硬盘理论及维修讲座汇编

1、目录一、硬盘物理结构一、硬盘物理结构二、硬盘名词二、硬盘名词 1、物理名词、物理名词 2、逻辑名词、逻辑名词三、系统引导条件三、系统引导条件四、特征扇区四、特征扇区 1、0扇区扇区 2、63扇区扇区 3、69扇区扇区五、硬盘分区原理五、硬盘分区原理 换算部分换算部分 六、分区大小的换算六、分区大小的换算 七、病毒通常破坏的扇区七、病毒通常破坏的扇区 八、数据修复常用工具八、数据修复常用工具 九、数据修复常用方法九、数据修复常用方法 十、如何判断硬盘故障十、如何判断硬盘故障 案例案例物理硬盘物理硬盘硬盘物理结构 硬盘大致分为，磁盘 Media，读写头 Read Write Head，马达Spin

2、dle Motor & Voice Coil Motor，底座Base，电路板PCBA等几大项，组合而成 从数据存储部件看，Media是最容易出问题的。 ， Media是金属或玻璃材质制成，为达到高密度高稳定的质量，基板要求表面光滑平整，不可有任何暇疵，然后再将磁粉Coating（涂层） 溅渡到基板表面上，最后再涂上保护润滑层。此处有2项高科技，一为，如何制造出不含杂质极细微的磁粉 二为，如何将磁粉均匀的Coating上去 。数据在硬盘上物理存储位置 内径为25mm，需扣掉最外及最内圈不保存Data的部分，实际只剩20mm数据读写原理 例如： 当10MB Data进来时，第1个Head

3、先写4096 Byte(视规格各异)，第2 Head写4096 Byte，依此类推，呈垂直读写，所以1 File是被分很多段存在各磁面上，读取时也是同理，如此多磁头同时读写可达到高速要求。硬盘的工作原理硬盘的工作原理硬盘工作时，盘片以设计转速高速旋转，设置在盘片表面的磁头则在电路控制下径向移动到指定位置然后将数据存储或读取出来。当系统向硬盘写入数据时，磁头中“写数据”电流产生磁场使盘片表面磁性物质状态发生改变，并在写电流磁场消失后仍能保持，这样数据就存储下来了；当系统从硬盘中读数据时，磁头经过盘片指定区域，盘片表面磁场使磁头产生感应电流或线圈阻抗产生变化，经相关电路处理后还原成数据。 硬盘逻辑

4、部分 在老式硬盘中, 由于每个磁道的扇区数相等,所以外道的记录密度要远低 于内道, 因此会浪费很多磁盘空间 (与软盘一样). 目前新式改用等密度结构生产硬盘. 也就是说,外圈磁道的扇区 比内圈磁道多. 采用这种结构后, 硬盘不再具有实际的3D参数,寻址方式也改 为线性寻址, 即以扇区为单位进行寻址. 为了与使用3D寻址的老软件兼容 (如使用BIOSInt13H接口的软件), 在硬 盘控制器内部安装了一个地址翻译器,由它负责将老式3D参数翻译成新的线性 参数. 这也是为什么现在硬盘的3D参数可以有多种选择的原因(不同的工作模 式, 对应不同的3D参数, 如 LBA, LARGE, NORMAL)

5、. 完整硬盘的数据结构 初买来一块硬盘，我们是没有办法使用的，你需要将它分区、格式化，然后再安装上操作系统才可以使用。一个完整硬盘的数据应该包括五部分：MBR，DBR，FAT，DIR区和DATA区。其中只有主引导扇区是唯一的，其它的随你的分区数的增加而增加主引导扇区（主引导扇区（0扇区）扇区） 主引导扇区位于整个硬盘的0磁道0柱面1扇区，包括硬盘主引导记录MBR（Main Boot Record）和分区表DPT（Disk Partition Table）。其中主引导记录的作用就是检查分区表是否正确以及确定哪个分区为引导分区，并在程序结束时把该分区的启动程序（也就是操作系统引导扇区）调入内存加以

6、执行操作系统引导扇区（63）扇区操作系统引导扇区，通常位于硬盘的0磁道1柱面1扇区，是操作系统可直接访问的第一个扇区，它也包括一个引导程序和一个被称为BPB（BIOS Parameter Block）的本分区参数记录表。文件分配表（文件分配表（FAT）FAT(File Allocation Table)即文件分配表，是DOS/Win9x系统的文件寻址系统，为了数据安全起见，FAT一般做两个，第二FAT为第一FAT的备份, FAT区紧接在OBR之后，其大小由本分区的大小及文件分配单元的大小决定.FAT表 第一份一般在逻辑的第 扇区,第二份开始位置在第一份FAT结束的下一扇区）. 作用：作用：FA

7、T表保存着文件段与段之间的连接信息保存着文件段与段之间的连接信息，所以操作系统在读取文件时，总是能够准确地找到文件各段的位置并正确读出。为了实现文件的链式存储，硬盘上必须准确地记录哪些簇已经被文件占用，还必须为每个已经占用的簇指明存储后续内容的下一个簇的簇号 FAT的特征字符串：F8 FF FF 0F(所在扇区的起始处第1-4字节)。根录区根录区 (ROOT)一、DIR是Directory即根目录区的简写，DIR紧接在第二FAT表之后,只有FAT还不能定位文件在磁盘中的位置，FAT还必须和DIR配合才能准确定位文件的位置。DIR记录着每个文件（目录）的起始单元（这是最重要的）、文件的属性等。定

8、位文件位置时，操作系统根据DIR中的起始单元，结合FAT表就可以知道文件在磁盘的具体位置及大小了。根目录（ROOT）操作系统根据根目录中的起始簇，结合FAT表就可以知道文件在数据区中的具体位置和大小了。根目录区扇区数用下式计算： 根目录区扇区数 = 根目录项数 * 32 / 每扇区字节数每个目录项恰好32字节长，存储着目录所含文件或下级子目录的名称、属性、长度、日期、时间和起始簇号数据区数据区数据区是真正意义上的数据存储的地方,FAT32分区的FAT表之后，占据硬盘大部分空间。当将数据复制到硬盘时，数据就存放在数据区。寻找数据区的方法：搜索“RECYCLE ”字符串数据区开始扇=63+32+2

9、*FAT+1硬盘逻辑概念硬盘逻辑概念磁头(-254)、柱面(-1023 所有盘片构成的)、扇区(1-63)、磁道（每磁道共个扇区）、Boot区、FAT（每分区份FAT表，第一份在扇区）表、目录区、数据区、系统文件分区（FAT32、NTFS）、簇(存储文件的最小单位第一个簇的开始值为2）、I/O表（63扇区的别称）文件系统（文件系统（FAT32、NTFS）FAT32:在 Windows 2000 中，可以格式化一个不超过 32 GB 的 FAT32 卷，最大文件大小为 4 GB。NTFS（新技术文件系统）:最小的容量为 10 MB， 推荐实际最大的容量为 2 TB，文件大小只受卷的容量限制。簇C

10、luster(从2开始计数） 文件占用磁盘空间，基本单位不是字节也不是扇区而文件占用磁盘空间，基本单位不是字节也不是扇区而是簇。分区中只有数据区才划分为簇，其余部分只划是簇。分区中只有数据区才划分为簇，其余部分只划分为扇区。一般情况下，硬盘数据区每簇的扇区数与分为扇区。一般情况下，硬盘数据区每簇的扇区数与分区的格式和总容量大小有关，可能是分区的格式和总容量大小有关，可能是4 4、8 8、1616、3232、6464和和128128。小文件可能放不满一个簇，它占用的簇既是。小文件可能放不满一个簇，它占用的簇既是它的开始簇又是它的结束簇，而大文件却可能占用岂它的开始簇又是它的结束簇，而大文件却可能

11、占用岂止几百上千个簇。同一个文件的数据并不一定完整地止几百上千个簇。同一个文件的数据并不一定完整地存放在磁盘的一个连续的区域内，而往往会分成若干存放在磁盘的一个连续的区域内，而往往会分成若干段，像一条链子一样存放段，像一条链子一样存放。应用部分分区大小工业和系统换算的不同原因 规范的容量标准为1M=1000K=1000*1000Byte,而在电脑的操作系统里规定了容量大小的换算标准为1M=1024K=1024*1024Byte高级格式化高级格式化高级格式化：通常把高级格式化：通常把FAT表的项表注成表的项表注成为未使用状态。数据区的数据没有真正为未使用状态。数据区的数据没有真正清除。对硬盘进行

12、高级格式化通常使用清除。对硬盘进行高级格式化通常使用操作系统自带的操作系统自带的FORMAT(格式化磁盘格式化磁盘)命令命令。低级格式化低级格式化低格：是指对一块硬盘上所有低格：是指对一块硬盘上所有2进制数据进制数据变成变成0的过程。由于低格将可能损伤盘片的过程。由于低格将可能损伤盘片磁介质，一般没有必要对硬盘进行这种磁介质，一般没有必要对硬盘进行这种操作，对硬盘的寿命肯定有影响。确实操作，对硬盘的寿命肯定有影响。确实有坏扇区或磁道推荐使用有坏扇区或磁道推荐使用“效率源效率源”硬硬盘检测修复程序。盘检测修复程序。具体了解概念图中用淡红色标明的扇区（尤以主引导扇区和第一分区引导扇区为最）是易受病

13、毒攻击的扇区硬盘分区后逻辑结构硬盘分区后逻辑结构特征扇区特征扇区硬盘逻辑出现问题首先应该检查的扇区 、扇区。如果、扇区确认有信息被破坏通过下面方法修复：扇区被破坏扇区被破坏：通过搜索后续分区进行换算扇区被破坏扇区被破坏：如果硬盘分区是用Fdisk分的，在逻辑扇区有备份。主引导区主引导区 CYLINDER 0 CYLINDER 0 SIDE 1 SECTORSIDE 1 SECTOR） 0扇区扇区示意图主引导扇区即主引导记录mbr(Master Boot Record)，是硬盘的第一个物理扇区（0柱面，0磁头，1扇区），也就是硬盘的0扇区。在它的512512个字节中个字节中，包括三部分： 1.主

14、引导程序代码，占446字节（第一关键代码2.硬盘分区表HDPT，占用64字节 （第二关键代码)3.主引导扇区结束标志AA55H（第三关键代码)4.硬盘的总分区数为什么不能大于4的原因(需要建立扩展分区)。在主分区最多在主分区最多只能分四个主分区只能分四个主分区不管硬盘有多大，最多也只能有四个主分区（扩展分区也是一个主分区）。 通常在WIN98下使用FDISK分区工具分区时，只分了一个活动分区和一个扩展分区。 16字节表示的意义分区表第二特征共分区表第二特征共4 4部分，每一部分部分，每一部分1616字节，具体代表：如字节，具体代表：如8080 00 02 0000 02 00 0707 03

15、51 3003 51 30 3 3F 00 00 00F 00 00 00 03 51 00 0003 51 00 00 它们各自的含义如下：它们各自的含义如下：可自举分区；可自举分区；分区起始地址为分区起始地址为0 0头头0 0柱面柱面2 2扇区；扇区；DOSDOS分区，分区，左侧：为左侧：为0 0H H时表示此分区为非隐藏分区，为时表示此分区为非隐藏分区，为1 1H H时则表示是隐藏分区时则表示是隐藏分区 右侧：取右侧：取6 6H H则表示是则表示是FAT16FAT16格式，且大于格式，且大于3232MBMB；取取5 5H H表示是表示是DOSDOS扩展扩展 分分 区；取区；取7 7H H

16、表示是表示是NTFSNTFS文件格式；取文件格式；取BHBH表示是表示是FAT32FAT32文件格式；取文件格式；取 CH CH表示是表示是FAT32XFAT32X文件格式；取文件格式；取EHEH表示是表示是FAT16XFAT16X文件格式；取文件格式；取FHFH表示表示 是是ExtendedXExtendedX扩展分区。扩展分区。分区终止地址为分区终止地址为3 3头头304304柱面柱面1717扇区扇区（算法见下页）（算法见下页）；区相对扇区号为区相对扇区号为6363；分区实用扇区数为分区实用扇区数为2073920739个个 分区大小的换算分区大小的换算 C = N （Sm *（Hm + 1

17、） （1）式中C为柱面号，N为从零开始计的绝对扇区号，Sm=63 为最大扇区号，Hm=254为最大磁头号，符号“”的含义是整除 若人工计算，则符号两端相除后略去小数部分取整。磁头号以下式计算： H =（N - C * Sm *（Hm + 1） Sm （2）式中H为磁头号。扇区号以下式计算： S = N - C * Sm *（Hm + 1）- H * Sm + 1 （3）式中S为扇区号。以上三式中最大扇区号Sm和最大磁头号Hm是硬盘几何构成参磁头磁头(-254)、柱面、柱面(-1023 ）、扇区）、扇区(1-63)由来由来 每一分区的第1至第3字节是该分区起始地址。其中第1字节为起始磁头号（面号

18、）；第2字节的低6位为起始扇区号，高2位则为起始柱面号的高2位；第3字节为起始柱面号的低8位。因此，分区的起始柱面号是用10位二进制数表示的，最大值为210 = 1024，因逻辑柱面号从0开始计，故柱面号的显示最大值为1023。同理，用6位二进制数表示的扇区号不会超过26 - 1 = 63；用8位二进制数表示的磁头号不会超过28 - 1 = 25516进制填写问题 计算出来的16进制表示方式是：高位在前地位在后，但硬盘中16进制填写是相反的高位在后地位在前。如： 03 51 00 0003 51 00 00 （在扇区中表示形式，（在扇区中表示形式，扇区数为扇区数为2073920739） 扇区数

19、为扇区数为转换成转换成1616进制为：进制为： 5103510363扇区63扇区一般也称做进入分区的I/O表或Boot 区。69扇区 用Fdisk分区的硬盘一般在69扇区有一个63扇区的备份，在数据修复中通常是有帮助的。文件系统 文件系统:一般不同的存储器在创建文件系统的时候都会占用一部分的存储空间,来描述该存储文件系统的特性,比如FAT,FAT32,NTFS等,其中NTFS因为保密性好可以做到文件级别的访问控制。各种文件系统的区别 系统管理文件是以簇为最小单位的，簇是由扇区组成的，不同的文件系统组成族的扇区数是不同的，具体FAT16 FAT32 NTFS 分区大小 簇大小 扇区数/簇簇大小扇

20、区数/簇簇大小扇区数/簇5121023M 16k324k82K41024 2047 M32k644k82K42 16G NONO8k162K41632G NONO16k322K4数据存储原理（文件的读取）操作系统从目录区中读取文件信息（包括文件名、后缀名、文件大小、修改日期和文件在数据区保存的第一个簇的簇号），我们这里假设第一个簇号是0023。操作系统从0023簇读取相应的数据，然后再找到FAT的0023单元指向的数值即为该文件的下一簇的物理位置，如果内容是文件结束标志（FF），则表示文件结束，读取数据的下一个簇的簇号，这样重复下去直到遇到文件结束标志数据存储原理数据存储原理（文件的写入文件的

21、写入） 当我们要保存文件时，操作系统首先在DIR区中找到空区写入文件名、大小和创建时间等相应信息，然后在Data区找到闲置空间将文件保存，并将Data区的第一个簇写入DIR区，其余的动作和上边的读取动作差不多数据修复篇数据丢失的原因 1、误格式化 2、误删除 3、由于病毒或恶意程序造成主引导区或 引导区被破坏丢失的数据为什么可以恢复 通常所说的格式化程序（指高级格式化，例如DOS下的Format程序），并没有把DATA区的数据清除，只是重写了FAT表而已，至于分区硬盘，也只是修改了MBR和OBR，绝大部分的DATA区的数据并没有被改变，这也是许多硬盘数据能够得以修复的原因。磁头磁头(-254)

22、、柱面、柱面(-1023 ）、扇区）、扇区(1-63)由来由来 每一分区的第1至第3字节是该分区起始地址。其中第1字节为起始磁头号（面号）；第2字节的低6位为起始扇区号，高2位则为起始柱面号的高2位；第3字节为起始柱面号的低8位。因此，分区的起始柱面号是用10位二进制数表示的，最大值为210 = 1024，因逻辑柱面号从0开始计，故柱面号的显示最大值为1023。同理，用6位二进制数表示的扇区号不会超过26 - 1 = 63；用8位二进制数表示的磁头号不会超过28 - 1 = 255 8080 00 02 0000 02 00 0101 03 51 3003 51 30 让第5至第7字节的所有二

23、进制位都取1，就获得了柱面号、磁头号和扇区号所能表示的最大值，从而得到最大绝对扇区号为 1024 256 63 = 16,515,072这个扇区之前的所有物理扇区所包含的字节数为 16,515,072 512Bytes 8.46109Bytes = 8.46GB。那么，容量大于8.46GB的硬盘又该怎么办？由此可见，分区表每一分区的第1至第3字节以及第5至第7字节的数据结构已经不能满足大于8.46GB的大容量硬盘的需要。由此也可知硬盘的容量设计为什么会有8.4GB这一档。由于考虑到向下兼容的需要，业界并未对从DOS时代就如此定义的硬盘分区表提出更改意见，否则改动所牵涉的面太广，会造成硬件和软件

24、发展上的一个断层，几乎无法被业界和用户所接受。硬盘厂商解决这一问题的方法是定义了新的INT 13服务扩展标准。新的INT 13服务扩展标准不再使用操作系统的寄存器传递硬盘的寻址参数，而使用存储在操作系统内存里的地址包。地址包里保存的是64位LBA地址，如果硬盘支持LBA寻址，就把低28位直接传递给ATA接口，如果不支持，操作系统就先把LBA地址转换为CHS地址，再传递给ATA接口。通过这种方式，能实现在ATA总线基础上CHS寻址的最大容量是136.9 GB，而LBA寻址的最大容量是137.4GB。新的硬盘传输规范ATA 133规范又把28位可用的寄存器空间提高到48位，从而支持更大的硬盘。8.

25、4G硬盘的由来硬盘的由来引导区病毒传染途径引导区病毒传染途径 严格意义上的引导区病毒传播途径唯一，只通过软盘引导体统进行传播(CIH除外)。引导区病毒只破坏固定的扇区，因为病毒的袭击目标真是40GB硬盘每一个扇区的数据的话，对于CPU为1GHz的计算机而言，没有810分钟的时间是完不成的。病毒通常破坏的扇区病毒通常破坏硬盘的第一分区（ C:和D:)）的0、63扇区，以及第一个FAT表如：如CIH POLY BOOT以及一些恶意攻击程序的破坏。 引导型病毒POLYBOOT 引导型病毒POLYBOOT发作后会将主引导区即0扇区搬家移位至61扇区，并用一个错误的引导区或是乱码来覆盖0扇区，这样就会使

26、硬盘所有的分区及数据丢失，硬盘修复功能将61扇区写回到0扇区就可恢复整个硬盘分区及数据。数据修复常用工具（通常在DOS下使用）推荐使用的工具：1、Norton出品的：Diskedit 、Diske32（人工计算，修复错误的信息，要求对硬盘结构十分熟悉）。2、江民的kv3000：通常利用其对硬盘分区进行搜索（对硬盘不是很熟悉情况下使用），但如果用其自动修复功能有造成二次破坏的可能（主要是对大硬盘）。在widows下使用的工具 1、Easyrecovery: 2、winhex992数据修复步骤和方法 1、判断是硬件故障还是逻辑故障、判断是硬件故障还是逻辑故障 主要方法是给硬盘加电，听硬盘的运转声音

27、是否正常，如果有异常的响声，如：咯噔声或盘片和磁头接触声 2、在、在BIOS下是否可以检测到硬盘下是否可以检测到硬盘 如果检测不到有可能电路板、电机等部件出现问题。如何判断硬盘故障BIOS检测是否正常 1、询问用户硬盘分区状况 如：分几个区、 每个分区的大小、文件系统类型 2、在DOS下检测系统启动报错类型，判 断可能的原因。隐含扇区 0道0面的全部扇区均为隐含扇区（一个磁道63扇），普通的磁盘访问命令无法直接访问，同时该磁道的其他62个扇区也是隐含的，因此有引多系统引导程序就把自己的程序代码放在其他隐含扇区，有些引导区病毒也把自己的代码放在其他隐含扇区对于曾经安装过linux系统 在一块硬盘

28、上安装linux和widows多操作系统，一般都用lilo或grub管理系统引导扇区（windows系统无法管理有linux的引导扇区），当删除linux系统，硬盘无法正常引导windows系统。 原因： lilo或grub仍然在管理引导扇区 解决办法：在DOS下执行Fdisk/mbr 命令。通过特征可以搜索的信息通过特征可以搜索的信息 1、搜索分区表链。 2、记算FAT、ROOT位置、长度。 3、计算分区表开始、结尾和相关扇数。 4、EXTX与不是EXTX的区别。 6、同时判断簇大小。 7、模糊判断ROOT区（由RECYCLE判断），FAT区。 搜索指定数据（也可指定在扇区的位置）所在扇区的

29、位置。 计算机加电后启动的过程 自检声音是由于硬盘内部的磁头寻道及归位动作而发出的。为什么硬盘刚通电就需要执行这么多动作呢？简单地说，是硬盘在读取的记录在盘片中的初始化参数（包括：牌子、型号、容量、柱面数、磁头数、每磁道扇区数、系列号、缓存大小、转速、S.M.A.R.T值） 通过专用的程序控制硬盘的CPU，根据BIOS程序的需要，依次读出初始化参数集，按模块分别存放为69个不同的文件，文件名也与BIOS程序中调用到的参数名称一致。其中部分参数模块的简要说明如下 PL永久缺陷表- TS缺陷磁道表- HS实际物理磁头数及排列顺序- SM最高级加密状态及密码- SU用户级加密状态及密码- CI 硬件

30、信息，包括所用的CPU型号，BIOS版本，磁头种类，磁盘碟片种类等- FI生产厂家信息- WE写错误记录表- RE读错误记录表。案例一 刚开机还能正常启动，但是重新启动后却出现以下提示：DISK BOOT FAILURE,INSERT SYSTEM DISK AND PRESS ENTER。使用系统软盘可以启动，而用软盘启动发现原来的两个分区C和D都不见了。 了解了上述情况，开始对机器进行进一步的检查，判断问题出现的原因。开机后，进入BIOS检测硬盘，发现参数正常：是一块41G的硬盘，说明问题可能出在分区表上。 iiskedit查看，发现主引导扇区0扇区明显被覆盖过，并非正常的主引导信息，再翻到63扇区，发现有（局部）。EB58904D 5357494E 342E3100 02102000 I02000000 00F80000 3F00FF00 3F000000 326F1C03 DC270000 00000