存储设备在删除文件时,通常都按照以下步骤进行:数据删除后,指向数据在硬盘上存储位置的索引就被删除,即机械硬盘中的LBA逻辑地址。举一个简单的例子,一个丢三落四的人,把东西收拾到不同的位置,然后在纸上记下了它们的保存位置,如果这张纸被烧了,他所有的东西其实并没有丢,挨个角落找寻,最后还是可以找到。我们的数据存储也是这样,删除文件时只是删除了文件的索引(那张记录保存位置的纸),而文件本身还保留硬盘上,通过
数据恢复的手段还可以将数据找回。
因此,在机械硬盘上,数据删除后,
数据恢复公司可以很容易将数据恢复。随着固态硬盘的普及,虽然数据恢复的方法没有改变,但是固态硬盘独特的存储机理却使得数据恢复面临新的挑战。
机械硬盘可以随时覆写数据而不会影响硬盘的读写性能,即使使用几年后其读写速度也不会有较大变化。与之相比,固态硬盘由于NAND闪存的工作原理导致它在使用一段时间后会遭遇性能下降的问题,我们可以用磁盘碎片产生的过程来解释这个问题。
系统向磁盘的某个区块写入了大量数据,在不需要的时候用户就会删除这些数据并在这个位置上保存新的数据,操作系统以固定大小的区块来保存文件(windows系统默认格式化的时候是以4KB为一个数据单元),新保存的文件不一定能恰好填满原来占用的区块,假定一张图片的大小是6KB,需要占用一个4KB区块和另一个区块的2KB空间,而这个区块中剩下的2KB空间可能被另外一个 word文档占用。当用户删除了图像文件后,word依然要占据着剩下的2KB,这样,在这个区块上就就产生了磁盘碎片。
随着使用时间的增长,磁盘碎片就会越来越多,磁盘的性能就会下降,所以我们需要定期整理磁盘碎片,将碎片占用的空间整合转移,但对于固态硬盘来说,磁盘碎片整理无法解决问题。如果需要在原位置上写入新数据,机械硬盘只需要覆盖写入即可,而固态硬盘必须要先清除原有的数据才能将新数据写入硬盘,而执行这一“清除并写入”的过程,就是TRIM指令最主要的作用所在。简而言之,对于机械硬盘来说,只有当新数据写入时,旧数据才被覆写;而对固态硬盘来说,数据只要被删除,TRIM指令就立即对旧数据进行覆写。
TRIM是一个基于ATA命令的全新指令,微软在Windows 7操作系统中引入了这一命令,一旦有删除文件、格式化等类型的操作时,系统就会向固态硬盘发出命令,要求立即清空区块中数据。这个过程很简单,但是很有实用价值,一旦数据被删除了,TRIM指令就会立即清空数据及索引,固态硬盘就可以一直处于一种“全新”的状态,不再有性能下降的问题。
然而TRIM指令的负面影响却是致命的, 因为
数据恢复在支持TRIM指令的固态硬盘上就成为一个难题,用户删除数据后,固态硬盘会立即清空对应区块中的数据,而不是像传统的机械硬盘那样只删除索引而保留数据。
在没有开启TRIM指令的固态硬盘上,有删除文件、格式化或者忽略文件之类的磁盘读写,系统就不会向固态硬盘发出命令清空区块中数据,这样使得数据恢复跟传统机械硬盘原理一样,用户删除文件,指向数据在硬盘上的具体位置的索引就会被删除,而数据内容不会被清空,在数据内容没有被覆盖的情况下,通过使用一些常见的数据恢复软件扫描,即可恢复出删除的数据。
在开启TRIM指令的SSD上,删除和格式化的数据不具备恢复条件,在没开启TRIM指令的SSD上,具备数据恢复条件。目前已知的默认开启TRIM指令的操作系统有:
(1)Windows 7及以上版本Windows操作系统,只要固态硬盘支持TRIM特性,均被默认开启;
(2)Mac OS X 10.6.8及以上版本Mac操作系统,在苹果原装固态硬盘上默认开启TRIM,而对第三方固态硬盘默认关闭TRIM;
(3)Mac OS X中通过Boot Camp安装的Windows操作系统,默认关闭TRIM;
(4)Linux 2.6内核或更高版本的Linux操作系统,原生支持TRIM指令,需要用户手动开启。
北京技佳数据恢复中心总部位于中关村5A级写字楼中关村大厦,楼下为地铁4号线与10号线换乘的海淀黄庄站,交通便捷且办公环境优越,作为技佳全国服务网 点的技术、研发、管理中心,技佳数据恢复中心以先进的设施、精良的技术、贴心的服务及完善的制度为客户提供专业、快捷、安全的
数据恢复应急服务。