Один из самых запутанных результатов восстановления — это «найденный» файл правдоподобного размера, но он открывается поврежденным, обрезанным или с неправильной внутренней структурой. Это несоответствие обычно означает одно из двух:частичная перезапись(некоторые кластеры использовались повторно) илинеправильная реконструкция(инструмент связал неправильные экстенты для вырезанного файла).
В этой статье дан практический порядок сортировки: как сравнивать кандидатов, когда помогают хэши, как экспортировать пакетами и когда остановиться, прежде чем вы убедите себя, что «дополнительное сканирование» исправит принципиально недостающую серию байтов.
Симптомы, указывающие на частичную перезапись
Частичная перезапись часто проявляется в виде файлов, которые открываются, но не проходят проверку: запросы на восстановление Office, поврежденные центральные каталоги ZIP, видеоролики, которые воспроизводятся, а затем дают сбой, базы данных, которые отказываются прикрепляться. Если существует несколько кандидатов одинакового размера, возможно, вы смотрите на одну хорошую цепочку и одну поврежденную цепочку, а не на «случайную коррупцию».
Неправильная реконструкция: то же расширение, разные кишки
Резьба находит заголовки. Два разных файла могут иметь общую сигнатуру типа, но при этом быть несвязанными. Используйте все имеющиеся у вас подсказки: исходные фрагменты пути, временные метки и близость размеров. Если вы знаете, что размер исходного файла составлял ровно 24 832 256 байт, перед экспортом рассматривайте размер как сильный фильтр.
- Экспортируйте 3–5 кандидатов, а не 300 — открывайте их сразу.
- Если у вас есть заведомо исправный хеш из частичных резервных копий, сравните
ША-256на экспортированных копиях. - Для ZIP-файлов проверьте целостность с помощью инструмента архивирования, прежде чем считать, что полезная нагрузка завершена.
Фото и видео особых случаев
Некоторые программы просмотра переносят частичные файлы JPEG лучше, чем инструменты для работы с документами — частичные файлы Office XML. Это может создать ложную уверенность. Попробуйте вторую программу просмотра и найдите ерунду с измерениями/метаданными. Для рабочих процессов RAW предпочтительнее экспортировать кандидата, который соответствует типичному диапазону размеров вашей камеры для данного съемочного дня.
Когда остановиться и перейти к эскалации
Если данные подтверждают юридические доказательства, финансовые отчеты или информацию о пациентах, прекратите импровизировать и следуйте правилам судебной экспертизы вашей организации. Если диск ухудшается, повторные сканирования могут нанести серьезный вред. Руководства для потребителей предназначены для повседневных ошибок пользователей, а не для всех видов сбоев.