Nie ma dwóch takich samych sytuacji przy odzyskiwaniu danych. Wiele razy możliwe jest całkowite odzyskanie utraconych plików z dysku, w tym oryginalnych nazw plików i struktury folderów. Innym razem pliki i dane mogą zostać odzyskane, ale nazwy plików, daty/sygnatury czasu i ścieżki folderów zostaną utracone. W niektórych przypadkach nie można znaleźć nienaruszonych plików. Rodzi to częste pytanie naszych użytkowników: Dlaczego?

Aby ułatwić kontekstualizację odpowiedzi na to pytanie, warto uzyskać podstawową wiedzę o tym, jak pliki są przechowywane na dysku i jak można je odzyskać. Podczas gdy profesjonalne odzyskiwanie danych zwykle wymaga wieloletniego doświadczenia i głębokiej znajomości technicznych niuansów systemów plików i fizyki dysków, poznanie podstaw może pomóc w ustaleniu uzasadnionych oczekiwań dotyczących oprogramowania do odzyskiwania danych.

W tym artykule przyjrzymy się jak działa odzyskiwanie plików na bardzo wysokim poziomie. Pokażemy Ci również, jak zastosować tę wiedzę w kilku typowych scenariuszach, aby oszacować szanse na pomyślne odzyskanie plików.

Ważny artykuł dotyczący odzyskiwania plików z urządzeń SSD: Szczegóły Odzyskiwania Plików dla Urządzeń SSD.

Aby zrozumieć, w jaki sposób można odzyskać pliki z dysku, warto zrozumieć, w jaki sposób pliki są przechowywane na dyskach twardych, zanim zostaną utracone.

Większość nowoczesnych systemów operacyjnych dzieli (lub "rozbiera") cały fizyczny dysk twardy na jedną lub kilka niezależnych części ("partycje"). W rodzinach systemów operacyjnych opartych na systemie DOS/Windows partycje te nazywane są "dyskami logicznymi". Do dysków logicznych przypisywane są litery dysków i opcjonalne etykiety opisowe. Na przykład C: (System) lub D: (Dane). Każda partycja ma własny rodzaj systemu plików, niezależny od innych partycji na tym samym dysku fizycznym. Na przykład fizyczny dysk twardy systemu Windows może zawierać dwa dyski logiczne: jeden NTFS, a drugi FAT32. Informacje o partycjach na dysku są przechowywane na początku dysku twardego. Są one zwykle określane jako "tabela partycji" lub "mapa partycji".

Typową strukturę partycji pokazano na rysunku 1.

Rysunek 1: Struktura dysku twardego
Kliknij obrazek, aby go powiększyć

Fragment danych usługi dysku twardego i informacji o strukturze partycji pokazany na rysunku 1 jest znany jako "metadane". To znaczy informacje o danych na dysku (w przeciwieństwie do samych danych). Podobnie każda partycja lub dysk logiczny jest podzielony na dwie części: Jedna przechowuje informacje o dysku (struktura folderów, system plików, itp.), a druga przechowuje dane składające się na te pliki. Takie oddzielenie danych od metadanych pozwala na lepsze zarządzanie przestrzenią dyskową, szybsze wyszukiwanie plików i większą niezawodność.

Rysunek 2 przedstawia typową strukturę dysku logicznego.

Rysunek 2: Struktura dysku logicznego
Kliknij obrazek, aby go powiększyć

Informacje o usługach dyskowych pokazane na Rysunku 2 zawierają szczegółowe informacje o rozmiarze partycji, rodzaju systemu plików, itp. Są one potrzebne, aby komputer mógł prawidłowo odnaleźć niezbędne dane na partycji.

Informacje o plikach i folderach zawierają zapisy plików, które przechowują nazwy plików, rozmiary, datę/godzinę oraz inne informacje techniczne. Informacje te obejmują również dokładne fizyczne lokalizacje (adresy) danych pliku na dysku. Informacje te są zwykle zapisywane na samym dysku, na wypadek gdyby pierwsza kopia uległa uszkodzeniu.

Różne systemy plików mają różne formy przechowywania tych informacji. Na przykład system plików FAT przechowuje te informacje w tabeli alokacji plików (FAT), podczas gdy system plików NTFS przechowuje je w głównej tabeli plików (MFT).

Kiedy komputer musi odczytać plik, najpierw przechodzi do informacji o plikach i folderach i wyszukuje zapis tego pliku. Następnie wyszukuje adres pliku, przechodzi w określone miejsce na dysku, a następnie odczytuje dane pliku.

W przypadku plików ciągłych, w których dane są zgrupowane na dysku, proces ten jest bardzo prosty. Jednak pliki na dysku mogą być pofragmentowane. Oznacza to, że mogą zajmować kilka nieprzyległych obszarów dysku. Jest to bardziej powszechne, niż sądzi większość użytkowników. W końcu plik wyświetlany w Eksploratorze Windows lub Finderze jest zawsze reprezentowany jako pojedynczy plik. Dzieje się tak, ponieważ system plików wykonuje całą pracę polegającą na łączeniu fragmentów za kulisami. Informacje o plikach i folderach przechowują adresy każdego fragmentu danych, dzięki czemu można je szybko i niezawodnie pobrać, gdy komputer będzie musiał odczytać plik. Informacje te i sposób ich pobierania odgrywają ważną rolę w odzyskiwaniu plików.

Gdy komputer chce usunąć plik, to nie od razu niszczy swoje dane. Zamiast tego wprowadza pewne zmiany w informacjach o plikach i folderach, aby wskazać, że plik został usunięty. Niektóre systemy operacyjne po prostu oznaczają plik jako usunięty, zachowując wszystkie metadane dotyczące pliku, dopóki nie stanie się konieczne nadpisanie go metadanymi nowego pliku. W ten sposób systemy plików Windows obsługują usuwanie. Inne systemy operacyjne, takie jak Mac OS X, całkowicie niszczą zapis usuniętego pliku. Chociaż systemy operacyjne różnią się tym, czy natychmiast usuwają lub zachowują informacje o plikach i folderach, to wszystkie systemy operacyjne pozostawiają rzeczywiste dane pliku nietknięte, dopóki nie stanie się konieczne przydzielenie tego miejsca na dysku innemu plikowi. Jeśli na dysku nie zostaną zapisane żadne pliki, informacje o pliku i jego danych mogą pozostać na nim na zawsze.

Jak wspomniano powyżej, część dysku, na której przechowywane są dane pliku, zawiera również kopię zapasową informacji o plikach i folderach. Ta część dysku może również zawierać dodatkowe informacje o strukturze plików i folderów rozrzucone po całym dysku.

Zanim omówimy różne metody odzyskiwania plików, należy zwrócić uwagę na jedną rzecz:
Jeśli dane na dysku zostaną nadpisane, stare dane znikną. Żaden program ani komercyjnie dostępna metoda odzyskiwania danych nie może ich odzyskać.

Dlatego niezwykle ważne jest, aby żadne nowe pliki nie były zapisywane na dysku przed próbą odzyskania danych.

W przypadku plików, które nie zostały nadpisane, istnieją dwie metody odzyskiwania plików. Wszystkie programy do odzyskiwania danych wykorzystują jedną lub obie te techniki.

Jest to pierwsza metoda, której używa program do odzyskiwania plików. Jest tak dlatego, iż może w ten sposób odzyskać pliki z ich oryginalnymi nazwami, ścieżkami, znacznikami daty/godziny i ich danymi (jeśli się powiedzie).

Oprogramowanie do odzyskiwania plików rozpoczyna się od próby odczytania i przetworzenia pierwszej kopii informacji o plikach i folderach. W niektórych przypadkach (takich jak przypadkowe usunięcie pliku) jest to jedyny krok, który należy wykonać, aby odzyskać pliki w całości.

Jeśli pierwsza kopia informacji o plikach i folderach jest poważnie uszkodzona, oprogramowanie skanuje dysk w poszukiwaniu drugiej kopii informacji o plikach i folderach. Próbuje również zebrać dodatkowe informacje o strukturze folderów i plików, które mogą znajdować się w części dysku zawierającej dane. Następnie przetwarza wszystkie te informacje, aby zrekonstruować oryginalne foldery oraz strukturę plików.

Jeśli system plików na dysku nie jest poważnie uszkodzony, często można odzyskać całą strukturę plików i folderów.

Jeśli system plików na dysku jest poważnie uszkodzony, ta metoda odzyskiwania danych nie może odtworzyć całej struktury folderów. W następstwie tego odzyskane pliki pojawią się w "osieroconych" folderach.

Rysunek 3 pokazuje owe "osierocone" foldery w R-Studio.

Rysunek 3: Odzyskana struktura plików i folderów oraz "osierocone" foldery
Kliknij obrazek, aby go powiększyć

Jeśli pierwsza metoda nie daje zadowalających wyników, wykonywane jest przeszukiwanie plików surowych. Ta druga metoda odzyskiwania danych może odzyskać dane z plików z większym powodzeniem niż pierwsza metoda, ale nie może zrekonstruować oryginalnych nazw plików, znaczników daty/godziny ani całej struktury folderów i plików na dysku.

Wyszukiwanie znanych typów plików lub odzyskiwanie plików surowych polega na analizie zawartości dysku pod kątem "sygnatur plików". Sygnatury plików to typowe wzorce, które oznaczają początek lub koniec pliku. Prawie każdy typ pliku ma co najmniej jeden podpis pliku. Na przykład wszystkie pliki typu png (przenośna grafika sieciowa) zaczynają się od ciągu "PNG", a wiele plików MP3 zaczyna się od ciągu "ID3". Takie podpisy plików można wykorzystać do rozpoznania, że część danych na dysku należy do określonego typu pliku i dlatego też można je odzyskać.

Po przeprowadzeniu wyszukiwania plików surowych, R-Studio i R-Undelete pokażą możliwe do odzyskania pliki jako "Dodatkowo Znalezione Pliki". Są to przypisywane rozszerzenia plików na podstawie zidentyfikowanego podpisu pliku i podanych zastępczych nazw plików (numerów sekwencyjnych). Zobacz Rysunek 4 oraz Rysunek 5.

Rysunek 4: Pliki odzyskane za pomocą wyszukiwania znanych typów plików (dodatkowo znalezione pliki), które znajdują się na dysku logicznym.
Kliknij obrazek, aby go powiększyć


Rysunek 5: Pliki odzyskane za pomocą wyszukiwania znanych typów plików (dodatkowo znalezione pliki), które znajdują się poza dyskiem logicznym.
Kliknij obrazek, aby go powiększyć

Chociaż ta metoda jest zwykle najlepszą techniką odzyskiwania danych z mocno uszkodzonego systemu plików, istnieją pewne ograniczenia. Po pierwsze, niektóre typy plików mają sygnaturę "początek" i "koniec", niektóre mają tylko sygnaturę "początek" (bez sygnatury "koniec"), a niektóre typy plików nie mają w ogóle natychmiast rozpoznawalnej sygnatury pliku .

Jeśli oprogramowanie do odzyskiwania danych może zidentyfikować "początkową" i "końcową" sygnaturę pliku, plik można łatwo zidentyfikować i odzyskać. W przypadku plików, które nie mają sygnatury "koniec", oprogramowanie może czasami odzyskać plik, zakładając, że kończy się on na początku następnego pliku. W przypadku plików bez sygnatury, takich jak zaszyfrowane kontenery dysków, wyszukiwanie nieprzetworzonych plików nie będzie w stanie odróżnić danych od fragmentów nieprzydzielonego miejsca na dysku.

Każdą z tych okoliczności dodatkowo komplikuje fragmentacja plików. Co więcej, pliki bez sygnatur końcowych mogą mieć po odzyskaniu długie ślady "śmieci". Rysunek 6 ilustruje dlaczego tak jest.

Rysunek 6: Dane pliku na dysku
Kliknij obrazek, aby go powiększyć

W sytuacji pokazanej na rysunku 6, plik 1 i plik 3 zostaną pomyślnie odzyskane, natomiast odzyskanie plików 2 i 4 zakończy się niepowodzeniem. Tabela 1 tłumaczy dlaczego tak jest:

Oprócz komplikacji związanych z pofragmentowanymi plikami, wyszukiwanie plików surowych czasami daje również "fałszywe alarmy". Na przykład ciąg "ID3" może wystąpić w pliku, nie będąc sygnaturą pliku. Na przykład tekst, który obecnie czytasz, zawiera ciąg "ID3", ale nie jest plikiem MP3. W związku z tym wyszukiwanie pliku surowego może błędnie zidentyfikować część tego tekstu jako początek pliku MP3.

Chociaż wszystkie programy do odzyskiwania danych wykorzystują swoją wersję jednej z powyższych metod, istnieje szereg dodatkowych parametrów wyszukiwania i technik odzyskiwania danych, które można zastosować w celu uzyskania lepszych wyników. Zaawansowane programy do odzyskiwania plików, takie jak R-Studio, pozwalają użytkownikom ręcznie określać bardzo złożone i zaawansowane zestawy sygnatur plików, w tym niestandardowe sygnatury plików.

W praktyce te dwie metody odzyskiwania plików są zazwyczaj używane razem: Niektóre pliki są odzyskiwane przy użyciu jednej metody, podczas gdy pozostałe pliki są odzyskiwane przy użyciu drugiej metody. Zaawansowane programy do odzyskiwania plików, takie jak R-Studio i R-Undelete, mogą z nich korzystać jednocześnie, stosując Technologię Inteligentnego Skanowania Do Odzyskiwania Danych. Oznacza to, że mogą analizować pozostałości uszkodzonego systemu plików i wyszukiwać znane rodzaje plików podczas tego samego skanowania dysku.

Szacowanie Wyników Odzyskiwania Plików
(Bardziej szczegółowe informacje na temat szans na pomyślne odzyskanie plików znajdziesz w naszym artykule Przewidywanie Pomyślności Dla Typowych Przypadków Odzyskiwania Danych).

Korzystając z powyższych informacji, możesz dość dokładnie oszacować swoje szanse na pomyślne odzyskanie plików. Należy jednak pamiętać o następujących czynnikach:

• Uszkodzenia systemu plików mogą być nieprzewidywalne. Stan plików będzie zależał od przyczyny ich utraty, stanu dysku przed awarią lub utratą danych oraz wszelkich działań podjętych przed próbą odzyskania danych. Szacunki podane w tym artykule są przybliżone i dotyczą tylko dysków, na których na uszkodzonym dysku nie zostały zapisane żadne nowe dane.
• Odzyskiwania danych nie należy podejmować na dyskach, na których doszło do awarii sprzętu. Jeśli podejrzewasz, że dysk może być fizycznie uszkodzony, najlepszym sposobem działania jest skierowanie sprawy do specjalisty od odzyskiwania danych z odpowiednim doświadczeniem i odpowiednim sprzętem. Wszelkie próby manipulowania fizycznie uszkodzonym dyskiem mogą spowodować utratę kolejnych danych, a dalsze próby odzyskania danych będą bezskuteczne.
• Zalecamy wykonanie wszystkich zadań odzyskiwania danych z obrazów rzeczywistych dysków w celu zachowania oryginalnych danych na dysku. Pozwala to na wykonanie wielu prób odzyskiwania danych bez powodowania zmian na dysku lub ryzyka dalszej utraty danych. Zaawansowane programy do odzyskiwania plików, takie jak R-Studio i R-Undelete, mogą tworzyć obrazy dysków i jednocześnie skanować dane.

Jeśli dysk jest nieprawidłowo zamontowany lub usunięty (np. z powodu przerwy w dostawie prądu lub błędu użytkownika), może to spowodować uszkodzenie lub utratę niektórych lub wszystkich metadanych dysku twardego. Mimo iż oryginalne dane usługi dysku twardego i informacje o strukturze partycji zostają utracone, reszta danych dysku pozostaje nienaruszona. W takich przypadkach programy do odzyskiwania plików mogą analizować informacje o plikach i folderach, które nadal są nienaruszone na partycjach i odzyskać z nich wszystkie pliki i foldery. Wówczas rzadko kiedy konieczne jest dodatkowe wyszukiwanie znanych rodzajów plików. Jest to najlepszy scenariusz do odzyskiwania danych i zazwyczaj daje najbardziej pomyślne wyniki.

Ten przypadek zależy w dużej mierze od tego, jak poważnie uszkodzony został system plików. Pamiętaj, że dysk zawiera dwie kopie informacji o plikach i folderach. Jeśli tylko jedna kopia jest uszkodzona, program do odzyskiwania plików może odczytać dane z kopii zapasowej i odzyskać wszystkie informacje i dane o plikach. Jeśli obie kopie są poważnie uszkodzone, szanse na pomyślne odzyskanie plików mogą być bardzo niskie. Podobnie jak w przypadku 3, dodatkowe wyszukiwanie znanych rodzajów plików może być jedyną zaletą.

Przypadki te są opisane bardziej szczegółowo w tym artykule:
Odzyskiwanie Danych z Dysku z Uszkodzonym Systemem Plików.

Jeśli dysk zostanie przypadkowo ponownie podzielony na partycje, perspektywa jest podobna do przypadku 1, z jednym ważnym wyjątkiem: Po utworzeniu nowej struktury partycji na dysku zapisywane są nowe dane. Te nowe dane zastąpią istniejące informacje usługi dyskowej dotyczące całego dysku fizycznego. Jednak reszta danych ze starych partycji pozostaje nietknięta, w tym informacje o plikach i folderach. W ten sposób programy do odzyskiwania plików mogą przeskanować dysk, znaleźć te informacje oraz odzyskać te pliki i foldery, na które nie mają wpływu nowe dane partycji. Rzadko kiedy konieczne jest dodatkowe wyszukiwanie znanych rodzajów plików.

Ten przypadek jest opisany bardziej szczegółowo w tym artykule:
Odzyskiwanie Plików po Ponownej Instalacji Systemu Windows

Ponowne formatowanie jest zazwyczaj bardziej uciążliwe niż ponowne partycjonowanie, w zależności od rodzaju wykonanej operacji formatowania dysku.

Pełny format powoduje nadpisanie wszystkich danych na partycji określonym wzorcem (zwykle 00 lub FF). Uniemożliwia to odzyskanie jakichkolwiek plików z partycji.

Szybki format powoduje nadpisanie niektórych lub wszystkich informacji o plikach i folderach, ale nie zmienia danych plików. Programy do odzyskiwania plików mogą skanować dysk, znajdować pozostałości poprzedniego systemu plików i odpowiednio odzyskiwać pliki i foldery. W zależności od systemu plików przed i po ponownym sformatowaniu wyniki odzyskiwania danych będą się znacznie różnić przy użyciu pierwszej metody. W tym przypadku dodatkowe wyszukiwanie znanych rodzajów plików może być bardzo skuteczne, nawet jeśli pierwsza metoda nie znajdzie żadnych plików.

Przypadki te są opisane bardziej szczegółowo w tych artykułach:
Odzyskiwanie Danych z Ponownie Sformatowanego Dysku NTFS (Windows)
Odzyskiwanie Danych z Wymazanego Dysku HFS (MacOSX)
Odzyskiwanie Danych z Ponownie Sformatowanego Dysku exFAT/FAT (Windows/MacOSX/Linux)
Odzyskiwanie Danych z Ponownie Sformatowanego Dysku Ext2/3/4FS (Linux)

Jeśli komputer się zawiesza lub ulega awarii podczas operacji defragmentacji dysku lub ponownego partycjonowania, skutki mogą być katastrofalne. Jest to zazwyczaj najgorszy scenariusz odzyskiwania plików. Mimo iż informacje o plikach i folderach mogą wyglądać zdrowo, metadane mogą wskazywać na niewłaściwe adresy fizyczne plików, które były w trakcie przenoszenia. Na przykład dane mogły zostać zapisane w nowej lokalizacji, ale informacje o plikach i folderach mogły nie zostać jeszcze zaktualizowane. Lub informacje o plikach i folderach mogły zostać zaktualizowane, ale niektóre lub wszystkie dane plików nie zostały jeszcze przeniesione. W takich przypadkach nawet dodatkowe wyszukiwanie znanych rodzajów plików może się nie powieść, ponieważ wiele plików może być już pofragmentowanych.

Ten przypadek opisano bardziej szczegółowo w tym artykule:
Odzyskiwanie Danych po Awarii Menedżera Partycji

Chociaż artykuł ten zawiera tylko krótki przegląd podstawowych koncepcji odzyskiwania plików, powinien pomóc w zrozumieniu, co należy zrobić i czego można oczekiwać od scenariusza odzyskiwania danych. Aby uzyskać bardziej szczegółowe instrukcje dotyczące korzystania z programów do odzyskiwania plików, takich jak R-Studio i R-Undelete, zapoznaj się z ich dokumentami w sekcji pomocy online. W naszych artykułach online znajdziesz również szczegółowo opisane przykłady oraz samouczki dotyczące konkretnych przypadków odzyskiwania plików.

Jak zawsze, najlepszym sposobem oszacowania szans na odzyskanie plików jest wypróbowanie naszych programów za darmo. Korzystając z trybu demo R-Studio lub R-Undelete, możesz wykonać pełne skanowanie dysku i zaawansowane analizy odzyskiwania danych, aby zobaczyć, które pliki można będzie odzyskać. Jeśli pliki, których szukasz, można odzyskać, możesz się szybko zarejestrować, aby w pełni odzyskać swoje pliki i zapisać je na innym dysku.