1.2  数据恢复概述

    在写作本书时，我们在Google® 搜索引擎中输入关键字 “data recovery”， 返回“约

有189 000 000项符合data recovery的查询结果”，输入关键字“数据恢复”，返回“约有

6 700 000项符合数据恢复的查询结果”。在那里列出了许多数据恢复公司和DIY技术高手。这

些搜索结果也包括了某些简单地通过数据备份还原丢失数据的“数据恢复”。在本书中我们对专

业数据恢复的定义是：从损坏的数据载体和损坏或被删除的文件的集合中获得有用数据的过程。

数据载体包括：磁盘、磁带、光盘，半导体存储器等。完成这一过程不但要有高精的技术，而且

还要付出艰苦的劳动。通常数据恢复需要在一个环境良好的专业实验室中进行。还有一个相关

的术语叫“灾难恢复”，它通常是指从一个好的数据备份中恢复丢失的数据。

1.2.1  数据的可恢复性

     数据随时都可能丢失，最重要的问题是：数据还有可能恢复吗？这个问题的答案依赖于

实际发生的情况：是选择数据恢复，还是选择重建丢失的数据。
    一些情况经常非常难于判断。首先，引起数据丢失的原因不明。某些技术人员可能已

经尝试过解决这个问题。另外，硬盘已经使用一些常规的修复方法处理过，比如，使用

过Microsoft 的 “Chkdsk”处理过之后，硬盘数据的可恢复性就很难确定了。本书试

图告诉读者那些数据是可恢复的，那些数据是不可恢复的，应该说明的是我们在本书提到

的“数据可恢复性”的概念，不是指技术理论上的，而是指在“经济上可以承受的数据

恢复”。例如当硬盘数据被覆盖一次后，在技术上数据是可以恢复的，但从经济价格上

看通常是不可恢复的。


1.2.2数据类型影响恢复的成功率

     通常还必须考虑需要恢复的数据的类型，假设我们能够恢复全部丢失文件的90%，

如果这些文件是图片，而且10幅图片恢复了9幅，则我们可以认为这些文件的恢复成

功率是90%。但是，如果这些文件是数据库中的表格并且缺少了10%，则整个数据库

可能变得毫无价值，因为这些数据相互关联，彼此依赖。许多数据都是相互依赖的，

即使是很少一部分数据丢失，也可能引起一次大的数据毁坏。

     还有一个重要的因素决定了数据 “90% 恢复”的实际意义。这个重要的因素

就是“时间尺度”：一次数据恢复的价值，通常随着恢复时间的增加在不断地减少。
     在一些数据恢复公司的网站上经常看到他们宣传自己的成功率超过了90%。没

有任何独立的权威机构证明这些宣传的真实性。事实上，90%的的成功率可能只是对

某一特定型号的硬盘，或仅是他们经过选择的一些特定类型的数据恢复，并不是全

部恢复需求，甚至可能对于一些特定型号的硬盘，其成功率接近于零。
    有些公司在网站上展示的数据恢复成功案例令人惊叹，比如，硬盘被火烧、水

淹、土埋甚至爆炸后数据被成功恢复，但他们却隐藏了大量的由于自然损坏引起的

硬盘故障。其实造成硬盘不能工作的原因在绝大多数情况下都是非常普通的。

它们包括：

• 电子元件或电路板（PCB）开焊
• S.M.A.R.T（Self-Monitoring，Analysis and Reporting Technology）超限
• 固件损毁
• 厂家提供的固件缺陷
• 硬盘存放固件和参数表的“系统区”损坏
• 马达或音圈马达故障（例如：短路或开路）
• 马达轴承“抱死”
• 马达轴承磨损
• 盘片旋转不稳定
• 磁头损坏
• 温度过高
• ……

1.2.3 物理恢复不可能100%的成功 

一般将数据恢复分为物理和逻辑数据恢复两大类。这两个处理过程之间的不同如下： 
（1）从损坏的介质里提取原始数据（物理数据恢复）
（2）重构文件（逻辑数据恢复）
我们经常会遇到纯粹的逻辑数据丢失。例如，文件误删除、误分区、误格式化或病

毒破坏，这些仅需要逻辑重构（2）。另一方面有些情况下的硬盘机械损坏可能只

需要物理恢复（1）就能解决，而不需要逻辑重构，但也有许多物理问题还需要

逻辑重构，这种情况可能就不能100%的恢复数据。

坏硬盘
    一块硬盘如果不能通过任何的软件方法如BIOS、Windows 的磁盘管理器或

磁盘工具 Winhex进行访问，就称之为坏盘。坏盘通常还伴有其他症状， 如电

机不转、有“咔嚓”响声或发出一些奇怪的噪声等。这些硬盘可能是电路板损

坏、磁头损坏、电机损坏或磁介质损坏。对于这些问题，数据恢复公司通常的

解决办法是先在“洁净间”里替换受损的部件，然后镜像该硬盘并做逻辑文件

重构。这种方法有时能够成功，有时不能成功。成功与否依赖于损坏的程度。当硬

盘盘片被加热到“Curie 温度”（金属加热到 770°C）后，即使在理论上数据恢复

也是不可能的，这个温度将使盘片彻底消磁。当硬盘受到外力的强力撞击之后，任何

人都无法保证数据一定能够恢复。如果硬盘盘片处在不平衡状态（如受外力撞击盘

片变形），则它们在转动时就会发生振动。当振动的垂直振幅大于磁头“气浮”

0.5µm的间距时，磁头会产生持续不断的敲击声，并且会进一步损坏存储数据的盘片

表面。水平振幅大于1µm 时，会使磁头无法停留在磁道上。我们知道在修理自行车

时，可以通过调节车条的松紧来调整车轮的平衡。可惜的是现在没有类似的技术能应

用于不平衡的盘片。在技术上磁力显微镜（MFM）可能有能力解决这个难题，因为这

项技术不需要盘片旋转。然而，MFM 需要扫描整个盘片表面。MFM 从一个区域扫描

到另一个区域，并对每个区域生成一个图像，这个过程要花数月的时间。然后还要把

所有的图像拼接到一起。一个20GB 的硬盘包含160 000 000 000 位（bit）的容

量, 实际包含了大约超过了300 000 000 000 位的数据。每一位表示一个磁通量

的变化，显示这个磁通量变化的图像大约需要100字节，因此实际处理的数据量大约

是1000倍，我们可能必须处理大约40TB 的数据。这项技术的实际效果尚不能确定，

但它的确没有什么实际意义和经济价值，因为恢复数据所花的代价太大了。 另外，

成功与否也依赖于硬盘的类型。许多数据恢复公司可以“做”某几种类型的硬盘，

但不能“做”其他类型的硬盘。现今的硬盘，其磁头、盘片等在装配时工艺十分

复杂，而且要求的精度极高。因此，即使两块硬盘的型号完全一样， 简单地依靠

手工替换部件的方法，也可能无法恢复数据。 
    不存在这样一个通用的设备，它能恢复各种类型硬盘的数据。处理硬件问题的

数据恢复，通常必须进行文件系统的逻辑重构。

硬盘的“坏扇区”
    有些硬盘在BIOS 中或一些软件如Winhex还可以识别，但是它们在某些位置处

有读错误，对于这类硬盘可以想办法获得它的镜像，然后用软件，比如R-STUDIO，

从镜像中重构文件系统。制作一个硬盘镜像。常说的制作硬盘镜像通常有两种本质上

完全不同的含义。一般用户所说的镜像指的是一种系统备份，如使用Ghost制作系统

的镜像文件。这种镜像只是用来制作硬盘文件系统的一个正常备份，不复制损坏、丢

失和被删除的文件，也不复制“无用”的扇区，所以它仅适用于“灾难恢复”。另一

种镜像则是使用磁盘编辑工具，如Winhex，建立一个“一对一”的镜像。这种镜像

不依赖于文件系统，而是精确地将硬盘数据字节到字节（byte to byte ）地复制

到一个文件中，或另一块硬盘上。在数据恢复的术语中，镜像文件和镜像盘指得就

是使用这种镜像方法复制的文件或磁盘。值得注意的问题是：如果硬盘有异响就不要

尝试自己做镜像，因为制作镜像的过程有可能进一步加重介质的损坏。 这时应该

找一个专业的数据恢复机构寻求帮助。很多情况下，硬盘物理数据恢复的过程就是

制作硬盘镜像的过程。

1.2.4  恢复删除文件成功的机会 
被删除文件所占用的空间不再受到文件系统的保护。这些空间可能在下次操作系统

创建新文件时被重新使用。如果使用者在这个硬盘上继续工作，要想恢复被删除

的文件可能变得极其困难。 操作系统随时都可能生成新的文件，因此，即使在误

删除文件的硬盘上重新启动Windows 系统也可能覆盖要数据的硬盘区域。为了

保护这些被删除的文件， 使用者必须停止在这个硬盘上做任何操作， 也不能把它

接到另一台计算机上作为第二个硬盘使用。我们曾做过这样一个测试： 删除一个

文件目录项、MFT或分配的空间，测试它们被操作系统覆盖需要多长时间。不幸

地是这种覆盖即时发生了。因此我们说即使删除文件后立即停止工作，也不能保

证文件100%的恢复。但是在大多数情况下，立刻停止对该盘（误删除文件

所在的硬盘）的工作，将大大减少了被“覆盖”的机会，恢复文件的结果通常都

十分完美。不过，如果分区是 FAT 格式，可能还会遇到“碎片”问题。

及时恢复数据 
  在谈到数据恢复时经常忽视了恢复时间这个因素。其实有时数据丢失了一周就

和永久丢失一样， 它们造成的损失是等价的。

转载请注明出处！