快速恢复ExFAT文件系统数据

■ 甘肃 权建军

编者按： ExFAT文件系统是一种适合于闪存的文件系统，但有时会造成磁盘文件不能打开的故障。本文讲解了一种快速恢复ExFAT文件系统数据的方法。

作为FAT文件系统家族中FAT32的继任者，ExFAT文件系统允许无缝连接桌面计算机和便携媒体设备。其DBR及保留扇区位于0-11扇区，由于DBR及其备份很靠近，一旦都遭到损坏，会造成磁盘文件不能打开。

经典的数据恢复方法是手工恢复，需要计算出DBR的BPB参数，再编程计算校验码，难度很大。本文提出一种快速的数据恢复方法。

图1 ExFAT文件系统的结构

图2 故障现象1

图3 故障现象2

ExFAT文件系统的结构

ExFAT（Extended File Allocation Table File System，扩展文件分配表）是微软在Windows Embeded 6.0（包括Windows CE 6.0、Windows Mobile）中引入的一种适合于闪存的文件系统。ExFAT是为闪存介质而开发的，如U盘、数码卡等。现在闪存介质的容量越来越大，FAT文件系统能够管理的空间有限，而NTFS文件系统是日志型文件系统，需要记录详细的读写操作，对介质磨损较大，不适合使用在闪存介质上，出于这些考虑，微软推出了ExFAT文件系统。ExFAT理论上最大支持可达64ZB，系统建议支持的最大分区为512TB。

ExFAT文件系统的结构如图1所示。

其 中，0-11号扇区为主引导区域，共12个扇区，可分为5个区域：主要扇区、主扩展引导扇区、OEM参数区、保留扇区和校验扇区。主引导区域的11号扇区记录的是前0-10号扇区的校验值，12-23号扇区为主引导区域的备份，12号扇区为0号DBR的备份。

DBR损坏的故障现象

打开磁盘，故障现象如图2所示，使用WinHex提示如图3所示。使用R-STUDIO提示如图4所示。

用WinHex打开磁盘，观察其0-11扇区，全为0；再观察 DBR备份 12～23扇区，也全为0。因此，磁盘的DBR及备份都遭到了破坏，必须恢复其DBR及校验码。

传统的数据恢复方法

DBR被破坏后，传统的数据恢复方法，是复制一个ExFAT文件系统DBR，然后计算其BPB参数。包括隐藏扇区数、扇区总数、FAT起始扇区号、FAT扇区数、根目录起始扇区、总簇数、首簇起始扇区号与根目录首簇号、每簇扇区数。但这样计算量大，容易出错，更为关键的是还要计算11号扇区的CHECKSUM数值。

图4 故障现象3

图5 ExFAT格式化

有关经典方法的论述，相关文献较多，这里不再细说。值得一提的是，这种方法即便BPB参数计算完全正确，也未必能打开磁盘，因为还需要计算11号扇区的CHECKSUM数值，即校验码，需要编程才能计算。

图6 用R-STUDIO打开分配单元合适的磁盘

快速数据恢复方法：试凑法

下面我们尝试用新的试凑法恢复磁盘文件。

第一步，根据磁盘的总扇区数，建立一个虚拟磁盘，大小应比该磁盘略大，简单卷大小严格等于该磁盘的总字节数，分配单元选默认值，并格式化为ExFAT文件系统，如图5所示。

这样，就建立了一个ExFAT文件系统的虚拟磁盘。

第二步，将此虚拟磁盘的0-11扇区复制到待恢复的磁盘的0-11扇区，替换了原磁盘的0-11扇区。

第三步，刷新后，用R-STUDIO打开该磁盘。如果0-11扇区数据正确，可以看到该磁盘的所有文件。

第四步，如果仍打不开磁盘文件，表明0-11扇区数据不正确。删除该简单卷，再选择不同的分配单元大小，依照如图5中的512、1024、2048、4096、8192、16K、32K、64K 分别进行尝试。直到用R-STUDIO打开磁盘后，可以看到该磁盘的所有文件。

图6是用R-STUDIO恢复分配单元合适的磁盘。这些文件夹双击即可打开。

经过以上四个步骤，通过试凑磁盘分配单元的大小，就可以打开磁盘，并读取文件数据了。

结语

本文巧妙利用虚拟磁盘，产生与实际磁盘相匹配的DBR及其校验码，避免了繁杂的计算和编程，极大地简化了ExFAT文件系统的数据恢复，教学及实际使用都取得了很好的效果。