|
1.1軟件介紹：
Data Extractor是一個針對IDE硬盤的專業級數据恢复工具
本軟件不僅對數据出錯的無故障硬盤有效
還對以下故障類型的硬盤有專效：
*硬盤表面或磁頭受損
*硬盤LBA參數与物理參數轉換表出錯
故障盤要求能完成初始化并能讀出硬盤的型號，跳線必須跳在主盤的位置
對于故障硬盤的恢复數据，本軟件有兩种基本方式：
1.?將原盤數据整盤拷貝到另一個好盤上，然后在好盤上用恢复軟件進行分析恢复
2.?用本軟件的邏輯分析功能直接從故障盤恢复所要的數据。
這兩种方式各有所長：
整盤拷貝能恢复磁盤表面或磁頭故障的硬盤
當轉換表出錯時，用第二种方法更方便取出數据。
1.2硬件要求：
本軟件要求的電腦配置：P133以上CPU, 24M以上內存，一條ISA槽，WINDOWS98操作系統，主板要求能支持目前的大容量硬盤
1.3配件列表
PC3000PRO卡
電源模塊
Data Extactor安裝盤
信號線
電源線
軟件說明書
授權書
3開始
3.1軟件安裝，將光盤放入光驅，點擊SETUP.EXE 或DATA EXTRACTOR.EXE進行安裝，按默認提示進行，最后填入授權號碼，注意大小寫。
3.2 啟動軟件，點擊桌面的DATA EXTRACTOR圖標就可打開軟件，注意不能有駐留內存的跟蹤型軟件。
4軟件工作說明
4.1一般說明
軟件的工作信息都在窗口中出現，下方是硬盤的各种故障顯示燈，可用鍵盤或鼠標操作。
4.2名詞說明：
TASK 新任務 軟件工作中的各种設置
PROSESS 操作
SCANING 掃描 從故障盤中讀數据
IMAGE?故障盤數据的映像文件
EXPORT?將映像文件逐扇區拷貝到好盤中
LBA?以邏輯方式表示數据地址
SCANING MAP 以圖形方式表示掃描結果
EXPLORER 表示硬盤的邏輯結构的示意圖
TRANSLATOR 硬盤數据的邏輯地址及物理地址以及缺損區的轉換表
4.3數据恢复的類型：
實際接到的恢复數据的情況有多种多樣，本軟件不是万能的，只有以下三种情況對本軟件有效
第一种情況當硬盤出現故障，但能進入工作狀態，但讀不出數据，原因有可能是坏道、磁頭故障、或數据的讀取通道故障，另外，更換磁頭或盤片后讀不出數据等等，都屬于這种情況。
第二种情況：當硬盤的LBA參數与物理參數的轉換出錯，或是坏道表出錯、或是熱交換后不能讀出數据。
第三种情況：包括了所有的數据結构損坏：如人為操作、意外斷電、病毒破坏等，不包括磁盤陣列的數据
4.3.1從故障盤中全盤讀取數据
在這項任務中，數据從故障盤中拷貝到指定的目錄中，本軟件會運用先進的數据讀取机制讀出盡可能多的數据
用戶要注意的是：我們所說的編輯數据，指的是拷出來的數据
這個模式有個重要的功能：拷貝出來的數据會生成一個映像文件，從中可以查看數据的恢复情況，而且不用再對故障盤進行分析，這個特點對于嚴重故障的盤很有用。可以配合LOST &FOUND、 EASYRECOVERY等軟件使用。
在這個模式中，本軟件讀出的不光是好扇區中的數据，還包括有嚴重故障的磁道中的數据，与此同時，嚴格的糾錯机制保証讀出的數据盡量完好。
盡管從坏扇區讀取的數据存在有很多的不穩定性及甚至遇到錯誤，但本軟件會謹慎的保留這些數据，為用戶分析處理這些數据爭取更多的机會。
在很多情況下，全盤拷貝出來的數据并不完整（除非有鏡像或其他情況）。本軟件還有一個主要的功能就是從故障盤直接讀取用戶所要的數据，在這种情況下，EXPLOER模式就十分有用了。
使用以上的工作模式是在用戶通過本軟件能查看到故障盤的數据邏輯結构的前題下進行的。用戶不用將數据全部拷出，這樣可以節省大量時間，尤其對大容量的硬盤或是有大量坏道的硬盤。只有當使用EXPLOER模式不能讀出數据時，才用全盤拷貝的方法加上別的軟件進行恢复。
4.3.2 在硬盤轉換表出錯的情況下的數据恢复
這個模式是當硬盤的邏輯結构出現錯誤，不能用EXPLOER方法恢复的情況下采用
本方法的前題是數据仍在硬盤中，可訪問、沒有遭到破坏，只是存放的LBA地址出現了偏离。
問題的關鍵在于如何將各偏离的數据段重新組合起來，這個有賴于對相關的數据結构及分配表（FAT NTFS）知識的了解，可以用EXPLOER方式來檢驗這种組合是否正确。
使用者必須知道將數据組合起來的方法，本軟件使用一個偏移表來計算真實的LBA地址，以取代原盤中被破坏的轉換表。EXPLORER模式用來檢驗每一個組合是否正确
注意在這個操作過程中，數据并沒有產生一個新的備份，所有的變化都被記錄到接在PC3000PRO卡所在的硬盤中了。
在數据恢复的過程中，有可能甚至有時有必要使用這個模式來進行數据的搜索，以及扇區范圍的校驗。
有關更詳細的恢复過程將在下面章節結合實例進行講解。
4.3.3邏輯結构被破坏后的數据恢复
在這种情況下，采用EXPLORER模式及綜合模式從故障盤中盡可能多的提取信息，如果
有必要的話，使用本軟件所帶的邏輯恢复功能糾正硬盤的錯誤。
在這种工作模式下，不另建立數据的拷貝，所有的更改將在原盤上進行，這是針對專業操作人員的，要十分小心。
但從另一角度講，這种冒險是有好處的，它可以快速修复一些小的故障，如MBR BR等，這樣就可以用常規的方式將數据讀出。
如果你擔心原盤數据的安全，你可以先建立一個數据的拷貝，然后在拷貝盤上進行各种恢复的操作，你可以使用EXPLORER模式只拷貝你所要的內容。
4.4 程序的主菜單
主菜單的內容：
任務
設置
服務
幫助
退出
各菜單的主要功能將在以下進行解釋
4.4.1 TASK任務
當點擊TASK，會出現新建、打開以及以前打開過的文件的記錄
它可以建立以下三個主要的任務：
從故障盤中拷貝數据
從一個轉換表出錯的盤中恢复數据
從一個邏輯結构受損的盤中恢复數据
選擇你所要的模式，回答相應問題后，你就會進入相關模式
當你建立一個目錄后，所有該項操作的內容都會存入這個目錄中
當執行一個拷貝的操作，你可以有兩個選擇：一個是建立映像文件，一個是直接拷貝到另一個好盤，需要注意的是映像文件一旦建立，就不可更改大小。
映像文件的名字將會是XXXX.bin，放在對應的TASK目錄下，XXXX表示文件的扇區數LBA的大小。拷貝前請檢查硬盤空間是否足夠。
4.4.2 OPEN 打開
當打開一個映像文件時，要接好一個容量相同或大于原盤的好盤。如果硬盤的參數不合适的話，打開操作會被取消。
4.4.3INFO 信息
在這一項操作中，可以看到硬盤的型號、序列號、容量等各項參數
4.4.1.3先前打開過的文件列表
4.4.2 SERVICE 服務
4.4.2.1硬盤管理
這一項操作是為高級用戶設定的，可以對硬盤進行一些有限的操作，以利于以后的數据恢复工作。
4.4.2.2電源管理
方便用戶在操作時對硬盤的電源進行控制。
4.4.2.3 休眠
方便用戶進行熱交換操作
4.4.2.4重新校驗
方便用戶在熱交換后對硬盤進行喚醒
4.4.2.5硬盤軟件复位
4.4.2.6硬盤硬件复位
4.4.2.7綜合初始化
它包括了硬件复位、軟件复位、初始化、重新校驗
4.4.2.8校驗
這項操作方便确定扇區的范圍。包括坏扇區的范圍
當恢复一個轉換表出錯的硬盤時，這項功能就可以發揮作用
在操作時，先設定扇區的范圍值，然后點START,當前進度及結果會在窗口下方顯示出來，這個結果有助于找到數据的偏移點。
舉例說：如果你掃描的范圍內發現一些扇區沒有通過校驗，你几乎就能确定這就是偏移點。
不幸的是，硬盤厂家對硬盤轉換表及坏道表的定義是不公開的，保密的，所以這項操作不一定能成功。
從校驗的結果可以找到很多有用的信息
4.4.2.9通過數据片段查找
這個模式是對誤格式化的硬盤進行，用戶可以修改目錄中的關鍵詞以方便查找，本軟件也提供了一些幫助
4.4.2.10.1 EXPLORER瀏覽器
這個模式的主要目的是目標硬盤的數据結构的虛擬再現，它的名字叫EXPLORER是因為它的界面跟瀏覽器IE很相似。
4.4.2.10.2軟件的界面如圖(略)
4.4.2.10.3EXPLORER的對象及特性
通常情況下，顯示出來的對象是硬盤的各項邏輯結构元素
如MBR
文件分配表
EPR
啟動區
目錄
文件
瀏覽器中的每一個對象，對應著一定的信息，可以進行一定的操作，通過鼠標右鍵或ALT+DOWN來展開菜單。
所有的對象都能用的操作方式是：掃描和查看第一個扇區
掃描的用意是重新讀取對象的全部信息、并將新獲取的信息反映出來，這對于各對象來說自然是十分有用的了。
查看第一個扇區是看指定對象的第一個扇區中的數据
除此外，還可以加上以下操作：
對象圖?
扇區列表
保存
對象圖
對象圖，允許查看硬盤上的目錄和文件
扇區列表，可以看到指定的文件或目錄的扇區鏈
保存，將指定對象進行存盤。
當恢复一個NTSF格式的硬盤時，將會看到顯示MFT屬性的選項
与啟動分區相關的對象有著很嚴格的規定，不同的文件系統有不同的操作。
例如，對于FAT格式來說，可以有机會選擇備份1還是備份2來進行下一步的操作，選擇出
最佳的備份進行編輯存盤或加載進內存，載入內存，可以加快硬盤的拷貝速度。
對于NTFS格式來說，可以有兩种方式可選：
針對記錄顯示MFT的屬性
掃描MFT
要理解它的含義，需要了解一些与NTFS分區數据結构相關的基本知識，在NTFS分區中的數据結构要比FAT結构要复雜得多，用戶必須了解以下几件事：
在NTFS中的數据要比FAT中要容易恢复，在任何一個NTFS分區中，包含有一些表MFT，里面帶有文件的全部存放信息，而且還有表的鏡像文件.
一部分的MFT表就完整的包含了對象的文件信息，如果你已經用瀏覽器打開了一個NTFS分區或文件夾，不要只把目光停留在你所看到的東西上，你不用去努力打開前15個MFT表，在很多情況下，即使你看不到任何分區信息，你也可以使用這個功能SCAN MFT掃描主文件分配表。
如果一部分MFT被破坏了，与之相關的數据就不能恢复了
根据記錄顯示MFT屬性這一功能，可以通過窗口看到數据的處理過程，在某些情況下，特別是當轉換表被破坏的情況下，會變得非常有用。
掃描MFT還可以根据現存的MFT記錄和啟動區的數据，幫助你建立一個虛擬分區。
圖8是為MFT掃描輸入參數
在掃描過程中，要注意隨時停下，你有可能會看到你要找的文檔信息，直接打開就行了，不用掃描完全部的MFT, 實在不行，只能掃描完全部了。
4.4.2.10.4工作在對象圖模式
說到對象圖，用戶很容易想到硬盤數据結构的每一個對象，都很直觀的按磁道的順序顯示在圖中。
這個模式就是在這張圖中進行虛擬的工作，它有助于理解數据對象是如何存放在磁盤上的，當執行數据拷貝模式時，可以看到拷貝的過程及當遇到坏區時，是如何填滿數据的
在窗口的頂部有相關的地圖指南按鈕，通過這些按鈕可以移動地圖。
說到這個地圖，有兩個方面要記住：對象絕對是關聯和相配的，坐標關系是否連續主要是看硬盤的損坏程度。當我們說到移動的時候，就意味著關聯移動。
在這個窗口中間是對象的圖形。用鼠標左鍵單擊這個四方的圖形，相應的關系就會顯示出來，要注意區別交替刪除的扇區系列。
4.4.2.10.5在恢复數据時如何使用這些模式
4.4.2.10.5.1數据映像功能
想有高效的使用這一功能，只有當硬盤出現局部坏區，但仍能讀取足夠的信息時才能采用，只需讀取你所需的內容即可，不用讀完全盤。
如果是物理損傷導致邏輯結构受損，用EXPLORER恢复不出數据結构時，建議將受損硬盤全盤拷貝到一個好盤上，然后再使用別的邏輯恢复方法。對于FAT分區的，更應如此。
用資源管理器有以下的特點：
用資源管理器中的數据是屬于數据的副本。用戶應該明白，查看和編輯就是創建數据副本。
一旦可以提前讀出缺陷硬盤中的數据，不要減少這個數据的副本。
通常大量數据的恢复要求先恢复分區的邏輯結构的情況在整個數据恢复中的情況非常少。
在恢复破坏區的數据時，要花大量的時間去确定數据的可靠性。
在目前只支持FAT和NTFS結构的邏輯分析。
第一個特點是當用戶輕微的糾正數据副本，然后重新掃描缺陷盤上相應的對象，不會在缺陷硬盤上產生一個報告，而改變的結果立即會顯示出來。
下面是一個應用這個模式的簡單的應用：
一個FAT分區的硬盤的引導扇區讀取出錯。結果文件分配表副本和關聯表都遭到破坏。想打開根目錄文件夾也打不開。然而，用扇區數据編輯模式（查看FATxx的引導部分），在檢查了結果后我們填充正确的數据到相應的區域，然后重新掃描相應的對象，如果需要另外一些文件分配表副本，就要改變搜索的參數來查找。
在運行了几分鐘后，我們就有了進一步打開文件夾的机會啦。
第二步分為兩個方面。我們一開始就讀出了這個數据并且有了這些數据的副本，數据的得失并不是偶然的現象，我們需要多次分析和理解這些數据，除非硬盤徹底坏掉了。
硬盤一旦不動，就象“死”了一樣，我們用手指輕彈它，這樣的方法很有效，這樣可以增加我們讀取數据的机會。
第三步也分為兩個方面來應用，首先一個是有選擇性的保存提取的數据的，把重要的數据保存在一個大容量的好硬盤中，這些數据有時是無价之寶，把那些無用的數据清除掉。
如果一個硬盤有相當多的物理坏道的話，是很浪費時間的（對于IBM的盤讀取一個坏扇區要花8秒鐘）。
4.4.2.10.5.2 在轉換表恢复中的使用
在恢复轉換表中使用EXPLORER,是當更新偏移表時，不需重啟，就能看到重建分區表的變化時才有机會的。例如，當需要讀1000號扇區的數据，從偏移表中看到從999號扇區開始，向前偏移了一個扇區，這樣，1001號扇區才是我們真正要讀取的。
在通過區段文件時，有机會或得這個文件的扇區鏈表(盡可能按對象模式圖工作)，并用偏移圖和确定的部分來關聯所有的沒有确定的偏移。
4.4.2.10.5.3 數据邏輯結构恢复的使用
當一個實驗的磁盤用Explorer模式有不明确的結果時，數据邏輯結构恢复模式的使用是糾正這個磁盤的基礎。
很不幸的是，描述怎么樣使用它是相當的困難，所以我們給一個實例：
從一個被 WIN95CIH病毒破坏的FAT32分區的硬盤中讀取數据。
我們知道，這种病毒破坏主引導記錄、文件分配表副本（沒有机會進一步擴展）。
用系統的特定故障搜索文件分配表副本和文件分配表文件夾（開始模糊定義）。
我們編輯与分區表一樣的零扇區（主引導記錄），寫一個關于分區的記錄。
我們編輯第63扇區作為FAT32導入點（for simplicity it is possible to boot the approprate preparation from a file ）.我們首先要知道文件分配表的副本的數量、存儲的扇區的數量、文件分配表的大小，我們假定第一個副本是從95（63+32）開始，到第二個副本的最前面直接終止（用搜索模式查找）。
如果你在前面的數字方面沒有什么錯誤的話，接著重新掃描這個磁盤，你將會看到正确的分區類型和第一個扇區根目錄文件夾的位置。
充分确定了簇的大小和分區數据才可能去复制，連接了PC3000系統的硬盤是比較好做到的！
整個過程用時5分鐘。這是一件相當簡單的事情！
文件分配表被嚴重破坏（例如文件分配表全部被破坏）的分區的數据恢复是不可能實現的，然而，用戶可以利用Explorer模式提供的數据結构中隱藏信息來幫忙。
更進一步來講，計划從本質上發展這個綜合的恢复邏輯結构的工具，然而，至少現在這個綜合工具對于了解硬盤數据結构的人是非常有用的。
當用戶按不同的鍵就實現不同的功能、輸出一些象（“Easy Recovery”）這類數据恢复軟件沒有的結果。
4．5主要的操作模式
以下是三個主要的操作模式：
1、建立硬盤鏡相文件模式
2、這個模式是把先前的鏡相文件輸出到一個与PC3000卡相連的另外一個硬盤上。
3、這個模式是從与PC3000卡相連的有缺陷的硬盤直接拷貝數据到另外一個作為第二主盤的硬盤上
用戶的在所有的操作中有以下几點是相同的：
關閉被打開的任務。關閉任務開關會斷開与PC3000卡相連的硬盤的連接。
連接与PC3000卡上的硬盤，硬盤上的數据會被讀出或輸出。
打開先前創造的任務。
用一個确切的模式操作讀取或寫下數据，改變參數，進一步來分析操作這個過程。
當你認為可以的時候關閉任務或結束進程。
從圖形上看來這几個從缺陷盤上拷貝數据的模式非常簡單：（圖略）
在工作區的頂部有一個模式名稱的標識。
在左側的頂部是与PC3000卡相連的硬盤的參數。
在右側的頂部顯示的是對于某個單獨模式的當前運行過程的關鍵信息。
在工作區中間顯示的是程序進度的標志。
在工作區的右邊有控制程序的按鈕。
在工作區的底部顯示的是當前寄存器上的硬盤的狀態指示燈。
模式的控制特別的注意一下。這樣，對數据的讀寫和輸出的認識相對要簡單一些，控制面版也是很相似，不同的是每一种動作輸出的詳細特性。
在所有的操作模式過程中，”start” “stop” “parameters” “statistics” “map” “repeat” 和”finish”.這些按鈕的功能非常相似的：
“start”和”stop”按鈕是允許和禁止進程的操作。
“finish”按鈕關閉當前已經打開的任務。
“parameters”按鈕允許用戶查看和改變當前工作模式的參數。按下它會出現一個對應的改變參數的模式窗口。
“map”按鈕可以開關掃描程的地圖。
“repeat”按鈕重新開始結束的改變了參數的進程
按鈕的有效性取決于當前任務的執行的情況。例如，當正在掃描或輸出時，按鈕“parameters”是不可用的（灰色）。
4．5．1缺陷硬盤的映象文件的創建
這個是從缺陷硬盤中讀出數据并保存在一個已經格式化的普通硬盤上的模式，在這個硬盤中創建一個最大為1G的二進制文件的文件夾（imgXXX.bin,XXX是文件的數目）.最初，這個模式打算作為從缺陷硬盤中讀取數据的主要模式。
它的主要优點是可以從缺陷硬盤中重复的讀出最初的數据便于以后分析和恢复數据。
這個模式最根本的缺陷是很浪費時間，因為它是一對一的兩個過程，掃描后然后輸出，對于一個大于1G的盤大約要20-30分鐘。也就是說，一個容量為30G的硬盤輸出數据大約要12-15小時，大量的時間掃描會導致硬盤的破坏加深。
鑒于以上情況，在開始讀取數据之前，掃描過程中的參數定義是非常重要的，掃描要達到什么樣的目的，事先要明确，然后通過控制按鈕“patameters”來設置必要的參數。
在按了這個按鈕之后屏幕上會出現一個設置掃描參數的窗口：（圖略）
在創建了一個任務后，所有的參數都作為一個默認的值被确定下來，改變這些參數必須要按”Apply”按鈕來應用它們。
下面是掃描參數的列表：
參數名稱
1?開始的LBA地址
1?結束的LBA地址
2?讀取等待
3?電源開關
4?跳過的大小
5?重复讀取
6?重复的准備
7?使用硬件重复
8?跳過讀取失敗的扇區
9?讀取時忽略CRC（CRC 循環冗余碼校驗）
定義你要讀取的缺陷盤的扇區范圍。
“讀取等待“參數定義讀取硬盤的響應時間，單位為毫秒。如果讀取失敗，15秒后將會出現一個信息框或按鈕，允許結束等待。
“電源開關”參數的設置單位是毫秒，設置當停止讀取缺陷硬盤是電源自動開關的時間間隔，這主要是提供一個自動開關硬盤電源的環境。
“跳過的大小“是設置當等待讀取硬盤時，讀不出來硬盤自動斷開電源時，為了加快讀取，只有跳過，這時的扇區的大小，這個參數主要是針對破坏嚴重的硬盤，例如磁頭坏了。
“重复讀取”參數是設置讀取錯誤的扇區而企圖重复去讀取它的次數，然而，有一點要注意的是，如果這個參數的次數超過3次，即使可能已經成功的讀取了，分析統計的大量可信數据將被保存下來。
“重复的准備”參數用來設置讀取那些即將受損的硬盤扇區的重复次數，這個參數僅僅用于万一“跳過坏扇區”沒有确定時。
“讀取時忽略CRC“對于掃描大量坏扇區的硬盤很有用。如果沒有循環冗余碼校驗，讀取數据就要快得多啦！當然，這樣讀取數据的可靠性就要差一些。
以下作為一個分開的部分，就是万一程序不能進入准備的模式來使用的：
1 硬盤電源開關
2 硬件重啟
3 程序重啟
4 初始化
5 重新校准
這些參數是在硬盤确定的時間沒有進入事先准備的模式定義的執行方式。
為了程序執行得順利，我們要從上到下按順序設定好這些參數，換句話來說，程序執行的環境依賴于我們設定的參數結构。
例如，如果程序一開始硬盤就開始敲盤，這時“開關硬盤電源”的功能顯得非常重要啦。
這一點是非常有用的，万一在掃描一個大硬盤的時候我們沒有注意到程序的進度而這個硬盤突然不退出工作模式開始敲盤，接著就會敲坏盤，如果這時我們不能及時把硬盤從這种環境中斷開，以后取出數据是不可能的。
在默認的情況下，這些設置所有的點都是打開的。然而，用戶可以通過自己對某一特定的情形的判斷來改變這些設置。
4．5．2把鏡相的數据輸出到另一個好硬盤上
記錄器模式運行后，從缺陷硬盤被讀出的數据被作為文件的形式保存在當前任的子目錄中。
連一個容量差不多或比它容量大的盤到這個PC3000的功能卡上再打開相應的任務。
表面上看來這個模式与前面的沒有什么不同，唯一的本質區別在聯了一個好的硬盤和這
個模式運行的意義（一個是從缺陷硬盤上讀取數据然后保存成文件，一個是把文件區對區的拷貝到另一個好盤上）。
假如聯接的硬盤是一個真正的好硬盤的話，出現的參數設置列表項目很少的，只有從先前保存文件拷貝扇區的開始的LBA和結束的LBA .
細微的差別在于當一個扇區沒有被讀取時（出現錯誤或跳過的情況）可能數据會被重新排列，按下輸出參數設置“跳過坏扇區”的按鈕時對于你來說是非常有用的：（圖略）
按下輸出窗口參數設置下面的按鈕時，每种情況都被寫到好的硬盤上。
按下“默認”按鈕，所有的參數按系統默認的設置。
按下“應用”和“拒絕”按鈕就表時不要求特別的注釋。
在你确定用默認的設置參數然后按下“開始”按鈕時，數据將會成功的輸出到硬盤上，除非你中途打斷它。
一旦你按了“完成”按鈕時，任務將會被關閉。
4．5．3不用建立鏡相從聯接的缺陷硬盤拷貝數据到另一個硬盤上
這种工作模式与上面模式描述的是不同的，它不是把PC-3000的卡上的缺陷硬盤讀成文件，而是直接拷貝到第二主硬盤上。
這种模式的根本好處是節省時間，然而用戶卻失去了重复讀取缺陷硬盤數据并輸出到另一硬盤的机會。
要用這個模式，通常在開机之前首先要接一個和缺陷硬盤容量相當或還要大的硬盤在電腦的第二條IDE線上，并把硬盤設成第二主盤，在設備管理器的硬盤項中斷開第二硬盤，這樣就斷開了操作系統對這個硬盤的控制，連接第二硬盤的端口被關閉。這樣DE程序就可以直接控制這個硬盤了。
如果這些要求沒有達到，按這個“開始”鈕，就會出現第二主盤硬盤初始化出錯的提示框，而且出錯的指示燈還會亮起來！
用戶要記住一點的是，重啟電腦操作系統后，操作系統都能認出第二硬盤并且禁止程序占用它的端口。這樣就要求我們打開硬件管理器來關閉這個硬盤，然后掃描的數据才對順利的拷貝到第二硬盤上。
必須要按以說的要求去做是這個模式的麻煩的地方，然而這种模式對于大容量硬盤的數据恢复是節約成倍的時間，這對于我們來說才是重要的。
4．5．4從含有損坏硬盤扇區的硬盤上恢复文件
首先，操作者應該明白，這种模式是給操作者一個從損坏的硬盤中取出數据的机會。
一旦我們在檢測硬盤時，這個檢測恢复模式因為硬盤損坏或其它原因不能運行，這時我們可以用熱交換法從硬盤中讀取數据（比如說硬盤給加上了密碼的情況就可以這樣）。
如果說你第一次是100%的能恢复硬盤中的數据的時候，第二次你用了不恰當的方法可能數据全部失去，恢复不了。
有兩种主要的方法：就是列一個方法清單去恢复數据，或者是讓模仿程序去恢复。
第一种方法并不是很普遍，因為它首先要求對某個硬盤特別了解，況且沒有數据丟失恢复的情況可能性不大。
第二种方法是普遍的，因此被大多數人采用。
然而，這种方法也是有個根本的缺點：就是要求對恢复文件的磁盤格式有一定的認識，比如說FAT分區和NTFS分區。一提到數据恢复我們就會想到DE。
目前，這种綜合結构的數据恢复是通過交互式的方式來實現的。現在正在開發一种對于FAT分區和NTFS分區的自動恢复數据的綜合功能，這种功能要另外付費。然而，憑經驗，這种效果完全可以通過我們目前的這种綜合性的工具來實現的。
在介紹這种模式恢复數据的技巧之前，給你以下几點建議：
如果你用熱交換法讀取了缺陷硬盤中的數据，你要第一時間拷貝出這些數据到另外一個好盤。
最好是關掉自動屏蔽硬盤坏道的功能。否則會在讀取這些坏道時會產生一個反向的影相，那樣的話最主要的環境就會發生改變。
如果你不能達到以上的要求，你最好把所有的數据拷貝到一個好的盤上，就算的自動屏障坏道的情況發生，你已經有了另外一個穩定分析數据的環境，當然，在這种情況下丟失數据也是完全可能的。
以上給的忠告是理解DE的實際基礎，數据恢复是一個純粹邏輯分析的過程，也就是要找到一個防止信息丟失的方法，這就要求數据的結构和位置不能被改變。
按以上要求接一個硬盤，然后使用PC3000或相似的程序。
操作的結果是，WD的硬盤不能達到預期的要求，在這种請況下你應該用PC3000，因為在這种請況下邏輯恢复是不可能的，需要用PC3000去搜索IDNF扇區然后直接恢复它。
最后，我們來描述一下這個模式。表面上這個模式和硬盤結构邏輯圖模式的唯一不同在于工作區的左邊有個變化的列表。（圖15略）
在這里不可去詳細的描述工作模式的每一個完整的界面，因此根据實際情況舉例說明。
一塊硬盤有兩個FAT分區，然而打開時檢測不到主引導記錄（MBR）。
用戶一定要明确兩個關鍵問題：第一——從移位圖可以知道所有的數据都在硬盤上，所有的數据在檢測程序的幫助下是可以取出來的。不用在成百上千的扇區中去搜索這個移位情況，堅持畫一個圖是非常有必要的。每次确信加進圖中的一條條信息的位置沒有錯。
換句話來說，應該按以下的順序來操作：
找到硬盤不符合要求的位置（首先看第一個扇區）
确定有多少個扇區与要求的結构發生變化
确定每個位置的正确性
下面有一個哪些數据可以利用畫圖原理。數据是由兩個因數來确定，一個是文件系統的特征，一個是文件确切的開始的位置。
換而言之，用下面的知識可以确定移位的大小：
MBR
BR
分區表副本
文件夾
WORD、EXCEL、ZIP、RAR、EXE、DLL文件等
上面這個表從本質上講要靠用戶的經驗來擴展。
下面這一點認識對于我們以后非常重要：在相同數量的扇區中發現了兩個完全相同的移位，這种請況一定要仔細的考慮一下，是不是數据存在兩個移位之間。
因此，大都數移位的情況將添加到圖中，少數數据區沒有特別的位移主要靠我們來觀察。
現在還是回到我們的實例上來。
如果沒有檢測出MBR，意味著零扇區不合位置要求，接著我們用模板搜索模式來确定他的新位置。
我們假定它在扇區2的位置，也就是說真正的零扇區向前移動了兩個扇區的位置，接著我們打開移位圖然后加進從LBA=0開始移位的值是2。之后，我們就開始用對硬盤掃描的方法。
在資源管理器中MBR的位置出現相應的目標。
我們看一下右邊類似WINDOWS中的資源管理器，第一個分區是從第63扇區開始的，假
定第二個分區是從LBA4000000開始.
我們用資源管理器打開第一個分區.
如果打不開,我們就可以用搜索模式來幫忙找到第一個引導扇區.如果有兩個扇區移位了,我們把它加進移位表中.
這里值得注意的是,如果在圖中有多條LBA數值少于選中的一個時,那么這些移位已經被加進了移位表中了.也就是就說,第一個扇區移位的最小整數不是2個扇區,而是4個扇區.
一個硬盤開始和結束最小整數的圖形對我們非常方便的,我們不希望有相當多的偏移來每一個都搞一個新的圖形,所以相同的甚至更多的LBA的扇區都可以用一個規律性的設置來達到要求.
當我們正确的加進了分類項目后,再掃描,相應位置的引導扇區的第一個字目錄就會顯示出來.
更進一步來說,對文件分配表副本的理解是很有必要的.我們通過查看引導扇區的相應類型就可以知道它們的數量和位置.我們可以這樣計算一下,開始扇區的第一個副本按照偏移量代替引導扇區,這個副本的大小在引導扇區有一個詳細的列表.我們記下這個數值,然后用搜索模式在預定的范圍中查找每一個副本可能的偏移.如果有偏移的,就加進相應的表中,注意一下后來加進的分類對偏移的影響.
為了對文件夾的位置有個清楚的了解,我們選擇通過資源管理器”查看第一扇區”向前或向后查找合适的對象,來确定它的真正位置.如果它有偏移的話,就加進偏移表中.很遺憾的是,在文件分配表的根目錄文件夾中沒有准确的信息,需要去确定每行等于32(构成文件夾的最小整數)的字節的數量.
在文件分配表中找到至少一個沒有偏移的副本是非常有必要的,我們選擇這個沒有偏移的副本,有了這個沒有偏移的副本,我們恢复文件分配表是沒有問題的,否則是很麻煩的啦.
如果我們發現這個硬盤沒有數据,那么你可能要查看坏道然后綜合分析它的結构,可能發現坏道也有偏移,例如在第一個文件分配表副本存在的扇區范圍中,2個扇區就發現了兩個坏道,很有可能是你需要的扇區.當然這樣的情況很少發生.例如,有4個扇區發生偏移了,發現其中僅僅有兩個是坏的扇區.厂家定義的坏道与我們确認的坏道有細微的差別的.在這种情況下我們就不得不搜索偏移的扇區,用假設法來比較副本之間的差別來鑒定它們(很多情況下它們是不完整的).
在得到了至少一個文件分配表副本之后,你可以繼續進行文件分配表的恢复工作.
下一步是對移位圖中的連貫性說明.
連續執行下面各項操作:
打開根目錄文件夾.
排列有關聯的對象清單加時開始的扇區
在這個有關聯的對象清單里查找文件夾中的元素,如果找到合适的對象或者明顯和清晰的數据結构,用查看第一扇區的方法查看,核對一下有沒有發生偏移.
如果顯示确實發生偏移，移這些扇區到移位圖中；
用查看第一個扇區的方法或者重新掃描查看移位后扇區中的對象的正确性。
万一在拷貝后發現某個文件有問題，這就意味著扇區被文件點用的部分的位移不是很特別，那就需要用觀察特定對象圖的模式來觀察它，必要的時候就在圖上糾正它的位移。
如果不經過簡單的糾正，恢复過來的數据千奇百怪，這樣沒有一种合适的工具可以确定它們的正确性，建議你保存好這個移位圖直到分析完數据為止。
分區的恢复原理比上面描述的要簡單得多。
我們提供數据恢复的原理和這個工具，成功与否要靠使用者的經驗，專業水平和直覺。
如果你留意的話，在硬盤上可以看到相應的分區上的數据結构，這樣你就可以得到恰
當的找到數据結构的經驗。
4．6以掃描圖方式運行
這种輔助圖在所有的主要模式中是最容易理解的。
按相應模式中按控制面板上的“MAP”按鈕就可以開始以掃描圖方式運行啦。
在每一個特定的環境中如果編輯了某一扇區的話，就沒有机會從缺陷盤中讀取數据了。
這种模式的主要目的是要給用戶通過對參數的改變對數据有個綜合評估的机會。
例如在第一次掃描發現了許多錯誤后，我們可以改變參數來糾正。
此外，我們有机會描圖模式時能通過鼠標右鍵來運行模式外的一些程序。
以下是右鍵菜單和功能的介紹：
通過選定扇區來查看和編輯數据（前后的菜單或雙擊鼠標）。
把一個區域的數据作為一個文件保存。
建立選定區域和文件的關系。
編輯、拷貝、輸出數据都是建立在鏡相的數据的基礎上的。
在程序的后續版本中這樣的功能還要大大加強。
4．6．1地圖指南
在鼠標和鍵盤的幫助下，地圖指南可以被調出來。
用“TAB”鍵可以在掃描圖上垂直的移動，用“UP”“DOWN”“HOME”“END”這些鍵可以翻頁。
用鼠標拖動程序的面板是很容易的。
4.6.2圖例
按”圖例”按鈕時,一個信息框會出現在屏幕上,這個信息框上有各种顏色代表在地圖上代表的信息.
4.6.3查看和編輯讀取的數据
這种模式主要是想要查看和編輯某一讀取的扇區的鏡相.
通過在地圖上雙擊鼠標相應的扇區或通過地圖的控制菜單都可以激活這個模式.
在你執行了這個動作時,將會出現如下的編輯模式窗口:(圖略)
在這個窗口的頂部,有一些功能鍵,你可以導出你需要的扇區的數据.
在窗口的左邊,所有的數据都用十進六數的方式查看和編輯,在右邊是符號的示例.
在編輯時用鼠標和鍵盤同樣有效.可以直接在窗口上編輯.
4.6.3.1數据菜單
數据菜單經常會在大量的導入的數据的窗口中出現.以下是它的子菜單
4.6.3.1.1重新導入
這個菜單允許重新導入鏡相的數据到編輯窗口中,例如,你已經改變了數据,但是不想保存,想恢复到的据的初始狀態,這時就可以用這個菜單的功能來實現啦.
4.6.3.1.2保存所作的修改
這個菜單是把你所作的修改保存下來.用這個菜單時你要注意的是,你將改變你唯一的源數据(除了你的缺陷硬盤之外).
4.6.3.1.3從文件中導入
用這個菜單,你可以導入一個外部的數据文件到這個編輯窗口中.當程序問你是否保存更改是,要記住,這是你唯一的數据副本啊.
4.6.3.1.4保存在一個文件里
這個菜單是最安全的操作,作用是讓你把當前操作編輯的扇區作為一個512字節的文件保存下來. |
