在“技术实战”第3期中，曾详细讲解过盘片划伤的情况，外部的猛烈撞击容易引起盘片与磁头或其他硬盘组件相碰撞，造成盘片划伤。在电机未启动的情况下，可能是一个小点、小划痕，如果硬盘处于高速运转，就可能出现大片区域划伤，数据恢复难度就非常大。

1、实战对象：东芝500G硬盘，如图1所示（外观完好，没有明显的摔伤痕迹）：

图1 东芝500G硬盘（案例盘）

2、硬盘准备（3+N块实体盘）：

（1）恢复盘A：有故障、存储有需要提取的大量视频数据

（2）镜像盘B：镜像拷贝数据，后期分析

（3）配件盘C若干：更换磁头（与A同型号、同批次）

3、故障现象：硬盘无法识别，其他机构开盘，数据恢复失败。

4、故障检测：

因本案例的硬盘已在多家机构做过恢复（包括开盘）均失败，硬盘本身故障应该不简单，而多次操作造成的二次伤害程度也难以预估，效率源抽调了二次开盘实战经验最丰富的多名工程师，全面展开数据恢复工作。

（1）观察：360度查看恢复盘A，外观上没有摔伤痕迹，包括最易变形的硬盘四周和边角（外形必须仔细观察，如果有变形，盘体内部故障可能会更严重，后面的恢复操作需要更谨慎）。

（2）开盘：在双百级无尘工作室开盘检测，盘片上有一个非常明显的点（图2），这个点肉眼就能看到，且恰巧在盘片运行的关键位置，数据恢复难度非常大。

图2 红色箭头处为碰伤的小点（实体盘直接可看到）

（3）分析：据此可判断，硬盘是在没通电的情况下遭受了剧烈撞击，如果硬盘处于高速运转状态，那就可能又会出现一圈深深的“环形跑道”。值得庆幸，硬盘在故障之后没有再被通电，否则后果会非常严重。综合判定，硬盘具备数据恢复条件，但需要较多时间。

至此，东芝500G硬盘的故障检测完成。

5、 数据恢复：

故障原因确定后，正式进入数据恢复环节。首先，需要“盘片处理和磁头更换”，如果更换磁头后可正常读取，恢复工作圆满结束。如果不行，则还需要采用其他解决方案，因为之前的数据恢复操作，不确定对盘体是否有其他二次伤害。

（1）盘片处理与磁头更换：在双百级无尘工作室，处理盘片，并将配件盘C的磁头组件更换到恢复盘A上（开盘需要的注意点，在《技术实战》第1期就有讲解，此处不赘述）；

（2）通电检测：将更换磁头的恢复盘A接入DRS数据恢复系统（图3），通电，出现不规则的敲盘声音；

图3  DRS数据恢复系统可以预检硬盘硬件健康状况

（3）再开盘检测：再次进入双百级无尘工作室开盘检测，把恢复盘A与配件盘C的盘腔比对后发现，恢复盘A的盘腔边缘有些不规则的变形，此处极有可能就是之前的数据恢复机构开盘恢复失败的地方。对恢复盘A的盘腔边缘进行适当处理。

（4）再通电检测：再次将恢复盘A接入到DRS数据恢复系统通电，硬盘正常寻道识别型号，查看0号扇区只做了一个分区。利用DRS数据恢复系统尝试读取分区信息（图4），不能正常获取分区信息。

图4  DRS数据恢复系统可以快速扫描分区（界面图为宣传图，非恢复盘A的真实信息，所以存在多个分区）

（5）镜像拷贝数据：尝试对恢复盘A进行镜像处理，通过DRS连接恢复盘A与镜像盘B，但镜像过程中出现一段好一段坏，有可能硬盘固件也有故障；

（6）修复固件：断电，将USB接口转换成SATA接口，接入HD Doctor东芝硬盘固件（图5）。DRS数据恢复系统目前支持西数、希捷、日立品牌硬盘的固件修复，东芝硬盘暂时还需使用老产品HD Doctor东芝硬盘固件专修来修复，而该设备不支持USB接口。通过半天时间处理好硬盘镜像一段好一段坏的情况，再次接入DRS数据恢复系统直接访问分区信息，正确识别分区。

图5 HD Doctor可以全面修复7大品牌硬盘固件

（7）提取数据：与客户沟通，优先导出最重要的数据。由于文件都是视频类文件，数据量大，整个数据提取花费了3天时间。期间，磁头损坏了8次，更换了近10个磁头，最终将客户最需要的数据成功导出，获取重要数据近90%。

编后语：

本案例的硬盘故障现象是电子取证、司法鉴定、数据恢复中经常遇到的情况，与第1期的案例极为类似。但难点在于，盘腔有变形、属于二次开盘、提取视频数据，如果环境、设备、操作者职业素质不达标，都很难成功，这也是之前多家数据恢复机构恢复失败的原因。而此次案例效率源工程师用到的主要方法有开盘检测、更换磁头、修复固件等，都对操作环境、操作者综合素质有较高要求，如果不达标，很可能跟之前几家机构一样，最终失败。

而需要强调的是，二次开盘的失败率是非常高的，完全不能预测之前的操作者做过什么操作、对硬盘有没有严重伤害。效率源工程师再次郑重提醒，重要硬盘的数据恢复（尤其是牵涉到重大事件或重要线索），一定要交给专业的数据恢复机构操作，否则可能将硬盘直接“报废”，重要线索完全丢失。

关注微信公众号“xiaolvyuantech”或微信搜索“效率源科技”加关注，了解更多技术知识!