計算機(jī)硬盤數(shù)據(jù)恢復(fù)的技術(shù)分析

摘要：硬盤是計算機(jī)系統(tǒng)中最主要的外部存儲設(shè)備，硬盤上存儲的數(shù)據(jù)會因為各種原因遭到損壞或丟失，數(shù)據(jù)恢復(fù)是將硬盤上損壞或丟失的數(shù)據(jù)重新找回來，還原為正常可用數(shù)據(jù)的過程。本文主要分析了硬盤文件存儲和讀取的原理，以及數(shù)據(jù)恢復(fù)的原理，論述了硬盤數(shù)據(jù)損壞或丟失的原因和類型，以及相應(yīng)的恢復(fù)方法。

關(guān)鍵詞：硬盤 ; 數(shù)據(jù) ; 文件 ; 數(shù)據(jù)恢復(fù)

Technical Analysis Of The Computer Harddisk Data Recovery

LIU Bao-li

（The Computer Information Management College of Inner Mongolia University Of Finance and Economics，Hohhot Inner Mongolia 010070）

Abstract：The harddisk is the main data storage devices in a computer system, due to various reasons, the harddisk data will be damaged or missing. Data recovery is to damage or loss of data on hard disk back to revert to normal data process. This article mainly analyzes the principle of harddisk files are stored and read, and the principle of data recovery. And this article discusses the harddisk data type and the reason of damage or loss, and the corresponding recovery method.

Keywords：Harddisk ; Data ; File ; Data recovery

硬盤是計算機(jī)系統(tǒng)中最主要的外部存儲設(shè)備，由于其容量大、速度快以及可以斷電保存的特點，所以被廣泛用于存儲各類軟件和數(shù)據(jù)。對于信息時代的我們來說，數(shù)據(jù)存儲越來越重要，硬盤數(shù)據(jù)的損壞或丟失有時會給我們造成無法估量的損失。

硬盤數(shù)據(jù)恢復(fù)是指通過技術(shù)手段，將保存在計算機(jī)硬盤上損壞或丟失的數(shù)據(jù)還原為正?？捎脭?shù)據(jù)的過程。通常情況下的硬盤數(shù)據(jù)恢復(fù)分為邏輯恢復(fù)和物理恢復(fù)，邏輯恢復(fù)是指對硬盤誤操作而格式化、誤刪除文件、突然斷電以及系統(tǒng)感染計算機(jī)病毒等造成的數(shù)據(jù)丟失的恢復(fù)；物理恢復(fù)是指由于硬盤磁頭變形或定位不準(zhǔn)、盤片劃傷、電機(jī)故障、控制芯片或電路板燒壞等硬件損壞造成數(shù)據(jù)丟失的恢復(fù)。物理恢復(fù)涉及物理設(shè)備的硬件維修，只能將硬盤交給專業(yè)維修人員進(jìn)行處理了，本文只論述硬盤數(shù)據(jù)的邏輯恢復(fù)。

1.硬盤文件的存儲與讀取原理

在存儲文件的時候，操作系統(tǒng)首先會在硬盤上記錄所有空間使用情況的文件分配表中，找到足夠容納新文件的空間，然后把文件內(nèi)容寫到相應(yīng)的扇區(qū)上，最后在分配表中標(biāo)出該空間被占用了。在刪除文件的時候，一般并不對文件所占用的扇區(qū)數(shù)據(jù)進(jìn)行操作，而僅僅是在該分配表中標(biāo)記哪些空間是空白的，可以分配給其他文件使用，被刪除文件的實際內(nèi)容并沒有被破壞，可以恢復(fù)回來。但是如果刪除一個文件后，在文件原來所在的扇區(qū)上，又存儲了一個新文件，那么被刪除文件所占用的扇區(qū)就可能被新的文件占用，這時就可能無法恢復(fù)被刪除的文件了。

文件的讀取：操作系統(tǒng)首先從目錄表(DIR)區(qū)中讀取有關(guān)文件信息，即文件主名、擴(kuò)展名、文件占用字節(jié)大小、文件建立和修改的日期，以及該文件在數(shù)據(jù)區(qū)(DATA)中存儲的第一個簇的簇號。然后操作系統(tǒng)從這個簇中讀取相應(yīng)的數(shù)據(jù)，接著判斷該簇號在文件分配表（FAT）中所代表的單元的內(nèi)容是否為“FF”，如果是則表示文件結(jié)束。否則從該處讀取下一個簇的簇號，再讀取該簇號所代表單元的內(nèi)容，這種讀取操作會一直重復(fù)下去直到文件結(jié)束標(biāo)志為止。

文件的存儲：當(dāng)保存文件時，操作系統(tǒng)首先是在硬盤的目錄表(DIR)區(qū)中找到空閑位置寫入文件名、文件字節(jié)大小和創(chuàng)建時間等信息，然后在數(shù)據(jù)區(qū)(DATA中)找到空閑位置將文件保存，并將數(shù)據(jù)區(qū)的第一個簇寫入目錄表中，同時完成文件分配表(FAT)的填寫。

文件的刪除：文件的刪除操作只是將目錄區(qū)中文件的第一個字節(jié)內(nèi)容改為“E5”，表示該文件被刪除了，同時改寫引導(dǎo)扇區(qū)的第二個扇區(qū)中表示該分區(qū)占用空間大小的相應(yīng)信息。而硬盤的高級格式化操作只是重寫了文件分配表(FAT)，并沒有把數(shù)據(jù)區(qū)中的數(shù)據(jù)刪除，至于硬盤分區(qū)操作也只是修改了主引導(dǎo)扇區(qū)和操作系統(tǒng)扇區(qū)，大部分的數(shù)據(jù)區(qū)中的內(nèi)容并沒有改變。

從以上的數(shù)據(jù)存儲原理的得知，刪除文件或格式化等操作只是硬盤邏輯結(jié)構(gòu)發(fā)生了改變，數(shù)據(jù)原來內(nèi)容并沒有損壞或丟失，還是存留在物理磁盤中。因此，只要使用某些數(shù)據(jù)恢復(fù)軟件將文件的刪除標(biāo)志去掉，并把文件在硬盤中的邏輯結(jié)構(gòu)還原，就可以恢復(fù)硬盤上的數(shù)據(jù)了。不過數(shù)據(jù)恢復(fù)的前提是在誤格式化硬盤和誤刪除文件后，不能在硬盤上寫入任何其他數(shù)據(jù)或者執(zhí)行低級格式化操作。根據(jù)文件寫入的原理，寫入新數(shù)據(jù)可能會覆蓋原來的數(shù)據(jù)，這樣的話就可能無法恢復(fù)數(shù)據(jù)了。

2.硬盤數(shù)據(jù)的恢復(fù)原理

在硬盤內(nèi)部有一個校驗公式，可用來對數(shù)據(jù)進(jìn)行完整性校驗。校驗方法是將每個扇區(qū)的數(shù)據(jù)內(nèi)容和伺服信息通過校驗公式計算，得到的值我們稱之為校驗和，這個值是唯一的，也即對于每個扇區(qū)其值都不相同。換句話說，只要數(shù)據(jù)改變存儲內(nèi)容或存儲扇區(qū)位置，其校驗和都不會相同。對于數(shù)據(jù)因為誤操作而損壞或丟失的情況下，我們可以完全利用這個數(shù)據(jù)恢復(fù)原理，通過逆向運算找到剩余的原始信息，就能夠把數(shù)據(jù)完整地恢復(fù)出來。

在對硬盤的操作中，快速低級格式化、硬盤分區(qū)、快速高級格式化（假設(shè)格式化時沒有使用/U這個無條件格式化參數(shù)）、刪除文件、重整硬盤缺陷列表等操作，都不會真正將數(shù)據(jù)從數(shù)據(jù)區(qū)Data中實際抹去。快速低級格式化一般只有硬盤廠家才能實現(xiàn)，是通過軟件快速重寫每個盤面、柱面、扇區(qū)等初始化信息，不會將扇區(qū)中的數(shù)據(jù)抹掉。硬盤分區(qū)和快速高級格式化是重新構(gòu)造新的扇區(qū)信息和文件分區(qū)表，不會對原來扇區(qū)中Data區(qū)的數(shù)據(jù)造成影響。刪除文件只是在目錄區(qū)作了刪除標(biāo)記，將文件的地址信息從列表中抹去，而數(shù)據(jù)本身并沒有真正被刪除，除非在原來數(shù)據(jù)所在扇區(qū)重新寫入了新的數(shù)據(jù)。重整硬盤缺陷列表是把新的缺陷扇區(qū)加入到G列表或者P列表中，對于其他扇區(qū)中的數(shù)據(jù)沒有任何影響。對于以上這類操作造成硬盤數(shù)據(jù)“損壞”或“丟失”的情況，在進(jìn)行數(shù)據(jù)恢復(fù)時是比較容易的，關(guān)鍵是在以上操作之后，千萬不要在硬盤上寫入任何其他數(shù)據(jù)。因此，各類數(shù)據(jù)恢復(fù)軟件正是利用Data區(qū)中的數(shù)據(jù)不易被改寫，從而根據(jù)其中殘留的種種痕跡來恢復(fù)數(shù)據(jù)的。

3.硬盤數(shù)據(jù)損壞或丟失的原因

3.1 硬件故障

硬件故障是造成數(shù)據(jù)損壞或丟失的重要原因之一，如供電電壓不穩(wěn)造成系統(tǒng)自動重啟、硬盤出現(xiàn)壞道、盤片劃傷、磁頭變形、磁頭臂斷裂、磁頭放大器損壞、芯片組或其它元器件損壞等。硬件故障屬于物理故障，維修工作需要有關(guān)專業(yè)設(shè)備和儀器的支持，所以對于一般用戶很難掌握，而且由硬件故障造成的數(shù)據(jù)損壞或丟失往往恢復(fù)的可能性很小。因此，避免硬件故障的發(fā)生是防止數(shù)據(jù)丟失的有效途徑，比如定期進(jìn)行檢修維護(hù)、更新?lián)Q代硬件等。

3.2 惡意程序或網(wǎng)絡(luò)非法入侵

惡意程序一般是指網(wǎng)絡(luò)上流行的各種計算機(jī)病毒，系統(tǒng)感染病毒后會導(dǎo)致不同程度的系統(tǒng)癱瘓、程序被破壞或數(shù)據(jù)丟失，更為嚴(yán)重的甚至?xí)斐捎脖P損壞、主板BIOS芯片被破壞。計算機(jī)病毒無論是改變硬盤引導(dǎo)區(qū)、可執(zhí)行文件，還是Office文檔，都可能影響系統(tǒng)的正常運行或?qū)е聰?shù)據(jù)丟失，即使是良性伴隨性病毒，同樣也會對數(shù)據(jù)進(jìn)行破壞。除此之外，網(wǎng)絡(luò)黑客的非法入侵也經(jīng)常對計算機(jī)系統(tǒng)文件和數(shù)據(jù)進(jìn)行盜取和破壞。因此，有效地防治計算機(jī)病毒感染和網(wǎng)絡(luò)非法入侵對于數(shù)據(jù)安全性有著重要的意義。

3.3 誤操作

除了客觀存在的各種因素造成數(shù)據(jù)損壞或丟失的原因外，硬盤數(shù)據(jù)也經(jīng)常因為人為地誤操作導(dǎo)致?lián)p壞或丟失。尤其是對于一些計算機(jī)初學(xué)者用戶，由于理論知識不足和實際操作技能欠缺，有可能會對系統(tǒng)進(jìn)行誤操作，如刪除系統(tǒng)重要文件、非正常關(guān)機(jī)、誤將硬盤格式化、重裝系統(tǒng)時刪除分區(qū)等等都會造成數(shù)據(jù)的損壞或丟失。 因此，計算機(jī)的操作人員需要進(jìn)行必要的學(xué)習(xí)和培訓(xùn)，以掌握計算機(jī)操作的基本技能，這樣也可以減少硬盤數(shù)據(jù)發(fā)生損壞或丟失的可能性。

除以上三種原因外，突然斷電有時也會造成硬盤損壞或數(shù)據(jù)丟失，或?qū)е孪到y(tǒng)無法正常啟動、內(nèi)存溢出或者進(jìn)程非法終止而損壞當(dāng)前正在執(zhí)行的數(shù)據(jù)文件。其他情況如軟件更新升級有時也會帶來一些問題，從而造成重要數(shù)據(jù)被破壞。

4.硬盤數(shù)據(jù)損壞類型及恢復(fù)方法

4.1 硬盤分區(qū)表損壞

導(dǎo)致硬盤分區(qū)表損壞的原因可以是誤操作或者是計算機(jī)病毒的破壞，而更通常的原因是硬盤讀寫過程中突然遇到斷電造成的。如果硬盤在進(jìn)行磁盤整理或者讀寫大量數(shù)據(jù)的情況下，突然斷電就可能造成分區(qū)表損壞。

恢復(fù)分區(qū)表的損壞使用DiskMan軟件是比較合適的，一般情況下可以很容易地恢復(fù)，而實際操作中，這種恢復(fù)方法是通過軟件的算法進(jìn)行的。但是實際情況是，每個硬盤的分區(qū)都不可能一樣，而軟件算法是固定的，所以在進(jìn)行分區(qū)表恢復(fù)時就不可能做到100%的恢復(fù)。跟據(jù)實際操作證實，其數(shù)據(jù)恢復(fù)概率只有90％。我們可以先使用DiskMan軟件很容易地恢復(fù)主分區(qū)，然后啟動操作系統(tǒng)，再嘗試使用FinalData軟件來恢復(fù)其他分區(qū)里面的數(shù)據(jù)，通?？梢酝耆謴?fù)過來。DiskMan軟件支持的分區(qū)文件格式很多，即使是NTFS、EXT等格式的分區(qū)表損壞，也能比較有效地恢復(fù)好。

如果硬盤分區(qū)是FAT或FAT32格式的話，使用NDD（Norton Disk Doctor）軟件修復(fù)分區(qū)會更有效。操作方法是使用原來的分區(qū)軟件，按照原來每個分區(qū)的大小重新分區(qū)，但是要記住不要在分區(qū)之后作格式化。有些分區(qū)軟件如Partition Magic等，通常在默認(rèn)情況下都是進(jìn)行分區(qū)連帶格式化的，操作時要首先在設(shè)置里面取消分區(qū)連格式化的選項即可。重新分區(qū)之后，用光盤啟動操作系統(tǒng)或者把這塊硬盤連接到另外一臺計算機(jī)上面，運行NDD軟件，選擇其中的Diagnose進(jìn)行診斷。這時，NDD會對硬盤進(jìn)行全面掃描，如果有問題的話，會顯示提示信息，只要根據(jù)提示選擇修復(fù)項目即可，全部修復(fù)完成后，重新啟動機(jī)器，硬盤所有分區(qū)和所有原來的文件就都完好無損了。

4.2 零磁道損壞

零磁道損壞劃分為兩類，即邏輯零磁道損壞和物理零磁道損壞。邏輯零磁道是引導(dǎo)扇區(qū)，物理零磁道是主引導(dǎo)扇區(qū)。過去的老式硬盤，由于主引導(dǎo)扇區(qū)的信息通常是做在硬盤的Firmware上面的，所以硬盤沒有物理零磁道和邏輯零磁道的區(qū)別，主引導(dǎo)扇區(qū)和引導(dǎo)扇區(qū)的也就沒有任何區(qū)別，都是指邏輯零磁道。而現(xiàn)代硬盤，硬盤初始化的開始位置就是物理零磁道，如果物理零磁道出現(xiàn)損壞的話，無法完成初始化過程，通過軟件方法也就無法完成修復(fù)了。

現(xiàn)代硬盤的工作原理是，加電之后首先進(jìn)行硬盤初始化，磁頭接收到從硬盤主控制芯片上傳來的第一道啟動指令，然后開始讀取主引導(dǎo)扇區(qū)（即物理零磁道）的初始信息，確定硬盤保留區(qū)的位置，然后再讀取硬盤保留區(qū)信息，確定缺陷列表、調(diào)入校驗公式、讀入內(nèi)部操作指令等一系列的初始化操作。然后，硬盤開始讀取引導(dǎo)扇區(qū)（邏輯零磁道）信息，確定硬盤的起始位置和分區(qū)表位置，讀入分區(qū)表信息。從這個過程中我們分析得出，硬盤邏輯零磁道損壞還是可以完成整個初始化過程并能夠被系統(tǒng)識別的，因此也就可以通過軟件去修復(fù)的。

使用DM軟件修復(fù)這種故障是最有效的，有些開發(fā)商的DM軟件中包含有一個“高級選項”，點擊進(jìn)入后，選“自定義”選項。其中有一個項目的選項中，它會首先詢問是否愿意按照硬盤默認(rèn)的磁頭、柱面和扇區(qū)參數(shù)來對硬盤進(jìn)行分區(qū)和格式化，既然硬盤邏輯零磁道壞了，應(yīng)選擇“否”，然后DM軟件會要求輸入相應(yīng)的磁頭、柱面和扇區(qū)信息。如果對于你使用的品牌的硬盤，運行DM軟件沒有這樣的選項和功能，可以嘗試使用AcronisDiskEditor軟件（在Windows XP/7下運行），這款功能較強(qiáng)的扇區(qū)編輯軟件能夠封閉硬盤的邏輯零磁道，可以達(dá)到修復(fù)目的。無論是DM軟件還是AcronisDiskEditor軟件，因為操作受到很多其他條件的約束，前提是操作系統(tǒng)必須能夠識別硬盤并且能夠進(jìn)行實模式操作，否則修復(fù)的可能性不高。

4.3 誤格式化

在DOS高版本系統(tǒng)下執(zhí)行高級格式化操作命令Format時，會在缺省狀態(tài)下建立用于恢復(fù)格式化的磁盤信息，即把硬盤的DOS引導(dǎo)扇區(qū)，文件分配表FAT和目錄表的所有信息復(fù)制到了最后幾個扇區(qū)中，而數(shù)據(jù)區(qū)中的數(shù)據(jù)沒有改變。對于高級格式化之后的數(shù)據(jù)恢復(fù)，可以使用命令UnFormat，它可以恢復(fù)由Format命令清除的磁盤。不過UnFormat只能恢復(fù)本地硬盤和軟盤驅(qū)動器的磁盤數(shù)據(jù)，而不能恢復(fù)網(wǎng)絡(luò)驅(qū)動器上 的數(shù)據(jù)，此外，UnFormat命令除了上面的反格式化功能，還能重新修復(fù)和建立硬盤上的分區(qū)表。

現(xiàn)在UnFormat已經(jīng)退出歷史舞臺，取而代之的是目前流行的多種數(shù)據(jù)恢復(fù)軟件，如EasyRecovery、SuperRecovery、FinalData、DiskGenius等等，均可以方便的進(jìn)行數(shù)據(jù)恢復(fù)工作。。

此類情況下數(shù)據(jù)恢復(fù)，一般情況下每個硬盤分區(qū)中FAT都有一個備份，首先我們必須利用硬盤分區(qū)大小和分區(qū)格式，根據(jù)簇大小計算出硬盤FAT大小，查找硬盤第一個FAT位置，再計算出硬盤第二個FAT所在扇區(qū)。使用有關(guān)磁盤操作工具或者Winhex工具恢復(fù)文件分配表FAT。

4.4 文件誤刪除

文件刪除后的恢復(fù)方法相對簡單。操作系統(tǒng)刪除文件時進(jìn)行兩個方面的操作：一是將文件在目錄表DIR中的相應(yīng)文件目錄登記項的第一個字節(jié)更改為E5；二是將文件所占簇號在文件分配表FAT中的記錄清零，以釋放該文件所占空間。文件數(shù)據(jù)信息仍然“保留”在硬盤數(shù)據(jù)區(qū)Data中。因此，這種類型的數(shù)據(jù)恢復(fù)只要通過某些硬盤管理工具或者數(shù)據(jù)恢復(fù)軟件（如EasyRecovery），按照有關(guān)的設(shè)置進(jìn)行操作就可以恢復(fù)數(shù)據(jù)。必須注意的是，恢復(fù)后的文件數(shù)據(jù)一定不能存放在原來的硬盤分區(qū)中。

綜上所述，在硬盤安裝好操作系統(tǒng)之后最好對硬盤分區(qū)數(shù)據(jù)和系統(tǒng)的重要數(shù)據(jù)進(jìn)行備份，并且定期對系統(tǒng)數(shù)據(jù)和用戶數(shù)據(jù)進(jìn)行備份，做到防患于未然。在這里要提醒大家的是，數(shù)據(jù)恢復(fù)軟件不是萬能的，對損壞或丟失的數(shù)據(jù)有時可能做不到完全恢復(fù)，所以及時備份數(shù)據(jù)就顯得更為重要了。

參考文獻(xiàn)：

[1]陳連鎖，劉保利. 微機(jī)組裝與維護(hù)[Ｍ]．北京：清華大學(xué)出版社，2010

[2]張樹. 硬盤故障處理與數(shù)據(jù)維護(hù)[Ｍ]. 北京：電子科技出版社，2012

[3]史濟(jì)民. 微機(jī)硬件基礎(chǔ)[Ｍ]. 北京：電子工業(yè)出版社，2011

[4]張衛(wèi)婷. 硬盤數(shù)據(jù)恢復(fù)原理及實現(xiàn)綜述[J]. 黑龍江：《電腦學(xué)習(xí)》，2011年02期