故障现象
一块40GB的移动硬盘有三个NTFS格式的分区，在一次中病毒后，前两个分区使用正常但是最后一个分区却无法打开，提示为“驱动器N中的磁盘未被格式化，想现在格式化吗？”。由于该分区中有大量重要数据，所以我们必须把数据恢复出来。
故障分析
出现了上述问题后，可能用数据恢复软件（如EasyRecovery、Findata）扫描一下就可以解决，但这样做的话第一是耗时比较长，第二是扫描出来的文件有可能是损坏的。我们下面要介绍的就是比较快速且精确的方法——使用WinHex来恢复数据。（WinHex是X-ways软件公司的一款产品，它可以对微软的Windows、苹果的MAC、Linux的EXT2（3）等分区格式进行分析并修改，是一款功能十分强大的软件。）
解决故障
1．双击运行WinHex然后点击“工具”再选择“打开磁盘”。点击选择 “物理磁盘”中的故障盘，由于故障盘是移动硬盘所以我们选择“HD1:Generic USB Disk（37.3GB，USB）”。在打开后就可以看到故障盘中的分区信息了（如图1）。可以看到WinHex已经列出了该磁盘的三个分区信息。
2．点击右上方的黑色小箭头会出现一个分区表的下拉菜单，可以看到有故障的分区和上面的两个正常分区的提示是不一样的。故障分区提示为“分区3（13.8GB，？）”，为什么会出现“？”呢？这是因为该分区的启动扇区出错了导致WinHex无法正常识别。
那么我们该如何修复有故障的启动扇区呢？在NTFS分区中，启动扇区（也称引导扇区）有重要的配置参数：每簇扇区数、MFT起始位置、本分区总扇区数等。一旦启动扇区出错就会导致分区无法打开，那么数据我们当然是看不到的。由于启动扇区是如此重要，因此在每个分区的最后一个扇区系统都会做备份。下面我们就用备份启动扇区来修复损坏的启动扇区。
3．跳到该分区的最后一个扇区（如图2），将右下侧标记处的滑动条拉到最下方。因为每个分区中都有保留扇区，所以我们看到的这个扇区是保留扇区而不是我们想要的启动扇区，这也就是为什么看到该扇区全是“00”的原因。
由于NTFS分区的启动扇区最明显的标志就是“EB 52”，因此通过搜索它来定位是最快速的方法，点击工具栏中的“查找”图标，选中后会出现搜索条件选项界面（如图3）。我们在“下列的16进制数值将被搜索：”的对话框中输入启动扇区标志“EB52”，然后把 “搜索：”调整为“向上”，将“条件：偏移计算”设置为“512=0”。最后点击“确定”来搜索。很快就找到了备份的启动扇区所在的位置。
5．首先选中备份的启动扇区。把鼠标指针移到“EB 52”前面点击鼠标右键，在下拉菜单中选择“选块开始”，然后再移到右下角的“55 AA”后面点击右键，在下拉菜单中选择“选块结束”。然后点击“编辑”并选中“复制选块”中的“标准”（如图4）。
6．再次点击右上方的黑色小箭头并选中下拉菜单中的“启动扇区”。然后我们把鼠标移到该扇区左上方点击右键，在下拉菜单中选中“剪贴板数据”中的“写入”（如图5），这个操作的作用是用好的备份扇区覆盖损坏的启动扇区。最后点击工具栏中的存盘，这时WinHex会提示“此操作会损坏该磁盘的内容，是否继续”，我们点选继续就可以了。
经过上面的操作，启动扇区就修复好了，而且该分区的所有数据都完好无损。比起用数据恢复软件扫描，可能我们的过程比较繁琐，但是速度和精确度是比较高的。