Что происходит с удалённым файлом и можно ли его восстановить

Что происходит с удалённым файлом после нажатия клавиши Delete? Многие представляют, что компьютер сразу стирает все его данные с накопителя. В действительности результат зависит от способа удаления, файловой системы и типа устройства.

Сначала файл обычно перемещается в корзину. После её очистки операционная система освобождает занимаемое им место, но на жёстком диске сами данные могут некоторое время сохраняться.

С твердотельными накопителями ситуация сложнее. Благодаря команде TRIM и автоматической очистке ячеек информация может исчезнуть значительно быстрее.

Сначала файл перемещается в корзину

При обычном удалении в Windows или другой графической операционной системе файл часто не исчезает окончательно. Он перемещается в специальную папку — корзину.

Система сохраняет сведения о его первоначальном расположении. Поэтому пользователь может открыть корзину, выбрать нужный объект и вернуть его на прежнее место.

Пока файл находится в корзине, он продолжает занимать место на накопителе. Это не резервная копия, а временное хранение удалённых объектов на том же устройстве.

Корзина может очищаться автоматически при заполнении установленного объёма или через определённое время — в зависимости от настроек системы.

Некоторые файлы удаляются без корзины

Корзина используется не во всех ситуациях. Файл может миновать её, если пользователь применил команду окончательного удаления, например сочетание Shift и Delete в Windows.

Такое также возможно при удалении:

• с некоторых флешек и карт памяти;
• из сетевой папки;
• через командную строку;
• внутри отдельных программ;
• с накопителя, для которого корзина отключена;
• при слишком большом размере файла.

Отсутствие объекта в корзине ещё не всегда означает, что его содержимое физически уничтожено. Однако восстановить его обычной кнопкой уже не получится.

Файловая система хранит сведения о расположении данных

Чтобы понять, что происходит с удалённым файлом, необходимо разделить его имя и содержимое.

Файловая система хранит служебную информацию:

• название файла;
• размер;
• даты создания и изменения;
• расположение частей данных;
• права доступа;
• принадлежность к определённой папке.

Само содержимое записывается в других областях накопителя. Большой файл может занимать множество отдельных блоков, которые не всегда располагаются рядом.

При окончательном удалении система обычно убирает или изменяет запись, связывающую имя файла с этими блоками. Занятое пространство становится доступным для новой информации.

На жёстком диске данные могут сохраниться

В классическом жёстком диске информация записывается путём изменения магнитного состояния поверхности вращающихся пластин.

После удаления операционной системе обычно нет необходимости немедленно стирать каждый занятый сектор. Значительно быстрее отметить соответствующее пространство как свободное.

До записи новых данных прежнее содержимое может оставаться на пластинах. Программы восстановления пытаются найти такие фрагменты и снова объединить их в файл.

Шансы зависят от нескольких условий:

• сколько времени прошло после удаления;
• записывались ли на диск новые данные;
• был ли файл фрагментирован;
• повреждена ли служебная информация;
• выполнялось ли форматирование;
• исправен ли сам накопитель.

Если поверх прежних данных уже записана новая информация, обычное восстановление становится невозможным.

SSD очищает данные иначе

Твердотельный накопитель не имеет магнитных пластин. Информация хранится в ячейках флеш-памяти, а работой этих ячеек управляет встроенный контроллер.

Когда файл удаляется, операционная система может передать накопителю команду TRIM. Она сообщает, какие блоки больше не содержат нужных пользователю данных.

Контроллер получает возможность подготовить их к новой записи. Физическая очистка может произойти сразу или позднее во время внутреннего процесса обслуживания накопителя.

Пользователь не контролирует точный момент выполнения операции. Поэтому удалённый с SSD файл иногда становится невосстановимым очень быстро.

Программы восстановления могут показывать имя такого файла, но его содержимое уже будет пустым или повреждённым.

Обычное форматирование не всегда уничтожает содержимое

Быстрое форматирование обычно создаёт новую структуру файловой системы, не перезаписывая всё пространство накопителя.

На жёстком диске после такой операции часть старых файлов иногда удаётся восстановить. Результат зависит от файловой системы, дальнейшего использования и выбранного способа форматирования.

Полное форматирование выполняет больше операций и может перезаписывать или проверять области диска. После него вероятность восстановления значительно ниже.

На SSD поведение дополнительно зависит от TRIM, контроллера и встроенных команд очистки. Поэтому правила, подходящие для старого магнитного диска, нельзя автоматически переносить на твердотельный накопитель.

Облачное удаление работает по своим правилам

Если файл находится в облачном хранилище, его удаление может синхронизироваться со всеми подключёнными устройствами.

Облачные сервисы часто имеют собственную корзину. Удалённый файл хранится там определённое время, после чего удаляется автоматически.

Дополнительно могут существовать:

• история версий;
• резервные копии;
• корпоративные правила хранения;
• копии на других устройствах;
• автономные файлы в памяти телефона или компьютера.

Поэтому очистка локальной корзины не всегда уничтожает облачную копию. И наоборот, удаление файла в синхронизируемой папке способно удалить его и с других устройств.

Перед очисткой необходимо проверить корзину и историю версий непосредственно в используемом сервисе.

Что делать после случайного удаления

Главное правило — прекратить записывать новые данные на накопитель. Каждая установка программы, загрузка файла или обновление системы может занять место, где сохранились фрагменты удалённого документа.

После случайного удаления следует:

1. Проверить корзину.
2. Проверить облачное хранилище и историю версий.
3. Найти копию на другом устройстве.
4. Проверить резервные копии.
5. По возможности прекратить использование накопителя.
6. Запускать восстановление с другого диска.
7. Сохранять восстановленные файлы на другой носитель.

Нельзя устанавливать программу восстановления на тот же диск, с которого пропали данные. Её файлы могут перезаписать именно ту область, которую необходимо спасти.

Если информация особенно ценная, а накопитель издаёт необычные звуки, отключается или не определяется компьютером, самостоятельные эксперименты лучше прекратить. Физически повреждённое устройство следует передать специалистам.

Удаление не является безопасным уничтожением

Очищенная корзина не гарантирует, что конфиденциальный файл невозможно восстановить. Это особенно важно перед продажей, передачей или утилизацией компьютера.

Для надёжной очистки применяются специальные методы:

• перезапись доступного пространства;
• встроенная команда безопасного стирания накопителя;
• криптографическое удаление;
• сброс устройства с очисткой данных;
• физическое уничтожение неисправного носителя.

Для жёстких дисков может использоваться полная перезапись. На SSD этот метод менее надёжен из-за резервных областей памяти и технологии распределения износа.

Для твердотельного накопителя предпочтительнее применять предусмотренную производителем команду Secure Erase или Sanitize. На зашифрованном устройстве данные также можно сделать недоступными путём надёжного уничтожения ключа шифрования.

Перед выполнением подобных операций необходимо создать резервную копию: безопасное стирание предназначено именно для необратимого уничтожения информации.

Резервная копия надёжнее восстановления

Программы восстановления не гарантируют возвращение файла. Даже если его название отображается в результатах поиска, часть содержимого могла быть перезаписана.

Надёжнее заранее хранить важные данные как минимум в нескольких местах:

• на основном компьютере;
• на отдельном внешнем накопителе;
• в облачном хранилище.

Внешний диск с резервной копией не стоит постоянно держать подключённым. Вредоносная программа или ошибка пользователя может повредить одновременно оригиналы и доступные копии.

Для особенно важных документов полезно использовать автоматическое резервное копирование и историю версий.

Файл исчезает в несколько этапов

После обычного удаления файл чаще всего попадает в корзину. После её очистки файловая система освобождает занимаемое пространство, но на жёстком диске содержимое может сохраняться до перезаписи.

На SSD команда TRIM сообщает контроллеру, что соответствующие блоки больше не нужны. После внутренней очистки восстановить находившуюся в них информацию невозможно.

Именно поэтому ответ на вопрос, что происходит с удалённым файлом, зависит от накопителя и способа удаления. Иногда файл можно вернуть несколькими щелчками, а иногда даже специалисты уже не смогут восстановить его содержимое.