标题: 恢复硬盘数据 [打印本页]

---

作者: 雪狐    时间: 2004-12-8 14:17     标题: 恢复硬盘数据

个人电脑的数据安全性是非常差的，硬盘作为最主要的存储设备却又恰恰是个人电脑中最不可靠、最脆弱的零部件，非常容易出现故障而导致数据的丢失。另外，操作系统的脆弱、病毒、误操作等问题也容易造成数据的丢失。但事实上，除了硬盘的硬件损坏所造成的数据丢失问题，大部分情况下的数据是可以恢复的，而且如果您在问题发生之前就已经建立起自己的数据恢复策略，则恢复的机率可达到95%以上。
本文将为您介绍在问题发生之前需要我们了解的知识，和在问题发生时应该采取的处理措施以及数据恢复软件的操作方法。
基础知识
说到数据恢复，就不能不提到硬盘的数据结构和文件的存储原理，在以往没有专用的数据恢复软件时，“手工”恢复数据依靠的也就是这些知识。虽然现在我们主要依靠专用软件来恢复数据，但这些知识也是您在恢复硬盘数据时不得不利用的基本知识。而且当您完全掌握了这些知识以后，您就可以准确地判断所丢失的数据是否可以恢复，懂得日常应该如何整理数据，在进行数据恢复时就会更加得心应手。
系统启动原理
一个已经投入使用的硬盘一般被划分为主引导区、操作系统引导区、文件分配表、目录分配表和数据存储区五个部分。
电脑系统启动时，从BIOS设置中获取硬盘的信息并装载主引导区的信息，主引导记录将首先检查分区表信息并将控制权交给位于活动分区的操作系统引导记录。
主引导区在Windows操作系统上由Fdisk等分区程序负责建立，由于电脑系统在启动时将在第一时间装载主引导记录，具有比操作系统优先的控制权，因此该区域是许多病毒都试图侵占的地方，出现错误导致整个硬盘的数据无法访问的机率也较高。
当主引导记录出现错误时，系统就无法准确识别硬盘，启动时也很少给出提示信息。而分区表错误虽然有许多种类型，一般系统都能够准确地指出错误的原因，例如缺少活动分区等等，此类错误可以归类为无法识别硬盘，在下面的恢复操作中将指明应该使用的方式。
在主引导记录之后，获得控制权的是操作系统引导记录，操作系统引导记录将通过分区信息记录获得分区的起止位置，了解分区的大小，并按照所属操作系统的文件格式读取文件分配表和目录分配表，找到需要的启动程序，例如IO.SYS、MSDOS.SYS。不同的操作系统引导记录不同，所需的启动程序也不同，在微软的操作系统上，操作系统引导区在安装系统或者使用SYS、Format/S命令时建立。当操作系统引导区出现错误时，系统只是无法启动，并不会造成数据的丢失。
数据的存取原理
电脑系统在硬盘上存取数据时将用到文件分配表、目录分配表和数据存储区，电脑系统将硬盘的数据存储区以簇为单位划分并编号使用。当系统读取数据时，首先通过目录分配表获得文件的起始簇位置，并在此开始读取，然后通过文件分配表了解该簇是否有后继簇，有则继续读取，直至一个指明没有后继簇的结束簇，完成文件的读取操作。
在保存文件时，也需要通过文件分配表找到哪些簇是可以使用的，将数据存储到第一个可用簇后，如果还有数据没有存储就查找第二个可用簇，并且在文件分配表中为第一个簇指明后继簇的位置，重复操作至数据存储完毕后，在目录分配表中记录下文件的名称、属性、初始簇等信息。
需要注意，在使用删除、快速格式化、标准格式化等命令操作硬盘时，数据存储区的内容并没有被清除，这就为数据恢复提供了可能。另外，由于文件分配表的重要性，硬盘上将另外留有一份备份，这也是Scandisk之类的硬盘检查软件能够修复硬盘数据错误的原因。
通过系统存取数据的原理可以得知，当文件分配表、目录分配表等索引信息损坏时，我们将只能通过直接读取簇内的数据来进行数据恢复。可见，经常检查硬盘错误可以避免在丢失数据时由于需要的信息丢失而无法恢复的问题。也可以得知，为何硬盘使用一段时间后会出现所谓的硬盘碎片（也就是一个文件所使用的簇并不是连续的）。
在需要通过读取簇内容来恢复数据时不难想像，一个没有硬盘碎片的硬盘恢复起来会容易很多。因此，在日常操作中经常整理硬盘不只是一种可以提高硬盘效率的工作，还是一种可以提高数据恢复机率的好习惯。
此外，由于NTFS格式增加了一个索引文件信息的主文件表，而且在存储数据时系统将在存储工作完成后将存储的结果与源数据进行比较以确认操作的正确性，因此使用NTFS格式的硬盘数据更为安全，当发生数据丢失问题时可恢复的程度也较高。
数据恢复软件的安装与设置
目前，大约有30种数据恢复软件可供我们选择，其中EasyRecovery、GetDataBack、FinalData、R-Studio是最有名的几个。这里推荐您选择FinalData www.finaldata.com）下面以FinalData为例，详细介绍它的操作方法和在各种情况下恢复数据的操作步骤。该软件提供中文版本，并且还具有保护数据的功能，通过软件内建的删除管理功能可以有效地保护数据，进而能极大地提高恢复机率。
软件的下载与安装
FinalData分为普通版、企业版等多种版本，企业版本的功能更强，支持的操作系统也更多。您可以在该软件的网站上下载该软件，也可以通过Google www.google.com）搜索引擎搜索国内的下载地址。
需要注意，测试版本的FinalData虽然可以进行所有的操作，但却无法将要恢复的文件存储起来，要真正使用它来恢复数据，需要购买该软件。
FinalData的安装步骤极为简单，只需要一直按“下一步”按钮就可以完成。但需要特别提醒您注意的是，如果您安装软件时已有需要恢复的数据，那么绝对不要将软件安装在等待恢复数据的硬盘分区上，最理想的方法是将软件安装在另外一块硬盘上。

安装FinalData。
文件删除管理器
安装完成后，安装向导将弹出一个询问用户是否需要安装“文件删除管理器”的对话框。如果安装“文件删除管理器”，FinalData将维护一个日志文件，在系统删除文件时保存文件的目录信息，同时还能够避免可恢复文件被新的数据所覆盖，可以提高被删除文件的可恢复机率。
注意，如果您安装FinalData只是用来恢复已丢失的数据，您可以选择现在不安装“文件删除管理器”，防止安装该功能时生成的日志文件将已丢失的数据覆盖掉。以后可以从FinalData的主界面上通过“磁盘管理”菜单的“文件删除管理器”选项安装和配置相关的设置。
如果您选择了安装“文件删除管理”，安装程序将进一步询问您将分配多少硬盘空间用以保存记录文件删除信息的日志文件。该日志文件将记录文件被删除时所修改的文件信息和目录信息。缺省文件大小限制是10MB，如果被删除文件小于该限制，整个文件会被备份，否则只有文件信息和目录信息会被备份。
如果您选择了“管理删除的文件而不考虑文件大小”选项，则被删除的文件无论大小，都将被记录在“日志文件”中。当被删除文件大于100MB时，对系统性能将有较大的影响，所以使用该选项应慎重。

设置要维护文件的大小。
选择了日志文件的可用空间大小后，“文件删除管理器”将开始生成一个日志文件，根据硬盘的大小，这一过程将会持续几分钟。
需要注意，在默认情况下，“文件删除管理”的缺省设置对所有的文件起作用，FinalData将记录系统内任何文件夹中的任何文件被删除时的信息。而一般情况下我们需要特别保护的只是个别文件或者目录，因此您可以在安装完成后，选择FinalData主界面上的“磁盘管理”菜单中的“文件删除管理器”选项，选择“应用到下列文件夹”，然后通过“添加”和“删除”按钮来添加或者删除需要保护的文件目录，“文件删除管理”将只对该窗口中列出的目录及其子目录进行保护。

保护个别文件或目录。
另外，您还可以通过“磁盘管理”菜单中的“例外”功能来避免“文件删除管理”备份临时文件等不必要保护的数据，降低系统消耗。“例外”功能的设置包括“例外的目录”和“例外的文件类型”，从“例外的目录”列表中删除的文件或者目录将不会被记录到日志文件中。您可以将临时文件目录、软件缓存目录、历史信息目录等加入到“例外的目录”中以降低日志文件占用的磁盘空间。在“例外的文件类型”列表中，您可以定义带有哪一种扩展名的文件不需要被保护。

添加不被保护的文件类型。
设置
在“文件删除管理器”完成了建立日志文件的工作以后，我们可以从“开始”菜单 “FinalData”程序组中启动该软件，这里使用的是FinalData企业版2.0版本。软件打开后，看到软件的主界面上方有一个工具栏，下方是一个分为左右两侧的窗口，左方窗口用于显示文件的目录树，而右方窗口显示对应目录内的文件列表。
选择FinalData“文件”菜单的“设置”选项或者单击主界面上方工具栏中的“设置”图标，可以改变FinalData的一些设置。
“设置”窗口包括“列”、“文件列表”和“电子邮件选项”三个选项卡。“列”选项卡允许您改变浏览目录内容时所显示的项目。“电子邮件选项”可以选择在电子邮件恢复时是否只有邮件文件可被预览，而邮件中的图片不被显示，以及是否需要使用精确查找方式来恢复电子邮件。如果邮件被删除很长时间或者邮件头被破坏，使用精确查找将提高找到邮件的机会，但扫描时间将会大大增加。
“文件列表”用来设置文件显示方式和一些恢复设置，其中包含有以下多项内容。
“已删除的文件名称”用于定义用哪一个字符来代替被删除文件中已被删除的第一个字符。上面曾经介绍过，系统在删除文件时并不删除文件的数据，而是通过改变文件的第一个字符标识该文件已经被删除。在文件使用长文件名时，通常可以通过存储在数据存储区的目录信息恢复完整的名称，但如果使用老式的短文件名称（所谓的8+3，名称8个字符和3个字符长度的扩展名），恢复时可能无法恢复完整的文件名称，而需要指定替换的字符。
“默认文件大小”是指当目录信息被破坏，文件大小不可知时，缺省的文件大小。
“使用系统图标”是指是否使用Windows注册的缺省图标表示找到的文件，也就是使用Windows资源管理器“工具”菜单中“文件夹选项”的“文件类型”中指定的图标，如果您不选择这个选项，FinalData将用自己的图标，在连续簇中找到的文件将被标识为“C”，破坏的文件标示为“D”，分散簇的文件标示为“F”，其他正常文件则没有特别的标识符。
“查找所有簇中损坏的文件”是设置FinalData是否需要对整个硬盘包括引导区、文件分配表、目录分配表和数据存储区进行扫描，选中该选项可使已被删除的分区中的数据仍有可能被找到，如果不选中该项，则只有数据存储区会被扫描。由于对整个硬盘进行扫描将大大降低扫描效率，所以在对正常删除的文件进行恢复时不应该选中该项。
“忽略坏扇区”是设置FinalData在扫描硬盘过程中发现损坏的扇区时，需不需要询问您是否忽略该扇区，如果您选中该项，FinalData将自动跳过该扇区而不再进行提示。
恢复数据

接下来，我们将具体介绍在不同情况下应该如何操作软件恢复数据。
选择目标
完成了FinalData的设置工作以后，我们将进入恢复数据的操作。首先是通过主界面上“文件”菜单的“打开”选项选择需要恢复数据的硬盘或者分区，如果当前系统可以识别硬盘的信息，也就是在主引导区和分区表没有被破坏的情况下，您可以通过“逻辑驱动器”列表选择包含想要恢复数据的分区。如果由于格式化或者分区信息被破坏等原因导致逻辑驱动器不能识别，那么您就必须从“物理驱动器”中来选择相应的硬盘。选择后单击“确认”按钮，FinalData将在选定的分区或者硬盘上进行扫描。

选择驱动器。
需要注意，在使用“物理驱动器”方式恢复数据时，如果FinalData能够自动识别丢失分区的文件系统格式，将显示该硬盘上的逻辑驱动器供您选择，如果不能够识别，您必须通过“查找格式”按钮手工进行操作。首先选择“物理驱动器”中需要恢复数据的硬盘并且点击“查找格式”按钮，FinalData将在丢失的分区里以簇为单位进行磁盘的分析和检索，用以查找文件系统。查找后将显示找到的结果，如果找到的文件系统格式和您丢失数据前的一致，可以单击“选择格式”，并对所需分区进行检索。否则单击“继续”来查找下一个可能包含丢失数据的文件系统，直到正确为止。

查找格式。
目录扫描
FinalData在逻辑驱动器或者物理硬盘上扫描时，将自动分析文件分配表和目录分配表信息，并且在数据存储区中对应的位置查找数据。扫描的步骤分为“目录扫描”和“簇扫描”两步。由于在系统删除文件时，实际上只有文件或者目录名称的第一个字符会被删掉。所以在FinalData通过扫描目录分配表完成“目录扫描”时，所有可以被恢复的已删除文件就应该都找到了。
如果您要恢复的只是误删除的文件，可以在“目录扫描”结束时单击“取消”按钮取消“簇扫描”的操作，然后开始浏览找到的目录与文件以寻找要恢复的文件。
另外，如果仅仅是文件分配表被破坏，FinalData也能够通过“目录扫描”找到要恢复的数据。但是，如果目录分配表也被破坏了，或者在Windows NT/2000/XP之类的操作系统上删除了文件并清除了回收站，而且文件没有被“文件删除管理”所保护的话，则必须通过“簇扫描”才能恢复。

目录扫描。
簇扫描
如果是其他情况的数据丢失，或者被删除的文件可能已经被其他文件所覆盖，此时将需要通过“簇扫描”来恢复数据（也可以试图对被覆盖的文件恢复部分未被覆盖的数据）。在目录扫描完成后，FinalData将出现一个对话框要求用户选择扫描的簇范围，缺省值是分区的开始位置直到分区结束位置。单击“确认”后，FinalData 将开始对所选范围内的簇进行扫描，查找被破坏的目录和文件。“簇扫描”需要花费较长的时间，随着系统配置的不同，簇扫描所需的时间也不一样。一个8GB的硬盘，平均簇扫描时间约为60分钟。另外，FinalData扫描的速度也受CPU时钟频率以及内存大小的影响。

簇扫描。
扫描结果
在扫描工作结束后，主界面的左边区域将会出现“根目录”、“删除的目录”、“删除的文件”、“丢失的目录”、“丢失的文件”、“最近删除的文件”和“已搜索的文件”七个项目。
“根目录”中是目前正常的目录树；“删除的目录”列出的是被删除的目录清单；“删除的文件”是删除的文件清单；“丢失的目录”是“簇扫描”后找到的目录，同时也包括FinalData发现的由于格式化或者病毒等被破坏的目录清单；“丢失的文件”中列出的是被严重破坏的文件；“最近删除的文件”是“文件删除管理器”功能自动保存的已删除文件，大多数情况下可以完整地恢复出来；“已搜索的文件”是用户使用搜索功能找到的文件。
删除的文件与目录
如果只是恢复误删除的文件，情况将比较简单，在“删除的目录”或者“删除的文件”中很容易就能够找到，特别是已经安装了“文件删除管理器”后删除的被保护文件，在“最近删除的文件”中可以找到完整的文件。
另外，仅仅是文件分配表被破坏的数据也会列在“删除的目录”或者“删除的文件”中以供恢复。但如果是在Windows NT/2000/XP之类的操作系统上删除了文件并清除了回收站的数据，在使用“文件删除管理”保护的情况下可恢复的文件将位于“最近删除文件”，否则将放在“丢失的目录”和“丢失的文件”内。
其他文件与目录
“丢失的文件”中列出的文件虽然被破坏，但如果数据部分依然完好，也可以从“丢失的文件”中恢复。所谓的破坏有可能是部分数据被破坏，也可能是文件的名称或者相关的信息被破坏。通过上面介绍的系统存取数据的原理可以得知，如果目录信息被破坏，FinalData将无法确定被恢复文件的名称和大小，此时FinalData将创建临时文件。文件名称以文件开始的簇进行标号，扩展名则根据文件格式自动确定，而文件的大小将根据在配置菜单中定义的缺省文件大小设定。这种恢复方式可以有效地恢复因硬盘软故障或者病毒导致的目录信息丢失的数据，因为很多时候被破坏的只是记录文件信息的数据而不是实际的文件数据。
搜索文件
如果您找不到要恢复的文件在哪里，可以通过“文件”菜单中的“查找”来搜索，您可以选择“按文件名查找”，在当前分区查找存在的或者已删除的目标文件。也可以选择“按簇查找”，输入开始和结束的簇号，在选定的范围内对现存文件和被删除的文件进行查找（在NTFS文件系统中使用MFT编号）。或者选择“按日期查找”，在下拉菜单中选择“创建日期”或“修改日期”、“最后访问日期”，并输入需要检索的开始和结束日期，查找满足条件的数据。找到的文件将会出现在左侧窗口区域的“已搜索到的文件”项目中。

搜索文件。
恢复文件
当您在列表中找到要恢复的文件后，用鼠标右键单击文件，然后在弹出的快捷菜单中选择“恢复”，或者在“文件”菜单中选择“恢复”命令，并选择存储的位置，就可以恢复数据了。
需要注意，因为目标文件还没有被恢复，所以如果选择保存到当前目标分区，有可能将原始数据覆盖而无法继续恢复。

恢复文件。
另外，不应该把数据保存到根目录，在基础知识中您可以了解到，根目录的目录信息与其他子目录的信息存储方式是有所不同的，将新的数据存储在根目录将影响恢复其他根目录数据的机会。当文件保存后，您就可以通过资源管理器或者相应的应用程序来确认数据是否得到了正确的恢复。
修复Office文件
当要恢复的数据已经被覆盖时，恢复的文件将有一定的破损，破损的文本文件或者图形文件中未损坏部分的内容仍可看到。
但微软的Office系列文件情况不同，如果文件部分损坏，即使文件被恢复出来，也不能正确打开或者即使打开文件内容也不可读。为此，FinalData特别提供一种“修复Office文件”的功能，可以修补文件破损部分或者将未破损部分内容提取出来使之可用，该功能支持Word、Excel、PowerPoint文件。
使用的方法非常简单，当您试图恢复一个Office文件时，可以单击该文件，然后从“修复Office文件”菜单中的“微软Excel修复”、“微软PowerPoint文件修复”、“微软Word文件修复”选项中选择文件的类型，此时将启动Office文件修复向导。向导将帮助您检查文件可恢复的程度，然后将文件进行恢复。
其他功能
FinalData还有许多与数据恢复相关的功能，甚至还可以直接查看和编辑硬盘扇区上的内容。下面挑选两个比较实用的功能向您做一简单介绍。
文件系统信息备份
FinalData可以将分区信息、引导扇区、文件分配表等重要的信息备份起来。这些在系统正常时备份的信息可以在以后恢复数据时使用。例如，如果为某个逻辑驱动器制作了备份文件，您可以在分区信息全部遭到破坏、驱动器不能被识别的情况下进行恢复。
通常我们应该对文件系统信息进行备份，但如果您用多个硬盘组成一个逻辑驱动器（例如上期介绍的一些RAID NTFS动态卷集），则不能对逻辑驱动器进行文件系统备份。要备份文件系统信息，您必须选择一个逻辑驱动器，然后像恢复数据时一样进行操作，当“目录扫描”开始时单击“取消”，然后选择“工具”菜单上的“文件系统信息备份”功能并选择存储的位置即可。
注意，保存备份的文件系统信息时，应该将信息保存在另外的硬盘或者其他移动存储设备上。要对一个已经备份文件系统信息的逻辑驱动器进行数据恢复，可以在选择逻辑驱动器时，在对话框下方的“已保存的文件系统信息”一栏中单击文件夹图标，浏览目录，找到备份的文件。
文件夹保护
在FinalData的“磁盘管理”菜单中，您还可以选择“文件夹保护”功能防止文件和文件夹被删除。使用“文件夹保护”时，您必须设置一个密码。第一次选择“文件夹保护”，FinalData将让您输入要使用的密码，然后您可以在“文件夹保护”对话框中将需要保护的文件夹添加到列表中。当您试图删除“文件夹保护”中已经添加的文件夹中的文件或子文件夹时，将会提示该文件夹不能被删除。如果确认要删除，您只能够再次进入“文件夹保护”对话框将目标文件夹从列表中删除。
由上面的介绍可知，在大多数情况下，丢失受损的硬盘数据都是可以恢复的。
丢失数据时的紧急处理

大部分丢失的数据是可以恢复的，主要在于处理的方法是否恰当。当您发现丢失数据时，应该马上停止一切其他操作，避免新的操作将原来可以恢复的数据覆盖掉。由于Windows操作系统在退出时需要保存设置信息，因此如果没有未保存的重要内容您甚至可以考虑直接关闭电脑的电源。然后将硬盘安装到另外一台电脑上，在新的电脑上安装恢复软件来进行恢复。
如果您的数据非常重要，那么您需要考虑为硬盘做一个镜像后再尝试恢复数据，您可以借助Norton Ghost之类的软件做一个包含已丢失数据的镜像，该软件在将一个硬盘或者分区的内容镜像到另外一个硬盘或者分区上时，使用扇区对扇区的拷贝，即使已经删除的数据也会被拷贝到新的硬盘上。如果您不确定是否曾经改变过该镜像设置，可以在命令行模式下进入Norton Ghost，选择“Options”中的“Image/Tape”选项卡，检查“Image All forces sect-by-sect copy of all partitions.”选项是否处于选中状态。如果您使用的是只能够在Windows下进行设置的版本，可以在该软件的设置选项中有关增加的命令行参数一栏输入增加的参数“-ia”。

借助Norton Ghost为硬盘做镜像。
名词解释
主引导扇区
主引导扇区位于硬盘的0磁道0柱面1扇区，其中包括硬盘的主引导记录（MBR）和分区表（DPT）。分区表负责定义硬盘上各个分区的大小和位置，存储着各分区起止位置等信息。主引导记录中包含了硬盘的一系列参数和一段主引导程序，主引导程序的主要作用是检查分区表是否正确，找到具有激活标志的活动分区上的操作系统引导扇区，并将控制权交给操作系统引导程序。
操作系统引导扇区
操作系统引导扇区通常位于硬盘的0磁道1柱面1扇区（视操作系统不同会有一定的变化），其中包括一个引导程序和一个存储当前分区信息的分区参数记录表（BPB）。引导程序的主要任务是按照操作系统的需要找到启动程序的位置并把控制权交给该文件。BPB参数记录表记录着本分区的起始扇区、结束扇区、文件存储格式、硬盘介质描述符、根目录大小、FAT个数、分配单元的大小等重要参数。
文件分配表和目录分配表
在硬盘上存取数据时，基本单位不是数据单位字节，也不是扇区，而是簇。可用的数据存储区被划分为簇，文件分配表负责记录哪些簇已经被文件占用，并为每个已经占用的簇指明存储后继内容的下一个簇的簇号，对一个文件的最后一簇，则指明本簇无后继簇，如果有已经损坏的簇，则指明是不可使用的簇。
目录分配表记录着根目录中每个文件、目录的起始簇位置，以及文件的属性等（根目录以下的目录信息将存储在数据存储区）。系统在读取数据时，通过目录分配表获得文件的起始簇位置，并在此开始读取，然后通过文件分配表了解该簇是否有后继簇，有则继续读取。在保存文件时，也需要通过文件分配表找到哪些簇是可以使用的，存储后，文件分配表和目录分配表记录下相应的信息。由于文件分配表非常重要，所以在第一个文件分配表之后还有一个备份的文件分配表。
主文件表
使用NTFS格式的硬盘数据结构上有一个新的概念，在所有使用NTFS格式的硬盘中将包含一个称为主文件表 (MFT) 的文件。主文件表是一个映射磁盘中储存的所有对象的索引文件。在主文件表中，NTFS硬盘上的每个文件（包括主文件表自身）至少有一个映射项。主文件表中包含了文件的大小、时间及安全属性和数据位置等数据。

---

欢迎光临 黑色海岸线论坛 (http://bbs.thysea.com/)

Powered by Discuz! 7.2