Программные проблемы

Продолжим тему, начатую в предыдущей статье.

Под программными проблемами я подразумеваю те проблемы с файловой системой - когда физически диск исправен, и восстановление данных - вопрос анализа файловой системы и ее программного разбора.

Форматирование

Лидер нашего чарта - отформатированный раздел. Чаще всего данная проблема возникает при переустановке операционной системы.

Что при этом происходит? Операционная система записывает новые параметры раздела (если брать Windows, то эти параметры обычно используются по умолчанию) в boot-сектор (загрузочный сектор), а так же переписывает первые записи таблицы MFT.

Что содержится в таблице? Представьте себе книгу, где первые пункты оглавления (нашей таблицы MFT) - стандартные для любой книги разделы - само оглавление, о книге, об авторе, предисловие. По сути, смысловой нагрузки не несущие.

И представьте, что наши каталоги и файлы - разделы и главы, которые описаны в нашем оглавлении книги. Упрощенно, чтобы найти нужную главу (файл), нужно открыть оглавление, найти номер страницы и листать книгу до нужного места.

Если переносить данную схему на жесткий диск, само оглавление (кроме первых записей) тоже находится в середине книги и его расположение мы можем узнать только из первых записей.

Если же раздел отформатирован, номер страницы (кластера) оглавления потерян и мы не знаем, где оно находится.

В этом случае автоматизированными средствами выполняется поиск всех частей оглавления (файловой таблицы) и составляется виртуальный раздел. Чаще всего, если после форматирования раздел использовался не активно, восстанавливаются все данные.

Удаление

Касаемо файловой системы NTFS, удаленные файлы и папки - более сложная проблема по сравнению с форматированием.

Если представить, опять же, в виде книги, наш файл - глава. В оглавлении указаны страницы, где она находится, но не указан раздел (каталог). Каталог указан в оглавлении раздела (индексе).

При удалении файла запись удаляется из индекса, а в файловой таблице он помечается как удаленный - но не стирается совсем!

В итоге, все индексные записи перестраиваются и, зачастую, проблематично найти удаленный файл на положенном месте в дереве каталогов (но при том, что за счет оставшейся записи MFT он не пропадает совсем и его можно сохранить без дерева каталогов).

Таким образом, нам опять же нужно найти все записи MFT (в отличие от форматированного диска, тут расположение таблица заведомо известно), проанализировать удаленные данные и искать в дереве каталогов нужную нам информацию.

Сбой разделов

При сбое лидером является таблица размещения файлов, она же MFT. Незавершенная запись, или дефекты в районе ее размещения - и операционная система предлагает отформатировать накопитель, вместо отображения содержимого диска.

Здесь нет универсальных рецептов, и работы выполняются в зависимости от исходной проблемы - если это сбой электропитания, то сканируются исправные записи MFT. Если дефекты - информация вычитывается со всего диска, в первую очередь целые участки, только потом скрупулезно вычитываются поврежденные. После этого анализируется вычитанная информация и собирается виртуальный образ раздела.
Следующая статья серии.