Восстановление данных в ntfs.

При выполнении операций NTFS ведёт две таблицы, которые записываются в журнал транзак-ций одновременно с записью контрольной точки. Эти таблицы следующие.

Таблица транзакций. Предназначена для отслеживания транзакций, которые были начаты, но ещё не завершены. Подоперации этих транзакций при восстановлении должны быть удалены.
Таблица изменённых страниц. Содержит информацию о том, какие страницы кэша содержат изменения структуры файловой системы ещё не записанные на диск.

Каждые 5 секунд NTFS помещает в журнал транзакций запись контрольной точки непосредст-венно перед контрольной точкой записываются эти таблицы. В начале процесса восстановления NTFS обращается к LFS для поиска последней контрольной точки, а следовательно, к последним копиям этих таблиц. Затем NTFS копирует эти таблицы в память. Обычно после последней записи контроль-ной точки в журнале находятся ещё несколько записей модификации. Эти записи в процессе вос-становления надо учитывать. NTFS анализирует записи модификаций после последней контрольной точки и обновляет таблицу транзакций и таблицу изменённых страниц.

При восстановлении тома NTFS выполняет три прохода по журналу транзакций, загружая журнал транзакций в память при первом проходе. Проходы:

Анализ.
Повтор транзакций.
Отмена.

Таблица изменённых страниц

Запись модификации

Таблица транзакций

Запись контрольной точки

Запсиь модификации

Начало операции контрольной точки конец операции конец

контрольной точки журнала

При проходе анализа осуществляется поиск до конца журнала. Если запись модификации – это запись подтверждения транзакции, то информация о соответствующей транзакции должна быть уда-лена из таблицы транзакций. Если запись модификации – это запись обновления страницы, то есть запись, которая изменяет структуру файловой системы, то следует внести поправку в таблицу измене-ния страниц, то есть на проходе анализа таблицы приводятся в актуальное состояние. Затем NTFS просматривает обе таблицы для того, чтобы найти номер LSN самой старой записи модификации, регистрирующая операцию, которая не была выполнена над диском.

Надо просмотреть обе таблицы и найти LSN с соответствующим номером.

Проход повтора.

На проходе повтора NTFS сканирует журнал транзакций в прямом направлении, начиная с LSN самой старой записи, которая была обнаружена на проходе анализа. Она ищет записи обновления страницы, содержащей модификатор тома.

Когда NTFS достигнет журнала транзакций, то она после прохода анализа средства отложен-ной записи диспетчера кэша может начать запись.