MTEの説明：PCでのファイル回復のしくみ

それは私たち全員に起こりました。ファイルまたはフォルダを誤って削除し、ごみ箱を空にしました。または、Windowsが起動を拒否し、ハードドライブを別のPCに接続すると、データを読み取ることができなかった可能性があります。データを取り戻すことはありますか？この記事では、PCでのファイルリカバリの背後にある概念を理解することに焦点を当てます。

ハードドライブ構造

h

まず、ハードドライブの論理構造を見ていきましょう。通常、ハードドライブは、ブートセクター、インデックス、およびデータで構成されます。ブートセクタはドライブの先頭にあり、通常はオペレーティングシステムを起動するために使用され、ドライブのパーティションに関する詳細が含まれています。インデックスには、ドライブに存在するファイルとフォルダーに関する情報が含まれています。Windowsベースのシステムの場合は、MFTまたはマスターファットテーブルになります。ドライブのデータセクションには、実際のファイルとその内容が保持されます。

削除されたファイル

ファイルを削除してごみ箱を空にするとどうなりますか？それは永久になくなったのですか？内容物は実際には永久に処分されるわけではありません。ユーザーをファイルに誘導するインデックスエントリは削除済みとしてマークされ、ファイルのコンテンツ領域は上書き可能または将来使用可能としてマークされます。これは、別のファイルによって上書きされるまで、物理データがまだ存在していることを意味します。したがって、ファイルを回復したい場合は、コンピューターの電源を切り、ハードドライブを別のコンピューターに接続することによってのみ回復を試みる必要があります。そうしないと、ドライブで実行するアクティビティによって、削除されたファイルのデータが実際に上書きされる可能性があります。

データの破損

データ破損の場合、多くの原因が考えられます。不適切な瞬間に電源が切れたり、コンピューターがランダムにクラッシュ/再起動したりすると、ファイルのセグメント、より広範にファイルシステム、またはMFT自体が破損する可能性があります。ファイルの削除のシナリオと同様に、システムの電源を切り、2台目のコンピューターで回復を試みる必要があります。

ファイル回復のプロセス

いずれかのシナリオ（削除されたファイルまたはデータの破損）を考慮すると、データを回復する可能性が非常に高くなります。そうすることの成功率は、ファイルが削除されたのはどれくらい前か、または発生した破損と、その時点からコンピュータがどれだけ使用されたかによって多少異なります。

データの回復を容易にすることができる利用可能なプログラムの数が多いです。私の経験では、TestDiskは非常にうまく機能しました。

削除されたファイルの回復

ほとんどのデータ回復アプリケーションには、ある種のクイックスキャン機能があります。これは通常、削除されたファイルにのみ使用され、論理ドライブがオペレーティングシステムに表示される必要があります。つまり、パーティションが破損しておらず、正しくマウントされていないため、エクスプローラーで実際にドライブを参照できます。クイックスキャンはファイルテーブル（前述のMFT）をスキャンし、削除済みとしてマークされたファイルを探します。

ファイルテーブルは、ドライブ上のファイルの場所を指示し、したがって、それらの回復を許可します。ただし、それらがドライブ上に存在するスペースが上書きされた場合、リカバリは期待どおりに機能せず、ファイルがジャンクでいっぱいになります。ほとんどのデータ回復アプリケーションには、ファイルの内容をこっそりと確認できるファイルプレビューアが組み込まれています。ただし、探しているものがわからない場合、これはあまり役に立たない可能性があります。プレーンテキストファイルは理解しやすく、Word文書の内容は通常、16進数の文字化けした混乱のどこかにクリアテキストとして含まれていますが、他のメディアファイルはより難しくなります。ご覧のとおり、以下のバッチファイルは明らかに良好な状態です。

削除されたファイルの回復のもう1つの問題は、ファイルの元の場所が常にわかっているとは限らないことです。回復したいファイルを見つけるために、ランダムに名前が付けられたディレクトリのランダムなリストをトロールする必要があるかもしれません。これは、ファイルテーブルがファイルのディレクトリの場所情報にリンクされていない可能性があるためです。下の画像でわかるように、左側のディレクトリリストはランダムな文字で構成されています。ただし、ファイル名自体はそのままにしておく必要があります。また、データ回復アプリケーションには、ファイルを簡単に見つけるための検索オプションが用意されている必要があります。

どのファイルを回復するかを確認したら、データ回復アプリケーションを最後のステップにする必要があります。リカバリ元のドライブと同じではない宛先ドライブを選択することを忘れないでください。そうしないと、データ回復プロセスが回復しようとしているファイルそのものを上書きするリスクがあります！

破損したデータリカバリ

このシナリオはもう少し複雑です。ファイルシステムのさまざまな側面が破損している可能性があります。ファイルテーブル、データのセグメント、またはフォーマットされたドライブリカバリの場合を含む他の多くの順列です。一部のシナリオでは、データ回復アプリケーションはMFTのセグメントを読み取って、ファイルの大部分を見つけることができます。 MFTのミラーも存在する可能性があるため、データ回復アプリケーションはミラーと通常のコピーの両方を組み合わせて、すべてのデータを見つけることができます。

破損したデータの回復の「高速」バージョンが失敗した場合、フォールバックアプローチは、回復したい特定のファイルタイプの署名について生のドライブデータをスキャンすることです。 jpeg、MS Wordドキュメント、Excelファイルなどのファイルには、特定の「署名」があります。通常、ファイルタイプを定義するファイルの最初と最後は同じです。したがって、データ回復アプリケーションは、失われたファイルを見つけるために、これらの文字列についてドライブをスキャンします。

ただし、このプロセスは完全にはほど遠いです。主な問題は、特定のファイルがどこで終了するかを解読することが困難な場合があり、場合によっては複数のファイルがグループ化される可能性があることです。ソフトウェアは、入手可能な限られた情報ではこれを理解できないため、計算された決定を下します。この方法のもう1つの制限は、連続したスペースに保存されていないファイル（断片化されたファイル）が正しく回復されないことです。これは、回復ソフトウェアがファイルテーブルのないファイルの断片の場所を認識していないためです。次の画像に示すように、このアプローチの最後の問題は、プロセスが遅くなる可能性があることです。 （以下に示す回復は、実際には物理的に損傷したドライブで行われ、通常のrawスキャンには3週間ではなく、数時間かかります！）

おわりに

ファイルを回復する可能性は、ハードドライブからファイルが削除/削除/フォーマットされた時間に依存することに注意することが重要です。たとえば、ファイルがほんの1時間前に消去されただけの場合でも、ファイルは比較的無傷であり、システムによって上書きされないはずです。残念ながら、ファイルが数週間から数か月前に削除された場合、ファイルを取り戻す可能性が大幅に低下する可能性があります。回復の可能性を最大限に高めるために、ユーザーは自分のコンピューターへの新しいファイルの保存（およびその他のアクションの実行）を中止し、すぐに必要なファイルの復元を開始することをお勧めします。

画像クレジット：BigStockPhotoによる壊れたHddデータの損失