FAT32ディレクトリエントリを読み取り、ファイルの最初のクラスターを識別してデータを回復しようとするファイル回復ソフトウェアを作成しましたが、正常に動作していると思われますが、fat32usbディスクで試してみると次のようになります。
ファイルが削除されていないときに割り当てられたクラスター番号は、削除された直後のクラスター番号とは異なります。DiskInvestigatorとTuneUpUndeleteを使用してこれを確認しましたが、いずれもファイルを回復できませんでした。通常、ファイルの名前を削除すると、最初の文字が0xE5に変更され、残りはそのまま残るという一般的な問題がありましたが、これにより、クラスター情報も変更されます。
何か助けはありますか？FAT32 USBを試して、何が起こっているのか教えていただけますか？
私のOSはWindowsVistaで、ペンドライブはシングルパーティションFAT32です。
同じ問題をグーグルで調べているときに、この質問に出くわしました。質問は古いですが、私の答えが役立つことを願っています。
この問題は、フラッシュ メモリの問題とは関係ありません。ファイルが FAT32 パーティションから削除されると、その最初のクラスターの上位ワードがゼロに設定され、プレーンかつシンプルになります ( https://www.cnwrecovery.com/html/fat32.html )。
したがって、FAT12/FAT16 とは異なり、FAT32 で削除されたファイル (およびディレクトリ) を直接復元することは不可能です。
おそらく、USBウェア レベリング効果が見られます。
USB スティックとデータ復旧ツールをテストするためのアドバイスに関するこの投稿には、これに関する詳細なメモがあります。
ウェア レベリング (コントローラーがデータを別のセクターに切り替えて、書き込み操作でのメモリ チップの平均寿命を延ばす) のため、USB スティックは標準のハード ドライブ診断ユーティリティでは簡単に処理できません。
更新：上記の私の仮定と矛盾する参照。The forensic potential of flash memory
に関する最近の論文では、
ウェアレベリングは物理レベルで機能し、論理レベル (ソフトウェア アクセス) には影響しないと述べています。この論文はまだ読んでいません...しかし、フラッシュ デバイスに関心のあるすべての人にとっては良い情報と思われます。
簡単に言うと、フラッシュ メモリでは、ブロックが書き込まれるとき、そのブロックの周りのブロックのクラスターを最初に消去し、次にブロックへの変更を考慮して再書き込みする必要があります。したがって、隣接ブロックが未割り当てとしてマークされているブロックに書き込むと (実際には後でそのデータが必要になりますが)、未割り当てブロックがゼロとして書き込まれる可能性があります。または、古いブロックが未割り当てとしてマークされ、すでに空白のクラスター内の新しいブロックに変更が書き込まれ、ブロックの変更がどこかに記録される可能性があります。
この動作は OS 固有ではありませんが、実際には USB デバイス自体によって処理されます。したがって、あなたの質問で明確ではなかったすべての USB フラッシュ デバイスでこれが発生するということでない限り、使用しているデバイスの種類を知る必要があります。
長いバージョンは、現在有名なSSD アンソロジーの記事 (劣化の章の EG) でAnand Shimpi によってよりよく説明されています。そのようなものが好きなら、詳細なフォローアップさえあります.
作成したコードを、オープン ソースのコンピュータ フォレンジック ツールキットである SleuthKit の一部である「icat」および「fls」プログラムと比較したいと思われるでしょう。SleuthKit を使用すると、削除された FAT32 ファイルのディレクトリ エントリを簡単に見つけて、inode を icat できます。SleuthKit はhttp://sleuthkit.org/にあります。