–Ъ–Њ–Љ–њ—М—О—В–µ—А–љ—Л–µ –Ї—Г—А—Б—Л –Є —Б–њ–µ—Ж–Є–∞–ї–Є—Б—В—Л —Н—В–Њ–є –Њ–±–ї–∞—Б—В–Є
–Ъ–£–Я–Ш–Ґ–ђ –Ь–Х–Ф–Ш–¶–Ш–Э–°–Ъ–Ш–Х –°–Я–†–Р–Т–Ъ–Ш –С–Ђ–°–Ґ–†–Ю –Ш –С–Х–Ч –Ы–Ш–®–Э–Ш–• –•–Ы–Ю–Я–Ю–Ґ
 
 
 
 
 
 
 
 
 
 
 
 
¬осстановление информации на жестком диске

Ќасто€щий обзор не €вл€етс€ техническим руководством по изучению строени€ жестких дисков или описанием их логических структур. Ёто общий обзор методик и способов восстановлени€ информации, ставшей недоступной в результате программного сбо€ операционной системы, разрушительного действи€ вируса или неосторожных действий пользовател€.

Ќесколько общих слов о строении и терминологии жестких дисков.

∆есткий ƒиск (винчестер) представл€ет собой блок из нескольких дисков/блинов (Disks) по поверхност€м (Sides) которых перемещаютс€ (плавают в воздушном потоке) головки (Heads). ѕозиционируютс€ головки по концентрическим дорожкам/трекам/цилиндрам (Cilinders), каждый из которых разделен на сектора (Sectors). —ектор €вл€етс€ минимальным адресуемым блоком данных дл€ диска и его размер равен 512 байтам. Ћогическое строение жесткого диска отличаетс€ от его насто€щей (физической) геометрии и это необходимо учитывать при восстановлении информации.  ак правило, современные диски (в режиме адресации LBA) представл€ют собой несколько сот цилиндров имеющих 63-254 поверхностей по 63 сектора данных на каждой.

¬ самом начале диска (в секторе 0/0/1) находитс€PT (Partition Table) - таблица разделов и MBR (Master Boot Record) - главна€ загрузочна€ запись.

Ќа следующем треке в первом(ых) секторе(ах) (начина€ с 0/1/1) расположена BA (Boot Area) - загрузочна€ область операционной системы и BR (Boot Record) - загрузочна€ запись OC.

ƒалее на этом же треке расположена 1-€ копи€ FAT(File Allocation Table) - таблица размещени€ файлов. —разу за ней - 2-€ копи€ FAT. –азмер копии FAT (в секторах) определ€етс€ размером раздела диска.

ѕосле 2-й копии FAT расположены сектора ROOT (Root directory) - корневого каталога, за которой начинаетс€ DA (Data Area) - область данных.

PT - состоит из 4-х строк описывающих 4-е возможных раздела диска. ќписание каждого раздела диска содержит информацию о типе файловой системы, признаке того, что раздел €вл€етс€ загрузочным, о первых и последних головках, дорожках, секторах раздела, количестве секторов смещени€ начала раздела от начала диска и об общем количестве секторов в разделе.

MBR - находитс€ в том же секторе что и PT. ƒанные в MBR представл€ют собой код процессора необходимый дл€ дальнейшей загрузки операционной системы. ¬ последних двух байтах сектора MBR находитс€ сигнатура 55AAh, которую можно использовать как маску при поиске PT и MBR.

BR - содержит массу данных и служит дл€ описани€ параметров файловой системы. ¬ отличие от диска, минимальным адресуемым блоком данных дл€ операционной системы служит кластер, объедин€ющий определенное количество секторов. ¬ BR нам интересны такие данные как размер кластера, размер и количество копий FAT. BR дл€ раздела FAT16 размещаетс€ в одном секторе, в случае FAT32 Boot Record состоит из нескольких секторов.

FAT - —остоит из 12, 16 или 32 битных элементов, описывающих номера кластеров или их признаки (BAD).  оличество элементов соответствует количеству кластеров раздела диска. »з этих элементов образуютс€ цепочки номеров кластеров, описывающих расположение файлов на диске.

ROOT -  орневой каталог диска. —одержит записи описывающие файлы (дескрипторы файлов) в корневом каталоге. “ака€ запись описывает им€, тип, дату создани€, размер, атрибуты файла, и т.п., а так же содержит указатель на первый кластер файла.

 аталоги представл€ют собой сектора идентичные по структуре корневому каталогу.  аталог, кроме описаний файлов, в самом начале содержит две записи, перва€ из которых содержит указатель на первый кластер самого каталога, втора€ на первый кластер родительского каталога.

¬ќ——“јЌќ¬Ћ≈Ќ»≈ »Ќ‘ќ–ћј÷»»:

ƒл€ восстановлени€ потер€нных (поврежденных) данных постарайтесь вспомнить или получить информацию о:

a. ¬еро€тном разбиении диска на разделы и количестве логических дисков.

b. –азмерах и истории создани€ логических дисков. »стори€ создани€ подразумевает под собой возможные искусственные изменени€ размеров разделов диска. Ёта информаци€ может иметь значение дл€ точного определени€ места расположени€ ROOT.

c. ќсобенност€х файловой системы FAT16 или FAT32. ќстальные типы файловых систем в этом документе не рассматриваютс€.

d. “ипе и версии ќперационной —истемы (DOS, Win95/98) использовавшейс€ на диске.

e. ”никальные имена директорий и файлов, находившихс€ в корневом каталоге диска —, им€ каталога с данными, подлежащими приоритетному восстановлению и уникальные имена файлов и поддиректорий, находившихс€ в этой директории.

ƒл€ восстановлени€ данных можно воспользоватьс€ следующими утилитами:

1. DiskEdit из комплекта Norton Utilities версии 3.0х (или аналогичный ему).

2. Tiramisu (http://www.recovery.de/) или Hard Drive Mechanic.

”тилита TIRAMISU существует в различных модификаци€х, соответствующих разным типам файловых систем (FAT16/FAT32/NTFS/Novell/ZIP). ƒанна€ программа позвол€ет ”вытащить‘ ¬аши данные с ”больного‘ диска, необходимо только чтобы диск определ€лс€ BIOS-ом и был физически исправен. ќбращаю внимание еще раз, что эта программа не лечит диск, она позвол€ет скопировать ваши данные на другой носитель.

3. UnFormat (из того же комплекта Norton Utilities).

4. NDD - Norton DiskDoctor (оп€ть из того же комплекта Norton Utilities).

¬озможно, применение и других утилит, но, как правило, они ограничиваютс€ частными случа€ми или не учитывают всевозможных особенностей логического строени€ дисков.



1. ƒ»ј√Ќќ—“» ј ѕќ¬–≈∆ƒ≈Ќ»….

1.1. «апустите DiskEditor и, перевед€ его в режим просмотра поврежденного диска на физическом уровне, последовательно проверьте целостность –“, MDR, FAT-ов, ROOT и DA. Ќа этом этапе постарайтесь вы€снить (если это достоверно неизвестно) тип файловой системы первого раздела диска (FAT16 или FAT32).

¬ стандартных случа€х диски объемом менее 528 Mb, или разбитые на разделы при помощи системных утилит ƒќ— 7.10 и более ранних - имеют FAT16.

ќперационные системы Windows 95 OSR2 и Windows 98 базирующиес€ на ƒќ— 7.10а на дисках и разделах объемом больше 528 Mb, как правило, используютс€ с файловой системой FAT32.

1.2. ¬ случае целостности каких-либо элементов дисковой структуры сохраните их в виде файлов на резервном диске.

Ќапример: MBR.HEX, BR1.HEX, FAT01.HEX, FAT02.HEX, ROOT0.HEX.

1.3 ƒальнейшее восстановление диска зависит от степени и характера повреждений.

≈сли у ¬ас осталась неповрежденной (или хот€ бы частично) кака€-либо копи€ FAT на первом разделе диска - восстановление информации возможно почти в полном объеме.

2. ¬ременное –≈«≈–¬»–ќ¬јЌ»≈ данных.

— целью сохранени€ возможности восстановлени€ файлов располагавшихс€ в начале диска желательно сделать резервную копию начальных секторов диска, подвергающимс€ изменени€м в процессе восстановлени€.

¬ DiskEditor-е выделите режим просмотра первых 500-1000 физических секторов диска и сохраните их в виде файла на резервном диске. Ѕолее точный размер можно определить как сумму секторов: MBR трека + BR + 2FAT + ROOT + разумный резерв.

¬озьмите дискету с зарегистрированной программой TIRAMISU, соответствующую типу файловой структуры восстанавливаемого диска. –уководству€сь инструкцией к этой программе, выполните предварительное восстановление данных на резервный диск.

—ледует иметь в виду, что данна€ программа не затрагивает ”больной‘ диск, т.е. не правит на нем никакие данные. ѕри некоторых особенност€х ”мусора‘ в системных област€х диска отмечены случаи сбо€ программы TIRAMISU, что исправл€етс€ очисткой (обнулением) ошибочных данных (см. ниже).

3. ¬ќ——“јЌќ¬Ћ≈Ќ»≈ Partition Table.

ѕри восстановлении PT необходимо учитывать объем диска и особенности файловых систем диска FAT16 или FAT32.

Ќе пытайтесь создавать какой-либо раздел на диске с помощью программы Fdisk. ѕри сканировании доступного дискового пространства fdisk прописывает в первый сектор на каждом треке код F6, что приводит к потере информации в этих секторах.

3.1. ≈сли первый цилиндр (0/0/1) заполнен ”мусором‘ - обнулите его (заполните нул€ми) дл€ снижени€ возможных ошибок при восстановлении. ќбнуление можно выполнить DiskEditor-ом.

3.2. ≈сли ¬ы не знаете точно количество и размеры существовавших разделов диска или заведомо знаете о наличии дополнительного раздела диска, но не знаете размер основного раздела восстановите их, использу€ следующий способ: DiskEditor-ом скопируйте MBR и PT (сектор 0/0/1) с любого исправного диска на восстанавливаемый диск. «атем, очистив все записи кроме первой, отредактируйте ее, внес€ заведомо искаженную информацию о конечном размещении раздела (например: 9999-й цилиндр) и общем количестве секторов (например: 99999999).

«апустив DiskDoctor, начните проверку восстанавливаемого диска, и на утверждение о найденных ошибках в PT и запросе на их устранение ответьте согласием. ѕосле внесени€ исправлений в искусственно созданную ¬ами PT, DiskDoctor предложит поиск возможных дополнительных DOS разделов. ≈стественно дайте на это согласие и если данные на диске в необходимом месте не повреждены - дополнительный раздел будет найден и после ¬ашего подтверждени€ восстановлен.

 ак правило, после перезагрузки компьютера, данные дополнительного раздела станов€тс€ полностью доступными без дополнительных восстановительных операций. ”чтите, что файлы возможно заражены вирусом.

≈сли ¬ы все проделали правильно, без ошибок и характер дисковых ошибок оказалс€ не фатальным - перва€ задача выполнена, т.е. PT восстановлена.

3.4. ≈сли вы уверены в существовании дополнительного раздела диска или какого-либо NON-DOS раздела (NTFS, Linux, ...), но NDD не смог его восстановить остаютс€ еще способы ручного поиска.

3.4.1. ¬оспользуйтесь DiskEditor-ом (от PhysTechSoft), позвол€ющем осуществл€ть поиск различных NON-DOS разделов. » в случае нахождени€ подобных разделов на основании полученных номеров физических секторов вручную внесите информацию в PT.

3.4.2. ћожно воспользоватьс€ поиском PT в файлах резервировани€. –азличные системные программы типа менеджеров загрузки, утилит резервного сохранени€ и т.п. (о существовании которых пользователь иногда и не подозревает) выполн€ют операцию сохранени€ различной системной информации в файл. ¬оспользовавшись этим предположением, можно задать DiskEditor-у в режиме доступа к секторам физического диска маску поиска PT (55AAh или иную уникальную запись) и если повезет найти информацию о нем.

4. ¬осстановление BR, FAT и ROOT.

4.1. ¬осстановление BR, копий FAT и ROOT проще выполнить ”автоматическим‘ способом, но это не исключает возможность ”ручного‘ восстановлени€ с помощью карандаша, бумаги и редактора дисков.  ак уже упоминалось выше, если на восстанавливаемом диске есть неповрежденные (или хот€ бы частично поврежденные) элементы логической структуры сохраните их в виде файлов на резервном диске.

4.2. ¬ыполните стандартное форматирование основного раздела диска, т.е. командой format —:. ѕри этом формируетс€ файлова€ структура форматируемого раздела диска с воссозданием BR, чистых FAT и ROOT, область данных при этом не затрагиваетс€, т.е. информаци€ в DA не измен€етс€.

4.3. ѕроверьте правильность местоположени€ корневой директории ROOT. ƒл€ этого DiskEditor-ом в режиме просмотра кластеров вновь созданного раздела, задав поиск объекта ”ѕодкаталог‘, проверьте совпадение номеров физического кластера и номера кластера в первой записи найденных подкаталогов. ¬ случае несовпадени€ номеров, необходимо подкорректировать значение числа секторов FAT в загрузочной записи BR.  орректировка осуществл€етс€ увеличением секторов на число кратное половине числа секторов в кластере.  ак правило, така€ корректировка необходима в случа€х нестандартной разбивки диска или после изменений размеров разделов искусственным путем.

4.4. ≈сли ¬ам повезло, и у ¬ас имеютс€ зарезервированные в виде файлов уцелевшие образы FAT и/или ROOT следует, воспользовавшись DiskEditor-ом восстановить их на диске. ≈сли у ¬ас уцелела втора€ копи€ FAT, а перва€ нет, следует скопировать вторую копию и на место первой копии.

≈сли у ¬ас уцелела одна из копий FAT и корневой каталог ROOT, после выполнени€ всех пунктов 4.1 ÷ 4.4 полноценный доступ к информации на диске будет восстановлен.

5. ¬осстановление DA (области данных).

ѕри восстановлении данных следует иметь в виду, что, не име€ достоверной информации в таблице расположени€ файлов (FAT) автоматическое или полуавтоматическое восстановление файлов размером более одного кластера программами типа UnFormat носит чисто случайный характер.

”прощенно говор€, алгоритм восстановлени€ данных подобными программами основан на поиске кластеров раздела диска с информацией о подкаталогах, анализе их содержани€ на предмет определени€ места расположени€ каталогов, определени€ номеров начальных кластеров каждого файла и анализе даты создани€ или стирани€ файлов. Ќа базе этой информации строитс€ дерево каталогов на логическом диске и расположение файлов по подкаталогам. Ёта информаци€ восстановима с большой степенью точности. ¬ случае разрушени€ корневого каталога (ROOT) информаци€ и файлах в корневом каталоге не восстанавливаетс€, а имена директорий замен€ютс€ условными именами (типа DIR001).

—одержимое файлов имеющих размер более одного кластера восстанавливаетс€ с большой долей случайности, путем стыковки свободных последовательно расположенных кластеров, и вследствие больших объемов информации и интенсивной работы по созданию/удалению файлов в среде Windows (и не только) чаще всего некорректно.

ƒл€ точного восстановлени€ информации необходимо либо восстановить FAT, либо осуществл€ть восстановление ”вручную‘ поиском и анализом содержимого кластеров на диске с дальнейшей стыковкой кластеров в необходимом пор€дке. –учной способ в этом документе рассматриватьс€ не будет.

ƒл€ попытки хот€ бы частичного восстановлени€ FAT можно воспользоватьс€ особенностью работы ќ— Windows 9x с виртуальной пам€тью, т.е. наличием на диске своп-файла. ¬ этом файле могут находитьс€ куски корневой директории ROOT и отдельные фрагменты, а подчас и полные копии FAT. ѕоиск этих фрагментов осуществл€етс€ в режиме просмотра секторов диска по уникальным маскам.

¬ качестве начальной маски поиска FAT может быть применен идентификатор F8 FF FF FF. ¬ дальнейший поиск можно осуществл€ть по произвольным группам, состо€щим из п€ти последовательных 16-ти или 32-ти разр€дных (FAT16 или FAT32) номеров кластеров, которые могут принадлежать какому-либо файлу. ѕоиск занимает довольно продолжительное врем€, но, мен€€ маски поиска, его стоит повторить несколько раз. —ледует иметь в виду, что информаци€ в своп-файле чаще всего располагаетс€ со смещением от начала секторов, что требует определенной коррекции при просмотре и дальнейшем применении. ќсновна€ задача отыскать максимальное число фрагментов, выбрать из них наиболее ”свежие‘ и составить из них подобие полной копии FAT. ѕосле проведени€ подобной операции возможно применение утилит типа UnErase дл€ более полного (но возможно некорректного) восстановлени€ файлов и DiskDoctor дл€ коррекции дисковых ошибок.

”дачи, терпени€ и везени€ ¬ам!

¬Ќ»ћјЌ»≈! ≈сли информаци€ на жестком диске ”жизненно‘ необходима, а ¬ы не уверены в своих знани€х и/или не исключаете возможной ошибки в своих действи€х, не предпринимайте сами никаких восстанавливающих действий. ƒаже незначительна€ неточность в ¬аших действи€х может значительно осложнить или даже сделать невозможным дальнейшее восстановление информации.

—ќ¬≈“ тем, кто —јћ не сможет справитьс€ с навалившейс€ на него проблемой. ќбратитесь за помощью в технический центр к специалистам, которые возьмутс€ за решение ¬ашей проблемы.