作为从业近二十年的一位数据恢复工程师，我经常会被客户问到：为什么被删除的数据还可以恢复，为什么有时候恢复的文件没有了文件名，甚至丢失了原来的目录结构，等等这一类的问题。

我打算通过连载的方式，来逐步回答有兴趣了解数据恢复知识的朋友，为大家揭开数据恢复这层神秘的面纱。欢迎大家一起踏上这趟探秘之旅！

很多时候，能够完全恢复磁盘中丢失的文件，包括原始文件名和文件夹结构；而有的时候，文件和数据可能会被恢复，但文件名、日期/时间戳和文件夹路径会丢失。在某些情况下，无法找到完整的文件。这引起了我们用户的一个共同问题：为什么会这样？

为了帮助了解这个问题的答案的来龙去脉，我们需要先来了解一下文件是如何存储在磁盘上，以及数据是如何被恢复的。这个了解过程是有助于回答这个问题的。虽然专业的数据恢复通常需要多年的经验以及对文件系统和磁盘物理的技术细微差别的深入了解，但学习基本知识可以帮助你对数据恢复软件设定合理的期望。

在这一系列的连载中，我们将从一个非常高的层面，来探究文件恢复是如何进行的。 我还会展示如何将这些知识应用于一些常见的场景，来帮助你评估数据恢复的成功率。

今天，我们要去机械硬盘的秘境，探访文件是如何被存储和删除的

在了解机械硬盘的文件恢复奥秘之前，先让我们来看看机械硬盘的文件存储情况，关于SSD设备文件的恢复，我会安排另外一次寻秘之旅。

大多数现代操作系统将整个物理硬盘分割（或 "分区"）为一个或几个独立的部分（"分区"）。在基于DOS/Windows的操作系统系列中，这些分区被称为 "逻辑磁盘"。逻辑磁盘被指定为驱动器字母和可选的描述性标签。例如，C：（系统）或D：(数据)。每个分区都有自己的文件系统类型，独立于同一物理磁盘上的其他分区。例如，一个Windows系统的物理硬盘可能包含两个逻辑磁盘：一个NTFS，另一个FAT32。磁盘上的分区信息存储在硬盘驱动器的开头。这通常被称为 "分区表 "或 "分区地图"。

一个典型的磁盘分区结构如图1所示：

图1：硬盘结构

图1中显示的硬盘服务数据和关于分区结构部分的信息被称为 "元数据"。也就是说，关于磁盘上的数据的信息（相对于数据本身而言）。同样，每个分区或逻辑磁盘被分为两部分：一部分存储关于磁盘的信息（文件夹结构、文件系统等），另一部分存储包括这些文件的数据。这种将数据从元数据中划分出来的做法，可以更好地管理磁盘空间，加快文件搜索，并提高可靠性。

图2显示了一个典型的逻辑磁盘结构：

图2：逻辑磁盘结构

　　图2所示的磁盘服务信息包含关于分区大小、文件系统类型等具体信息。这对于计算机正确查找分区上的关键数据是很有必要的。

　　关于文件和文件夹的信息包含存储文件名、大小、日期/时间和其他技术信息的文件记录。这些信息还包括磁盘上文件数据的确切物理位置（地址）。这些信息通常备份在驱动器本地，以备第一份副本损坏时使用。

　　各种文件系统有不同的形式来存储这些信息。例如，FAT文件系统将这些信息存储在文件分配表（FAT）中，而NTFS文件系统将其存储在主文件表（MFT）中。

　　当计算机需要读取一个文件时，它首先进入有关文件和文件夹的信息区域，搜索该文件的记录。然后，它查找该文件的地址，随后定位到磁盘上的指定位置，然后读取文件数据。

　　对于连续的文件，即数据在磁盘上组合在一起的文件，这个过程是非常简单的。然而，磁盘上的文件可能是碎片化的。也就是说，它们可能占据了几个不相邻的磁盘区域。这种情况非常普遍，远远超乎大多数用户所意识到的。毕竟，当你从Windows资源管理器或Finder查看一个文件时，它总是被显示为一个文件。这是因为文件系统在幕后做了所有拼凑碎片的工作。关于文件和文件夹的信息存储了每个碎片数据的地址，所以当计算机需要读取文件时，它们可以被快速和可靠地检索到。这些信息以及如何检索在文件恢复中起着重要作用。

　　当一台计算机想要删除一个文件时，它不会立即销毁其数据。相反，它对有关文件和文件夹的信息做一些改变，以指定该文件已被删除。一些操作系统只是将文件标记为已删除，保留所有关于该文件的元数据，直到有必要用新文件的元数据来覆盖它。这就是Windows文件系统处理删除的方式。其他操作系统，如Mac OS X，则完全销毁被删除文件的文件记录。虽然操作系统在是否立即保留或删除有关文件和文件夹的信息方面有所不同，但所有操作系统都不碰触实际的文件数据，直到有必要为另一个文件分配磁盘空间为止。如果没有文件要被写入磁盘，关于文件的数据信息和它的数据可能永远保留。

　　如上所述，磁盘中存储文件数据的部分也包含关于文件和文件夹信息的备份。磁盘的这一部分还可能包含一些散落在整个磁盘上的关于文件和文件夹结构的额外信息。

　　今天，我们了解了机械硬盘文件存储以及被删除的真相，这次的探秘之旅就到此结束了！欢迎关注我们的后续行动！