有过固态
硬盘数据恢复经验的客户都知道,数据一旦从固态硬盘中删除,通过互联网上下载的
数据恢复软件将数据恢复后,全都打不开,我们现在已经知道这是固态硬盘TRIM机制所导致的,但客户还有一个疑问,如果是TRIM的原因,那删除的数据不是应该完全找不到了吗?为什么它们还能从硬盘中找到,只是打不开呢?要说清这个问题,我们需要先了解文件系统(硬盘分区所格式化成的格式,例如NTFS、FAT32、HFS+等)。
以NTFS为例,当硬盘分区被格式化成NTFS时, 该分区在底层被划分成3个部分,分区头、目录区、数据区,如上图所示,其中与删除数据恢复相关的是目录区和数据区两个部分,文件在删除时,文件系统进行了以下操作:
(1)在目录区$MFT找到该文件对应的目录,将其
标记为删除,这一步仅仅是更改了该目录中少量代码,并不将该目录抹除;
(2)将该文件的的索引去除,相当于在将这个数据在硬盘中的注册信息清除,这样一来,文件系统就不在对此文件进行管理,而其在系统下也不可见了
(3)将该文件占用的位图表$Bitmap置于清空状态,即告知文件系统,该区域已经腾出,新数据可在此写入
对于机械硬盘来说,删除操作到此结束,数据已置为删除状态,系统无法访问。但对于固态硬盘来说,还有一个步骤,就是(4)将文件所占用的数据区全部清空,即将所有占用的扇区置于0,即我们所说的TRIM。
通过上述四步,我们可以看出,固态硬盘比机械硬盘多了最后一步数据清空的操作,而根据上图,数据区中存储了数据的内容,即一个Word文档中所写入的字符,或者一部视频的播放内容,因此固态硬盘删除的数据是不具备
数据恢复条件的,一旦删除后,数据内容就从硬盘中抹除了,相当于我们在机械硬盘中所说的覆盖。
那么回到我们一开始的问题上,我们发现,不管是固态硬盘还是机械硬盘,数据在删除后,对于目录区的操作都是相同的,即都在目录区
将对应文件标记为删除,也就是说,目录并没有被从硬盘中抹除,仅仅被标记成了删除状态,而目录中记录的是文件的名称、大小、创建修改访问时间、文件的位置等等信息,而数据恢复软件根据这些信息是可以找到其原始存储的位置,并将其提取出来,因此,我们恢复的文件名称、大小、时间等信息都是正确的,但是它的数据区已经被TRIM清除而无法打开。
技佳数据恢复中心提醒您,对于固态硬盘删除、格式化类的数据恢复,由于其特殊的存储原理,即使在专业的
数据恢复公司,数据也是无法恢复的,而随着固态硬盘的普及,逻辑类
数据恢复也将逐渐淡出市场。使用固态硬盘的用户,应定期将数据备份在机械硬盘中,防止数据恢复突然丢失而造成损失。