

                2. МЕТОДИКА ВОССТАНОВЛЕНИЯ ИНФОРМАЦИИ

                                                 Ничего не потеряно,
                                                 пока не потеряно все.
                                                             Пословица

   Необходимо отметить, что даже в достаточно тяжелых случаях, восста-
новление поврежденной  информации чаще всего возможно (по крайней мере
частичное), однако  требует достаточно  высокой квалификации. Именно в
этот момент  "вступают в игру" архивированные системные блоки, наличие
которых на дискете позволяет существенно облегчить восстановление.
   Наряду со  свежими архивными копиями системных блоков в такой ситу-
ации важное  значение имеет наличие системных программистов, способных
оценить характер  и объем  повреждения, а также умеющих выполнить вос-
становление при разрушенных или отформатированных системных блоках или
других массивных  повреждениях файловой  системы. При  отсутствии соб-
ственных системных  программистов представляется оправданным приглаше-
ние их  со стороны. Конечно степень усилий во многом зависит от ценно-
сти потерянной  информации. В силу ограниченности объема книги остано-
вимся лишь  на наиболее общих принципах организации восстановления ин-
формации.


     2.1. Создайте и отработайте план восстановления винчестера !

                                           Кто приготовился к бою,
                                           тот его наполовину выиграл.
                                                           М.Сервантес

   Встреча с каким-нибудь коварным компьютерным вирусом может и не со-
стояться. Но  огорчаться не стоит. Экстремальных ситуаций в программи-
ровании хоть  отбавляй и место вируса наверняка не окажется вакантным.
Поэтому вопрос  не в том, потеряете ли вы данные, записанные на винче-
стер, а  лишь в  том, когда  это произойдет. Следовательно, уже сейчас
стоит подумать  над вопросом  о том, как реагировать на это неприятное
событие, которое обычно случается в самый неподходящий момент. Резуль-
таты ваших  раздумий следует оформить в виде папки с документами ("го-
рячая папка")  и коробки с дискетами ("горячая коробка"), которые вме-
сте будем называть планом восстановления винчестера.
   Первая компонента  плана - "горячая папка" должна содержать всю ин-
формацию, необходимую для восстановления винчестера. Для машин типа AT
на лицевую  сторону обложки  следует наклеить  распечатку  содержимого
CMOS-памяти ( полученного с помощью программы SysInfo, входящей в вер-
сию 5  утилит Нортона  или другой подходящей утилиты) и распечатку MBR
(таблицы разделов) всех установленных винчестеров. Ее можно получить с
помощью Norton Utilities или Norton Disk Editor. На обороте папки удо-
бно наклеить  дампы бут-секторов  имеющихся логических дисков. В самой
папке следует  хранить  распечатку  последних  версий  AUTOEXEC.BAT  и
CONFIG.SYS, а  также тетрадь,  в которой  записаны необходимые шаги по
восстановлению основных  каталогов и  комментарии к  ним (с  указанием
встретившихся трудностей  и "топких"  мест). В  папке также желательно
хранить распечатку каталогов всех логических дисков винчестера и ката-
логов всех дискет "горячей коробки".
   "Горячая коробка"  должна состоять  из лучших  дискет, которыми  вы
располагаете (желательно  1,2M, если на машине установлен соответству-
ющий дисковод). Эти дискеты должны быть проверены и не содержать сбой-
ных секторов.  Утилиты, записываемые на дискеты "горячей коробки", це-
лесообразно сжать  архиватором Pklite.   Примерный состав "горячей ко-
робки":
   1. Дискета  со стартовой операционной системой. Если вы используете
DISK MANAGER  или ADM,  то дискета  со стартовой операционной системой
должна включать  в CONFIG.SYS соответствующий драйвер. Если на компью-
тере установлен дисковод 1,2M, то стартовая дискета должна быть именно
1,2M, а  не 360K,  как это часто бывает. При загрузке операционной си-
стемы со  стартовой дискеты необходимо предусмотреть организацию элек-
тронного диска  размером в 200К при объеме оперативной памяти 640K или
384K при  объеме оперативной  памяти 1M.  В процессе  загрузки на этот
электронный диск  должен переписываться  командный процессор  и Norton
Commander с  тем, чтобы не приходилось держать на каждой дискете копию
командного процессора.  Ввиду особой важности, целесообразно иметь две
идентичные копии стартовой дискеты.
   2. Дискеты с  утилитами.  На  эти  дискеты  рекомендуется  записать
Norton Utilities  версии 6 и PC Tools. Если дискеты имеют объем, мень-
ший 1,2M, то все нужные программы можно разместить на двух-трех диске-
тах. Как  уже  указывалось,  для  экономии  дискового  пространства  и
сокращения времени загрузки все утилиты целесообразно обработать архи-
ватором Pklite.
   3. Дискета с  программами разметки винчестера и установки использу-
емого дискового  драйвера. На  данной дискете целесообразно разместить
соответствующие программы  (ADM, Disk  Manager, SpeedStore  и т.д.)  и
текстовый файл  с планом  разбиения винчестера.  На эту  дискету следует
также записать:
    - копии CONFIG.SYS и AUTOEXEC.BAT.
    - дамп СMOS.
   4. Дискета с резервными копиями управляющих блоков и каталогов диска.
Эта дискета должна иметь подкаталоги С, D, E и т.д., в каждом из которых
рекомендуется хранить следующую информацию:
    - управляющие блоки, относящиеся к данному диску. Файлы  с
резервными копиями управляющих блоков проще всего создать с помощью про-
граммы DiskEdit версии 6 утилит  Нортона. При этом MBR можно  записать в
файл MBR.BIN  (MBR1.BIN и  MBR2.BIN, если  установлено два  винчестера),
бут-секторы в файлы BOOT_X.BIN, где X - имя логического диска. Программа
DiskTool версии 6 утилит  Нортона позволяет  создать объединенные дампы
MBR и бут-секторов  всех логических дисков,  которые следует записать  в
корневой каталог данной дискеты.
    - дампы FAT  и главного каталога  после последней обработки  диска с
помощью SpeeDisk. Для этой  цели удобно использовать файлы,  создаваемые
программой Image на диске. Их следует скопировать в соответствующий под-
каталог дискеты.
    - копию оглавления всего диска (с подкаталогами), созданную с по-
мощью утилиты fi версии 4.5 утилит Нортона или аналогичной. Формат вызо-
ва этой утилиты следующий FI [спецификация файлов] [комментарий] [ключи]
При этом в качестве ключей можно использовать:
    /P   -  пауза после заполнения экрана;
    /S      включить подкаталоги в листинг оглавления тома
Для рассматриваемой цели достаточно использовать ключ /S, например
                             fi с:\*.* /s >dir_C.etl

   5. FASTBACK PLUS,  архиваторы (Pkzip,  Arj, Lha  и др.) и протоколы
выгрузки для каждого логического диска.
   6. Программы   тестирования    оборудования.   Автор    рекомендует
использовать  утилиты  Checkit  фирмы  TouchStone  Software   Corporation
и   Qaplus   фирмы   "Диагсофт" DiagSoft.
   7. Электронный справочник HechHelp.
   8. Антивирусные программы.
   План восстановления  винчестера должен  быть реально отработан хотя
бы один  раз. Для этой цели полезно устроить "учебную тревогу" - после
полной выгрузки информации на дискеты стереть вручную, скажем, главный
каталог винчестера, предварительно создав его копию на диске в помощью
программы Image  из версии  5 утилит Нортона и записав на дискету про-
грамму восстановления  (Unformat). Наверняка  уже на первых шагах вос-
становления обнаружится  ряд серьезных  проблем,  преодоление  которых
приведет к  существенному уточнению первоначального плана. Зато в кри-
зисной ситуации  "полетевшего винчестера"  вы будете действовать более
спокойно и уверенно, зная, что все нужные программы записаны на диске-
ты и архив успешно восстанавливался.


      2.2. Если что-то случилось - избегайте поспешных действий

                                                 Утро вечера мудренее.
                                                             Пословица

   При обнаружении  вируса и, в особенности, при уничтожении им какой-
то информации  очень важно  не предпринимать  поспешных  действий,  и,
прежде всего  не запускать  никаких программ с винчестера и не записы-
вать на  диск новой  информации. Рекомендуется  сначала "остановиться,
оглядеться, перегрузиться  с дискеты",  поскольку при этом существенно
повышаются шансы  того, что уничтоженная информация может быть восста-
новлена в  полном объеме.  Даже если диск отформатирован, содержащаяся
на нем информация может быть в ряде случаев восстановлена. При обнару-
жении каких-то  повреждений информации  или файловой  структуры запуск
любых программ,  записывающих информацию на винчестер, является грубой
ошибкой, обычно существенно увеличивающей количество потерянной инфор-
мации.
   Важно понимать,  что паника  приводит к  гораздо более существенным
потерям информации,  чем любой вирус. Поэтому после таких событий, как
потеря содержимого  винчестера необходим  "охладительный период",  тем
больший, чем  крупнее авария. Иначе впопыхах можно "наломать дров". Не
рекомендуется начинать  восстановление винчестера  во второй  половине
дня. Поскольку часть информации так или иначе пропала и потери времени
неизбежны, лучше  всего прекратить  работу в этот день и заняться чем-
нибудь другим. Не исключено, что на следующее утро в голову придет ка-
кая-нибудь удачная  идея, которая позволит существенно уменьшить объем
работы по восстановлению.
   В случае  вирусов поспешное восстановление информации обычно приво-
дит не  только к потере части файлов, но и к повторному заражению. Ха-
рактерным примером  непродуманных поспешных действий является стремле-
ние некоторых  пользователей переразметить винчестер после обнаружения
бутового вируса.  Другим примером является реакция на ложное сообщение
сторожа FluShot  Plus о  попытке модификации  CMOS ("экзотический" тип
памяти для  машин типа AT). Вместо выяснения этой редкой и связанной с
типом памяти,  назначение которой  далеко не  все отчетливо себе пред-
ставляют, ситуации,  такие пользователи "доверчиво" отвечают на запрос
FluShot - восстановить (правильный ответ - игнорировать), что приводит
к затиранию  CMOS-памяти без  помощи вируса.  Вместе с  тем, "экзотич-
ность" ситуации  делает вполне оправданным телефонный звонок специали-
сту, на  который достаточно  потратить 5-10 мин, что позволяет в боль-
шинстве случаев избежать неприятных последствий.
   Еще одним примером является использование Norton Disk Doctor (часто
называемом на  Западе Norton Disk Destroyer - Нортоновский разрушитель
дисков) при  восстановлении информации  на винчестере. В ряде случаев,
особенно при  использовании дисковых  драйверов, использующих  нестан-
дартный формат MBR или если файловая система имеет "зацикленный" каталог
(подкаталог нижнего  уровня ссылается  на каталог  серхнего уровня, чаще
всего на корневой), его применение может давать непредвиденные результа-
ты. Поэтому  перед применением  Norton Disk  Doctor как,  впрочем, любой
программы-"хирурга", рекомендуется выгрузить всю ценную информацию с об-
рабатываемого диска на  дискеты. В спешке  это часто не  делается. И ре-
зультаты  не  заставляют  себя  долго  ждать. Например, если Norton Disk
Doctor восстанавливает сектор, содержащий каталог, то хотя его  содержи-
мое переносится в другой кластер, ссылка в родительском каталоге продол-
жает указывать на старый кластер, что может вызывать эффект  "двоящегося
каталога". Однако самые неожиданные результаты дает попытка лечить с по-
мощью Norton Disk Doctor диск в котором имеется циклическая связь  ката-
логов.  Обычно  в  результате  структура каталогов оказывается настолько
"изуродованной", что восстановление status quo может потребовать  неско-
лько дней.

             2.3. Восстановление структуры каталогов диска

   Иногда при неудачном запуске утилит типа ZAP уничтожается не  требуе-
мый подкаталог, а  другой или, хуже  всего, весь диск.  Последний случай
встречается в случаях  когда один из  каталогов 'зациклен" на  корневой
каталог. В этом случае встает вопрос о восстановлении структуры  катало-
гов. Мы рассмотрим случай, когда случайно "почищен весь диск". Главное н
паниковать, а отнестись к произошедшему философски: не было времени уда-
лить с диска лишние файлы, да нужда заставила.
   ДО ПОЛНОГО ВОССТАНОВЛЕНИЯ  ЗАПИСЬ КАКИХ-ЛИБО  ФАЙЛОВ НА ДИСК  СЛЕДУЕТ
ИСКЛЮЧИТЬ.  В  частности,  нельзя  запускать архиваторы, без определения
диска для временного (службного)  файла, который может "лечь"  на ценную
информацию.
   Как правило "нужных" файлов на диске оказывается меньше половины  его
общего объема и для соответствующих подкаталогов status quo восстанавли-
вается остаточно просто в несколько этапов.
    Файл IMAGE cоответствующий последней загрузке следует
   1. Сначала следует восстановить FAT с помощью утилиты Unformat версии
6 утилит Нортона. При этом будет использован файл IMAGEб обновленный при
последней загрузке, что обычно вполне допустимо. Восстановленный файл
IMAGE, cоответствующий последней загрузке следует на всякий случай запи-
сать на дискету.
   2. Затем можно преступить к восстановлению подкаталогов первого уров-
ня. Для  этой цели  удобнее всего  использовать DiskEditor.  Norton Disk
Doctor для восстановления файловой структуры использовать не  рекоменду-
ется. По меньшей  мере тех подкаталогов,  информация в которых  особенно
ценна.
   При использовании DiskEditor восстановление сводится к замене байта E5h,
(признак удаленного файла  в MS DOS)  на соответствующую букву  имени. В
тех случаях, когда  память подводит, исходные  имена можно считывать  из
копии оглавления диска. При этом важно не перепутать файлы ранее удален-
ные вами вручную, с  файлами удаленными вследствии катастрофы.  Особенно
внимательными следует быть с файлами перемещавщимися из каталога в ката-
лог.
   3. После восстановления файлов и каталогов, содержащихся в подкатало-
гах данного уровня, следует  выйти из редактора и  проверить целостность
восстановленных файлов. Текстовые файлы можно просмотреть вьюером, в ар-
хивы - верифицировать. Для запуска архиватора в режиме верификации,  ре-
комендуется создать BAT-файл, в котором задать распределение  временного
файла   на   другой   диск.   В   ПРОЦЕССЕ   ВОСТАНОВЛЕНИЯ   НИЧЕГО   НА
ВОССТАНАВЛИВАЕМЫЙ ДИСК ЗАПИСЫВАТЬ НЕЛЬЗЯ.
   4. Восстановленная информация записывается на другой диск или дискеты,
удаляются все перекрещивающиеся файлы (crosslinked files)
   5. Шаги 2-4 повторяются для подкаталогов более глубоких уровней  вло-
женности. Если для подкаталогов  первого уровня восстановление из  IMAGE
как правило выполняется точно, то для последующих уровней возможны ошиб-
ки. Ошибочно восстановленные каталоги, как правило, сразу получаются не-
пустыми. В качестве имен файлов, длин  и дат в них стоит какая-то  чушь.
Такие каталоги следует удалить DiskEdit, проставив в первом символе име-
ни каталога E5h.
   3.  После  восстановления  следует  протестировать  диск  с   помощью
DiskDoctir, однако позволять ему делать что-нибудь автоматически нельзя.


               2.4. Советы по восстановлению информации

   Прежде чем  начать восстановление  информации на диске восстановите
CMOS, MBR и бут-сектор. Используя файлы, записанные в базе данных вос-
становления, с помощью программы DiskTool версии 6 утилит Нортона вос-
становите указанные  блоки. MBR  и бут-сектор  относятся к статическим
управляющим блокам  и внесение  изменений в  них  фактически  возможно
только при переразметке винчестера. CMOS имеет динамические поля (дата
и время), однако их значение некритично. Этот прием обеспечивает заве-
домо правильное  значение типа  винчестера в  CMOS, границы логических
дисков и  параметров разметки (количество секторов в кластере и другой
информации из бут-сектора).
   Если компьютер  загружается с дискеты, но винчестер не читается, то
сначала оцените  объем повреждений. Первое, что нужно сделать в данном
случае - это просмотреть управляющие блоки и определить степень их по-
вреждения. Если блоки читаются и информация в них не слишком искажена,
то соответствующие  секторы диска  следует записать  в виде  файлов на
дискету с  помощью Norton  Utilities и распечатать дамп утилитой TDUMP
или какой-нибудь аналогичной. Помимо визуального сравнения, рекоменду-
ется получить протокол различий имеющегося и эталонного FAT и корнево-
го каталога.  Это можно  сделать с  помощью утилиты  FC, входящей в MS
DOS. Затем  следует запустить Norton Disk Doctor II и записать выдава-
емую им  диагностику. К  выдаваемым сообщениям следует относиться кри-
тично. Никаких  действий по исправлению до подтверждения "диагноза" по
другим источникам разрешать не следует.
   Перед началом  восстановления выполните съем информации на дискеты.
Выполнив съем  информации на  дискеты с  помощью DiskEdit, можно более
уверенно работать,  не боясь  окончательно испортить то, что осталось.
При наличии более мощного компьютера восстановление информации удобнее
проводить на  нем, записав  выгруженные сектора  в виде файла, а затем
создав дополнительный каталог, восстанавливать цепочки в FAT. Конечно,
необходимо для этой цели выделить отдельный рабочий диск или выгрузить
один из  имеющихся разделов  винчестера подходящего  объема, поскольку
восстановление FAT можно проводить только на "чистом" диске.
   Если компьютер  не загружается  с дискеты, переставьте винчестер на
другой компьютер с подходящим контроллером. Если вышел из строя какой-
то блок компьютера, то винчестер можно переставить на другой компьютер
и восстанавливать  информацию там.  Поскольку имеются  несколько типов
контроллеров для управления винчестерами (MFM, RLL и др.), лучше, если
эту операцию выполнит специалист-электронщик.
   При большом  объеме работ по восстановлению доукомплектуйте компью-
тер еще  одним винчестером  или дисководом.  Если предстоит  большая и
сложная работа  по восстановлению  информации, то нельзя пытаться сде-
лать ее  "наскоком". Нужно обязательно провести подготовительную рабо-
ту. В частности, на время восстановления полезно доукомплектовать ком-
пьютер вторым  винчестером (желательно аналогичного типа) и дисководом
1,2M. В настоящее время большинство контроллеров имеют тип MFM и в ка-
честве дополнительного  винчестера обычно подойдет винчестер 20M с ка-
кой-нибудь вышедшей из строя Мазовии или Правца. Это существенно упро-
щает вызов необходимых программ и хранение промежуточной информации во
время восстановления.
   При работе  с одним  дисководом максимально используйте электронный
диск. Каждый,  кому приходилось восстанавливать винчестер на компьюте-
ре, имеющем  один дисковод,  знает, что большая половина усилий уходит
не на  восстановление, а на преодоление неудобств, связанных с ограни-
ченностью конфигурации.  Первое, что  стоит сделать  в таких условиях,
это предусмотреть перенесение командного процессора и некоторых утилит
на электронный диск. При размере электронного диска 384K, как это име-
ет место  на большинстве поставляемых в нашу страну AT, на электронный
диск можно записать, помимо командного процессора утилиту Xcopy, архи-
ватор Pkzip  (или другой,  который вы используете), Norton Commander и
еще несколько  полезных утилит. При этом еще остается возможность рас-
паковывать небольшие  файлы на  электронный диск. При отсутствии элек-
тронного диска  даже копирование отдельного файла с дискеты на дискету
представляет определенную проблему. Для этой цели следует задавать ко-
манду:

  Xcopy a:\command.com b:

   Несмотря на  то, что диск B физически отсутствует, операционная си-
стема правильно  выполнит команду, позволяя после считывания файла вы-
нуть исходную  дискету и  вставить новую. Таким же образом следует по-
ступать при копировании больших файлов.
   Следует отметить,  что пользоваться утилитой Xcopy значительно удо-
бнее, чем  командой COPY  операционной системы. Для сокращения количе-
ства обращений  к дискете  целесообразно использовать  кэш из версии 6
утилит Нортона.
