Размещено на http://www.allbest.ru/

Государственное образовательное бюджетное учреждение среднего профессионального образования Воронежской области

"Воронежский техникум строительных технологий"

Дипломный проект

на тему: "Разработка технологии восстановления данных для файловых систем FAT и NTFS"

Специальность: 230106 "Техническое обслуживание средств вычислительной техники и компьютерных сетей"

Воронеж 2012

Содержание

• Введение
• 1. Обзорно-постановочная часть
• 1.1 Файловая система FAT
• 1.2 Файловая система NTFS
• 1.3 Загрузочный сектор
• 1.4 Корневой каталог
• 1.5 Таблица размещения файлов
• 1.6 Кластер (ячейка размещения)
• 1.7 Размер кластера FAT 32
• 1.8 Архитектура NTFS
• 1.9 Совместимость NTFS
• 1.10 Инструменты для NTFS
• 1.11 Плюсы и минусы Файловых систем FAT и NTFS
• 1.12 Анализ основных неисправностей жестких дисков и методы восстановления данных

1.13 Программные средства восстановления данных

• 1.14 Анализ основных способов защиты жесткого диска и флеш карты от потери информации
• Глава 2. Проектная часть
• 2.1 Восстановление служебной информации в MFT
• 2.2 Поиск таблицы MFT
• 2.3 Простое восстановление данных при логическом сбое
• 2.4 Ручное восстановление данных в FAT32
• 2.5 Восстановление главной загрузочной записи

Глава 3. Расчётно-экономическая часть

• Глава 4. Техника безопасности
• 4.1 Требования безопасности перед началом работы
• 4.2 Требования безопасности во время работы
• 4.3 Требования безопасности по окончании работы
• 4.4 Требования электробезопасности
• 4.5 Требования по обеспечению пожарной безопасности
• Заключение
• Список использованной литературы
• Приложение
• Введение
• Обычно вся рабочая информации на компьютере пользователя хранится на жестком диске. Даже при наличии абсолютно исправного винчестера нет гарантии того что данные не будут потеряны. Но как бы ни казалось, что на жестком диске файлы могут храниться вечно, нужно знать, что проблемы с файловой системой, Аппаратные проблемы жесткого диска или проблемы отдельных файлов могут привести к неминуемой утрате данных
• Целью дипломной работы стало составления алгоритма, который может помочь пользователю восстановить утраченную информацию своими силами, без обращения в специализированные центры. Использование таких центров, как правило, не могут гарантировать полную конфиденциальностью восстанавливаемых данных, к тому же это отнимает немало времени и средств.
• В своей работе я рассматриваю способы простого автоматического восстановления с помощью специализированных утилит и способы ручного восстановления, связанные с использованием редакторов, обращающихся к памяти напрямую, позволяя просматривать и редактировать отдельные сектора. Данные алгоритмы включают инструкции для восстановления данных с носителей, отформатированных в самые популярные файловые системы - FAT32 и NTFS, но в ряде случаев эти алгоритмы могут помочь и в восстановлении менее распространенных файловых систем так как проблема восстановления файлов в наше время достаточно широко разбирается я считаю актуальной тему моего диплома по созданию технологии восстановления данных с различных файловых систем, т.к. утраченная информация на жестком диске или на флеш-накопителе может оказаться очень важной и бывает нужно эту информацию извлечь за очень короткий период. Я думаю, мой дипломный проект сможет помочь пользователю восстановить данные с разных файловых систем.

1. Обзорно-постановочная часть

1.1 Файловая система FAT

Файловая система FAT (File Allocation Table) представляет собой простую файловую систему, разработанную для небольших дисков и простых структур каталогов. Название этой файловой системы происходит от метода, применяемого для организации файлов, - таблица размещения файлов (File Allocation Table, FAT), которая размещается в начале тома. В целях защиты тома на нем хранятся две копии FAT, на тот случай, если одна из них окажется поврежденной. Кроме того, таблица размещения файлов и корневой каталог должны размещаться по строго фиксированным адресам, чтобы файлы, необходимые для запуска системы, были размещены корректно.

Том, отформатированный для использования файловой системы FAT, размечается по кластерам. Размер кластера по умолчанию определяется размером тома. При использовании файловой системы FAT номер кластера должен иметь длину не более 16 бит и представлять собой одну из степеней 2. Размеры кластеров по умолчанию в зависимости от размера тома. При форматировании тома FAT с помощью программы Format из командной строки пользователь имеет возможность указать другой размер кластера, отличный от значения, устанавливаемого по умолчанию. Таблицы расположения файлов (области FAT1 и FAT2) содержат следующую информацию о каждом кластере тома:

· Unused (кластер не используется)

· Cluster in use by a file (кластер используется файлом)

· Bad cluster (плохой кластер)

· Last cluster in a file (последний кластер файла)

Корневой каталог содержит записи для каждого файла и каждого каталога, расположенных в корневом каталоге.

Единственным различием между корневым каталогом и всеми остальными каталогами является то, что корневой каталог занимает четко определенное место на диске и имеет фиксированный размер (512 записей для жесткого диска; для флеш памяти этот размер определяется объемом накопителя).

Каталоги содержат 32-байтные записи для каждого содержащегося в них файла и каждого вложенного каталога. Эти записи содержат следующую информацию:

· имя (в формате "8+3"),

· байт атрибутов (8 бит),

· время создания (24 бит),

· дата создания (16 бит),

· дата последнего доступа (16 бит),

· время последней модификации (16 бит),

· дата последней модификации (16 бит),

· номер начального кластера файла в таблице расположения файлов (16 бит),

· размер файла (32 бит).

Структура каталога FAT не имеет четкой организации, и файлам присваиваются первые доступные адреса кластеров на томе. Номер начального кластера файла представляет собой адрес первого кластера, занятого файлом, в таблице расположения файлов. Каждый кластер содержит указатель на следующий кластер, использованный файлом, или индикатор (OxFFFF), указывающий на то, что данный кластер является последним кластером файла.

Поскольку все записи каталога имеют одинаковый размер, байт атрибутов для каждой записи описывает тип этой записи. Один бит указывает, что запись является, например, подкаталогом, в то время, как другой бит помечает запись как метку тома. Как правило, настройкой этих атрибутов управляет только операционная система.

Файл FAT имеет 4 атрибута, которые могут сбрасываться и устанавливаться пользователем:

· archive file (архивный файл),

· system file (системный файл),

· hidden file (скрытый файл),

· read-only file (файл только для чтения).

Доступ к файлам, хранящимся на томах, использующих файловую систему FAT, может быть осуществлен, если компьютер работает под управлением одной из следующих операционных систем: MS DOS, Windows 95, Windows NT, OS/2.

Ограничение системы FAT на размер логического диска составляет 2 Gb. При этом каждая запись FAT (на разделах объемом более 16 Mb) является 2-байтовым числом, следовательно, на логическом разделе может быть не более 65536 кластеров. Поэтому на дисках объемом более 1 Gb размер кластера в системе FAT составляет 32 KВ, т.е. "хвост" (slack) каждого файла занимает от 0 до 32 КB, из чего следует, что каждая тысяча файлов поглощает в среднем 16 Mb дискового пространства. Файловую систему FAT, вследствие больших накладных расходов памяти, не рекомендуется использовать для томов, размер которых превышает 511 Mb.

В Windows NT файловая система FAT работает точно так же, как и в MS DOS, и Windows 9х. Windows NT можно установить на существующем разделе FAT. В процессе работы под управлением Windows NT можно копировать файлы с томов FAT на тома NTFS и обратно.

Нельзя использовать Windows NT совместно с программными средствами, осуществляющими разбиение диска на тома и сжатие дисков с использованием драйверов устройств, которые загружаются MS-DOS. Поэтому, если необходимо иметь доступ к разделу или логическому диску

FAT, работая под управлением Windows NT, не стоит пременять для них таких средств, как DoubleSpace (MS DOS 6.0) или DiskSpace (MS DOS 6.22).

В таблице 1 приведено сравнение файловых систем FAT 16 и FAT 32

Таблица 1. Сравнение файловых систем FAT 16 и FAT 32

FAT16	FAT32
Реализована и используется большинством операционных систем (MS-DOS, Windows 98, Windows NT, OS/2, UNIX).	На данный момент поддерживается только в Windows 95 OSR2 и Windows 98.
Очень эффективна для логических дисков размером менее 256 Мбайт.	Не работает с дисками объемом менее 512 Мбайт.
Поддерживает сжатие дисков, например по алгоритму DriveSpace.	Не поддерживает сжатие дисков.
Обрабатывает максимум 65 525 кластеров, размер которых зависит от объема логического диска. Так как максимальный размер кластеров равен 32 Кбайт, FAT16 может работать с логическими дисками объемом не более 2 Гбайт.	Способна работать с логическими дисками объемом до 2 047 Гбайт при максимальном размере кластеров в 32 Кбайт.
Чем больше размер логического диска, тем меньше эффективность хранения файлов в FAT'16-системе, так как увеличивается и размер кластеров. Пространство для файлов выделяется кластерами, и поэтому при максимальном объеме логического диска файл размером 10 Кбайт потребует 32 Кбайт, а 22 Кбайт дискового пространства пропадет впустую.	На логических дисках объемом менее 8 Гбайт размер кластеров составляет 4 Кбайт.

1.2 Файловая система NTFS

Файловая система Windows NT (NTFS) обеспечивает производительность, надежность и совместимость, которые не в состоянии предоставить файловая система FAT. NTFS разрабатывалась с целью обеспечения скоростного выполнения стандартных операций над файлами (включая чтение, запись, поиск) и предоставления специализированных возможностей, включая восстановление поврежденной файловой системы на чрезвычайно больших дисках.

Кроме того, NTFS обладает характеристиками защищенности, которые необходимы на мощных файловых серверах и высокопроизводительных компьютерах в корпоративных средах. Файловая система NTFS поддерживает контроль доступа к данным и привилегии владельца. Разделяемые папки на компьютере Windows NT имеют назначенные им права доступа, папки и файлы NTFS могут иметь назначенные им права доступа вне зависимости от того, являются они разделяемыми или нет. NTFS единственная файловая система в Windows NT, которая позволяет назначать права доступа к отдельным файлам. Однако, если файл будет скопирован из раздела или тома NTFS на раздел или том FAT, все права доступа и другие уникальные атрибуты, присущие файловой системе NTFS, будут потеряны.

Файловая система NTFS является простой, и одновременно чрезвычайно мощной. Практически все, что имеется на томе, представляет собой файл, а все, что имеется в файле представляет собой атрибут, включая атрибуты данных, атрибуты системы безопасности, атрибуты имени файла. Каждый занятый сектор на томе NTFS принадлежит какому-нибудь файлу. Частью файла являются даже метаданные файловой системы (информация, которая представляет собой описание самой файловой системы).

Файловая система NTFS, как и FAT, использует кластеры в качестве фундаментальной единицы дискового пространства. В NTFS размер кластера

по умолчанию зависит от размера тома. Программа Disk Administrator позволяет устанавливать размер кластера до 16 КВ. Если для форматирования тома NTFS используется программа Format, запускаемая из командной строки, то нужный размер кластера можно указать в качестве параметра этой команды.

Форматирование тома для использования файловой системы NTFS приводит к созданию нескольких системных файлов и главной таблицы файлов (Master File Table, MFT). MFT содержит информацию обо всех файлах и папках, имеющихся на томе NTFS.

Основную информацию о томе NTFS содержит загрузочный сектор раздела (Partition Boot Sector), который начинается с сектора 0 и может иметь длину до 16 секторов. Он состоит из двух структур:

· блока параметров BIOS. Эта структура содержит информацию о строении тома и структурах файловой системы.

· кода, который описывает, как найти и загрузить файлы для любой из загружаемых операционных систем.

Файловая система NTFS воспринимает каждый файл и каждую папку в виде набора атрибутов. Атрибутами файла являются его имя, информация системы безопасности, и даже содержащиеся в нем данные. Каждый атрибут идентифицируется кодом типа атрибута и, в качестве необязательного параметра, - именем атрибута.

1.3 Загрузочный сектор

Загрузочный сектор - это первый сектор на любом логическом диске DOS. Например, на флеш-накопителе это самый первый физический сектор, так как флеш-память нельзя разбить на разделы, и она имеет только один логический диск. На жестком диске загрузочный сектор (секторы) располагается в начале каждого раздела, не являющегося дополнительным, или в начале любой области диска, распознаваемой как логический диск DOS.

Эти секторы немного похожи на загрузочные секторы разделов, так как содержат таблицы со специальной информацией о логическом диске.

Блок параметров диска, в котором содержится специфическая информация, например размер раздела, количество используемых секторов диска, размер кластера и метка тома.

Загрузочный код - программа, которая начинает процесс загрузки операционной системы. Для DOS и Windows 9x/Me это файл Io . sys.

Загрузочный сектор флешь накопителя ROM BIOS, а при загрузке системы с жесткого диска MBR передает управление загрузочному сектору активного раздела. В обоих случаях загрузочный сектор логического диска получает управление. Он выполняет некоторые проверки и затем пытается прочитать с диска первый системный файл (в DOS/Windows это файл Io . sys). Загрузочный сектор не виден, так как находится вне области хранения файлов логического диска.

Загрузочный сектор логического диска создается программой DOS и Windows 9x Format. На жестком диске загрузочные секторы есть в начале каждого логического диска как в основном, так и в дополнительном разделах. Все загрузочные секторы наряду с данными о логическом диске содержат специальную запись, однако при загрузке выполняется код только того сектора, который находится в активном разделе. Остальные секторы просто считываются операционной системой для определения параметров логических дисков.

1.4 Корневой каталог

Каталог - это база данных, содержащая информацию о записанных на диске файлах. Каждая запись в ней имеет длину 32 байта, и между записями не должно быть никаких разделителей. В каталоге сохраняется практически вся информация о файле, которой располагает операционная система.

¦ имя файла и расширение - восемь символов имени и три символа расширения; точка между именем и расширением файла подразумевается, но не включается в эту запись.

байт атрибутов файла, содержащий флаг, который представляет стандартные атрибуты файла.

время и дата создания файла или его модификации.

размер файла в байтах.

ссылка на начальный кластер - номер кластера, с которого начинается файл.

Информация о расположении файла, т.е. расположении оставшихся кластеров, содержится в FAT.

Существует два основных типа каталогов: корневой каталог и подкаталог. Различаются они максимальным количеством хранящихся файлов. На каждом логическом диске в фиксированном месте, сразу же за копиями FAT, располагается корневой каталог. Размеры корневых каталогов варьируются в зависимости от размера диска, но каждый конкретный корневой каталог имеет фиксированное максимальное число файлов. Длина корневого каталога фиксируется при создании логического диска и не может быть изменена в процессе работы. Размер корневого каталога различных накопителей показан в таблице 2 . В FAT32 корневой каталог, как и любой другой, имеет переменный размер и является цепочкой кластеров. Номер первого кластера корневого каталога отражается BPB_RootClus. Корневой каталог имеет следующие отличия от других каталогов тома FAT:

§ у него нет меток даты и времени;

§ нет собственного имени (кроме "\");

§ он не содержит файлов с именами "." и ".."

§ является единственным каталогом, в котором может штатно располагаться файл метки тома

Таблица 2

Тип накопителя	Максимальное количество записей
Жесткий диск	512
Дисковод 1.44 Мбайт	224
Дисковод 2.88 Мбайт	448
Jaz и Zip	512
Ls-120	512

Все каталоги имеют одинаковую структуру. Записи в этой базе данных сохраняют важную информацию о файлах, которая связана с информацией, хранящейся в FAT, посредством одного из полей записи - номера первого занимаемого файлом кластера на диске. Если бы все файлы на диске не превышали размеров одного кластера, потребности в FAT вообще бы не возникло. В FAT содержится информация о файле, отсутствующая в каталоге, - номера кластеров, в которых расположен весь файл.

Чтобы отследить расположение всего файла на диске, нужно обратиться к каталогу и выяснить номер первого кластера и длину файла. Затем, используя таблицу размещения файлов, просмотреть цепочку кластеров, занимаемых файлом, пока не дошли до конца файла.

1.5 Таблица размещения файлов

Таблица размещения файлов (FAT) содержит номера кластеров, в которых расположены файлы на диске. Каждому кластеру в FAT соответствует одно число. Секторы, не содержащие пользовательских данных (файлов), не отражены в FAT.

FAT - это электронная таблица, управляющая распределением дискового пространства. Каждая ячейка этой таблицы связана с определенным кластером на диске. Число, содержащееся в этой ячейке, сообщает о том, использован ли данный кластер под какой-либо файл и, если использован, где находится следующий кластер этого файла.

Каждая ячейка FAT хранит шестнадцатеричное значение длиной 12 или 16 бит. Шестнадцатиразрядные FAT более удобны в работе, так как значительно легче редактировать поля размером в два байта, чем в полтора. Чтобы самостоятельно отредактировать FAT, необходимо выполнить некоторые математические преобразования для получения номера кластера. Многие программы позволяют отредактировать FAT автоматически. В большинстве этих программ номера кластеров представлены в десятичном виде, наиболее удобном для пользователей.

В FAT кластеры с ненулевыми значениями используются, а специальное значение указывает дальнейшее расположение файла. В кластере 1000 указывается кластер 1001, в 1001 - 1002, в 1002- 1003, а в 1003 записано значение FFFFh, т.е. на этом кластере файл заканчивается. Пример с фрагментированным файлом. Пусть файл Usconst. txt записан, начиная с кластера номер 1000. А файл Pledge . txt начинается с кластера 1002. Таким образом, файл Usconst. txt становится фрагментированным. Описанная ситуация иллюстрируется данными в таблице 2

Таблица 2

Каталог
Имя	Начальный кластер	Размер
Pledge.TXT	1002	2
Usconst.TXT	1000	4
FAT16
Номер кластера	Значение	Назначение
00002	0	Первый доступный кластер
00999	0	Кластер доступен
01000	1001	Используется: ссылка на следующий кластер
01001	1004	Используется: ссылка на следующий кластер
01002	1003	Используется: ссылка на следующий кластер
01003	ffffh	Конец файла
01004	1005	Используется: ссылка на следующий кластер
01005	ffffh	Конец файла
…..	……	…….
65526	0	Последний доступный кластер

В данном примере в файл Usconst. txt "внедряется" файл Pledge . txt, что приводит к непоследовательному расположению файлов на диске, т.е. фрагментации. В операционных системах DOS и Windows есть программы дефрагментации, которые перемещают файлы для их последовательного размещения на диске.

Первые две записи FAT зарезервированы и содержат информацию о самой FAT, все остальные указывают на соответствующие кластеры диска. Большинство записей FAT состоит из ссылок на кластеры, в которых содержатся части определенного файла, а некоторые содержат специальные шестнадцатеричные значения:

0000h - кластер не используется;

FFF7h - как минимум один сектор в кластере поврежден и не может быть использо ван для хранения данных;

FFF8h-FFFFh - кластер содержит конец файла.

Тип используемых FAT определяется программой Fdisk, хотя записываются они в процессе форматирования высокого уровня программой Format. На всех Flash -накопителях применяется 32-разрядная FAT, а на жестком диске может использоваться как 12-, так и 16-разрядная FAT так и FAT-32, в зависимости от размера логического диска. На дисках размером меньше 16 Мбайт (32 768 секторов) применяется 12-разрядная FAT, на дисках большего размера- 16-разрядная, а на дисках размером более 512 Мбайт при использовании Windows 95 OSR2 и Windows 98 - 32-разрядная FAT.

Программа Fdisk обычно создает на одном диске две копии FAT. Каждая копия занимает несколько последовательных секторов на диске, и вторая копия записывается непосредственно после первой. К сожалению, операционная система использует (повторяется) вторую копию FAT только в том случае, когда невозможно прочитать секторы, содержащие первую копию. Таким образом, если первая копия FAT пропадет (весьма распространенная ситуация), операционная система не будет использовать вторую копию. Даже команда Chkdsk не проверяет вторую копию FAT. Кроме того, каждый раз, когда операционная система обновляет первую копию FAT, большие участки первой копии автоматически копируются во вторую. Если же первая копия повреждена, то и вторая окажется поврежденной: после обновления FAT вторая копия отражает все изменения в первой копии, включая и ошибки. Обе копии FAT редко отличаются одна от другой, по крайней мере в течение продолжительного срока: при обновлении первая копия FAT автоматически копируется во вторую.

Учитывая все это, можно сказать, что применение второй копии FAT ограничивается только операциями по восстановлению дефектных данных. Но даже в такой ситуации использовать вторую копию FAT можно только в том случае, когда проблема решается немедленно, не дожидаясь очередного обновления FAT.

1.6 Кластер (ячейка размещения)

Кластер является наименьшей ячейкой на диске, которой может оперировать система при чтении или записи файла на диск. Это позволяет уменьшить размер FAT и ускорить работу операционной системы, так как ей приходится оперировать меньшим числом распределяемых ячеек. В то же время с увеличением размера кластера на диске растет и размер неиспользуемого дискового пространства, так как его распределение происходит с дискретностью в один кластер.

Для жестких дисков размер кластера может варьироваться в зависимости от размера раздела диска. Использование кластеров больших размеров ощутимо сказывается на работе системы. Например, на диске емкостью 200 Гбайт, содержащем 5 000 файлов, со средней потерей дискового пространства в полкластера на один файл суммарные потери дискового пространства составят около 0.03%

FAT использует записи размером 16 байт для ссылки на кластер в разделе, максимально возможное число кластеров может равняться 65 536 (216). Максимальный размер кластера - 32 Кбайт, следовательно, максимально возможный размер раздела - 2 047,6875 Мбайт.

Операционные системы начиная с Windows 95 поддерживают 32-разрядную FAT с размером кластера до 64 Кбайт. С одной стороны, использование большего количества маленьких кластеров позволяет уменьшить потери дискового пространства, а с другой - большие кластеры необходимы для больших логических дисков. Так, использование 32-разрядных FAT позволяет превысить существующий на данный момент лимит в 2 Гбайт для одного раздела до 2 Тбайт (2 048 Гбайт). Вообще же, предел в 2 Гбайт существует только для DOS; такие операционные системы, как Windows 9x и Windows NT, давно уже его преодолели.

1.7 Размер кластера FAT 32

Поскольку раздел FAT 32 имеет больше кластеров, чем раздел FAT 16, размер кластера уменьшается. Использование меньшего кластера снижает потери дискового пространства. Например, раздел размером 2 Гбайт с 5 000 файлов в FAT 32 использует кластер размером 4 Кбайт, вместо 32 Кбайт в FAT 16. Такое уменьшение размера кластера снижает потери дискового пространства с 78 до 10 Мбайт. Для сравнения FAT 16 и FAT 32 необходимо посмотреть, как в этих файловых системах организовано хранение данных. Номера кластеров в FAT 16 хранятся в виде 16-разрядных записей (0000h-FFFFh). Максимальное значение FFFFh соответствует десятичному 65 536, но несколько значений зарезервированы для специальных целей. Реальное число кластеров в FAT 16 лежит в диапазоне 0002h-FFF6h, или 2-65 526. Таким образом, для хранения файлов используется 65 524 кластера.

В FAT 32 количество кластеров лежит в диапазоне 00000000h-FFFFFFFFh, или 0- 4 294 967 295. Как и в FAT 16 верхние и нижние кластеры зарезервированы для специальных целей и их номера лежат в диапазоне 00000002h-FFFFFFF6h, или 2-4 294 967 286. Таким образом, для хранения файлов можно использовать 4 294 967 284 кластера. Накопитель на жестких дисках разбит на большее количество кластеров, каждый из которых становится меньше, что снижает потери дискового пространства.

В таблице 3 приведен размер кластера при использовании FAT 32 с различными размерами разделов.

Таблица 3

Размер раздела	Размер кластера, байт
До 200 мбайт	512
260 Мбайт- 8 Гбайт	4096
6-16 Гбайт	8 192
16-32 Гбайт	16 384
32 Гбайт-2 Тбайт	32 768

Уменьшение размера кластера приводит к увеличению записей в FAT. Раздел размером 2 Гбайт с FAT 32 использует 524 288 записей, в то время как аналогичный раздел с FAT 16 использует 65 536 записей. Следовательно, таблица FAT 16 имеет размер 128 Кбайт (65 536 записей х 16 бит = 1 048 576 бит, или 131 072 байт, или 128 Кбайт), а таблица FAT 32 - 2 Мбайт.

Размер FAT существенно влияет на производительность файловой системы. В Windows модуль VCACHE пытается загрузить FAT в оперативную память для повышения производительности системы. Выбор кластера размером 4 Кбайт на дисках емкостью до 8 Гбайт обеспечивает компромисс между производительностью и размером FAT в оперативной памяти.

Несмотря на то что размер FAT в файловой системе FAT 32 практически в двадцать раз больше, чем в FAT 16, появляется незначительный (менее 5%) прирост производительности FAT 32 в операционной системе Windows 9x. Это отчасти достигается использованием в персональных компьютерах самых современных накопителей на жестких дисках.

1.8 Архитектура NTFS

Несмотря на существующие различия в структуре раздела файловых систем FAT и NTFS, они имеют подобные элементы, например загрузочную область. Раздел NTFS состоит из главной таблицы файлов (master file table - MFT). MFT - это не то же самое, что FAT. Вместо использования таблицы со ссылками на кластеры, MFT содержит больше информации о файлах и каталогах в разделе.

В некоторых случаях MFT может даже содержать файлы и каталоги.

При организации раздела NTFS система создает 10 системных файлов NTFS, эти файлы приведены в таблице 4.

Таблица 4

Имя файла	Назначение	Описание
$attrdef	Таблица определения атрибутов	Содержит определение всех системных и пользовательских атрибутов раздела
$logfile	Файл журнала	Файл журнала транзакций используемый для восстановления
$quota	Таблица квот	Таблица квот пользователей на данном разделе (только в NTFS 5)
$upcase	Таблица символов	Таблица используется для преобразования символов верхнего и нижнего регистров в символы верхнего регистра Unicode
$volume	Раздел	Содержит информацию о разделе, например имя раздела и версию
$mft	Master File Table	Содержит запись для каждого файла в разделе NTFS в его атрибуте Data
$mftmirr	Master File Table(2)	Зеркальная копия MFT, используется для восстановления
$badclus	Файл поврежденных секторов	Содержит все поврежденные секторы раздела
$bitmap	Карта распределения кластеров	Содержит карту всего раздела, указывающие на занятые кластеры
$boot	Загрузочный файл	Содержит загрузочную информацию (если раздел загрузочный)

Первая запись в MFT называется дескриптором (descriptor) и содержит информацию о расположении самой MFT. Загрузочный сектор в разделе NTFS содержит ссылку на расположение записи дескриптора.

Вторая запись в MFT - это зеркальная копия дескриптора. Такое избыточное хранение данных обеспечивает большую устойчивость к ошибкам.

Третья запись - это запись файла журнала. Все операции (транзакции) в NTFS записываются в специальный файл журнала, что позволяет восстановить данные после сбоя. Остальная часть MFT состоит из записей для файлов и каталогов, которые хранятся в разделе. В файле NTFS хранятся атрибуты, определенные пользователем и системой. Атрибуты в разделе NTFS - это не простые флаги из раздела FAT. Вся информация о файле, т.е. атрибуты, в NTFS сохраняется вместе с файлом и является частью самого файла. Каталоги в NTFS состоят в основном из индексов файлов в этом каталоге и не содержат такой информации о файле, как размер, дата, время и др.

Таким образом, MFT - это не просто список кластеров, это основная структура хранения данных в разделе. Если файл или каталог относительно небольшой (около 1 500 байт), его запись может храниться в MFT. Для больших массивов данных в MFT помещается указатель на файл или каталог, а сами данные располагаются в других кластерах в разделе. Эти кластеры называются экстентами (extents). Все записи в MFT, включая дескрипторы и файл журнала, могут использовать экстенты для хранения дополнительных атрибутов. Атрибуты файла, которые являются частью записи MFT, называются резидентными (resident), а атрибуты, расположенные в экстентах, нерезидентными (nonresident).

NTFS 5.0 в Windows 2000 используется новая версия NTFS - файловая система NTFS 5. При установке Windows 2000 все существующие разделы NTFS автоматически обновляются до NTFS 5. Если на компьютере также используется Windows NT (мультизагрузка), то необходимо установить пакет обновления Service Pack 4 (SP4) или последующий, чтобы эта система могла работать с разделами NTFS 5. В процессе обновления изменяется версия драйвера NTFS . SYS.

Файловая система NTFS 5 обладает несколькими новыми свойствами.

¦ Квотирование диска. Администраторы системы могут устанавливать для пользователей ограничения на использование диска. Эти квоты могут быть нескольких уровней: Off, Tracking и Enforced.

Шифрование. NTFS 5 поддерживает автоматическое шифрование и дешифрование файлов при их записи и считывании с диска.

Особые объекты файловой системы. Позволяют использовать точки монтирования, т.е. перенаправление записи и считывания данных из папки на другой раздел или физический диск.

Поддержка больших файлов. Это свойство позволяет более экономно расходовать дисковое пространство.

Журнал номеров последовательных обновлений. Обеспечивает ведение журнала всех изменений файлов раздела.

Обратите внимание, что большинство этих свойств поддерживается только операционной системой Windows 2000.

1.9 Совместимость NTFS

Получить доступ к разделу NTFS из DOS и других операционных систем нельзя. Windows NT предназначена для использования в качестве сетевой операционной системы, поэтому доступ к файлам в разделе NTFS можно получить с помощью сети. Для этого в NTFS поддерживаются имена файлов, удовлетворяющие стандарту "восемь-точка-три".

Основное преимущество NTFS - обеспечение безопасности файлов и каталогов. Атрибуты безопасности в NTFS называются разрешениями (permissions) и устанавливаются системным администратором посредством предоставления доступа к данным на уровне прав пользователей и групп пользователей.

Однако можно установить FAT-атрибуты файлов в NTFS с помощью стандартных инструментов операционной системы Windows NT/2000, например программы Windows NT Explorer или команды DOS Attrib. При копировании файлов из раздела NTFS в FAT все атрибуты файла сохраняются, и пользователь с правами полного доступа не сможет удалить файл с FAT-атрибутом "только для чтения".

Алгоритм создания коротких имен файлов в Windows NT практически такой же, как и в файловой системе VFAT Windows 9x. Процесс создания имени файла, удовлетворяющего стандарту "восемь-точка-три" для операционных систем Windows 9x, а также особенности этого процесса в Windows NT/2000 описаны выше

Стандарт 8.3 это правило записи имени файлов

1. Первых три символа после последней точки в длинном имени файла становятся расширением псевдонима.

2. Первых шесть символов длинного имени файла (за исключением пробелов, которые игнорируются) преобразуются в символы верхнего регистра и становятся первыми шестью символами стандартного имени файла. Недопустимые в стандартном имени файла символы (+,; = []) преобразуются в символы подчеркивания.

1.10 Инструменты для NTFS

В связи с тем, что файловые системы NTFS и FAT различаются по своей структуре, в NTFS нельзя использовать дисковые утилиты для FAT. Сама NTFS содержит средства восстановления данных. Кроме того, некоторые дисковые утилиты поставляются с операционной системой Windows NT/2000. Последние версии программ для работы с диском, например Norton Utilities 2000, могут работать со всеми версиями Windows, значит, и со всеми операционными системами - FAT 16, FAT 32 и NTFS.

1.11 Плюсы и минусы Файловых систем FAT и NTFS

Рассмотрим плюсы и минусы таких файловых систем как NTFS и FAT 32

FAT плюсы:

1. Для эффективной работы требуется немного оперативной памяти.

2. Быстрая работа с малыми и средними каталогами.

3. Диск совершает в среднем меньшее количество движений головок (в сравнении с NTFS).

4. Эффективная работа на медленных дисках.

FAT - минусы:

1. Катастрофическая потеря быстродействия с увеличением фрагментации, особенно для больших дисков (только FAT32).

2. Сложности с произвольным доступом к большим (скажем, 10% и более от размера диска) файлам.

3. Очень медленная работа с каталогами, содержащими большое количество файлов.

NTFS - плюсы:

1. Фрагментация файлов не имеет практически никаких последствий для самой файловой системы - работа фрагментированной системы ухудшается только с точки зрения доступа к самим данным файлов.

2. Сложность структуры каталогов и число файлов в одном каталоге также не чинит особых препятствий быстродействию.

3. Быстрый доступ к произвольному фрагменту файла (например, редактирование больших.wav файлов).

4. Очень быстрый доступ к маленьким файлам (несколько сотен байт) - весь файл находится в том же месте, где и системные данные (запись MFT).

NTFS - минусы:

1. Существенные требования к памяти системы (64 Мбайт - абсолютный минимум, лучше - больше).

2. Медленные диски и контроллеры без Bus Mastering сильно снижают быстродействие NTFS.

3. Работа с каталогами средних размеров затруднена тем, что они почти всегда фрагментированы.

4. Диск, долго работающий в заполненном на 80% - 90% состоянии, будет показывать крайне низкое быстродействие

1.12 Анализ основных неисправностей жестких дисков и методы восстановления данных

Все случаи восстановления данных можно разделить на логические (программные) сбои и аппаратные неисправности. При логических сбоях жесткий диск физически исправен, но данные недоступны. Это повреждение файловой системы, случайное форматирование диска, удаление разделов и прочее. Восстановление данных производится программными способами, без вскрытия гермоблока диска. В случае аппаратных неисправностей, производится сначала ремонт жесткого диска в зависимости от поломки: замена блока магнитных головок, платы электроники, расклинивание вала двигателя, пересадка магнитных пластин. После восстановления винчестера в рабочее состояние, с помощью программно-аппаратного комплекса PC-3000, вычитывается посекторная копия-образ диска. Существуют ещё такие комплексы как ЛанСил, Depo.

Основные ошибки, которые могут привести к утери данных на жестком диске

1. Нечитаемые сектора жесткого диска (Bad-блоки) - частичное повреждение магнитных пластин жесткого диска, сбойные сектора винчестера или кластеры, помеченные таковыми в структурах файловой системы. Признаки: жесткий диск начинает работать нестабильно, заметно падает скорость чтения, так как магнитные головки не могут прочитать или записать информацию на повреждённый участок. Встречается практически на всех моделях винчестеров в той или иной степени. Восстановление HDD производится с использованием программно - аппаратного комплекса PC-3000, который производит максимально полную копию, путем посекторного копирования на исправный носитель.

2. Неисправность контроллера (плата электроники). В большинстве случаев, при этой поломке, сгорает микросхема контроллера. Выражается это так - двигатель жесткого диска не запускается и не издаёт никаких звуков. Данная неисправность обычно возникает в результате выгорания компонентов платы электроники, электрического пробоя, статического электричества, неисправного блока питания компьютера или неверного подключения полярности разъёма питания жесткого диска. Для ремонта жесткого диска (HDD) и восстановления диска производится замена платы электроники с перепайкой (перепрошивкой) ПЗУ контроллера или ремонтом исходного контроллера, если это возможно.

3. Неисправность блока магнитных головок (БМГ). Жесткий диск при такой неисправности издаёт периодичные щелчки и после некоторого времени может остановить двигатель (в зависимости от модели). Обычно неисправность возникает после ударов или падений жесткого диска с большой высоты. Щелчки говорят о том, что системная головка не может обнаружить серворазметку, и накопитель постоянно производит рекалибровку. В этом случае производится восстановление hdd, путем перестановки блока магнитных головок с исправного донора с последующим центрированием магнитных пластин. Затем на стенде PC-3000 делается посекторная копия на исправный носитель.

4. Выход из строя коммутатора - предусилителя. Коммутатор - предусилитель располагается непосредственно на блоке магнитных головок и служит для усиления сигнала идущего от магнитных головок к контроллеру жесткого диска. Выход из строя коммутатора - предусилителя является следствием выходом из строя платы электроники. На современных жестких дисках конструктивно выполнен таким образом, что отдельно замена или перепайка коммутатора-предусилитеся физически невозможна. При такой неисправности восстановление hdd до рабочего состояния производится путем замены всего блока магнитных головок.

5. Клин двигателя жесткого диска. Особенно часто встречается на накопителях Seagate и Toshiba большого объема и небольших жестких дисков форм фактора 1.8" и 2.5". При клине подшипника двигателя возможно два случая: ось вала двигателя может заклинить торцом о стопорную шайбу подшипника или ось вала клинит по поверхности втулки подшипника. При этом вал двигателя не раскручивается, иногда издаёт тихие гудящие звуки. Накопитель не определяется или может определяться в BIOS. Восстановление жесткого диска производим расклинивание подшипника жеского диска (HDD) или перестановкой магнитных пластин в другой исправный донорский гермоблок с последующим центрированием магнитных пластин.

6. Залипание блока магнитных головок. Магнитные головки в этом случае, по какой-либо причине, не успевают запарковаться на специальной рампе или переместится в область парковки. Чаще всего это происходит на компактных дисках форм - фактора 1.8", 2.5" в результате падения или удара, но эта неисправность может возникнуть и без внешних воздействий на HDD. Ремонт и восстановление производятся следующим способом: с помощью специальных инструментов выводим головки обратно в область парковки или на рампу, или в случае их неисправности, производим замену блока магнитных головок (БМГ).

7. Запилы и царапины на магнитных пластинах. Причиной этой неисправности является выход из строя одной или нескольких считывающих головок, которые загибаясь оставляют царапины на магнитных пластинах. В таком случае винчестер начинает издавать ритмический стук или скрежет. Для восстановления жесткого диска используется донор, который должен подбираться особым образом по одинаковому типу используемых головок. Исправный блок магнитных головок берется из донора, пересаживается в чистой комнате в неисправный накопитель и вычитывается на стенде.

Рис 3

Если жесткий диск не определяется системой, или издает посторонние звуки, скрежет, щелканье, восстановление данных программными методами уже невозможно. Рекомендуется лишний раз не пытаться запустить диск, чтобы избежать повреждения поверхности магнитных пластин. В таких случаях проводится восстановление механики винчестера до рабочего состояния, затем он подключается к программно-аппаратному комплексу PC-3000 и снимается посекторная копия диска.

На рисунке 3 показан программно-аппаратный комплекс PC-3000. Сегодня в Интернете можно найти множество самых разнообразных программ для восстановления данных. Отличаются они как по своей функциональности, так и по качеству работы. Конечно, стопроцентной гарантии восстановления не может дать ни одна программа, но вернуть потерянные файлы хотя бы частично - порой и это бывает очень важно.

1.13 Программные средства восстановления данных

Программа BadCopy Pro разработана для автоматического быстрого восстановления данных в рабочей среде Windows (поддерживаются все версии этой ОС). Утилита позволяет восстанавливать данные не только с винчестеров, нечитабельных операционной системой, но и дискет, компакт-дисков и накопителей на основе Flash-памяти. Предусмотрено восстановление различных типов файлов: графические, текстовые документы, исполняемых файлов, архивов и т.д. К сожалению, нет возможности восстанавливать папки целиком. Доступно только восстановление файлов по отдельности. Имеющийся в программе мастер восстановления данных позволяет выполнить восстановление (в виде перезаписи данных на жесткий диск) практически в автоматическом режиме, что позволяет работать с BadCopy Pro даже новичкам. Но знание английского языка, хотя бы на базовом уровне, при этом будет далеко не лишним. Бесплатно распространяемая демоверсия BadCopy показывает свои возможности в работе, но записать восстановленные данные на носитель можно будет только после регистрации программы.

GetDataBack - программа для восстановления информации, в результате каких либо действий удаленной с современных носителей практически любого типа (включая сетевые диски и файлы дисковых образов), в большинстве случаев восстанавливает данные, в том числе даже после низкоуровневого форматирования диска. GetDataBack распространяется в двух различных и продаваемых отдельно версиях: для файловой системы NTFS и для FAT. Отличительной ее особенностью является очень быстрая работа. Программа поддерживает имена файлов и каталогов в кодировке Unicode, поэтому проблем с именами на кириллице, характерными для многих других программ такого типа, в GetDataBack нет.

R-Studio - одна из наиболее функциональных утилит. С ее помощью можно восстановить данные с разделов FAT12/16/32, NTFS, Ext2/3 и UFS1/2; реализована возможность работать на CD, DVD, флеш- и USB-носителях, локальных или сетевых дисках. Программа может восстановить информацию, в случаях поврежденных и удаленных полностью разделов, после форматирования диска; поддерживает восстановление данных с RAID-массивов. Полезная функция программы - возможность создания образа диска для последующего восстановления данных. Также в утилит восстанавливает сжатые и зашифрованные файлы. Несомненным достоинством R-Studio является то, что она хорошо понимает названия файлов и каталогов на кириллице, в большинстве случаев корректно сохраняя длинные имена и структуру дерева каталогов.

1.14 Анализ основных способов защиты жесткого диска и флеш карты от потери информации

Необходимо соблюдать основные правила защиты жесткого диска.

Правило первое - соблюдать температурный режим. Слишком высокая или слишком низкая температура способна оказывать на работоспособность жесткого диска очень большое влияние, ведь под действием температуры изменяются микрогеометрические параметры пластин жесткого диска. И хотя производители современных винчестеров приложили максимум усилий для сведения этого влияния к нулю, все же нежелательно превышать верхнюю границу рабочей температуры жесткого диска, которая составляет 55-60°С.

Жесткий диск - это устройство с пассивным охлаждением, поэтому для свободной циркуляции воздуха необходимо обеспечить достаточные зазоры между самим жестким диском и элементами корпуса. При этом желательно не располагать винчестеры вплотную друг к другу, рядом с видеокартой, оптическими приводами или другими элементами, активно выделяющими тепло. Кроме того, желательно, чтобы площадь соприкосновения винчестера с металлическими элементами корпуса была достаточно большой - это обеспечит отведение тепла на корпус.

Прибегать к установке устройств активного охлаждения винчестера следует в крайних случаях, очень тщательно и осторожно подойдя к этому вопросу. Дело в том, что вибрация от установленного на винчестере кулера может быть не менее вредна для работы накопителя, чем высокая температура. При повышенной вибрации время на поиск нужной дорожки увеличивается, растет нагрузка на все узлы винчестера и в результате срок работы жесткого диска значительно сокращается.

Защита жесткого диска от ударов и толчков - одно из главных условий правильного обращения с ним. Удар по винчестеру может привести к отклонению головки от своей позиции, вследствие чего случается так называемый хлопок головки - по возвращению в исходное положение головка наносит удар по поверхности диска и повреждает ферримагнитное покрытие. Такая опасность грозит в основном работающему жесткому диску, поскольку в отключенном состоянии магнитные головки современных винчестеров паркуются - автоматически выводятся за пределы поверхности дисков.

Помимо механической защиты жесткого диска, необходимо также обеспечить и его защиту от скачков напряжения. Резкое повышение напряжения вызывает резкое повышение температуры элементов винчестера и может привести к перегреву управляющей микросхемы. Поэтому следует позаботиться о снабжении компьютерной системы исправным блоком питания требуемой мощности, а также источником бесперебойного питания, который подстрахует компьютер на случай неожиданных отключений электроэнергии.

К сожалению, даже соблюдая все предосторожности и правила защиты, не всегда можно уберечь жесткий диск от возникновения неисправностей. Это может быть связано с неправильным подбором комплектации компьютера, некачественными деталями, слишком высокой нагрузкой на систему. Поэтому самый надежный способ застраховаться от потери ценных данных - это резервное копирование данных на сторонние накопители, например, на другие внутренние или внешние жесткие диски, DWD или CD-диски, флэш-накопители. Описанные выше методы так же подходят и для флеш-накопителей,

Глава 2. Проектная часть

Объектом исследования является

· жесткий диск HDD 500 Gb SATA-II 300 Seagate/Maxtor Barracuda 7200.11/DiamondMax 22 <3500320AS> 7200rpm 32Mb

· флэш карта Kingmax UI-03 8 Gb (KM08GUI03O)

Для восстановления данных мною были использованы следующие программы R-Studio, Norton PartitionMagic, PTEdit, DiskEditor, Norton Utilities

R-Studio-программа для восстановления данных. Поддерживает файловые системы NTFS, NTFS5, FAT12/16/32, HFS/HFS (Macintosh), Ext2FS (Linux), UFS1/UFS2 (FreeBSD/OpenBSD/NetBSD/Solaris) и HFS. Одной из особенностей R-Studio является гибкость настройки ее параметров. А также понятный интерфейс типа "Windows Explorer".

Файлы или содержимое диска могут быть просмотрены и отредактированы во встроенном редакторе.

Norton PartitionMagic- Программа для оптимальной разбивки жесткого диска на несколько логических

PTEdit- предназначена для принудительного форматирования флеш карт и жетких дисков в случае повреждения файловой системы или неудачного форматировании

DISK EDITOR- Программа для поиска и восстановления данных на жестких и гибких дисках, а также для восстановления логических дисков и разделов физических дисков; для работы с дисками, не доступными для операционной системы

На компьютере, на котором происходило восстановление данных, была установлена операционная система OS Windows XP

В этой главе я опишу различные алгоритмы восстановления данных для различных ситуаций таких как. Будут рассмотрены следующие методы восстановления для определенной ситуации:

1. Восстановление элементов таблицы разделов

2. Восстановление служебной информации в MFT

3. Простое восстановление данных при логическом сбое.

4. Ручное восстановление данных в FAT32

5. Восстановление главной загрузочной записи (MBR)

С начало я пытался восстановить элементы таблицы разделов, следующий алгоритм можно использовать при восстановлении этих элементов с помощью программы PTedit

Это ситуация, когда операционной системе Windows ХР не удается опознать диск с NTFS вследствие повреждения описывающего его (диск) элемента таблицы разделов. Чтобы получить более полное представление о возникшей ситуации, целесообразно запустить утилиту Norton Partition Table Editor. После запуска PTEdit на экране появится диалоговое окно, с помощью которого можно просмотреть и отредактировать основные параметры любого элемента таблицы разделов выбранного физического диска. Выбор физического диска выполняется с помощью раскрывающегося списка Hard Disk (Жесткий диск).

Строки расположенной ниже таблицы соответствуют четырем элементам основной таблицы разделов. В столбцах выводятся следующие сведения:

· Туре (Тип) - тип файловой системы или раздела; отображается в виде шестнадцатеричного кода;

· Boot (Загрузка) - признак загрузочного раздела; для загрузочного активного раздела, как вы знаете, должно быть указано значение 80;

Starting (Начальное положение) - адрес первого сектора раздела, заданный номером цилиндра (Cyl), головки (Head) и сектора (Sector);

Ending (Конечное положение) - адрес последнего сектора раздела, также заданный номером цилиндра, головки и сектора;

Sectors Before (Предшествует секторов) - количество секторов жесткого диска, предшествующих первому сектору раздела в соответствии с адресацией LBA (то есть при "сквозной" нумерации по головкам и цилиндрам);

Sectors (Секторов) - размер раздела, измеренный в секторах.

Рис. 4. Стартовое окно утилиты Partition Table Editor

Дальше нужно просмотреть цепочку дополнительных таблиц расширенного раздела (EPBR).

Если восстанавливаемый NTFS-раздел находится на прежнем месте, но в соответствующей ему строке указан неверный тип раздела, то можно попробовать установить корректное значение принудительно.. Для раздела NTFS оно равно 07h. Если известны корректные значения других параметров раздела, и они отличаются от представленных в таблице, тогда можно (предварительно запомнив или записав на бумаге текущие значения) ввести их в поля таблицы.

...