Det har hänt oss alla. Du har felaktigt raderat en fil eller mapp och tömde papperskorgen. Eller kanske Windows vägrade att starta, och när du kopplade hårddisken till en annan dator kunde du inte läsa dina data. Kommer du någonsin att få dina data tillbaka? Denna artikel kommer att fokusera på att förstå begreppen bakom filåterställning på en dator.

Hårddiskstruktur

h

Först av, låt oss gå igenom den logiska strukturen på en hårddisk. En hårddisk består vanligen av en startsektor, index och data. Bootsektorn är placerad i början av enheten och används normalt för att starta operativsystemet och innehåller detaljer om enhetens partitioner. Indexet innehåller information om de filer och mappar som finns på enheten - i fallet med ett Windows-baserat system, det skulle vara MFT eller Master Fat Table. Datasektionen i enheten innehåller de faktiska filerna och deras innehåll.

Raderade filer

Vad händer när du tar bort en fil och töm papperskorgen? Har det gått bra? Innehållet bortskaffas inte permanent. Indexposten som riktar användaren till filen är markerad som borttagen och filens innehållsområde är markerat som tillgänglig för att skrivas över eller användas i framtiden. Det betyder att de fysiska dataen fortfarande finns kvar tills den har skrivits över av en annan fil. Om du hoppas att återställa filer ska du därför bara försöka återhämta sig genom att stänga av datorn och ansluta hårddisken till en annan dator. Annars kan all aktivitet som du utför på enheten faktiskt överskriva data för dina raderade filer.

Datakorruption

När det gäller datakorruption finns det många möjliga orsaker. Förlusten av ström vid ett oupphörligt ögonblick eller en slumpmässig datorkrasch / omstart kan korrumpera ett segment av en fil, filsystemet i större eller MFT-format. På samma sätt som scenen för raderade filer borde du stänga av systemet och försöka återhämta sig på en andra dator.

Processen med filåterställning

Med tanke på antingen scenario - raderade filer eller data korruption, finns det en väldigt bra chans att återställa data. Succesfrekvensen för att göra det beror på hur länge sedan filerna raderades eller korruptionen inträffade och hur mycket användningen datorn har haft sedan den tidpunkten.

Det finns ett större antal tillgängliga program som kan underlätta dataåterställning. I min erfarenhet har TestDisk arbetat mycket bra.

Återställning av raderade filer

De flesta dataåterställningsapplikationer har någon form av snabbsökning. Detta brukar vanligtvis endast användas för borttagna filer och kräver att den logiska enheten är synlig av operativsystemet - det vill säga att partitionen inte är korrumperad, monterad korrekt, och du kan faktiskt bläddra i enheten i explorer. En snabbsökning kommer att skanna filtabellen (MFT som diskuterats tidigare) och leta efter filer som har markerats som raderade.

Filtabellen dikterar placeringen av filerna på enheten och möjliggör därmed återhämtningen. Men om det utrymme som de bor i på enheten har skrivits över, kommer återhämtningen inte att fungera som du hade hoppats och du kommer att få en fil full av skräp. De flesta dataåterställningsapplikationer har en inbyggd filförhandsgranskare som låter dig ta en smygstopp vid filinnehållet. Det kan dock inte vara mycket användbart om du inte vet vad du letar efter - enkla textfiler är lätta att förstå, och Word-dokument har vanligtvis innehållet som klartext någonstans inom en förvrängd röra av hex, men andra medier filer blir svårare. Som du kan se är batchfilen nedan klart i gott skick:

En annan komplikation med borttagen filåterställning är att filens ursprungliga placering inte alltid är känd. Du kan behöva gå trawling genom en slumpmässig lista med slumpmässigt namngivna kataloger för att hitta de filer du vill återställa. Detta beror på att filtabellen inte längre kan kopplas till filens kataloginformation. Som du kan se i bilden nedan, består kataloglistan till vänster av slumpmässiga tecken. Filnamnen själva måste dock fortfarande vara intakta och din dataåterställningsapplikation ska ha ett sökalternativ tillgängligt för att göra uppgiften att lokalisera filerna lättare.

När du väl har bestämt vilka filer som ska återställas, bör din dataåterställningsapplikation vara det sista steget. Kom bara ihåg att välja en destinationsdrivning som inte är densamma som den enhet du återhämtar från. Annars riskerar du att dataåterställningsprocessen skriver över de filer du försöker återställa!

Korrupta dataåterställning

Detta scenario är lite mer komplicerat. Olika aspekter av filsystemet kan vara skadade - filtabellen, ett segment av data eller många andra permutationer, inklusive vid formaterad återhämtning av drivrutiner. I vissa scenarier kan dataåterställningsprogrammet läsa segment av din MFT för att hitta en betydande del av filer. Det kan också finnas en spegel från MFT så att dataåtervinningsprogrammet kan kombinera både spegeln och den normala kopian för att hitta alla dina data.

Om den "snabbare" versionen av skadad dataåterställning misslyckas, är fallback-tillvägagångssättet att skanna rådata för underskrifter av specifika filtyper som du vill återställa. Filer som jpeg, MS Word-dokument och Excel-filer har en specifik "signatur" - vanligtvis en liknande början och slutar till en fil som definierar deras filtyp. Så programmet för återställning av data skulle skanna enheten för dessa strängar för att hitta borttappade filer.

Denna process är dock ingenstans nära perfekt - huvudproblemet är att det ibland är svårt att dechiffrera var en viss fil kan sluta vilket kan leda till att flera filer grupperas i vissa fall. Programvaran kan inte räkna ut detta med den begränsade informationen som finns och gör sålunda ett beräknat beslut. En annan begränsning med den här metoden är att filer som inte lagras i sammanhängande utrymme (fragmenterade filer) inte kommer att återställas på rätt sätt, eftersom återställningsprogramvaran inte känner till filens fragmenterade platser utan en filtabell. Den sista frågan med detta tillvägagångssätt, som illustreras i bilden nedan, är att det kan vara en långsam process. (återhämtningen som visas nedan är faktiskt på en fysiskt skadad enhet, en vanlig råsökning skulle ta några timmar, inte 3 veckor!)

Slutord

Det är viktigt att notera att chanserna att återställa filen beror på hur länge den har tagits bort / raderas / formaterats från hårddisken. Om filen till exempel bara raderades för bara en timme sedan borde den fortfarande vara relativt intakt och inte skrivas över av systemet. Tyvärr, om filen raderades några veckor till månader i förväg, blir risken att återhämta filen avsevärt reducerad. För att få den bästa chansen att återställa, rekommenderar vi att användaren upphör att spara nya filer (liksom att utföra andra åtgärder) på sin dator och omedelbart börja försöka återställa de nödvändiga filerna.

Bildkrediter: Broken Hdd Data Loss av BigStockPhoto