Однако наиболее очевидным является тот факт, что восстановление информации требует приобретения специального программного обеспечения, что делает попытки разобраться во всем самому финансово нецелесообразными. Однако даже покупка такого инструмента не гарантирует положительных результатов, потому что эксплуатация таких программ требует определенных навыков.

В большинстве случаев неквалифицированное восстановление информации приводит к ухудшению ситуации и ведет за собой необходимость переустановки операционной системы.

Потерю важных электронных документов или другой информации может спровоцировать ряд факторов как внешнего, так и внутреннего характера.

К первой группе относятся аппаратные проблемы и связанные с ними отказам носителей, которые принимают участие в хранении данных. Такие ситуации могут быть вызваны скачками напряжения в сети, перегревом оборудования, естественным износом деталей;

Вторая категория факторов– это сбои программного обеспечения, которые чаще всего происходят по причине вирусов;

Третья, самая распространенная категория – это человеческий фактор, при котором важная информация удаляется по невнимательности.

В разделе NTFS размером более 2 Гбайт в одном кластере содержится четыре сектора. В нашем примере показан небольшой раздел размером 500 Мбайт, у которого каждому сектору соответствует один кластер.
Наряду с этой информацией программы восстановления данных сканируют главную таблицу файлов (Master File Table, MFT), которая тоже находится в Partition Boot Sector. Она представляет собой список всех файлов, находящихся в разделе. Те, которые по размерам менее 1500 байт, записываются прямо в MFT

Для файлов большего объема в MFT есть ссылки на адреса секторов, в которых лежат данные.

Вначале MFT находятся другие записи, например, так называемая битовая карта распределения кластеров (Cluster Bitmap), показывающая все используемые кластеры, а также файл плохих кластеров (Bad Cluster File), регистрирующий все кластеры с ошибками.
Обычно таблица MFT в Windows не видна. Но есть дисковые редакторы, например WinHex, которые показывают содержание MFT в шестнадцатеричных кодах. Для программы восстановления данных достаточно этой информации, чтобы восстановить файл.

На картинке "MFT-запись удаленного файла в HEX-коде"

Современные жесткие диски контролируют себя сами с помощью технологии S.M.A.R.T. (Self-Monitoring, Analysis and Reporting Tool – система самоконтроля, анализа и отчетности). Эта технология позволяет обнаружить, в каких областях диска в ближайшее время могут возникнуть дефекты, и пометить их как ненадежные.

Данные, расположенные в таких секторах, автоматически переносятся в предусмотренные для этого резервные пространства жесткого диска.

При восстановлении данных зависят, прежде всего, от причины, повлекшей их утрату. Если данные еще хранятся в корзине Windows, их можно без проблем восстановить средствами самой ОС, поскольку файлы не удалены, а просто перемещены в папку Recycler. Корзина имеет ограниченную емкость, по умолчанию 5–10% от размера диска. Если место кончается, Windows автоматически удаляет самые старые файлы, и в этом случае функция «Восстановить» уже не поможет. Файлы отсутствуют в корзине.

Если файлы уже стерты в связи со старостью, или были удалены напрямую, без промежуточного помещения в корзину, ситуация гораздо хуже. В Windows нет средств, для доступа к таким файлам.
Поскольку теперь они отсутствуют как в файловой системе ОС, так и в главной файловой таблице (MFT – Master File Table) жесткого диска, Windows освобождает занимаемое ими место для записи других файлов.

Однако файлы все еще находятся на жестком диске. Часто они могут быть восстановлены полностью или хотя бы частично с помощью специальных программ. Однако это должно быть сделано как можно скорее, пока Windows не затерла их. Чем раньше будет запущена программа восстановления, тем больше шансов на спасение всех данных. Если искомые файлы не были затерты на диске, программа в большинстве случаев восстанавливает их полностью.

Хорошая программа умеет восстанавливать, пока только не перезаписанные области удаленных файлов. Удаление или отформатирование раздела жесткого диска. При форматировании любого диска его оглавление полностью очищается.
Программное обеспечение сможет помочь даже в том случае, когда был удален весь раздел. Если после этого никакие новые разделы не создавались, файлы еще сохранились и некоторые из них могут быть спасены программой восстановления.
Многократно перезаписанные файлы. Файлы, стертые с помощью программ безопасного удаления, (например Paragon Disk Wiper), а так же многократно перезаписаны другой информацией.

В таких случаях не помогут даже лучшие программы восстановления данных и специалисты в лабораториях, «информация действительно утеряна навсегда». Механический дефект. Как любое механическое устройство, жесткий диск может просто сломаться. На старых, сравнительно шумных жестких дисках обнаружить неисправность позволяли громкие стуки при включении или внезапное прекращение «жужжания» диска.

В файловых системах FAT32 и NTFS Windows создает копию таблицы файлов. С помощью программы восстановления, например R-Studio 4.6, можно реконструировать данные из основной таблицы файлов. Шансы на полное спасение файла довольно высоки. Чтобы программа восстановления не помещалась в раздел, на котором ведется поиск удаленных данных. Иначе возникает опасность перезаписи спасаемой информации файлами самой программы. Хорошие реаниматоры могут работать без установки в систему – аварийного CD или DVD.

Сложнее будет восстановить объекты, если таблица файлов не содержит информации о пропавших данных. Тогда программа восстановления должна просмотреть свободные области винчестера.

Некоторые утилиты восстановления сохраняют найденные данные в виде файлов со сквозной нумерацией.
Многие программы спасения распознают файлы по их заголовку. В этом случае программное обеспечение может восстановить первоначальный формат данных: текстовый файл в формате DOC, а изображение в формате JPG.
Большинство программ, например Microsoft Word, для работы требуют абсолютно неповрежденные файлы.

Если программе восстановления удалось спасти только часть документа, то его уже не удастся открыть в Worde. Поэтому производители программ восстановления интегрируют в них специальное ремонтное программное обеспечение для некоторых типов файлов. Это позволяет вернуть к жизни документы Microsoft Office, изображения в формате JPG или TIFF и музыку в формате MP3.

Если данные на диске перезаписаны, то их не удастся восстановить ни одной программой и ни одном из известных методов. Поэтому крайне важно чтобы до восстановления данных на диск не записывалась какая-либо информация.

Восстановление файлов посредством анализа информации о файлах и папках:

Один из используемых методов в программах восстановления данных, применяемых в восстановлении файлов с оригинальными именами, путями, отметками даты/времени, и сами данные. Работа утилиты восстановления файлов начинается с попытки чтения и обработки первой копии информации о файлах и папках. В некоторых случаях (например при случайном удалении файла) это единственное что требуется для восстановления файлов.

Если первая копия информации о файлах и папках сильно повреждена, то утилита сканирует диск и ищет вторую копию информации о файлах и папках. При этом также производится детальный поиск дополнительной информации о структуре папок и файлов, которая может находиться в области диска, где хранятся данные. После этого вся найденная информация обрабатывается и воссоздается оригинальная структура папок и файлов.

Если файловая система диска серьезно не повреждена, то вполне вероятно удастся полностью восстановить структуру папок и файлов. При сильном же повреждении файловой системы данный метод не позволит воссоздать полную структуру папок.
В этом случае восстановленные файлы будут находиться в папках с присвоенными им виртуальными именами.

На картинке (Структура восстановленных файлов и папок и виртуальные папки)

Восстановление файлов при помощи сканирования файлов известных типов:

Если при помощи первого метода на удастся добиться желаемого результата, то следует произвести поиск файлов по сигнатурам.
Этот метод позволяет восстановить больше данных, однако при этом не удается получить оригинальные имена файлов, отметки даты/времени или полную структуру папок и файлов на диске.

При поиске при сканировании файлов известных типов (поиск файлов по сигнатурам) анализируется содержимое диска и производится поиск по "файловым сигнатурам". Файловая сигнатура это некий общий для определенного типа файлов шаблон данных, находящийся в начале или в конце файла.
Почти каждый тип файлов имеет по крайней мере одну файловую сигнатуру. Например, все файлы типа png (portable network graphics, переносимая сетевая графика) начинаются с последовательности символов "PNG" и многие MP3 файлы начинаются с последовательности символов "ID3". Такие файловые сигнатуры позволяют отнести данные на диске с определенному типу файлов и далее восстановить. После сканирования файлов известных типов R-Studio и R-Undelete поместят найденные файлы в категорию "Дополнительно Найденные Файлы (Extra Found Files)", где они будут структурированы по расширениям на основе идентифицированной файловой сигнатуры и где им будет присвоено некое шаблонное имя (порядковый номер).

На картинке (Файлы найденные на логическом диске путем сканирования файлов известных типов)



На картинке (Файлы найденные вне логического диска путем сканирования файлов известных типов)