Chuyện này xảy ra với ai cũng có. Bạn xóa nhầm file/thư mục và dọn Recycle Bin. Hoặc Windows không boot, cắm ổ cứng sang máy khác không đọc được dữ liệu. Có bao giờ lấy lại dữ liệu? Bài này tập trung hiểu khái niệm khôi phục file trên PC.
Cấu Trúc Ổ Cứng
h
Trước hết, qua cấu trúc logic ổ cứng. Thông thường ổ cứng gồm Boot Sector, index và data. Boot Sector ở đầu ổ, dùng khởi động OS và chứa thông tin phân vùng. Index chứa thông tin file/thư mục tồn tại trên ổ - trên Windows là MFT (Master File Table). Phần data chứa file thực tế và nội dung.
File Đã Xóa
Xóa file và dọn Recycle Bin thì sao? Mất vĩnh viễn? Nội dung không thực sự bị xóa vĩnh viễn. Entry index trỏ đến file bị đánh dấu xóa, vùng nội dung file đánh dấu sẵn sàng ghi đè hoặc dùng sau. Nghĩa là dữ liệu vật lý vẫn còn cho đến khi bị ghi đè file khác. Do đó, muốn khôi phục file, chỉ nên thử bằng cách tắt máy và cắm ổ cứng sang máy khác. Hoạt động nào trên ổ cũng có thể ghi đè dữ liệu file đã xóa.
Hư Hỏng Dữ Liệu
Trường hợp hư hỏng dữ liệu, nhiều nguyên nhân có thể. Mất điện lúc không thích hợp hoặc crash/reboot ngẫu nhiên có thể hỏng đoạn file, hệ thống file rộng hơn, hoặc chính MFT. Tương tự trường hợp xóa file, nên tắt hệ thống và thử khôi phục trên máy thứ hai.
Quy Trình Khôi Phục File
Xét cả hai trường hợp - xóa file hoặc hư hỏng dữ liệu, cơ hội khôi phục dữ liệu khá cao. Tỷ lệ thành công phụ thuộc vào bao lâu file bị xóa/hư hỏng và mức độ sử dụng máy tính từ thời điểm đó.
Nhiều chương trình hỗ trợ khôi phục dữ liệu. Theo kinh nghiệm, TestDisk hoạt động cực tốt.
Khôi Phục File Đã Xóa
Hầu hết app khôi phục dữ liệu có tính năng quét nhanh (quick scan). Chỉ dùng cho file xóa và yêu cầu ổ logic hiển thị được bởi OS - nghĩa là phân vùng không hỏng, mount đúng, duyệt được ổ trong explorer. Quick scan quét bảng file (MFT) tìm file đánh dấu xóa.
Bảng file chỉ vị trí file trên ổ cho phép khôi phục. Tuy nhiên, nếu không gian chúng nằm trên ổ đã bị ghi đè, khôi phục không như mong đợi, nhận file toàn rác. Hầu hết app khôi phục có previewer xem trước nội dung file. Tuy nhiên, không hữu ích nếu không biết tìm gì - file text dễ hiểu, Word thường có nội dung cleartext giữa đống hex lộn xộn, file media khó hơn. Như ảnh dưới, file batch rõ ràng tốt:
Vấn đề khác: vị trí gốc file không luôn biết. Có thể phải lôi qua danh sách thư mục tên ngẫu nhiên tìm file muốn khôi phục. Vì bảng file không còn liên kết thông tin vị trí thư mục file. Như ảnh dưới, danh sách thư mục bên trái là ký tự ngẫu nhiên. Tên file nên vẫn nguyên vẹn, app khôi phục nên có tùy chọn tìm kiếm dễ dàng định vị file.
Khi xác định file cần khôi phục, app khôi phục là bước cuối. Nhớ chọn ổ đích khác ổ đang khôi phục. Nếu không, rủi ro quá trình khôi phục ghi đè lên file đang cố khôi phục!
Khôi Phục Dữ Liệu Hư Hỏng
Trường hợp này phức tạp hơn. Các khía cạnh hệ thống file có thể hỏng - bảng file, đoạn data hoặc hoán vị khác, kể cả khôi phục ổ đã format. Một số trường hợp, app đọc được đoạn MFT định vị phần lớn file. Có thể có bản sao MFT (mirror) để app kết hợp cả hai định vị toàn bộ dữ liệu.
Nếu cách "nhanh" khôi phục dữ liệu hỏng thất bại, phương án dự phòng: quét dữ liệu thô ổ cứng tìm chữ ký (signature) loại file muốn khôi phục. File như jpeg, Word, Excel có "chữ ký" đặc trưng - thường đầu và cuối file tương tự định dạng file type. App quét ổ tìm chuỗi này định vị file mất.
Tuy nhiên, quá trình này xa từ hoàn hảo - vấn đề chính: khó xác định file kết thúc đâu, gây gom nhiều file thành một. Phần mềm không giải quyết được với thông tin hạn chế, quyết định ước lượng. Hạn chế khác: file không lưu trong không gian liền mạch (file phân mảnh) không khôi phục đúng, vì phần mềm không biết vị trí đoạn file без bảng file. Vấn đề cuối, như ảnh dưới, quá trình chậm. (khôi phục dưới thực tế ổ hỏng vật lý, quét thô bình thường vài giờ, không 3 tuần!)
Lời Kết
Quan trọng: cơ hội khôi phục file phụ thuộc vào bao lâu file bị xóa/format khỏi ổ cứng. Ví dụ, file xóa mới 1 giờ thì vẫn khá nguyên vẹn, chưa bị ghi đè. Thật tiếc, nếu xóa vài tuần đến vài tháng, cơ hội giảm đáng kể. Để cơ hội cao nhất, khuyên ngừng lưu file mới (và mọi hành động khác) trên máy và ngay lập tức thử khôi phục file cần thiết.
Ảnh: Broken Hdd Data Loss by BigStockPhoto