Восстановление данных используя Disk Drill

Возвращение фотографий с диска, который отформатировали и переустановили Windows

Ситуация не из приятных. Один мой знакомый решил установить новую операционную систему на свой ноутбук, но ввиду недостаточного опыта отформатировал при этом жёсткий диск. В результате он получил свежую работающую систему, но вот файлы были потеряны. Особенно жалко фотографии.

Что ж, сегодня будем испытывать программу Disk Drill.

Что происходит с данными при форматировании и переустановке ОС

Чтобы понимать, какие шансы и какой результат мы можем получить, нужно знать, как вообще устроено хранение данных на жёстком диске.

1. Диск — это библиотека, а файловая система — картотека

Представим обычную библиотеку. Есть тысячи книг (это наши файлы), которые стоят на полках (сектора диска). Чтобы найти нужную книгу, существует картотека — список, в котором для каждой книги указано название, автор, номер полки и точное место.

В файловой системе роль такой картотеки выполняет MFT (Master File Table) — специальная служебная область на диске. Именно там хранится всё: имена файлов, пути к папкам, даты создания и изменения, размер, а также «адреса» фрагментов, где физически лежат данные.

2. Что делает форматирование

Когда при установке системы мы выбираем «быстрое форматирование», операционная система не стирает книги с полок. Она просто берёт и выбрасывает картотеку (MFT). Визуально кажется, что диск пуст.

Но физически все наши фотографии, документы и видео остаются на своих местах, пока поверх них не запишут что-то новое. Именно поэтому после случайного форматирования данные можно восстановить.

Это сделано для того, чтобы сократить количество перезаписей секторов диска и продлить их срок службы, а также ускорить сам процесс.

Полное форматирование перезаписывает файлы. Этот процесс более длительный, и восстановить файлы уже почти невозможно, так как пространство затирается нулями или случайными байтами.

Существует ещё низкоуровневое форматирование (Low-Level Format). Это заводской процесс. На магнитную поверхность наносятся служебные метки (сервометки), создаются дорожки и секторы — то есть физическая разметка диска. Современные жёсткие диски проходят эту процедуру только один раз на заводе-изготовителе, и в домашних условиях выполнить «настоящее» низкоуровневое форматирование невозможно. А то, что в интернете часто называют «низкоуровневым форматированием» (например, программа HDD Low Level Format Tool), на самом деле является записью нулей во все сектора — это просто очень глубокое стирание данных, а не физическая разметка диска. При этом шансы на восстановление действительно нулевые, если процесс завершился полностью.

3. Что делает установка системы

Вообще, установщик Windows может не стирать данные с диска, а установить новую систему в свободное место. Старая система при этом помещается в каталог Windows.old

Но что, если при установке было произведено форматирование? И вот тут начинается самое неприятное. Установка Windows сперва форматирует диск (надеюсь было выбрано быстрое форматирование), а затем записывает на диск новые файлы: саму систему, драйверы, служебные папки.

И вот здесь ключевой момент: новые файлы физически занимают место. Если установщик «посадил» их поверх области, где лежали наши старые фотографии — эти данные теряются навсегда. Вернуть их невозможно, потому что на их месте уже лежат другие единицы и нолики.

4. Два метода восстановления

Программы вроде Disk Drill умеют искать данные двумя способами.

По уцелевшей картотеке (MFT)
Если старая MFT чудом сохранилась (или сохранилась частично), программа читает её и восстанавливает всё, как было: имена файлов, структуру папок, даты. Это идеальный результат.

Глубокое сканирование по сигнатурам (заголовкам файлов)
Если картотека уничтожена, программа начинает построчно сканировать весь диск в поисках известных «заголовков» файлов. У каждого типа файла есть уникальная сигнатура: у JPEG это FF D8 FF, у PDF — %PDF, у ZIP — PK.

Программа находит всё, что похоже на файл, но она понятия не имеет, как он назывался и в какой папке лежал. Поэтому результат выглядит так:

Файлы сгруппированы только по типам (папки JPEG/, DOCX/, MP4/)
Внутри — тысячи файлов с именами вроде file001.jpg, file002.docx

Найденные изображения представляют собой кучу мусора: сюда попадают и текстуры из игр, и кэш браузера, и скриншоты, и шаблоны презентаций. Среди этого хлама придётся вручную искать нужные фотографии. Неудобно, но лучше, чем ничего.

5. Проблема фрагментации (почему файлы ломаются)

Файлы редко лежат на диске одним непрерывным куском. Обычно они фрагментированы — разбиты на множество мелких кусочков, разбросанных по всему диску. Это нормально, так Windows экономит место.

Представим, что мы хотим записать на диск фильм, но свободного места не хватает, и для его освобождения мы удаляем десяток-другой mp3-песен. Проблема в том, что песни эти шли не подряд, а лежали в разных местах. Вот и наш новый файл разделится на несколько кусков, записавшись в те места, где ещё недавно были наши удалённые песни.

MFT хранит подробную «карту»: первый кусок файла лежит тут, второй — там, третий — вон там. Если картотека утеряна, программа глубокого сканирования видит только начало файла (по сигнатуре заголовка), но не знает, где искать остальные куски.

К чему это приводит:

Фотография — восстанавливается только верхняя половина, остальное — серая область

Аудио (песня) — играет, но через 20 секунд начинаются заикания, повтор фрагмента или тишина
Видео (фильм) — воспроизводится с пропусками, артефактами или не той звуковой дорожкой

Документ (DOCX, PDF) — открывается с ошибкой или показывает кашу вместо текста

С фрагментированными файлами почти не могут справиться даже профессиональные программы. Единственный шанс — если файл был записан непрерывно (не фрагментирован), либо если MFT уцелела и сохранила карту фрагментов.

Приступаем к восстановлению

Восстанавливать желательно с другого компьютера — так безопаснее, потому что загрузка с проблемного диска может записать на него новые данные и окончательно добить то, что ещё можно спасти.

Шаг 1. Извлекаем диск из ноутбука

Вскрываем ноутбук и аккуратно извлекаем жёсткий диск.

Шаг 2. Подключаем диск к другому компьютеру

Можно использовать переходник USB-SATA (или внешний бокс для HDD). Диск определился как внешний накопитель.

А можно подключить его через стандартные разъёмы на плате. Так работа пойдёт быстрее, т.к. скорость передачи через SATA выше

Шаг 3. Запускаем программу Disk Drill

Выбираем проблемный диск в списке и нажимаем «Искать данные».

Шаг 4. Сканирование

Сначала программа проводит быстрое сканирование (читает то, что осталось от картотеки), затем автоматически запускает глубокое сканирование (ищет по сигнатурам).

Ждём. И долго. В моём случае процесс занял несколько часов — объём диска большой.

Результаты сканирования

Здесь возможны два варианта развития событий.

Вариант 1. MFT удалось извлечь (идеальный сценарий)

Программа смогла прочитать уцелевшую старую картотеку.

В результате появится раздел «Удаленные/потерянные», где наши потерянные файлы имеют тот вид, в котором мы их помним – с именами и каталогами

Файлы выглядят так, будто их и не удаляли. Даты, имена, пути — всё на месте. Это лучший вариант, но после переустановки системы такое бывает нечасто.

Вариант 2. MFT затерта (и только глубокое сканирование)

Программа создаёт раздел «Реконструированные». Файлы сгруппированы по расширениям (JPEG, DOCX, MP4), внутри — тысячи файлов с именами file001.jpg, file002.docx.

Среди этого хлама (текстуры игр, кэш браузера, скриншоты, шаблоны) нужно вручную искать нужные фотографии. Неудобно, но лучше, чем ничего.

Сохраняем найденные файлы

Важное правило: никогда не сохраняем восстановленные файлы обратно на тот же диск, с которого мы их восстанавливаем. Иначе начнём записывать новые данные поверх старых, которые ещё можно было бы спасти.

Я сохраняю всё на внешний жёсткий диск.

Отмечаем галками папки и файлы, которые требуется сохранить и жмём «Восстановить все»

Указываем путь и ждём окончания процесса

По окончанию процесса, программа нас об этом уведомит

Восстанавливаем работу ноутбука

Ставим жёсткий диск обратно в ноутбук.
Проверяем — система загружается нормально (установленная Windows на месте, ничего не сломано).
Копируем с внешнего диска на ноутбук папку с восстановленными файлами.

Итог

В моём случае повезло — Disk Drill смог извлечь старую картотеку (MFT), и я получил «Удалённые» файлы с именами и структурой папок. Знакомый увидел свои фотографии в родных папках — что ещё нужно для счастья?

Если бы картотека была затерта полностью, я получил бы только кучу файлов по типам без имён. Их пришлось бы вручную просматривать и рассортировывать.

PS/ Почему я не скинул восстановленные файлы сразу на диск после их восстановления? Побоялся, что при данной процедуре повредилась система Windows и её снова пришлось бы переустанавливать или восстанавливать.

Главные выводы:

После случайного форматирования немедленно прекращаем пользоваться диском — каждый новый записанный файл уменьшает шансы на восстановление.
Не пытаемся восстановить файлы сразу на тот же диск — сохраняем на другой носитель.
Программы вроде Disk Drill реально работают, но чудо случается не всегда, особенно после переустановки системы.
Если диск SSD — шансы сильно ниже из-за технологии TRIM.

Удачи всем, кто попал в такую ситуацию. И помните: регулярный бэкап — лучшее лекарство от потери данных.

Шансы на успех:

Сценарий	Шанс на восстановление	Что получим
Просто удалили файлы (корзина очищена)	Очень высокий	Имена + папки
Быстрое форматирование	Высокий	Имена + папки (если MFT уцелело)
Переустановка Windows поверх	Средний / Низкий	Чаще — только файлы по типам без имён
SSD + переустановка	Низкий	Действовать надо сразу
Полное форматирование / перезапись нулями	Нулевой	Ничего

Master F1