Linux数据恢复专题——恢复丢失的分区

背景
遇到“/dev/hda: device not found”这样的消息，说明你的硬盘肯定出问题了（废话-_-）！而这种消息可能是由于不同情况引起的，在这里介绍属于磁盘分区表受损时的对策。这种情况下，磁盘数据都还在，只不过暂时无法访问。

方法
鉴于仅凭记忆手工恢复分区表是不现实的，这里介绍通过软件恢复分区表：使用gpart程序扫描指定的磁盘驱动器，标识看似分区签名的表项。gpart默认只是显示像是分区的表项，但它也能将表项写入磁盘，从而重建分区表。注意，这个过程是危险的。不过总比丢失全部数据要强 :)

------------------------------------------------------------------------------------------
在你的硬盘还正常的时候，可以尝试备份分区表并存放到安全的地方，以供灾难恢复：
dd if=/dev/xxx of=filename bs=512 count=1
用于恢复的命令：
dd if=filename of=/dev/xxx bs=1 count=64 skip=446 seek=446
上面的两条命令中，xxx代表你的磁盘符号，比如hda、sda等；filename为备份文件的文件名。
注：上面的命令同时也备份了MBR和Boot Record ID，但恢复时只恢复了其中的64字节（分区表）。
------------------------------------------------------------------------------------------

gpart默认能识别下面的文件系统：beos,bsddl,ext2&ext3,fat,hpfs,hmlvm,lswap,minix,ntfs,4,rfs,s86dl和xfs。

工作
下面以/dev/hda为例：
gpart /dev/hda
上面的命令会列出gpart猜出来的分区构成，大多数情况下是和实际相符的。确认无误后，可以使用下面命令重建分区表：
gpart -W /dev/hda /dev/hda
如果不放心，可以在写前备份现有的MBR：
gpart -b filename -W /dev/hda /dev/hda
其中，filename为备份文件。

总结
磁盘主分区表损坏造成的驱动器无法识别错误，一般是比较容易解决的，gpart能够出色地猜出和重写磁盘分区表。如果是磁盘因为严重损坏而不能挂接，则可以参考本专题第二篇文章——从严重损坏的磁盘恢复数据

硬盘故障导致的数据丢失有可能是惨重的，但如果已经发生了，就需要最大程度地将数据恢复出来。本文介绍当磁盘因严重问题无法访问后(但BIOS还能识别)，数据的抢救方法，并讨论ext2&ext3格式分区的磁盘短读(short read)错误。首先约定：需要手动输入的字符用黑体字给出，其余的为终端输出。

如果使用ext2或ext3文件系统，可能会收到类似下面一些警告信息，该警告信息来自e2fsck实用程序：

e2fsck /dev/hda1
e2fsck: Attempt to read block from filesystem resulted in short read

如果看到这个消息，首先想到可能是磁盘的主超级块损坏。而在创建文件系统的时候，mke2fs已经自动创建了磁盘的超级块的备份。可以告诉e2fsck程序使用一个备用超级块检查文件系统。备用超级块一般创建于块8193、16384或32768，取决于磁盘的大小(可以使用mkfs.ext3 -n /dev/hda1查看)。假设是块大硬盘，则使用：

e2fsck -b 32768 /dev/hda1

如果是超级块的问题，则程序返回后，备用超级块被启用，磁盘恢复正常。如果提示下面的问题：
e2fsck: Attempt to read block from filesystem resulted in short read while checking ext3 journal for /dev/hda1
说明问题不是出在超级块，出自日志文件系统的日志。此时可以安全地删除ext3文件系统的日志：

tune2fs -f -O ^has_journal /dev/hda1

这样就删除了/dev/hda1文件系统上的日志，这时可以重新尝试挂载分区，必要的话可以重建日志系统(使用tune2fs -j /dev/xxx)。
如果tune2fs提示下面的错误：
tune2fs: Attempt to read block from filesystem resulted in short read while reading journal inode
则说明指向日志的inode坏了，意味着无法清除日志。这时可以尝试debugfs命令，它是ext2&3文件系统的调试器。也可以再次使用e2fsck，加上-c参数检查文件系统的坏块。至此，因为无法检查或修复问题磁盘上的文件系统，该拿出杀手锏了。

使用ddrescue克隆损坏的磁盘
如果磁盘因为坏块而妨碍了读取，可以使用一个原始的磁盘复制实用程序创建磁盘的一个副本。Unix/Linux系统自带了一个简单实用程序dd，它把一个文件/分区/磁盘复制到另一个(在第一个专题里用到过)。前提条件时必须在系统里添加一块容量不小于问题磁盘的新硬盘。
新硬盘准备就绪后，输入下面命令：

dd if=/dev/hda of=/dev/hdb conv=noerror,sync

上面的命令将坏磁盘(/dev/hda)复制到新磁盘(/dev/hdb)，忽略读取时遇到的错误(noerror)，当遇到不能访问的块时用适当数量的空值填充输出(sync)。
但是dd有几个缺点：首先是速度太慢；然后是不显示进度信息，直到完成前它都是沉默的；不重新尝试失败的读取，这会减少能从坏盘恢复的数据量。因此在这里介绍另一个软件——ddrescue，可以从 http://www.gnu.org/software/ddrescue/ddrescue.html 获取最新版（Fedora8用户可以直接用yum install dd_rescue安装） 。目前ddrescue最新版本是1.7，直接下载链接： http://ftp.gnu.org/gnu/ddrescue/ddrescue-1.7.tar.bz2
编译、安装后，可以使用下面命令完成相同的任务：

ddrescue --max-retries=-1 /dev/hda /dev/hdb

其中max-retries=-1参数表示无论遇到多少错误都不要停止。程序从hda读取数据并写到hdb中时，不断更新各项数据，可以方便地查看工作进行情况。
在ddrescue结束磁盘复制后，在新硬盘上运行e2fsck，以消除原始磁盘的坏块引起的文件系统错误。由于肯定会有大量错误，可以用-y参数运行e2fsck，指示e2fsck对每个问题都回答yes：

e2fsck -y /dev/hdb

此时，可以使用mount命令挂载文件系统，看看数据的恢复情况了。记得检查驱动器根目录下的lost+found文件夹，fsck把不能正确链接的文件和目录放在了这个文件夹里。