Замовити
Raise Data Recovery UA Спеціальна пропозиція для
українських користувачів

Безкоштовна версія Raise Data Recovery UA
для домашнього користування!

Довідник

Все, що потрібно знати про відновлення даних з програмою Raise Data Recovery

Тип файлової системи та шанси на відновлення даних

Файлова система визначає спосіб розміщення, зберігання та опрацювання даних на цифровому носії. Оскільки файлова система відповідає за управління даними, певна річ, вона також визначає метод їх обробки у процесі та після їх видалення. Таким чином, шанси на успішне та повне відновлення даних істотно залежать від дій файлової системи.

Вірусні атаки та логічні збої роблять поведінку системи непередбачуваною: вона може видалити деякі файли користувачів або ж навіть відформатувати ціле сховище. З цієї причини, ми розбираємо два випадки втрати даних: видалення файлу та форматування накопичувача (за допомогою тієї ж файлової системи). Розгляньмо більш детально файлові системи Windows, такі як NTFS, FAT/FAT32 та exFAT; HFS+ та APFS операційної системи macOS та файлові системи ядра Linux, такі як Ext2, Ext3/Ext4, ReiserFS, XFS та JFS.

Тип файлової системи та шанси на відновлення даних

Файлові системи Windows

Файлова система NTFS

Деталі

Структура: заголовок файлової системи (завантажувальний запис), Головна таблиця файлів (Master File Table, або $MFT), простір для файлів:

NTFS: cтруктура

Структура NTFS

Файлова система NTFS використовує Головну таблицю файлів (MFT) . У цілому, MFT містить інформацію про всі файли та папки, в яких вони знаходяться. Ця інформація включає в себе, зокрема, місце розташування файлу, ім'я, розмір, дату і час його створення та останньої модифікації.

Якщо атрибути файлу занадто великі для того, щоб розмістити їх в одній комірці MFT, файлова система виділить комірку у файлі для зберігання списку його атрибутів.

Видалення файлу

Процедура: файлова система не видаляє запис про файл у MFT, а помічає його як невикористаний, а також позначає місце розташування файлу у MFT і та бітовій мапі як вільне. Система також видаляє запис про файл з директорії.

Відновлення: інформація про видалений файл (ім'я, розмір, розташування) залишається в MFT. Якщо запис MFT залишився незмінним, а дані на диску не перезаписано, то шанси на відновлення файлу досягають 100%. Втім, навіть якщо запис видалено, файл все ще можна знайти за його вмістом за допомогою методу RAW-відновлення (відновлення за вмістом диску, в обхід структур файлової системи).

Форматування

Процедура: файлова система витирає тільки початок MFT. Решта таблиці залишається незмінною.

Відновлення: перші 256 файлів втрачають свої посилання до таблиці MFT; таким чином, їх відновлення можливе лише за допомогою методу RAW-відновлення. Шанси на відновлення решти файлів сягають до 100%.

Файлова система FAT/FAT32

Деталі

Структура: заголовок файлової системи (2 заголовки для FAT32), Таблиці розміщення файлів (FAT), область даних.

FAT/FAT32: cтруктура

Структура FAT/FAT32

Файлова система FAT використовує Таблицю розміщення файлів, яка містить записи для кожного кластера на диску та посилання до місця розташування файлу. Вона також зберігає посилання на початковий, проміжні та кінцевий кластери файлу. Файлова система FAT не виконує дефрагментацію фрагментованих файлів. Через початкову будову FAT, для імені файлу відводиться 8 символів, а також 3 символи для його розширення. Тому файлова система зберігає довгі імена файлів окремо, використовуючи додаткову функцію під назвою LFN (Long filename – Довге ім'я файлу).

Видалення файлів/форматування

Процедура: файлова система видаляє всю інформацію, що міститься в Таблиці розміщення файлів, в тому числі посилання на проміжні та кінцевий кластери файлу. Втім, область, яка містить власне дані, не підлягає знищенню. Перший символ імені файлу видаляється в короткій формі, а у FAT 32 видаляється частина інформації про початковий кластер файлу.

Відновлення: початок файлу можна знайти, але інформацію щодо розташування проміжних та кінцевого кластерів можна лише припустити. З цієї причини, відновлення даних може бути неповним. Крім того, файлова система FAT не виконує дефрагментацію файлів, тому фрагментовані файли складно відновити навіть за допомогою методу RAW-відновлення. Інша складність полягає у тому, що імена файлів обмежені у довжині і можуть зберігатись окремо у іншій частині диску. Спроби відновити довгі імена файлів можуть не дати жодних результатів.

Файлова система exFAT

Деталі

Структура: заголовок файлової системи, Таблиця розміщення файлів (FAT), область даних.

exFAT: cтруктура

Структура exFAT

Як і її попередники, для керування файлами файлова система exFAT використовує Таблицю розміщення файлів. Ця таблиця містить записи для кожного кластера на диску та посилання до місця розташування файлів. В ній також знаходяться посилання на початок файлу, проміжні кластери та кінець файлу. Ця файлова система намагається запобігти фрагментації файлів. exFAT також не надає посилань на підкаталоги файлів.

Видалення файлів/форматування

Процедура: файлова система видаляє всю інформацію, що міститься в Таблиці розміщення файлів, в тому числі посилання на проміжні кластери файлу та його кінець. Втім, область, яка містить власне дані, не підлягає знищенню.

Відновлення: оскільки посилання на проміжні кластери файлу можуть бути втрачені, результат відновлення для файлів з розміром в кілька блоків може виявитись неповним. Шанси на успішне відновлення файлів у разі пошкодження каталогу також можуть бути низькими. У той же час, відновлення файлів за їх змістом (метод RAW-відновлення) може дати досить гарні результати внаслідок низької фрагментації файлів.

Файлові системи macOS

Файлова система HFS+

Деталі

Структура: заголовок файлової системи; журнал файлової системи; Файл каталогу, який містить файли з інформацією про інші файли (так звані жорсткі посилання).

HFS+: cтруктура

Структура HFS+

Файлова система HFS+ підтримує журналювання. Журнал файлової системи відстежує зміни у файловій системі. Журнал HFS+ обмежений у розмірі, при додаванні нової інформації вона кожного разу записується поверх старих записів у журналі. Таким чином, файлова система перезаписує старі дані, щоб звільнити журнал для розміщення інформації про останні модифікації у файловій системі.

HFS+ спрямована на дефрагментацію файлів. Файлова система ретельно шукає місце для збереження файлу та буквально склеює фрагменти файлу між собою. Однак, фрагментовані файли, що залишились, можуть спричинити труднощі при відновленні.

HFS+ підтримує жорсткі посилання, що зберігаються у вигляді окремих файлів у прихованому кореневому каталозі, який служить для зберігання інформації про користувацький файл. Кожен файл жорсткого посилання прив'язаний до власного користувацького файлу.

Видалення файлу

Процедура: файлова система видаляє жорстке посилання з каталогу. Втім, вона ще деякий час продовжує зберігати цю інформацію у записах журналу.

Відновлення: програма може звернутися до журналу, щоб знайти інформацію про попередній стан файлової системи та повернути втрачене жорстке посилання на місце. Шанси на відновлення даних значною мірою будуть залежати від того, як довго система використовувалась після видалення файлу. Однак, якщо запис у в журналі було знищено, можна також спробувати метод RAW-відновлення, який здатен забезпечити відмінні результати для нефрагментованих файлів.

Форматування

Процедура: файлова система видаляє каталог з жорсткими посиланнями, але журнал та дані на диску залишаються незмінними.

Відновлення: програма звертається до журналу файлової системи, щоб відновити з нього все, що можливо, або використовує метод RAW-відновлення (за вмістом файлу) для виявлення втрачених файлів. Шанси на відновлення фрагментованих файлів можуть бути низькими внаслідок видалення жорстких посилань.

Файлова система APFS

Видалення файлу

Процедура: файл складається з двох деревовидних структур: одне дерево містить власне дані, а друге дерево є віртуалізацією першого. Під час видалення знищується тільки перше дерево, однак у деяких випадках втрати даних обидва дерева зазнають ушкодження. У такому разі відновлення файлу стає неможливим.

Відновлення: проводиться аналіз попередніх версій першого дерева за допомогою другого дерева і, таким чином, відновлюється увесь файл.

Файлові системи Linux

Файлова система Ext2

Деталі

Структура: заголовок файлової системи; іноди; таблиця інодів.

Ext2: cтруктура

Структура Ext2

Файлова система Ext2 використовує іноди, які містять інформацію про файли. Ця інформація включає в себе користувачів і групи, режим доступу та розширення. Деякі іноди містять копію таблиці інодів.

Іноди не зберігають вміст файлів та їх імена, оскільки ця інформація міститься в директорії і не вважається метаданими з точки зору файлової системи.

Видалення файлу

Процедура: Ext2 позначає інод файлу як вільний та оновлює мапу вільних блоків. Запис імені файлу від'єднується від запису директорії. Посилання від імені файлу до іноду знищується. Коли всі посилання інодів на цей файл знищено, файл буде видалено.

Відновлення: оскільки дескриптори файлу залишаються в іноді, шанси повернути файл досить високі. Втім, імена файлів, що зберігаються в директорії та від'єднані від файлу, буде втрачено.

Форматування

Процедура: Ext2 витирає всі групи розміщення файлів та видаляє іноди файлів.

Відновлення: програма може застосовувати метод RAW-відновлення для пошуку файлів за їх вмістом. Шанси на відновлення залежать від фрагментації файлу: фрагментовані файлі викликають складності при відновленні.

Файлова система Ext3/Ext4

Деталі

Структура: заголовок файлової системи; іноди; таблиця інодів.

Ext3 і Ext4: cтруктура

Структура Ext3 та Ext4

Окрім інодів, реалізованих у Ext2, файлові системи Ext3 та Ext4 застосовують журналювання файлової системи. Журнал відстежує всі зміни у файловій системі. Ext4 відрізняється від Ext3 структурою посилань.

Видалення файлу

Процедура: файлова система робить запис до журналу і витирає запис іноду файлу. Запис каталогу повністю не видаляється, але порядок читання каталогу змінюється.

Відновлення: відновлення видалених файлів з їх іменами можливе завдяки журналу файлової системи. Втім, результат відновлення залежить від того, як довго файлова система працювала після видалення файлів.

Форматування

Процедура: знищуються всі групи розміщення, іноди файлів та навіть журнал. Журнал файлової системи все ще може містити інформацію про деякі з нещодавно створених файлів.

Відновлення: відновлення втрачених файлів можливе тільки за допомогою методу RAW-відновлення, який знаходить втрачені файли за їх вмістом. Фрагментовані файли мають низькі шанси на відновлення.

Файлова система ReiserFS

Деталі

Структура: Заголовок файлової системи, S+-дерево.

ReiserFS: cтруктура

Структура ReiserFS

Файлова система використовує S+-дерево, яке зберігає метадані файлів та містить дескриптори всіх файлів та файлових фрагментів. В процесі запису нових метаданих до дерева нове дерево, створене для нових даних, замінює старе. У той же час, його стара копія залишаються на диску. Таким чином, файлова система може зберігати багато копій метаданих. Такий підхід називають методом копіювання при записі (Copy-on-Write або COW).

Видалення файлу

Процедура: система оновлює S+-дерево, щоб виключити файл, і оновлює мапу вільного простору.

Відновлення: завдяки COW можна відновити всі файли разом з їхніми іменами. Крім того, також можна отримати попередню версію файлу зі старої копії S+-дерева.

Форматування

Процедура: файлова система записує нове S+-дерево поверх існуючого.

Відновлення: COW допомагає відновити попередній стан файлової системи, дозволяючи повністю відновити дані. Проте, шанси на повне відновлення втрачених файлів зменшуються, якщо розділ файлової системи був переповнений. В такому випадку, система перезаписує старі дані новими.

Файлова система XFS

Деталі

Структура: складні деревоподібні структури, іноди, бітові мапи

SGI XFS: cтруктура

Структура SGI XFS

Файлова система XFS використовує іноди для зберігання метаданих файлів та журналювання для відстеження змін у системі. В XFS журналюються тільки метадані Кожен інод має заголовок та бітову мапу. XFS зберігає іноди у спеціальному дереві у визначеному місці на диску. Система також має бітову мапу для вільних блоків сховища.

Видалення файлу

Процедура: інод, який відповідає за цей файл виключається з дерева; це місце перезаписується новими даними.

Відновлення: XFS зберігає метадані файлу, що робить можливим відновлення втрачених файлів. Шанси відновити видалений файл з коректним ім'ям є досить високими.

Форматування

Процедура: кореневі каталоги файлової системи перезаписуються.

Відновлення: шанси відновити файли, які не були розташовані на початку сховища, високі, на відміну від файлів, що зберігались близько до початку диска.

Файлова система JFS

Деталі

Структура: суперблок, B+-дерево, журнал, набори інодів файлів

JFS: cтруктура

Структура JFS

Файлова система JFS застосовує B+-дерево для зберігання даних, журналювання для відстеження змін у файловій системі та іноди для опису файлів. Система також здатна зберігати кілька файлових систем у одному розділі з посиланнями на один і той самий файл. Імена файлів можна зберігати у кодуваннях Unicode та UTF8.

Видалення файлу

Процедура: JFS оновлює лічильник використання об'єкта і звільняє його інод в мапі інодів. Каталог перебудовується таким чином, щоб відобразити зміни.

Відновлення: інод файлу залишається на диску, збільшуючи шанси на відновлення файлів до майже 100%. Ймовірність відновлення низька тільки для імен файлів.

Форматування

Процедура: JFS створює нове дерево. Спочатку воно невелике за розміром та розширюється при подальшому використанні файлової системи.

Відновлення: шанси відновити втрачені файли після форматування досить високі через невеликий розмір нового B+-дерева. Крім того, внутрішня нумерація інодів збільшує шанси на легке відновлення файлів після форматування.