什么是文件系统

什么是文件系统
学习数据恢复就必须要了解文件系统，那么到底什么是文件系统呢？其实文件系统就是操
作系统对数据进行管理和数据存储的方式。

文件系统是为用户提供一种基于文件和目录存储的机制。

我们知道在使用硬盘存储数据之前，都需要先对硬盘进行重新和格式化操作。

格式化其实就是在建立文件系统的过程。

一
个文件系统是由系统结构和按一定规则存放的用户数据组成，使得操作系统能顺利的访问
到数据。

文件系统有很多种，每种文件系统都有自己特定的结构和管理数据的方式，但所有的文件
系统都有一定的共性。

1.数据的存储单元。

在文件系统建立之后，就可以访问数据了，数据在写入磁盘或者读取时每次操作的数据量
称为数据单元，它的大小在格式化时就已经确定了。

数据单元在不同的文件系统，称呼不
大一样。

如FAT文件系统和NTFS文件系统中的数据单元叫做“簇”,EXTX文件系统的数据
单元叫做”块”.，不管是簇还是块都是有2的N次方个连续扇区组成的。

存储数据时，系统
以数据单元为单位为其分配存储空间。

也就是说，总是为其分配整数个数据单元的空间。

2.坏数据单元。

在文件系统中还有一种数据单元叫做坏数据单元，坏数据单元也就是有坏扇区的数据单元，许多文件系统可以将一个数据单元标记成坏数据单元，这对于那些没有能力处理错误的老
硬盘比较有用。

当一个数据单元出现缺陷扇区时，那么文件系统就会将这整个数据单元都
标记成坏数据单元。

文件系统不再将这个坏数据单元分配给文件使用。

现在的硬盘都可以
自己检测坏扇区并用备用的扇区替换。

所以文件系统已经很少用这个功能。

3.逻辑文件系统地址
▪每个扇区都会有一个LBA地址，也就是物理地址。

▪每个物理卷内的扇区又有一个物理卷地址。

▪在逻辑卷内部的扇区会有一个逻辑卷地址。

建立了文件系统后，文件系统既使用逻辑卷地址，也使用一种“逻辑文件系统地址”。

文件系统存储数据时是以数据单元为存储单位，每个单位被分配一个逻辑文件系统地址。

4逻辑文件地址
对于每个文件来讲，将它按所在的文件系统中数据单元的大小为单位进行分割，分割后的
每个部分由0开始进行编号，这个编号就是其对应的数据单元的逻辑文件地址，一个文件
前后相邻的两个数据单元在物理上的存储地址可能是不连续的，但它的逻辑文件地址却一
定是连续的。

5分配策略
不同的操作系统在为文件分配存储单元时可能会使用不同的分配方法。

(1)第一可用分配策略，即当为一个文件分配了一个存储单元后还需要继续为其分配时，操作系统会重新从文件系统的起始处搜索可使用的空间。

这种分配方式很容易使文件片段
化，因为文件并不是被作为整体一次性分配连续存储空问的。

这种分配策略不只容易使文件片段化，而且也使被删除数据的恢复可能性大大降低。

（2）下一可用分配策略，即为文件分配了一个存储单元后并不再回到卷起始重新寻找可用空间，而是直接向后进行搜索。

这种分配策略有助于数据的恢复，因为2号位空出后，除非在向后的搜索过程中没找到足够的分配空间，否则不会很快被覆盖掉。

(3最佳分配策略，即在文件分配空间时，会尽可能找到足够的连续空间以避免其片段化。

但这种分配策略需要事先知道文件所需要空间的大小，而且如果以后文件增大需要增加分配单元时，新分配的单元有可能处于其他位置而使该文件片段化。

在使用最佳分配策略进行可用空间搜索时，如果没有找到可以存放下整个文件的连续空间，就会使用第一可用或下一可用策略进行分配。

每种操作系统会选择对某文件系统使用何种分配策略，有的文件系统也会指定要求使用哪种分配策略，但一般不会强制执行。

6文件更新策略
对数据可恢复性进行分析时，除需要考虑它的分配策略外，还需要考虑到文件更新方式
的问题：
▪有的程序在对文件更新时，直接打开原文件，更新后，直接用新文件覆盖原文件进行保存。

▪有的程序则是先产生一个原文件的副本，对副本进行更新，然后将副本以原文件名保存在新的位置同时删除原文件．
提示：如果文件的更新方式是在原文件上直接修改并覆盖旧文件，当进行了错误修改并保存后，原数据将无法恢复。

如果文件的更新方式使对副本进行修改并保存为新的文件，然后删除旧文件，当进行了错误修改并保存后，可以试图寻找已被删除的旧文件。

7松弛空间
松弛空问分为两种，一种是数据的结尾与为其分配的空间结束处的未被使用的部分，还
有一种是位于分区结尾的卷松弛空间：
▪前面提到，系统在为数据分配存储空间时总是为其分配整数个数据单元大小的空间，但文件的大小未必恰好是整数个数据单元，这样就会在文件结尾与为其分配的存储
空间结尾间产生部分未使用的空闲空间，这种空闲空间称为“松弛空间”。

▪卷松弛空间位于卷的结尾。

–个文件系统的扇区数也可能并不恰好是数据单元的整数倍，因此在卷的结尾也可能会有未被分配数据单元号的空间存在，这部分空间被称
为卷松弛空间。

松弛空间中有可能存在以前被删除的数据，这取决于操作系统存储数据时的操作方式。

例如，一个文件的人小为100个字节，一个文件系统的数据单元大小为4096个字节，也就
是8个扇区，将该文件存储进这个文件系统时，会为其分配8个扇区的存储空间，但是它
只使用了第一个扇区的前100个字节，第一个扇区的后412个字节和后7个扇区都为松弛
空间。

提示：因为对磁盘的操作以扇区为单位，所以，虽然文件大小只有100个字节，但写入磁
盘时会一次写入一个扇区的数据。

较老的操作系统，象DOS或早期的Windows操作系统
通常会直接将内存中的数据填充写入磁盘，现在的操作系统则通常是将第一个扇区的后
412个字节用0进行填充。

对于后7个扇区，有的操作系统可能会对其进行清零操作，但
走部分操作系统不对其进行任何操作，这就有可能在这部分扇区中存在着以前被删除的数据。

8．压缩和稀疏文件
很多文件系统允许对文件进行压缩存储以减少它所占用的数据单元。

对于文件，可以存在
三种级别的压缩：
▪最高级别的压缩式在文件内部发生的，例如lPEG格式的文件它将图像信息进行压缩后保存进文件中，不过文件头是不被压缩的。

▪次级别的压缩是使用外部程序对整个文件进行压缩后保存成一个新的文件，当需要使用这个文件时，就必须先对其进行压缩。

▪最后一种，也是最低级别的压缩，是由操作系统进行的压缩处理。

操作系统在存储文件时，不为连续为0的部分分配存储空间，以这种方式处理过的文件称为“稀疏文
件”。

9．加密文件
为了数据内容的安全与隐私性，文件可以被加密以阻止未被授权的访问。

对文件进行加密
可以通过三种方式：
▪使用第三方加密程序。

读取加密前的文件并对文件内容进行加密后建立一个新的加密文件。

▪也可以通过操作系统对文件进行加密。

这种加密方式只是对文件内容进行加密，通常文件名、时间值等信息不会被加密。

还有一种加密方式是对整个卷进行加密。

对卷进行加密后，卷中所有的数据都处于加密状态，而不只是文件内容被加密。

使用对整个卷进行加密的方式时，不能对包含操作系统的卷进行加密。

10元数据
任何文件或目录，都会有一个名字，我们将其统称为“文件名”。

除文件名外，文件或目录还会有其他一些描述信息，如大小、时间信息、是否加密或压缩、存储位置信息等，我们将这些描述信息统称为文件或口录的原数据。