Для современных инструментов восстановления данных извлечь информацию с недавно отформатированного жесткого диска или карты памяти – не проблема. Почему это возможно? Разве суть форматирования диска – не есть уничтожение всех данных на нем? Давайте посмотрим, что на самом деле происходит при форматировании раздела диска.
Содержание:
Форматирование устройств FAT / FAT32
Прежде всего, нас интересует то, как работает форматирование на устройствах, где непосредственно хранится файловая система (и существующие данные, которые мы будем восстанавливать позже). Начнем с переформатирования раздела FAT32 с использованием того же типа файловой системы.
FAT32 – это старая файловая система, которая сохраняет записи, связывающие имена файлов с фактическими блоками данных на диске в системной области в начале диска. Размер этой области зависит от размера отформатированного раздела и размера выбранного кластера (обычно операционная система использует кластеры размером 4 КБ для разделов до 2 ГБ). В результате, если вы вручную не измените размер кластера, размер новой таблицы распределения файлов будет точно такой же, как размер таблицы распределения файлов, которую он заменит. По сути, новая файловая система безвозвратно уничтожит все старые записи, содержащие имена файлов, и свяжет их с секторами диска, на которых физически хранятся данные.
Как видите, все данные по-прежнему остаются на диске, а значит, могут быть восстановлены с помощью инструментов, использующих алгоритмы контент-анализа, таких как RS Partition Recovery.
Все происходит именно так, если вы использовали быстрое форматирование. Но что, если вместо этого вы использовали более медленное, но более полное форматирование носителя? Возможно, его суть – окончательное и безвозвратное удаление всех данных на этом диске? Опять же, все не так просто, как кажется.
Если вы используете операционную систему более ранних версий, чем Windows Vista (включая Windows 98, ME, 2000 или XP), операция полного форматирования действительно уничтожит область файловой системы. Однако вместо того, чтобы записывать на диск нули, инструмент системного форматирования считает секторы диска, чтобы проверить их. Повторимся, ваши данные остаются целостными и доступными на диске и могут быть восстановлены при помощи анализа по содержимому, то есть с использованием программного обеспечения от Recovery Software.
Однако если вы используете полное форматирование в одной из более новых операционных систем, таких как Windows Vista, 7, 8 или 8.1, система фактически перезапишет весь раздел нулями. Если это так, данные фактически исчезли.
Форматирование разделов NTFS
New Technology File System (NTFS) – это фактически стандарт в мире Windows. Windows NT, 2000, XP, Vista, Windows 7, 8, 8.1 и все предшественники Windows 10 используют NTFS в качестве файловой системы по умолчанию. Хотя эти ОС поддерживают FAT и FAT32, начиная с Windows XP, операционная система может быть установлена только на разделах NTFS. Это означает, что почти каждый компьютер, на котором работает Windows, имеет как минимум один раздел NTFS.
Итак, что произойдет, если вы отформатируете диск NTFS?
NTFS организована иначе в сравнении с более ранними FAT32. Если FAT32 использует системную область фиксированного размера для хранения информации о расположении файлов и папок, NTFS сохраняет свою файловую таблицу в файле. Этот файл ($ MFT) можно хранить в любом месте на диске. Его можно перемещать, расширять, уменьшать, фрагментировать или дефрагментировать. Как и любой другой файл, его также можно удалить при форматировании диска. И точно так же, как и любой подобный файл, он не теряет большую часть своего содержимого, когда вы переформатируете раздел NTFS (при условии, что вы используете NTFS в качестве новой файловой системы). Только первые несколько записей будут перезаписаны, при этом другие записи в этом разделе будут сохранены, и большая часть старой файловой системы будет по-прежнему оставаться на диске.
Существует еще один фактор, способствующий восстановлению разделов NTFS после форматирования диска. NTFS хранит резервную (зеркальную) копию основной таблицы файлов (MFT). Если вы отформатируете диск, зеркальная копия файловой системы может все еще находиться на диске, позволяя инструменту восстановления данных воссоздать исходную файловую систему из этой копии.
Как видите, быстрое форматирование раздела NTFS на самом деле доставляет меньше проблем по сравнению с дисками FAT32, за одним исключением: накопители SSD.
Форматирование SSD-накопителей
SSD-приводы обладают рядом специальных технологий для поддержания их сохранности и производительности. Эти технологии используются в работе твердотельных накопителей и не доступны на традиционных магнитных жестких дисках, поскольку там в них нет необходимости. Диски SSD должны стирать пустые флеш-ячейки перед записью новых данных. Операция очистки является довольно длительной по сравнению с простой записью.
Для поддержания носителей в должном состоянии и поддержки высокого уровня их производительности, SSD-накопители стирают пустые ячейки в фоновом режиме, чтобы подготовить их к принятию новых данных. Но как SSD-накопитель узнает, что определенная ячейка больше не используется операционной системой? Диск связывается с ОС через специальный интерфейс TRIM. В результате, когда вы удаляете файл или форматируете диск, операционная система сообщает SSD-накопителю, что такие-то и такие-то сектора больше не используются и могут быть физически удалены. Что происходит с данными, хранящимися в этих секторах? Он обнуляется… необратимо уничтожаются. Так происходит, если вы используете NTFS.
Если вы отформатируете SSD-диск с помощью FAT32, в любой из существующих версий Windows интерфейс TRIM работать не будет. Итак, Windows будет использовать команду TRIM только на разделах NTFS и не будет поддерживать TRIM на разделах FAT32. Таким образом, быстрое форматирование SSD-накопителя в Windows 7, 8 или 10 с помощью NTFS безоговорочно уничтожит все данные пользователя, в то время как быстрое форматирование такого же диска с FAT32 оставит данные нетронутыми. И это всегда необходимо учитывать при восстановлении отформатированных SSD-дисков с помощью программного обеспечения для восстановления данных.
