什么情况下需要对磁盘进行镜象？

xqe530 · 发表于 2009-7-2 11:18:55

刚在网上看到一则贴子，感觉不错，特贴出来与大家共享。
什么情况下需要对磁盘进行镜象？
并不是在所有的情况下都需要对磁盘进行镜象。例如，一个500GB的磁盘主分区表损坏，已经看不到任何分区，这时就没有必要对其进行镜象。因为操作得当的话，只是搜索、计算原来的分区结构并重新构建主分区表，只需要很短的时间就可以完成。而且，也不会对原磁盘的数据造成损害。而如果教条地对其进行镜象，最快的镜象时间也应该在1～2个小时，而且没有实际意义。还有一种情况就是，磁盘的坏道情况已经非常严重，对其进行镜象也已经非常困难，而所需要的数据非常少，为了避免长时间对其进行镜象而导致坏道扩散，可以考虑直接用软件强行提取数据。但这毕竟是没有办法的办法，不到万不得已时不建议采用。那么，哪些情况下需要对磁盘进行镜象呢？我们建议，在下列情况下应该考虑对原盘进行镜象：

1. 逻辑丢失
数据因误删除、误分区等操作而丢失时，因必要情况下需要修改磁盘中的部分参数而无法通过只读设备将磁盘与恢复用机进行连接，就必须对故障磁盘进行镜象，然后针对镜象进行恢复操作。前面我们提到，只是主分区表损坏或主引导扇区标志性代码丢失导致的分区表失效可以不进行镜象。但如果进行了分区及格式化操作，对于操作系统而言，现有的分区结构是正常的，操作系统就有能力对现有的分区进行访问并有可能存在写入操作，也就有可能破坏数据现场，降低数据恢复的成功几率。因此，在这种情况下应该对原盘进行镜象。

2. 需要进行不可逆操作
有时候，根据实际情况不同，有可能需要进行一些不可逆的尝试性操作。比如对NTFS分区运行chkdsk检查，试图通过操作系统对其进行自修复。这种操作是无法人为控制的，结果也无法预料，在操作前应该对原盘进行镜象，然后针对镜象进行尝试，以避免直接针对原盘操作而导致无法预知的损失。
还有的时候需要大范围地修改磁盘中的数据代码，这种操作也有可能带来一些未知的后果。而一旦产生负面作用，也将是无法可逆转的。因此，也应该对原盘镜象后，对镜象磁盘进行操作。

3．磁盘存在坏道
存在坏道的磁盘，直接在桌面操作系统下拷贝数据会比较困难。而反复、长时间地读取坏扇区很有可能使磁盘负荷过重而导致磁盘失效。而且，因为存在坏扇区，分区及文件系统结构也很可能受到影响，很多数据已经处于操作系统无法可见的状态。如果在原盘上进行软件扫描寻找丢失的数据，势必会加重磁盘的损伤程度。这时，应该考虑在DOS环境下对其进行镜象，然后对镜象盘进行后续的分析、扫描，恢复数据。

4．更换磁头组件
磁头损坏时，有可能会伤及盘片。更换磁头组件时，有某些情况下也可能会因为不可避免的因素导致盘片轻微损伤。如果数据量较大，且比较零散，在桌面操作系统下直接拷贝数据时间较长，存在磁头二次损坏可能时，应该考虑先在DOS环境下对原盘进行镜象，然后从镜象中恢复数据。如果更换磁头后，磁盘状况良好，且数据量相对于磁盘总容量来讲比例较小，在桌面操作系统下很快就可以拷贝完毕的情况下，不建议采取镜象操作，而应该直接拷贝数据，以缩短危险期。

5．磁盘工作不稳定
某些磁盘由于老化、达到寿命期，已经处于临界点时，工作会非常不稳定。表现为时而可以正常工作，时而无法正常工作。这时应该时刻保持在能够第一时间对其进行镜象的工作状态，如将接收镜象的磁盘及故障盘同时接入恢复用机，镜象工具随时准备就绪，在磁盘正常工作的第一时间即迅速对其进行镜象操作，力争在最短的时间内将其镜象至正常磁盘，尤其避免反复对其进行不必要的加电、断电操作，以避免错失故障盘正常工作的机会，导致数据恢复难度加大甚至丧失恢复可能性。

6．阵列恢复
很多情况下，阵列磁盘数量较多，一次性将其全部接入恢复用机比较困难。另外，阵列所用磁盘大都会同一批次产品，如果接近使用寿命，很有可能发生同时损坏几块磁盘的情况，这对于数据分段存储的阵列来讲是致命的。而阵列的重组必须有个对其结构进行分析，计算阵列参数的过程，如果同时将所有的磁盘挂接在计算机上进行分析，必然会增加磁盘的运转时长，加大磁盘损坏的危险。
阵列中的磁盘，其单盘的参数对于操作系统来讲是不合理的，多数磁盘对于操作系统来讲都是未初始化的磁盘。在这种情况下，很容易产生错误操作致使磁盘被误写入，造成对阵列盘数据的破坏。
基于以上原因，应该在阵列恢复前对所有成员盘进行镜象。可以根据情况镜象至物理磁盘，也可以镜象成文件，然后对镜象文件进行分析、重组，从而恢复数据。

7．电子取证
电子取证需要的是严谨，要求绝对不能改变证据的原始状态。这就要求取证工作者必须在完全保证不对原盘进行任何写入操作的条件下，对原盘进行镜象，然后对原盘进行封存保管。