数据恢复之NTFS文件系统结构解析

       微软已经宣布WINDOWS XP操作系统即将在今年的4月份退出市场，而作为未来主力军WINDOWS 8操作系统，目前在市场也大展拳脚。NTFS是随着Windows NT操作系统而产生的，全称为“NT File System”，中文意为NT文件系统，如今已是windows类操作系统中的主力分区格式了，WINDOWS 8操作系统普遍应用NTFS作为文件系统。它的优点是安全性和稳定性极其出色，在使用中不易产生文件碎片，NTFS分区对用户权限作出了非常严格的限制，每个用户都只能按着系统赋予的权限进行操作，任何试图越权的操作都将被系统禁止，同时它还提供了容错结构日志，可以将用户的操作全部记录下来，从而保护了系统的安全。本文主要论述的就是NTFS在系统崩溃或磁盘出现故障后，如何借助NTFS文件系结构，安全的恢复文件系统数据。

　　NTFS是一个具备错误预警的文件系统。由于NTFS对关键文件系统的系统信息采用了冗余存储，故而当磁盘上的某个扇区损坏时，NTFS仍可以访问卷上的关键数据。NTFS分区的最开始的16个扇区是分区引导扇区，用以保存分区引导代码，接下来是主文件表(MFT)，如果MFT所在的磁盘扇区出现损坏，NTFS文件系统会将MFT转移到到硬盘的其他扇区，这样就保证了NTFS文件系统和Windows操作系统的正常运行。比之先前的FAT16和FAT32文件系统的FAT(文件分配表)，FAT只能固定在分区引导扇区的后面，一旦该扇区，整个文件系统就会瘫痪，NTFS文件系统显然要先进的多了。不过这种移动MFT的做法却也并非十全十美，如果分区引导代码中指向MFT的部分出现错误，那么NTFS文件系统便会不知道到哪里寻找MFT ，从而会报告“磁盘没有格式化”这样的错误信息。为了避免这样的问题发生，分区引导代码中会包含一段校验程序，专门负责侦错。

　　NTFS文件系统通过基于事务处理模式的日志记录技术(transaction logging and recovery techniques)，成功保证了NTFS卷的一致性，实现了文件系统的可恢复性。在 FAT 或 HPFS 上执行 CHKDSK 时，系统会检查目录、分配和文件表中指针的一致性；但是在 NTFS 下，系统会维护针对这些组件的事务日志，因此，CHKDSK 只需将事务回滚到上一个提交点就可以恢复文件系统中的一致性。事务日志方法需要的系统开销是很小的。NTFS并不是直接在日志文件中存取记录，而是通过LFS来读写。LFS提供了包括打开，写入，向前，向后，更新等操作来帮助NTFS处理日志文件。

　　我们把每一个具体的对NTFS卷文件的I/O操作看作一个事务，每个事务都是一个原子操作。这样，任何复杂的操作都可以分解成很多个事务。系统面对的就是许许多多的不同的事务。当一个事务开始后，它要么被顺利的完成，要么当遇到某些意外而出错时能回滚到上一个提交点，这时候NTFS卷处于该事务开始前的状态。很多原因都可以导致事务操作失败，如磁盘坏道、内存不足、设备连接错误等等。

　　为了确保每个事务都能顺利的完成或出错回滚到上一状态，对于每个事务NTFS文件系统都会执行以下步骤：

　　(1) 把此次事务中的子操作记录到已缓存在内存的日志文件里；

　　(2) 把实际的子操作数据记录到内存中；

　　(3) 在缓存于内存的日志文件里把此次事务标记为已提交；

　　(4) 把日志写入磁盘；

　　(5) 把数据写入磁盘。

　　事实上，对于步骤 (4) 和步骤 (5) ，NTFS并不是即时写入磁盘的，而是采用了延迟写（lazy-write）技术，选择在之后一个适当的时机用最佳方式把很多数据批处理到磁盘上。使用延迟写技术大大减少了磁盘操作的频率，从而极大地改善了系统的性能，但是在系统崩溃时有可能导致磁盘的不一致性，有一定风险。在我们自己编写的应用程序中可以通过设定FILE_FLAG_WRITE_THROUGH让系统不通过缓存而讲数据直接写入磁盘中——这时候系统其实仍然会缓存写操作只是没有延迟写入磁盘而已。

　　NTFS文件系统保证了缓存的日志先于事务中更改的数据存入磁盘。当文件系统更新缓存后，NTFS通过记录在缓存的日志里被标记为已完成的事务来提交这些事务。当缓存的日志刷新到磁盘上时，所有标记为提交的事务都要保证已经被完成了，即使系统可能会在把这些事务对数据的实际变动都存入磁盘之前崩溃掉。

　　当系统发生错误时，NTFS文件系统的日志中有足够的信息去完成或中断任何出问题的事务。执行恢复操作的时候，NTFS文件系统重做日志里每一个标记为提交的事务；然后文件系统在日志中查找那些在上一次系统崩溃时没有提交的事务，把日志中这些没有提交的事务的子操作统统撤销掉。因为NTFS文件系统在任何数据变动写入硬盘之前已经把这些变动的日志先写入了硬盘，所以NTFS拥有那些在恢复过程中需要回滚的子操作的所有的有效信息。

　　但是实际上，NTFS用这种事务日志技术来恢复数据也并不是那么保险的。而且，因为系统是通过日志来恢复的，恢复的过程对文件系统的所有数据都有可能造成影响——除非用户在存取数据的时候使用了FILE_FLAG_WRITE_THROUGH标志。如果用户程序没有使用FILE_FLAG_WRITE_THROUGH存取数据，那么在系统崩溃后用户数据很有可能会丢失。有可能系统只恢复出很陈旧的数据，或者恢复出不可意料的错误数据，或者无法恢复任何数据。

　　硬盘故障的修复

　　NTFS文件系统利用cluster remapping技术来减小磁盘的坏扇区对NTFS卷的影响。NTFS可以对硬盘上的逻辑错误和物理错误进行自动侦测和修复，但在FAT16和FAT32时代，我们需要借助 Scandisk这个程序来标记磁盘上的坏扇区，但当发现错误时，数据往往已经被写在了坏的扇区上了，损失已经造成。

　　NTFS 文件系统则不然，每次读写时，它都会检查扇区正确与否。当读取时发现错误，NTFS会报告这个错误；当向磁盘写文件时发现错误， NTFS将会十分智能地 换一个完好位置存储数据，操作不会受到任何影响。在这两种情况下，NTFS都会在坏扇区上作标记，以防今后被使用。这种工作模式可以使磁盘错误可以较早地被发现，避免灾难性的事故发生。

　　在 FAT 或 HPFS 下，只要位于文件系统的特殊体中的一个扇区失效，简单扇区失效(single sector failure)就会发生。 NTFS 在两方面阻止这种情况的发生：第一，不在磁盘上使用特殊数据体且跟踪并保护磁盘上的所有对象。第二，在 NTFS 下，会保存有多份（数量是由卷的大小决定的）主文件表。

　　在系统的可靠性与可恢复性方面，NTFS文件系统比以往的FAT32文件系统体现了极大的优势。自从Windows2000开始，微软开始推荐大家使用NTFS的磁盘格式，其后推出的XP更是要配合这种磁盘格式才能发挥其最大的性能优势。而且实际上随着海量硬盘的发展，使用NTFS的分区格式将越来越必要；在新一代的windows系统中，FAT系统也势必会被NTFS逐渐取代。NTFS的安全性、可靠性与高效性即使与ext3、reiserfs等优秀文件系统相比也毫不逊色，相信如果将来微软能开放更多NTFS技术细节的话，NTFS必将得到更广泛的应用，必将在文件系统世界里大放异彩。

       华军深圳数据恢复中心建议，用户在给硬盘重新分区格式化时，如果操作系统是WINDOWS系列的，NTFS文件系统将是最佳选择对象。硬盘有价，数据无价，请及时做好重要数据备份！