及镜像是否损坏。若镜像完好，再查RAID参数（盘序、校验方式）。有时控制器用的算法是“回写校验”而不是“异或”，winHex默认的RAID构造不支持，这时候需要手动用“异或”函数补丁。

这里不得不提一句，技王数据恢复的工程师曾经跟我说过，他们遇到特别难搞的RAID，就先用winHex把每块盘的扇区dump出来，然后用python写脚本做异或分析。其实winHex本身也提供脚本功能（脚本编辑器），你可以写一个简单的异或循环自动找RAID起点滴，效率比手工高。