[发明专利]FAT文件系统中被删除文件的恢复方法及装置

说明书

技术领域

本发明涉及数据恢复技术领域，具体是FAT文件系统中被删除文件的恢 复方法及装置。

背景技术

Wondons操作系统用FAT文件系统来管理操作文件，FAT(File Allocation  Table，文件配置表)文件系统定义了一套规则以用来存储文件，FAT文件系 统主要有两部分来标识文件：FAT表和FDT(File Directory Table，文件目录 表)表。文件的删除操作，其实就是在FAT表和FDT表上做标识。

簇是文件在磁盘上存储的最小单位，簇的大小取决于分区的大小，一般一 个簇的大小是2的N次幂。

一个文件的FDT表的结构包括：文件名、文件属性、创建时间、修改时 间、访问时间、首簇号和大小。文件的删除在FDT表上改变的有两处：第一 处是把文件名的第一个字符改为“E5”，第二处是把文件首簇号的高两位字 节清零。

对不同的FAT文件系统，FAT表的结构不一样，如：FAT16是2个字节 表示一个簇的状态，FAT32是4个字节表示一个簇的状态。簇的状态一般有 两种：一种是空闲，用“00”来表示；还有一种是占用，该占用的状态又分两 种情况：第一种是结束了，第二种是下一个簇号。以FAT16为例：假设有个 aaa.txt文件，该aaa.txt文件大小是4K，连续占用2个簇，首簇号是3，则在 FAT表中就是(十六进制表示，每个框中都是2个字节)：

(第0簇)    (第1簇)    (第2簇)    (第3簇，首簇)    (第4簇)

其中上述第2簇就是空闲簇，第3簇中放的是下一个簇号，因为aaa.txt 文件的首簇是第3簇，该aaa.txt文件又连续占用两个簇，即该除了首簇还包 括下一个簇(第4簇)，所以在FAT表中用0x040x00来表示，到了第4簇 就结束了，所以第4簇中就用FF FF来表示。

第一种恢复方法是知道被删除文件的首簇和大小，根据该被删除文件的大 小可算出该被删除文件占用簇的个数(如：占用N个簇)，直接在首簇后连 续读取N个簇。

第二种恢复方法从首簇后读取N个空闲簇。

其中：第一种方法只能解决文件内容连续存放的被删除文件，对于被删除 文件的文件内容不连续存放情况下，通过恢复方法就不可以恢复该被删除文 件。

第二种恢复方法，既能恢复文件内容连续存放的被删除文件，对于文件内 容不连续存放，但首簇后所找的空闲簇的内容都属于该被删除文件的才可以做 到全部恢复。如果所找的空闲簇有不属于该被删除文件的内容，该恢复方法恢 复的内容就不正确。

发明内容

本发明的主要目的是提供一种FAT文件系统中被删除文件的恢复方法及 装置，使得删除文件的恢复更精确。

本发明解决其技术问题所采用的技术方案是：

一种FAT文件系统中被删除文件的恢复方法，其包括：

在FAT文件系统的目录中读取当前被删除文件的首簇、大小和创建时间；

根据所述文件的大小获取该当前被删除文件的占用簇的个数；

以所述当前被删除文件的首簇为当前簇，在所述FAT文件系统的FAT表 中从当前簇开始找下一簇，判断该簇是否为空闲簇，判断该簇是否为别的被删 除文件的首簇，判断别的被删除文件的创建时间是否在所述当前被删除文件的 创建时间之后；

当所述判断的结果都为是时，以该簇为FAT表中的当前簇，执行所述在 所述FAT文件系统的FAT表中从当前簇开始找下一簇的步骤；否则，记录下 该簇的位置，并累加查找的簇的个数；

检测所述累加查找到的簇的个数是否等于当前被删除文件的占用簇的个 数，当检测结果为否时，以该簇为FAT表中的当前簇，执行所述在所述FAT 文件系统的FAT表中从当前簇开始找下一簇的步骤；当检测结果为是时，读 取上述记录的簇的内容，并将所述内容重写到其他存储器中。

优选地，

在根据所述文件的大小获取该当前被删除文件的占用簇的个数，之后进一 步包括：

判断所述占用簇的个数是否大于1，若不大于1，则读取所述被删除文件 的首簇的内容，并将所述内容重写到其他存储器中；若大于1，则执行所述在 所述FAT文件系统的FAT表中从当前簇开始找下一簇的步骤。