16.2. Меры предосторожности и дисциплина работы
Сразу хочется отметить, что никакие меры предосторожности не гарантируют стопроцентной защиты от вирусов. Известны случаи, когда однократного недосмотра оказывалось достаточно, чтобы вирус проник на компьютер и начал свою вредную работу. Тем не менее, уже одна только правильная организация работы может позволить заметно снизить опасность заражения. Меры профилактики зависят от предполагаемого типа вируса.
Надежную защиту от загрузочных вирусов дает отключение загрузки компьютера с гибкого диска. В этом случае, даже если зараженная дискета окажется в дисководе в момент включения компьютера, никакого вреда не будет. В качестве дополнительной меры предосторожности следует использовать только системные гибкие диски, созданные собственноручно на «чистом» компьютере. Это ликвидирует угрозу заражения во время служебных операций.
Наиболее трудно избежать заражения файловыми вирусами и присоединенными к файлам агентскими программами. Всякий исполняемый файл, полученный из случайного источника, представляет собой угрозу. Каждый, кто активно пополняет свой компьютер новыми программами, рискует рано или поздно столкнуться подобным вирусом. Официально приобретенные лицензионные версии программ угрозы не представляют. Пиратские копии оригинала и самодеятельные «русификации» чаще всего также безопасны, но степень надежности здесь ниже. В случае сборников программ опасность возрастает пропорционально числу программ, входящих в сборник. Известны также случаи, когда файловые вирусы встречались на компакт-дисках, прикладываемых к журналам компьютерной тематики.
Что касается программ, встречающихся в Интернете, то здесь опасность еще выше. Относительно безопасными можно считать версии программ, выставленные их авторами или представленные в крупных архивах типа www.download.com . К узлам с «претензиями», особенно «хакерского» плана, а также узлам-однодневкам и бесплатно размещенным личным страницам следует относиться с особой осторожностью, так как здесь пользователь, фактически, вынужден доверять конкретному человеку, которого он не знает, и знать никогда не будет. С особой осторожностью следует относиться к ситуациям, когда автор программы «темнит» или, наоборот, явно преувеличивает возможности программы.
С осторожностью следует относиться и к копированию программ у друзей. Здесь вы вынуждены полагаться на слова своего знакомого как в отношении источника программы, так и в отношении компьютера, на котором было выполнено копирование. Если программа получена из какого-то внешнего источника, лучше попросите ссылку и обратитесь непосредственно к первоисточнику.
Если компьютеры соединены в локальную сеть (в домашних условиях это пока что редкое, но уже не уникальное явление), то сеть, с точки зрения поражения вирусом, следует рассматривать как одно целое. Иными словами, если вирус попал на один компьютер, то ему не понадобится много времени, чтобы распространиться на все компьютеры сети. Если среди компьютеров сети имеется чисто игровой (или «проверочный») или же среди пользователей сети есть дети или кто-то еще, кому не следовало бы особо доверять в плане безопасности, стоит подумать о том, чтобы отключить данный компьютер от сети, дабы он не превратился в источник заразы.
Чтобы избежать заражения макровирусом, следует убедиться, что в программах пакета Microsoft Office включена проверка наличия макрокоманд. Например, в программе Word 2000 для этого надо дать команду Сервис → Макрос → Безопасность → Уровень безопасности → Высокая. Если программа неожиданно обнаруживает наличие макрокоманд в документе, где они не нужны, вполне возможно, что вы имеете дело с макровирусом. В этом случае немедленно свяжитесь с автором или владельцем документа, а также запомните, что этот источник ненадежный.
Почтовые вирусы в последнее время получили наибольшую известность вследствие хотя и скоротечных, но массовых «эпидемий». Принципы безопасной работы с электронной почтой хорошо известны, и удивительно только то, сколько людей их игнорирует. Перечислим эти правила еще раз.
1. Отправляйте сообщения только в текстовом формате. Настройте свой почтовый клиент так, чтобы он отображал сообщения в текстовом виде, даже если они поступают в формате HTML.
2. Не открывайте вложений, имеющихся в сообщениях, если предварительно не согласовали с корреспондентом их отправку. Не открывайте вложений, даже если вы хорошо знаете корреспондента, так как почтовый вирус может послать сообщение от его имени без его ведома.
3. Не отправляйте вложений, не согласовав предварительно эту операцию с адресатом. Письмо, содержащее вложение, следует отправлять только в ответ на прямой запрос или согласие на его получение (строка темы сообщения должна начинаться с Re:).
4. Никогда не отправляйте в виде вложений исполняемые файлы. Если есть возможность, укажите вместо файла его адрес (если файл располагается в Интернете). В противном случае заархивируйте файл, прежде чем отправлять его, даже если это уже самораспаковывающийся архив.
Описанные выше меры предосторожности позволяют заметно снизить вероятность проникновения на компьютер вредоносной программы, но не исключают эту возможность полностью. В качестве дополнительного средства проверки, а также средства борьбы, если заражение уже произошло, можно использовать специализированные антивирусные программы.
16.3. Антивирусные средства и системы
Антивирусная программа представляет собой обширную базу данных, в которой перечисляются характерные признаки известных вирусов или вирусной деятельности. Выполнение проверки состоит в том, что проверяемый файл исследуется на наличие этих признаков. Их выявление рассматривается как признак заражения файла, а отсутствие — как признак «здоровья»,
Несмотря на множество существующих видов и подвидов вирусов, проверка при помощи антивирусной программы проходит относительно быстро. Это, в общем-то, позволяет периодически проводить полную проверку всего содержимого жесткого диска. В нормальном режиме проверке обычно подвергают только новые файлы, попадающие на компьютер.
Так как информация о компьютерных вирусах не является особым секретом, большинство различных антивирусных программ обладает сходными возможностями. Вирус можно обнаружить и дезактивировать. Во многих случаях антивирусная программа способна также «вылечить» пораженный файл, восстановив то состояние, которое он имел до заражения.
Последнюю возможность обеспечивает тот факт, что вирус должен в течение некоторого времени скрывать свое появление, чтобы обеспечить определенный уровень размножения. Для этого необходимо, чтобы пораженная программа работала точно так же, как и не пораженная. То есть, никакие части программы не утрачиваются, что и позволяет восстановить ее прежнее состояние.
Недостаток у антивирусных программ только один: они очень быстро устаревают. Так как их работа основана на внутренней базе данных, они могут надежно бороться только с теми вирусами, которые включены в такую базу. Так как новые компьютерные вирусы появляются очень часто (хотя большинство новинок представляет собой корявые переделки уже известных вирусов), текущая база данных очень быстро теряет актуальность.
Вследствие этого, новый «модный» вирус может проникнуть на компьютер до того, как антивирусная программа окажется готова к борьбе с ним. По этой причине антивирусные средства представляют собой программное обеспечение, обновляемое наиболее активно. Свежие версии программы (или обновления базы данных) выходят буквально ежемесячно, а иногда и чаще. Для пользователя, использующего антивирусную программу, должно быть законом ее регулярное обновление. Программа полугодичной давности опасна с той точки зрения, что она создает ложное ощущение безопасности, в то время как наиболее активно циркулирующие вирусы ей абсолютно неизвестны.
Пакет антивирусных программ AntiViral Toolkit Pro
Пакет AntiViral Toolkit Pro (АЧР) создан в России и рассчитан на «наших» пользователей, которым непременно хочется докопаться до сути устройства файловой системы и как можно больше узнать о вирусах. Иначе говоря, для того чтобы эффективно использовать эту программу, надо хорошо понимать, что вы делаете. Для тех, кто рассчитывает на автоматическое обслуживание компьютера, она вряд ли подойдет.
Антивирусная база данных программы AVP содержит не так уж много вирусов по сравнению с другими программами, но зато она использует оригинальные алгоритмы и методы проверки. Благодаря этому ей удается обнаруживать и неизвестные вирусы, а также регистрировать «вирусоподобные» действия, независимо от их источника. Специальные средства позволяют обнаруживать даже наиболее скрытно маскирующиеся вирусы, а также вирусы с переменным кодом.
Пакет АЧР рассчитан в первую очередь на условия повышенной опасности: компьютеры с открытым доступом, сетевая среда и т. п. Его также можно применять в тех условиях, когда имеются особые требования безопасности например в банковских системах, на файловых серверах и т. п.
Пакет AntiViral Toolkit Pro состоит из нескольких компонентов, набор которых может пополняться в новых версиях программы. Ключевые компонент следующие.
• AVP Сканер. Модуль, выполняющий антивирусную проверку (сканирование) дисков компьютера.
• AVP Монитор. Модуль фонового сканирования, обеспечивающий постоянный контроль, предотвращающий проникновение вирусов на компьютер.
• AVP Inspector. Программа-ревизор, следящая за изменением содержимого файлов и папок и фиксирующая изменения, характерные для поведения вирусов.
Применение сканера
Главное окно модуля АЧР Сканер представляет собой панель с пятью вкладками. На вкладке Область двойным щелчком выделяют диски, подлежащие проверке. Для упрощения выделения можно использовать флажки Локальные диски, Сетевые диски и Флоппи дисководы.
Выбрав диск, можно сразу же приступить к его проверке щелчком на кнопке Пуск. По ходу проверки в нижней части окна выводится отчет, причем обычно указываются только имена зараженных объектов. Если обнаружен инфицированный файл, открывается окно Зараженный объект, в котором можно решить его судьбу. По завершении сканирования происходит переключение на вкладку Статистика, на которой отображаются результаты проверки. На вкладке Объекты можно определить, что же именно должно быть подвергнуто проверке. С помощью флажков включают проверку памяти, системной области диска, файлов, в том числе упакованных исполнимых файлов и разнообразных архивов, баз данных электронной почты. Проверяемые типы файлов задают соответствующими переключателями. Проверке могут подвергаться все файлы, имеющие внутренний формат программ и библиотек, программные файлы, распознаваемые по расширению, вообще
все файлы или файлы, определяемые маской, заданной вручную. Можно также исключить определенные типы файлов из сканирования, установив флажок Исключение по маске и задав необходимую маску в текстовом поле.
Реакцию программы при обнаружении зараженных файлов задают на вкладке Действия. Кроме стандартных действий по удалению зараженных файлов или лечению от известных вирусов, предусмотрено копирование подозрительных объектов в специальную папку. По умолчанию для инфицированных и подозрительных объектов используются папки \Infected и \Suspicious, находящиеся внутри рабочей папки АVР (по умолчанию — С:\Program Files\AntiYiral Toolkit Pro).
Глубину сканирования задают на вкладке Параметры. Здесь же можно включить добавочный механизм проверки, обеспечивающий вывод предупреждающего сообщения, если сканируемый файл или сектор содержит модифицированный вирус, а также если в памяти компьютера обнаружена подозрительная последовательность инструкций. Флажок Анализатор кода включает эвристический алгоритм, который способен обнаружить еще не известные программе вирусы в исследуемых объектах. Эвристический сканер проверяет коды файлов и секторов по разным ветвям алгоритма сканируемой программы и выдает сообщение, если обнаружена подозрительная последовательность команд.
Чтобы не выполнять каждый раз настройку заново, предусмотрена возможность ее сохранения и загрузки с помощью команд Файл → Сохранить настройки и Файл → Загрузить настройки. Настройки сохраняются в файлах с расширением .PRF и имеют текстовый формат. Стандартные настройки сохраняют командой Файл → Сохранить настройки по умолчанию. Они содержатся в файле CIWindowsgavp32.ini.
Сильной стороной пакета АVР является возможность гибкого управления работой сканера из командной строки. Параметры командной строки позволяют описать все необходимые настройки сканера и действуют только при данном запуске. Наиболее удобно использовать эту возможность в сочетании со стандартным системным Планировщиком заданий.
Применение монитора
По умолчанию программа АVР Монитор запускается автоматически, о чем: свидетельствует значок на панели индикации. Если значок отсутствует, запуск можно произвести из Главного меню (Пуск → Программы → AntiViral Toolkit Pro → АVР Монитор). Настройку монитора обеспечивает команда Свойства в контекстном меню.
Вкладки Объекты, Действия и Настройки содержат уже знакомые нам по сканирующему модулю элементы управления. На вкладке Статистика отображается число файлов, просканированных в текущем сеансе работы.
Работа монитора в принципе аналогична работе сканера, но он обрабатывает только файлы, попадающие на компьютер в результате копирования с внешних носителей, загрузки из Интернета, установки программ и т. п. Соответственно, настройки монитора очень похожи на настройки сканера. Кроме того, сбросив флажок Включить, можно временно приостановить работу средства АЧР Монитор (значок на панели индикации приглушается), а кнопка Выгрузить АVР Monitor позволяет отключить эту программу совсем.
Применение ревизора диска
При повышенных требованиях к антивирусной защите большую помощь может оказать Ревизор диска АЧР Inspector, При его первом запуске создается специальная база данных (таблица), в которую заносится информация о файлах: длина, время создания и последней модификации, атрибуты и контрольные суммы. В эту базу также заносится список сбойных кластеров, схема структуры подкаталогов, образы загрузочных секторов диска и прочая информация обо всех контролируемых объектах. Создаются также данные, необходимые для восстановления зараженных файлов.
Автоматический запуск программы АVР Inspector обычно происходит раз в день при первой загрузке Windows. В ходе инспектирования дисков новые значения параметров файлов сравниваются с хранящимися в базе данных. Проверяется также, не изменился ли доступный объем DOS-памяти (что бывает при заражении большинством загрузочных вирусов), не изменился ли список сбойных кластеров (некоторые вирусы помечают хороший кластер как сбойный и укрываются в нем), не изменились ли адреса программ обработки системных прерываний, не увеличилось ли число установленных жестких дисков. Контролируются некоторые параметры системного Реестра, отвечающие за антивирусную защиту пакета Microsoft Office, параметры настроек безопасности Internet Explorer и параметры автозагрузки.
Изменения, зафиксированные в ходе инспектирования дисков, анализируются. Если они «безобидны», например, когда изменение длины файла сопровождается изменением даты и времени, то ревизор АVР Inspector просто фиксирует информацию об изменениях. Если же изменения подозрительны и похожи на проявление вируса, выдается предупреждение о возможности заражения.
Подозрительными считаются:
• изменение содержимого файла без изменения даты и времени модификации (это может быть проявлением файлового вируса);
• изменение длины нескольких разных файлов на близкую величину;
• некорректные дата и время модификации файла (такими приемами некоторые вирусы «помечают» зараженные файлы, чтобы избежать повторного заражения);
• изменение файла, изменять который запрещено;
• изменения, характерные для вирусов, поражающих ядро DOS.
По результатам инспектирования предусмотрен автоматический вызов сканера, которому передаются данные о новых и измененных файлах. На выборочное сканирование потребуется гораздо меньше времени, чем на полную проверку диска.
Для лечения зараженных файлов используется специальный встроенный лечебный модуль. Он восстанавливает файл на основе сведений о нем, хранящихся в базе данных. В абсолютном большинстве случаев это позволяет полностью восстановить файл, несмотря на отсутствие каких-либо сведений о конкретном вирусе.
Для обнаружения маскирующихся вирусов ревизор проводит чтение одного и того же элемента диска средствами операционной системы и собственными средствами напрямую. При несовпадении результатов выдается предупреждение о возможном заражении вирусом. Чтобы избежать собственного заражения, программа АVР Inspector выбирает случайное имя исполнимого файла. Это не позволяет вирусам вычислить наличие ревизора и вмешаться в его работу.
16.4. Как быть, если вирус повредил данные на компьютере
Опыт показывает, что никакие меры предосторожности не могут гарантировать абсолютно надежную защиту от вирусов. Вероятность этого можно сделать очень маленькой, но нельзя исключить совсем. К сожалению, в таком случае факт заражения обнаруживается только в тот момент, когда вирус начал выполнять на компьютере вредоносные действия, то есть тогда, когда файлы оказываются испорчены, диски перестают читаться и, вообще, работа становится невозможной.
Начнем с хороших новостей. Время от времени появляются сообщения, что появился компьютерный вирус, способный физически вывести из строя оборудование. На самом деле, это не более чем слухи. Вирусов, способных что-либо по-настоящему испортить в компьютере, не существует. Единственным исключением следует считать возможность перезаписи (порчи) памяти BIOS в микросхеме ППЗУ. Исключить эту опасность можно, запретив перезапись с помощью средства SETUP или установкой соответствующей перемычки на материнской плате. Впрочем, время от времени появляются теоретические рассуждения о том, как можно было бы создать вирус, способный выводить аппаратные средства из строя, так что не исключено, что рано или поздно кто-то реализует одно из таких предложений на практике.
Все остальные новости плохие. Жесткий диск компьютера и все средства доступа к нему оказываются в полном распоряжении вируса, и он может сделать практически все, что хочет. «Прямые и честные» вирусы просто уничтожают информацию в системной части жесткого диска, что приводит к потере всех хранившихся данных. «Более подлые» вирусы могут случайным образом повреждать данные по всему диску или помечать произвольные сектора как дефектные. Как следствие, это также может привести к порче любых данных, причем это будет обнаружено только в тот момент, когда эти данные понадобятся.
Некоторые рекомендации по возможному восстановлению жесткого диска с поврежденной системной областью приведены в следующей главе. Если они не помогут, то данные на жестком диске следует считать утраченными безвозвратно. Помочь в таком случае могут только заранее созданные резервные копии, которые хранились отдельно от компьютера. Поэтому еще раз напомним: если на компьютере есть данные, которые не хочется утратить, необходимо иметь их копию, хранимую независимо от компьютера. О резервном копировании данных рассказано в главе 5.
Эта глава нашей книги посвящена специальным операциям, которые, будем надеяться, не понадобятся большинству читателей. Она рассчитана на тех, кто хочет «выжать» из своего компьютера все, что можно, а также на тех, кто оказался в трудной ситуации. Остальные могут прочесть эту главу просто из любопытства.
Эта операция стала доступной массовому пользователю буквально в последнее время. Первоначально она была в бытовых условиях невозможной, а затем достаточно долго считалась весьма рискованной. 0 чем же идет речь?
Как мы уже знаем, ряд «постоянных» программных компонентов компьютера хранится в микросхеме ПЗУ, в которую записана базовая система ввода вывода BIOS. Однако выяснилось, что срок обновления аппаратных средств компьютера меньше, чем срок службы микросхемы BIOS. Кроме того, все программисты способны ошибаться, и разработчики BIOS в этом плане не., исключение. Иногда ошибки обнаруживаются и в BIOS.
Все эти причины указывают на то, что хорошо бы иметь возможность систему BIOS иногда обновлять. Эта проблема возникла и в некоторых других областях компьютерной технологии, и в качестве ее решения были предложены микросхемы перезаписываемого ПЗУ — Flash ROM. Идея основана на том, что для перезаписи данных требуется повышенное электрическое, напряжение, что исключает возможность случайной порчи данных.
Какие конкретно проблемы может решить перезапись BIOS? Самое важное — это, конечно, исправить ошибки. В качестве таковых может выступать не вполне корректная поддержка материнской платой графического порта AGP или других компонентов. Такие факты известны. Резкий рост максимально возможного объема жестких дисков также оказался не вполне ожидаемым: в некоторые версии В105заложены ограничения на максимально возможный объем жестких дисков, которые сегодня уже преодолены существующими моделями.
Кроме того, свежие версии системы BIOS могут быть лучше оптимизированы и обеспечивать несколько более высокую эффективность работы аппаратных компонентов. Иногда обновление версии BIOS уже рекомендуют в качестве первого шага обеспечения работоспособности трудно устанавливаемых устройств.
В принципе, желание перезаписать микросхему BIOS может возникнуть в: двух случаях. Мы подробно рассмотрим только один из них: когда требуется, заменить работоспособную систему BIOS свежей версией.
Второй случай — это ситуация, когда микросхема BIOS оказалась каким, либо образом запорчена. Такой способностью обладают некоторые компьютерные вирусы, кроме того, был период, когда распространялись пиратские «загрузочные компакт-диски», выполнение загрузки с которых иногда приводило к повреждению данных BIOS в качестве побочного эффекта. Повреждение данных ВЮ5очень часто ведет к полной невозможности использования компьютера и требует выполнения перезаписи на специальном устройстве— программаторе.
Если же компьютер работоспособен, то для выполнения перезаписи требуются два программных компонента: программа, способная выполнить перезапись, и новый двоичный образ BIOS. Где их взять? Разумеется, в Интернете.
Обратитесь на Web-узел компании — производителя материнской платы компьютера, чтобы узнать, какова последняя версия (и дата выпуска) BIOS для данной модели материнской платы. Здесь же можно найти и все необходимое для выполнения перезаписи.
Программа перезаписи обычно называется awdf lash.ехе (для Flash BIOS фирмы Award) и имеет объем в несколько десятков килобайт. Это программа для MS-DOS. Рекомендуется загружать эту программу только с узла фирмы— производителя материнской платы, так как только в этом случае гарантируется, что будет использована нужная версия этой программы.
Образ BIOS обычно распространяется в виде файла с расширением .BIN, хотя сам этот файл может быть помещен в архив. Имя файла, как правило, указывает на тип материнской платы и версию BIOS. Размер образа BIOS обычно составляет 1 Мбит = 131072 байт, хотя в последних версиях материнских плат иногда используется BIOS объемом в 2 Мбит, соответственно и размер образа в этом случае вдвое больше. Загрузите эти файлы на свой компьютер.
Еще раз хочется подчеркнуть: не берите эти файлы ни из каких источников, кроме официального Web-узла компании — производителя материнской платы. Не рекомендуется использовать даже компакт-диск или гибкий диск, который поставлялся вместе с системной платой. При записи неверных данных в BIOS компьютер «надежно» выводится из строя, так что восстановить его самостоятельно не представляется возможным. Всякий риск должен быть здесь исключен.
После того как оба необходимых файла загружены на компьютер, можно приступать собственно к операции перезаписи BIOS.
Собственно выполнение перезаписи — это особо ответственная операция, так как и здесь сбой может привести к невозможности восстановить работу компьютера собственными силами. Основных условий для успешного завершения перезаписи два: невмешательство в процесс и защита от форс-мажорных обстоятельств, главным образом от возможного отключения электроэнергии.
Соблюсти первое условие достаточно легко, если договориться с детьми, домочадцами, коллегами по работе и т. д., что в течение некоторого (прямо надо сказать, достаточно небольшого) времени вас нельзя беспокоить ни под каким видом.
Если используемая электросеть достаточно надежная, то стоит лишь договориться о не включении в течение некоторого времени утюгов, чайников, стиральных машин и других энергоемких электроприборов. Если компьютер периодически страдает от отключений электричества, то для выполнения такой операции следует выбрать время, когда это практически исключено. Если такой гарантии дать невозможно, следует выбрать время для этой операции с особой тщательностью.
Проводить перезапись мы будем в режиме MS-DOS. Поэтому начать лучше всего с того, что подготовить чистый гибкий диск и скопировать на него программу, выполняющую перезапись, а также новый образ BIOS в распакованном виде. Убедитесь, что диск надежно читается, для чего несколько раз перепишите эти файлы обратно на жесткий диск.
Для первого раза рекомендуется выполнить операцию в два приема. Сначала мы «испытаем» программу перезаписи, скопировав старое содержимое микросхемы BIOS, а уже потом пробуем заменить его. Начнем с того, что воспользуемся системным гибким диском, для того чтобы перезагрузить компьютер в режиме MS-DOS.
Смените гибкий диск, вставив диск с программой awdflash.ехе, и дайте команду
awdf lash
После запуска программа определит тип микросхемы BIOS и способ записи,
данных. Затем будет предложено записать образ текущей версии BIOS. Согласитесь с этим предложением и введите имя файла. Далее программа awdf lash выполнит копирование образа BIOS в файл. На предложение выполнить перезапись BIOS пока что ответьте отказом. Когда программа awdflash завершит работу, выньте гибкий диск и перезагрузите компьютер.
Скопируйте старый образ BIOS на жесткий диск, а заодно убедитесь в том, что его длина совпадает с длиной нового образа, который планируется использовать.
Теперь, постарайтесь окончательно морально подготовиться к операции перезаписи BIOS, а также еще раз перепроверьте, что никто неожиданно не помешает этой работе. Снова перезагрузите компьютер с системного гибкого диска и опять запустите программу awdflash. На этот раз создавать образ старой версии BIOS уже не требуется, и можно сразу переходить к записи новой версии. В ответ на соответствующий запрос укажите нужное имя файла. Операция занимает буквально несколько минут и по ее окончании автоматически выполняется перезагрузка компьютера.
По окончании перезагрузки необходимо активизировать средство SETUP и дать команду LOAD SETUP DEFAULTS (Загрузить стандартные настройки SETUP). Это гарантирует «нормализацию» настроек, если их формат в CMOS в новой версии BIOS изменился. Далее можно изменять эти настройки по своему усмотрению и работать с компьютером как обычно. Теоретически, надежность и эффективность работы аппаратной части компьютера должны в результате этой операции повыситься.
17.2. Восстановление жесткого диска с повреждениями логической структуры
Самая ценная информация, имеющаяся на компьютере, хранится на жестком диске. Если из строя выйдет какой-либо иной аппаратный компонент компьютера, то величина ущерба соответствует его стоимости. Если же из строя выйдет жесткий диск, в результате чего окажется невозможен доступ к хранимым на нем данным, то, в зависимости от того, насколько срочно нужны и насколько легко восстановить эти данные, величина потерь может во много раз превзойти стоимость как самого жесткого диска, так и компьютера в целом.
Сегодня развитие технологии создания жестких дисков идет бурными темпами, опережая даже развитие процессоров. Объемы, быстродействие и надежность дисков увеличиваются, не будет большим преувеличением сказать, с каждым днем.
Всего несколько лет назад можно было сказать, что гарантированный срок службы многих моделей жестких дисков составляет не более одного двух лет. После этого возникала угроза либо полного прекращения работы диска (с гибелью всей записанной на нем информации), либо «осыпания» — лавинообразного нарастания числа дефектных секторов, вследствие распространяющихся физических дефектов магнитной поверхности.
И в том и в другом случае можно было говорить о том, что все файлы на жестком диске постоянно находятся под угрозой. Сегодня такая угроза во многом осталась в прошлом — сроки бесперебойной работы жестких дисков существенно возросли. В то же время, диски прошлых лет выпуска, а также некоторые неудачные модели остаются подвержены этой опасности. Однако против этого никаких предупредительных мер, кроме регулярного резервного копирования данных, предпринять невозможно.
С точки зрения компьютера, жесткий диск представляет собой не только физическое, но и логическое устройство. Это означает, что технической исправности жесткого диска может оказаться недостаточно для того, чтобы иметь доступ ко всем данным, имеющимся на диске. Операционная система записывает на жесткий диск дополнительную информацию, которая позволяет находить конкретные файлы, в каком бы месте диска они не располагались. Если эта информация содержит ошибки или оказалась не обновлена,
то доступ к данным на жестком диске будет невозможен, несмотря на то, что эти данные остались в целости и сохранности.
Структура информации на жестком диске
Физическая структура
С физической точки зрения жесткий диск состоит из набора магнитных дисков («блинов») вращающейся на общей оси. Каждый диск содержит набор концентрических магнитных дорожек, находящихся на разном расстоянии от этой оси. Обычно диски-блины являются двусторонними и содержат магнитные дорожки на обеих сторонах диска.
Чтение с дорожек производится при помощи пакета магнитных головок, способного перемещаться в радиальном направлении. Каждой рабочей поверхности каждого диска соответствует своя головка, а их «пакетность» заключается в том, что головки перемещаются синхронно, то есть, все головки находятся на одинаковом расстоянии от оси вращения.
Каждая дорожка разбивается на сектора, являющиеся минимальными физическими элементами для хранения данных. Чаще всего, сектора имеют фиксированный угловой размер, благодаря чему на всех дорожках располагается по одинаковому числу секторов. Магнитная головка способна читать различные сектора благодаря вращению пакета дисков.
Весь пакет магнитных головок способен синхронно читать данные со всех дорожек, находящихся на одинаковом расстоянии от оси вращения. Такая операция чтения не требует перемещения пакета головок и поэтому выполняется достаточно быстро. Из этих соображений принято называть такой набор дорожек, расположенных «друг над другом», цилиндром. Таким образом, физический адрес сектора на жестком диске состоит из трех чисел: номера цилиндра, номера магнитной головки, определяющего конкретную дорожку, и номера сектора на дорожке.
Однако не следует забывать, что все запросы на чтение и запись проходят через контроллер жесткого диска. В современных жестких дисках практически повсеместно используются так называемые транслирующие контроллеры. Транслирующий контроллер оптимизирует операции чтения и записи на жесткий диск и, как следствие, выдает операционной системе данные о числе цилиндров, головок и секторов, не соответствующие реальной физической структуре диска. Когда какая-либо программа передает запрос на обращение к диску, заданный адрес автоматически преобразуется контроллером в истинный.
Обычно, при получении информации через транслирующий контроллер указывается число цилиндров в несколько раз меньше реального, но во столько же раз увеличивается число головок. Если в данных SETUP указано, что жесткий диск имеет 64 головки (или столь же невероятное число), значит, речь идет о транслирующем контроллере. Часто основноё назначение транслирующих контроллеров состоит в том, чтобы обеспечить возможность адресации ко всему пространству на жестком диске большого объема.
Логическая структура
Сложность логического механизма записи на жесткий диск связана с тем, что операционная система должна суметь записать файл на диск, если для него в целом достаточно свободного места. Где находится это место, можно ли записать файл «одним куском» или его надо «распихивать» по разным углам диска, не должно иметь значения. В операционной системе Windows 9х для этой цели используются файловые системы: FAT 16 (или просто FAT) и FAT32.
По большому счету, обе эти системы устроены совершенно одинаково. Просто система FAT 16 появилась еще тогда, когда жесткие диски объемом 20 Мбайт считались большими, и, соответственно, она остается оптимальной для дисков объемом менее 500 Мбайт, а предельный объем поддерживаемых ею дисков — 2 Гбайт.
Система FAT32 была впервые введена в версии Windows 95 OSR2 и, фактически, с тех пор рассматривается как основная для всех последующих версий Windows 9х. Она может применяться для всех дисков объемом свыше 530 Мбайт, а предельный объем жесткого диска в этой системе — 4 Тбайт, или, примерно, 4000 Мбайт. Таким образом, учитывая сегодняшние объемы жестких дисков, можно считать, что файловая система FAT32 пришла всерьез и надолго.
Термин FAT означает File Allocation Table — таблица размещения файлов и указывает на способ доступа к файлам, имеющимся на жестком диске, Минимальная логическая единица доступа — кластер, обычно включающий от 8 и более секторов, причем в любом случае число является точной степенью двойки. Первоначально под кластером понимался набор секторов, расположенных друг под другом в одном цилиндре, но сегодня это уже не обязательно так.
Во всех версиях системы FAT кластер представляет собой минимальную логическую единицу адресуемого пространства. Все кластеры пронумерованы, и каждый кластер может быть либо свободен, либо монопольно предоставлен для хранения определенного файла. В частности, даже файл размером 1 байт требует для своего хранения полноценного кластера. В результате, в среднем на каждом файле теряется дисковое пространство, составляющее около половины кластера. Чем больше размер кластера, тем больше потери.
Состав жесткого диска
Кроме кластеров, жесткий диск содержит и служебную область, используемую для доступа к информации, хранимой в кластерах. Эта область состоит из следующих записей.
1. Master Boot Record (MBR), или Partition Table (Таблица разделов). Под эту запись всегда выделяется целиком первая дорожка первого цилиндра диска. Здесь хранится важнейшая информация — сведения о разделах, созданных на жестком диске. Если жесткий диск разбивался на разделы с помощью стандартной программы fdisk, то структура разделов фиксирована. Существует ровно один основной раздел, включающий в себя один логический диск, который можно сделать загрузочным. Кроме того, может существовать один дополнительный раздел, способный содержать несколько логических дисков. Вся эта информация сохраняется в записи MBR, которая может занимать один или несколько секторов. При использовании специальных программных средств могут существовать и другие типы разделов (например, несколько загрузочных разделов на одном диске), но информация об этом в любом случае, записывается здесь.
При наличии нескольких жестких дисков рекомендуется использовать для формирования записи h18R одно и то же программное средство. Так, для большинства пользователей нет смысла применять что-либо, кроме программы fdisk.
2. Boot Record (Загрузочная запись). Эта запись обычно занимает первый сектор каждого логического диска. Она определяет, что должно произойти при попытке выполнить загрузку с данного диска. Фактически, производится запуск небольшой программы, которая хранится в пределах данной записи (это, кстати, позволяет в данном месте «жить» вирусам). Если диск загрузочный, то эта программа активирует средства запуска операционной системы. Если это не так, то выдается сообщение о невозможности загрузки с данного диска, после чего управление вновь передается системе BIOS.
3. FАТ (Таблица размещения файлов). Основная часть файловой системы, давшая ей название. Представляет собой набор записей, соответствующих всем имеющимся кластерам. Для каждого кластера запись может иметь несколько стандартных значений (кластер свободен, кластер дефектный, кластер является последним кластером файла) или содержать ссылку на следующий кластер, относящийся к тому же файлу. Фактически, в каталоге хранится информация только о первом кластере файла, а все последующие данные выстраиваются «по цепочке».
Размер записи различен в системах FAT16 и FAT32 и составляет, соответственно, 16 и 32 двоичных разряда (то есть, 2 и 4 байта). Это и определяет максимальный размер диска, поддерживаемого данной системой (предел соответствует максимальному размеру кластера).
Так как таблица FAT представляет собой самый важный компонент файловой системы, приняты специальные меры, чтобы обеспечить ее надежность. В частности, таблица FAT хранится в двух экземплярах, которые идут непосредственно друг за другом. Второй экземпляр FAT считается «эталонным», туда вносятся только надежные данные. При обнаружении расхождений между версиями FАТ первый экземпляр корректируется по второму.
4. Root Directory (Корневой каталог). Размеры таблиц FАТ зависят от используемой файловой системы и размеров диска. Так, в системе FAT32 эта таблица обычно занимает намного больше места, чем при FAT 16. В любом случае сразу после таблиц FAT на жестком диске располагается корневой каталог. Область, выделенная под корневой каталог, всегда имеет фиксированный размер, и число файлов и каталогов, указанных непосредственно в корневом каталоге, поэтому ограничено. На вложенные каталоги такие ограничения не распространяются, так как они фактически имеют те же права, что и файлы.
Типичные ошибки логической структуры
За счет чего в логической структуре жесткого диска могут возникнуть ошибки? Казалось бы, все эти операции выполняются полностью автоматически, из процесса исключено самое слабое звено — человек. И действительно, в оптимальных условиях файловая система может годами работать вообще без ошибок.
Но все-таки человек, так или иначе, способен вмешаться в процесс. Он «делает это» путем запуска ненадежных программ. Если программа «слетает» или «зависает», то нет никакой гарантии, что к этому моменту она квалифицированно завершила свои операции с жестким диском. А после того как ошибки возникли, они имеют тенденцию накапливаться. Если логическая структура таблицы FAT нарушена, то последующие «нормальные» операции не всегда удается выполнить как следует. Новые ошибки затрудняют проведение последующих операций, так что ситуация продолжает ухудшаться и дальше.
Другое действие; способное приводить к возникновению логических ошибок, — это некорректное выключение компьютера. Дело в том, что для повышения эффективности работы с диском операционная система выполняет буферизацию: хранит данные в буфере в памяти и выполняет их запись только по заполнении буфера или при наличии «свободного времени». Если компьютер был неожиданно выключен или перезапущен с помощью кнопки
Reset, данные из буфера могли не попасть на жесткий диск. Как следствие, возможна потеря данных, нарушение логической структуры диска, а если перезагрузка произошла непосредственно в момент выполнения записи, то и более серьезные последствия.
В то же время, мы не можем гарантировать, что у нас на компьютере ничего и никогда не зависнет и не потребует «неправильной» перезагрузки. Поэтому опасность нарушения логической структуры жесткого диска существует всегда.
Возникающие ошибки можно разбить на две основные категории. Первая это «локальные ошибки». Они проявляются как некоторое несоответствие состояния таблицы FAT реальному состоянию жесткого диска, то есть, как наличие внутренних противоречий в состоянии FAT и имеющихся каталогов.
Вторая категория — это крупное «поражение» системной области диска с
возможным повреждением MBR и других служебных областей. Такой эффект исключительно редко может возникнуть вследствие некорректного выключения питания, а более характерная причина его возникновения — воздействие компьютерного вируса (например, широко известного вируса «Чернобыль», или WinCih).
Простые локальные ошибки разделяются на несколько категорий. Самая распространенная — это так называемые потерянные цепочки. Иными словами, кластер помечен в таблице FAT как занятый, но ссылка на него со стороны какого-либо файла отсутствует. Как следствие, соответствующий кластер оказывается занят, причем занят «навсегда»: никакие нормальные файловые операции неспособны его освободить. В результате теряется некоторый объем дискового пространства и возникают досадные неустранимые помехи для размещения файлов едиными блоками.
Вторая, более серьезная, ошибка — перекрестная ссылка, претензия двух или большего числа файлов на одну и ту же цепочку кластеров. При этом файлы могут даже быть настроены не на начало цепочки кластеров (что само по себе уже является ошибкой). В отличие от предыдущей, эта ошибка крайне неприятна, так как наверняка означает, что хотя бы один из этих файлов испорчен. Чаще всего испорченными оказываются оба. Кроме того, эта ошибка имеет тенденцию к «расползанию»: в ходе последующих, даже «нормальных» операций возникают новые логические ошибки разного рода, что в итоге заканчивается разрушением значительной части информации, хранимой на жестком диске. Перекрестные ссылки желательно обнаруживать и исправлять как можно раньше.
Другие логические ошибки менее существенны и редко сказываются на эффективности использования компьютера. К ним может относиться неточное определение полного объема пространства на диске, ошибки в датах создания файлов, ошибки в длинных именах файлов (например, «потерянные» длинные имена, не связанные с каким-либо файлом).
Поиск и исправление простых логических ошибок на жестком диске
Так как все перечисленные простые логические ошибки файловой системы представляют собой нарушение логики организации файловой системы FAT (которая, в целом, продолжает функционировать нормально), они могут быть обнаружены и исправлены автоматически. Для этой цели существует немало программ, как стандартных для операционной системы Windows 9х, так и дополнительных, внешних по отношению к ней.
DOS или Windows
Тот, кто хотя бы раз видел, что происходит при некорректном завершении работы операционной системы Windows 9х, знает, что в этом случае автоматически запускается DOS-версия программы проверки диска. В то же время в состав операционной системы входит и полноценная версия такой программы, рассчитанная на нормальную работу в среде Windows. Интересно, что если мы попытаемся обратиться к пакету Norton Utilities, то мы и здесь столкнемся с точно такой же парой программ: одна для MS DOS, а другая для Windows.
Почему так сделано и какую из программ следует предпочесть? На оба эти вопроса ответить очень легко. Проверка диска с помощью DOS-программы проводится до того, как реально началась загрузка Windows. Цель этой проверки — гарантировать, что сам процесс загрузки операционной системы (который включает операции записи на диск, например работу с файлом подкачки) не приведет к окончательной гибели ценной информации. Авторы операционной системы пошли на это, несмотря на то что DOS-версия не гарантирует полного исправления ошибок, например, она не справляется с корректировкой длинных имен файлов.
Из этого следует и ответ на второй вопрос если есть такая возможность, следует всегда пользоваться Windows-версией программы проверки диска. Только она производит действительно полный и надежный анализ состояния логической структуры жесткого диска и позволяет исправить все возможные ошибки.
Более того, некоторые считают стандартную проверку диска с помощью DOS-программы пустой тратой времени и либо отключают ее через Реестр Windows, либо прерывают, когда она запускается автоматически. Если вы относитесь к такой категории людей, то при установке пакета Norton Utilities не рекомендуется заменять стандартное средство DOS-проверки его аналогом из этого пакета. Отличие состоит в том, что эта версия не содержит средств прерывания ее работы, так что, если операционная система сочтет завершение работы некорректным, потеря времени будет примерно пропорциональная объему жестких дисков.
Проверка диска при помощи стандартной программы Стандартная программа проверки диска в операционной системе Windows 98 так и называется: Проверка диска. Она запускается через Главное меню: Пуск → Программы → Стандартные → Служебные → Проверка диска. Эта программа предназначена для выполнения двух видов проверок: стандартной, при которой проверяется только логическая структура файловой системы, и полной, при которой также выполняется проверка качества магнитной поверхности. В верхней части окна программы отображается список всех локальных дисков компьютера (гибких и жестких). По умолчанию выбирается только первый жесткий диск, но все жесткие диски лучше проверять одновременно. Чтобы выбрать дополнительные диски, щелкните на их значках при нажатой клавише СТИ.
Программа Проверка диска выполняет проверку и исправление ошибок достаточно корректно, поэтому в простых случаях на нее вполне можно положиться и установить флажок Исправлять ошибки автоматически. В этом случае поиск и исправление ошибок происходит автоматически, а по окончании работы появляется диалоговое окно с отчетом. Первая строка отчета указывает, были ли найдены ошибки и удалось ли их исправить. Если остались неисправленные ошибки, это говорит о том, что состояние диска хуже, чем предполагалось.
Чтобы такая ситуация не застала пользователя врасплох, от автоматического исправления ошибок следует отказаться. В этом случае при обнаружении логической ошибки на жестком диске программа Проверка диска выдает диалоговое окно, предлагающее самостоятельно принять решение о методе исправления данной ошибки. Чтобы заранее познакомиться с возможными ошибками и методами их исправления, надо щелкнуть на кнопке Дополнительно, которая позволяет заранее выбрать реакцию программы, если ошибки должны исправляться автоматически. Диалоговое окно Дополнительные параметры проверки диска состоит из нескольких панелей, соответствующих разным настройкам программы и разным типам ошибок.
Панель Выводить итоговые результаты управляет выдачей диалогового окна отчета. Чаще всего рекомендуют устанавливать переключатель Только при наличии ошибок, так как в этом случае при отсутствии ошибок последовательная проверка нескольких жестких дисков происходит без вмешательства пользователя.
Файл протокола содержит сведения о работе программы Проверка диска. Он ведется в корневом каталоге соответствующего жесткого диска и имеет имя scandisk.log. Это текстовый файл, который можно просмотреть, например, с помощью редактора Блокнот. Рекомендуется установить переключатель Заменить при автоматическом исправлении ошибок и Не вести протокол, если это делается вручную.
Панель Файлы с общими кластерами определяет, что делать при обнаружении перекрестных ссылок. Рекомендуется установить переключатель Делать копии. В этом случае программа Проверка диска создает отдельные копии «конкурирующих» файлов, позволяя в дальнейшем выяснить, имеет ли смысл сохранять какой-либо из них. Более радикальное решение — переключатель Удалить, приводящий к удалению обоих сомнительных файлов. Оставлять эту ошибку без исправления (переключатель Пропустить) нельзя.
Панель Потерянные цепочки кластеров указывает, что делать при обнаружении потерянных цепочек. Весь «набор» обнаруженных потерянных цепочек рассматривается как одна ошибка, для которой задается один из двух возможных методов исправления. Рекомендуется установить переключатель Преобразовывать в файлы, несмотря на то что в абсолютном большинстве случаев потерянные цепочки представляют собой «не доуничтоженные» временные файлы и не содержат данных, имеющих ценность.
Дело в том, что в некоторых «тяжелых случаях» программа Проверка диска используется для восстановления критически поврежденной логической структуры диска. И гораздо удобнее время от времени уничтожать бесполезные восстановленные файлы, чем помнить, что в нужный момент надо менять установку.
Восстановленные файлы получают имена file0001.chk, file0002.chk и так далее. Длина таких восстановленных файлов всегда кратна размеру кластера. Если потерянная цепочка содержит каталог, то в корневом каталоге создается каталог с именем dir0001 (и так далее). Вложенные файлы и каталоги могут быть восстановлены в точности, с правильными именами и длинами.
Флажки панели Проверять рекомендуется установить. В этом случае выполняется проверка дат создания файлов, а также имен файлов. Это позволяет исправлять характерную ошибку, связанную с невозможностью открыть файл, имя которого содержит недопустимые символы.
Флажок Проверять сперва несущий диск предназначен для систем, в которых имеется сжатый диск. На сжатый, или уплотненный, диск информация записывается в упакованном виде, что позволяет записать туда больше данных, чем показывает номинальная емкость диска.
Надежность сжатых дисков всегда ставилась под сомнение, а на сегодняшний день можно однозначно утверждать, что сжатие имеет смысл только для устаревших дисков малой емкости, не используемых для хранения важной информации. Иными словами, используя сжатый диск, надо быть готовым к тому, что при возникновении сбоев его придется переформатировать.
Полная проверка диска включает в себя также физическую проверку магнитной поверхности диска на наличие дефектов. На современных жестких дисках возникновение подобных дефектов маловероятно и выполнение полной проверки требуется редко.
Такая проверка может иметь смысл и для гибких дисков. Однако, удобнее просто выполнить переформатирование гибкого диска, чтобы заодно повысить надежность чтения и записи.
Если выбрана полная проверка, ее параметры можно изменить, щелкнув на кнопке Настройка. Панель Выполнить проверку следующих областей определяет, какие зоны диска должны проверяться. Если такая проверка кажется необходимой, то лучше установить переключатель системной области и области данных, чтобы проверить весь диск полностью.
Флажок Не производить проверку поверхности на запись можно установить, чтобы сэкономить немного времени ценой снижения надежности проверки. Флажок Не исправлять ошибочные секторы в скрытых и системных файлах предназначен для некоторых старых программ, искусственно создававших дефекты на диске как элемент защиты от несанкционированного копирования. Установка этого флажка требуется, чтобы сохранить работоспособность таких программ по окончании проверки.
Обнаружение дефектных секторов в любой области диска — это, по сегодняшним понятиям, крайне плохой признак, свидетельствующий о том, что диск перестал быть надежным средством хранения данных. Не исключено, что его вскоре придется заменять. Впрочем, иногда подобные дефекты вызываются перепадами температуры и влажности окружающей среды (что проявляется обычно весной или осенью). Если это так, то переформатирование диска может восстановить обычный надежный режим его работы.
Проверка диска с помощью средства Norton Disk Doctor
Программа Norton Disk Doctor по своим возможностям практически не отличается от программы Проверка диска. Несмотря на несколько иной интерфейс, она способна выполнять практически точно такие же операции по обнаружению и исправлению логических ошибок файловой структуры. Запускается эта программа через Главное меню: Пуск → Программы → Norton Utilities → Norton Disk Doctor — или автоматически при старте некоторых других программ пакета Norton Utilities.
В окне программы можно выбрать диски, подлежащие проверке, установить, если надо, флажок Исправлять ошибки автоматически и щелкнуть на кнопке Проверить. В этом случае проверка выполняется с параметрами, заданными по умолчанию.
Если требуется изменить настройки, следует щелкнуть на кнопке Параметры и задать необходимые условия в открывшемся диалоговом окне Настройки Norton Disk Doctor. Хотя это окно и отличается по внешнему виду от окон настройки программы Проверка диска, по сути возможности настройки остаются теми же самыми.
В чем же главное отличие программы Norton Disk Doctor от программы Проверка диска? А в том, что здесь у нас есть возможность создать файл отката, позволяющий восстановить состояние диска до внесения исправлений. В абсолютном большинстве случаев, когда вносимые правки носят, скорее, «косметический» характер, никакой пользы от файла отката нет.
Но иногда возникает ситуация, когда при восстановлении сильно попорченного жесткого диска приходится действовать методом проб и ошибок. В этом случае «исправление» может ухудшить состояние жесткого диска и уничтожить все шансы на доступ к утраченной информации. Тогда средство отката становится незаменимым, так как освобождает руки для экспериментов.
Восстановление жесткого диска с сильно поврежденной файловой системой
В некоторых случаях приходится сталкиваться с тем, что жесткий диск поврежден настолько сильно, что гарантировать его восстановление простыми средствами нельзя. Причины этого могут быть разными. Например, такое может произойти при «разгоне» материнской платы. При работе на частоте, отличающейся от стандартной величины, некоторые контроллеры дисков начинают записывать информацию не туда, куда следует, последствием чего становятся непредсказуемые искажения в логической структуре диска.
Вообще, при случайном попадании искаженных данных в служебную область (компоненты служебной области были перечислены выше) восстановление жесткого диска заметно усложняется, хотя программы проверки диска все равно могут справиться даже со значительными трудностями. Например, если затерт корневой каталог жесткого диска, то программа проверки диска способна полностью восстановить структуру папок и все файлы в некорневых папках. Будут потеряны лишь имена и длины файлов корневой папки, а также утрачены имена папок, вложенных непосредственно в корневую.
Наиболее критическим элементом служебных записей является таблица FAT. При ее полной утрате восстановление данных превращается в тяжелую и неблагодарную ручную процедуру, требующую очень много времени и не гарантирующую полного успеха. Именно по этой причине таблица FAT хранится в двух экземплярах.
В дальнейшем, мы будем исходить из того, что у нас сохранились три основных компонента:
• информация, хранимая в области данных;
• одна неповрежденная копия таблицы размещения файлов;
• неповрежденный корневой каталог.
Все остальное можно попытаться восстановить. Предпочтительнее, если для этого также используются автоматические средства.
Создание образа диска с помощью программы Image
Требование неизменности области данных вынужденное, так как единственный способ иметь копию данных — резервное копирование, требующее израсходовать столько же места, сколько занимает оригинал. В остальных случаях у нас есть небольшая лазейка: хотя нам требуются копии таблицы FAT и корневого каталога, совершенно необязательно, чтобы они располагались именно в системной области диска.
Чтобы создать «лишнюю копию» важных системных данных, можно использовать служебную программу Image из пакета Norton Utilities. Если запустить ее (через Главное меню — Пуск → Программы → Norton Utilities → Image) и щелкнуть на кнопке Образ, она создаст два файла: IMAGE.DAT и IMAGE.IDX — образ диска. Первый из этих файлов содержит образы загрузочной записи, таблицы FAT и корневого каталога, а второй представляет собой независимый указатель на местоположение файла IMAGE.DAT, позволяющий отыскать этот файл при повреждении системной области диска.
Другие средства пакета Norton Utilities используют образ диска для восстановления информации, например при случайном уничтожении важных файлов или при непреднамеренном форматировании диска.
Недостаток у этой системы только один: в то время как реальная служебная область жесткого диска обновляется при каждой операции записи на диск, образ диска необходимо обновлять вручную. Хотя это и не такая уж трудоемкая операция, ее редко выполняют чаще, чем один раз в сутки. А это означает, что все файлы, которые были изменены после создания образа, могут быть испорчены в ходе операции «восстановления». Таким образом, иногда это лекарство может оказаться хуже, чем болезнь.
Ручное восстановление жесткого диска с затертой системной областью
Худший вариант, с которым можно столкнуться, это частичное повреждение служебной области жесткого диска при отсутствии резервной копии, образа диска или других средств восстановления информации. Например, так «работает» известный вирус «Чернобыль» (WinCih), уничтожающий первый мегабайт жесткого диска 26 апреля, ориентируясь по системным часам. Аналогичный эффект иногда возникает и без всякого вируса, например при некорректном выключении компьютера.
«Идея» вируса «Чернобыль» как раз и заключалась в том, чтобы уничтожить всю системную информацию на жестком диске, тем самым сделав записанные на нем данные недоступными. Однако автор вируса учел не все. Дело в том, что на достаточно больших жестких дисках таблица FAT32 занимает очень много места, часто больше мегабайта. Это означает, что второй («эталонный») экземпляр FAT, а также корневой каталог могут остаться неповрежденными. Однако возникает необходимость восстановить записи Master Boot Record и Boot Record, а также первую таблицу FAT.
Итак, дальше речь пойдет о восстановлении жесткого диска, у которого оказалась испорчена значительная часть системной области, но уцелели вторая копия таблицы FАТ и корневой каталог. Эта ситуация вовсе не столь экзотическая, как может показаться на первый взгляд. Одного вируса «Чернобыль» уже достаточно, чтобы уделить этому вопросу максимум внимания.
Задача восстановления попорченного таким образом диска вовсе не легкая. Дело в том, все программы, способные сформировать запись Master Boot Record, делают это в рамках стандартной процедуры форматирования диска или разбиения его на разделы. Иными словами, формирование этой записи сопряжено с уничтожением всей служебной информации, которая еще сохранилась на нашем диске. Единственный механизм, который не страдает этим принципиальным недостатком, — копирование записи с другого жесткого диска с последующим изменением нужных параметров. А для этого надо знать, во-первых, что копировать, а во-вторых, какие именно параметры требуется менять.
Сейчас, по логике вещей, следовало бы указать, где найти нужные параметры, и порекомендовать записать их. Но для большинства читателей этой книги это будет пустой тратой времени, а те, кому эти данные понадобятся, в нужный момент забудут, где хранится нужная запись. Поэтому мы ограничимся следующей рекомендацией: если нет острой необходимости, не разбивайте жесткий диск на несколько разделов (логических дисков). Для единого диска определить, какие параметры должны быть заданы, намного проще. И, опять-таки, если речь идет о вирусе «Чернобыль», то увеличение размера диска уменьшает вероятность нанесения непоправимого урона.
Как мы собираемся вносить правки в испорченный жесткий диска Для этой цели нам нужна программа, способная выполнять чтение и запись информации не в виде файлов, а по секторам, а также представлять эти сектора в удобном для нас виде. Такая программа существует и также входит в пакет Norton Utilities. Это программа diskedit.exe, которая рассчитана на работу в режиме MS-DOS. Это не прихоть, а суровая необходимость. Операционная система Windows постоянно самостоятельно взаимодействует с жестким
диском (например, через файл подкачки) и, к тому же, не рассчитана на физический доступ к отдельным секторам. В режиме MS-DOS таких ограничений нет.
Откуда берется запись Master Boot Record? Ее создает программа fdisk.exe при первичной разметке диска. Отсюда вывод: если эта запись испорчена, жесткий диск воспринимается даже на уровне МS-DOS как неформатированный. Более того, так как операционная система Windows 9х не имеет внутренних средств первичной разметки диска (программа fdisk.ехе также работает в режиме MS-DOS), она вообще не воспринимает наличия жесткого диска без правильно сформированной записи MBR, то есть он для нее не существует вообще.
Но как же поступить, как создать запись MBR, не форматируя диск? Мы уже объяснили, что наиболее доступный вариант — это воспользоваться другим жестким диском. Эта идея довольно логична: гибкий диск (например, системный) может содержать лишь ограниченное число довольно «мелких» программ, поэтому для размещения полного набора инструментов «реанимации» предпочтительнее использовать второй жесткий диск.
В оптимальном варианте второй диск должен быть той же модели, что и первый. Впрочем, и это не гарантирует полного совпадения параметров форматирования, так что следует все равно соблюдать осторожность.
Итак, наша задача состоит в том, чтобы «восстановить» диск, который система считает неформатированным. Последовательность действий, которые мы будем выполнять при помощи программы diskedit, следующая.
1. Восстановление записи MBR
2. Уточнение параметров диска.
3. Восстановление записи Boot Record.
4. Определение длины таблицы FAT.
5. Перезагрузка в операционной системе Windows и использование известных средств проверки диска.
Мы будем исходить из того (и это разумное предположение), что «восстанавливаемый» диск и второй жесткий диск, имеющийся в наличии, используют файловую систему FAT 32. Применительно к вирусу «Чернобыль», восстановление диска с системой FAT 16 невозможно.
Итак, начать надо с того, что помимо системного гибкого диска для запуска операционной системы подготовить на работающем компьютере еще один гибкий диск, на который из папки С:\ Program Files\Norton Utilities\ надо скопировать файлы diskedit.ехе и ndd.exe.
В некоторых старых версиях пакета Norton Utilities для работы этих программ требуется дополнительный библиотечный файл nlib200.rtl.
При установке пакета Norton Utilities автоматически создается комплект гибких дисков Rescue disk, содержащий данные, необходимые для восстановления повреждений жесткого диска. К сожалению, этот комплект рассчитан только на тот компьютер, на котором он создавался, однако один из дисков этого комплекта содержит нужные служебные программы, в том числе описанные.
Итак, загрузите операционную систему с системного гибкого диска. При этом можно убедиться, что «испорченный» жесткий диск не распознается, как будто он вообще не установлен. Далее, вставьте гибкий диск с программой diskedit.ехе и введите следующую команду:
А:\diskedit
Произойдет запуск программы diskedit, причем первоначально она запускается в режиме только чтение и не позволяет выполнять редактирование содержимого диска и запись изменения. Это мера предосторожности, препятствующая случайной порче содержимого диска.
Хотя программа и предназначена для работы в MS-DOS, по принципам управления она напоминает программу Windows. Первое, что надо сделать,— это дать команду Tools → Configuration (Сервис → Конфигурация) и в открывшемся диалоговом окне сбросить флажок Read Only (Только чтение). Новую конфигурацию можно сохранить (на тот гибкий диск, с которого запускалась программа), щелкнув на кнопке Save (Сохранить), или оставить действовать на текущий сеанс, щелкнув на кнопке ОК.
Далее необходимо дать команду Object → Drive (Объект → Диск) и в открывшемся диалоговом окне установить переключатель Physical disks (Физические диски). Далее на панели слева выберите диск, подлежащий восстановлению. Теперь мы получили возможность доступа к служебным областям жесткого диска.
В логическом режиме минимальная единица доступа к диску — кластер. В физическом режиме нам доступны отдельные сектора, в том числе в служебной области. Адрес сектора задается в стандартной форме «цилиндр— дорожка — сектор».
Теперь дайте команду Object → Physical Sector (Объект → Физический сектор). Сейчас мы используем ее для того, чтобы определить параметры жесткого диска: В открывшемся диалоговом окне Select physical sector range (Выберите диапазон физических секторов) отображается число цилиндров и головок диска, а также секторов на дорожке, как эту информацию сообщает контроллер.
Здесь же можно узнать, сколько всего секторов на диске. Запишите эту информацию на бумажку и положите ее рядом с собой.
Теперь снова дайте команду Object → Drive (Объект → Диск), но теперь выберите «нормальный» жесткий диск (который, как мы договорились, имеется на этом же компьютере). Под запись Master Boot Record всегда выделяется самая первая дорожка диска, независимо от ее размера. Реально она занимает один или несколько секторов. Так, при использовании программы fdisk это ровно один сектор.
Проверить, сколько секторов надо копировать, легко. Каждый «занятый» сектор заканчивается «подписью»: последние два байта имеют вид 55 АА. Все сектора, имеющие такую подпись, надо скопировать. Чтобы выделить данные сектора, установите курсор в начало сектора и дайте команду Edit → Mark (Правка → Выделить). Далее используйте курсорные клавиши, чтобы выделить весь сектор. После того как сектор выделен, дайте команду Edit → Сору (Правка → Копировать), и данные будут помещены во внутренний буфер обмена.
Теперь снова переключитесь на восстанавливаемый жесткий диск, установите курсор в начало соответствующего сектора и дайте команду Edit → Paste Over (Правка → Вставить поверх). Как только курсор покинет пределы измененного сектора, программа diskedit автоматически предложит сохранить или отвергнуть изменения. Щелкните на кнопке Write (Записать) — рис. 17.11.
На некоторых компьютерах при попытке записи в системную область диска автоматически активизируется BIOS и выдается предупреждающее сообщение. Действуйте в соответствии с этим сообщением так, чтобы запись все-таки произошла.
Повторите указанную операцию столько раз, сколько секторов надо записать в область Master Boot Record. В принципе, программа diskedit позволяет копировать по несколько секторов за один раз, но выполнение копирования по одному сектору — это самый удобный и надежный вариант.
Теперь у нас имеется некая запись Master Boot Record, но информация в ней не соответствует данным восстанавливаемого жесткого диска. Так что теперь снова переключитесь на восстанавливаемый жесткий диск и убедитесь, что отображается его самый первый сектор: перейти туда можно с помощью команды Object → Physical Sector (Объект → Физический сектор). Дайте команду View → as Partition Table (Вид → как Таблица разделов).
Теперь можно уточнить данные о разделах жесткого диска, так как в данный момент они соответствуют тому диску, запись с которого мы скопировали. Если бы жесткий диск был разбит на несколько разделов, то эта операция оказалась бы намного сложнее, так как пришлось бы еще выяснять, где заканчивается один раздел и начинается следующий.
А сейчас все достаточно просто. В режиме таблицы разделов надо заполнить ровно одну строку, в которой должны быть значения, приведенные на рис. 17.12. Разумеется параметры должны соответствовать реальным характеристикам диска.
Теперь можно рассчитывать на то, что запись Master Boot Record приведена в рабочее состояние. Если попытаться загрузить Windows 9х, то диск уже должен быть найден, однако операционная система будет продолжать считать его неформатированным. Поэтому, вместо того чтобы производить этот эксперимент, мы займемся восстановлением записи Boot Record для единственного раздела нашего диска.
Общий принцип восстановления записи Boot Record такой же, как и в случае Master Boot Record. Сектора, относящиеся к этой записи, начинаются с начала второй дорожки жесткого диска (Цилиндр: 0, Сторона: 1, Сектор: 1). Они также имеют в конце уже знакомую нам шестнадцатеричную подпись 55 АА.
Копирование этих секторов производится точно так же, как это было описано выше. И точно так же, этого недостаточно, чтобы операционная система «правильно» распознала данные на диске. Дело в том, что для этого она должна знать, где начинается и заканчивается таблица FAT. А этого сейчас не знает никто, включая нас.
После того как запись Boot Record со второго диска скопирована, встаньте на первый сектор этой записи и дайте команду View → as Boot Record(32) (Вид → как Загрузочная запись 32). Наиболее важные поля здесь следующие:
• Sectors per cluster (Секторов на кластер). Для дисков объемом до 8 Мбайт это значение обычно составляет 8. Для более крупных дисков оно может оказаться больше (скорее всего, 16).
• Reserved sectors at beginning (Зарезервировано секторов в начале). Число секторов от начала записи Boot Record до первой таблицы FAT. Для современных дисков обычно 32.
• Big sectors per FAT (Секторов в таблице FAT). Число секторов в таблице FAT, ключевой параметр, который позволяет отыскать второй экземпляр таблицы FАТ и, соответственно, корневой каталог, идущий сразу после таблицы. Именно это значение нам и надо отыскать в первую очередь (рис. 17.13).
Итак, займемся определением размера таблицы FAT. Мы предполагаем, что определить точку начала первого экземпляра таблицы невозможно, так как эта область диска затерта. Сначала надо примерно прикинуть возможный размер. В формате FAT 32 на один сектор приходится 512/4=128 записей FAT, то есть кластеров. Грубо можно считать, что если на один кластер приходится восемь секторов, то на тысячу секторов данных приходится один сектор FAT. Иными словами, для того чтобы приблизительно оценить размер FAT, достаточно отбросить последние три цифрой в общем числе секторов. Реальный размер должен быть несколько меньше полученного числа. Если на большом диске размер кластера больше, это значение следует разделить на два.
К сожалению, приблизительное значение нас не устроит — нам требуется
найти точный номер сектора. Для этого следует воспользоваться средствами поиска. Дайте команду Tools → Find (Сервис → Найти). Откроется диалоговое окно Enter search text (Введите текст для поиска). Нажмите клавишу ТАВ, чтобы перейти в область ввода шестнадцатеричных кодов и введите следующую последовательность.
F8 FF ЕЕ OF FF FF FF 07
Именно так выглядят первые восемь байт таблицы ЕАТ32.
Крайне маловероятно, что такая последовательность байтов встретится где либо еще, кроме как в начале таблицы FAT, но все же следует помнить, что нам нужна не просто эта комбинация символов, а эта комбинация в самом начале сектора. Более того, номер соответствующего сектора (отображается в нижней части окна программы diskedit) должен быть довольно близок к, вычисленному нами значению. И все же, даже если это так, прежде чем действовать дальше, надо выполнить еще одну проверку.
Это лучше всего показать на примере. Предположим, что указанная выше строка найдена как первые байты сектора 3345, номер которого более-менее соответствует предварительным прикидкам. Тогда, чтобы определить размер таблицы FAT, из этого числа надо сначала вычесть размер записи Master Boot Record (одна дорожка — 63 сектора), а затем число секторов, зарезер вированных для записи Boot Record (как указано выше — 32). Итого получаем, что на таблицу FAT остается 3345 — 63 — 32 = 3250 секторов. 4
Если это верно, то вторая таблица FA T занимает столько же, сколько и первая, и, следовательно, корневой каталог должен начинаться с сектора с номером 3345 + 3250 = 6595. Желательно сразу же проверить содержимое этого сектора.
Найти его можно несколькими способами. Во-первых, можно потратить некоторое время и вычислить соответствующие значения цилиндра, стороны и сектора. Во-вторых, если известно имя хотя бы одного файла или папки, находящейся в корневом каталоге, то добраться до нужного сектора можно с помощью средств поиска. Например, для загрузочного диска вполне можно искать строку
MSDOS SYS
Обратите внимание на три пробела между именем и расширением файла, необходимые для соблюдения формата, используемого в каталоге.
Если же никаких предварительных данных нет, а заниматься вычислениями неохота, то проще всего действовать так. Дайте команду Object → Physical sector (Объект → Физический сектор), выберите начальный сектор диска (Цилиндр: 0, Сторона: 0, Сектор: 1), а в поле Number of sectors (Число секторов) укажите число, чуть превосходящее найденный номер. Например, в условиях, определенных выше, это может быть число 6600. Затем нажмите клавишу END и двигайтесь вверх с помощью клавиши РАСЕ UP. При этом удается очень быстро достигнуть нужного сектора и проверить, похоже ли его содержимое на корневой каталог. Если имеются сомнения, дайте команду View → as Directory (Вид → как Каталог).
Если вы точно следовали указаниям, то «предположение» должно было подтвердиться. Вернитесь в первый сектор области Boot Record и снова дайте команду View → as Boot Record(32) (Вид → как Загрузочная запись 32). В поле Big sectors per FAT (Секторов в таблице FAT) введите вычисленный размер в секторах таблицы FAT. Теперь жесткий диск вроде бы достиг «немного попорченного» состояния, в котором неверна только первая таблица FAT.
Если сохранился исправный загрузочный жесткий диск, теперь можно полностью загрузить операционную систему Windows и закончить восстановление диска из нее. Если такого диска нет, следует воспользоваться DOS-версией программы Norton Disk Doctor — ndd.ехе. Этот файл должен быть скопирован на тот же гибкий диск, что и программа diskedit.
Проверка диска этой программой выполняется примерно так же, как уже описанными средствами Windows. Однако, так как мы точно знаем, что таблица FAT у нас повреждена, программа неизбежно внесет на диск определенные исправления. Обязательно создавайте файл отката, используя для этой цели второй жесткий диск. Если все наши действия не дадут ожидаемого результата, то, по крайней мере, сохранится возможность вернуть диск в прежнее состояние и поискать другие способы решения проблемы.
Если мы не ошиблись в определении причины неисправности, то после такой проверки диска и исправления найденных ошибок вся исчезнувшая информация должна появиться как по волшебству. Если перед вами знакомые каталоги и файлы, то сейчас самое время заняться тем, что скопировать, самые ценные из восстановленных файлов на другой жесткий диск и только после этого убедиться, что копия содержит именно ту информацию, какая требовалась.
17.3. Считывание информации с дефектных гибких дисков
Объемы данных, которыми оперируют компьютерные программы, все растут, а средства передачи этих данных между компьютерами, которые не соединены между собой непосредственно, еще не достигли аналогичного уровня. Тот, кто работает с однотипными данными в разных местах, очень часто до сих пор вынужден использовать для их переноса гибкие диски. Действительно, связь по модемным линиям не удовлетворяет по критериям скорости и надежности, устройства типа ZIP-дисководов до сих пор распространены не очень широко, а переносить жесткие диски в устройствах типа mobile rack тоже отважится не всякий.
А если эти пути закрыт, то в качестве единственной возможности остаются старые добрые гибкие диски, диаметром 3,5 дюйма и объемом в 1,44 Мбайт. Но и здесь не все так хорошо, как хотелось бы.
Действительно, для переноса больших объемов данных приходится использовать комплекты из нескольких гибких дисков. Но гибкие диски не являются абсолютно надежными носителями, и всегда имеется опасность «не довезти» данные в целости. При этом, если использовалась архивация или средства «нарезки» длинных файлов, то сбой на одном гибком диске делает бесполезным весь архив.
Как же быть? Первый совет заключается в том, чтобы следить за качеством самих гибких дисков. При возникновении малейших сомнений диск следует переформатировать.
Если программа форматирования отбраковала ряд секторов как «плохие», следует сразу же отправить этот диск в помойку. Если диск не дал сбоев при форматировании (даже если в прошлом за ним уже замечено «ненадлежащее поведение»), можно рассчитывать, что он еще какое-то время послужит.
Далее, не рекомендуется возить диски «россыпью», в портфеле или в кармане. Как минимум, положите их в полиэтиленовый пакет, а лучше заверните в фольгу. Фольга предохранит диски не только от пыли и грязи, но и в какой-то степени, от электромагнитных полей.
Не заворачивайте диски в бумагу, которая сама является источником мелких пылевых частиц.
Ну и, наконец, самое главное. Ни в коем случае нельзя рассчитывать на то, что единственный экземпляр гибкого диска с данными прочитается успешно. Две копии представляют необходимый минимум, а если объем данных невелик, то можно не экономить и сформировать еще одну копию.
Но мы будем исходить из того, что файлы (архивы) у нас большие, и везти больше двух копий неудобно. Более того, будем предполагать, что нам пришлось заняться «нарезкой», разбивая большой файл на фрагменты, помещающиеся на отдельный гибкий диск. Такую нарезку обеспечивает архиватор arj.ехе, позволяющий «заготовить» элементы архива на жестком диске и только потом скопировать их на дискеты. Нарезку на дискеты файла большого размера обеспечивает, например, файловый менеджер Windows Commander.
И здесь можно заметить еще один положительный эффект от совета немедленно выбрасывать неполные гибкие диски и не применять их для переноса файлов. Если все гибкие диски имеют одинаковую полную вместимость, то диски из двух наборов (копий) абсолютно взаимозаменяемы. Иными словами, если в первой копии не читается диск номер 2, а во второй — диск номер 4, это не помешает успешно выполнить перенос данных.
Но, к сожалению, возможные неприятности этим также не ограничиваются. Нельзя пренебречь вероятностью, что при попытке копирования дадут сбои одинаковые диски из двух комплектов. Впрочем, и в этом случае необязательно ехать за еще одной копией данных, если под руками есть программа diskedit.exe.
Дело в том, что сбой обычно дают всего один два сектора в области данных диска. При этом весьма маловероятно, чтобы сбойные сектора совпали на двух экземплярах данных (если такое все-таки случилось, то ничего не поделаешь, придется все-таки копировать файлы еще раз). А это значит, что все необходимые данные у нас есть, и трудности связаны только с тем, чтобы получить их.
Далее, так как гибкий диск еще совсем недавно (при записи файлов) был совершенно нормальным, он, скорее всего, сбоит «совсем чуть-чуть». Это означает, что велика вероятность того, что можно успешно записать данные «поверх» сбойного сектора и их затем можно будет прочесть. Это приводит к следующему «алгоритму» исправления ошибок.
1. Локализуем сбойный сектор (сектора).
2. Находим эквивалентный сектор на диске-копии.
3. Копируем этот сектор на сбойный диск.
4. Пытаемся еще раз выполнить чтение диска данных.
Чтобы грубо локализовать сбойный сектор, достаточно при выполнении
копирования использовать программу — файловый менеджер. Большинство таких программ в ходе копирования отображают бегущую полосу и процент выполнения работы. Процент, соответствующий моменту прерывания процесса копирования, указывает, насколько отступает место сбоя от начала файла.
Если такие средства отсутствуют, можно воспользоваться программой Проверка диска. Выберите дисковод А: и включите режим полной проверки. Программа определит номера кластеров, содержащих ошибку.
Ни в коем случае не используйте режим автоматического исправления ошибки! В этом случае можно утратить возможность восстановления данных. Для всех ошибок записывайте номер кластера и выбирайте вариант Игнорировать ошибку и продолжить.
Для грубой локализации местоположения ошибки, полезно знать, что всего на гибком диске 3,5 дюйма 80 дорожек, пронумерованных от 0 до 79, а номер сектора соответствует номеру кластера с поправкой на служебную область диска.
То есть, если до сбоя файл был скопирован на 80%, значит, сбойный сектор находится где-то в районе 63 — 64 дорожки, а если ошибка обнаружена в кластере 358, значит нам надо искать ее в районе 400 сектора.
Далее надо перезагрузить компьютер в режиме MS-DOS и запустить программу diskedit.ехе. Отмените режим Read only (Только чтение), если соответствующая конфигурация не была сохранена. Дайте команду Object → Drive (Объект → Диск), установите переключатель Physical drives (Физические диски) и выберите дисковод Floppy Drive А: (Дисковод гибких дисков А:).
Далее нам надо уточнить номер сбойного сектора. Для этого дайте команду Object → Physical Sector (Объект → Физический сектор) и постарайтесь указать номер цилиндра, расположенного недалеко перед областью сбоя. Далее зажмите клавишу РАGЕ DOWN, чтобы программа начала автоматически «пролистывать» диск дальше.
По идее, довольно скоро программа выдаст диагностическое сообщение об ошибке при чтении сектора. Щелкните на кнопке Abort (Прервать), чтобы отказаться от дальнейших попыток его чтения. Запишите адрес этого сектора (цилиндр — сторона — сектор), а также содержимое байтов, которыми заканчивается предыдущий сектор (для страховки).
Теперь смените диск в дисководе на соответствующий диск другого набора данных, дайте команду Object → Physical sector (Объект → Физический сектор) и укажите там адрес предыдущего сектора (на дорожке гибкого диска 18 секторов, а сторон всего две). Убедитесь, что предыдущий сектор заканчивается именно теми байтами, которые записаны, после чего скопируйте сектор на сбойный диск уже известным нам способом.
Повторите эту операцию для всех сбойных секторов, после чего сразу же попытайтесь выполнить копирование. Если число сбойных секторов невелико (а при «нормальном» гибком диске дело именно так и обстоит), то шансы на то, что данные с этого диска скопируются, достаточно велики. В крайнем случае, остается возможность выполнить эту же операцию в обратном порядке, то есть, попытаться «оживить» второй из дисков.