《数据恢复技术概述》由会员分享，可在线阅读，更多相关《数据恢复技术概述（78页珍藏版）》请在金锄头文库上搜索。
1、数据恢复技术概述数据恢复技术概述1.1数据存储技术总论 信息时代的核心无疑是信息技术，而信息技术的核心则在于信息的处理与存储。 随着数据量的剧增，数据存储技术已经面临着巨大的挑战。 当我们每天关注CPU主频的不断提高，操作系统版本的不断升级和计算机网络技术的日新月异的时候，或许不应该忽略一个这样的事实，即无论信息处理技术多么的先进，我们都必须将信息存储于一定的介质之上，信息和信息技术本省都需要依托一定的存储介质而存在。2n由于越来越多的信息成了电子信息，信息存储技术显得更加重要，特别是计算机网络应用的迅速增长更大大增加了对信息存储产品的需求量和对信息存储技术的安全性、可靠性的要求。n根据3M公
2、司对800名网络计算机用户的调查发现，每次硬盘的失效将造成5天以上的无效工作日。而在一个典型的商业应用中，重建1000MB数据平均要耗时3.5个月，费用为95000美元。由此可见，信息存储的安全对最终用户来说是何等重要。1.1数据存储技术总论31.1.1数据存储介质n凡是仅有两种稳定的物理状态，能反便地检测出哪种稳定状态，两种稳定状态又容易相互转换的物质或元器件，都可以用来存储二进制代码“0”和“1”，这样的物质或元器件被称为存储介质或记录介质。存储介质不同，存储信息的机理也不同。4n信息存储技术在近几年的发展非常迅速，各种新产品、新技术层出不穷，但从总体上看它们呈现出一种类似金字塔的结构，其
3、中塔尖为CPU，距离CPU越近则存储速度越快、每兆字节的存储成本越昂贵，容量也越小；反之则存储速度越慢、每兆字节的存储成本越低，容量也越大。5n计算机的存储设备从体系结构上看可分为内存储器和外存储器。内存储器（即内存）直接与计算机的CPU相连，处于金字塔的最上层。它的存取速度要求能与CPU相匹配，通常由半导体存储器芯片组成，由于成本高，容量通常不太大。而对于大量数据的保存通常要使用外存储器。外存储器又可以分成几个层次。6n与内存储器相连接的是联机存储器（或称在线存储器），如硬磁盘机、磁盘阵列等。再下一层是后援存储器（或称近线存储器），它由存取速度比硬盘更慢的光盘机、光盘库、磁带库等设备组成。最
4、底层是脱机存储器（或称离线存储器），由磁带机和磁带库等组成仓库。它的存取速度比较慢，仅是秒数量级，由于存储介质可脱机保存，可以更换，因此容量几乎是无限大。其层次关系如图1-1所示。7图1-1存储金字塔结构8n对于普通的个人电脑用户，使用硬盘、软盘和光盘等存储介质来进行数据存储就已经够用了，但对于商业用户和一些网络系统来说，磁带机、磁带库和光盘库则是必不可少的数据存储与备份设备，现在还有正在飞速发展的存储网络，提供更为方便的数据保存方式。下面我们先通过不同的存储介质来看一看当今市场上流行的主机信息存储技术，按其存储原理可以分为电存储技术，如内存、闪存等；磁存储技术，如磁带、磁盘等；光存储技术，如
5、光盘、DVD等。91.1.1.1电存储技术电存储技术n电存储技术主要是指半导体存储器SCM（SemiconductorMemory）。早期的SCM采用典型的晶体管触发器作为存储位元，加上选择、读写等电路构成存储器。现代的SCM采用超大规模集成电路工艺制成存储芯片，每个芯片中包含相当数量的存储位元，再由若干芯片构成存储器。101.1.1.2磁存储技术n磁存储，主要指磁表面存储器MSM（MagneticSurfaceMemory）。n磁表面存储器是用非磁性金属或塑料作基体，在其表面涂敷、电镀、沉积或溅射一层很薄的高导磁率、硬矩磁材料的磁面，用磁层的两种剩磁状态记录信息“0”和“1”。基体和磁层合称
6、为磁记录介质。依记录介质的形状可分别称为磁卡存储器、磁带存储器、磁鼓存储器和磁盘存储器。计算机中目前广泛使用的MSM是磁盘和磁带存储器。11nMSM通过磁记录介质作高速旋转或平移，借助于软磁材料制作的磁头实现读写，由于是机械运动方式，所以存取速度远低于SCM，为ms级。MSM的存储位元是磁层上非常小的磁化区域，可以小至20m2，所以存储容量可以很大，与SCM相比，每位价格低得多，因此广泛用作辅存。12n磁盘技术包括磁性盘片、电机、盘上方的伸缩臂以及伸缩臂（手柄）上的磁头。电机带动磁盘旋转，伸缩臂在盘上移动，磁头进行读盘或写盘操作。读盘时，磁头检测盘表面磁性的变化，将其转化为0或1的数据组。写盘
7、时，通过磁头改变盘上数据的磁性，如正、负极分别与0和1相对应。13n在外存储器中，硬盘存储的存取速度最快，因此它最适合于存储那些需要经常访问的和需要快速访问的程序和文件。对于个人用户来说，硬盘是最主要的存储设备，计算机的操作系统、应用程序和重要的数据资料都存储在硬盘之中，因此要求硬盘的容量尽可能的大，速度越快越好；对于专业用户来说，由于数据丢失将会给他们带来非常大的损失，所以他们除了要求更高的速度、更大的容量之外，对硬盘的容错能力和安全性也有很高的要求。n市场的需求就是未来技术的发展方向，硬盘技术的发展方向正是向着高容量、高速度和高可靠性的方向发展。14n早期的硬盘仅有几十兆，而且价格昂贵。在
8、几年前，一台家用PC的标准配置还是420MB或1GB的硬盘。现在，100G、200G以上的硬盘都已经大量进入寻常百姓家。能够产生如此大的飞跃主要得益于硬盘的面存储密度的不断提高，现在90mm（3.5英寸）的商品盘单片容量已达20GB或更高，130mm（5.25英寸）的单片容量达到40GB或更高。15n在硬盘的速度即数据传输率方面，由于市场上的硬盘都带有高速缓存，盘面读出的数据先被送到缓存，再从缓存送到主机内存中，所以目前主要由这两个环节来决定硬盘的速度。从盘面到缓存的内部传输率等于位存储密度乘以盘面的线速度。因此在存储密度一定的情况下，提高硬盘转速可以进一步提高内部传输率。现在主流硬盘的转速都
9、已达到了7200r/min，较高的已经达到10000r/min以上。由于硬盘是一种机电设备，它的转速受到机械结构的制约，因此除非有大的技术变革，否则硬盘转速的提高将会越来越困难。从缓存到主机内存的外部传输率则与硬盘所采用的外部接口标准有关。16n磁带存储可以说是最古老的存储方式之一。从1952年第一台13mm（0.5英寸）磁带机在IBM公司问世以来，它已经走过了50多年的历史，积累了大量的使用经验和可靠性数据。磁带存储是一种安全的、可靠的、易用的、效费高的数据备份方法。因为磁带可以从驱动器上取出，因此可以实现非现场方式的保存或存放过去版本的数据。磁带存储系统大都易于操作，甚至可以作成无人值守的
10、数据备份和磁带管理。磁带的速度虽然比硬盘和光盘要慢，但它也能在相对短的时间内（如一个晚上）备份需要的数据。由于磁带的可靠性很高（实践证明，一盘磁带上的数据可以保存30年以上），而且容量大（以目前的存储技术，一盘磁带压缩后存储容量可达70GB,磁带库则可扩展到几十TB的水平），所以它是当之无愧的大容量数据备份的首选存储介质。171.1.1.3光存储技术n光盘存储器ODM（OpticalDiskMemory）和MSM类似，也是将用于记录的薄层涂敷在基体上构成记录介质。不同的是基体的圆形薄片由热传导率很小，耐热性很强的有机玻璃制成。在记录薄层的表面再涂敷或沉积保护薄层，以保护记录面。记录薄层有非磁性
11、材料和磁性材料两种，前者构成光盘介质，后者构成磁光盘介质。nODM是目前辅存中记录密度最高的存储器，存储位元区域可小至1m2，存储容量很大且盘片易于更换。缺点是存储速度比硬盘低一个数量级。现已生产出与硬盘速度相近的ODM，不久会成为重要的辅存。18n目前我们所能接触的光存储设备有：CD-ROM、CD-R、CD-RW、MO、DVD-ROM、DVD+RW、DVD-RW、DVD-RAM以及COMBO等。CD-ROM为只读光盘，多用于产品发布和电子出版领域；CD-R允许用户自己写CD，但只能写一次，可以无限次读，而且与CD-ROM兼容；CD-RW为可多次读写光盘，它采用CD-R的格式，因此可以与CD-
12、R的刻录机通用；MO是永磁光盘，可以重复读写，具有很高的可靠性和耐久性，数据保存可长达100年。相应的DVD产品可以视为CD的后代。此外，多台光盘机组合在一起有3种结构：光盘库、光盘塔和光盘阵列。它们都是大型的信息存储设备，一般应用在大、中型的网络系统和档案管理系统中。19n在所有光存储设备中，最基本的产品是CD。CD是CompactDisc的简称，直译就是小型、紧凑的盘片。其外径为120mm，厚度1.2mm，如图1-2所示。20图1-2光盘结构21nCD由光轨（Track）组成。光轨，是光碟上一种资料记录的单位。光盘上储存的信息资料按一定规则排列，其形状像一条条“轨道”，称为“光轨”。光轨由
13、内至外呈螺旋线形状。数据光盘内从目录（TOC，TableofContents）开始记录起始地址的多个连续的逻辑扇区为一轨，而音频光盘内一首歌曲对应一条光轨，因此，一张光盘中有许多条光轨。光盘的光轨最多可达99条，如图1-3所示。22图1-3光盘光轨23n光轨由一系列记录信息位的信息坑（pit）与岸（land）组成。其中，光轨上凹陷下去的部分称为信息“坑”（pit），没有凹陷的部分称为“岸”（land），又称“陆地”。“坑”和“岸”都是记录的信息，如图1-4所示。24图1-4光盘信息位25n光道上凹凸交界的跳变沿均代表数字“1”，两个边缘之间代表数字“0”。“0”的个数是由边缘之间的长度决定的。
14、信息读取时，CD机的激光头发出一束激光照到CD盘的数据面并拾取由凹痕反射回来的光信号，由此判别记录的是“1”或“0”（图1-5）26图1-5CD盘的读出原理27n普通光盘凹痕宽约0.5m，凹痕最小长度约0.83m，光道间距约1.6m。每张光盘大约包含8亿个凹痕，可容纳高达680MByte的数据量，因此光盘的容量很大。28n不同光盘其记录密度是不一样的，如图1-6所示。图1-6CD光盘坑纹DVD光盘坑纹DVD-R光盘坑纹29nCD-R预先在盘片内压制有螺旋线形状的沟槽（Groove），称为“预刻槽”，代替光学轨道的“坑”。刻录时，CD-R盘片的沟槽内有机染料在激光照射下，形成气泡，这便是“岸”（
15、land）。气泡一旦形成，就不能恢复原状，因此，CD-R只能一次写入。30n光盘提供了存储和发布大文件的一个非常耐久的方法。与音频CD相似,光盘驱动器利用低能量的激光在光盘表面上读取微小的变化。因为信息记录在盘面上，所以光盘容易损坏。光盘的存储容量比软盘大(为650MB)，存储费用比硬盘低，但光盘的访问时间要比硬盘慢26倍。光盘的这些特点使其非常适合于存储那些大容量的，用硬盘存储费用太高，可以离线操作的数据。31光盘存储一般应用在以下几个方面：n电子出版物：作为信息时代的标志之一，电子出版物正在逐渐改变传统的出版行业，而它的存储介质正是光盘。一本厚厚的字典可以被浓缩在一张薄薄的光盘之中，一部精
16、彩的故事片可以用一张DVD所收藏，这些变化无不加快了信息的传播，作为存储介质的光盘当然也功不可没。n电子图像管理：用计算机处理的图像、照片，其存储容量一般很大，可以使用光盘将它们存入计算机系统的在线存储器中。光盘存储同时也非常适合于存储工程图档(如CAD图)、测绘图(如地图)和医学文档等。n档案管理：这是指数据永久性的存储。这些数据并不经常被访问，但必须保留。如某公司的一个未被采纳的产品设计说明，因为以后可能需要使用。n备份管理：为防止文件丢失或被破坏经常需要对系统和用户文件进行复制。光盘系统的容量大，而且可能包括一个自动转换器，因此对光盘系统的复制能节省操作员加载介质的费用。321.2数据恢
17、复技术总论1.2.1数据的内涵n这里我们所说的数据，只指计算机数据，后面不再专门指出。n“数据”是一个广泛的概念，不仅包括计算机文件系统或数据库系统中存储的各种数据、正文、图形、图像、声音等形式的多媒体数据文件、软件或各种文档资料，也包括存放或管理这些信息的硬件信息，如计算机硬件及其网络地址、网络结构、网络服务等。331.2.2数据恢复的定义n简单地说，数据恢复就是把遭受破坏、或由硬件缺陷导致不可访问或不可获得、或由于误操作等各种原因导致丢失的数据还原成正常数据，即恢复至它本来的“面目”。n数据恢复不仅对已丢失的文件进行恢复，还可以恢复物理损伤的磁盘数据，也可以恢复不同操作系统的数据。34n数
18、据出现问题主要包括两大类：即逻辑问题和硬件问题，相对应的恢复也分别称为软恢复和硬恢复。所谓软恢复，指的是一切可以通过“软”的方式进行的恢复，不涉及硬件修理的数据恢复操作，其故障原因不是硬件失效造成的，如病毒感染、误格式化、误分区、误克隆、误操作、网络删除、操作时断电等，软件现象一般表现为无操作系统，读盘错误，文件找不到、打不开，报告无分区、无格式化、密码丢失、乱码等；对应地，一切涉及到硬件修理、由硬件损坏或失效造成的数据恢复均归入硬恢复，如磁道损坏、磁盘划伤、磁组损坏、主电机损坏、电路板芯片及其它原器件烧坏等，硬件故障一般表现为不认盘，常有一种“咔嚓咔嚓”的磁组撞击声或电机不转，或通电后无任何
19、声音等，两者之间最明显的特征或区别就是：存储介质本身是否不需要进行修理或更换部件就可以正常的进行访问。当然，“正常的进行访问”也是一个有级别的问题，这里先界定为低级格式化程序这一级别，更详细的区别在后面作详细的介绍。n数据恢复是出现问题之后的一种补救措施，既不是预防措施，也不是备份，所以，在一些特殊情况下数据将很难被恢复，如数据被覆盖、低级格式化清零、磁盘盘片严重损伤等。351.2.3数据恢复的服务范围n造成数据丢失的原因非常多，常见的主要有以下9种。（1）恶意的程序（2）其他恶意的破坏（3）误操作（4）操作系统或应用软件的错误（5）硬件失效（6）加密和权限（7）掉电（8）内存溢出（9）升级3
20、6n数据出现问题后会表现出一些相应的症状，主要有以下几种情况：1.不能进入系统有时虽然CMOS检测硬盘正常，但却启动不了系统，出现有提示停机，或无提示死机，或者CMOS能检测到硬盘，而显示的容量却不正确。出现这种情况的原因有很多，如MBR损坏、DBR损坏、电源质量不合格、数据线断线、CMOS设置不正确、主从设置不正确、硬件冲突、CMOS电池电压不足等。37一般性的系统无法启动可能会有以下一些提示。（1）InvalidPartitionTable无效的分区信息。一般是因为分区信息中1BE，1CE，1DE，1EE处不符合只有一个80而其他为0的原则，用工具设定解决。（2）ErrorLoadingO
21、peratingSystem主引导程序读BOOT区5次仍不成功。用工具重建BOOT区解决。（3）MissingOperatingSystemDOS引导区的“55AA”标记丢失，或DBR损坏，用工具设定解决。（4）Non-SystemDiskorDiskErrorBOOT区中的系统文件名与根目录中的前两个文件不同，用SYS命令重新传递系统解决。（5）DiskBootFailure读系统文件错误，用SYS命令重新传递系统解决。38（6）InvalidDriverSpecification在试图切换到一个确实存在的逻辑分区时出现该信息，说明主分区表的分区记录遭到破坏。根据各分区情况重建分区表，或者用
22、自动修复工具修复。（7）Badormissingcommandinterpreter找不到COMMAND.COM，或者COMMAND.COM文件损坏。如果拷贝正确的COMMAND.COM文件后还是如此，一般来说是感染了某种病毒。（8）InvalidmediatypereadingdriveAbort，Retry，Fail？该盘没有高级格式化，或BOOT区中I/O参数表被破坏。（9）IncorrectDOSVersion可能是文件版本不统一。对Windows9x来说，有95，95OSR/2，98，98OEM/2等版本，重传系统时，要注意选用正确版本的启动盘。39（10）Primarymaster
23、harddiskfail硬盘数据线、电源线两者至少有一个没插好；或硬盘跳线设置变化，而CMOS硬盘参数没做相应修改。插好连线，或相应的修改正确即可。（11）NotFoundanyactivepartitioninHDD硬盘分区表中的活动分区标志80H被改成非活动分区标志00H，用DiskEdit等工具修复为80H即可。（12）Typethenameofthecommand，Interpreter硬盘分区表中的主DOS分区标志06H错误或COMMAND.COM丢失、损坏或与其他两个启动文件版本不同，或病毒破坏。（13）DiskI/Oerror主DOS引导记录中物理硬盘标志号错误，或介质描述错误。
24、（14）Invalidsystemdisk或Failure主DOS引导记录损坏。402.磁盘出现坏道硬盘坏道分为逻辑坏道和物理坏道两种。前者为软坏道，通常由软件操作或使用不当造成，可用软件修复；后者为物理性坏道，表明硬盘磁道产生物理损伤，只能通过更改硬盘分区或扇区的使用情况来解决。41出现下列情况通常表明硬盘上存在坏道。（1）在打开、运行或拷贝某个文件时，硬盘出现操作速度变慢，长时间操作仍不成功或表现为长时间死“啃”某一区域，或同时出现硬盘读盘异响，或干脆Windows系统提示“无法读取或写入该文件”，这些都可表明硬盘的某部分出现了坏道。（2）每次开机，Scandisk磁盘扫描程序都自动运行。
25、这肯定表明硬盘上有需要修复的重要错误，比如，坏道。在运行该程序时如不能顺利通过，表明硬盘肯定有坏道；或扫描虽然也可通过，但出现红色的“B”标记，也表明硬盘有坏道。（3）电脑启动时硬盘无法引导，用软盘或光盘启动后可看见硬盘盘符，但无法对该区进行操作；或操作有误；或干脆就看不见盘符；都表明硬盘上可能出现了坏道。具体表现如开机自检过程中，屏幕提示“Harddiskdrivefailure”、“Harddrivecontrollerfailure”等类似信息，则可以判断硬盘驱动器或硬盘控制器有硬件故障。读写硬盘时提示“Sectornotfound”或“Generalerrorinreadingdriv
26、eC”等类似错误信息，则表明硬盘磁道出现了物理损伤。（4）电脑在正常运行中出现死机或“该文件损坏”等问题，也可能和硬盘坏道有关。423.分区丢失找不到分区，或进入不了分区。多由病毒引起，处理流程在后面章节中有详细介绍。4.文件丢失误删除、误格式化等。主要使用工具软件进行恢复。5.密码丢失6.文档打不开或乱码文档修复也是一个常见的问题。它是指对某种应用文档受损不能打开或打开后乱码的修复，是广义数据恢复的一支。43n文件和文档一般意义上讲，文件是个通用概念，存储在存储介质上的所有内容都可以称为文件，是相对操作系统而言的；而文档一般是指由各种应用程序创建的特定类型的文件，一般都是用户的数据文件，文档
27、是特定类型的文件。n文档修复文件由于数据逻辑上的原因，对于操作系统可见，而相应的应用程序无法合理、正确地解释，从而出现诸如“文件损坏无法打开”或打开后乱码等情况，通过纠错、重新计算CRC校验、改正不正确的格式等手段，解决这些问题的过程，称为文档修复。441.2.4数据恢复的一般原则n数据安全是个过程，而且，它是个动态的过程。n因为安全产品/方案是静态的，而安全本身是过程，是动态的。用静态的东西去应对动态的过程，显然达不到用户所期待的效果。这就是为什么所有的解决方案都不能做到万无一失的原因。45n进行数据恢复，首要的一点就是认真细致首要的一点就是认真细致，对每一步操作都有一个明确的目的。因为数据
28、安全既然是一个动态的过程，那么，所出现的问题就是千差万别的，是没有定式可言的。所以，在进行操作之前就考虑好做完该步之后能达到什么目的，可能造成什么后果，能不能回退至上一状态。特别是对于一些破坏性操作，一定要考虑周到，只要条件允许，就一定要在操作之前进行备份，对每一步操作都有相应的记录，并能回退到上一状态。46在开始恢复数据之前，应该首先完成以下几个步骤。在开始恢复数据之前，应该首先完成以下几个步骤。（1）备份当前尚能工作的驱动器上的所有数据。如果C盘损坏，那么，在开始任何工作之前首先备份D盘（及其他盘）上的数据到其他可靠的地方。（2）将损坏的硬盘拿到一个正常工作的同样的操作系统下，如果条件不允
29、许，取下该硬盘，安装一个新的主硬盘，在重新挂上损坏硬盘之前对主硬盘分区并格式化，确信立即更改CMOS设置。（3）调查使用者。查出在丢失数据之前发生的事情，查出是否有其他的应用程序对磁盘进行过操作。最后的用户输入非常重要，要查出使用者在送交磁盘前做过些什么，虽然他并没有说出来。47（4）如果可能，备份所有扇区是一个非常不错的方法。按文件进行的转存在这里没有任何的帮助。如果进行克隆，确保是按位进行而不是按文件进行。大部分的镜像软件在这里都没有什么意义，包括Ghost，DriveImage和DriveCopy。（5）手头要有一个好的扇区编辑工具，如WinHex就是一款不错的基于扇区的编辑工具。（6）
30、尽可能多的得到最后使用者的关键文件的信息。了解完这些信息后，就该有一个基本轮廓：如为什么会出现这个问题，破坏程度如何，使用什么工具能达到最好的效果，其主要步骤有哪些等。另外要记住的是：先抢救另外要记住的是：先抢救最有把握的数据，恢复一点，备份一点！最有把握的数据，恢复一点，备份一点！481.3硬盘数据恢复与硬盘修理的区别与联系n硬盘数据恢复与硬盘修理的最直接的区别就是，他们的目的不一样，硬盘数据恢复是为了得到硬盘上的数据，而硬盘修理是为了让硬盘能够重新正常的工作，单纯的硬盘修理是不考虑其上存储的数据的，如很多硬件厂商的保修条款那样，硬盘出现问题，可以免费修理或更换，但是对其上存储的数据不进行任
31、何的处理，其数据的处理权在用户自己。然而两者之间也不是完全的独立，因为有些时候要恢复数据，需要先对硬盘进行处理，当然，这时的硬盘处理已经不是单纯的修理硬件，而是为了获得其中的数据，并且，该过程甚至是一个破坏性的处理过程。注意这里所说的处理与修理的含义上的区别。硬盘修理与硬盘数据恢复的关系如图1-7所示，其他介质亦然。49硬盘数据恢复硬盘修理先修理然后修复数据图1-7硬盘数据恢复与硬盘修理的关系50另外，硬件的修理与数据恢复的代价也不一样，其关系如表1-2所示：表1-2硬件的修理与数据恢复比较511.4硬盘数据保护方式介绍n目前对于数据的重要性一般用户都有认识，出了问题后即使没有重要的数据需要恢
32、复，但重构系统也是一个十分费时费力的事情，因此，就涌现了大量的硬盘保护方式，或拦截中断，对硬盘数据进行保护，或采用镜像方式，对硬盘数据进行备份。这些方式概括起来说主要有以下几种：操作系统提供的系统还原、随机赠送的系统恢复光盘、GHOST、杀毒软件提供的系统备份、硬盘保护卡（还原卡）、主板BIOS内置的系统保护、虚拟还原工具软件等。52这些保护方式与数据恢复技术最本质的区别是这些保护方式与数据恢复技术最本质的区别是：n数据恢复是对出现问题的系统或存储介质上的数据进行恢复，而数据保护虽然也是为了保护系统或数据，但它们都是一种预防措施。n当然，如果预防措施做的好，不出现问题，那是最好不过的了，但是，
33、使用这些工具也有很大的缺陷，因为毕竟，这些保护方式不是万能的，它无形中又增加了用户的操作，既然是操作，就一定不可避免误操作，这是其一，其二，它们都建立在硬件正常的基础之上，如果硬件出现问题，它们只会使事情更加糟糕。当然这样说不是说它们不好，它们对用户数据的保护是有目共睹的，但是，从其机理来看，它们都对操作系统或硬盘关键数据区动过手脚，所以，不出现问题则已，一旦出现问题，就必然会大大增加数据恢复的难度和工作量。531.4.1操作系统提供的系统还原n操作系统提供的系统还原是目前使用的较多的一种保护方式。微软从WindowsME开始提供该功能，在Windows2000中取消了这一功能，而在Windo
34、wsXP中又强化了这一功能。n该功能的优缺点都很明显，优点是操作系统自带，免费，不存在兼容性问题，使用也很方便，缺点是只恢复操作系统数据，对用户数据无效，且Windows2000没有该功能。另外其致命缺陷是操作系统本身不能崩溃，对硬件失效无效。541.4.2GHOSTn使用GHOST对磁盘或磁盘分区做镜像，可能是最早的操作系统全盘（或逻辑盘）备份方式，曾经辉煌了一个时代。最早的GHOST不兼容NTFS分区，现在的版本早就解决了这个问题，可以说，它是爱折腾机器和操作系统的DIY们的最爱。n由于只能在DOS下对系统进行镜像，所以其缺点是很明显的，它只能是一种静态备份。551.4.3杀毒软件提供的系
35、统备份n有些杀毒软件提供有备份功能，如瑞星提供有系统重要数据备份功能，且可采用增量备份方式，以加快备份速度。采用超容压缩数据保护技术，无须用户干预，定时自动保护电脑系统中的核心数据，即使在硬盘数据遭到病毒破坏，甚至格式化硬盘后，都可以迅速恢复硬盘中的宝贵数据。n很显然，这种备份方式是远远不够的。561.4.4硬盘保护卡n现在有很多厂商生产和销售称为硬盘保护卡的一类设备，有ISA接口，也有PCI接口，由于ISA接口已经淘汰，所以以PCI接口最为常见。硬盘保护卡具有不占硬盘空间（实际是需要占用硬盘空间的）、支持多种数据还原方式、安装和使用过程中不需软盘等特点，简化了机房管理工作，所以这类产品非常丰
36、富，大量见于机房、网吧等公用机处。571.4.5主板BIOS内置的系统保护n在有些主板的BIOS中，内置有系统保护软件，如联想的“宙斯盾”（RecoveryEasy）和捷波的“恢复精灵”（RecoveryGenius）等都是这类工具。实际上它们都是系统还原卡的另外一种形式，相当于将这个备份恢复程序移植到主板BIOS中。n联想的“宙斯盾”;捷波的“恢复精灵”;奔驰主板的“数据保险柜”.581.4.6虚拟还原工具软件n“虚拟还原”的运作原理与硬盘保护卡比较类似，可备份整个硬盘内的资料。n“虚拟还原”设有永久还原点和动态还原点两种备份方法，简单的说，永久还原点就是将整个硬盘的内容都备份起来，动态还原
37、点就是将当前硬盘内容与最新永久还原点之间的差异备份起来。所以，在建立动态还原点之前必须先建立永久还原点。n“还原精灵”是一款提供“虚拟还原”的工具软件，号称是软件做的“硬盘保护卡”，其原理也和硬盘保护卡的原理相类。591.4.7硬盘保护与数据恢复n硬盘保护产品还有很多，也不断的有新品出现，但不管是采用哪种方式，或者是静态备份，或者是动态备份，都脱不了备份这个本质，即使是动态备份，也不可能是实时备份，即使将来技术进步了，做到实时备份，它也只是一个备份手段，是建立在存储系统正常工作基础之上的备份手段，永远不可能代替数据恢复技术，另外这种保护也不是绝对的，现在已经有很多种方法可以避过这种保护方式，而
38、且，多了一步操作，就必然不可避免会增加误操作的机率，如误还原，就会造成还原点之后所有的工作全部丢失。当然，有些误操作可以通过数据恢复技术寻找回来，但有些误操作会造成数据从此“魂飞魄散”。601.5硬盘缺陷1.5.1硬盘缺陷介绍n在这里，暂不探讨在各种操作系统下硬盘中的数据结构问题及数据恢复问题，而是直接探讨硬盘本身的缺陷问题。n在硬盘内部中所有存在缺陷的部分都被称为Defect（缺陷）。如果某个磁头状态不好，则这个磁头为Defecthead。如果盘面上某个Track（磁道）不能正常访问，则称这个Track为DefectTrack，如果某个扇区不能被正常访问或不能正确记录数据，则该扇区也称为De
39、fectSector，可以认为Badsector等同于Defectsector。从总的来说，某个硬盘只要有一部分存在缺陷，不能完全正常工作，就称这个硬盘为Defectharddisk。61n通常可将硬盘的缺陷分为六大类：坏扇区（Badsector），也称缺陷扇区（Defectsector）磁道伺服缺陷（TrackServodefect）磁头组件缺陷（Headsassemblydefect）系统信息错乱（Serviceinformationdestruction）电子线路缺陷（Theboardofelectronicsdefect）综合性能缺陷（Complexreliabilitydefect）
40、621.坏扇区（也称缺陷扇区）n指不能被正常访问或不能被正确读写的扇区。一个扇区能存储512Bytes的数据，如果在某个扇区中有任何一个字节不能被正确读写，则这个扇区为Badsector。除了存储512Bytes外，每个扇区还有数十个Bytes信息，包括标志信息、校验码、地址信息等。这些信息任何一个字节出错都会导致该扇区变“Bad”。例如，在低级格式化的过程中每个扇区都分配有一个编号，写在ID中。如果ID部分出错就会导致这个扇区无法被访问到，则这个扇区属于Badsector。一般表现为：高级格式化后发现有“坏簇（BadClusters）；用SCANDISK等工具检查发现有“B”标记；或用某些检
41、测工具发现有“扇区错误提示”等。有一些Badsector能够通过低级格式化重写这些信息来纠正。632.磁道伺服缺陷n现在的硬盘大多采用嵌入式伺服，硬盘中每个正常的物理磁道都嵌入有一段或几段信息作为伺服信息，以便磁头在寻道时能准确定位及辨别正确编号的物理磁道。如果某个物理磁道的伺服信息受损，该物理磁道就可能无法访问，这就是“磁道伺服缺陷”。一般表现为，分区过程非正常中断；格式化过程无法完成；用检测工具检测时，中途退出或死机等等。643.磁头组件缺陷n指硬盘中磁头组件的某部分不正常，造成部分或全部物理磁头无法正常读写的情况。包括磁头磨损、磁头接触面脏、磁头摆臂变形、音圈受损、磁铁移位等。一般表现为
42、通电后，磁头动作发出的声音明显不正常，硬盘无法被系统BIOS检测到；无法分区格式化；格式化后发现从前到后都分布有大量的坏簇等等。654.系统信息错乱n每个硬盘内部都有一个系统保留区（servicearea），里面分成若干模块保存有许多参数和程序。硬盘在通电自检时，要调用其中大部分程序和参数。如果能读出这些程序和参数模块，而且校验正常，硬盘就进入准备状态。如果某些模块读不出或校验不正常，则该硬盘就无法进入准备状态。一般表现为，PC系统的BIOS无法检测到该硬盘或检测到该硬盘却无法对它进行读写操作。如某些系列硬盘的常见问题：美钻二代系列硬盘通电后，磁头响一声，马达停转；Fujitsu某系列产品在通
43、电后，磁头正常寻道，但BIOS却检测不到；火球系列，系统能正常认出型号，却不能分区格式化；WesternDigital的EB、BB系列，能被系统检测到，却不能分区格式化等等。665.电子线路缺陷n指硬盘的电子线路板中部分线路断路或短路，某些电气元件或IC芯片损坏等。有些可以通过观察线路板发现缺陷所在，有些则要通过仪器测量后才能确认缺陷部位。一般表现为硬盘在通电后不能正常起转，或者起转后磁头寻道不正常等等。676.综合性能缺陷n有些硬盘在使用过程中部分芯片特性改变；或者有些硬盘受震动后物理结构产生微小变化（如马达主轴受损）；或者有些硬盘在设计上存在缺陷最终导致硬盘稳定性差，或部分性能达不到标准要
44、求。一般表现为，工作时噪音明显增大；读写速度明显太慢；同一系列的硬盘大量出现类似故障；某种故障时有时无等等。681.5.2出厂处理硬盘工厂在生产硬盘时都有一个基本的处理流程：硬盘工厂在生产硬盘时都有一个基本的处理流程：n1.在生产线上装配硬盘的硬件部分，用特别设备往盘片上写入伺服信号（Servowrite）。n2.格式化硬盘的系统保留区（servicearea），并向系统保留区写入程序模块和参数模块。系统保留区一般位于硬盘0物理面的最前面几十个物理磁道。写入的程序模块一般用于硬盘内部管理，如低级格式化程序、加密解密程序、自监控程序、自动修复程序等等。写入的参数多达近百项：如型号、系列号、容量、
45、口令、生产厂家与生产日期、配件类型、区域分配表、缺陷表、出错记录、使用时间记录等等，数据量从几百KB到几MB不等。有些参数一经写入就不再改变，如型号、系列号、生产时间等；而有些参数则可以在使用过程中由内部管理程序自动修改，如出错记录、使用时间记录等。也有些专业的维修人员可以借助专业的工具软件，随意读取、修改写入硬盘中的程序模块和参数模块。69n3.将所使用的盘片表面按物理地址全面扫描，检查出所有的缺陷磁道和缺陷扇区，并将这些缺陷磁道和缺陷扇区按实际物理地址记录在永久缺陷列表（P-list：Permanentdefectlist）中。这个扫描过程非常严格，能把不稳定不可靠的磁道和扇区也检查出来，
46、视同缺陷一并处理。现在的硬盘密度极高，盘片生产过程再精密也很难完全避免缺陷磁道或缺陷扇区。一般新硬盘的P-list中都有少则数百，多则上万个缺陷记录。P-list保留在系统保留区中，一般用户无法查看或修改。如果是SCSI硬盘的话可以找到多种通用软件查看到P-list，因为各种牌子的SCSI硬盘使用兼容的SCSI指令集。而不同牌子不同型号的IDE硬盘，使用各自不同的指令集，想查看其P-list只能借助有针对性的专业的工具软件来进行。70n4.系统调用内部低级格式化程序，根据相应的内部参数进行内部低级格式化。在内部低级格式化过程中完成，对所有的磁道和扇区进行编号、信息重写、清零等工作。在编号时，采
47、用跳过（skipped）的方法忽略掉记录在P-list中的缺陷磁道和缺陷扇区，保证以后用户不会也不能使用到那些缺陷磁道和缺陷扇区。因此，新硬盘在出售时是无法检测到缺陷的。如果是返修的硬盘，一般就在厂家特定的维修部门进行检测维修。711.5.3硬盘高级修理n如果不在硬盘工厂中，对普通用户或维修人员来说，又如何处理硬盘的缺陷呢？前面已经把硬盘的缺陷分为六大类，自然不同类型的缺陷要用不同的处理方法。72n1.对于综合性能缺陷对于综合性能缺陷，一般涉及到稳定性问题，用户随时有丢失数据的危险，可以说是“用之担惊，弃之可惜”。维修人员很难从根本上解决问题，建议用户还是趁早更换硬盘。n2.对于磁头组件缺陷对
48、于磁头组件缺陷，解决办法是更换磁头组件，这对设备及环境要求较高，维修成本也很高。除非是要求恢复其中的数据，否则不值得进行修复。有条件的维修公司可以在百级净化室中更换硬盘的磁头组件，对数据进行拯救。73n3.对于线路缺陷对于线路缺陷，一般要求维修人员有电子线路基础，要有测试线路的经验和焊接芯片的设备，当然还要有必需的配件以备更换。目前许多专业维修硬盘的公司都有条件解决这类缺陷。对普通用户而言，最简单的判别和解决办法是找一个相同的正常线路板换上试试。n4.对于系统信息错乱对于系统信息错乱，需要有专业的工具软件才能解决。首先要找个与待修硬盘参数完全相同的正常硬盘，读出其内部所有模块并保存下来；检查待
49、修硬盘的系统结构，查到出错的模块，并将正常模块的参数重新写入。74n5.对于伺服缺陷对于伺服缺陷，也要借助于专业工具。相应的专业工具可以通过重写来纠正伺服信息，解决部分磁道伺服缺陷。如果有部分无法纠正，则要对盘片进行物理磁道扫描找出有伺服缺陷的磁道，添加到P-list（或另外的专门磁道缺陷列表）中。然后，运行硬盘内部的低级格式化程序。这段程序能自动根据需要调用相关的参数模块，自动完成硬盘的低格过程，不需要PC系统的干预。75n6.扇区缺陷扇区缺陷n按“三包”规定，如果硬盘在质保期内出现缺陷，商家应该为用户更换或修理。现在大容量的硬盘出现坏扇区的概率实在很大，如果全部送修的话，硬盘商家就要为售后
50、服务忙碌不已了。很多硬盘商家都说，硬盘出现少量坏扇区往往是病毒作怪或某些软件造成的，不是真正的坏扇区，只要运行硬盘厂家提供的某些软件，就可以纠正了。到底是怎么回事呢？76从前面对坏扇区的说明来看，坏扇区有多种可能的原因，从前面对坏扇区的说明来看，坏扇区有多种可能的原因，修复的方法也有几种：修复的方法也有几种：通过重写校验码、标志信息等可以纠正一部分坏扇区。现在硬盘厂家都公开提供有一些基本的硬盘维护工具，如各种版本的DM。调用自动修复机制替换坏扇区。为减少硬盘返修的概率，硬盘厂商在硬盘内部设计了一个自动修复机制AutomaticReallocation或AutomaticReassign。现在生
51、产的硬盘都有这样的功能：在对硬盘的读写过程中，如果发现一个坏扇区，则由内部管理程序自动分配一个备用扇区来替换该扇区，并将该扇区物理位置及其替换情况记录在Glist（增长缺陷表（Growndefectslist）中。77用专业软件将缺陷扇区记录在Plist中，并进行内部低级格式化。用户在使用硬盘时，是不能按物理地址模式来访问硬盘的，而是按逻辑地址模式来访问。硬盘在通电自检时，硬盘系统会从保留区读取一些特定参数（与内部低级格式化时调用的参数有密切关系）存在缓冲区内，用作物理地址与逻辑地址之间转换的依据。有些专业软件可以将检测到的坏扇区的逻辑地址转换为对应的物理地址，直接记录在Plist中，然后调用内部低级格式化程序进行低级格式化。这样可以不受Glist的限制，能修复大量的坏扇区，达到厂家修复的效果。78
