Nó đã xảy ra với tất cả chúng ta. Bạn đã xóa nhầm một tệp hoặc thư mục và dọn sạch thùng rác. Hoặc có thể Windows từ chối khởi động, và khi bạn kết nối ổ cứng của mình với một PC khác, bạn không thể đọc được dữ liệu của mình. Bạn có bao giờ lấy lại dữ liệu của mình không? Bài viết này sẽ tập trung vào việc hiểu các khái niệm đằng sau việc khôi phục tập tin trên PC.

Cấu trúc ổ cứng

h

Trước hết, chúng ta hãy đi qua cấu trúc logic của một ổ cứng. Thông thường, một ổ đĩa cứng bao gồm một khu vực khởi động, chỉ số và dữ liệu. Khu vực khởi động nằm ở đầu ổ đĩa và thường được sử dụng để khởi động hệ điều hành và bao gồm các chi tiết về phân vùng của ổ đĩa. Chỉ mục chứa thông tin về các tệp và thư mục tồn tại trên ổ đĩa - trong trường hợp hệ thống dựa trên Windows, đó sẽ là Bảng MFT hoặc Bảng Chất béo Chính. Phần dữ liệu của ổ đĩa chứa các tập tin thực tế và nội dung của chúng.

Tệp đã xóa

Điều gì xảy ra khi bạn xóa một tệp và làm trống Thùng rác? Nó có ổn không? Các nội dung không thực sự được xử lý vĩnh viễn. Mục nhập chỉ mục hướng người dùng đến tệp được đánh dấu là đã xóa và khu vực nội dung của tệp được đánh dấu là có sẵn để được ghi đè hoặc sử dụng trong tương lai. Điều này có nghĩa rằng các dữ liệu vật lý vẫn còn xung quanh cho đến khi nó đã bị ghi đè bởi một tập tin khác. Vì vậy, nếu bạn hy vọng khôi phục tập tin, bạn chỉ nên cố gắng phục hồi bằng cách tắt máy tính của bạn và kết nối ổ cứng của bạn với một máy tính khác. Nếu không, bất kỳ hoạt động nào bạn thực hiện trên ổ đĩa có thể thực sự ghi đè lên dữ liệu của các tệp đã xóa của bạn.

Tham nhũng dữ liệu

Trong trường hợp hỏng dữ liệu, có nhiều nguyên nhân có thể xảy ra. Việc mất điện tại một thời điểm không thích hợp hoặc một sự cố máy tính ngẫu nhiên / khởi động lại có thể làm hỏng một phân đoạn của một tập tin, hệ thống tập tin rộng hơn, hoặc bản thân MFT. Tương tự như kịch bản tệp đã xóa, bạn nên tắt hệ thống và thử khôi phục trên máy tính thứ hai.

Quá trình khôi phục tập tin

Xem xét một trong hai kịch bản - các tập tin bị xóa hoặc tham nhũng dữ liệu, có một cơ hội đáng kể phục hồi dữ liệu. Tỷ lệ thành công của việc làm như vậy phần nào phụ thuộc vào bao lâu trước các tập tin đã bị xóa hoặc tham nhũng xảy ra và bao nhiêu sử dụng máy tính đã có kể từ thời điểm đó trong thời gian.

Có một số lượng lớn các chương trình có sẵn có thể tạo điều kiện phục hồi dữ liệu. Theo kinh nghiệm của tôi, TestDisk đã hoạt động rất tốt.

Đã xóa khôi phục tệp

Hầu hết các ứng dụng khôi phục dữ liệu đều có một số tính năng quét nhanh. Điều này thường chỉ được sử dụng cho các tệp đã xóa và yêu cầu ổ đĩa logic có thể nhìn thấy được bởi hệ điều hành - tức là phân vùng không bị hỏng, được gắn chính xác và bạn thực sự có thể duyệt ổ đĩa trong trình khám phá. Quét nhanh sẽ quét bảng tệp (MFT như đã thảo luận trước đó) và tìm các tệp đã được đánh dấu là đã xóa.

Bảng tập tin sẽ quyết định vị trí của các tập tin trên ổ đĩa và do đó cho phép phục hồi của chúng. Tuy nhiên, nếu không gian mà họ cư trú trên ổ đĩa đã bị ghi đè thì sự phục hồi sẽ không hoạt động như bạn đã hy vọng và bạn sẽ nhận được một tệp đầy rác. Hầu hết các ứng dụng khôi phục dữ liệu đều có trình xem trước tệp được tích hợp sẵn cho phép bạn tận dụng tối đa nội dung tệp. Tuy nhiên, điều này có thể không hữu ích nếu bạn không biết những gì bạn đang tìm kiếm - các tệp văn bản thuần túy dễ hiểu và Word Documents thường có nội dung của chúng dưới dạng văn bản rõ ràng ở đâu đó trong một đống lộn xộn của hex, nhưng các phương tiện khác các tệp sẽ khó khăn hơn. Như bạn có thể thấy, tệp lô dưới đây rõ ràng là trong tình trạng tốt:

Một biến chứng khác của việc khôi phục tập tin bị xóa là vị trí ban đầu của tập tin không phải lúc nào cũng được biết đến. Bạn có thể cần phải tìm kiếm thông qua danh sách ngẫu nhiên các thư mục được đặt tên ngẫu nhiên để tìm các tệp bạn muốn khôi phục. Điều này là do bảng tệp có thể không còn được liên kết với thông tin vị trí thư mục của tệp nữa. Như bạn có thể thấy trong hình bên dưới, danh sách thư mục ở bên trái được tạo thành từ các ký tự ngẫu nhiên. Tuy nhiên, tên tập tin vẫn nên được giữ nguyên, và ứng dụng khôi phục dữ liệu của bạn sẽ có một tùy chọn tìm kiếm có sẵn để thực hiện nhiệm vụ định vị các tệp dễ dàng hơn.

Một khi bạn đã xác định chắc chắn các tập tin sẽ được phục hồi, ứng dụng khôi phục dữ liệu của bạn sẽ là bước cuối cùng. Chỉ cần nhớ chọn ổ đĩa đích không giống với ổ đĩa bạn đang khôi phục. Nếu không, bạn có nguy cơ quá trình phục hồi dữ liệu ghi trên các tập tin rất bạn đang cố gắng phục hồi!

Phục hồi dữ liệu bị hỏng

Kịch bản này phức tạp hơn một chút. Các khía cạnh khác nhau của hệ thống tệp có thể bị hỏng - bảng tệp, phân đoạn dữ liệu hoặc nhiều hoán vị khác, bao gồm cả trường hợp khôi phục ổ đĩa được định dạng. Trong một số trường hợp, ứng dụng khôi phục dữ liệu có thể đọc các phân đoạn của MFT của bạn để định vị một phần đáng kể các tệp. Cũng có thể có một tấm gương của MFT để ứng dụng khôi phục dữ liệu có thể kết hợp cả gương và bản sao bình thường để định vị tất cả dữ liệu của bạn.

Nếu phiên bản khôi phục dữ liệu bị hỏng nhanh hơn không thành công thì phương pháp dự phòng là quét dữ liệu ổ đĩa thô cho chữ ký của các loại tệp cụ thể mà bạn muốn khôi phục. Các tệp như jpegs, tài liệu MS Word và tệp Excel có chữ ký “cụ thể” - thường là bắt đầu tương tự và kết thúc với tệp xác định loại tệp của chúng. Vì vậy, ứng dụng khôi phục dữ liệu sẽ quét ổ đĩa cho các chuỗi này để định vị các tệp bị mất.

Tuy nhiên, quá trình này là hư không gần như hoàn hảo - vấn đề chính là đôi khi rất khó giải mã khi một tệp nhất định có thể kết thúc có thể khiến nhiều tệp kết hợp với nhau trong một số trường hợp. Phần mềm không thể tìm ra điều này với thông tin giới hạn sẵn có và do đó đưa ra quyết định được tính toán. Một hạn chế khác với phương thức này là các tệp không được lưu trữ trong không gian liền kề (các tệp phân mảnh) sẽ không được phục hồi đúng, vì phần mềm khôi phục không có kiến ​​thức về vị trí phân đoạn của tệp mà không có bảng tệp. Vấn đề cuối cùng với cách tiếp cận này, như minh họa trong hình dưới đây, là nó có thể là một quá trình chậm. (phục hồi hiển thị dưới đây thực sự là trên một ổ đĩa vật lý bị hư hỏng, một quét nguyên thường sẽ mất một vài giờ, không phải 3 tuần!)

Kết luận

Điều quan trọng cần lưu ý là cơ hội khôi phục tệp phụ thuộc vào thời gian tệp đã bị xóa / xóa / định dạng khỏi ổ cứng. Ví dụ: nếu tệp chỉ bị xóa chỉ một giờ trước thì tệp đó vẫn phải tương đối nguyên vẹn và không bị hệ thống ghi đè. Thật không may, nếu tập tin đã bị xóa một vài tuần đến vài tháng trước, cơ hội lấy lại tập tin có thể được giảm đáng kể. Để có cơ hội phục hồi tốt nhất, chúng tôi khuyên người dùng ngừng lưu các tệp mới (cũng như thực hiện bất kỳ tác vụ nào khác) trên máy tính của họ và ngay lập tức bắt đầu cố khôi phục các tệp cần thiết.

Tín dụng hình ảnh: Mất dữ liệu Hdd bị hỏng bởi BigStockPhoto