DE说明书（10）

军达成技术支持1

5.1.1.5. 导致硬盘上用户数据不可访问的其它原因

这些原因包括：电路板故障、硬盘跌落导致磁盘位移等。洪水、火灾等自然灾害导致的

硬盘损坏也在此例。

5.1.2. 导致数据无法访问等逻辑结构破坏的原因

5.1.2.1. 文件系统运作故障

数据丢失可能是由操作系统的文件子系统引起的，而文件系统特有的故障原因有很多，

断电、软件故障、用户的误操作（如在软件运行时突然关闭电源或重启动），等等。

文件子系统是建立在众多表格和数据结构的基础之上的。

分区表定义了磁盘的数据分区及其类型每个分区的结构是由其类型决定的。

对 FAT 文件系统，以下信息至关重要：

l 引导扇区，记录了分区的大小、簇（最小扇区占用数）大小，FAT 拷贝的数量和

大小，根目录位置等重要信息；

l 文件分配表（FAT），记录了文件在分区中的位置；

l 目录，记录了文件属性（文件名、大小、建立日期、最后访问日期、修改记录等

等）和其起始簇。

任何以扇逻辑结构的损坏都将导致相应文件不能读取或使读取困难。因此，如果与文件

相关的目录被破坏，就不能找到起始簇，进而将永远丢失关于文件属性的信息。但仍可采用

其它方法找到起始簇，例如可以利用文件名来找到其起始位置。如果 FAT 文件分配表损坏，

而文件又不是完整的存储在一处而是被划分成了几个片断存储在不同的位置，那么文件数据

就不能恢复。如果引导扇区损坏（可以重建），将会使得对于 FAT 和目录的访问变得复杂。

Data Extractor PCI

对于 NTFS 文件系统，以下信息至关重要：

l 引导扇区，记录了分区的大小，簇大小、文件记录大小、目录记录大小、主文件

表（MFT）的起始簇，以及包含最初 4 个 MFT 记录的拷贝的起始簇等信息；

l 主文件表 MFT，记录了文件的属性、目录和位置的完整信息。

要使目录或文件可以访问，首要条件是 MFT 中的相应目录和文件记录完好，引导扇区的

损坏可能会使对 MFT 的访问变得复杂。如果 MFT 无法访问或损坏，将导致文件无法访问，

此时修复部分数据的唯一办法就是用文件名搜索文件头，即原始恢复的方法。

对 Linux 操作系统所采用的 EXT2 和 EXT3 文件系统，以下信息至关重要：

l 超级块，相当于引导扇区，记录了分区的大小、簇大小、数据块群组的数目、每

个群组中节点的数目等信息；

l 群组描述表，记录了特定群组的数据结构；

l 特定群组的第 1 节点表；

l 文件目录。

第 1 节点表包含了文件和目录的属性和位置信息，群组描述表及第 1 节点表极其重要。

如果群组描述表被破坏，第 1 节点表的位置信息就会丢失。超级块的损坏会使得对，第 1 节

点表和文件及目录的访问变得复杂。而第 1 节点表的损坏将导致文件属性及其位置信息丢失。

以上任何结构和表格的损坏都可能导致数据访问故障或者不可逆的数据丢失。

不过，对于文件系统故障的任何一种情况，恢复数据的可能性都非常大。事实上，很多

结构都有备份，其它的结构则可以重建。即使文件系统的结构完全损坏，只要数据没有遭到

物理性的损坏，仍然可以使用原始恢复的方法来提取所需数据。

5.1.2.2. 用户的误操作 — 擦除、格式化，等等

文件的擦除可能是因用户的疏忽或故意的操作引起的，甚至可能在没有察觉的情况下发

生，最后一种导致文件被删除的的情况可能是一些软件运行出错或病毒引起的。

多数情况下，文件系统并不会立即从磁盘上擦除文件内容。因此，如果用户偶然删除了

一些文件并立即意识到执行了错误的操作，就很有可能恢复被删除的信息，尽管对于不同的

文件系统，情况可能有所不同。

文件甚至可能在一段时间后被恢复，至少能够部分恢复。

当执行了高级格式化命令后，大部分数据仍然保留在其原来的位置，系统并未对它们进

行物理删除，但某些文件系统可能会重置系统信息表格，从而导致部分信息丢失。

5.1.2.3. 病毒活动的后果

病毒导致的后果可能多种多样，这取决于特定的病毒程序所执行的操作。

病毒可能会消耗资源，且不再释放这些资源（磁盘空间、内存、GDI 图形设备接口等等），

导致操作系统故障，并很有可能导致文件系统故障。

一些恶劣的病毒可能对磁盘数据实施物理性的破坏：修改文件内容、删除、格式化磁盘、

损坏文件系统的系统信息（例如，CIH 病毒会删除所有硬盘上第 8 个扇区上的数据），等等。

5.2. 考察硬盘的初步诊断

在开始恢复数据之前，首先应对包含待恢复数据的磁盘进行最大限度的诊断，确定磁盘

是否已遭到了物理性的损坏，如果存在，程度又如何。

可以使用任何一种诊断软件，不过，我们推荐使用 PC-3000 套件。诊断之后，可能出现

的情况如下：

对每种诊断结果，恢复数据的方法是不同的。

5.2.1. 硬盘主轴电机故障

电机轴承故障与其机械性的卡死有关，电机相间绕组损坏或烧毁与其短路有关。

出现机械性卡死，通常发生在动压轴承上，可以将其拆开排除阻碍其正常转动的因素—

部件或凹槽破损。关于 Seagate 的 Barracuda IV 硬盘轴承修复的方法，我们的技术支持网站

http://www.acelab.ru/pcTechSupport/DOSvers/TechDoc/Barracuda4.html（俄语）上作了介绍，

PC-3000 的注册用户可以登陆查看。

如果电机的绕组损坏，电路板上的控制芯片通常会被烧坏。如果在发生该故障的硬盘上

安装一块功能正常的新电路板，新的控制芯片极有可能也被烧坏。当代的硬盘都采用星型的

在此我们不对绕组损坏或烧坏的情况作详细讨论，因为情况过于复杂。

很多情况下，即使绕组的一个相间发生短路，还是可以启动电机并恢复数据的。做法是：

首先量出正常绕组合短路绕组的电阻，然后在对地断路的绕组间连接一个 5~10W 的电阻器，

其电阻应等于正常绕组与短路绕组电阻的差值。

建议在电机的控制电路上安装一个散热风扇，因为控制芯片常常会超负荷工作。

一般说来，需要分 2 步来启动电机，首先，接通电源，电机将缓慢启动。如果控制芯片

在工作间隙之后关闭电机，就应首先给硬盘断电，并在 1 秒钟后重新通电。

5.2.2. 硬盘磁头装置（MHA）故障

磁头装置（MHA）故障包括磁头的损坏和硬盘制动器上的前置放大器转换芯片的损坏。

如果硬盘发出制动器撞击挡块的声响，就表明磁头装置（MHA）已经损坏。如果硬盘刚

一通电流就发出这样的撞击声（假设电路板完好），表明磁头 0 或 1 已经损坏，或者前置放

大器转换芯片的相应通路损坏。在大多数硬盘上，这些部件用于硬盘初始化及读取固件数据。

这时，唯一的解决办法是换上一个同一型号硬盘上的磁头装置（MHA）。因这种情况非

常少见，操作相当复杂，我们在此不做讨论。

如果硬盘能够就绪，但却发出撞击声，则表明系统磁头和硬盘初始化的通路功能正常，

因此可以用“Data Extractor PCI”的软件方法从硬盘上恢复部分数据。

例如，硬盘有 6 个磁头，其中一个损坏，那么可以恢复硬盘容量 5/6 的数据；如果有 4 个

磁头，则可以恢复 3/4 的数据，而您的用户要求恢复的数据有部分甚至全部位于可以恢复的部

分中。

要完全恢复硬盘上的数据，必须用同一型号硬盘完好的的磁头装置（MHA）替换已损坏

的部件。这个过程极其复杂，要求操作者具有特定的技能和经验，还需使用特殊的工具和设

Data Extractor PCI

备。强烈建议在 100 级（每 m3 空气中含有少于 100 个尘埃微粒）的洁净场所中打开磁头-磁

盘装置进行所有操作，一些特殊的房间或装备完全的工作台可能具有这样的条件。

如上所述，这项工作极其困难，即使经验丰富的专家在更换磁头装置（MHA）时也可能

引起故障，导致磁盘表面划伤。

因此，建议在更换磁头装置（MHA）之前，先使用“Data Extractor PCI”软件从故障硬

盘上最大限度的读出可读数据。

更换磁头装置（MHA）之后，因为安装位置的偏差与生产过程造成的容差，新的磁头装

置（MHA）与原有装置的运转会有所不同，从而导致伺服系统的故障和原本完好的磁盘表面

出现各种坏扇区。

因此，这就是为什么我们建议即使更换了磁头装置（MHA）后，仍要使用“Data Extractor

PCI”

前置放大器出现故障后，一些专家并不采用更换整个磁头装置（MHA）的办法，而是先

移除原有的磁头装置（MHA），然后焊接上新的芯片。这种情况下，当原有的磁头装置（MHA）

重新安装后，能更好的与原有的磁盘信息相匹配，这样硬盘的性能会变得更加稳定。但是在

柔韧的磁头装置（MHA）涤纶线缆上焊接芯片是一项非常特殊的操作，要求使用无烟焊剂，

操作者还需具有丰富的经验。

5.2.4. 系统信息丢失

该故障会使所有的硬盘出现相同的反应：

对任何逻辑命令，其反应都是在寄存器中返回 ABRT 错误。当然，在这种情况下部可能

从硬盘中拷贝任乎数据，因为在很多型号的硬盘中，译码程序都属于系统数据。

译码程序是 LBA 逻辑地址与 PCHS 物理地址的耦合环节，它并隐藏硬盘的物理缺陷，在

按“逻辑”方式工作时跳过它们。

在编制硬盘具体型号的译码表原始数据时，要用到它的缺陷表。很多硬盘在编制译码表

时使用使用其生产厂商特有的技术命令，或者，译码表在所谓的内部格式化之后自动生成。

内部格式化是指硬盘在没有外部控制参与的情况下自身进行的格式化。改革是化要严格依据

已有的缺陷表，跳过所有的缺陷扇区，不对其进行格式化。

成功完成内部格式化之后，硬盘本身会重新计算自己的译码表，并将它记录进自己的系

统区，这以后，它再度就绪，可以按照逻辑参数，例如 LBA 工作了。

如果在系统数据损坏的硬盘上可以借助 PC-3000 写入同一版本硬盘的系统数据，故障硬

盘就可以“工作”，它将可以读取出厂证数据并执行许多逻辑命令。但只有在碰到第一个缺

陷扇区之前能够正确读取数据，往后则会不断报告 IDNF 错误。

出现这种情况是因为译码表与硬盘的实际格式不匹配，当试图读取指定扇区的数据时，

实际上读到的并不是指定的内容。当然，也可以尝试忽略错误，例如，使用“Data Extractor PCI”

之类的软件继续读取数据，但只要新的译码表与“原有”硬盘的实际情况有任何不匹配，都

会导致跳过该区域，或者相对偏移真实的读取数据。最终，操作系统将不能解释这些数据。

而且，原故障硬盘上的系统数据和“外来的”译码表的差异越大，则读到的数据与真实

的数据其差异也大。但是，在没有其它办法的情况下，还是可以尝试这种方法的。因此，仅

以硬盘录入新的译码表时包含尽可能少的不匹配纪录，如果没有则更好。

但是，覆盖硬盘上原有的系统数据，不论它的损坏有多严重，确实是最后的手段了。

从数据恢复角度看，使用所谓的 热交换方法，比覆盖掉原有的系统数据要

好些。

其做法是，在通电情况下，将功能正常硬盘的电路板移到系统数据损坏的硬盘上。

过程如下：找一块完全相同（同系列通容量）的硬盘作为“供体”，取下它的电路板，

然后将故障硬盘上的电路板移到完好硬盘上，检测（例如使用 PC-3000）其功能是否正常。

同时必须确保故障硬盘的功能是正常的，且能与“供体”硬盘和其固件版本兼容。

完成电路板和盘盒的兼容性测试后，进入实质性的热交换过程。

64

Data Extractor PCI

将“供体”硬盘接上“Data Extractor PCI”，建立一个任务—读取所需的数据，任务成

功建立以后，使用“Service”菜单向硬盘发送一个“Standby”命令，确认主轴电机已经停止

旋转后，将“供体”硬盘的电路板移到系统信息损坏的盘盒上，在此过程中，不要断开 IDE

电缆线和电源。

此操作要极其小心，因为电路板仍在工作！

成功实施热交换后，使用“Service”菜单向硬盘发送“Recalibration”命令，确认主轴电

机已经启动，硬盘已经就绪，且并不亮起“ERR”提示。

然后，可以尝试读取数据。

注意！如果扎热交换过程中断电，对某些型号硬盘甚至发生硬件复位，都必须按照上述

步骤重新进行热交换过程。

为尽可能避免这种情况的发生，如有必要，应修改程序脚本，去除就绪，去掉关闭电源

选项，还有，如果需要，去除硬件复位选项。

最后，要记住，系统数据损坏是极其“罕见”的，通常是由于系统区和数据区域出现了

坏扇区而导致的。在这种情况下，恢复数据的时间和成本都可能大大增加。最好，要让客户

知道。

因此，在与顾客就数据恢复的时间和成本协商时，您应考虑到这种情况发生的可能性。

5.3. 使用“Data Extractor PCI”恢复数据

如上所述，数据恢复过程中的问题多种多样。但我们可以将它们细分为三种情况，在使

用“Data Extractor PCI”时您会觉得是非常有效的。

第一种归结为硬盘损坏，但仍能就绪，且译码表完好，未出现数据地址偏移。这包括出

现大量坏扇区，磁头装置损坏或数据读趋同到损坏等情况。更换过磁头装置 MHA 或磁盘的

硬盘也属此类。通常，这种情况是数据读取的问题（包括不能就绪和硬盘出现撞击）。

第二种类型是，由于各种原因，磁盘的 LBA 逻辑地址与其盘盒物理地址的连接系统，包

括对缺陷区域的计数系统，损坏了。这包括 Quantum 硬盘的译码表故障，以及从热交换过程

获得就绪的硬盘上读取数据的情况，后者硬盘使用的是从功能完好的硬盘上移入的译码表，

换言之，是数据偏移。注意：前者数据只能前移，后者则数据也可能后移。

第三种，包括逻辑结构损坏的所有情况。该类型的故障可能是由于用户的误操作，软件

故障，供电故障，或病毒入侵而引起的。在此，我们仅讨论规范的数据类型，不讨论 RAID

数组。

这三种数据恢复问题确定了本产品现有的三种任务类型：

l 对故障硬盘建立数据拷贝；

l 逻辑结构损坏后的数据恢复。

当然。这只是大致的分类，也可能出现无法预料情况的并发。

如果硬盘出现物理故障，通常也会导致严重的（或轻微的）逻辑结构损坏。

有时运行分区管理软件也可能出现类似译码表损坏的故障，例如 Partition Magic 操作中

断导致数据偏移的情况。

在建立任务时，应根据实际情况，遵循使数据恢复过程尽可能简单的原则来设置选项。

建议如下：

l 如果硬盘功能正常，就不必选中“建立数据拷贝”选项。此外，将硬盘连接到主

板的标准端口，可以获得最大的数据拷贝速度；

l 如果硬盘的功能损坏，就必须选中“建立数据拷贝”选项。根据硬盘物理故障和

逻辑故障的程度以及需提取的数据量，决定是建立全拷贝还是在 Data Explorer

PCI 中进行后台拷贝；

Data Extractor PCI

5.3.1. 从故障硬盘建立数据拷贝

如上所述，要从建立故障硬盘建立数据拷贝，必须选中“建立数据拷贝”选项。

任务的主要目的是利用“Data Extractor PCI”的数据读取机制和控制特性，从故障硬盘

上最大限度地拷贝出数据来。

用户应当记住，在讨论建立数据拷贝时所提到的多数据的编辑，指的都是对数据拷贝的

编辑，因为通常对有物理损坏的硬盘不再推荐写些什么了。此外，这种方法给了用户一定的

自由—可以修改需要的数据（例如模糊的 MBR 或 Boot）而不必考虑后果。这样就使得用户

对数据的访问更加方便快捷，这种特性还能成功的应用于逻辑结构损坏而无物理故障的硬盘。

您还可以在数据拷贝中修改数据，检查对故障性质的推断。如果在数据拷贝中成功的修改了

数据，就可以将其转移到只有逻辑故障的硬盘上。

该模式有一个很有价值的特性：在拷贝数据的过程中，软件会建立一张读取结果的指示

图。用户可以评估整个硬盘以及已扫描区域的情况。查看为某一个对象建立的指示图可以获

得有关它的一些故障信息。指示图在磁盘扫描中尤为常用，因此，举例来说，如果一个扇区

已被成功的拷贝下来，那么不论读取该扇区 1 次还是 100 次，只要是再次读取该扇区，都是

读取其拷贝，不会再度访问固在硬盘。因此，该选项不但能保存所拷贝的数据，还能最大限

度地减少对故障硬盘的访问。

对于即将损坏的硬盘，这一特性尤其有用。它比套件的“Lost & Found”类型和“Easy

Recovery”等进行逻辑恢复的程序更加优越。它会在深入分析后建立一个虚拟的文件系统，

但在这过程临近结束时，硬盘可能会完全失灵，再也不能读到任何需要的数据了。

该模式还有一个显著的特点，即使程序不仅会拷贝成功恢复的数据，同时还会拷贝读取

时出现各种错误的数据。如果尝试读取的次数超过 2 次，软件还会对读取的数据进行统计，

并件最可靠的数据加入得到的数据拷贝中去。

我们虽然还不能将该规则应用于所有的错误类型，比如数据读取不稳定且导致 ChekSum

错误（UNC）时就不适用，但这些数据仍含有大量的有用信息。尤其是在扫描系统区（BR、

FAT 等）时，这一点就非常有用。例如，故障扇区中的部分数据可能是正常的，将其拷贝出

来以后软件可以用它来恢复逻辑结构。当然，也可能出现相反的情况，但重要的是应利用所

有的机会尽可能多的恢复数据。

通常，将数据从故障硬盘上拷贝到正常硬盘并不是本软件的最终（除了 RAID 与其它特

殊情况）目的，其主要任务还是定位于快捷地回收客户具体的数据。这时，Explorer 模式可

以提供很大的帮助。

在这种情况下，使用该模式主要是基于这样的假设：故障硬盘上数据的逻辑关系中仍有

足够的可访问信息（符合本软件的功能），然后可以有选择的提取必要的数据，也不必拷贝

出故障硬盘上所有的内容，这样提取数据的速度相对较快。实践表明，有可能需要的数据并

不在损坏的区域内。无论如何，对于容量很大的硬盘，这种方式能够节省大量的时间。

手册相关的章节给出了使用 Explorer 模式的特例和建议。

如果硬盘的物理故障很严重，又不能很快的访问所需的数据，我们建议首先对整个硬盘

或者某一分区进行拷贝，然后再继续分析其逻辑故障。

这种做法在某些情况下非常有用，例如，当硬盘的一个磁头不能读取数据或怀扇区的数

量很大，且损坏部分对于数据的访问非常重要时。

这种情况下，我们建议对该区域的扇区进行拷贝，这样设置会使您提取数据的效率最高

（从质量/速度的对比关系）。

5.3.1.1. 应用案例

很多情况下，需选中“建立数据拷贝”选项，甚至有时和硬盘故障毫无相关时。

66

Data Extractor PCI

如果硬盘有故障，即使您甚至打算使用的数据恢复方法与其无关，还是要选中该选项。

我们建议对这些硬盘操作时只使用 PC-3000 PCI 卡的 ATA0 端口。

5.3.1.1.1

在对硬盘进行完全拷贝之前，要与客户一起确定需拷贝数据的位置与容量大小。

如果不论硬盘的物理损坏程度如何，用户都要求将所有的数据完全拷贝出来，且不介意

成本大小，那么也可考虑将数据完全拷贝到另一硬盘上，然后有必要时在继续对损坏的逻辑

结构进行分析。

如果目标是读取某一特定的分区，建议在 Explorer 模式下使用 MBR 或该分区的指示图

找出其准确的位置，即使 MBR 已经损坏，不能用它来确定特定分区的位置，仍然可以尝试

搜索引导纪录并从中提取所需的信息。但我们不推荐对整个硬盘进行搜索，而应当找到一个

记录，并从该纪录查出分区的大小，然后查找下一个分区，这种方法可以节省大量的时间，

尤其是当硬盘有大量的空间被损坏时。

如果硬盘损坏严重，或者您担心它可能很快报废，就应在完全拷贝前确定最重要的信息，

然后，如果硬盘条件允许，使用 Explorer 模式将其拷贝出来，再继续对硬盘进行完全拷贝。

如果所需数据所占空间相对较小，使用 Explorer 的效果最好。

如果要对硬盘的部分区域进行拷贝，建议至少要执行 2 遍以上：

1.

的扇区”选项，此过程中如果遇到错误是可以跳过的。这一步的目的在于为防止

硬盘马上丧失功能，将最容易访问的数据拷贝出来，读取命令有可能发生变化。

2.

“跳过读取错误的扇区” 选项，因遇到错误跳过的扇区大小等于一个扇区。要注

意，只有当硬盘不能稳定的进行读取操作时，增加尝试读取次数才有效果。如果

从硬盘故障扇区读出不可靠的数据，这样做毫无意义。有时为了节省时间，可选

中“Read ignore CRC 忽略 CRC 读取”选项。

3.

5.3.1.1.2

对这类硬盘，建议与前一种情况执行相同操作。

例外情况，在读取故障扇区时，可使用软件脚本来定义程序的操作，脚本结构应根基硬

盘的反映情况来确定。一般情况下，需要将软件复位或是将软件与硬件同时复位，有时还需

关闭电源。

5.3.1.1.3

建议对这类硬盘采用对第一种情况的处理方法，当程序脚本中一定要包含“给硬盘断电”

选项，对于不能报告就绪状态的情况也应如此。

5.3.1.1.4

有时候，要尝试读取故障扇区会耗费很多时间。如果故障扇区太多，这样可能就不可取。

此外，所需数据也常常不在故障扇区中。

当然，您可以指定读取过程出措施跳过区域的大小，跳过故障扇区。但每次尝试读取故

障扇区所耗费的时间可能仍然很长。这种情况下您可以试着模拟硬盘不能报告就需的情况。

做法如下：将工作间隙（timeout）设置为可以顺利读取正常扇区，但最微小的减速都使硬盘

不能就绪，而跳过相应扇区，工作间隙（timeout）可以设置为大约 0.5~1 秒钟。建议将所有

不必要的纪录，尤其是断电记录从不能就绪时使用的情况中去掉。通常，只需将程序复位即

可。

拷贝出能正常访问的数据之后，应当在任务参数中去掉“不能就绪时跳过扇区”选项，

并恢复初始工作间隙。

然后根据情况，或者使用 Explorer 提取数据，或尝试按照第二款的方式更加完整地读取

故障扇区的数据。

Data Extractor PCI

5.3.1.1.5

如果连续读取大量数据（指示图变绿）后，出现完全不能读取或读取时出错的区域，且

二者有规律的交替下出现，则说明磁头装置损坏了。

对于这样的硬盘，应当对硬盘进行完全拷贝，或对所需的区域进行拷贝。如果可能，应

建立磁头指示图，并首先拷贝正常磁头的数据，然后再尝试读取损坏磁头对应的区域（甚至

在替换磁头装置 MHA 之后）。

如果算法失灵不能建立磁头图，就如前述处理不能就绪状态的硬盘或读取时出错的硬盘

一样，应跳过与故障磁头对应的区域。可能甚至不必模拟前一种情况的处理方法。当这样做

可以最大限度的减少等待时间，确定跳过区域的大小。这样做就只需要经过 1~2 次跳过就能

越过故障磁头所对应的区域。

数据拷贝一旦创建，就可以开始恢复逻辑结构。但应使用数据拷贝，而非原来的故障硬

盘。

5.3.1.1.6 Soft-BAD 坏扇区的 IBM 硬盘

这种情况有 3 个特征：

l 尝试读取故障扇区的时间很长，大约 8 秒；

l 故障扇区通常是连续的，且数量有几十个之多；

l 通常无法尝试读取坏扇区，因为它们总是报告读取错误，且数据损坏非常严重以

至统计处理也无济于事，但增加尝试读取 FAT 表和 FAT 目录的次数可能仍然有

效。

在这种情况下，通常可以使用如前所述的模拟不能就绪状态时的处理办法来对硬盘进行

完整拷贝，然后使用 Explorer，勾选“Read ignore CRC 忽略 CRC 错误”选项，这样会节省很

多时间。

5.3.1.1.7

对于因物理故障并因而导致逻辑结构损坏的硬盘，在对其拷贝之后，可能要使用 Explorer，

GREP 搜索，View 和扇区编辑模式来加快对数据的访问。

例如，如果 MBR 因硬盘的物理故障而损坏，应尝试通过填入分区信息对其进行重建，

以迅速对数据进行访问。这种方法也适用于分区的 Boot 扇区。如果处理的是 NTFS 分区且 4

个初始 MFT 记录出现故障，可以在 MFT Mirror 镜像的帮助下使用分区指示图将 4 个初始记

录的完好拷贝与 2 个 MFT 例图结合起来。

如有可能，重新扫描 MFT，这是重建虚拟文件系统并得以访问必要数据的最快的方法（除

非您可以在 Explorer 中一次性读取所有的信息）。MFT 占据了一个分区 10% 的空间，所以

不必拷贝出所有的数据来寻找比如 1G 的数据。但如果硬盘的物理故障严重，该任务可能比

较困难，甚至完全无法进行。

通常，我们建议在将数据拷贝到在机正常硬盘（UDMA100 或更高）上之后，对其进行

认真的逻辑分析。