數(shù)據(jù)恢復

當存儲介質(zhì)出現(xiàn)損傷或由于人員誤操作、操作系統(tǒng)本身故障所造成的數(shù)據(jù)看不見、無法讀取、丟失。工程師通過特殊的手段讀取卻在正常狀態(tài)下不可見、不可讀、無法讀的數(shù)據(jù)。

數(shù)據(jù)恢復（Data recovery）是指通過技術(shù)手段，將保存在臺式機硬盤、筆記本硬盤、服務(wù)器硬盤、存儲磁帶庫、移動硬盤、U盤、數(shù)碼存儲卡、Mp3等等設(shè)備上丟失的電子數(shù)據(jù)進行搶救和恢復的技術(shù)。

數(shù)據(jù)恢復的基本原理

當前WINDOWS操作系統(tǒng)中主要的文件系統(tǒng)是NTFS。其刪除操作后數(shù)據(jù)恢復的原理是：首先查找出MFT表中做刪除標記的表項，依據(jù)MFT表中提供的文件數(shù)據(jù)流屬性列表信息，找出數(shù)據(jù)區(qū)中文件內(nèi)容所在簇空間（即運行位置），從而實現(xiàn)恢復操作。其中MFT 是一個映射磁盤中儲存的所有對象的索引文件。在 MFT 中，NTFS 磁盤上的每個文件（包括 MFT 自身）至少有一個映射項。MFT 中的各項包含如下數(shù)據(jù)：大小、時間及時間戳、安全屬性和數(shù)據(jù)位置。

這種數(shù)據(jù)恢復方式有一個重要前提，就是保證被刪除文件數(shù)據(jù)沒有被覆蓋。因為根據(jù)磁盤的存儲特性，一個文件被標記上刪除標志后，他所占用的空間在有新文件寫入時，將有可能被新文件占用覆蓋寫上新內(nèi)容。這時刪除的文件名雖然還在，但其指向數(shù)據(jù)區(qū)的空間內(nèi)容已經(jīng)被覆蓋改變，恢復出來的將是錯誤內(nèi)容。

格式化操作和刪除相似，并沒有對數(shù)據(jù)區(qū)做任何操作，數(shù)據(jù)還存在，因此借助數(shù)據(jù)恢復知識和相應(yīng)工具，數(shù)據(jù)仍然能夠被恢復回來。對于克隆、系統(tǒng)還原等造成的數(shù)據(jù)丟失也是這樣，只要重要數(shù)據(jù)區(qū)未被覆蓋，就可能被恢復。