Как устроен жесткий диск и что происходит с удаленной информацией?


   Если каким-то образом ценная информация пропала с жесткого диска, или логический диск был по неосторожности или по злому умыслу отформатирован, а может даже удален, считается, что восстановление информации невозможно. Однако специалисты уверяют в обратном. Прежде чем продолжить беседу о специальных программах и устройствах, помогающих выполнить восстановление данных после форматирования, стоит разобраться с методом организации записи и хранения информации на логических дисках, плюс изучить наиболее частые причины потери данных. Данные на диске можно потерять разными способами, или, если выразиться точнее, доступ к данным, физически еще находящимся на жестком диске компьютера, можно потерять по разному. Обычно пользователь считает, что данные утеряны, поскольку не может получить к ним доступ средствами операционной системы, ему известными. Но в большинстве случаев можно с уверенностью утверждать, что данные на месте, просто операционная система не может с ними связаться. Есть масса специальных утилит и устройств, помогающих добраться до этих данных, даже тех, которые стерты специально.


   Начнем с рассмотрения устройства жесткого диска. Он представляет собой один или несколько металлических либо стеклянных круглых пластин, каждая имеет две стороны, пригодные для записи данных. На каждой стороне расположены специально выделенные концентрические кольца, называемые иначе дорожками, цилиндрами либо треками, на которых собственно и записана информация. Считывающая головка при поиске нужных данных устанавливается на начало каждой дорожки. Каждая дорожка также разбита на участки, называемые секторами, каждый размером 512 байт. Это минимальная область записи информации. Новые данные начинают записываться в новый сектор, даже если предыдущий не заполнен до конца.


   Когда операционная система форматирует под себя жесткий диск, она объединяет сектора в кластеры – минимальные фрагменты записи и восстановления данных. Во время работы над поверхностями дисков перемещаются головки, выполняющие считывание и запись информации. Для поиска нужных данных головке требуется физическая информация в виде пути к данным, это последовательность номеров стороны диска, дорожки и сектора с данными. Сейчас для жестких дисков актуальна система адресации LBA, в которую контроллер дискового накопителя выполняет конвертацию физической информации. Эта система оптимизирована под восприятие операционной системы. Помимо доступной пользователю и программам информации, на жестком диске записаны служебные данные, необходимые для функционирования жесткого диска.


   На первой дорожке в первом секторе с физическим адресом 0/0/1 записана таблица разделов (Partition Table) и главная загрузочная запись (Master Boot Record). Форматирование жесткого диска и разбивка его на логические диски предполагает создание в начале диска таблицы разделов и главной загрузочной записи. В таблице разделов записаны данные о количестве и характеристиках логических дисков, на которые физически разбит жесткий диск. Возможен случай, когда логический диск один и занимает всю физическую поверхность жесткого диска. Таблица разделов и главная загрузочная запись являются служебной информацией и недоступны рядовому пользователю. В процессе форматирования логического диска специальными утилитами или средствами операционной системы непременно создается FAT (File Allocation Table) – таблица размещения файлов, иначе называемая файловой системой, являющаяся необходимым атрибутом каждого диска.


   О месте хранения каждого файла содержатся сведения в таблице размещения файлов. В начале каждого раздела записаны копии FAT, следом за ними размещаются секторы, содержащие информацию о порядке расположения файлов в корневом каталоге. Они называются Root Directory. За ними следует область пользовательских данных, Data area, которые часто возникает необходимость восстанавливать. То есть именно в Data area часто требуется и вполне возможно восстановление данных.


   Partition Table и FAT служат своеобразной картой для операционной системы, позволяющей ей определить координаты нужных данных и соотнести их с физическим расположением на поверхности диска. Потеря доступа операционной системы к Partition Table и FAT фактически означает потерю данных для пользователя. Поэтому не обязательно физически уничтожать данные, достаточно дезориентировать операционную систему, повредив служебную информацию, в результате операционная система не сможет обеспечить доступ пользователю ко всему диску либо к определенному логическому разделу. Пользователь увидит отсутствие данных и посчитает их потерянными.


   Наиболее распространены случаи потери данных в результате действия вирусов. Действительно, наиболее деструктивным и требующим минимального количества времени воздействием на весь массив данных является повреждение таблицы разделов и главной загрузочной записи. Результатом такого воздействия является фактическая недоступность данных для пользователя, создающая впечатление, что данные удалены и необходимо восстановление файлов. Хотя чаще вирусы воздействуют только на часть Partition Table, обеспечивая сохранение работоспособности системы, но делая недоступной и невидимой пользователю часть жесткого диска.


   Таким образом, налицо ситуация, когда повреждена лишь таблица разделов, а область данных, и в большинстве случаев FAT совершенно не пострадали. В таком случае, чтобы выполнить восстановление данных, достаточно воспользоваться качественной утилитой, которая проанализирует структуру данных диска, выделит FAT, а на ее основе практически полностью выполнит восстановление информации с жесткого диска.


   Обнаружив отсутствие каких-либо логических разделов жесткого диска, прежде всего стоит исключить панику и пресечь всякую запись данных на поврежденный диск, прежде чем специальная утилита не восстановит данные. Сейчас утилиты, восстанавливающие логические разделы вместе с их содержимым, относительно легко доступны.


   Следующей по распространенности причиной утери данных пользователем является повреждение FAT. От степени повреждения зависит общая видимость диска операционной системой. Возможны случаи, когда диск виден, но некоторые файлы недоступны. При более сильных повреждениях система видит логический диск как не отформатированный, а данных не видит вовсе. Чаще всего это тоже результат действия вирусов, направленный на быструю порчу большого массива информации. Однако возможны аппаратные сбои, обычно резкое отключение питания компьютера при обновлении информации в FAT. А поскольку работа с FAT выполняется постоянно, шанс, что отключение питания придется на момент перезаписи информации, высок. Нередки также случаи намеренной порчи или попытки сокрытия данных, когда пользователь сознательно выполняет форматирование логического диска. Тогда система не теряет доступа к логическому диску, но никаких данных на нем не видит. Восстановление данных после форматирования также возможно с помощью специальных программ восстановления данных.


   Выяснилось следующее: если диск отформатирован, повреждена или разрушена FAT, область данных диска обычно в сохранности. Операционная система может не видеть логический диск или видеть его пустым, но, тем не менее, данные остаются на месте. Обнаружив повреждение, не следует выполнять запись данных на поврежденный диск, ведь он, остается доступным для действий операционной системы. Старые данные будут безвозвратно утеряны в случае записи поверх них новой информации. Следует применить специальные программы для восстановления данных, которые чаще всего хорошо выполняют восстановление информации с жесткого диска, если повреждена только файловая система, или восстановление данных после форматирования.


   Следующей по распространенности причиной потери нужных данных является случайное или намеренное удаление информации средствами удаления операционной системы. Так, операционная система Windows переносит данные в корзину и хранит их там до определенного пользователем момента, оставляя возможность их восстановления. Этот случай тривиальный и будет рассматриваться, хотя находятся пользователи, считающие удаленные в корзину файлы безвозвратно утраченными. Но если даже если файлы удалялись с нажатым Shiftом или корзина очищена, они становятся недоступны пользователю, но фактически еще не стерты с поверхности жесткого диска. Ведь даже гигантские файлы удаляются за небольшое время, а если бы они затирались физически, время было бы затрачено гораздо большее. Пользователь этот файл уже не видит, но система лишь помечает файл как удаленный, добавляя в имя этого файла определенную метку, и делает занимаемое им место возможным для перезаписи. Таким образом, восстановление удаленных средствами операционной системы файлов также возможно до момента записи новых данных на их место.