第1章數(shù)據(jù)恢復(fù)技術(shù)概述

1、1第1章 數(shù)據(jù)恢復(fù)技術(shù)概述21.1數(shù)據(jù)存儲技術(shù)總論 信息時代的核心無疑是信息技術(shù)，而信息技術(shù)的核心則在于信息的處理與存儲。 隨著數(shù)據(jù)量的劇增，數(shù)據(jù)存儲技術(shù)已經(jīng)面臨著巨大的挑戰(zhàn)。 當(dāng)我們每天關(guān)注CPU主頻的不斷提高，操作系統(tǒng)版本的不斷升級和計算機網(wǎng)絡(luò)技術(shù)的日新月異的時候，或許不應(yīng)該忽略一個這樣的事實，即無論信息處理技術(shù)多么的先進，我們都必須將信息存儲于一定的介質(zhì)之上，信息和信息技術(shù)本省都需要依托一定的存儲介質(zhì)而存在。3n由于越來越多的信息成了電子信息，信息存儲技術(shù)顯得更加重要，特別是計算機網(wǎng)絡(luò)應(yīng)用的迅速增長更大大增加了對信息存儲產(chǎn)品的需求量和對信息存儲技術(shù)的安全性、可靠性的要求。n根據(jù)3M公司對

2、800名網(wǎng)絡(luò)計算機用戶的調(diào)查發(fā)現(xiàn)，每次硬盤的失效將造成5天以上的無效工作日。而在一個典型的商業(yè)應(yīng)用中，重建1000MB數(shù)據(jù)平均要耗時3.5個月，費用為95000美元。由此可見，信息存儲的安全對最終用戶來說是何等重要。1.1數(shù)據(jù)存儲技術(shù)總論41.1.1數(shù)據(jù)存儲介質(zhì)n凡是僅有兩種穩(wěn)定的物理狀態(tài)，能反便地檢測出哪種穩(wěn)定狀態(tài)，兩種穩(wěn)定狀態(tài)又容易相互轉(zhuǎn)換的物質(zhì)或元器件，都可以用來存儲二進制代碼“0”和“1”，這樣的物質(zhì)或元器件被稱為存儲介質(zhì)或記錄介質(zhì)。存儲介質(zhì)不同，存儲信息的機理也不同。5n信息存儲技術(shù)在近幾年的發(fā)展非常迅速，各種新產(chǎn)品、新技術(shù)層出不窮，但從總體上看它們呈現(xiàn)出一種類似金字塔的結(jié)構(gòu)，其中塔

3、尖為CPU，距離CPU越近則存儲速度越快、每兆字節(jié)的存儲成本越昂貴，容量也越??；反之則存儲速度越慢、每兆字節(jié)的存儲成本越低，容量也越大。 6n計算機的存儲設(shè)備從體系結(jié)構(gòu)上看可分為內(nèi)存儲器和外存儲器。內(nèi)存儲器（即內(nèi)存）直接與計算機的CPU相連，處于金字塔的最上層。它的存取速度要求能與CPU相匹配，通常由半導(dǎo)體存儲器芯片組成，由于成本高，容量通常不太大。而對于大量數(shù)據(jù)的保存通常要使用外存儲器。外存儲器又可以分成幾個層次。7n與內(nèi)存儲器相連接的是聯(lián)機存儲器（或稱在線存儲器），如硬磁盤機、磁盤陣列等。再下一層是后援存儲器（或稱近線存儲器），它由存取速度比硬盤更慢的光盤機、光盤庫、磁帶庫等設(shè)備組成。最底

4、層是脫機存儲器（或稱離線存儲器），由磁帶機和磁帶庫等組成倉庫。它的存取速度比較慢，僅是秒數(shù)量級，由于存儲介質(zhì)可脫機保存，可以更換，因此容量幾乎是無限大。其層次關(guān)系如圖1-1所示。8圖1-1 存儲金字塔結(jié)構(gòu) 9n對于普通的個人電腦用戶，使用硬盤、軟盤和光盤等存儲介質(zhì)來進行數(shù)據(jù)存儲就已經(jīng)夠用了，但對于商業(yè)用戶和一些網(wǎng)絡(luò)系統(tǒng)來說，磁帶機、磁帶庫和光盤庫則是必不可少的數(shù)據(jù)存儲與備份設(shè)備，現(xiàn)在還有正在飛速發(fā)展的存儲網(wǎng)絡(luò)，提供更為方便的數(shù)據(jù)保存方式。下面我們先通過不同的存儲介質(zhì)來看一看當(dāng)今市場上流行的主機信息存儲技術(shù)，按其存儲原理可以分為電存儲技術(shù)，如內(nèi)存、閃存等；磁存儲技術(shù)，如磁帶、磁盤等；光存儲技術(shù)，

5、如光盤、DVD等。 電存儲技術(shù)電存儲技術(shù)n電存儲技術(shù)主要是指半導(dǎo)體存儲器SCM（Semiconductor Memory）。早期的SCM采用典型的晶體管觸發(fā)器作為存儲位元，加上選擇、讀寫等電路構(gòu)成存儲器。現(xiàn)代的SCM采用超大規(guī)模集成電路工藝制成存儲芯片，每個芯片中包含相當(dāng)數(shù)量的存儲位元，再由若干芯片構(gòu)成存儲器。 磁存儲技術(shù) n磁存儲，主要指磁表面存儲器MSM（Magnetic Surface Memory）。n磁表面存儲器是用非磁性金屬或塑料作基體，在其表面涂敷、電鍍、沉積或濺射一層很薄的高導(dǎo)磁率、硬矩磁材料的磁面，用磁層的兩種剩磁狀態(tài)記錄信息“0”和“1

6、”。基體和磁層合稱為磁記錄介質(zhì)。依記錄介質(zhì)的形狀可分別稱為磁卡存儲器、磁帶存儲器、磁鼓存儲器和磁盤存儲器。計算機中目前廣泛使用的MSM是磁盤和磁帶存儲器。12nMSM通過磁記錄介質(zhì)作高速旋轉(zhuǎn)或平移，借助于軟磁材料制作的磁頭實現(xiàn)讀寫，由于是機械運動方式，所以存取速度遠低于SCM，為ms級。MSM的存儲位元是磁層上非常小的磁化區(qū)域，可以小至20m2，所以存儲容量可以很大，與SCM相比，每位價格低得多，因此廣泛用作輔存。 13n磁盤技術(shù)包括磁性盤片、電機、盤上方的伸縮臂以及伸縮臂（手柄）上的磁頭。電機帶動磁盤旋轉(zhuǎn)，伸縮臂在盤上移動，磁頭進行讀盤或?qū)懕P操作。讀盤時，磁頭檢測盤表面磁性的變化，將其轉(zhuǎn)化為

7、0或1的數(shù)據(jù)組。寫盤時，通過磁頭改變盤上數(shù)據(jù)的磁性，如正、負極分別與0和1相對應(yīng)。 14n在外存儲器中，硬盤存儲的存取速度最快，因此它最適合于存儲那些需要經(jīng)常訪問的和需要快速訪問的程序和文件。對于個人用戶來說，硬盤是最主要的存儲設(shè)備，計算機的操作系統(tǒng)、應(yīng)用程序和重要的數(shù)據(jù)資料都存儲在硬盤之中，因此要求硬盤的容量盡可能的大，速度越快越好；對于專業(yè)用戶來說，由于數(shù)據(jù)丟失將會給他們帶來非常大的損失，所以他們除了要求更高的速度、更大的容量之外，對硬盤的容錯能力和安全性也有很高的要求。n市場的需求就是未來技術(shù)的發(fā)展方向，硬盤技術(shù)的發(fā)展方向正是向著高容量、高速度和高可靠性的方向發(fā)展。15n早期的硬盤僅有幾

8、十兆，而且價格昂貴。在幾年前，一臺家用PC的標準配置還是420MB或1GB的硬盤。現(xiàn)在，100G、200G以上的硬盤都已經(jīng)大量進入尋常百姓家。能夠產(chǎn)生如此大的飛躍主要得益于硬盤的面存儲密度的不斷提高，現(xiàn)在90mm（3.5英寸）的商品盤單片容量已達20GB或更高，130mm（5.25英寸）的單片容量達到40GB或更高。 16n在硬盤的速度即數(shù)據(jù)傳輸率方面，由于市場上的硬盤都帶有高速緩存，盤面讀出的數(shù)據(jù)先被送到緩存，再從緩存送到主機內(nèi)存中，所以目前主要由這兩個環(huán)節(jié)來決定硬盤的速度。從盤面到緩存的內(nèi)部傳輸率等于位存儲密度乘以盤面的線速度。因此在存儲密度一定的情況下，提高硬盤轉(zhuǎn)速可以進一步提高內(nèi)部傳輸

9、率。現(xiàn)在主流硬盤的轉(zhuǎn)速都已達到了7200r/min，較高的已經(jīng)達到10000r/min以上。由于硬盤是一種機電設(shè)備，它的轉(zhuǎn)速受到機械結(jié)構(gòu)的制約，因此除非有大的技術(shù)變革，否則硬盤轉(zhuǎn)速的提高將會越來越困難。從緩存到主機內(nèi)存的外部傳輸率則與硬盤所采用的外部接口標準有關(guān)。 17n磁帶存儲可以說是最古老的存儲方式之一。從1952年第一臺13mm（0.5英寸）磁帶機在IBM公司問世以來，它已經(jīng)走過了50多年的歷史，積累了大量的使用經(jīng)驗和可靠性數(shù)據(jù)。磁帶存儲是一種安全的、可靠的、易用的、效費高的數(shù)據(jù)備份方法。因為磁帶可以從驅(qū)動器上取出，因此可以實現(xiàn)非現(xiàn)場方式的保存或存放過去版本的數(shù)據(jù)。磁帶存儲系統(tǒng)大都易于操

10、作，甚至可以作成無人值守的數(shù)據(jù)備份和磁帶管理。磁帶的速度雖然比硬盤和光盤要慢，但它也能在相對短的時間內(nèi)（如一個晚上）備份需要的數(shù)據(jù)。由于磁帶的可靠性很高（實踐證明，一盤磁帶上的數(shù)據(jù)可以保存30年以上），而且容量大（以目前的存儲技術(shù)，一盤磁帶壓縮后存儲容量可達70GB,磁帶庫則可擴展到幾十TB的水平），所以它是當(dāng)之無愧的大容量數(shù)據(jù)備份的首選存儲介質(zhì)。 光存儲技術(shù) n光盤存儲器ODM（Optical Disk Memory）和MSM類似，也是將用于記錄的薄層涂敷在基體上構(gòu)成記錄介質(zhì)。不同的是基體的圓形薄片由熱傳導(dǎo)率很小，耐熱性很強的有機玻璃制成。在記錄薄層的表面再涂敷或沉積保護薄

11、層，以保護記錄面。記錄薄層有非磁性材料和磁性材料兩種，前者構(gòu)成光盤介質(zhì)，后者構(gòu)成磁光盤介質(zhì)。nODM是目前輔存中記錄密度最高的存儲器，存儲位元區(qū)域可小至1m2，存儲容量很大且盤片易于更換。缺點是存儲速度比硬盤低一個數(shù)量級?，F(xiàn)已生產(chǎn)出與硬盤速度相近的ODM，不久會成為重要的輔存。19n目前我們所能接觸的光存儲設(shè)備有：CD-ROM、CD-R、CD-RW、MO、DVD-ROM、DVD+RW、DVD-RW、DVD-RAM以及COMBO等。CD-ROM為只讀光盤，多用于產(chǎn)品發(fā)布和電子出版領(lǐng)域；CD-R允許用戶自己寫CD，但只能寫一次，可以無限次讀，而且與CD-ROM兼容；CD-RW為可多次讀寫光盤，它采

12、用CD-R的格式，因此可以與CD-R的刻錄機通用；MO是永磁光盤，可以重復(fù)讀寫，具有很高的可靠性和耐久性，數(shù)據(jù)保存可長達100年。相應(yīng)的DVD產(chǎn)品可以視為CD的后代。此外，多臺光盤機組合在一起有3種結(jié)構(gòu)：光盤庫、光盤塔和光盤陣列。它們都是大型的信息存儲設(shè)備，一般應(yīng)用在大、中型的網(wǎng)絡(luò)系統(tǒng)和檔案管理系統(tǒng)中。20n在所有光存儲設(shè)備中，最基本的產(chǎn)品是CD。CD是Compact Disc的簡稱，直譯就是小型、緊湊的盤片。其外徑為120mm，厚度1.2mm，如圖1-2所示。21 圖1-2 光盤結(jié)構(gòu) 22nCD由光軌（Track）組成。光軌，是光碟上一種資料記錄的單位。光盤上儲存的信息資料按一定規(guī)則排列，其

13、形狀像一條條“軌道”，稱為“光軌”。光軌由內(nèi)至外呈螺旋線形狀。數(shù)據(jù)光盤內(nèi)從目錄（TOC，Table of Contents）開始記錄起始地址的多個連續(xù)的邏輯扇區(qū)為一軌，而音頻光盤內(nèi)一首歌曲對應(yīng)一條光軌，因此，一張光盤中有許多條光軌。光盤的光軌最多可達99條，如圖1-3所示。 23圖1-3 光盤光軌 24n光軌由一系列記錄信息位的信息坑（pit）與岸（land）組成。其中，光軌上凹陷下去的部分稱為信息“坑”（pit），沒有凹陷的部分稱為“岸”（land），又稱“陸地”。“坑”和“岸”都是記錄的信息，如圖1-4所示。 25圖1-4 光盤信息位 26n光道上凹凸交界的跳變沿均代表數(shù)字“1”，兩個邊緣

14、之間代表數(shù)字“0”?！?”的個數(shù)是由邊緣之間的長度決定的。信息讀取時，CD機的激光頭發(fā)出一束激光照到CD盤的數(shù)據(jù)面并拾取由凹痕反射回來的光信號，由此判別記錄的是“1”或“0”（圖1-5） 27圖1-5 CD盤的讀出原理 28n普通光盤凹痕寬約0.5m，凹痕最小長度約0.83m，光道間距約 1.6m。每張光盤大約包含8億個凹痕，可容納高達680 MByte的數(shù)據(jù)量，因此光盤的容量很大。 29n不同光盤其記錄密度是不一樣的，如圖1-6所示。 圖1-6 CD光盤坑紋 DVD光盤坑紋 DVD-R光盤坑紋 30nCD-R預(yù)先在盤片內(nèi)壓制有螺旋線形狀的溝槽（Groove），稱為“預(yù)刻槽”，代替光學(xué)軌道的“

15、坑”?？啼洉r，CD-R盤片的溝槽內(nèi)有機染料在激光照射下，形成氣泡，這便是“岸”（land）。氣泡一旦形成，就不能恢復(fù)原狀，因此，CD-R只能一次寫入。 31n光盤提供了存儲和發(fā)布大文件的一個非常耐久的方法。與音頻CD相似,光盤驅(qū)動器利用低能量的激光在光盤表面上讀取微小的變化。因為信息記錄在盤面上，所以光盤容易損壞。光盤的存儲容量比軟盤大(為650MB)，存儲費用比硬盤低，但光盤的訪問時間要比硬盤慢26倍。光盤的這些特點使其非常適合于存儲那些大容量的，用硬盤存儲費用太高，可以離線操作的數(shù)據(jù)。32 光盤存儲一般應(yīng)用在以下幾個方面：n電子出版物：作為信息時代的標志之一，電子出版物正在逐漸改變傳統(tǒng)的出

16、版行業(yè)，而它的存儲介質(zhì)正是光盤。一本厚厚的字典可以被濃縮在一張薄薄的光盤之中，一部精彩的故事片可以用一張DVD所收藏，這些變化無不加快了信息的傳播，作為存儲介質(zhì)的光盤當(dāng)然也功不可沒。n電子圖像管理：用計算機處理的圖像、照片，其存儲容量一般很大，可以使用光盤將它們存入計算機系統(tǒng)的在線存儲器中。光盤存儲同時也非常適合于存儲工程圖檔(如CAD圖)、測繪圖(如地圖)和醫(yī)學(xué)文檔等。n檔案管理：這是指數(shù)據(jù)永久性的存儲。這些數(shù)據(jù)并不經(jīng)常被訪問，但必須保留。如某公司的一個未被采納的產(chǎn)品設(shè)計說明，因為以后可能需要使用。n備份管理：為防止文件丟失或被破壞經(jīng)常需要對系統(tǒng)和用戶文件進行復(fù)制。光盤系統(tǒng)的容量大，而且可能

17、包括一個自動轉(zhuǎn)換器，因此對光盤系統(tǒng)的復(fù)制能節(jié)省操作員加載介質(zhì)的費用。331.2 數(shù)據(jù)恢復(fù)技術(shù)總論1.2.1數(shù)據(jù)的內(nèi)涵n這里我們所說的數(shù)據(jù)，只指計算機數(shù)據(jù)，后面不再專門指出。n“數(shù)據(jù)”是一個廣泛的概念，不僅包括計算機文件系統(tǒng)或數(shù)據(jù)庫系統(tǒng)中存儲的各種數(shù)據(jù)、正文、圖形、圖像、聲音等形式的多媒體數(shù)據(jù)文件、軟件或各種文檔資料，也包括存放或管理這些信息的硬件信息，如計算機硬件及其網(wǎng)絡(luò)地址、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)等。 341.2.2 數(shù)據(jù)恢復(fù)的定義 n簡單地說，數(shù)據(jù)恢復(fù)就是把遭受破壞、或由硬件缺陷導(dǎo)致不可訪問或不可獲得、或由于誤操作等各種原因?qū)е聛G失的數(shù)據(jù)還原成正常數(shù)據(jù)，即恢復(fù)至它本來的“面目”。 n數(shù)據(jù)恢復(fù)不

18、僅對已丟失的文件進行恢復(fù)，還可以恢復(fù)物理損傷的磁盤數(shù)據(jù)，也可以恢復(fù)不同操作系統(tǒng)的數(shù)據(jù)。 35n數(shù)據(jù)出現(xiàn)問題主要包括兩大類：即邏輯問題和硬件問題，相對應(yīng)的恢復(fù)也分別稱為軟恢復(fù)和硬恢復(fù)。所謂軟恢復(fù)，指的是一切可以通過“軟”的方式進行的恢復(fù)，不涉及硬件修理的數(shù)據(jù)恢復(fù)操作，其故障原因不是硬件失效造成的，如病毒感染、誤格式化、誤分區(qū)、誤克隆、誤操作、網(wǎng)絡(luò)刪除、操作時斷電等，軟件現(xiàn)象一般表現(xiàn)為無操作系統(tǒng)，讀盤錯誤，文件找不到、打不開，報告無分區(qū)、無格式化、密碼丟失、亂碼等；對應(yīng)地，一切涉及到硬件修理、由硬件損壞或失效造成的數(shù)據(jù)恢復(fù)均歸入硬恢復(fù)，如磁道損壞、磁盤劃傷、磁組損壞、主電機損壞、電路板芯片及其它原

19、器件燒壞等，硬件故障一般表現(xiàn)為不認盤，常有一種“咔嚓咔嚓”的磁組撞擊聲或電機不轉(zhuǎn)，或通電后無任何聲音等，兩者之間最明顯的特征或區(qū)別就是：存儲介質(zhì)本身是否不需要進行修理或更換部件就可以正常的進行訪問。當(dāng)然，“正常的進行訪問”也是一個有級別的問題，這里先界定為低級格式化程序這一級別，更詳細的區(qū)別在后面作詳細的介紹。n數(shù)據(jù)恢復(fù)是出現(xiàn)問題之后的一種補救措施，既不是預(yù)防措施，也不是備份，所以，在一些特殊情況下數(shù)據(jù)將很難被恢復(fù)，如數(shù)據(jù)被覆蓋、低級格式化清零、磁盤盤片嚴重損傷等。 361.2.3 數(shù)據(jù)恢復(fù)的服務(wù)范圍 n造成數(shù)據(jù)丟失的原因非常多，常見的主要有以下9種。 （1） 惡意的程序 （2） 其他惡意的破

20、壞 （3） 誤操作 （4） 操作系統(tǒng)或應(yīng)用軟件的錯誤 （5） 硬件失效 （6） 加密和權(quán)限 （7） 掉電 （8） 內(nèi)存溢出 （9） 升級 37n數(shù)據(jù)出現(xiàn)問題后會表現(xiàn)出一些相應(yīng)的癥狀，主要有以下幾種情況： 1. 不能進入系統(tǒng) 有時雖然CMOS檢測硬盤正常，但卻啟動不了系統(tǒng)，出現(xiàn)有提示停機，或無提示死機，或者CMOS能檢測到硬盤，而顯示的容量卻不正確。出現(xiàn)這種情況的原因有很多，如MBR損壞、DBR損壞、電源質(zhì)量不合格、數(shù)據(jù)線斷線、CMOS設(shè)置不正確、主從設(shè)置不正確、硬件沖突、CMOS電池電壓不足等。38一般性的系統(tǒng)無法啟動可能會有以下一些提示。 （1）Invalid Partition Table

21、 無效的分區(qū)信息。一般是因為分區(qū)信息中1BE，1CE，1DE，1EE 處不符合只有一個80而其他為0的原則，用工具設(shè)定解決。（2）Error Loading Operating System 主引導(dǎo)程序讀BOOT區(qū)5次仍不成功。用工具重建BOOT區(qū)解決。（3）Missing Operating System DOS引導(dǎo)區(qū)的“55 AA”標記丟失，或DBR損壞，用工具設(shè)定解決。（4）Non-System Disk or Disk Error BOOT區(qū)中的系統(tǒng)文件名與根目錄中的前兩個文件不同，用SYS命令重新傳遞系統(tǒng)解決。（5）Disk Boot Failure 讀系統(tǒng)文件錯誤，用SYS命令重新

22、傳遞系統(tǒng)解決。39（6）Invalid Driver Specification 在試圖切換到一個確實存在的邏輯分區(qū)時出現(xiàn)該信息，說明主分區(qū)表的分區(qū)記錄遭到破壞。根據(jù)各分區(qū)情況重建分區(qū)表，或者用自動修復(fù)工具修復(fù)。（7）Bad or missing command interpreter 找不到COMMAND.COM，或者COMMAND.COM文件損壞。如果拷貝正確的COMMAND.COM文件后還是如此，一般來說是感染了某種病毒。（8）Invalid media type reading drive Abort，Retry，F(xiàn)ail？ 該盤沒有高級格式化，或BOOT區(qū)中I/O參數(shù)表被破壞。（9）

23、Incorrect DOS Version 可能是文件版本不統(tǒng)一。對Windows 9x來說，有95，95 OSR/2，98，98 OEM/2等版本，重傳系統(tǒng)時，要注意選用正確版本的啟動盤。40（10）Primary master hard disk fail 硬盤數(shù)據(jù)線、電源線兩者至少有一個沒插好；或硬盤跳線設(shè)置變化，而CMOS硬盤參數(shù)沒做相應(yīng)修改。插好連線，或相應(yīng)的修改正確即可。（11）Not Found any active partition in HDD 硬盤分區(qū)表中的活動分區(qū)標志80H被改成非活動分區(qū)標志00H，用DiskEdit等工具修復(fù)為80H即可。（12）Type the n

24、ame of the command，Interpreter 硬盤分區(qū)表中的主DOS分區(qū)標志06H錯誤或COMMAND.COM丟失、損壞或與其他兩個啟動文件版本不同，或病毒破壞。（13）Disk I/O error 主DOS引導(dǎo)記錄中物理硬盤標志號錯誤，或介質(zhì)描述錯誤。（14）Invalid system disk或Failure 主DOS引導(dǎo)記錄損壞。412. 磁盤出現(xiàn)壞道 硬盤壞道分為邏輯壞道和物理壞道兩種。前者為軟壞道，通常由軟件操作或使用不當(dāng)造成，可用軟件修復(fù)；后者為物理性壞道，表明硬盤磁道產(chǎn)生物理損傷，只能通過更改硬盤分區(qū)或扇區(qū)的使用情況來解決。 42出現(xiàn)下列情況通常表明硬盤上存在壞

25、道。（1）在打開、運行或拷貝某個文件時，硬盤出現(xiàn)操作速度變慢，長時間操作仍不成功或表現(xiàn)為長時間死“啃”某一區(qū)域，或同時出現(xiàn)硬盤讀盤異響，或干脆Windows系統(tǒng)提示“無法讀取或?qū)懭朐撐募?，這些都可表明硬盤的某部分出現(xiàn)了壞道。（2）每次開機，Scandisk磁盤掃描程序都自動運行。這肯定表明硬盤上有需要修復(fù)的重要錯誤，比如，壞道。在運行該程序時如不能順利通過，表明硬盤肯定有壞道；或掃描雖然也可通過，但出現(xiàn)紅色的“B”標記，也表明硬盤有壞道。（3）電腦啟動時硬盤無法引導(dǎo)，用軟盤或光盤啟動后可看見硬盤盤符，但無法對該區(qū)進行操作；或操作有誤；或干脆就看不見盤符；都表明硬盤上可能出現(xiàn)了壞道。具體表現(xiàn)如

26、開機自檢過程中，屏幕提示“Hard disk drive failure”、“Hard drive controller failure”等類似信息，則可以判斷硬盤驅(qū)動器或硬盤控制器有硬件故障。讀寫硬盤時提示“Sector not found”或“General error in reading drive C”等類似錯誤信息，則表明硬盤磁道出現(xiàn)了物理損傷。（4）電腦在正常運行中出現(xiàn)死機或“該文件損壞”等問題，也可能和硬盤壞道有關(guān)。433. 分區(qū)丟失 找不到分區(qū)，或進入不了分區(qū)。多由病毒引起，處理流程在后面章節(jié)中有詳細介紹。4. 文件丟失 誤刪除、誤格式化等。主要使用工具軟件進行恢復(fù)。5. 密

27、碼丟失6. 文檔打不開或亂碼 文檔修復(fù)也是一個常見的問題。它是指對某種應(yīng)用文檔受損不能打開或打開后亂碼的修復(fù)，是廣義數(shù)據(jù)恢復(fù)的一支。44n文件和文檔 一般意義上講，文件是個通用概念，存儲在存儲介質(zhì)上的所有內(nèi)容都可以稱為文件，是相對操作系統(tǒng)而言的；而文檔一般是指由各種應(yīng)用程序創(chuàng)建的特定類型的文件，一般都是用戶的數(shù)據(jù)文件，文檔是特定類型的文件。n文檔修復(fù) 文件由于數(shù)據(jù)邏輯上的原因，對于操作系統(tǒng)可見，而相應(yīng)的應(yīng)用程序無法合理、正確地解釋，從而出現(xiàn)諸如“文件損壞無法打開”或打開后亂碼等情況，通過糾錯、重新計算CRC校驗、改正不正確的格式等手段，解決這些問題的過程，稱為文檔修復(fù)。 451.2.4 數(shù)據(jù)恢

28、復(fù)的一般原則 n 數(shù)據(jù)安全是個過程，而且，它是個動態(tài)的過程。n因為安全產(chǎn)品/方案是靜態(tài)的，而安全本身是過程，是動態(tài)的。用靜態(tài)的東西去應(yīng)對動態(tài)的過程，顯然達不到用戶所期待的效果。這就是為什么所有的解決方案都不能做到萬無一失的原因。 46n進行數(shù)據(jù)恢復(fù)，首要的一點就是認真細致首要的一點就是認真細致，對每一步操作都有一個明確的目的。因為數(shù)據(jù)安全既然是一個動態(tài)的過程，那么，所出現(xiàn)的問題就是千差萬別的，是沒有定式可言的。所以，在進行操作之前就考慮好做完該步之后能達到什么目的，可能造成什么后果，能不能回退至上一狀態(tài)。特別是對于一些破壞性操作，一定要考慮周到，只要條件允許，就一定要在操作之前進行備份，對每一

29、步操作都有相應(yīng)的記錄，并能回退到上一狀態(tài)。47 在開始恢復(fù)數(shù)據(jù)之前，應(yīng)該首先完成以下幾個步驟。在開始恢復(fù)數(shù)據(jù)之前，應(yīng)該首先完成以下幾個步驟。（1）備份當(dāng)前尚能工作的驅(qū)動器上的所有數(shù)據(jù)。如果C盤損壞，那么，在開始任何工作之前首先備份D盤（及其他盤）上的數(shù)據(jù)到其他可靠的地方。（2）將損壞的硬盤拿到一個正常工作的同樣的操作系統(tǒng)下，如果條件不允許，取下該硬盤，安裝一個新的主硬盤，在重新掛上損壞硬盤之前對主硬盤分區(qū)并格式化，確信立即更改CMOS設(shè)置。（3）調(diào)查使用者。查出在丟失數(shù)據(jù)之前發(fā)生的事情，查出是否有其他的應(yīng)用程序?qū)Υ疟P進行過操作。最后的用戶輸入非常重要，要查出使用者在送交磁盤前做過些什么，雖然他

30、并沒有說出來。48（4）如果可能，備份所有扇區(qū)是一個非常不錯的方法。按文件進行的轉(zhuǎn)存在這里沒有任何的幫助。如果進行克隆，確保是按位進行而不是按文件進行。大部分的鏡像軟件在這里都沒有什么意義，包括Ghost，Drive Image和Drive Copy。（5）手頭要有一個好的扇區(qū)編輯工具，如WinHex就是一款不錯的基于扇區(qū)的編輯工具。（6）盡可能多的得到最后使用者的關(guān)鍵文件的信息。 了解完這些信息后，就該有一個基本輪廓：如為什么會出現(xiàn)這個問題，破壞程度如何，使用什么工具能達到最好的效果，其主要步驟有哪些等。另外要記住的是：先搶救另外要記住的是：先搶救最有把握的數(shù)據(jù)，恢復(fù)一點，備份一點！最有把握

31、的數(shù)據(jù)，恢復(fù)一點，備份一點！491.3 硬盤數(shù)據(jù)恢復(fù)與硬盤修理的區(qū)別與聯(lián)系 n硬盤數(shù)據(jù)恢復(fù)與硬盤修理的最直接的區(qū)別就是，他們的目的不一樣，硬盤數(shù)據(jù)恢復(fù)是為了得到硬盤上的數(shù)據(jù)，而硬盤修理是為了讓硬盤能夠重新正常的工作，單純的硬盤修理是不考慮其上存儲的數(shù)據(jù)的，如很多硬件廠商的保修條款那樣，硬盤出現(xiàn)問題，可以免費修理或更換，但是對其上存儲的數(shù)據(jù)不進行任何的處理，其數(shù)據(jù)的處理權(quán)在用戶自己。然而兩者之間也不是完全的獨立，因為有些時候要恢復(fù)數(shù)據(jù)，需要先對硬盤進行處理，當(dāng)然，這時的硬盤處理已經(jīng)不是單純的修理硬件，而是為了獲得其中的數(shù)據(jù)，并且，該過程甚至是一個破壞性的處理過程。注意這里所說的處理與修理的含義上

32、的區(qū)別。硬盤修理與硬盤數(shù)據(jù)恢復(fù)的關(guān)系如圖1-7所示，其他介質(zhì)亦然。50硬盤數(shù)據(jù)恢復(fù)硬盤修理先修理然后修復(fù)數(shù)據(jù)圖1-7 硬盤數(shù)據(jù)恢復(fù)與硬盤修理的關(guān)系51另外，硬件的修理與數(shù)據(jù)恢復(fù)的代價也不一樣，其關(guān)系如表1-2所示： 表1-2 硬件的修理與數(shù)據(jù)恢復(fù)比較521.4 硬盤數(shù)據(jù)保護方式介紹 n目前對于數(shù)據(jù)的重要性一般用戶都有認識，出了問題后即使沒有重要的數(shù)據(jù)需要恢復(fù)，但重構(gòu)系統(tǒng)也是一個十分費時費力的事情，因此，就涌現(xiàn)了大量的硬盤保護方式，或攔截中斷，對硬盤數(shù)據(jù)進行保護，或采用鏡像方式，對硬盤數(shù)據(jù)進行備份。這些方式概括起來說主要有以下幾種：操作系統(tǒng)提供的系統(tǒng)還原、隨機贈送的系統(tǒng)恢復(fù)光盤、GHOST、殺毒

33、軟件提供的系統(tǒng)備份、硬盤保護卡（還原卡）、主板BIOS內(nèi)置的系統(tǒng)保護、虛擬還原工具軟件等。53這些保護方式與數(shù)據(jù)恢復(fù)技術(shù)最本質(zhì)的區(qū)別是這些保護方式與數(shù)據(jù)恢復(fù)技術(shù)最本質(zhì)的區(qū)別是：n數(shù)據(jù)恢復(fù)是對出現(xiàn)問題的系統(tǒng)或存儲介質(zhì)上的數(shù)據(jù)進行恢復(fù)，而數(shù)據(jù)保護雖然也是為了保護系統(tǒng)或數(shù)據(jù)，但它們都是一種預(yù)防措施。n當(dāng)然，如果預(yù)防措施做的好，不出現(xiàn)問題，那是最好不過的了，但是，使用這些工具也有很大的缺陷，因為畢竟，這些保護方式不是萬能的，它無形中又增加了用戶的操作，既然是操作，就一定不可避免誤操作，這是其一，其二，它們都建立在硬件正常的基礎(chǔ)之上，如果硬件出現(xiàn)問題，它們只會使事情更加糟糕。當(dāng)然這樣說不是說它們不好，它

34、們對用戶數(shù)據(jù)的保護是有目共睹的，但是，從其機理來看，它們都對操作系統(tǒng)或硬盤關(guān)鍵數(shù)據(jù)區(qū)動過手腳，所以，不出現(xiàn)問題則已，一旦出現(xiàn)問題，就必然會大大增加數(shù)據(jù)恢復(fù)的難度和工作量。541.4.1 操作系統(tǒng)提供的系統(tǒng)還原 n操作系統(tǒng)提供的系統(tǒng)還原是目前使用的較多的一種保護方式。微軟從Windows ME開始提供該功能，在Windows 2000中取消了這一功能，而在Windows XP中又強化了這一功能。n該功能的優(yōu)缺點都很明顯，優(yōu)點是操作系統(tǒng)自帶，免費，不存在兼容性問題，使用也很方便，缺點是只恢復(fù)操作系統(tǒng)數(shù)據(jù)，對用戶數(shù)據(jù)無效，且Windows 2000沒有該功能。另外其致命缺陷是操作系統(tǒng)本身不能崩潰，對

35、硬件失效無效。551.4.2 GHOST n使用GHOST對磁盤或磁盤分區(qū)做鏡像，可能是最早的操作系統(tǒng)全盤（或邏輯盤）備份方式，曾經(jīng)輝煌了一個時代。最早的GHOST不兼容NTFS分區(qū)，現(xiàn)在的版本早就解決了這個問題，可以說，它是愛折騰機器和操作系統(tǒng)的DIY們的最愛。n由于只能在DOS下對系統(tǒng)進行鏡像，所以其缺點是很明顯的，它只能是一種靜態(tài)備份。561.4.3 殺毒軟件提供的系統(tǒng)備份 n有些殺毒軟件提供有備份功能，如瑞星提供有系統(tǒng)重要數(shù)據(jù)備份功能，且可采用增量備份方式，以加快備份速度。采用超容壓縮數(shù)據(jù)保護技術(shù)，無須用戶干預(yù)，定時自動保護電腦系統(tǒng)中的核心數(shù)據(jù)，即使在硬盤數(shù)據(jù)遭到病毒破壞，甚至格式化硬

36、盤后，都可以迅速恢復(fù)硬盤中的寶貴數(shù)據(jù)。n很顯然，這種備份方式是遠遠不夠的。 571.4.4 硬盤保護卡 n現(xiàn)在有很多廠商生產(chǎn)和銷售稱為硬盤保護卡的一類設(shè)備，有ISA接口，也有PCI接口，由于ISA接口已經(jīng)淘汰，所以以PCI接口最為常見。硬盤保護卡具有不占硬盤空間（實際是需要占用硬盤空間的）、支持多種數(shù)據(jù)還原方式、安裝和使用過程中不需軟盤等特點，簡化了機房管理工作，所以這類產(chǎn)品非常豐富，大量見于機房、網(wǎng)吧等公用機處。 581.4.5 主板BIOS內(nèi)置的系統(tǒng)保護 n在有些主板的BIOS中，內(nèi)置有系統(tǒng)保護軟件，如聯(lián)想的“宙斯盾”（RecoveryEasy）和捷波的“恢復(fù)精靈”（RecoveryGen

37、ius）等都是這類工具。實際上它們都是系統(tǒng)還原卡的另外一種形式，相當(dāng)于將這個備份恢復(fù)程序移植到主板BIOS中。n聯(lián)想的“宙斯盾”;捷波的“恢復(fù)精靈”;奔馳主板的“數(shù)據(jù)保險柜” . 591.4.6 虛擬還原工具軟件 n“虛擬還原”的運作原理與硬盤保護卡比較類似，可備份整個硬盤內(nèi)的資料。n“虛擬還原”設(shè)有永久還原點和動態(tài)還原點兩種備份方法，簡單的說，永久還原點就是將整個硬盤的內(nèi)容都備份起來，動態(tài)還原點就是將當(dāng)前硬盤內(nèi)容與最新永久還原點之間的差異備份起來。所以，在建立動態(tài)還原點之前必須先建立永久還原點。n“還原精靈”是一款提供“虛擬還原”的工具軟件，號稱是軟件做的“硬盤保護卡”，其原理也和硬盤保護卡

38、的原理相類。601.4.7 硬盤保護與數(shù)據(jù)恢復(fù) n硬盤保護產(chǎn)品還有很多，也不斷的有新品出現(xiàn)，但不管是采用哪種方式，或者是靜態(tài)備份，或者是動態(tài)備份，都脫不了備份這個本質(zhì)，即使是動態(tài)備份，也不可能是實時備份，即使將來技術(shù)進步了，做到實時備份，它也只是一個備份手段，是建立在存儲系統(tǒng)正常工作基礎(chǔ)之上的備份手段，永遠不可能代替數(shù)據(jù)恢復(fù)技術(shù)，另外這種保護也不是絕對的，現(xiàn)在已經(jīng)有很多種方法可以避過這種保護方式，而且，多了一步操作，就必然不可避免會增加誤操作的機率，如誤還原，就會造成還原點之后所有的工作全部丟失。當(dāng)然，有些誤操作可以通過數(shù)據(jù)恢復(fù)技術(shù)尋找回來，但有些誤操作會造成數(shù)據(jù)從此“魂飛魄散”。611.5

39、硬盤缺陷1.5.1 硬盤缺陷介紹 n在這里，暫不探討在各種操作系統(tǒng)下硬盤中的數(shù)據(jù)結(jié)構(gòu)問題及數(shù)據(jù)恢復(fù)問題，而是直接探討硬盤本身的缺陷問題。n在硬盤內(nèi)部中所有存在缺陷的部分都被稱為Defect（缺陷）。如果某個磁頭狀態(tài)不好，則這個磁頭為Defect head。如果盤面上某個Track（磁道）不能正常訪問，則稱這個Track為Defect Track，如果某個扇區(qū)不能被正常訪問或不能正確記錄數(shù)據(jù)，則該扇區(qū)也稱為Defect Sector，可以認為Bad sector等同于Defect sector。從總的來說，某個硬盤只要有一部分存在缺陷，不能完全正常工作，就稱這個硬盤為Defect hard di

40、sk。62n通?？蓪⒂脖P的缺陷分為六大類： 壞扇區(qū)（Bad sector），也稱缺陷扇區(qū)（Defect sector） 磁道伺服缺陷（Track Servo defect） 磁頭組件缺陷（Heads assembly defect） 系統(tǒng)信息錯亂（Service information destruction） 電子線路缺陷（The board of electronics defect） 綜合性能缺陷（Complex reliability defect）631. 壞扇區(qū)（也稱缺陷扇區(qū)）n指不能被正常訪問或不能被正確讀寫的扇區(qū)。一個扇區(qū)能存儲512Bytes的數(shù)據(jù)，如果在某個扇區(qū)中有任何一個

41、字節(jié)不能被正確讀寫，則這個扇區(qū)為Bad sector。除了存儲512Bytes外，每個扇區(qū)還有數(shù)十個Bytes信息，包括標志信息、校驗碼、地址信息等。這些信息任何一個字節(jié)出錯都會導(dǎo)致該扇區(qū)變“Bad”。例如，在低級格式化的過程中每個扇區(qū)都分配有一個編號，寫在ID中。如果ID部分出錯就會導(dǎo)致這個扇區(qū)無法被訪問到，則這個扇區(qū)屬于Bad sector。一般表現(xiàn)為：高級格式化后發(fā)現(xiàn)有“壞簇（Bad Clusters）；用SCANDISK等工具檢查發(fā)現(xiàn)有“B”標記；或用某些檢測工具發(fā)現(xiàn)有“扇區(qū)錯誤提示”等。有一些Bad sector能夠通過低級格式化重寫這些信息來糾正。 642. 磁道伺服缺陷 n現(xiàn)在的

42、硬盤大多采用嵌入式伺服，硬盤中每個正常的物理磁道都嵌入有一段或幾段信息作為伺服信息，以便磁頭在尋道時能準確定位及辨別正確編號的物理磁道。如果某個物理磁道的伺服信息受損，該物理磁道就可能無法訪問，這就是“磁道伺服缺陷”。一般表現(xiàn)為，分區(qū)過程非正常中斷；格式化過程無法完成；用檢測工具檢測時，中途退出或死機等等。653. 磁頭組件缺陷 n指硬盤中磁頭組件的某部分不正常，造成部分或全部物理磁頭無法正常讀寫的情況。包括磁頭磨損、磁頭接觸面臟、磁頭擺臂變形、音圈受損、磁鐵移位等。一般表現(xiàn)為通電后，磁頭動作發(fā)出的聲音明顯不正常，硬盤無法被系統(tǒng)BIOS檢測到；無法分區(qū)格式化；格式化后發(fā)現(xiàn)從前到后都分布有大量的

43、壞簇等等。664. 系統(tǒng)信息錯亂n每個硬盤內(nèi)部都有一個系統(tǒng)保留區(qū)（service area），里面分成若干模塊保存有許多參數(shù)和程序。硬盤在通電自檢時，要調(diào)用其中大部分程序和參數(shù)。如果能讀出這些程序和參數(shù)模塊，而且校驗正常，硬盤就進入準備狀態(tài)。如果某些模塊讀不出或校驗不正常，則該硬盤就無法進入準備狀態(tài)。一般表現(xiàn)為，PC系統(tǒng)的BIOS無法檢測到該硬盤或檢測到該硬盤卻無法對它進行讀寫操作。如某些系列硬盤的常見問題：美鉆二代系列硬盤通電后，磁頭響一聲，馬達停轉(zhuǎn)；Fujitsu某系列產(chǎn)品在通電后，磁頭正常尋道，但BIOS卻檢測不到；火球系列，系統(tǒng)能正常認出型號，卻不能分區(qū)格式化；Western Digi

44、tal的EB、BB系列，能被系統(tǒng)檢測到，卻不能分區(qū)格式化等等。 675. 電子線路缺陷 n指硬盤的電子線路板中部分線路斷路或短路，某些電氣元件或IC芯片損壞等。有些可以通過觀察線路板發(fā)現(xiàn)缺陷所在，有些則要通過儀器測量后才能確認缺陷部位。一般表現(xiàn)為硬盤在通電后不能正常起轉(zhuǎn)，或者起轉(zhuǎn)后磁頭尋道不正常等等。 686. 綜合性能缺陷 n有些硬盤在使用過程中部分芯片特性改變；或者有些硬盤受震動后物理結(jié)構(gòu)產(chǎn)生微小變化（如馬達主軸受損）；或者有些硬盤在設(shè)計上存在缺陷最終導(dǎo)致硬盤穩(wěn)定性差，或部分性能達不到標準要求。一般表現(xiàn)為，工作時噪音明顯增大；讀寫速度明顯太慢；同一系列的硬盤大量出現(xiàn)類似故障；某種故障時有時

45、無等等。 691.5.2 出廠處理 硬盤工廠在生產(chǎn)硬盤時都有一個基本的處理流程：硬盤工廠在生產(chǎn)硬盤時都有一個基本的處理流程：n1. 在生產(chǎn)線上裝配硬盤的硬件部分，用特別設(shè)備往盤片上寫入伺服信號（Servo write）。n2. 格式化硬盤的系統(tǒng)保留區(qū)（service area），并向系統(tǒng)保留區(qū)寫入程序模塊和參數(shù)模塊。系統(tǒng)保留區(qū)一般位于硬盤0物理面的最前面幾十個物理磁道。寫入的程序模塊一般用于硬盤內(nèi)部管理，如低級格式化程序、加密解密程序、自監(jiān)控程序、自動修復(fù)程序等等。寫入的參數(shù)多達近百項：如型號、系列號、容量、口令、生產(chǎn)廠家與生產(chǎn)日期、配件類型、區(qū)域分配表、缺陷表、出錯記錄、使用時間記錄等等，數(shù)

46、據(jù)量從幾百KB到幾MB不等。有些參數(shù)一經(jīng)寫入就不再改變，如型號、系列號、生產(chǎn)時間等；而有些參數(shù)則可以在使用過程中由內(nèi)部管理程序自動修改，如出錯記錄、使用時間記錄等。也有些專業(yè)的維修人員可以借助專業(yè)的工具軟件，隨意讀取、修改寫入硬盤中的程序模塊和參數(shù)模塊。70n3. 將所使用的盤片表面按物理地址全面掃描，檢查出所有的缺陷磁道和缺陷扇區(qū)，并將這些缺陷磁道和缺陷扇區(qū)按實際物理地址記錄在永久缺陷列表（P-list：Permanent defect list）中。這個掃描過程非常嚴格，能把不穩(wěn)定不可靠的磁道和扇區(qū)也檢查出來，視同缺陷一并處理。現(xiàn)在的硬盤密度極高，盤片生產(chǎn)過程再精密也很難完全避免缺陷磁道或缺陷扇區(qū)。一般新硬盤的P-list中都有少則數(shù)百，多則上萬個缺陷記錄。P-list保留在系統(tǒng)保留區(qū)中，一般用戶無法查看或修改。如果是SCSI硬盤的話可以找到多種通用軟件查看到P-list，因為各種牌子的SCSI硬盤使用兼容的SCSI指令集。而不同牌子不同型號的IDE硬盤，使用各自不同的指令集，想查看其P-list只能借助有針對性的專業(yè)的工具軟件來進行。 71n4. 系統(tǒng)調(diào)用內(nèi)部低級格式化程序，根據(jù)相應(yīng)的內(nèi)部參數(shù)進行內(nèi)部低級格式化。在內(nèi)部低級格式化過程中完成，對所有的磁道和扇區(qū)進行編號、信息重寫、清零等工作。在編號時，采用跳過（skipped）的