Восстановление на диске поврежденных фото

Если на жестком диске пропала часть данных, то спасти фрагментированные фотографии способна лишь мощная технология Smart Carving.

Доля фрагментированных файлов Процедура восстановления данных довольно проста, особенно если в распоряжении реанимирующих программ есть достаточно информации. Однако при отсутствии отправной точки для того, чтобы выйти на след утерянных данных, потребуется помощь специальных утилит с поддержкой технологии Smart Carving.

Подобные инструменты анализируют не только структуру, но и содержимое данных и таким образом собирают фрагменты файлов воедино, что не по силам обычным программам восстановления.

На нашем DVD вы найдете специальный пакет инструментов. В его состав вошла не только утилита с поддержкой этой мощной технологии, но и решения для менее сложных случаев, ведь иногда даже самое простое средство оказывается наиболее эффективным. А чтобы определить, когда следует прибегнуть к помощи Smart Carving, необходимо понять, как работает обычная программа для восстановления.

Простое восстановление: считывание записи файла из каталога

Чтобы операционная система могла сохранять данные на жестком диске, ей необходима файловая система — в Windows стандартной считается NTFS. Когда программа восстановления ищет удаленные данные, сначала она просматривает главную таблицу файлов (MFT) — это каталог всего содержимого одного раздела диска. Затем утилита сканирует отдельные записи в таблице и ищет два определенных байта, образующих метку «Удалено». Если их значение равно нулю, то файл удален, в том числе и из Корзины.

Но для его восстановления программе нужно лишь считать запись из главной таблицы файлов.

Важнейшим компонентом записи является ссылка на непрерывную цепочку кластеров, занимаемых файлом (Data Run). Она предоставляет программе информацию об адресе первого кластера файла и количестве кластеров, следующих за ним. Ситуация несколько осложняется, когда значение байта после ссылки на Data Run не равно нулю. Это свидетельствует о том, что файл фрагментирован, и в записи MFT следом идут ссылки на другие Data Run, которые программа должна обработать дополнительно. По такому — самому простому — сценарию восстановления способна работать любая программа из нашего пакета, но особенно хорошо со своей задачей справляется утилита Recuva. Ее следует использовать в тех случаях, когда файл был удален совсем недавно. Если прошло уже достаточно много времени, есть опасность, что запись в MFT окажется затертой. В этом случае задействуются другие возможности.

Трудоемкое восстановление: идентификация файла по сигнатуре

Если в записи MFT для файла установлена метка «Удалено», ее можно переписать заново. Как быстро это произойдет, зависит от нагрузки на жесткий диск. Обычно Windows резервирует для MFT по меньшей мере 12,5% раздела. Для обеспечения быстрого считывания файла запись должна располагаться непрерывно, а не фрагментированно. Вследствие этого запись MFT на переполненном диске быстро становится востребованной.

MFT полностью перезаписывается при форматировании или перемещении раздела. В первом случае Windows создает новую MFT, однако старая таблица физически все еще остается на жестком диске. Программы восстановления, осуществляющие поиск удаленных разделов, такие, например, как TestDisk (есть на нашем DVD), могут их обнаружить. Но чем больше времени прошло с момента форматирования, тем выше вероятность полной или частичной перезаписи таблицы. Неважно, отсутствует ли только запись MFT, или удалена вся таблица файлов, — в обоих случаях поможет RAW-сканирование, при котором программа восстановления распознает данные на основании определенных признаков. Файлы всегда построены одинаково, вне зависимости от их формата, будь то JPEG или DOC: они начинаются с заголовка и информации о формате, затем следует собственно содержимое, и завершается все маркером, обозначающим конец данных.

Заголовок и завершающая запись JPEG содержат специфические последовательности, по которым программа восстановления определяет начало и конец файла. Каждый JPEG начинается с FFD8 и заканчивается FFD9. Формат всегда можно определить по последовательности JFIF (сокращение от JPEG File Interchange Format). Поэтому при RAW-сканировании программе восстановления необходима особая сигнатура для каждого формата, в том числе и утилите ArchoCrypt RescueMaster (ее демоверсия имеется на CHIP DVD). Если же между заголовком и завершающей записью находятся кластеры с содержанием других файлов, то есть файл разбит на несколько фрагментов, обычная утилита не способна его восстановить. С этой задачей справится лишь технология Smart Carving.

Особо сложное восстановление: Smart Carving для фрагментированных файлов

Утилита Adroit Photo Recovery предлагает предварительный просмотр восстанавливаемых изображений Данный метод был разработан в Политехническом институте Нью-Йоркского университета и в настоящее время используется только в одной программе для восстановления файлов — Adroit Photo Recovery (демоверсия есть на нашем DVD). Хотя технология Smart Carving способна реанимировать фрагментированные файлы, процесс сканирования занимает гораздо больше времени, чем обычно, поскольку утилита проводит глубокий анализ. При раздробленности данных и отсутствии главной таблицы файлов программа обнаруживает только поток данных.

Единственными отправными точками здесь выступают последовательности заголовка и завершающей записи, а также размер кластеров. В случае с NTFS он зависит от размера носителя данных. Например, раздел объемом более 2 Гбайт состоит из кластеров по 4 кбайт.

Теоретически может быть так, что все 4 кбайт составляют фрагмент другого файла, но на практике обычно бывает по-другому. Эксперт Симсон Гарфинкель проверил 324 жестких диска, бывших в использовании, на степень фрагментации. Он установил, что количество частей на один файл находится в определенных границах. В системе NTFS небольшие файлы нередко разбиваются всего на два фрагмента. Крупные файлы, например формата JPEG, могут быть разделены более чем на три части, но расщепление на 20 и более элементов встречается очень редко. При этом фрагменты находятся рядом друг с другом: в более чем 70% случаев следующая часть располагается на расстоянии одного, двух или четырех кластеров от предыдущей.

Вероятность того, что восстанавливающему программному обеспечению удастся вернуть к жизни фрагментированный файл, зависит от формата последнего. Так, почти каждый пятый JPEG представлен в виде отдельных частей и может быть реанимирован лишь с помощью технологии Smart Carving.

При необходимости в программе Photo Recovery можно подключить дополнительные эффективные технологии Утилита, использующая технологию Smart Carving, учитывает эти факторы при поиске фрагментированных файлов и за счет этого образом может существенно сократить время полного восстановления разрозненных данных. Сначала она реконструирует все нефрагментированные файлы, чтобы сократить число кластеров, подлежащих упорядочиванию. Затем программа сообщает все заголовки разрозненных файлов и идущие за ними данные, то есть первый фрагмент. Чтобы узнать, где он заканчивается, программа должна считать содержимое файла и проверить, соответствует ли ему содержимое следующего кластера. В случае с форматом JPEG привлечением одной только сигнатуры не обойтись. По сравнению с RAW-сканированием технология Smart Carving уделяет формату файла гораздо больше внимания, поэтому специализируется на меньшем количестве типов данных.

Программа Adroit Photo Recovery ограничивается, помимо JPEG, некоторыми RAW-форматами известных производителей фотокамер.

Для использования этого метода утилите необходима информация о том, как был сжат файл JPEG. Здесь учитываются различные факторы, такие как таблицы квантования, использовавшиеся при сжатии с потерями параметров изображения, или кодировка по алгоритму Хаффмана при завершающем сжатии данных. Эту информацию из заголовка файла утилита передает своему JPEG-декодеру, который распаковывает данные.

Файлы JPEG разбиваются на блоки размером 8х8 пикселей, содержащие соответствующие значения цвета и яркости. Утилита, работающая по технологии Smart Carving, сначала анализирует, может ли кластер в принципе быть декодирован в качестве JPEG. Если в нем содержатся значения, имеющие смысл, программа проверяет разницу между двумя кластерами. Если она слишком велика, значит, достигнут конец фрагмента. Затем приложение осматривает соседние кластеры и сообщает, какой из них больше зависит от предыдущего фрагмента. Это повторяется до тех пор, пока не обнаруживается сигнатура завершения файла.

Теперь JPEG полностью восстановлен.