286
ISSN 0236-3933. Вестник МГТУ им. Н.Э. Баумана. Сер. “Приборостроение”. 2012
зочный сектор раздела FAT32; первый сектор корневого каталога; сек-
тор GPT; сектор таблицы FAT/FAT32; сектор таблицы MFT.
Кроме сохранившихся элементов и результатов сигнатурного по-
иска, исходя из значений, которые по умолчанию используют утили-
ты разбиения диска при формировании блоков зарезервированных
секторов между разделами, сектора, находящиеся рядом с обнару-
женными разделами, включаются в последующий анализ как воз-
можные места начала и конца логических томов вне зависимости от
наличия или отсутствия соответствующих сигнатур.
При анализе структуры разделов найденные ранее базовые эле-
менты (загрузочные сектора — основные и резервные, корневые ка-
талоги, таблицы FAT32 и MFT и иные элементы файловых систем)
анализируются на наличие дубликатов. Предполагаемые разделы за-
носятся в специализированную промежуточную таблицу.
Гипотезы размещения разделов формируются на основе найденных
на магнитном или твердотельном накопителе базовых элементов логи-
ческой структуры системы разделов и файловых систем. Каждая из
сформированных гипотез размещения разделов подлежит дальнейшему
анализу на предмет возможности восстановления информации.
Для оценки гипотез анализируется каждый из предполагаемых
разделов и вычисляется оценочное значение
i
T
которое определяется
суммированием инкрементных значений
p
r
в соответствии с оценоч-
ными шкалами:
Найдены:
загрузочный сектор (для каждой копии) ................................. 2
таблица, определяющая очередность следования
кластеров (FAT/MFT):
для первой копии..................................................................... 14
для второй копии..................................................................... 18
корневой каталог ........................................................................ 8
каталог......................................................................................... 1
файл ............................................................................................. 1
Следовательно, оценочное значение
i
T
для каждой из гипотез
размещения раздела в адресном пространстве накопителя рассчиты-
вается по формуле
1
,
z
i
p
p
T r
=
=
∑
где
z
—
число выявленных элементов логической структуры.
Оценка пригодности каждой из ранее сформированных гипотез
i
R
размещения раздела проводится сравнением соответствующего
данной гипотезе оценочного значения
i
T
пороговым значением
T
min
.
Если
i
T
< T
min
,
то соответствующая гипотеза
i
R
исключается из ана-
лиза. Таким образом, на этом шаге алгоритма имеем следующий кри-
терий пригодности гипотез
i
R
размещения разделов: