Поиск файла на логическом диске

Теперь рассмотрим, каким образом ОС взаимодействует с файловой системой при поиске нужного файла или каталога на логическом диске:

1. При запросе на действие с определенные файлом происходит обращение к его записи в области ROOT, откуда считывается номер начального кластера данного файла.

2. В области FAT считывается содержимое записи, соответствующей номеру начального кластера интересующего файла.

3. Если содержимое не равно коду EOF, то это означает, что файл не завершается в данном кластере, а имеет продолжение. Тогда из этого кластера считываем номер следующего кластера, и таким образом, идем по всей цепочке, пока не будет обнаружен код EOF.

Этот процесс можно схематически показать на примере поиска файла EXAMPLE.COM. как показано на приведенной схеме, сначала определяется номер начального кластера (8), а затем в записи FAT для 8-го кластера находим, что продолжение файла следует в кластере 9, затем – 10 и т.д. Кстати, из данного примера видно, что файл EXAMPLE.COM состоит из трех фрагментов: первый - с кластера 08h по 0Bh, второй – с кластера 15h по 17h, третий – с кластера 19h по 1Bh. Разрыв между первым и вторым фрагментом, по-видимому, появился из-за файла, который ранее располагался с кластера 0Ch по кластер 14h. Причиной второй фрагментации является дефектный кластер номер 18h.

Удаление файла на логическом диске

При окончательном удалении файла или папки из корзины в его файловой структуре происходят следующие преобразования:

1. В соответствующей файлу записи в области ROOT в поле имени файла NAME первый символ имени заменяется на код «Е5». В результате этого файл становится невидим и недоступен средствами файл-менеджеров (Windows-Explorer, FAR, Windows Commander и др.). При этом сама запись для данного файла сохраняется в остальных полях без изменений.

2. Все записи, соответствующие кластерам удаляемого файла в области FAT, заполняются нулями, то есть эти кластеры теперь рассматриваются как свободные, и в них может быть записана информация какого-либо другого файла.

Поскольку обновление информации в кластерах, принадлежащих удаленному файлу, происходит не мгновенно, то некоторое время в них сохраняется прежняя информация. Это дает теоретическую возможность для восстановления удаленных файлов, поскольку запись в области ROOT тоже сохраняется. Возможность восстановления файла, однако, реализуется на практике успешно далеко не всегда. Среди факторов, влияющих успех восстановления, наиболее существенными являются следующие:

- время, прошедшее с момента удаления файла до его восстановления. Чем оно больше, тем более вероятно, что кластеры удаленного файла уже заняты другой информацией, что делает восстановление невозможным.

- степень фрагментации удаленного файла. Если файл был фрагментирован, то восстановить полностью всю цепочку его кластеров невозможно.

Для восстановления файлов используются многочисленные утилиты, в том числе и рассматриваемая в данной лабораторной работе программа UNERASE.exe.