Нередко приходится сталкиваться с ситуацией, когда пользователь случайно удалил нужные ему файлы с жесткого диска, USB flash диска или карты памяти. Это может быть просто операция удаления, логическое форматирование либо перезапись файла (директории). Что делать в таком случае?
Прежде всего, необходимо обесточить компьютер. Сразу, как только вы поняли, что случайно удалили необходимую информацию или отформатировали не тот раздел (диск). Причем обесточить не корректным выключением, через "Пуск -> завершение работы", а выдернув шнур питания, или щелкнув выключателем на БП. Почему надо выключить компьютер именно так?
Дело в том, что удалив файл (речь идет о простом удалении средствами Windows, без использования сторонних утилит) вы физически удаляете не его, а запись о файле в таблице размещения файлов. И место, занимаемое удаленным файлом либо директорией, система начинает считать свободным. И в любой момент может перезаписать на свободное с точки зрения ОС место чем-либо иным. В том числе и служебной информацией ОС. При обычном завершении работы, на диск сбрасываются буфера, завершаются транзакции и т.п. И выключая компьютер классическим способом есть риск сделать восстановление файла невозможным.
То же самое касается и процесса форматирования. При переформатировании и переразмечании логического пространства диска переписываются данные о размере раздела, кластера, местоположении таблицы размещения файлов. При том, что до перезаписи старые данные остаются на винчестере. И есть вероятность их успешного восстановления.
Если для удаления используются сторонние утилиты (например PGP), то помимо удаления записи о файле, перезаписывается и само место, где находился файл. Это действие носит название wipe или security erase. Восстановить данные после такого стирания практически невозможно. Методы, основанные на особенностях ОС и ФС есть, но тут ситуация из разряда "как повезёт" и шансы на успех невелики.
Для восстановления удаленных файлов, или данных с отформатированного раздела существует множество программ. Они хороши каждая по-своему, но имеют один общий недостаток - эти программы пасуют перед фрагментированными файлами.
Что такое фрагментированные файл? Представьте себе файл, разбитый на две равные части. Начало файла (его сигнатура) приходится на 1 000 LBA и длится до 2 000 LBA. А вторая часть лежит с 3 000 по 4 000 LBA. Информация о количестве частей и их месторасположении записана в таблице размещения фала. Если файл удален, эта запись сотрется. И восстановить фрагментированный файл программа автоматического восстановления уже не сможет. Поэтому в результате работы такой программы, если ваш диск имел сильную фрагментацию файлов, вы рискуете получить множество поврежденных данных.
Восстановление информации в таких случаях - задача весьма нетривиальная. Помимо специализированного ПО, необходимо затрать много времени и усилий на анализ дискового пространства, поиск сигнатур, релевантных фрагментов, попытки их склейки в одно целое.
Мною накоплен достаточно большой опыт в восстановлении удаленной информации с файловых систем различных типов. Если вы случайно удалили нужные данные или отформатировали диск, - обращайтесь. Попробую помочь.
В разделе новостей регулярно выкладываются статьи о текущих задачах по восстановлению удаленных данных, из которых вы можете почерпнуть дополнительную инфоромацию по этому вопросу.A. Makarov aka Robin from Sherwood
|