[发明专利]一种用于APFS文件的恢复方法和系统

权利要求书

1.一种用于APFS文件的恢复方法，其特征在于，包括：

S1：解析获取所述APFS文件的信息块的叶子节点信息集合；

S2：获取所述叶子节点信息集合中空闲数据区域集合，并依照所述叶子节点在B-Tree树中的位置从左至右排序；

S3：响应于所述空闲数据区域集合中还有未获取元素，获取一元素并对所述元素指向的区域数据进行ThreadRecord数据区域检测，并检测与ThreadRecord数据配对的DataIndexRecord数据区域；

S4：响应于一数据索引的数据大小与已构建数据索引集合中所有数据大小之和不大于文件大小，将数据索引的信息添加至所述已构建数据索引集合中生成对应文件的数据索引信息集合；以及

S5：根据所述ThreadRecord数据以及所述对应文件的数据索引信息集合恢复删除文件；

其中，ThreadRecord数据区域检测具体包括：

所述ThreadRecord数据区域被所述空闲数据区域集合中的元素freedata_ij所指向，并且基于ThreadRecord结构对相应区域进行解析获取文件FileID、ParentID、文件名称、文件大小、文件占用大小、文件创建时间、文件修改时间、文件访问时间以及文件节点修改时间，并满足以下条件：

FileID小于下一叶子节点信息集合中第1个元素的FileID；

ParentID必须等于当前叶子节点信息集合中第j个元素的ParentID；

文件节点修改时间大于文件访问时间；

文件节点修改时间mod 1000000000不等于0。

2.根据权利要求1所述的用于APFS文件的恢复方法，其特征在于，所述ThreadRecord数据包括描述文件的名称、时间、FileID和ParentID大小，DataIndexRecord数据包括描述文件的数据存储位置，包含起始块位置和长度信息。

3.根据权利要求1所述的用于APFS文件的恢复方法，其特征在于，步骤S2中所述空闲数据区域集合的获取方法为：

B-Tree树中所有文件信息块叶子节点中空闲的数据区域集合表示为FDATA＝{fdata₁,fdata₂…fdata_m}，fdata＝{freedata₁,freedata₂,…，freedata_n-1}表示为一个文件信息块节点中空闲的数据区域集合，集合中的每个元素均包含空闲数据偏移FreeDataOffset_i、空闲数据长度FreeDataLenth_i，其计算方式如下：

FreeDataOffset_i＝DataOffset_i+DataLenth_i；

FreeDataLenth_i＝DataOffset_i+1-FreeDataOffset_i；

其中，DataOffset_i为数据偏移，DataLenth_i为数据长度。

4.根据权利要求1所述的用于APFS文件的恢复方法，其特征在于，步骤S3中的与ThreadRecord数据配对的DataIndexRecord数据区域的判断条件包括：

DataIndexRecord_j区域和ThreadRecord_i数据区域被同一个空闲数据区域集合fdata集合所指向；

不存在其他任何被同一个fdata集合所指向的ThreadRecord_k数据区域离DataIndexRecord_j更近；

按照DataIndexRecord结构对相应区域进行解析获取数据块号BlockNumber以及数据大小DataSize，并且解析结果需同时满足DataSize mod 4096等于0和DataSize/文件大小小于等于1。