Восстановление данных в ntfs.
При выполнении операций NTFS ведёт две таблицы, которые записываются в журнал транзакций одновременно с записью контрольной точки. Эти таблицы следующие.
Таблица транзакций. Предназначена для отслеживания транзакций, которые были начаты, но ещё не завершены. Подоперации этих транзакций при восстановлении должны быть удалены.
Таблица изменённых страниц. Содержит информацию о том, какие страницы КЭШа содержат изменения структуры файловой системы ещё не записанные на диск.
Каждые 5 секунд NTFS помещает в журнал транзакций запись контрольной точки непосредственно перед контрольной точкой записываются эти таблицы. В начале процесса восстановления NTFS обращается к LFS для поиска последней контрольной точки, а, следовательно, к последним копиям этих таблиц. Затем NTFS копирует эти таблицы в память. Обычно после последней записи контрольной точки в журнале находятся ещё несколько записей модификации. Эти записи в процессе восстановления надо учитывать. NTFS анализирует записи модификаций после последней контрольной точки и обновляет таблицу транзакций и таблицу изменённых страниц.
При восстановлении тома NTFS выполняет три прохода по журналу транзакций, загружая журнал транзакций в память при первом проходе. Проходы:
Анализ.
Повтор транзакций.
Отмена.
Таблица изменённых
страниц
Запись модификации
Таблица транзакций
Запись контрольной
точки
Запись модификации
Начало операции контрольной точки конец операции конец
контрольной точки журнала
При проходе анализа осуществляется поиск до конца журнала. Если запись модификации – это запись подтверждения транзакции, то информация о соответствующей транзакции должна быть удалена из таблицы транзакций. Если запись модификации – это запись обновления страницы, то есть запись, которая изменяет структуру файловой системы, то следует внести поправку в таблицу изменения страниц, то есть на проходе анализа таблицы приводятся в актуальное состояние. Затем NTFS просматривает обе таблицы для того, чтобы найти номер LSN самой старой записи модификации, регистрирующая операцию, которая не была выполнена над диском.
Надо просмотреть обе таблицы и найти LSN с соответствующим номером.