在DE中可以识别分区但是一打开就死机，使用通用工具扫描盘体有异响，全盘坏道，硬盘可以识别说明固件区没有问题可以加载，一访问数据区就有问题

用WINHEX查看，有三个区可以看到资料，一个区提示MFT 和MFTMIRR错误，查看DBR得出MFT位置：786432，跳转到发现MFT头被更改，修正后（同时修正了Mftmirr）仍

工程师首先将U盘通过设备接入到安全的数据恢复平台上，通过磁盘编辑器访问U盘，通过删除的文件目录索引信息，找到需要的信息；然后通过索引信息

工程师首先对硬盘的物理坏道损坏程度进行评估再次读取硬盘时重点读取损坏情况不严重的扇区，为硬盘数据的恢复提供更高的完整性继续控制磁头反

工程师先对硬盘的物理坏道损坏程度进行评估再次读取硬盘时重点读取损坏情况不严重的扇区，为硬盘数据的恢复提供更高的完整性继续控制磁头反复

工程师首先对硬盘的物理坏道损坏程度进行评估再次读取硬盘时重点读取损坏情况不严重的扇区，为硬盘数据的恢复提供更高的完整性继续控制磁头反

工程师使用自定义的Bitlocker加解密环境，进行解密；然后对故障盘进行全盘镜像；再从镜像中恢复数据；最后对恢复的数据进行验收。

该故障的难点在于客户把文件存储在系统所在盘，由于操作系统每次开关机都会产生大量的临时文件，这些文件很可能会覆盖掉已删除的数据。对于此

分析发现分区表正常但是DBR及FAT被“FF”覆盖，转到根目录，发现根目录正常，由于 SD卡容量小文件相对比较少，就直接用WINHEX提取照片了。

先把两个盘用RS做了镜像，最后一个没有做直接挂在机器上，我感觉如果做3个盘的话一是费时间，二是组raid速度会慢一点，所以通常我只做2个盘，第三

进PC3000，检测没有问题，进入DE可以看到四个分区但一个都打不开，于是用WINHEX打开，看到硬盘从0开始到62号扇区都是填充一些乱码，但是63号扇区的DBR

经过检测，硬盘硬件都没有问题，使用WINHEX分析，发现分区表损坏了，这个比较简单，重做分区表就可以了，第一次做失败了，发现第一个分区C盘并不

工程师使用专用设备，对硬盘的物理坏道损坏程度进行评估：只读取状态良好扇区，在最短的时间内读出最多的现存完好的数据块；再次读取时，选择

工程师对硬盘的物理坏道损坏程度进行评估，再次读取硬盘时重点读取损坏情况不严重的扇区，为硬盘数据的恢复提供更高的完整性。继续控制磁头反

用户先用专用软件检测坏道损坏程度；然后使用PC3000 for UDMA对硬盘进行完整的扇区镜像；再对未读出的数据块进行反复读取；最后分析镜像出来的数据

工程师通过分析分区结构，手工重建引导区，然后经搜索找到丢失文件夹，再为该文件夹根目录建立目录项，最终恢复出数据。

1.将内存卡通过设备接入到安全的数据恢复平台上，通过磁盘编辑器访问硬盘，通过删除的文件目录索引信息，找到需要的信息； 2.通过索引信息里描

这种情况来说覆盖的可能性是很大的，但是数据还是有恢复的可能性，使用WINHEX手工恢复，80%的数据恢复出来了，有一部分被覆盖，由于用户拍的照片

拿到我这里后，我先挂PC3K正常没有报错，进DE也OK，我就感觉很奇怪了，于是用WINHEX打开分析了一下，发现MBR明显和正常的MBR不同，于是复制一个正常的

这种故障从表面来看很像是磁头卡住导致电机不转，经过检测，电机芯片有输入电压但是无输出，磁组芯片工作正常，主控芯片发热明显不正常，电路

本以为是DBR损坏了，但是等接到电脑上就不一样了，接上这个硬盘电脑反应速度非常的慢，最后打开这个分区提示格式化，然后我打开WINHEX查看一下DBR

手头上正好有三星的备盘，更换磁头后恢复正常，不过由于用户的数据目录较多，COPY的时候费了不少劲。

工程师通过自主程序在文件系统内全面检索数据库页。重组页表，链接表头。分析原数据库存储链，形成虚拟RUNLIST。根据虚拟RUNLIST，导出数据。

将所有硬盘接到心专用镜像环境中，用自主工具，镜像所有硬盘。经分析计算，1号硬盘，6号硬盘早已离线，数据严重不同步，2号盘为关键盘，即2号硬

将所有硬盘接到专用镜像环境，镜像所有硬盘，用1号和2号硬盘进行分析计算，得出这个RAID5的主要参数，通过专用工具重组RAID，成功恢复所有数据。客