1.2 数据恢复技术的层次与体系
从另一个角度来看，数据恢复技术的研究对象是存储系统，而存储系统是有体系、有层次的，因此，数据恢复技术的研究也是有体系、有层次的，如图1-2所示。
图1-2 存储系统的层次关系
1．网络层
通过网络技术可以实现远程备份。对数据恢复技术的学科体系来说，网络层的应用主要是远程同步与备份技术，以及通过高速网络实现数据备份。本层没有特别的恢复技术，只是在操作中应注意检查备份的有效性，并在出现问题时避免让损坏的数据破坏正常的数据。
2．网络存储层
网络存储层是一种基于独立系统的存储体系，是在传统的直接附加存储（DAS）基础上发展起来的智能存储系统。网络存储层一般都有自己的操作系统，因此可为各种平台应用提供统一的、兼容的数据服务，主要有存储区域网络（SAN）和网络附加存储（NAS）两种形式。
· DAS
DAS是“Direct Attached Storage”的缩写，译为“直接附加存储”。DAS将外置存储设备通过连接电缆直接连接到一台服务器上，如图1-3所示。
图1-3 直接附加存储（DAS）
采用DAS方案的服务器的结构如同PC的架构，外部数据存储设备采用SCSI技术或光纤通道（Fibre Channel, FC）技术直接挂接在内部总线上，数据存储是整个服务器结构的一部分，这种情况下常常是数据和操作系统都未分离。
DAS直连方式能够解决单台服务器的存储空间扩展与高性能传输需求。当前单台外置存储系统的容量已经发展到亿万字节（TB）级，随着大容量硬盘的推出，单台外置存储系统的容量还会上升。此外，DAS还可以构成基于磁盘阵列的双机高可用系统，以满足数据存储对高可用性的要求。
在这种存储系统体制下，如果因操作系统出现故障而导致存储系统不能读取数据，则往往只与操作系统直接相关。如果操作系统正常，而存储子系统不正常，可以通过对存储子系统的操作来恢复其可用性。
· NAS
NAS是“Network Attached Storage”的缩写，通常译为“网络附加存储”，其结构如图1-4所示。
图1-4 网络附加存储（NAS）
NAS作为网络附加存储设备，采用了信息技术中流行的嵌入式技术，使其具有无人值守、高度智能、性能稳定、功能专一等特点。NAS设备内置优化的独立存储操作系统，可以有效地释放系统总线资源，全力支持I/O存储。同时，NAS设备大都集成本地备份软件，可以不经过服务器而直接将NAS设备中的重要数据进行本地备份。而且，NAS设备提供硬盘RAID、冗余电源和风扇以及冗余控制器，可以保证NAS的稳定运行。
NAS设备主要用于实现不同操作系统下的文件共享，与传统的服务器或DAS存储设备相比，NAS设备的安装、调试、使用和管理非常简单。使用NAS设备可以节省一定的管理与维护费用。
NAS设备提供RJ-45接口和单独的IP地址，可以直接将其挂接在主干网的交换机或其他局域网的集线器（Hub）上，通过简单的设置（如设置机器的IP地址等），用户就可以在网络上“即插即用”地使用NAS设备，而且进行网络数据在线扩容时也无须停顿，从而保证了数据的流畅存储。
可见，NAS是一个独立的存储子系统，出现问题后，需要直接对其进行恢复操作。问题可能出在其自身系统上，也可能出在存储设备上。
· SAN
SAN是英文“Storage Area Network”的缩写，通常译为“存储区域网络”，其结构如图1-5所示。
图1-5 存储区域网络（SAN）
SAN采用了FC技术。FC是ANSI（American National Standards Institute，美国国家标准学会）为网络和通道I/O接口建立的一个标准集成，它支持多种高级协议，最大特性是将网络和设备的通信协议与物理传输介质隔离，这样，多种协议可在同一个物理连接上同时传送。宽带网络使用单I/O接口的结构特点，使系统的架设成本和复杂程度大大降低。FC支持多种拓扑结构，主要有点到点结构、仲裁环结构和交换式网络结构。
SAN是企业级存储解决方案。目前，企业级存储解决方案所遇到的两个问题分别是数据与应用系统紧密结合所产生的结构性限制以及小型计算机系统接口（Small Computer System Interface, SCSI）标准的限制。在SAN中，存储设备通过专用交换机连接到一群计算机上。该网络提供了多主机连接，允许任何服务器连接到任何存储阵列，让多主机访问存储器像主机间的互相访问一样方便。这样，不管数据存储在哪里，服务器都可直接存取所需的数据。
SAN和NAS最大的区别在于NAS有文件系统和管理系统，但SAN却没有这样的系统功能（其功能仅仅停留在文件管理的下一层，即数据管理）。SAN和NAS并不冲突，它们可以共存于一个系统网络中，但NAS能够通过一个公共接口实现空间管理和资源共享，而SAN只是为服务器存储数据提供了一个专门的快速后方通道。
随着NAS和SAN应用的发展，其数据恢复需求也越来越大。
3．磁盘阵列层
第二层的存储网络几乎都使用磁盘阵列作为基本的存储设备。在这个层次上，主要需要解决阵列散架、阵列卡损坏、磁盘掉线等故障。显然，要想成功恢复RAID数据，只对单个磁盘进行操作是没有太大意义的。根据不同的RAID类型，对可以保证数据完整性的最小数量的磁盘进行操作，并重建RAID，才能成功恢复RAID数据。
目前RAID主要通过两种方式实现：一种方式是硬RAID，由专门的控制器，也就是常说的RAID卡（有些RAID卡只有数据接口，没有RAID管理功能，效果与软RAID一样）来完成；另一种方式是软RAID，由软件方法来实现。
在过去，RAID一直是高端服务器才会使用的设备，通常与高档SCSI硬盘配合使用。SCSI RAID稳定性高、速度快，但SCSI硬盘和SCSI接口的RAID卡价格都很高。后来，随着技术的发展和产品成本的不断下降，IDE硬盘和SATA硬盘的性能也有了很大提升，加之RAID芯片的普及，使RAID技术也应用到了IDE硬盘和SATA硬盘上，有些主板还直接集成了RAID控制芯片，RAID也因此逐步在个人用户之中得到普及。
RAID的类型主要有RAID 0、RAID 1、RAID 2、RAID 3、RAID 4、RAID 5、RAID 6、RAID 7以及一些组合方式（如RAID 10等）。常用的RAID类型主要有RAID 0、RAID 1和RAID 5。对于RAID，在《数据恢复技术（第2版）》中已有详细介绍，这里不再重复。
4．磁盘层
无论上层采用什么方式，归根到底，存储系统都离不开基础存储设备——磁盘，尤其是硬盘。因此，硬盘这一级别是整个存储体系的基础。
硬盘是集磁、电、机械装置于一体的精密的智能化设备，在整个数据恢复技术体系中有着重要的地位和作用。同理，存储安全在整个信息安全体系中也有着重要的地位和作用。
磁盘级恢复通常指磁盘数据不能正常访问时的操作和处理，以硬盘为例，通常包括3个层次。第一个层次是硬盘数据的逻辑问题。这种问题比较容易解决，一般对上归入RAID级，对下归入文件系统级。第二个层次是硬盘访问的问题，即硬盘是否能够正常读写。显然，在这种情况下必须首先解决硬盘的正常访问问题，才能进一步恢复数据。这种问题通常由两种情况导致：一种情况是硬盘内部管理系统出现问题，可以通过专业的修复工具进行修复；另一种情况是硬件出现问题，如电机损坏、磁头损坏等，需要在专门的环境下修理。第三个层次是数据被覆盖，必须从存储机理上加以解决。
正逐步走向普通用户的SSD（Solid State Disk或Solid State Drive，固态硬盘）是使用闪存颗粒作为存储部件的新一代存储产品。既然称为“固态硬盘”，可见其数据管理沿用了传统硬盘的技术和方式。
5．文件系统层
当文件系统出现问题而导致数据不可得时，可以通过技术手段重建文件系统。如果只是分区表损坏，那么只要重建分区表，系统就能完全恢复到正常状态，所有的文件都可以正常访问，系统可以直接启动，常见的误分区、误格式化、病毒破坏、误删除等都属于本层的操作。本层与操作系统是紧密联系在一起的，不同的操作系统，不同的文件系统，其恢复手段与恢复效果都不一样。
6．文件层
文件层包含了多种情况。很多时候，文件系统损坏得比较严重，恢复的效果不是很理想。特别是除文本文件外，基本上各种类型的文档都有自己特定的格式，如果有损坏，就不能正常打开，这就需要我们对这些文件格式有所了解。例如，一个受损的Word文档，用Word程序是无法正常打开并显示其内容的，但它可能只是文件头部分损坏，里面大量的文字信息并没有丢失。在这种情况下，就可以通过技术手段，将文字信息提取出来，或者修复文件头，让Word程序能够正常读取该文件。再如，一段视频资料，如果部分损坏，将不能直接播放，但经过处理就可以播放没有损坏的部分，完全有可能重新获得需要的视频资料。还有就是判断文档的出处、加密与解密、信息隐藏等，都是文件层的工作。目前，全世界大约有3万多种文件格式在计算机中使用，所以，文件层是差别最大、应用最复杂、需要解决问题最多的一层，如果将系统本身的一些文件格式也计算在内，这一层的应用就更为复杂了，如NTFS文件系统的日志文件、数据库系统的各种文件、加密文件等中，都隐藏着大量的秘密。
7．覆盖恢复
在以前写有数据的地方写入新的数据，原有的数据就被覆盖了（详见第1.3节）。