数据恢复技术详细概述

第1章数据恢复技术概述11.1数据存储技术总论信息时代的核心无疑是信息技术，而信息技术的核心则在于信息的处理与存储。随着数据量的剧增，数据存储技术已经面临着巨大的挑战。当我们每天关注CPU主频的不断提高，操作系统版本的不断升级和计算机网络技术的日新月异的时候，或许不应该忽略一个这样的事实，即无论信息处理技术多么的先进，我们都必须将信息存储于一定的介质之上，信息和信息技术本省都需要依托一定的存储介质而存在。2由于越来越多的信息成了电子信息，信息存储技术显得更加重要，特别是计算机网络应用的迅速增长更大大增加了对信息存储产品的需求量和对信息存储技术的安全性、可靠性的要求。根据3M公司对800名网络计算机用户的调查发现，每次硬盘的失效将造成5天以上的无效工作日。而在一个典型的商业应用中，重建1000MB数据平均要耗时3.5个月，费用为95000美元。由此可见，信息存储的安全对最终用户来说是何等重要。1.1数据存储技术总论31.1.1数据存储介质凡是仅有两种稳定的物理状态，能反便地检测出哪种稳定状态，两种稳定状态又容易相互转换的物质或元器件，都可以用来存储二进制代码“0”和“1”，这样的物质或元器件被称为存储介质或记录介质。存储介质不同，存储信息的机理也不同。4信息存储技术在近几年的发展非常迅速，各种新产品、新技术层出不穷，但从总体上看它们呈现出一种类似金字塔的结构，其中塔尖为CPU，距离CPU越近则存储速度越快、每兆字节的存储成本越昂贵，容量也越小；反之则存储速度越慢、每兆字节的存储成本越低，容量也越大。5计算机的存储设备从体系结构上看可分为内存储器和外存储器。内存储器（即内存）直接与计算机的CPU相连，处于金字塔的最上层。它的存取速度要求能与CPU相匹配，通常由半导体存储器芯片组成，由于成本高，容量通常不太大。而对于大量数据的保存通常要使用外存储器。外存储器又可以分成几个层次。6与内存储器相连接的是联机存储器（或称在线存储器），如硬磁盘机、磁盘阵列等。再下一层是后援存储器（或称近线存储器），它由存取速度比硬盘更慢的光盘机、光盘库、磁带库等设备组成。最底层是脱机存储器（或称离线存储器），由磁带机和磁带库等组成仓库。它的存取速度比较慢，仅是秒数量级，由于存储介质可脱机保存，可以更换，因此容量几乎是无限大。其层次关系如图1-1所示。7图1-1

存储金字塔结构8对于普通的个人电脑用户，使用硬盘、软盘和光盘等存储介质来进行数据存储就已经够用了，但对于商业用户和一些网络系统来说，磁带机、磁带库和光盘库则是必不可少的数据存储与备份设备，现在还有正在飞速发展的存储网络，提供更为方便的数据保存方式。下面我们先通过不同的存储介质来看一看当今市场上流行的主机信息存储技术，按其存储原理可以分为电存储技术，如内存、闪存等；磁存储技术，如磁带、磁盘等；光存储技术，如光盘、DVD等。9

电存储技术电存储技术主要是指半导体存储器SCM（SemiconductorMemory）。早期的SCM采用典型的晶体管触发器作为存储位元，加上选择、读写等电路构成存储器。现代的SCM采用超大规模集成电路工艺制成存储芯片，每个芯片中包含相当数量的存储位元，再由若干芯片构成存储器。10磁磁存存储储技技术术磁存存储储，，主主要要指指磁磁表表面面存存储储器器MSM（MagneticSurfaceMemory）。。磁表表面面存存储储器器是是用用非非磁磁性性金金属属或或塑塑料料作作基基体体，，在在其其表表面面涂涂敷敷、、电电镀镀、、沉沉积积或或溅溅射射一一层层很很薄薄的的高高导导磁磁率率、、硬硬矩矩磁磁材材料料的的磁磁面面，，用用磁磁层层的的两两种种剩剩磁磁状状态态记记录录信信息息““0””和““1””。基基体体和和磁磁层层合合称称为为磁磁记记录录介介质质。。依依记记录录介介质质的的形形状状可可分分别别称称为为磁磁卡卡存存储储器器、、磁磁带带存存储储器器、、磁磁鼓鼓存存储储器器和和磁磁盘盘存存储储器器。。计计算算机机中中目目前前广广泛泛使使用用的的MSM是磁磁盘盘和和磁磁带带存存储储器器。。11MSM通通过过磁磁记记录录介介质质作作高高速速旋旋转转或或平平移移，，借借助助于于软软磁磁材材料料制制作作的的磁磁头头实实现现读读写写，，由由于于是是机机械械运运动动方方式式，，所所以以存存取取速速度度远远低低于于SCM，，为为ms级级。。MSM的的存存储储位位元元是是磁磁层层上上非非常常小小的的磁磁化化区区域域，，可可以以小小至至20μμm2，，所所以以存存储储容容量量可可以以很很大大，，与与SCM相相比比，，每每位位价价格格低低得得多多，，因因此此广广泛泛用用作作辅辅存存。。12磁盘盘技技术术包包括括磁磁性性盘盘片片、、电电机机、、盘盘上上方方的的伸伸缩缩臂臂以以及及伸伸缩缩臂臂（（手手柄柄））上上的的磁磁头头。。电电机机带带动动磁磁盘盘旋旋转转，，伸伸缩缩臂臂在在盘盘上上移移动动，，磁磁头头进进行行读读盘盘或或写写盘盘操操作作。。读读盘盘时时，，磁磁头头检检测测盘盘表表面面磁磁性性的的变变化化，，将将其其转转化化为为0或或1的的数数据据组组。。写写盘盘时时，，通通过过磁磁头头改改变变盘盘上上数数据据的的磁磁性性，，如如正正、、负负极极分分别别与与0和和1相相对对应应。。13在外存储储器中，，硬盘存存储的存存取速度度最快，，因此它它最适合合于存储储那些需需要经常常访问的的和需要要快速访访问的程程序和文文件。对对于个人人用户来来说，硬硬盘是最最主要的的存储设设备，计计算机的的操作系系统、应应用程序序和重要要的数据据资料都都存储在在硬盘之之中，因因此要求求硬盘的的容量尽尽可能的的大，速速度越快快越好；；对于专专业用户户来说，，由于数数据丢失失将会给给他们带带来非常常大的损损失，所所以他们们除了要要求更高高的速度度、更大大的容量量之外，，对硬盘盘的容错错能力和和安全性性也有很很高的要要求。市场的需需求就是是未来技技术的发发展方向向，硬盘盘技术的的发展方方向正是是向着高高容量、、高速度度和高可可靠性的的方向发发展。14早期的硬硬盘仅有有几十兆兆，而且且价格昂昂贵。在在几年前前，一台台家用PC的标准配配置还是是420MB或1GB的硬盘。。现在，，100G、200G以上的硬硬盘都已已经大量量进入寻寻常百姓姓家。能能够产生生如此大大的飞跃跃主要得得益于硬硬盘的面面存储密密度的不不断提高高，现在在90mm（3.5英寸）的的商品盘盘单片容容量已达达20GB或更高，，130mm（5.25英寸）的的单片容容量达到到40GB或更高。。15在硬盘的的速度即即数据传传输率方方面，由由于市场场上的硬硬盘都带带有高速速缓存，，盘面读读出的数数据先被被送到缓缓存，再再从缓存存送到主主机内存存中，所所以目前前主要由由这两个个环节来来决定硬硬盘的速速度。从从盘面到到缓存的的内部传传输率等等于位存存储密度度乘以盘盘面的线线速度。。因此在在存储密密度一定定的情况况下，提提高硬盘盘转速可可以进一一步提高高内部传传输率。。现在主主流硬盘盘的转速速都已达达到了7200r/min，较高的的已经达达到10000r/min以上。由由于硬盘盘是一种种机电设设备，它它的转速速受到机机械结构构的制约约，因此此除非有有大的技技术变革革，否则则硬盘转转速的提提高将会会越来越越困难。。从缓存存到主机机内存的的外部传传输率则则与硬盘盘所采用用的外部部接口标标准有关关。16磁带存储储可以说说是最古古老的存存储方式式之一。。从1952年第一台台13mm（0.5英寸）磁磁带机在在IBM公司问世世以来，，它已经经走过了了50多年的历历史，积积累了大大量的使使用经验验和可靠靠性数据据。磁带带存储是是一种安安全的、、可靠的的、易用用的、效效费高的的数据备备份方法法。因为为磁带可可以从驱驱动器上上取出，，因此可可以实现现非现场场方式的的保存或或存放过过去版本本的数据据。磁带带存储系系统大都都易于操操作，甚甚至可以以作成无无人值守守的数据据备份和和磁带管管理。磁磁带的速速度虽然然比硬盘盘和光盘盘要慢，，但它也也能在相相对短的的时间内内（如一一个晚上上）备份份需要的的数据。。由于磁磁带的可可靠性很很高（实实践证明明，一盘盘磁带上上的数据据可以保保存30年以上）），而且且容量大大（以目目前的存存储技术术，一盘盘磁带压压缩后存存储容量量可达70GB,磁带库则则可扩展展到几十十TB的水平）），所以以它是当当之无愧愧的大容容量数据据备份的的首选存存储介质质。17光光存储技技术光盘存储储器ODM（OpticalDiskMemory）和MSM类似，也也是将用用于记录录的薄层层涂敷在在基体上上构成记记录介质质。不同同的是基基体的圆圆形薄片片由热传传导率很很小，耐耐热性很很强的有有机玻璃璃制成。。在记录录薄层的的表面再再涂敷或或沉积保保护薄层层，以保保护记录录面。记记录薄层层有非磁磁性材料料和磁性性材料两两种，前前者构成成光盘介介质，后后者构成成磁光盘盘介质。。ODM是目前辅辅存中记记录密度度最高的的存储器器，存储储位元区区域可小小至1μm2，存储容容量很大大且盘片片易于更更换。缺缺点是存存储速度度比硬盘盘低一个个数量级级。现已已生产出出与硬盘盘速度相相近的ODM，不久会会成为重重要的辅辅存。18目前我们们所能接接触的光光存储设设备有：：CD-ROM、CD-R、CD-RW、MO、DVD-ROM、DVD+RW、DVD-RW、DVD-RAM以及COMBO等。CD-ROM为只读光光盘，多多用于产产品发布布和电子子出版领领域；CD-R允许用户户自己写写CD，但只能能写一次次，可以以无限次次读，而而且与CD-ROM兼容；CD-RW为可多次次读写光光盘，它它采用CD-R的格式，，因此可可以与CD-R的刻录机机通用；；MO是永磁光光盘，可可以重复复读写，，具有很很高的可可靠性和和耐久性性，数据据保存可可长达100年。相应应的DVD产品可以以视为CD的后代。。此外，，多台光光盘机组组合在一一起有3种结构：：光盘库库、光盘盘塔和光光盘阵列列。它们们都是大大型的信信息存储储设备，，一般应应用在大大、中型型的网络络系统和和档案管管理系统统中。19在所有光光存储设设备中，，最基本本的产品品是CD。CD是CompactDisc的简简称，直直译就是是小型、、紧凑的的盘片。。其外径径为120mm，厚度度1.2mm，，如图1-2所所示。20图1-2光盘结构构21CD由光轨（（Track）组成。。光轨，，是光碟碟上一种种资料记记录的单单位。光光盘上储储存的信信息资料料按一定定规则排排列，其其形状像像一条条条“轨道道”，称称为“光光轨”。。光轨由由内至外外呈螺旋旋线形状状。数据据光盘内内从目录录（TOC，TableofContents）开始记记录起始始地址的的多个连连续的逻逻辑扇区区为一轨轨，而音音频光盘盘内一首首歌曲对对应一条条光轨，，因此，，一张光光盘中有有许多条条光轨。。光盘的的光轨最最多可达达99条，如图图1-3所示。22图1-3光盘光轨轨23光轨由一一系列记记录信息息位的信信息坑（（pit）与岸岸（land））组成。。其中，，光轨上上凹陷下下去的部部分称为为信息““坑”（（pit），没没有凹陷陷的部分分称为““岸”（（land），，又称““陆地””。“坑坑”和““岸”都都是记录录的信息息，如图图1-4所示。。24图1-4光盘信息息位25光道上凹凹凸交界界的跳变变沿均代代表数字字“1””，两个个边缘之之间代表表数字““0”。。“0””的个数数是由边边缘之间间的长度度决定的的。信息息读取时时，CD机的激激光头发发出一束束激光照照到CD盘的数数据面并并拾取由由凹痕反反射回来来的光信信号，由由此判别别记录的的是“1”或““0”（（图1-5）26图1-5CD盘的读出出原理27普通光盘盘凹痕宽宽约0.5μm，凹痕痕最小长长度约0.83μm，，光道间间距约1.6μm。。每张光光盘大约约包含8亿个凹凹痕，可可容纳高高达680MByte的数数据量，，因此光光盘的容容量很大大。28不同光盘盘其记录录密度是是不一样样的，如如图1-6所示示。图1-6CD光盘坑纹纹DVD光盘坑纹纹DVD-R光盘坑纹纹29CD-R预先在在盘片内内压制有有螺旋线线形状的的沟槽（（Groove），称称为“预预刻槽””，代替替光学轨轨道的““坑”。。刻录时时，CD-R盘盘片的沟沟槽内有有机染料料在激光光照射下下，形成成气泡，，这便是是“岸””（land））。气泡泡一旦形形成，就就不能恢恢复原状状，因此此，CD-R只只能一次次写入。。30光盘提供供了存储储和发布布大文件件的一个个非常耐耐久的方方法。与与音频CD相似,光盘驱动动器利用用低能量量的激光光在光盘盘表面上上读取微微小的变变化。因因为信息息记录在在盘面上上，所以以光盘容容易损坏坏。光盘盘的存储储容量比比软盘大大(为650MB)，存储费费用比硬硬盘低，，但光盘盘的访问问时间要要比硬盘盘慢2～6倍。光盘盘的这些些特点使使其非常常适合于于存储那那些大容容量的，，用硬盘盘存储费费用太高高，可以以离线操操作的数数据。31光盘存储储一般应应用在以以下几个个方面：：电子出版版物：作为信信息时代代的标志志之一，，电子出出版物正正在逐渐渐改变传传统的出出版行业业，而它它的存储储介质正正是光盘盘。一本本厚厚的的字典可可以被浓浓缩在一一张薄薄薄的光盘盘之中，，一部精精彩的故故事片可可以用一一张DVD所收藏，这些些变化无不加加快了信息的的传播，作为为存储介质的的光盘当然也也功不可没。。电子图像管理理：用计算机处处理的图像、、照片，其存存储容量一般般很大，可以以使用光盘将将它们存入计计算机系统的的在线存储器器中。光盘存存储同时也非非常适合于存存储工程图档档(如CAD图)、测绘图(如地图)和医学文档等等。档案管理：这是指数据据永久性的存存储。这些数数据并不经常常被访问，但但必须保留。。如某公司的的一个未被采采纳的产品设设计说明，因因为以后可能能需要使用。。备份管理：为防止文件件丢失或被破破坏经常需要要对系统和用用户文件进行行复制。光盘盘系统的容量量大，而且可可能包括一个个自动转换器器，因此对光光盘系统的复复制能节省操操作员加载介介质的费用。。321.2数据据恢复技术总总论1.2.1数据的内涵这里我们所说说的数据，只只指计算机数数据，后面不不再专门指出出。“数据”是一一个广泛的概概念，不仅包包括计算机文文件系统或数数据库系统中中存储的各种种数据、正文文、图形、图图像、声音等等形式的多媒媒体数据文件件、软件或各各种文档资料料，也包括存存放或管理这这些信息的硬硬件信息，如如计算机硬件件及其网络地地址、网络结结构、网络服服务等。331.2.2数数据恢复复的定义简单地说，数数据恢复就是是把遭受破坏坏、或由硬件件缺陷导致不不可访问或不不可获得、或或由于误操作作等各种原因因导致丢失的的数据还原成成正常数据，，即恢复至它它本来的“面面目”。数据恢复不仅仅对已丢失的的文件进行恢恢复，还可以以恢复物理损损伤的磁盘数数据，也可以以恢复不同操操作系统的数数据。34数据出现问题题主要包括两两大类：即逻辑问题和硬硬件问题，相对应的恢恢复也分别称称为软恢复和硬恢恢复。所谓软恢复复，指的是一一切可以通过过“软”的方方式进行的恢恢复，不涉及及硬件修理的的数据恢复操操作，其故障障原因不是硬硬件失效造成成的，如病毒毒感染、误格格式化、误分分区、误克隆隆、误操作、、网络删除、、操作时断电电等，软件现现象一般表现现为无操作系系统，读盘错错误，文件找找不到、打不不开，报告无无分区、无格格式化、密码码丢失、乱码码等；对应地地，一切涉及及到硬件修理理、由硬件损损坏或失效造造成的数据恢恢复均归入硬硬恢复，如磁磁道损坏、磁磁盘划伤、磁磁组损坏、主主电机损坏、、电路板芯片片及其它原器器件烧坏等，，硬件故障一一般表现为不不认盘，常有有一种“咔嚓嚓咔嚓”的磁磁组撞击声或或电机不转，，或通电后无无任何声音等等，两者之间最明明显的特征或或区别就是：：存储介质本身身是否不需要要进行修理或或更换部件就就可以正常的的进行访问。。当然，“正正常的进行访访问”也是一一个有级别的的问题，这里里先界定为低低级格式化程程序这一级别别，更详细的的区别在后面面作详细的介介绍。数据恢复是出出现问题之后后的一种补救措施，既不是预防防措施，也不不是备份，所所以，在一些些特殊情况下下数据将很难难被恢复，如如数据被覆盖盖、低级格式式化清零、磁磁盘盘片严重重损伤等。351.2.3数数据恢复的的服务范围造成数据丢失失的原因非常常多，常见的的主要有以下下9种。（1）恶意的程程序（2）其他恶意意的破坏（3）误操作（4）操作系统统或应用软件件的错误（5）硬件失效效（6）加密和权权限（7）掉电（8）内存溢出出（9）升级36数据出现问题题后会表现出出一些相应的的症状，主要要有以下几种种情况：1.不能进入系统统有时虽然CMOS检测硬盘正常常，但却启动动不了系统，，出现有提示示停机，或无无提示死机，，或者CMOS能检测到硬盘盘，而显示的的容量却不正正确。出现这这种情况的原原因有很多，，如MBR损坏、DBR损坏、电源质质量不合格、、数据线断线线、CMOS设置不正确、、主从设置不不正确、硬件件冲突、CMOS电池电压不足足等。37一般性的系统统无法启动可可能会有以下下一些提示。。（1）InvalidPartitionTable无效的分区信信息。一般是是因为分区信信息中1BE，1CE，1DE，1EE处不符合只有有一个80而其他为0的原则，用工工具设定解决决。（2）ErrorLoadingOperatingSystem主引导程序读读BOOT区5次仍不成功。。用工具重建建BOOT区解决。（3）MissingOperatingSystemDOS引导区的“55AA””标记丢失，或或DBR损坏，用工具具设定解决。。（4）Non-SystemDiskorDiskErrorBOOT区中的系统文文件名与根目目录中的前两两个文件不同同，用SYS命令重新传递递系统解决。。（5）DiskBootFailure读系统文件错错误，用SYS命令重新传递递系统解决。。38（6）InvalidDriverSpecification在试图切换到到一个确实存存在的逻辑分分区时出现该该信息，说明明主分区表的的分区记录遭遭到破坏。根根据各分区情情况重建分区区表，或者用用自动修复工工具修复。（7）Badormissingcommandinterpreter找不到COMMAND.COM，或者COMMAND.COM文件损坏。如如果拷贝正确确的COMMAND.COM文件后还是如如此，一般来来说是感染了了某种病毒。。（8）InvalidmediatypereadingdriveAbort，Retry，Fail？该盘没有高级级格式化，或或BOOT区中I/O参数表被破坏坏。（9）IncorrectDOSVersion可能是文件版版本不统一。。对Windows9x来说，有95，95OSR/2，98，98OEM/2等版本，重传传系统时，要要注意选用正正确版本的启启动盘。39（10）Primarymasterharddiskfail硬盘数据线、、电源线两者者至少有一个个没插好；或或硬盘跳线设设置变化，而而CMOS硬盘参数没做做相应修改。。插好连线，，或相应的修修改正确即可可。（11）NotFoundanyactivepartitioninHDD硬盘分区表中中的活动分区区标志80H被改成非活动动分区标志00H，用DiskEdit等工具修复为为80H即可。（12）Typethenameofthecommand，Interpreter…硬盘分区表中中的主DOS分区标志06H错误或COMMAND.COM丢失、损坏或或与其他两个个启动文件版版本不同，或或病毒破坏。。（13）DiskI/Oerror……主DOS引导记录中物物理硬盘标志志号错误，或或介质描述错错误。（14）Invalidsystemdisk或Failure…主DOS引导记录损坏坏。402.磁盘出现坏道道硬盘坏道分为为逻辑坏道和和物理坏道两两种。前者为为软坏道，通通常由软件操操作或使用不不当造成，可可用软件修复复；后者为物物理性坏道，，表明硬盘磁磁道产生物理理损伤，只能能通过更改硬硬盘分区或扇扇区的使用情情况来解决。。41出现下列情况况通常表明硬硬盘上存在坏坏道。（1）在打开、运运行或拷贝某某个文件时，，硬盘出现操操作速度变慢慢，长时间操操作仍不成功功或表现为长长时间死“啃啃”某一区域域，或同时出出现硬盘读盘盘异响，或干干脆Windows系统提示“无无法读取或写写入该文件””，这些都可可表明硬盘的的某部分出现现了坏道。（2）每次开机，，Scandisk磁盘扫描程序序都自动运行行。这肯定表表明硬盘上有有需要修复的的重要错误，，比如，坏道道。在运行该该程序时如不不能顺利通过过，表明硬盘盘肯定有坏道道；或扫描虽虽然也可通过过，但出现红红色的“B”标记，也表明明硬盘有坏道道。（3）电脑启动动时硬盘无无法引导，，用软盘或或光盘启动动后可看见见硬盘盘符符，但无法法对该区进进行操作；；或操作有有误；或干干脆就看不不见盘符；；都表明硬硬盘上可能能出现了坏坏道。具体体表现如开开机自检过过程中，屏屏幕提示““Harddiskdrivefailure”、“Harddrivecontrollerfailure”等类似信息息，则可以以判断硬盘盘驱动器或或硬盘控制制器有硬件件故障。读读写硬盘时时提示“Sectornotfound””或“GeneralerrorinreadingdriveC””等类似错误误信息，则则表明硬盘盘磁道出现现了物理损损伤。（4）电脑在正正常运行中中出现死机机或“该文文件损坏””等问题，，也可能和和硬盘坏道道有关。423.分区丢失找不到分区区，或进入入不了分区区。多由病病毒引起，，处理流程程在后面章章节中有详详细介绍。。4.文件丢失误删除、误误格式化等等。主要使使用工具软软件进行恢恢复。5.密码丢失6.文档打不开开或乱码文档修复也也是一个常常见的问题题。它是指指对某种应应用文档受受损不能打打开或打开开后乱码的的修复，是是广义数据据恢复的一一支。43文件和文档档一般意义上上讲，文件件是个通用用概念，存存储在存储储介质上的的所有内容容都可以称称为文件，，是相对操操作系统而而言的；而而文档一般般是指由各各种应用程程序创建的的特定类型型的文件，，一般都是是用户的数数据文件，，文档是特特定类型的的文件。文档修复文件由于数数据逻辑上上的原因，，对于操作作系统可见见，而相应应的应用程程序无法合合理、正确确地解释，，从而出现现诸如“文文件损坏无无法打开””或打开后后乱码等情情况，通过过纠错、重重新计算CRC校验、改正正不正确的的格式等手手段，解决决这些问题题的过程，，称为文档档修复。441.2.4数据恢恢复的一般般原则数据安全是是个过程，，而且，它它是个动态态的过程。。因为安全产产品/方案是静态态的，而安安全本身是是过程，是是动态的。。用静态的的东西去应应对动态的的过程，显显然达不到到用户所期期待的效果果。这就是是为什么所所有的解决决方案都不不能做到万万无一失的的原因。数据安全到到底是什么么？45进行数据恢恢复，首要的一点点就是认真真细致，对每一步步操作都有有一个明确确的目的。。因为数据据安全既然然是一个动动态的过程程，那么，，所出现的的问题就是是千差万别别的，是没没有定式可可言的。所所以，在进进行操作之之前就考虑虑好做完该该步之后能能达到什么么目的，可可能造成什什么后果，，能不能回回退至上一一状态。特特别是对于于一些破坏坏性操作，，一定要考考虑周到，，只要条件件允许，就就一定要在在操作之前前进行备份份，对每一一步操作都都有相应的的记录，并并能回退到到上一状态态。46在开始恢复复数据之前前，应该首首先完成以以下几个步步骤。（1）备份当前前尚能工作作的驱动器器上的所有有数据。如如果C盘损坏，那那么，在开开始任何工工作之前首首先备份D盘（及其他他盘）上的的数据到其其他可靠的的地方。（2）将损坏的的硬盘拿到到一个正常常工作的同同样的操作作系统下，，如果条件件不允许，，取下该硬硬盘，安装装一个新的的主硬盘，，在重新挂挂上损坏硬硬盘之前对对主硬盘分分区并格式式化，确信信立即更改改CMOS设置。（3）调查使用用者。查出出在丢失数数据之前发发生的事情情，查出是是否有其他他的应用程程序对磁盘盘进行过操操作。最后后的用户输输入非常重重要，要查查出使用者者在送交磁磁盘前做过过些什么，，虽然他并并没有说出出来。47（4）如果可能能，备份所所有扇区是是一个非常常不错的方方法。按文文件进行的的转存在这这里没有任任何的帮助助。如果进进行克隆，，确保是按按位进行而而不是按文文件进行。。大部分的的镜像软件件在这里都都没有什么么意义，包包括Ghost，DriveImage和DriveCopy。（5）手头要有有一个好的的扇区编辑辑工具，如如WinHex就是一款不不错的基于于扇区的编编辑工具。。（6）尽可能多多的得到最最后使用者者的关键文文件的信息息。了解完这些些信息后，，就该有一一个基本轮轮廓：如为为什么会出出现这个问问题，破坏坏程度如何何，使用什什么工具能能达到最好好的效果，，其主要步步骤有哪些些等。另外要记住住的是：先先抢救最有有把握的数数据，恢复复一点，备备份一点！！481.3硬硬盘数据恢恢复与硬盘盘修理的区区别与联系系硬盘数据恢恢复与硬盘盘修理的最最直接的区区别就是，，他们的目目的不一样样，硬盘数数据恢复是是为了得到到硬盘上的的数据，而而硬盘修理理是为了让让硬盘能够够重新正常常的工作，，单纯的硬硬盘修理是是不考虑其其上存储的的数据的，，如很多硬硬件厂商的的保修条款款那样，硬硬盘出现问问题，可以以免费修理理或更换，，但是对其其上存储的的数据不进进行任何的的处理，其其数据的处处理权在用用户自己。。然而两者者之间也不不是完全的的独立，因因为有些时时候要恢复复数据，需需要先对硬硬盘进行处处理，当然然，这时的的硬盘处理理已经不是是单纯的修修理硬件，，而是为了了获得其中中的数据，，并且，该该过程甚至至是一个破破坏性的处处理过程。。注意这里里所说的处处理与修理理的含义上上的区别。。硬盘修理理与硬盘数数据恢复的的关系如图图1-7所示，其他他介质亦然然。49硬盘数据恢复硬盘修理先修理然后修复数据图1-7

硬盘数据恢复与硬盘修理的关系50另外，硬件件的修理与与数据恢复复的代价也也不一样，，其关系如如表1-2所示：表1-2硬件的修理理与数据恢恢复比较511.4硬硬盘数据保保护方式介介绍目前对于数数据的重要要性一般用用户都有认认识，出了了问题后即即使没有重重要的数据据需要恢复复，但重构构系统也是是一个十分分费时费力力的事情，，因此，就就涌现了大大量的硬盘盘保护方式式，或拦截截中断，对对硬盘数据据进行保护护，或采用用镜像方式式，对硬盘盘数据进行行备份。这这些方式概概括起来说说主要有以以下几种：：操作系统统提供的系系统还原、、随机赠送送的系统恢恢复光盘、、GHOST、杀毒软件件提供的系系统备份、、硬盘保护护卡（还原原卡）、主主板BIOS内置的系统统保护、虚虚拟还原工工具软件等等。52这些保护方方式与数据据恢复技术术最本质的的区别是：数据恢复是是对出现问问题的系统统或存储介介质上的数数据进行恢恢复，而数数据保护虽虽然也是为为了保护系系统或数据据，但它们们都是一种种预防措施施。当然，如果果预防措施施做的好，，不出现问问题，那是是最好不过过的了，但但是，使用用这些工具具也有很大大的缺陷，，因为毕竟竟，这些保保护方式不不是万能的的，它无形形中又增加加了用户的的操作，既既然是操作作，就一定定不可避免免误操作，，这是其一一，其二，，它们都建建立在硬件件正常的基基础之上，，如果硬件件出现问题题，它们只只会使事情情更加糟糕糕。当然这这样说不是是说它们不不好，它们们对用户数数据的保护护是有目共共睹的，但但是，从其其机理来看看，它们都都对操作系系统或硬盘盘关键数据据区动过手手脚，所以以，不出现现问题则已已，一旦出出现问题，，就必然会会大大增加加数据恢复复的难度和和工作量。。531.4.1操作系系统提供的的系统还原原操作系统提提供的系统统还原是目目前使用的的较多的一一种保护方方式。微软软从WindowsME开始提供该该功能，在在Windows2000中取消了这这一功能，，而在WindowsXP中又强化了了这一功能能。该功能的优优缺点都很很明显，优优点是操作作系统自带带，免费，，不存在兼兼容性问题题，使用也也很方便，，缺点是只只恢复操作作系统数据据，对用户户数据无效效，且Windows2000没有该功能能。另外其其致命缺陷陷是操作系系统本身不不能崩溃，，对硬件失失效无效。。541.4.2GHOST使用GHOST对磁盘或磁磁盘分区做做镜像，可可能是最早早的操作系系统全盘（（或逻辑盘盘）备份方方式，曾经经辉煌了一一个时代。。最早的GHOST不兼容NTFS分区，现在在的版本早早就解决了了这个问题题，可以说说，它是爱爱折腾机器器和操作系系统的DIY们的最爱。。由于只能在在DOS下对系统进进行镜像，，所以其缺缺点是很明明显的，它它只能是一一种静态备备份。551.4.3杀毒软软件提供的的系统备份份有些杀毒软软件提供有有备份功能能，如瑞星星提供有系系统重要数数据备份功功能，且可可采用增量量备份方式式，以加快快备份速度度。采用超超容压缩数数据保护技技术，无须须用户干预预，定时自自动保护电电脑系统中中的核心数数据，即使使在硬盘数数据遭到病病毒破坏，，甚至格式式化硬盘后后，都可以以迅速恢复复硬盘中的的宝贵数据据。很显然，这这种备份方方式是远远远不够的。。561.4.4硬盘保保护卡现在有很多多厂商生产产和销售称称为硬盘保保护卡的一一类设备，，有ISA接口，也有有PCI接口，由于于ISA接口已经淘淘汰，所以以以PCI接口口最最为为常常见见。。硬硬盘盘保保护护卡卡具具有有不不占占硬硬盘盘空空间间（（实实际际是是需需要要占占用用硬硬盘盘空空间间的的））、、支支持持多多种种数数据据还还原原方方式式、、安安装装和和使使用用过过程程中中不不需需软软盘盘等等特特点点，，简简化化了了机机房房管管理理工工作作，，所所以以这这类类产产品品非非常常丰丰富富，，大大量量见见于于机机房房、、网网吧吧等等公公用用机机处处。。571.4.5主主板板BIOS内内置置的的系系统统保保护护在有有些些主主板板的的BIOS中，，内内置置有有系系统统保保护护软软件件，，如如联联想想的的““宙宙斯斯盾盾””（（RecoveryEasy）和和捷捷波波的的““恢恢复复精精灵灵””（（RecoveryGenius）等等都都是是这这类类工工具具。。实实际际上上它它们们都都是是系系统统还还原原卡卡的的另另外外一一种种形形式式，，相相当当于于将将这这个个备备份份恢恢复复程程序序移移植植到到主主板板BIOS中。。联想想的的““宙宙斯斯盾盾””;捷波波的的““恢恢复复精精灵灵””;奔驰驰主主板板的的““数数据据保保险险柜柜””.581.4.6虚虚拟拟还还原原工工具具软软件件“虚虚拟拟还还原原””的的运运作作原原理理与与硬硬盘盘保保护护卡卡比比较较类类似似，，可可备备份份整整个个硬硬盘盘内内的的资资料料。。“虚虚拟拟还还原原””设设有有永永久久还还原原点点和和动动态态还还原原点点两两种种备备份份方方法法，，简简单单的的说说，，永永久久还还原原点点就就是是将将整整个个硬硬盘盘的的内内容容都都备备份份起起来来，，动动态态还还原原点点就就是是将将当当前前硬硬盘盘内内容容与与最最新新永永久久还还原原点点之之间间的的差差异异备备份份起起来来。。所所以以，，在在建建立立动动态态还还原原点点之之前前必必须须先先建建立立永永久久还还原原点点。。“还原原精精灵灵”是一一款款提提供供““虚虚拟拟还还原原””的的工工具具软软件件，，号号称称是是软软件件做做的的““硬硬盘盘保保护护卡卡””，，其其原原理理也也和和硬硬盘盘保保护护卡卡的的原原理理相相类类。。591.4.7硬硬盘盘保保护护与与数数据据恢恢复复硬盘盘保保护护产产品品还还有有很很多多，，也也不不断断的的有有新新品品出出现现，，但但不不管管是是采采用用哪哪种种方方式式，，或或者者是是静静态态备备份份，，或或者者是是动动态态备备份份，，都都脱脱不不了了备备份份这这个个本本质质，，即即使使是是动动态态备备份份，，也也不不可可能能是是实实时时备备份份，，即即使使将将来来技技术术进进步步了了，，做做到到实实时时备备份份，，它它也也只只是是一一个个备备份份手手段段，，是是建建立立在在存存储储系系统统正正常常工工作作基基础础之之上上的的备备份份手手段段，，永永远远不不可可能能代代替替数数据据恢恢复复技技术术，，另另外外这这种种保保护护也也不不是是绝绝对对的的，，现现在在已已经经有有很很多多种种方方法法可可以以避避过过这这种种保保护护方方式式，，而而且且，，多多了了一一步步操操作作，，就就必必然然不不可可避避免免会会增增加加误误操操作作的的机机率率，，如如误误还还原原，，就就会会造造成成还还原原点点之之后后所所有有的的工工作作全全部部丢丢失失。。当当然然，，有有些些误误操操作作可可以以通通过过数数据据恢恢复复技技术术寻寻找找回回来来，，但但有有些些误误操操作作会会造造成成数数据据从从此此““魂魂飞飞魄魄散散””。。601.5硬硬盘盘缺缺陷陷1.5.1硬硬盘盘缺缺陷陷介介绍绍在这这里里，，暂暂不不探探讨讨在在各各种种操操作作系系统统下下硬硬盘盘中中的的数数据据结结构构问问题题及及数数据据恢恢复复问问题题，，而而是是直直接接探探讨讨硬硬盘盘本本身身的的缺缺陷陷问问题题。。在硬硬盘盘内内部部中中所所有有存存在在缺缺陷陷的的部部分分都都被被称称为为Defect（缺缺陷陷））。。如如果果某某个个磁磁头头状状态态不不好好，，则则这这个个磁磁头头为为Defecthead。如如果果盘盘面面上上某某个个Track（磁磁道道））不不能能正正常常访访问问，，则则称称这这个个Track为DefectTrack，如如果果某某个个扇扇区区不不能能被被正正常常访访问问或或不不能能正正确确记记录录数数据据，，则则该该扇扇区区也也称称为为DefectSector，可可以以认认为为Badsector等同同于于Defectsector。从从总总的的来来说说，，某某个个硬硬盘盘只只要要有有一一部部分分存存在在缺缺陷陷，，不不能能完完全全正正常常工工作作，，就就称称这这个个硬硬盘盘为为Defectharddisk。61通常常可可将将硬硬盘盘的的缺缺陷陷分分为为六六大大类类：：①坏扇区（（Badsector），也称称缺陷扇扇区（Defectsector）②磁道伺服服缺陷（（TrackServodefect）③磁头组件件缺陷（（Headsassemblydefect）④系统信息息错乱（（Serviceinformationdestruction）⑤电子线路路缺陷（（Theboardofelectronicsdefect）⑥综合性能能缺陷（（Complexreliabilitydefect）621.坏扇区（（也称缺缺陷扇区区）指不能被被正常访访问或不不能被正正确读写写的扇区区。一个个扇区能能存储512Bytes的数据，，如果在在某个扇扇区中有有任何一一个字节节不能被被正确读读写，则则这个扇扇区为Badsector。除了存存储512Bytes外，每个个扇区还还有数十十个Bytes信息，包包括标志志信息、、校验码码、地址址信息等等。这些些信息任任何一个个字节出出错都会会导致该该扇区变变“Bad””。例如，，在低级级格式化化的过程程中每个个扇区都都分配有有一个编编号，写写在ID中。如果果ID部分出错错就会导导致这个个扇区无无法被访访问到，，则这个个扇区属属于Badsector。一般表表现为：：高级格格式化后后发现有有“坏簇簇（BadClusters）；用SCANDISK等工具检检查发现现有“B”标记；或或用某些些检测工工具发现现有“扇扇区错误误提示””等。有有一些Badsector能够通过过低级格格式化重重写这些些信息来来纠正。。632.磁道伺服服缺陷现在的硬硬盘大多多采用嵌嵌入式伺伺服，硬硬盘中每每个正常常的物理理磁道都都嵌入有有一段或或几段信信息作为为伺服信信息，以以便磁头头在寻道道时能准准确定位位及辨别别正确编编号的物物理磁道道。如果果某个物物理磁道道的伺服服信息受受损，该该物理磁磁道就可可能无法法访问，，这就是是“磁道道伺服缺缺陷”。。一般表表现为，，分区过过程非正正常中断断；格式式化过程程无法完完成；用用检测工工具检测测时，中中途退出出或死机机等等。。643.磁头组件件缺陷指硬盘中中磁头组组件的某某部分不不正常，，造成部部分或全全部物理理磁头无无法正常常读写的的情况。。包括磁磁头磨损损、磁头头接触面面脏、磁磁头摆臂臂变形、、音圈受受损、磁磁铁移位位等。一一般表现现为通电电后，磁磁头动作作发出的的声音明明显不正正常，硬硬盘无法法被系统统BIOS检测到；；无法分分区格式式化；格格式化后后发现从从前到后后都分布布有大量量的坏簇簇等等。。654.系统信息息错乱每个硬盘盘内部都都有一个个系统保保留区（（servicearea），里面面分成若若干模块块保存有有许多参参数和程程序。硬硬盘在通通电自检检时，要要调用其其中大部部分程序序和参数数。如果果能读出出这些程程序和参参数模块块，而且且校验正正常，硬硬盘就进进入准备备状态。。如果某某些模块块读不出出或校验验不正常常，则该该硬盘就就无法进进入准备备状态。。一般表表现为，，PC系统的BIOS无法检测测到该硬硬盘或检检测到该该硬盘却却无法对对它进行行读写操操作。如如某些系系列硬盘盘的常见见问题：：美钻二二代系列列硬盘通通电后，，磁头响响一声，，马达停停转；Fujitsu某系列产产品在通通电后，，磁头正正常寻道道，但BIOS却检测不不到；火火球系列列，系统统能正常常认出型型号，却却不能分分区格式式化；WesternDigital的EB、BB系列，能能被系统统检测到到，却不不能分区区格式化化等等。。665.电子线路路缺陷指硬盘的的电子线线路板中中部分线线路断路路或短路路，某些些电气元元件或IC芯片损坏坏等。有有些可以以通过观观察线路路板发现现缺陷所所在，有有些则要要通过仪仪器测量量后才能能确认缺缺陷部位位。一般般表现为为硬盘在在通电后后不能正正常起转转，或者者起转后后磁头寻寻道不正正常等等等。676.综合性能能缺陷有些硬盘盘在使用用过程中中部分芯芯片特性性改变；；或者有有些硬盘盘受震动动后物理理结构产产生微小小变化（（如马达达主轴受受损）；；或者有有些硬盘盘在设计计上存在在缺陷……最终导致致硬盘稳稳定性差差，或部部分性能能达不到到标准要要求。一一般表现现为，工工作时噪噪音明显显增大；；读写速速度明显显太慢；；同一系系列的硬硬盘大量量出现类类似故障障；某种种故障时时有时无无等等。。681.5.2出出厂处处理硬盘工工厂在在生产产硬盘盘时都都有一一个基基本的的处理理流程程：1.在生产产线上上装配配硬盘盘的硬硬件部部分，，用特特别设设备往往盘片片上写写入伺伺服信信号（（Servowrite）。2.格式化化硬盘盘的系系统保保留区区（servicearea），并并向系系统保保留区区写入入程序序模块块和参参数模模块。。系统统保留留区一一般位位于硬硬盘0物理面面的最最前面面几十十个物物理磁磁道。。写入入的程程序模模块一一般用用于硬硬盘内内部管管理，，如低低级格格式化化程序序、加加密解解密程程序、、自监监控程程序、、自动动修复复程序序等等等。写写入的的参数数多达达近百百项：：如型型号、、系列列号、、容量量、口口令、、生产产厂家家与生生产日日期、、配件件类型型、区区域分分配表表、缺缺陷表表、出出错记记录、、使用用时间间记录录等等等，数数据量量从几几百KB到几MB不等。。有些些参数数一经经写入入就不不再改改变，，如型型号、、系列列号、、生产产时间间等；；而有有些参参数则则可以以在使使用过过程中中由内内部管管理程程序自自动修修改，，如出出错记记录、、使用用时间间记录录等。。也有有些专专业的的维修修人员员可以以借助助专业业的工工具软软件，，随意意读取取、修修改写写入硬硬盘中中的程程序模模块和和参数数模块块。693.将所使使用的的盘片片表面面按物物理地地址全全面扫扫描，，检查查出所所有的的缺陷陷磁道道和缺缺陷扇扇区，，并将将这些些缺陷陷磁道道和缺缺陷扇扇区按按实际际物理理地址址记录录在永永久缺缺陷列列表（（P-list：Permanentdefectlist）中。。这个个扫描描过程程非常常严格格，能能把不不稳定定不可可靠的的磁道道和扇扇区也也检查查出来来，视视同缺缺陷一一并处处理。。现在在的硬硬盘密密度极极高，，盘片片生产产过程程再精精密也也很难难完全全避免免缺陷陷磁道道或缺缺陷扇扇区。。一般般新硬硬盘的的P-list中都有有少则则数百百，多多则上上万个个缺陷陷记录录。P-list保留在在系统统保留留区中中，一一般用用户无无法查查看或或修改改。如如果是是SCSI硬盘的的话可可以找找到多多种通通用软软件查查看到到P-list，因为为各种种牌子子的SCSI硬盘使使用兼兼容的的SCSI指令集集。而而不同同牌子子不同同型号号的IDE硬盘，，使用用各自自不同同的指指令集集，想想查看看其P-list只能借借助有有针对对性的的专业业的工工具软软件来来进行行。704.系统调调用内内部低低级格格式化化程序序，根根据相相应的的内部部参数数进行行内部部低级级格式式化。。在内内部低低级格格式化化过程程中完完成，，对所所有的的磁道道和扇扇区进进行编编号、、信息息重写写、清清零等等工作作。在在编号号时，，采用用跳过过（skipped）的方方法忽忽略掉掉记录录在P-list中的缺缺陷磁磁道和和缺陷陷扇区区，保保证以以后用用户不不会也也不能能使用用到那那些缺缺陷磁磁道和和缺陷陷扇区区。因因此，，新硬硬盘在在出售售时是是无法法检测测到缺缺陷的的。如如果是是返修修的硬硬盘，，一般般就在在厂家家特定定的维维修部部门进进行检检测维维修。。711.5.3硬硬盘高高级修修理如果不不在硬硬盘工工厂中中，对对普通通用户户或维维修人人员来来说，，又如如何处处理硬硬盘的的缺陷陷呢？？前面面已经经把硬硬盘的的缺陷陷分为为六大大类，，自然然不同同类型型的缺缺陷要要用不不同的的处理理方法法。721.对于综综合性性能缺缺陷，一般般涉及及到稳稳定性性问题题，用用户随随时有有丢失失数据据的危危险，，可以以说是是“用用之担担惊，，弃之之可惜惜”。。维修修人员员很难难从根根本上上解决决问题题，建建议用用户还还是趁趁早更更换硬硬盘。。2.对于磁磁头组组件缺缺陷，解决决办法法是更更换磁磁头组组件，，这对对设备备及环环境要要求较较高，，维修修成本本也很很高。。除非非是要要求恢恢复其其中的的数据据，否否则不不值得得进行行修复复。有有条件件的维维修公公司可可以在在百级级净化化室中中更换换硬盘盘的磁磁头组组件，，对数数据进进行拯拯救。。733.对于线线路缺缺陷，一般般要求求维修修人员员有电电子线线路基基础，，要有有测试试线路路的经经验和和焊接接芯片片的设设备，，当然然还要要有必必需的的配件件以备备更换换。目目前许许多专专业维维修硬硬盘的的公司司都有有条件件解决决这类类缺陷陷。对对普通通用户户而言言，最最简单单的判判别和和解决决办法法是找找一个个相同同的正正常线线路板板换上上试试试。4.对于系系统信信息错错乱，需要要有专专业的的工具具软件件才能能解决决。首首先要要找个个与待待修硬硬盘参参数完完全相相同的的正常常硬盘盘，读读出其其内部部所有有模块块并保保存下下来；；检查查待修修硬盘盘的系系统结结构，，查到到出错错的模模块，，并将将正常常模块