【文章內容簡介】 志。 NTFS 結構模式 當用戶將硬盤的一個分區(qū)格式化為 NTFS 分區(qū)時，就建立了一個 NTFS 文件系統(tǒng)結構。 NTFS 與其他的文管系統(tǒng)一樣，也是以簇為基本單位對磁盤空間和文件存儲進行管理。但 NTFS 是以卷為基礎的，而卷是建立在磁盤分區(qū)上，所以 NTFS 分區(qū)也被稱為 NTFS 卷，卷上簇的大小，稱為卷因子，所以簇的大小一定是扇區(qū)大小的整數倍。 NTFS 文件系統(tǒng)使用邏輯簇號 (Logical Cluser Number， LCN)和虛擬簇號 (xrLraJal Cluster Number， VCN)對卷進行管理。而 LCN 是對第一個簇到最后一個簇進行編號管理。 NTFS 分區(qū)的引導扇區(qū)在 BOOT 區(qū)的第一個扇區(qū)，它在操作系統(tǒng)引導時必不可少的部分，它和 FAT32 分區(qū)的結構類似，也包括跳轉指令、 OEM 版本號、 BPB 參數、引導代碼和結束標志。而 BPB 參數則是從偏移 0BH 開始，到偏移 53H 結束，里面記錄著 NTFS 分區(qū)的許多重要信息。 總體結構 如圖 21 所示： 圖 21 NTFS 文件系統(tǒng)總體結構 5 主控文件表及元數據簡介 NTFS 卷結構的核心是主控文件表 (MFT)，操作系統(tǒng)是通過 MFT 來確定文件在磁盤上的位置以及文件的所有屬性等。 MFT 是一個與文件相對應的文件屬性數據庫，它記錄了除文件數據外的所有屬性，甚至有些小文件的數據本身也包含在 MFT 當中，所以在 NTFS 分區(qū)中每個文件至少有一個 MFT。 主控文件表 (MFT)由兩部分構成，一部分是主控文件表頭，稱為文件記錄頭；另一部分是屬性列表， MFT 頭結構如圖 22 所示： 圖 22 MFT 文件頭結構 MFT 是以文件數組來實現的，每個文件記錄占用兩個扇區(qū)。文件記錄在 MFT 文件記錄數組中物理上是連續(xù)的，從 0 開始編號。為了保證其連續(xù)性，在它周圍保留了一個緩沖區(qū)，這個緩沖區(qū)的大小是可調的，可以是磁盤空 間的 12． 5％、 25％、 37． 5％或 50％。每當其余空間變滿時，緩沖區(qū)大小減半。 MFT 區(qū)域的前 16 個文件屬于系統(tǒng)文件，也稱為元文件，用來存放系統(tǒng)的元數據，元數據是指 存儲在卷上支持文件系統(tǒng)管理的數據。只為系統(tǒng)服務，不能被應用程序訪問。 不管簇的大小是多少， MFT 中的記錄大小一般是固定的，占用 1k 空間。這些記錄從零開始編號。 MFT 僅供系統(tǒng)本身進行文件管理使用（ MFT 本身也是元數據）。在 MFT的前 16 條記錄是非常重要的操作系統(tǒng)使用的元數據文件，這些元數據文件的名字都是以 “ $” 開頭，是系統(tǒng)管理卷不可缺少的。 這 16 個文件是 NTFS 文件系統(tǒng)中唯一在 MFT 6 表中具有固定地址的文件。 元數據文件及它們的作用如圖 23 所示： 圖 23 NTFS 元數據文件及其功能簡介 7 第三章、常見的數據的丟失情況及癥狀 數據丟失的原因有很多種，其中根據故障的原因可以分為邏輯原因和物理原因及固件本身的故障等。 邏輯原因：病毒感染、誤格式化或誤分區(qū)、誤克隆、誤刪除或覆蓋、黑客軟件人為破壞、 0 磁道損壞、硬盤邏輯鎖、操作時斷電、意外電磁干擾造成數據丟失或破壞以及系統(tǒng)錯誤或癱瘓造成文件丟失或破壞等。 物理原因：磁盤劃傷、 磁頭變形、磁臂斷裂、磁頭放大器損壞、芯片組或其他元器件損壞等。 固件本身故障原因：硬盤的固件由于讀寫次數過多，常常會出現故障，常見的故障表現包括有尋道聲但不能正常認盤、只認廠家模式等。由固件原因引起的數據丟失占到數據丟失的 40%左右。另外，自然損壞：如風、雷電、洪水、地震以及意外事故也有可能導致數據丟失，只是這一因素的可能性要低很多。這時恢復數據就要專門的物理設備。 在這里，將數據丟失分成兩種原因，一種是直接用戶人為的誤操作導致數據丟失，另一種是非直接用戶導致的數據丟失。 一、常見的數據丟失情況（誤 操作） 刪除文件 當執(zhí)行刪除文件的操作 ,系統(tǒng)只是在該文件的文件目錄表 (FDT)上做一個刪除標記 ,即把該文件的文件目錄項第一個字符改為“ E5H”來表示該文件已經被刪除 。另一個是把該文件的文件分配表 (FAT)中所占有的簇標記為“空簇”，而 DATA 區(qū)域中的簇仍保存原文件內容。其原理是系統(tǒng)在文件分配表中相應位置檢測到“ 0”時 ,就認為該文件簇處于空閑狀態(tài) ,表示可寫入其他文件。 子目錄的刪除 操作系統(tǒng)對子目錄的管理和對文件的管理相同，所以操作系統(tǒng)對子目錄的刪除與文件的刪除的方式也相同。但 FAT16 或 FAT32 下子目錄的 簡單操作只是對描述子目錄的 FDT 做一個刪除標記，該子目錄下所有文件和下一級子目錄的所以記錄都沒有變動，相當于將該子目錄“移”到回收站里，里面的數據依舊可以恢復。 硬盤的分區(qū) 硬盤進行分區(qū)操作時 ,系統(tǒng)只是修改了 MBR(硬盤主引導記錄 )和 DBR(DOS 引導記錄 ),DATA 區(qū)的數據并沒有被全部覆蓋或者修改。由于 MBR、 DBR 的改變導致文件的路徑被破壞 ,系統(tǒng)不能正常讀取文件。 硬盤的高級格式化 硬盤進行高級格式化時 ,系統(tǒng)并不將 DATA 區(qū)的數據清除 ,只是把相應的 FAT 表和FDT 表重寫，即徹底刪除之前記錄的所有文件和子 目錄的目錄 ,使其 FDT 和 FAT 中都 8 不再有文件或目錄記錄登記項 ,只留有標識磁盤空閑的記錄 ,回收站也給清除 ,從而釋放空間。一般快速格式化后 ,其子目錄下的文件目錄項還保留著，不會被刪除。當使用“ Format”命令時加上“ /U”參數 ,系統(tǒng)在對分區(qū)進行格式化時將強制對每一扇區(qū)寫入“ F6” ,就完全把數據破壞，但執(zhí)行這個命令可能會對磁盤造成一定的損害。 硬盤的低級格式化 硬盤的低級格式化指在物理層面直接對硬盤里面的數據進行清理，其作用是為整個硬盤劃分出柱面和磁道，再將磁道劃分為若干個扇區(qū)，在每個扇區(qū)的地址場中標志地址信息 ，測試硬盤介質缺陷。低級格式化后的數據完全損毀無法恢復。 二、數據出現問題的癥狀 不能進入系統(tǒng) 有時 COMS 檢測硬盤時顯示正常，但不能進入系統(tǒng)，有時會出現提示死機或者無提示死機情況，也會出現 COMS 能檢測到硬盤，但顯示的容量不對等，這通常可能是因為 MBR 損壞、 DBR 損壞、電源質量不合格、數據線斷線、 COMS 設置不正確、主從硬盤設置不正確、硬件沖突、 COMS 電池電壓不足等其中一個或幾個原因導致。 磁盤