数据恢复原理与方法

• 所谓扩展分区，严格地讲它不是一个实际 意义的分区，它仅仅是一个指向下一个分 区的指针，这种指针结构将形成一个单向 链表。这样在主引导扇区中除了主分区外， 仅需要存储一个被称为扩展分区的分区数 据，通过这个扩展分区的数据可以找到下 一个分区（实际上也就是下一个逻辑磁盘） 的起始位置，以此起始位置类推可以找到 所有的分区。无论系统中建立多少个逻辑 磁盘，在主引导扇区中通过一个扩展分区 的参数就可以逐个找到每一个逻辑磁盘。
C盘的数据结构如（图3）所示。
文件分配表（FAT）
FAT(File Allocation Table)即文件分配表， 是DOS/Win9x系统的文件寻址系统。为了 防止意外损坏，FAT一般做两个（也可以设 置为一个），第二FAT为第一FAT的备份, FAT区紧接在OBR之后（对于FAT32格式， 位置是从引导扇区开始的第32个扇区就是 第一个FAT表的位置），其大小由这个分区 的空间大小及文件分配单元的大小决定。
2．硬件故障的类型 磁盘划伤；磁头变形；磁臂断裂；磁 头放大器损坏；芯片组或其它元器件损坏。 硬件故障一般表现为系统不认硬盘， 常有一种“咔嚓咔嚓”的磁组撞击声或电 机不转、通电后无任何声音、磁头定们不 准造成读写错误等现象。一些具体的表现 如下：
① 开机时，系统没有找到硬盘，同时也没有 任何错误提示。注意有的主板在硬盘出现 故障时会给出相应的提示信息和提示代码。 我们在排除硬盘的供电正常，电源线连接 无误，数据线安装正确，数据线没有质量 问题时，也就可以确定是硬盘坏了。 ② 启动系统时间特别长，或读取某个文件， 运行某个软件时经常出错，或者要经过很 长时间才能操作成功，其间硬盘不断读盘 并发出刺耳的杂音，这种现象意味着硬盘 的盘面或硬盘的定位机构出现问题。
• 需要特别注意的是，由于主分区之后的各 个分区是通过一种单向链表的结构来实现 链接的，因此，若单向链表发生问题，将 导致逻辑磁盘的丢失。这就是当硬盘被CIH 病毒破坏后，我们可以通过KV3000的F10 功能来找到丢失的D，E及以后的逻辑分区 的原因。
操作系统引导扇区（OBR）
• OBR（OS Boot Record）即操作系统引导 扇区，通常位于硬盘的0磁道1柱面1扇区 （这是对于DOS来说的，对于那些以多重 引导方式启动的系统则位于相应的主分区/ 扩展分区的第一个扇区），是操作系统可 直接访问的第一个扇区，它也包括一个引 导程序和一个被称为BPB（BIOS Parameter Block）的本分区参数记录表。 其实每个逻辑分区都有一个OBR，其参数 视分区的大小、操作系统的类别而有所不 同。
(在D盘，E盘前面都有一个粉红色的扇区，就是所谓的扩展分区表所在的位置， 其后的62个扇区空闲，共同占有一个隐含磁道。）
• 主分区是一个比较单纯的分区，通常位于硬盘的 最前面一块区域中，构成逻辑C磁盘。在主分区 中，不允许再建立其它逻辑磁盘。也可以通过分 区软件，在分区的最后建立主分区，或在磁盘的 中部建立主分区。 • 扩展分区的概念则比较复杂，也是造成分区和逻 辑磁盘混淆的主要原因。由于硬盘仅仅为分区表 保留了64个字节的存储空间，而每个分区的参数 占据16个字节，故主引导扇区中总计可以存储4 个分区的数据。操作系统只允许存储4个分区的数 据，如果说逻辑磁盘就是分区，则系统最多只允 许4个逻辑磁盘。对于具体的应用，4个逻辑磁盘 往往不能满足实际需求。为了建立更多的逻辑磁 盘供操作系统使用，系统引入了扩展分区的概念。
随着硬盘容量的迅速发展，Microsoft 的 DOS及Windows也先后采用我们所熟悉的 FAT12、FAT16和FAT32格式。不过 Windows NT、OS/2、UNIX/Linux、Novell等 都有自己的文件管理方式，不同于FAT文件 格式。 FAT12是使用12BIT来表示簇的位置，最 大容量32M，FAT16是使用两个字节 来表示簇的位置，分区最大容量2G，而 FAT32采用4个字节来表示簇的位置，分区最 大容量65G。
• 引导程序的主要任务在当根目录中寻找系统文件 IO.SYS，MSDOS.SYS和WINBOOT.SYS三个文 件,如果存在，就把IO.SYS文件读入内存，并移交 控制权予该文件。在WIN98的系统中，没有 MSDOS.sys文件，系统能够正常启动，但是无法 进入桌面；如果没有文件，能够 正常启动到桌面，但是无法进入DOS字符方式。 • BPB参数块：记录着本分区的起始扇区、结束扇 区、文件存储格式、硬盘介质描述符、根目录大小、 FAT个数、分配单元（Allocation Unit，以前也称 之为簇）的大小等重要参数。OBR由高级格式化 程序产生（例如DOS 的）。
1．定期使用Windows自带的磁盘整理工具Defrag 或其他如Vopt、Norton Speed等磁盘碎片整理优 化工具进行整理你的硬盘数据。 2．硬盘是机电一体化的高度精密设备，尽管现在硬 盘抗冲击力大大提高，但为了安全和保险必须轻 拿轻放；在主机内安装时硬盘的四个固定位都应 该使用螺丝固定牢靠。开机后绝对不能移动主机。 关机1分钟硬盘马达停转后，方可进行搬动，这也 是原来的小硬盘专门有一个磁头归位程序，提供 搬运机器时使用的原因。硬盘指示灯正在闪亮时 不可断电关机，如此操作有可能会损坏硬盘。
5．在使用Format命令格式化硬盘时，最好先 使用Fdisk/Status命令查看一下硬盘的分区 信息，是否存在NTFS分区，防止误格式化 丢失数据。 6．要充分利用分区的特性，数据文件一般不 要放在C区和系统区，因为C区和系统区属 事故多发区。
硬盘数据丢失的原因
1．软件故障的类型 受病毒感染；误格式化或误分区；误克隆； 误删除或覆盖；黑客软件人为破坏；零磁道损坏； 硬盘逻辑锁；操作时断电；意外电磁干扰造成数 据丢失或破坏；系统错误或瘫痪造成文件丢失或 破坏。 软件现象一般表现为操作系统丢失，无法正 常启动系统，磁盘读写错误，找不到所需要的文 件、文件打不开、文件打开后乱码，硬盘没有分 区、提示某个硬盘分区没有格式化等。
数据恢复原理与方法
我们大家可能都遇到过这样的事情， 上午刚刚清空垃圾站，下午却突然想起其中 有个文件特别重要，这可怎么办？还有可能 系统被病毒破坏，硬盘的分区表或文件分配 表被病毒改写，但是硬盘上存着你数年的心 血。这时我们就需要对数据进行恢复，而国 内也有不少专门从事数据恢复业务的专业公 司。
硬盘使用和维护注意事项
数据区（DATA）
在DIR区之后，才是真正意义上的数据存储区， 即DATA区。 DATA虽然占据了硬盘的绝大部分空间，但没 有了前面的各部分，它对于我们来说，也只能是一 些枯燥的二进制代码，没有任何意义。 注意：我们通常所说的格式化程序（指高级格 式化，例如DOS下的Format程序），并没有把 DATA区的数据清除，只是重写了FAT表而已，除非 你使用了“Format X: /U”命令，强制对每一扇 区写“F6”。
主引导扇区（MBR）
主引导扇区位于整个硬盘的0磁道0柱面 1扇区，包括硬盘主引导记录MBR（Main Boot Record）和分区表DPT（Disk Partition Table）。其中主引导记录的作用 就是检查分区表是否正确以及判别哪个分 区为可引导分区，并在程序结束时把该分 区的启动程序（也就是操作系统引导扇区） 调入内存加以执行。主引导区的数据结构 如（图1）所示。
数据恢复的原理
新的硬盘必须首先分区，再用Format对相应的分区实 行格式化，这样以后我们才能在这个硬盘存储数据。硬盘的 分区就象是对一块地方建仓库，每个仓库就好比是一个分区。 格式化就好比是为了在仓库内存放东西，必须有货架来规定 相应的位置。我们有时接触到的引导分区就是仓库大门号， 上面要记载这个分区的容量的性质及相关的引导启动信息。 FAT表就好比是仓库的货架号，目录表就好比是仓库的帐簿。 如果我们需要找某一物品时，就需要先查找帐目，再到某一 货架上取东西。正常的文件读取也是这个原理，先读取某一 分区的BPB参数至内存，当需要读取某一文件时，就先读取 文件的目录表，找到相对应文件的首扇区和FAT表的入口后， 再从FAT表中找到后续扇区的相应链接，移动磁臂到对应的 位置进行文件读取，就完成了某一个文件的读写操作。
上述的各种原因都可能导致硬盘或软盘上的 数据损坏或丢失，使部分(或全部)数据无法读出 和使用。数据恢复就是使用各种软件和硬件的技 术方法把数据重新找回，使宝贵的信息得以重新 使用。 说到数据恢复，我们就不得不提到硬盘的数 据结构、文件的存储原理，甚至操作系统的启动 流程，这些是你在恢复硬盘数据时必须使用的基 本知识。即使你不需要恢复数据，了解这些知识 （即使只是稍微多知道一些），对于你平时的电 脑操作和应用也是很有帮助的。
• ⑤ 一直能够正常使用，但是突然有一天， 硬盘在正常使用过程中出现异响，接着找 不到硬盘。但是在停机一段时间以后，再 次开机时还能找到硬盘，并且能够正常启 动系统。当出现这种情况时，如果硬盘上 有重要数据时，一定在最短的时间内把数 据备份出来，防止硬盘彻底报废时丢失重 要数据。
磁盘数据格式的相关知识
• 至于硬盘分区，也只是修改了MBR和OBR，绝大 部分的DATA区的数据并没有被改变，这也是许 多硬盘数据能够得以修复的原因。但即便如此， MBR，OBR，FAT，DIR之一被破坏的话，我们 的数据也无法正常读取。 • 需要提醒大家的是，如果你经常整理磁盘， 那么你的数据区的数据可能是连续的，这样即使 MBR/FAT/DIR全部坏了，我们也可以使用磁盘编 辑软件（比如DOS下的DiskEdit，DDD，KV3000， EasyRevoery等），只要找到一个文件的起始保 存位置，那么这个文件就有可能被恢复。
目录区（DIR）
DIR是Directory即根目录区的简写，在FAT12 和FAT16格式中，DIR紧接在第二FAT表之后，而在 FAT32格式中，根目录区的位置可以在分区中的任 意位置，其起始位置是由引导扇区给出的。单有 FAT表还不能确定文件在磁盘中的具体位置，只有 FAT表和DIR区配合使用，才能准确定位文件的确切 位置。 DIR记录着每个文件（目录）的文件名，扩展 名，是否支持长文件各，起始单元（这是最重要 的）、文件的属性，大小，创建日期，修改日期等 住处内容。操作系统在读写文件时，根据DIR中的 起始单元，结合FAT表就可以知道文件在磁盘的具 体位置，然后顺序读取每个簇的内容就可以了。