計(jì)算機(jī)硬盤數(shù)據(jù)恢復(fù)的技術(shù)分析

摘要：硬盤是計(jì)算機(jī)系統(tǒng)中最主要的外部存儲(chǔ)設(shè)備，硬盤上存儲(chǔ)的數(shù)據(jù)會(huì)因?yàn)楦鞣N原因遭到損壞或丟失，數(shù)據(jù)恢復(fù)是將硬盤上損壞或丟失的數(shù)據(jù)重新找回來(lái)，還原為正?？捎脭?shù)據(jù)的過(guò)程。本文主要分析了硬盤文件存儲(chǔ)和讀取的原理，以及數(shù)據(jù)恢復(fù)的原理，論述了硬盤數(shù)據(jù)損壞或丟失的原因和類型，以及相應(yīng)的恢復(fù)方法。

關(guān)鍵詞：硬盤 ; 數(shù)據(jù) ; 文件 ; 數(shù)據(jù)恢復(fù)

Technical Analysis Of The Computer Harddisk Data Recovery

LIU Bao-li

（The Computer Information Management College of Inner Mongolia University Of Finance and Economics，Hohhot Inner Mongolia 010070）

Abstract：The harddisk is the main data storage devices in a computer system, due to various reasons, the harddisk data will be damaged or missing. Data recovery is to damage or loss of data on hard disk back to revert to normal data process. This article mainly analyzes the principle of harddisk files are stored and read, and the principle of data recovery. And this article discusses the harddisk data type and the reason of damage or loss, and the corresponding recovery method.

Keywords：Harddisk ; Data ; File ; Data recovery

硬盤是計(jì)算機(jī)系統(tǒng)中最主要的外部存儲(chǔ)設(shè)備，由于其容量大、速度快以及可以斷電保存的特點(diǎn)，所以被廣泛用于存儲(chǔ)各類軟件和數(shù)據(jù)。對(duì)于信息時(shí)代的我們來(lái)說(shuō)，數(shù)據(jù)存儲(chǔ)越來(lái)越重要，硬盤數(shù)據(jù)的損壞或丟失有時(shí)會(huì)給我們?cè)斐蔁o(wú)法估量的損失。

硬盤數(shù)據(jù)恢復(fù)是指通過(guò)技術(shù)手段，將保存在計(jì)算機(jī)硬盤上損壞或丟失的數(shù)據(jù)還原為正?？捎脭?shù)據(jù)的過(guò)程。通常情況下的硬盤數(shù)據(jù)恢復(fù)分為邏輯恢復(fù)和物理恢復(fù)，邏輯恢復(fù)是指對(duì)硬盤誤操作而格式化、誤刪除文件、突然斷電以及系統(tǒng)感染計(jì)算機(jī)病毒等造成的數(shù)據(jù)丟失的恢復(fù)；物理恢復(fù)是指由于硬盤磁頭變形或定位不準(zhǔn)、盤片劃傷、電機(jī)故障、控制芯片或電路板燒壞等硬件損壞造成數(shù)據(jù)丟失的恢復(fù)。物理恢復(fù)涉及物理設(shè)備的硬件維修，只能將硬盤交給專業(yè)維修人員進(jìn)行處理了，本文只論述硬盤數(shù)據(jù)的邏輯恢復(fù)。

1.硬盤文件的存儲(chǔ)與讀取原理

在存儲(chǔ)文件的時(shí)候，操作系統(tǒng)首先會(huì)在硬盤上記錄所有空間使用情況的文件分配表中，找到足夠容納新文件的空間，然后把文件內(nèi)容寫到相應(yīng)的扇區(qū)上，最后在分配表中標(biāo)出該空間被占用了。在刪除文件的時(shí)候，一般并不對(duì)文件所占用的扇區(qū)數(shù)據(jù)進(jìn)行操作，而僅僅是在該分配表中標(biāo)記哪些空間是空白的，可以分配給其他文件使用，被刪除文件的實(shí)際內(nèi)容并沒(méi)有被破壞，可以恢復(fù)回來(lái)。但是如果刪除一個(gè)文件后，在文件原來(lái)所在的扇區(qū)上，又存儲(chǔ)了一個(gè)新文件，那么被刪除文件所占用的扇區(qū)就可能被新的文件占用，這時(shí)就可能無(wú)法恢復(fù)被刪除的文件了。

文件的讀?。翰僮飨到y(tǒng)首先從目錄表(DIR)區(qū)中讀取有關(guān)文件信息，即文件主名、擴(kuò)展名、文件占用字節(jié)大小、文件建立和修改的日期，以及該文件在數(shù)據(jù)區(qū)(DATA)中存儲(chǔ)的第一個(gè)簇的簇號(hào)。然后操作系統(tǒng)從這個(gè)簇中讀取相應(yīng)的數(shù)據(jù)，接著判斷該簇號(hào)在文件分配表（FAT）中所代表的單元的內(nèi)容是否為“FF”，如果是則表示文件結(jié)束。否則從該處讀取下一個(gè)簇的簇號(hào)，再讀取該簇號(hào)所代表單元的內(nèi)容，這種讀取操作會(huì)一直重復(fù)下去直到文件結(jié)束標(biāo)志為止。

文件的存儲(chǔ)：當(dāng)保存文件時(shí)，操作系統(tǒng)首先是在硬盤的目錄表(DIR)區(qū)中找到空閑位置寫入文件名、文件字節(jié)大小和創(chuàng)建時(shí)間等信息，然后在數(shù)據(jù)區(qū)(DATA中)找到空閑位置將文件保存，并將數(shù)據(jù)區(qū)的第一個(gè)簇寫入目錄表中，同時(shí)完成文件分配表(FAT)的填寫。

文件的刪除：文件的刪除操作只是將目錄區(qū)中文件的第一個(gè)字節(jié)內(nèi)容改為“E5”，表示該文件被刪除了，同時(shí)改寫引導(dǎo)扇區(qū)的第二個(gè)扇區(qū)中表示該分區(qū)占用空間大小的相應(yīng)信息。而硬盤的高級(jí)格式化操作只是重寫了文件分配表(FAT)，并沒(méi)有把數(shù)據(jù)區(qū)中的數(shù)據(jù)刪除，至于硬盤分區(qū)操作也只是修改了主引導(dǎo)扇區(qū)和操作系統(tǒng)扇區(qū)，大部分的數(shù)據(jù)區(qū)中的內(nèi)容并沒(méi)有改變。

從以上的數(shù)據(jù)存儲(chǔ)原理的得知，刪除文件或格式化等操作只是硬盤邏輯結(jié)構(gòu)發(fā)生了改變，數(shù)據(jù)原來(lái)內(nèi)容并沒(méi)有損壞或丟失，還是存留在物理磁盤中。因此，只要使用某些數(shù)據(jù)恢復(fù)軟件將文件的刪除標(biāo)志去掉，并把文件在硬盤中的邏輯結(jié)構(gòu)還原，就可以恢復(fù)硬盤上的數(shù)據(jù)了。不過(guò)數(shù)據(jù)恢復(fù)的前提是在誤格式化硬盤和誤刪除文件后，不能在硬盤上寫入任何其他數(shù)據(jù)或者執(zhí)行低級(jí)格式化操作。根據(jù)文件寫入的原理，寫入新數(shù)據(jù)可能會(huì)覆蓋原來(lái)的數(shù)據(jù)，這樣的話就可能無(wú)法恢復(fù)數(shù)據(jù)了。

2.硬盤數(shù)據(jù)的恢復(fù)原理

在硬盤內(nèi)部有一個(gè)校驗(yàn)公式，可用來(lái)對(duì)數(shù)據(jù)進(jìn)行完整性校驗(yàn)。校驗(yàn)方法是將每個(gè)扇區(qū)的數(shù)據(jù)內(nèi)容和伺服信息通過(guò)校驗(yàn)公式計(jì)算，得到的值我們稱之為校驗(yàn)和，這個(gè)值是唯一的，也即對(duì)于每個(gè)扇區(qū)其值都不相同。換句話說(shuō)，只要數(shù)據(jù)改變存儲(chǔ)內(nèi)容或存儲(chǔ)扇區(qū)位置，其校驗(yàn)和都不會(huì)相同。對(duì)于數(shù)據(jù)因?yàn)檎`操作而損壞或丟失的情況下，我們可以完全利用這個(gè)數(shù)據(jù)恢復(fù)原理，通過(guò)逆向運(yùn)算找到剩余的原始信息，就能夠把數(shù)據(jù)完整地恢復(fù)出來(lái)。

在對(duì)硬盤的操作中，快速低級(jí)格式化、硬盤分區(qū)、快速高級(jí)格式化（假設(shè)格式化時(shí)沒(méi)有使用/U這個(gè)無(wú)條件格式化參數(shù)）、刪除文件、重整硬盤缺陷列表等操作，都不會(huì)真正將數(shù)據(jù)從數(shù)據(jù)區(qū)Data中實(shí)際抹去?？焖俚图?jí)格式化一般只有硬盤廠家才能實(shí)現(xiàn)，是通過(guò)軟件快速重寫每個(gè)盤面、柱面、扇區(qū)等初始化信息，不會(huì)將扇區(qū)中的數(shù)據(jù)抹掉。硬盤分區(qū)和快速高級(jí)格式化是重新構(gòu)造新的扇區(qū)信息和文件分區(qū)表，不會(huì)對(duì)原來(lái)扇區(qū)中Data區(qū)的數(shù)據(jù)造成影響。刪除文件只是在目錄區(qū)作了刪除標(biāo)記，將文件的地址信息從列表中抹去，而數(shù)據(jù)本身并沒(méi)有真正被刪除，除非在原來(lái)數(shù)據(jù)所在扇區(qū)重新寫入了新的數(shù)據(jù)。重整硬盤缺陷列表是把新的缺陷扇區(qū)加入到G列表或者P列表中，對(duì)于其他扇區(qū)中的數(shù)據(jù)沒(méi)有任何影響。對(duì)于以上這類操作造成硬盤數(shù)據(jù)“損壞”或“丟失”的情況，在進(jìn)行數(shù)據(jù)恢復(fù)時(shí)是比較容易的，關(guān)鍵是在以上操作之后，千萬(wàn)不要在硬盤上寫入任何其他數(shù)據(jù)。因此，各類數(shù)據(jù)恢復(fù)軟件正是利用Data區(qū)中的數(shù)據(jù)不易被改寫，從而根據(jù)其中殘留的種種痕跡來(lái)恢復(fù)數(shù)據(jù)的。

3.硬盤數(shù)據(jù)損壞或丟失的原因

3.1 硬件故障

硬件故障是造成數(shù)據(jù)損壞或丟失的重要原因之一，如供電電壓不穩(wěn)造成系統(tǒng)自動(dòng)重啟、硬盤出現(xiàn)壞道、盤片劃傷、磁頭變形、磁頭臂斷裂、磁頭放大器損壞、芯片組或其它元器件損壞等。硬件故障屬于物理故障，維修工作需要有關(guān)專業(yè)設(shè)備和儀器的支持，所以對(duì)于一般用戶很難掌握，而且由硬件故障造成的數(shù)據(jù)損壞或丟失往往恢復(fù)的可能性很小。因此，避免硬件故障的發(fā)生是防止數(shù)據(jù)丟失的有效途徑，比如定期進(jìn)行檢修維護(hù)、更新?lián)Q代硬件等。

3.2 惡意程序或網(wǎng)絡(luò)非法入侵

惡意程序一般是指網(wǎng)絡(luò)上流行的各種計(jì)算機(jī)病毒，系統(tǒng)感染病毒后會(huì)導(dǎo)致不同程度的系統(tǒng)癱瘓、程序被破壞或數(shù)據(jù)丟失，更為嚴(yán)重的甚至?xí)斐捎脖P損壞、主板BIOS芯片被破壞。計(jì)算機(jī)病毒無(wú)論是改變硬盤引導(dǎo)區(qū)、可執(zhí)行文件，還是Office文檔，都可能影響系統(tǒng)的正常運(yùn)行或?qū)е聰?shù)據(jù)丟失，即使是良性伴隨性病毒，同樣也會(huì)對(duì)數(shù)據(jù)進(jìn)行破壞。除此之外，網(wǎng)絡(luò)黑客的非法入侵也經(jīng)常對(duì)計(jì)算機(jī)系統(tǒng)文件和數(shù)據(jù)進(jìn)行盜取和破壞。因此，有效地防治計(jì)算機(jī)病毒感染和網(wǎng)絡(luò)非法入侵對(duì)于數(shù)據(jù)安全性有著重要的意義。

3.3 誤操作

除了客觀存在的各種因素造成數(shù)據(jù)損壞或丟失的原因外，硬盤數(shù)據(jù)也經(jīng)常因?yàn)槿藶榈卣`操作導(dǎo)致?lián)p壞或丟失。尤其是對(duì)于一些計(jì)算機(jī)初學(xué)者用戶，由于理論知識(shí)不足和實(shí)際操作技能欠缺，有可能會(huì)對(duì)系統(tǒng)進(jìn)行誤操作，如刪除系統(tǒng)重要文件、非正常關(guān)機(jī)、誤將硬盤格式化、重裝系統(tǒng)時(shí)刪除分區(qū)等等都會(huì)造成數(shù)據(jù)的損壞或丟失。 因此，計(jì)算機(jī)的操作人員需要進(jìn)行必要的學(xué)習(xí)和培訓(xùn)，以掌握計(jì)算機(jī)操作的基本技能，這樣也可以減少硬盤數(shù)據(jù)發(fā)生損壞或丟失的可能性。

除以上三種原因外，突然斷電有時(shí)也會(huì)造成硬盤損壞或數(shù)據(jù)丟失，或?qū)е孪到y(tǒng)無(wú)法正常啟動(dòng)、內(nèi)存溢出或者進(jìn)程非法終止而損壞當(dāng)前正在執(zhí)行的數(shù)據(jù)文件。其他情況如軟件更新升級(jí)有時(shí)也會(huì)帶來(lái)一些問(wèn)題，從而造成重要數(shù)據(jù)被破壞。

4.硬盤數(shù)據(jù)損壞類型及恢復(fù)方法

4.1 硬盤分區(qū)表?yè)p壞

導(dǎo)致硬盤分區(qū)表?yè)p壞的原因可以是誤操作或者是計(jì)算機(jī)病毒的破壞，而更通常的原因是硬盤讀寫過(guò)程中突然遇到斷電造成的。如果硬盤在進(jìn)行磁盤整理或者讀寫大量數(shù)據(jù)的情況下，突然斷電就可能造成分區(qū)表?yè)p壞。

恢復(fù)分區(qū)表的損壞使用DiskMan軟件是比較合適的，一般情況下可以很容易地恢復(fù)，而實(shí)際操作中，這種恢復(fù)方法是通過(guò)軟件的算法進(jìn)行的。但是實(shí)際情況是，每個(gè)硬盤的分區(qū)都不可能一樣，而軟件算法是固定的，所以在進(jìn)行分區(qū)表恢復(fù)時(shí)就不可能做到100%的恢復(fù)。跟據(jù)實(shí)際操作證實(shí)，其數(shù)據(jù)恢復(fù)概率只有90％。我們可以先使用DiskMan軟件很容易地恢復(fù)主分區(qū)，然后啟動(dòng)操作系統(tǒng)，再嘗試使用FinalData軟件來(lái)恢復(fù)其他分區(qū)里面的數(shù)據(jù)，通常可以完全恢復(fù)過(guò)來(lái)。DiskMan軟件支持的分區(qū)文件格式很多，即使是NTFS、EXT等格式的分區(qū)表?yè)p壞，也能比較有效地恢復(fù)好。

如果硬盤分區(qū)是FAT或FAT32格式的話，使用NDD（Norton Disk Doctor）軟件修復(fù)分區(qū)會(huì)更有效。操作方法是使用原來(lái)的分區(qū)軟件，按照原來(lái)每個(gè)分區(qū)的大小重新分區(qū)，但是要記住不要在分區(qū)之后作格式化。有些分區(qū)軟件如Partition Magic等，通常在默認(rèn)情況下都是進(jìn)行分區(qū)連帶格式化的，操作時(shí)要首先在設(shè)置里面取消分區(qū)連格式化的選項(xiàng)即可。重新分區(qū)之后，用光盤啟動(dòng)操作系統(tǒng)或者把這塊硬盤連接到另外一臺(tái)計(jì)算機(jī)上面，運(yùn)行NDD軟件，選擇其中的Diagnose進(jìn)行診斷。這時(shí)，NDD會(huì)對(duì)硬盤進(jìn)行全面掃描，如果有問(wèn)題的話，會(huì)顯示提示信息，只要根據(jù)提示選擇修復(fù)項(xiàng)目即可，全部修復(fù)完成后，重新啟動(dòng)機(jī)器，硬盤所有分區(qū)和所有原來(lái)的文件就都完好無(wú)損了。

4.2 零磁道損壞

零磁道損壞劃分為兩類，即邏輯零磁道損壞和物理零磁道損壞。邏輯零磁道是引導(dǎo)扇區(qū)，物理零磁道是主引導(dǎo)扇區(qū)。過(guò)去的老式硬盤，由于主引導(dǎo)扇區(qū)的信息通常是做在硬盤的Firmware上面的，所以硬盤沒(méi)有物理零磁道和邏輯零磁道的區(qū)別，主引導(dǎo)扇區(qū)和引導(dǎo)扇區(qū)的也就沒(méi)有任何區(qū)別，都是指邏輯零磁道。而現(xiàn)代硬盤，硬盤初始化的開(kāi)始位置就是物理零磁道，如果物理零磁道出現(xiàn)損壞的話，無(wú)法完成初始化過(guò)程，通過(guò)軟件方法也就無(wú)法完成修復(fù)了。

現(xiàn)代硬盤的工作原理是，加電之后首先進(jìn)行硬盤初始化，磁頭接收到從硬盤主控制芯片上傳來(lái)的第一道啟動(dòng)指令，然后開(kāi)始讀取主引導(dǎo)扇區(qū)（即物理零磁道）的初始信息，確定硬盤保留區(qū)的位置，然后再讀取硬盤保留區(qū)信息，確定缺陷列表、調(diào)入校驗(yàn)公式、讀入內(nèi)部操作指令等一系列的初始化操作。然后，硬盤開(kāi)始讀取引導(dǎo)扇區(qū)（邏輯零磁道）信息，確定硬盤的起始位置和分區(qū)表位置，讀入分區(qū)表信息。從這個(gè)過(guò)程中我們分析得出，硬盤邏輯零磁道損壞還是可以完成整個(gè)初始化過(guò)程并能夠被系統(tǒng)識(shí)別的，因此也就可以通過(guò)軟件去修復(fù)的。

使用DM軟件修復(fù)這種故障是最有效的，有些開(kāi)發(fā)商的DM軟件中包含有一個(gè)“高級(jí)選項(xiàng)”，點(diǎn)擊進(jìn)入后，選“自定義”選項(xiàng)。其中有一個(gè)項(xiàng)目的選項(xiàng)中，它會(huì)首先詢問(wèn)是否愿意按照硬盤默認(rèn)的磁頭、柱面和扇區(qū)參數(shù)來(lái)對(duì)硬盤進(jìn)行分區(qū)和格式化，既然硬盤邏輯零磁道壞了，應(yīng)選擇“否”，然后DM軟件會(huì)要求輸入相應(yīng)的磁頭、柱面和扇區(qū)信息。如果對(duì)于你使用的品牌的硬盤，運(yùn)行DM軟件沒(méi)有這樣的選項(xiàng)和功能，可以嘗試使用AcronisDiskEditor軟件（在Windows XP/7下運(yùn)行），這款功能較強(qiáng)的扇區(qū)編輯軟件能夠封閉硬盤的邏輯零磁道，可以達(dá)到修復(fù)目的。無(wú)論是DM軟件還是AcronisDiskEditor軟件，因?yàn)椴僮魇艿胶芏嗥渌麠l件的約束，前提是操作系統(tǒng)必須能夠識(shí)別硬盤并且能夠進(jìn)行實(shí)模式操作，否則修復(fù)的可能性不高。

4.3 誤格式化

在DOS高版本系統(tǒng)下執(zhí)行高級(jí)格式化操作命令Format時(shí)，會(huì)在缺省狀態(tài)下建立用于恢復(fù)格式化的磁盤信息，即把硬盤的DOS引導(dǎo)扇區(qū)，文件分配表FAT和目錄表的所有信息復(fù)制到了最后幾個(gè)扇區(qū)中，而數(shù)據(jù)區(qū)中的數(shù)據(jù)沒(méi)有改變。對(duì)于高級(jí)格式化之后的數(shù)據(jù)恢復(fù)，可以使用命令UnFormat，它可以恢復(fù)由Format命令清除的磁盤。不過(guò)UnFormat只能恢復(fù)本地硬盤和軟盤驅(qū)動(dòng)器的磁盤數(shù)據(jù)，而不能恢復(fù)網(wǎng)絡(luò)驅(qū)動(dòng)器上 的數(shù)據(jù)，此外，UnFormat命令除了上面的反格式化功能，還能重新修復(fù)和建立硬盤上的分區(qū)表。

現(xiàn)在UnFormat已經(jīng)退出歷史舞臺(tái)，取而代之的是目前流行的多種數(shù)據(jù)恢復(fù)軟件，如EasyRecovery、SuperRecovery、FinalData、DiskGenius等等，均可以方便的進(jìn)行數(shù)據(jù)恢復(fù)工作。。

此類情況下數(shù)據(jù)恢復(fù)，一般情況下每個(gè)硬盤分區(qū)中FAT都有一個(gè)備份，首先我們必須利用硬盤分區(qū)大小和分區(qū)格式，根據(jù)簇大小計(jì)算出硬盤FAT大小，查找硬盤第一個(gè)FAT位置，再計(jì)算出硬盤第二個(gè)FAT所在扇區(qū)。使用有關(guān)磁盤操作工具或者Winhex工具恢復(fù)文件分配表FAT。

4.4 文件誤刪除

文件刪除后的恢復(fù)方法相對(duì)簡(jiǎn)單。操作系統(tǒng)刪除文件時(shí)進(jìn)行兩個(gè)方面的操作：一是將文件在目錄表DIR中的相應(yīng)文件目錄登記項(xiàng)的第一個(gè)字節(jié)更改為E5；二是將文件所占簇號(hào)在文件分配表FAT中的記錄清零，以釋放該文件所占空間。文件數(shù)據(jù)信息仍然“保留”在硬盤數(shù)據(jù)區(qū)Data中。因此，這種類型的數(shù)據(jù)恢復(fù)只要通過(guò)某些硬盤管理工具或者數(shù)據(jù)恢復(fù)軟件（如EasyRecovery），按照有關(guān)的設(shè)置進(jìn)行操作就可以恢復(fù)數(shù)據(jù)。必須注意的是，恢復(fù)后的文件數(shù)據(jù)一定不能存放在原來(lái)的硬盤分區(qū)中。

綜上所述，在硬盤安裝好操作系統(tǒng)之后最好對(duì)硬盤分區(qū)數(shù)據(jù)和系統(tǒng)的重要數(shù)據(jù)進(jìn)行備份，并且定期對(duì)系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)進(jìn)行備份，做到防患于未然。在這里要提醒大家的是，數(shù)據(jù)恢復(fù)軟件不是萬(wàn)能的，對(duì)損壞或丟失的數(shù)據(jù)有時(shí)可能做不到完全恢復(fù)，所以及時(shí)備份數(shù)據(jù)就顯得更為重要了。

參考文獻(xiàn)：

[1]陳連鎖，劉保利. 微機(jī)組裝與維護(hù)[Ｍ]．北京：清華大學(xué)出版社，2010

[2]張樹(shù). 硬盤故障處理與數(shù)據(jù)維護(hù)[Ｍ]. 北京：電子科技出版社，2012

[3]史濟(jì)民. 微機(jī)硬件基礎(chǔ)[Ｍ]. 北京：電子工業(yè)出版社，2011

[4]張衛(wèi)婷. 硬盤數(shù)據(jù)恢復(fù)原理及實(shí)現(xiàn)綜述[J]. 黑龍江：《電腦學(xué)習(xí)》，2011年02期