Особливості відновлення даних в залежності від операційної системи

Поняття файлової системи можна визначити як спосіб організації та вилучення даних на цифровому носії. Це основний інструмент, на який спирається операційна система для відстеження файлів. Різні операційні системи використовують різні файлові системи, які не тільки визначають спосіб управління інформацією на диску, але і впливають на шанси відновлення втрачених даних, оскільки кожна файлова система виконує власний ряд кроків при видаленні файлів або форматуванні сховища.

Підказка: Щоб дізнатися більше про файлові системи та їх типи, будь ласка, зверніться до основ файлових систем.

Наступна інформація допоможе Вам оцінити перспективи відновлення даних після випадкового видалення файлів та форматування в залежності від типу файлової системи, що застосовується на Вашому накопичувачі.

Підказка: Найбільш поширені випадки втрати даних, згадані в цій статті, описані у принципах відновлення даних.

Файлові системи Windows

До основних файлових систем Windows належать FAT (FAT32), exFAT та NTFS. Крім того, файлова система ReFS нового покоління використовується на деяких серверах під управлінням Windows. Слід зазначити, що успішне відновлення даних зі сховищ, що працюють на цих типах файлових систем, може ускладнюватись фрагментацією файлів і можливе тільки до тих пір, поки файли не будуть перезаписані.

Файлова система: FAT/FAT32

• Видалення файлу: Запис у каталозі позначається як "невикористаний". Кластери позначаються як "вільні", та знищується ланцюжок кластерів, що використовуються файлом.
  • Відновлення нефрагментованого файлу: Ім'я файлу, розмір і положення на диску залишаються у записі каталогу, що збільшує можливість відновлення файлу майже до 100%.
  • Відновлення фрагментованого файлу: Ланцюжок файлових кластерів руйнується, не залишаючи інформації про фрагменти файлу. Проте ім'я файлу, розмір та початкова позиція залишаються відомими. За допомогою евристики (методу проб і помилок) можливо передбачити місця розташування фрагментів, однак немає жодних гарантій щодо їх коректності.
• Форматування: Знищується таблиця розподілу файлів. Створюється нова коренева папка.
  • Відновлення нефрагментованого файлу: Ім'я файлу, розмір і положення на диску залишаються у записі каталогу, що збільшує ймовірність відновлення файлу майже до 100%.
  • Відновлення фрагментованого файлу: Ланцюжок файлових кластерів руйнується, не залишаючи інформації про фрагменти файлу. Проте ім'я файлу, розмір та початкова позиція залишаються відомими. За допомогою евристики (методу проб і помилок) можливо передбачити місця розташування фрагментів, однак немає жодних гарантій щодо їх коректності.

Файлова система: NTFS

• Видалення файлу: Запис у Головній файловій таблиці (MFT) позначається як "невикористаний". Карта зайнятого простору оновлюється для очищення використовуваних кластерів. Запис про файл видаляється із запису каталогу.
  • Відновлення файлу: Ім'я файлу, розмір і положення на диску залишаються у записі Головної файлової таблиці (MFT), що збільшує шанси на відновлення файлу майже до 100%.
• Форматування: Запис у Головній файловій таблиці (MFT) позначається як "невикористаний". Карта зайнятого простору оновлюється для звільнення використовуваних кластерів. Запис про файл видаляється із запису каталогу.
  • Відновлення нефрагментованого файлу: Ім'я файлу, розмір і положення на диску залишаються у записі Головної файлової таблиці (MFT), що збільшує шанси на відновлення файлу майже до 100%.
  • Відновлення фрагментованого файлу: Інформація про ім'я файлу, розмір і ланцюжок фрагментів залишається у записі Головної файлової таблиці (MFT), що збільшує шанси на відновлення файлу майже до 100%. Втім, ймовірність відновлення нижча для файлів із надто високим ступенем фрагментації.

Файлова система: ReFS

• Видалення файлу: Структура метаданих змінюється через операцію копіювання при записуванні (Copy-on-Write), а область позначається як вільна для нових записів.
  • Відновлення файлу: Система зберігає величезну кількість старих резервних копій, що робить можливим відновлення даних із ймовірністю до 100%.

Підказка: Якщо Вам потрібно відновити дані з файлових систем Windows, будь ласка, керуйтеся запропонованою інструкцією.

Файлові системи macOS

Apple macOS використовувала HFS+ як основну файлову систему для комп'ютерів Mac, плеєрів iPod тощо. Втім, у macOS High Sierra на заміну їй прийшла файлова система APFS.

Варто підкреслити, що відновлення даних із HFS+ та APFS можливе тільки до того моменту перезаписування файлів.

Файлова система: HFS+

• Видалення файлу: Файлова система стирає дані із записів метаданих B-дерева про файл та оновлює карту вільного простору.
  • Відновлення файлу: Ім'я файлу, розмір і положення на диску стираються; однак журнал файлової системи все ще може містити цю інформацію, що дозволяє відновити непошкоджені файли. Використання IntelliRAW™ збільшує шанси на відновлення втрачених даних, проте інформація про ім'я файлу може бути втрачена.

Файлова система: APFS

• Видалення файлу: Файлова система оптимізована для використання на твердотільних накопичувачах та застосовує команду TRIM для негайного очищення блоків, які містять видалений файл, що допомагає їй прискорити подальший запис.
  • Відновлення файлу: Як вже було сказано, відновлення перезаписаних (стертих) даних неможливе, тому використання TRIM вкрай негативно впливає на можливість відновлення файлів, видалених з APFS. Загалом, шанси отримати всі файли достатньо низькі.

Підказка: Якщо Вам потрібно відновити дані з файлових систем macOS, будь ласка, керуйтеся запропонованою інструкцією.

Файлові системи Linux

Сучасні дистрибутиви Linux використовують Ext2, Ext3, Ext4, XFS, ReiserFS, JFS (JFS2) та Btrfs.

Файлова система: XFS

• Видалення файлу: XFS стирає частину інформації про вузол файлу та оновлює дерево вільних блоків. Інформація про ім'я файлу від'єднується від запису каталогу.
  • Відновлення нефрагментованого файлу: використовуючи евристику, можна знайти ім'я та розмір файлу, а також положення, округлене до блоку. Шанси на відновлення близькі до 100%, в той час як шанси отримати справжнє ім'я файлу складають майже 80%.
  • Відновлення фрагментованого файлу: Ім'я файлу, його розмір і ланцюжок фрагментів можна відновити за допомогою евристики. Якщо дані файлу не пошкоджені, то ймовірність відновлення наближається до 100%. Шанси отримати реальне ім'я файлу становлять близько 80%.
• Форматування: XFS знищує карту використовуваних кластерів та створює новий кореневий каталог. Оновлюються також групи розподілу файлів.
  • Відновлення нефрагментованого файлу: Інформація про файли користувача залишається на диску. Шанси на відновлення досягають 100%, в той час як шанси отримати вихідне ім'я файлу становлять близько 95%.
  • Відновлення фрагментованого файлу: Ймовірність така сама, як і для нефрагментованих файлів.

Файлова система: Ext2

• Видалення файлу: Ext2 позначає вузол файлу як "вільний" та оновлює карту вільних блоків. Інформація про ім'я файлу від'єднується від запису каталогу. Посилання від імені файлу до вузла стирається.
  • Відновлення нефрагментованого файлу: Інформація про початок і розмір файлу може залишатися на диску. Аналіз вузлів може допомогти відновити непошкоджені файли. При цьому втрачається інформація про ім'я файлу.
  • Відновлення фрагментованого файлу: Шанси такі ж, як і для нефрагментованих файлів.
• Форматування: Всі групи розподілу, а також вузли файлу стираються.
  • Відновлення нефрагментованого файлу: Повне відновлення файлів можливе за допомогою евристики, однак без вихідних імен файлів.
  • Відновлення фрагментованого файлу: Відновлення непошкоджених файлів можливе тільки за допомогою евристики. Втім, справжні імена файлів будуть втрачені.

Файлова система: Ext3/Ext4

• Видалення файлів: Файлова система стирає вузол файлу та оновлює карту вільних блоків. Інформація про ім'я файлу від'єднується від запису каталогу, але залишається посилання на відповідний вузол.
  • Відновлення нефрагментованого файлу: Інформація про початок та розмір файлу знищується, але ще може залишатися в журналі файлової системи. Зв'язок між іменем файлу та його локацією на диску відсутній. Евристика та аналіз журналів дозволяють відновлювати файли, зберігаючи їх оригінальні імена.
  • Відновлення фрагментованого файлу: Як правило, інформація про перші 12 блоків файлу відсутня. Також не залишається жодних даних про ім'я та розмір файлу. Шанси на відновлення видалених файлів досить невеликі, проте інформація про останні видалені файли може залишатися в журналі файлової системи, збільшуючи шанси на відновлення файлу разом із вихідним іменем до 100%.
• Форматування: Всі групи розподілу, а також файлові вузли стираються. Залежно від драйвера журнал файлової системи може як і раніше містити інформацію про деякі нещодавно створені файли.
  • Відновлення нефрагментованого файлу: Відновлення непошкоджених файлів можливе лише шляхом застосування розширеної евристики та аналізу журналів; однак у більшості випадків вихідні імена файлів не вдається відновити.
  • Відновлення фрагментованого файлу: Тільки просунута евристика та аналіз журналів дозволяють повністю відновити файли, проте у більшості випадків втрачаються оригінальні імена файлів.

Файлова система: ReiserFS

• Видалення файлу: Система оновлює S+-дерево, щоб виключити файл, та оновлює карту вільного простору.
  • Відновлення нефрагментованого файлу: Вузол S+-дерева може залишатися на диску (копія у журналі файлової системи та стара копія, створена за допомогою копіювання при записі). У цьому випадку шанси на відновлення файлу складають до 100%.
  • Відновлення фрагментованого файлу: Ймовірність така сама, як і для нефрагментованих файлів.
• Форматування: Файлова система створює нове S+-дерево поверх існуючого.
  • Відновлення нефрагментованого файлу: Вузол S+-дерева може залишатися на диску (копія у журналі файлової системи та стара копія, створена за допомогою копіювання при записі). У цьому випадку ймовірність відновлення файлу наближається до 100%.
  • Відновлення фрагментованого файлу: Шанси такі ж, як і для нефрагментованих файлів.

Файлова система: JFS (JFS2)

• Видалення файлу: JFS оновлює лічильник використання об'єкта та індексних дескрипторів у карті використання індексних дескрипторів. Каталог перебудовується для відображення змін.
  • Відновлення нефрагментованого файлу: Індексний дескриптор файлу залишається на диску, збільшуючи шанси на відновлення файлів майже до 100%. Однак ім'я файлу навряд чи вдасться відновити.
  • Відновлення фрагментованого файлу: Ймовірність така сама, як і для нефрагментованих файлів.

Файлова система: Btrfs

• Видалення файлу: Оскільки файлова система базується на копіюванні при записуванні (Copy-on-Write), зміни до екстентів метаданих (вузлів B-дерева) та екстентів даних (вмісту файлу) вносяться до їх копій, створених у нових локаціях, а оригінальні залишаються на місці та позначаються як невикористані.
  • Відновлення файлу: На диску можна знайти як старі дані, так і метадані, які вказують на них, що дозволяє відновити дані до 100%. Втім, значна фрагментація може уповільнювати процес.

Підказка: Якщо Вам потрібно відновити дані з файлових систем Linux, будь ласка, керуйтеся запропонованою інструкцією.

Файлові системи BSD, Solaris, Unix

Ці операційні системи зазвичай використовують UFS, UFS2 та ZFS.

Файлова система: UFS/UFS2

• Видалення файлу: UFS очищає вузол файлу та оновлює карту вільних блоків. Інформація про ім'я файлу від'єднується від запису каталогу.
  • Відновлення нефрагментованого файлу: Інформація про початок та розмір файлу незворотно знищується. Зв'язок між іменем файлу та його локацією на диску відсутній. Евристичні методи дозволяють відновлювати непошкоджені файли, тип яких відомий. У той же час нефрагментовані файли у UFS зустрічаються рідко через специфіку її алгоритму Soft Updates.
  • Відновлення фрагментованого файлу: Інформація щодо перших 12 блоків файлу відсутня. Також не залишається жодних даних про ім'я та розмір файлу. Шанси відновити видалені файли досить невеликі, але це можливо.
• Форматування: Всі групи розподілу, а також файлові вузли стираються.
  • Відновлення нефрагментованого файлу: Повне відновлення файлів можливе за допомогою евристики, хоча справжні імена файлів втрачаються.
  • Відновлення фрагментованого файлу: Відновлення непошкоджених файлів можливе тільки за допомогою евристики. Однак в результатах бракуватиме оригінальних імен файлів.

Файлова система: ZFS

• Видалення файлу: Файлова система керує всіма модифікаціями за допомогою методу копіювання при записуванні (Copy-on-Write): створюється копія оригінального блоку та виділяється вільний простір для його зберігання. Після цього посилання на блок даних оновлюються, а uberblock замінюється новим uberblock.
  • Відновлення файлу: Залежно від використання файлової системи та наповненості пулу, старі копії можуть зберігатися досить довго, що дозволяє відновити файли з їхніми початковими іменами у майже 100% випадків. Однак, оскільки дані розкидані блоками динамічних розмірів по дисках пулу ZFS, відновлення можливе тільки за умови, що метадані пулу неушкоджені і їх можна прочитати для правильної побудови конфігурації сховища.

Підказка: Якщо Вам потрібно відновити дані з файлових систем Unix, Solaris або BSD, будь ласка, керуйтеся запропонованою інструкцією.

Кластерні файлові системи

SysDev Laboratories пропонує відновлення даних із кластерних файлових систем, таких як Apple XSAN (файлова система CentraVision, файлова система StorNext), Global File System (GFS) із Linux RedHat та Virtual Machine File System (VMFS) із серверів на базі VMware ESX. Якщо Вам потрібно відновити дані з будь-якої зі згаданих файлових систем, зв'яжіться з нашими спеціалістами для замовлення послуги дистанційного відновлення.

Останнє оновлення: 26 березня 2021