MTE解説：PCでファイル復元ができる仕組みとは？

誰もが一度は経験したことがあるでしょう。うっかりファイルやフォルダを削除してしまい、ごみ箱まで空にしてしまった。あるいはWindowsが起動しなくなり、ハードディスクを別のPCに接続してもデータを読み取れなかった——。そんなとき、データはもう取り戻せないのでしょうか？この記事では、PCにおけるファイル復元の仕組みについて、その基礎となる概念をわかりやすく解説します。

ハードディスクの論理構造

まず、ハードディスクの論理的な構造から見ていきましょう。一般的に、ハードディスクは「ブートセクタ」「インデックス」「データ」の3つの領域で構成されています。ブートセクタはドライブの先頭に位置し、通常はオペレーティングシステムの起動に使われるほか、パーティションに関する情報も含まれています。インデックスには、ドライブ上に存在するファイルやフォルダの情報が記録されており、WindowsベースのシステムではMFT（マスターファイルテーブル）と呼ばれます。そしてデータ領域には、実際のファイルとその内容が格納されています。

削除されたファイルはどうなるのか

ファイルを削除してごみ箱を空にすると、そのファイルは完全に消えてしまうのでしょうか？実は、内容そのものが永久に破棄されるわけではありません。削除操作では、ユーザーをファイルへ導くインデックスエントリに「削除済み」のマークが付けられ、ファイルの内容があった領域は「上書き可能・再利用可能」として扱われるようになります。つまり、物理的なデータは、別のファイルによって上書きされるまで残り続けるのです。

このため、ファイルを復元したい場合は、コンピュータの電源を切り、ハードディスクを別のPCに接続して復元作業を行うのが鉄則です。そうしなければ、ドライブ上で行ったあらゆる操作が、削除されたファイルのデータを上書きしてしまう恐れがあります。

データ破損の場合

データ破損の原因はさまざまです。タイミングの悪い瞬間の停電や、突然のクラッシュ・再起動などにより、ファイルの一部、ファイルシステム全体、さらにはMFT自体が破損することがあります。削除ファイルの場合と同様に、システムの電源を切って、別のコンピュータで復元を試みるのが安全です。

ファイル復元のプロセス

削除されたファイルであれ、データ破損であれ、データを復元できる可能性は十分にあります。成功率は、ファイルが削除または破損してからどれくらいの時間が経過しているか、またその間にコンピュータをどれだけ使用したかに大きく左右されます。

データ復元を支援するソフトウェアは数多く存在します。筆者の経験では、TestDiskが特に優れた結果をもたらしてくれました。

削除ファイルの復元方法

ほとんどのデータ復元アプリケーションには、何らかのクイックスキャン機能が備わっています。これは主に削除されたファイルの復元に使われ、論理ドライブがオペレーティングシステムから認識されていること——つまりパーティションが破損しておらず、正しくマウントされ、エクスプローラでドライブ内を閲覧できることが前提条件となります。クイックスキャンでは、ファイルテーブル（前述のMFT）を走査し、「削除済み」のマークが付いたファイルを探し出します。

ファイルテーブルにはドライブ上のファイルの位置情報が記録されているため、それをもとに復元が可能になります。ただし、ファイルが格納されていた領域がすでに上書きされていた場合、復元は期待どおりにいかず、無意味なデータばかりのファイルになってしまうことがあります。多くのデータ復元アプリケーションにはファイルプレビュー機能が組み込まれており、復元前にファイルの中身を確認できます。ただし、何を探せばよいかわからない場合はあまり役に立ちません。プレーンテキストファイルなら内容を容易に理解できますし、Word文書も一般に、16進数のごちゃ混ぜの中に平文の内容が含まれているため判読しやすいものです。しかし、その他のメディアファイルは判断が難しくなります。下の画像のバッチファイルは、状態が良好であることがひと目でわかりますね。

削除ファイルの復元におけるもう一つの厄介な問題は、ファイルの元の場所が必ずしもわからないことです。ランダムな名前が付けられたディレクトリのリストをしらみつぶしに探さなければならない場合もあります。これは、ファイルテーブルとファイルのディレクトリ位置情報とのリンクが失われているためです。下の画像のように、左側のディレクトリリストはランダムな文字列で構成されています。ただし、ファイル名自体はそのまま残っているはずなので、データ復元アプリケーションの検索機能を使えば、目的のファイルを見つけやすくなるでしょう。

復元すべきファイルを特定できたら、あとはデータ復元アプリケーションで最後のステップを実行するだけです。ただし、復元先のドライブとして、復元元とは別のドライブを選択することを忘れないでください。同じドライブを指定してしまうと、復元処理がまさに復元しようとしているファイルを上書きしてしまう危険があります！

破損データの復元方法

こちらのシナリオは少し複雑です。ファイルシステムのさまざまな部分——ファイルテーブル、データの一部、あるいはその組み合わせなど——が破損している可能性があり、フォーマット済みドライブからの復元もこれに含まれます。状況によっては、データ復元アプリケーションがMFTの断片を読み取って、かなりの割合のファイルを特定できることもあります。また、MFTのミラーが存在する場合は、通常のコピーとミラーの両方を組み合わせて、すべてのデータを特定できる可能性もあります。

この「高速版」の破損データ復元が失敗した場合の代替手段は、復元したいファイルタイプ固有のシグネチャを求めて、ドライブの生データ（ローデータ）をスキャンすることです。JPEG、MS Word文書、Excelファイルなどのファイルには固有の「シグネチャ」——通常はファイルの種類を定義する共通の先頭・末尾パターン——が存在します。データ復元アプリケーションは、ドライブ全体をスキャンしてこれらの文字列を探し、失われたファイルを特定します。

しかし、この手法は決して完璧ではありません。最大の問題は、特定のファイルがどこで終わるのかを判別するのが難しい場合があることで、その結果、複数のファイルがひとまとめにグループ化されてしまうことがあります。ソフトウェアは限られた情報しか持たないため、計算に基づく判断を下すしかありません。この手法のもう一つの制約は、連続した領域に保存されていないファイル（断片化されたファイル）が正しく復元できない点です。ファイルテーブルがないと、復元ソフトウェアはファイルのフラグメントの位置を知るすべがないからです。そして最後の問題は、下の画像が示すように、この処理が非常に時間がかかる場合があることです。（下の復元例は物理的に破損したドライブに対するものであり、通常のロースキャンなら3週間ではなく数時間で完了します！）

まとめ

ファイルの復元成功率は、ハードディスクからそのファイルが削除・フォーマットされてからどれほどの時間が経過しているかに依存するという点は重要です。たとえば、1時間前に削除したばかりのファイルであれば、まだ比較的無傷で、システムに上書きされていない可能性が高いでしょう。残念ながら、数週間〜数ヶ月前に削除されたファイルの場合、復元できる見込みは大幅に低下します。復元の可能性を最大化するために、新しいファイルの保存をはじめ、コンピュータ上でのあらゆる操作を直ちに中止し、必要なファイルの復元作業をすぐに開始することをおすすめします。

画像クレジット：Broken Hdd Data Loss by BigStockPhoto