硬盤數(shù)據(jù)恢復(fù)技術(shù)初探

宋立洪

摘要：硬盤作為大眾最常用的存儲工具，其數(shù)據(jù)的丟失必然導(dǎo)致用戶的重大損失。通過分析硬盤數(shù)據(jù)丟失的原因和數(shù)據(jù)存儲原理，提出解決硬盤邏輯故障下數(shù)據(jù)丟失的恢復(fù)方法。

關(guān)鍵詞：硬盤故障；數(shù)據(jù)存儲；數(shù)據(jù)恢復(fù)

中圖分類號：TP334文獻(xiàn)標(biāo)識碼：A文章編號：1009-3044(2012)26-6388-03

Preliminary Exploration of Hard Disk Data Recovery Technology

SONG Li-hong

(Anhui Radio & TV University, Hefei 230022, China)

Abstract: As the most commonly used storage tools, hard disk data loss will inevitably lead to a significant loss of the user. Here, firstly, we analyze the reasons for hard disk data loss and then giving the principle of data storage. Finally, we put forward some re? covery methods to solve the problem of data loss under hard disk logic failure.

Key words: hard disk failure; data storage; data recovery

隨著電磁技術(shù)的飛速發(fā)展，硬盤容量呈幾何級增長，主流產(chǎn)品已從最初的幾M發(fā)展到目前的1T，作為大眾最常用的存儲工具，因各種原因?qū)е掠脖P數(shù)據(jù)的丟失，必然導(dǎo)致用戶蒙受重大損失，如何采取有效措施，及時有效地恢復(fù)數(shù)據(jù)文件，顯得尤為重要。下面就從硬盤數(shù)據(jù)丟失的原因、數(shù)據(jù)存儲原理以及恢復(fù)方法等幾個方面進(jìn)行探討。

1硬盤數(shù)據(jù)丟失的原因

造成硬盤數(shù)據(jù)丟失的原因，可以分為物理故障和邏輯故障兩種。物理故障主要是指由于硬盤自身硬件損壞導(dǎo)致硬盤無法識別、運轉(zhuǎn)及存取數(shù)據(jù)。物理故障常見種類及癥狀，主要有以下幾種，即磁頭故障、IDE端口或連接電纜故障、電路板故障、硬盤壞道等幾種。

磁頭故障主要表現(xiàn)在開機(jī)無法自檢，并且硬盤因為開機(jī)一直無法尋道而發(fā)出“咔嚓”的異聲，同時磁頭臂的來回擺動會導(dǎo)致盤片劃傷，加劇數(shù)據(jù)恢復(fù)的難度。磁頭故障只能在百級超凈無塵環(huán)境打開盤體更換磁頭，才能提取數(shù)據(jù)。

IDE端口或連接電纜故障（包括斷針斷線等）主要表現(xiàn)在系統(tǒng)無法從硬盤啟動，在CMOS中也檢測不到硬盤的存在?？赏ㄟ^重新插接硬盤電纜或者改換IDE口及電纜等進(jìn)行替換試驗，確定故障原因。當(dāng)系統(tǒng)中存在多種設(shè)備，包括多塊硬盤之間或硬盤和CDROM等設(shè)備之間是否存在沖突，則還需要檢查硬盤的跳線設(shè)置情況，以免因為跳線設(shè)置錯誤而導(dǎo)致系統(tǒng)無法檢測到硬盤的存在。

電路板故障主要表現(xiàn)在通電后沒有任何反應(yīng)，板子上的元器件有燒壞的痕跡，包括主板損壞、芯片及其他原器件燒壞等。在確定盤體沒有短路的情況下，可以更換電路板。

硬盤出現(xiàn)壞道主要表現(xiàn)在系統(tǒng)無法啟動，或者分區(qū)及文件夾無法打開，或者在讀取某一文件或運行某一程序時，硬盤反復(fù)讀盤且出錯，或者要經(jīng)過很長時間才能成功，同時硬盤會發(fā)出異樣的雜音。此時，如果強(qiáng)行加電會導(dǎo)致壞道增多?？捎谩癝CANDISK”掃描硬盤，如果程序提示有了壞道，首先應(yīng)該重新使用各品牌硬盤自己的自檢程序進(jìn)行完全掃描。如是邏輯壞道可通過檢查修復(fù)，但是想徹底將邏輯壞道修復(fù)，必須重新分區(qū)和格式化，因此，要先將數(shù)據(jù)備份到好的硬盤上，然后在好的硬盤上恢復(fù)數(shù)據(jù)。如是物理壞道，雖然可以通過將壞道作上標(biāo)記，同時劃分一個專門的區(qū)給物理壞道，不用于存取文件，但是由于物理壞道具有“傳染性”，建議及時更換。

硬盤盤體故障維修也需要在百級超凈無塵環(huán)境，并使用專門的設(shè)備才能對數(shù)據(jù)進(jìn)行恢復(fù)。通常發(fā)生此種故障后，恢復(fù)數(shù)據(jù)都是利用激光束對磁碟的盤片表面進(jìn)行掃描，盤片的磁信號反映到激光束的信號，通過專門的設(shè)備將掃描后的獲取的磁盤信息傳到電腦上，利用專門的軟件進(jìn)行分析后得到非常高的數(shù)據(jù)回復(fù)率。此種方法對于有物理壞道的數(shù)據(jù)具有恢復(fù)能力。對于數(shù)據(jù)被多次覆蓋、全盤清零、低格等的硬盤，也可采用“深層信號還原”的方法恢復(fù)數(shù)據(jù)。由于硬盤的物理介質(zhì)是晶體，對于多次讀寫會在晶體介質(zhì)的深層保留痕跡，通過不同波長、不同強(qiáng)度的射線對晶體照射后，獲取的不同的反射、折射信號，分析這些信號就能讀取不同深度下保留在晶體介質(zhì)上的數(shù)據(jù)，進(jìn)而恢復(fù)相應(yīng)的數(shù)據(jù)。通過這種辦法可以恢復(fù)被覆蓋4、5次的數(shù)據(jù)。[1]

大部分硬盤物理故障的維修條件要求較高，在實際操作中難以實現(xiàn)，而現(xiàn)實中用戶大量的硬盤數(shù)據(jù)丟失是由于邏輯故障造成的，如誤格式化、誤分區(qū)、病毒感染、系統(tǒng)錯誤導(dǎo)致文件丟失、甚至意外斷電等導(dǎo)致的數(shù)據(jù)丟失。下面我們首先了解一下數(shù)據(jù)的存儲原理，并重點解決硬盤發(fā)生邏輯故障時數(shù)據(jù)的恢復(fù)問題。

2數(shù)據(jù)存儲原理

硬盤的數(shù)據(jù)結(jié)構(gòu)是由MBR（主引導(dǎo)區(qū)）、OBR（操作系統(tǒng)引導(dǎo)區(qū)）、FAT（文件分配表區(qū)）、DIR（根目錄區(qū)）和DATA（數(shù)據(jù)區(qū)）五個部分組成，見圖1。

主引導(dǎo)扇區(qū)包括硬盤主引導(dǎo)記錄MBR和硬盤分區(qū)表DPT。主引導(dǎo)記錄是檢查分區(qū)表是否正確以及確定哪個分區(qū)為引導(dǎo)分區(qū)，并在程序結(jié)束時，將操作系統(tǒng)的引導(dǎo)扇區(qū)調(diào)入內(nèi)存執(zhí)行；硬盤分區(qū)表則存儲了硬盤的分區(qū)信息。計算機(jī)啟動時將讀取該扇區(qū)的數(shù)據(jù)，并對其合法性進(jìn)行判斷，如合法則跳轉(zhuǎn)執(zhí)行該扇區(qū)的第一條指令。所以硬盤主引導(dǎo)扇區(qū)中的分區(qū)表常常成為病毒攻擊的對象，導(dǎo)致硬盤分區(qū)信息被損壞。

操作系統(tǒng)引導(dǎo)扇區(qū)包括引導(dǎo)程序和本分區(qū)參數(shù)記錄表BPB，是操作系統(tǒng)可直接訪問的第一個扇區(qū)。引導(dǎo)程序主要判斷本分區(qū)根目錄前兩個文件是否為操作系統(tǒng)的引導(dǎo)文件，如是，則把第一個文件讀入內(nèi)存，并把控制權(quán)交予該文件。BPB參數(shù)塊記錄著本分區(qū)的起始扇區(qū)、結(jié)束扇區(qū)、文件存儲格式、硬盤介質(zhì)描述符、根目錄大小、FAT個數(shù)、簇的大小等重要參數(shù)。

文件分配表FAT是操作系統(tǒng)的文件尋址系統(tǒng)，用于記錄磁盤空間的分配情況，指示硬盤數(shù)據(jù)信息存放的柱面及扇區(qū)的信息指針。

根目錄區(qū)DIR緊接在第二FAT表之后,記錄著每個文件（目錄）的起始單元、文件的屬性等。定位文件位置時，操作系統(tǒng)根據(jù)DIR中的起始單元，配合FAT表就可以準(zhǔn)確定位文件在磁盤的具體位置及大小了。文件根目錄表FDT用于記錄磁盤上存儲文件的大小、位置、日期和時間等數(shù)據(jù)。

數(shù)據(jù)區(qū)DATA中的數(shù)據(jù)以簇為分配單位在硬盤中隨機(jī)存放。文件存儲時先在文件目錄表中存儲每一個文件的起始單元和文件屬性，然后再在文件分配表中記錄文件所占用的簇號和空間，最后才在數(shù)據(jù)區(qū)中存入文件數(shù)據(jù)。而文件讀取時，操作系統(tǒng)先從目錄區(qū)中讀取文件信息（包括文件名、文件大小、文件在數(shù)據(jù)區(qū)保存的第一個簇的簇號等），根據(jù)簇號讀取相應(yīng)的數(shù)據(jù)，再查看是否有文件結(jié)束標(biāo)志，然后讀取文件所占用的簇號，最后讀取文件的屬性。

了解了硬盤的數(shù)據(jù)存儲原理后，就可以根據(jù)邏輯故障發(fā)生的狀況確定相應(yīng)的數(shù)據(jù)恢復(fù)方法。對于邏輯故障造成的硬盤數(shù)據(jù)恢復(fù)的重點應(yīng)放在與恢復(fù)關(guān)聯(lián)性較差，變化性強(qiáng)的用戶數(shù)據(jù)。

3硬盤數(shù)據(jù)恢復(fù)的方法

3.1誤刪除后的數(shù)據(jù)恢復(fù)

當(dāng)執(zhí)行刪除文件的操作時，系統(tǒng)將目錄區(qū)該文件的第一個字符改為“E5H”，同時將文件所在的文件簇在文件分配表中對應(yīng)的表項值全部置“0”，見圖2。系統(tǒng)檢測文件分配表中相應(yīng)位置值為“0”，認(rèn)為可以寫入新數(shù)據(jù)。因此，只要不向該扇區(qū)寫入數(shù)據(jù)，則原硬盤數(shù)據(jù)并沒有被真正刪除。[2]通過一些恢復(fù)數(shù)據(jù)的軟件如EasyRecovery、FinaData、DiskGenius等，可以通過對照分區(qū)表，恢復(fù)空閑列表中收回的刪除文件的數(shù)據(jù)簇。

圖2

當(dāng)硬盤中的原有數(shù)據(jù)被新數(shù)據(jù)多次覆蓋，基本上也沒有恢復(fù)的可能，所以誤刪除文件的重要前提就是不能在刪除文件的分區(qū)里繼續(xù)進(jìn)行寫文件操作，也不要將恢復(fù)軟件安裝在要恢復(fù)的硬盤上。并將需要恢復(fù)的資料數(shù)據(jù)拷貝到另一塊有足夠的空間磁盤上，一定不能將待恢復(fù)的數(shù)據(jù)拷貝到同一硬盤的不同分區(qū)。

3.2分區(qū)表被破壞后的數(shù)據(jù)恢復(fù)

邏輯故障造成的數(shù)據(jù)丟失很多都是因為硬盤分區(qū)表上的數(shù)據(jù)鏈信息被破壞，分區(qū)表被損壞，就無法識別磁盤分區(qū)或卷，從而造成分區(qū)丟失或者打不開、文件丟失等現(xiàn)象，實際上數(shù)據(jù)并沒有丟失。例如高級格式化、分區(qū)程序FDISK誤分區(qū)，并沒有向數(shù)據(jù)區(qū)寫入數(shù)據(jù)，只是重寫了FAT表。又如，病毒攻擊主引導(dǎo)扇區(qū)中的分區(qū)表或個人誤操作刪除分區(qū)表，導(dǎo)致硬盤分區(qū)信息的損壞。

還有一種情況是，更改系統(tǒng)盤的分區(qū)格式，例如從FAT32格式更改為NTFS格式后，沒有使用PQ等軟件實現(xiàn)，而是直接對系統(tǒng)操作，或者是在重新調(diào)整分區(qū)大小的時候，PQ轉(zhuǎn)換出錯，導(dǎo)致的結(jié)果是顯示其他盤符未分區(qū)，數(shù)據(jù)丟失，很明顯是該硬盤的分區(qū)表被破壞了。

對于硬盤分區(qū)表被破壞，首先應(yīng)先重建分區(qū)表，恢復(fù)被破壞的分區(qū)表，然后再恢復(fù)該硬盤的數(shù)據(jù)。

3.3誤格式化后的數(shù)據(jù)恢復(fù)

不同的文件系統(tǒng)管理文件的方式不一樣，而數(shù)據(jù)存儲的規(guī)律在系統(tǒng)格式化程序創(chuàng)建的文件系統(tǒng)是就確定了。如在一個已經(jīng)有數(shù)據(jù)的分區(qū)再次格式化會造成所有的數(shù)據(jù)丟失，當(dāng)出現(xiàn)因格式化而丟失數(shù)據(jù)時，有的可以絕大部分恢復(fù)，有的只能部分恢復(fù)。通常設(shè)計的比較晚的日志型文件系統(tǒng)，恢復(fù)效果較好，如NTFS文件系統(tǒng)，EXT3文件系統(tǒng)；設(shè)計的比較早的文件系統(tǒng)，恢復(fù)效果較差，如FAT文件系統(tǒng)。

3.4誤用ghost

ghost可以提供方便的數(shù)據(jù)備份與恢復(fù)功能，但是不能全盤復(fù)制軟件，只復(fù)制那些FAT表上存在的文件，而非復(fù)制磁盤上所有的數(shù)據(jù)。同時由于目標(biāo)盤的選擇習(xí)慣等問題，經(jīng)常出現(xiàn)問題，因此在數(shù)據(jù)備份時，不要過分相信ghost。ghost只認(rèn)正確的分區(qū)，對于隱藏的分區(qū)它不會復(fù)制。

3.5用軟件恢復(fù)數(shù)據(jù)

一些常用的恢復(fù)數(shù)據(jù)軟件如EasyRecovery、FinaData、DiskGenius、Disk Recovery等，在BIOS中能認(rèn)硬盤的情況下，都可以起到很好的恢復(fù)數(shù)據(jù)的作用。例如EasyRecovery是一種常用的數(shù)據(jù)恢復(fù)軟件，他對于FAT、NTFS分區(qū)中誤刪除、誤格式化以及重新分區(qū)而造成的數(shù)據(jù)丟失都具有很好恢復(fù)功能，還可以幫助重建文件系統(tǒng)。但是不能完整的用于對存在多個簇的大文件的恢復(fù)，適合用于分區(qū)表嚴(yán)重?fù)p壞，使用其他軟件不能恢復(fù)的情況。又如FinaData不僅可以按照物理硬盤或者邏輯分區(qū)來進(jìn)行掃描，還可以通過對硬盤的絕對扇區(qū)來掃描分區(qū)表，找到丟失的數(shù)據(jù)。[3]

4結(jié)束語

雖然我們提出了一些恢復(fù)數(shù)據(jù)的辦法，但是在日常使用硬盤的過程中，還應(yīng)該注意以下幾個方面，一是保護(hù)好硬盤，輕拿輕放，保持機(jī)箱的清潔，寫盤時不能隨意斷電；二是要有數(shù)據(jù)安全意識，經(jīng)常備份重要數(shù)據(jù)和殺毒、防毒，數(shù)據(jù)不要放在系統(tǒng)盤；三是不能輕易更改盤符格式，用Ghost恢復(fù)系統(tǒng)也要了解清楚，是否會更改系統(tǒng)盤的分區(qū)信息；四是一旦出現(xiàn)故障，不能隨意往硬盤寫數(shù)據(jù)，也不能隨意進(jìn)行系統(tǒng)掃描；五是定期做磁盤整理，可以有效地減少碎片文件，便于以后的數(shù)據(jù)恢復(fù)；六是在上次非正常關(guān)機(jī)后重啟WINDOWS時，千萬不要在目標(biāo)區(qū)進(jìn)行磁盤掃描，這樣會導(dǎo)致數(shù)據(jù)無法恢復(fù)；七是需要有足夠的磁盤空間寫入恢復(fù)資料，一定不能將待恢復(fù)的數(shù)據(jù)拷貝到同一硬盤的不同分區(qū)，應(yīng)將數(shù)據(jù)拷貝到另一塊硬盤上。只有養(yǎng)成良好的使用習(xí)慣，才能確保我們數(shù)據(jù)真正的安全。

參考文獻(xiàn)：

[1]文光斌.數(shù)據(jù)恢復(fù)技術(shù)的發(fā)展前景、技術(shù)層次及常用方法[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用,2005(5):74-76.

[2]楊靈,黃宏波.硬盤數(shù)據(jù)恢復(fù)原理與方法[J].農(nóng)業(yè)網(wǎng)絡(luò)信息,2005(3):47-48.

[3]任樺.計算機(jī)硬盤數(shù)據(jù)備份和數(shù)據(jù)恢復(fù)技術(shù)[J].電腦知識與技術(shù),2008(6):1318-1319.

[4]戴士劍,涂彥暉.數(shù)據(jù)恢復(fù)技術(shù)[M].2版.北京:電子工業(yè)出版社,2005.