Nó đã xảy ra với tất cả chúng ta. Bạn đã xóa nhầm tệp hoặc thư mục và làm trống thùng rác. Hoặc có thể Windows từ chối khởi động và khi bạn kết nối ổ cứng với PC khác, bạn không thể đọc dữ liệu của mình. Bạn sẽ lấy lại được dữ liệu của mình chứ? Bài viết này sẽ tập trung vào việc tìm hiểu các khái niệm đằng sau quá trình khôi phục tệp trên PC.
Cấu trúc ổ cứng
h
Trước hết, hãy đi qua cấu trúc logic của ổ cứng. Thông thường, ổ cứng bao gồm Boot Sector, chỉ mục và dữ liệu. Boot Sector nằm ở đầu ổ đĩa và thường được sử dụng để khởi động hệ điều hành và bao gồm thông tin chi tiết về các phân vùng của ổ đĩa. Chỉ mục chứa thông tin về các tệp và thư mục tồn tại trên ổ đĩa - trong trường hợp là hệ thống chạy Windows, đó sẽ là MFT hoặc Master Fat Table. Phần dữ liệu của ổ chứa các tệp thực và nội dung của chúng.
Tệp đã xóa
Điều gì xảy ra khi bạn xóa một tệp và làm trống Thùng rác? Nó biến mất có tốt không? Nội dung không thực sự được xử lý vĩnh viễn. Mục nhập chỉ mục hướng người dùng đến tệp được đánh dấu là đã xóa và vùng nội dung của tệp được đánh dấu là có sẵn để ghi đè hoặc để sử dụng trong tương lai. Điều này có nghĩa là dữ liệu vật lý vẫn còn tồn tại cho đến khi nó bị ghi đè bởi một tệp khác. Do đó, nếu muốn khôi phục tệp, bạn chỉ nên thử khôi phục bằng cách tắt máy tính và kết nối ổ cứng với một máy tính khác. Nếu không, bất kỳ hoạt động nào bạn thực hiện trên ổ đĩa có thể thực sự ghi đè lên dữ liệu của các tệp đã xóa của bạn.
Dữ liệu bị hỏng
Trong trường hợp dữ liệu bị hỏng, có thể có nhiều nguyên nhân. Việc mất nguồn vào một thời điểm không thích hợp hoặc một sự cố / khởi động lại máy tính ngẫu nhiên có thể làm hỏng một phân đoạn của tệp, rộng hơn là hệ thống tệp hoặc chính MFT. Tương tự như trường hợp tệp đã bị xóa, bạn nên tắt hệ thống và thử khôi phục trên máy tính thứ hai.
Quá trình khôi phục tệp
Xem xét một trong hai trường hợp - tệp bị xóa hoặc dữ liệu bị hỏng, có một cơ hội tốt đáng kể để khôi phục dữ liệu. Tỷ lệ thành công khi làm như vậy phần nào phụ thuộc vào thời gian các tệp đã bị xóa hoặc lỗi đã xảy ra và mức độ sử dụng máy tính kể từ thời điểm đó.
Có một số lượng lớn các chương trình có sẵn có thể hỗ trợ khôi phục dữ liệu. Theo kinh nghiệm của tôi, TestDisk đã hoạt động cực kỳ hiệu quả.
Khôi phục tệp đã xóa
Hầu hết các ứng dụng khôi phục dữ liệu đều có một số loại tính năng quét nhanh. Điều này thường chỉ được sử dụng cho các tệp đã xóa và đòi hỏi hệ điều hành phải hiển thị ổ đĩa logic - tức là phân vùng không bị hỏng, được gắn kết một cách chính xác và bạn thực sự có thể duyệt qua ổ đĩa đó trong explorer. Quét nhanh sẽ quét bảng tệp (MFT như đã thảo luận trước đó) và tìm kiếm các tệp đã được đánh dấu là đã xóa.
Bảng tệp sẽ chỉ định vị trí của các tệp trên ổ đĩa và do đó cho phép khôi phục chúng. Tuy nhiên, nếu không gian mà chúng cư trú trên ổ đĩa đã bị ghi đè thì quá trình khôi phục sẽ không hoạt động như bạn mong đợi và bạn sẽ nhận được một tệp đầy rác. Hầu hết các ứng dụng khôi phục dữ liệu đều có trình xem trước tệp tích hợp cho phép bạn xem trước nội dung tệp. Tuy nhiên, điều này có thể không hữu ích lắm nếu bạn không biết mình đang tìm gì - các tệp văn bản thuần túy rất dễ hiểu và Tài liệu Word thường có nội dung của chúng dưới dạng văn bản rõ ràng ở đâu đó trong một mớ hỗn độn hex, nhưng các phương tiện khác các tập tin sẽ khó hơn. Như bạn có thể thấy, tệp lô dưới đây rõ ràng là ở tình trạng tốt:
Một sự phức tạp khác của việc khôi phục tệp đã xóa là vị trí ban đầu của (các) tệp không phải lúc nào cũng được biết. Bạn có thể cần duyệt qua một danh sách ngẫu nhiên các thư mục được đặt tên ngẫu nhiên để tìm các tệp bạn muốn khôi phục. Điều này là do bảng tệp có thể không còn được liên kết với thông tin vị trí thư mục của tệp. Như bạn có thể thấy trong hình dưới đây, danh sách thư mục bên trái được tạo thành từ các ký tự ngẫu nhiên. Tuy nhiên, bản thân các tên tệp vẫn phải nguyên vẹn và ứng dụng khôi phục dữ liệu của bạn phải có sẵn tùy chọn tìm kiếm để làm cho nhiệm vụ định vị tệp dễ dàng hơn.
Khi bạn đã xác định chắc chắn tệp nào sẽ được khôi phục, ứng dụng khôi phục dữ liệu của bạn sẽ là bước cuối cùng. Chỉ cần nhớ chọn một ổ đĩa đích không giống với ổ đĩa bạn đang khôi phục. Nếu không, bạn có nguy cơ quá trình khôi phục dữ liệu sẽ ghi đè lên chính các tệp mà bạn đang cố gắng khôi phục!
Khôi phục dữ liệu bị lỗi
Kịch bản này phức tạp hơn một chút. Các khía cạnh khác nhau của hệ thống tệp có thể bị hỏng - bảng tệp, một đoạn dữ liệu hoặc nhiều hoán vị khác, kể cả trong trường hợp khôi phục ổ đĩa đã được định dạng. Trong một số trường hợp, ứng dụng khôi phục dữ liệu có thể đọc các phân đoạn MFT của bạn để xác định vị trí một phần đáng kể của tệp. Cũng có thể có một bản sao của MFT để ứng dụng khôi phục dữ liệu có thể kết hợp cả bản sao và bản sao thông thường để định vị tất cả dữ liệu của bạn.
Nếu phiên bản khôi phục dữ liệu bị hỏng “nhanh hơn” không thành công, thì phương pháp dự phòng là quét dữ liệu ổ đĩa thô để tìm chữ ký của các loại tệp cụ thể mà bạn muốn khôi phục. Các tệp như jpegs, tài liệu MS Word và tệp Excel có một “chữ ký” cụ thể - thường là phần đầu và phần cuối giống nhau đối với một tệp xác định loại tệp của chúng. Vì vậy, ứng dụng khôi phục dữ liệu sẽ quét ổ đĩa để tìm các chuỗi này để tìm các tệp bị mất.
Tuy nhiên, quá trình này không hoàn hảo - vấn đề chính là đôi khi rất khó giải mã vị trí mà một tệp nhất định có thể kết thúc, điều này có thể khiến nhiều tệp nhóm lại với nhau trong một số trường hợp. Phần mềm không thể tìm ra điều này với thông tin hạn chế có sẵn và do đó đưa ra quyết định có tính toán. Một hạn chế khác với phương pháp này là các tệp không được lưu trữ trong không gian liền kề (tệp bị phân mảnh) sẽ không được phục hồi chính xác, vì phần mềm khôi phục không biết vị trí phân mảnh của tệp mà không có bảng tệp. Vấn đề cuối cùng với cách tiếp cận này, như được minh họa trong hình ảnh bên dưới, là nó có thể là một quá trình chậm. (quá trình khôi phục được hiển thị bên dưới thực sự là trên một ổ đĩa bị hỏng vật lý, quá trình quét thô thông thường sẽ mất vài giờ chứ không phải 3 tuần!)
Nhận xét kết luận
Điều quan trọng cần lưu ý là cơ hội khôi phục tệp phụ thuộc vào thời gian nó đã được gỡ / xóa / định dạng khỏi ổ cứng. Ví dụ, nếu tệp chỉ được xóa cách đây một giờ thì nó vẫn phải tương đối nguyên vẹn và không bị hệ thống ghi đè. Thật không may, nếu tệp đã bị xóa trước đó vài tuần đến vài tháng, cơ hội lấy lại tệp có thể giảm đáng kể. Để có cơ hội khôi phục tốt nhất, chúng tôi khuyên người dùng ngừng lưu các tệp mới (cũng như thực hiện bất kỳ hành động nào khác) trên máy tính của họ và bắt đầu ngay lập tức cố gắng khôi phục các tệp cần thiết.
Tín dụng hình ảnh:Mất dữ liệu HDd bị hỏng bởi BigStockPhoto