削除の取り消し

削除取り消しは、ファイル削除によってファイル システムから削除されたコンピュータ ファイルを復元する機能です。削除されたデータは多くのファイル システムで復元できますが、すべてのファイル システムが削除取り消し機能を備えているわけではありません。削除取り消し機能を使用せずにデータを復元することは、通常、削除取り消しではなく、データ復元と呼ばれます。削除取り消しは、ユーザーが誤ってデータを失うのを防ぐのに役立ちますが、削除されたファイルがアクセス可能なままであることをユーザーが認識していない可能性があるため、 コンピュータのセキュリティリスクをもたらす可能性があります。

すべてのファイルシステムやオペレーティングシステムが削除の取り消しをサポートしているわけではありません。削除の取り消しはすべてのFATファイルシステムで可能であり、1991 年のMS-DOS 5.0 ^{[1] [2]}およびDR DOS 6.0以降では削除の取り消しユーティリティが提供されています。AdvFSは例外ですが、最近のUNIXファイルシステムのほとんどではサポートされていません。ext2 ファイルシステムには、ファイルの削除の取り消しを可能にする e2undel ^[3]というアドオンプログラムがあります。同様のext3ファイルシステムは削除の取り消しを正式にはサポートしていませんが、ext4magic ^[4]、extundelete ^{[5] 、} PhotoRec、ext3grep ^{[6]などのユーティリティが}ext3ボリュームでの削除の取り消しを自動化するために作成されました。^{[7] Undelete は}ext4で提案されましたが、まだ実装されていません。^[8]しかし、2006年12月4日にゴミ箱機能がパッチとして公開されました。^[9]ゴミ箱機能は、ext2/3/4およびReiserファイルシステムの削除取り消し属性を使用します。^[10]

Norton UNERASE は、1982 年のNorton Utilitiesバージョン 1.0の重要なコンポーネントでした。

Microsoft は、 MS-DOSのバージョン 5.0 から 6.22 に同様の UNDELETE プログラムを組み込んでいましたが、 FAT を使用するそれ以降のオペレーティング システムでは代わりにごみ箱のアプローチを適用しました。

DR DOS 6.0以降では UNDELETE もサポートされていますが、オプションで、FAT スナップショット ユーティリティDISKMAPと常駐の DELWATCH 削除追跡コンポーネントを使用した追加の保護が提供されます。これらのコンポーネントは、削除されたファイルの日付とタイムスタンプをアクティブに維持し、ディスク領域が不足しない限り、削除されたファイルの内容が上書きされないようにします。DELWATCH は、ファイル サーバー上のリモート ファイルの削除取り消しもサポートしています。Novell DOS 7以降、カーネルは、削除されたファイルの最初の文字をディレクトリ エントリに保存し、削除取り消しツールが元の名前を復元できるように支援します。

PTS-DOS は、 SAVENAME CONFIG.SYSディレクティブによって構成可能な同じ機能を提供します。

UNDELETEのFreeDOS版はEric Auerによって開発され、GPLライセンスの下で提供されています。^[11]

グラフィカル ユーザー環境では、削除を取り消すために別のアプローチを取ることが多く、代わりに削除するファイル用の「保留領域」を使用します。不要なファイルはこの保留領域に移動され、保留領域内のすべてのファイルは定期的に、またはユーザーの要求時に削除されます。このアプローチは、Macintoshオペレーティング システムのゴミ箱やMicrosoft Windowsのごみ箱で使用されています。これは、 LocoScriptで使用される limbo グループなど、以前のシステムで採用されていたアプローチの自然な延長です。^[12]このアプローチでは、ファイルシステムに書き込まれている他のファイルによって削除されたファイルがすぐに混乱するリスクはありません。永久的な削除は、予測可能なスケジュールで、または手動介入によってのみ実行されます。

Norton GoBack (旧Roxio GoBack )などのプログラムでは、別のアプローチが提供されています。ハードディスク領域の一部がファイル変更操作用に確保され、後で元に戻せるように記録されます。このプロセスは、通常、以下で説明する削除取り消し操作よりも、削除されたファイルの回復を助ける点ではるかに安全です。

同様に、「スナップショット」をサポートするファイルシステム（ZFSやbtrfsなど）を使用すると、ファイルシステム全体のスナップショットを定期的に（たとえば 1 時間ごとに）作成できるため、以前のスナップショットからファイルを回復できます。

削除の取り消しは絶対安全ではありません。一般的に、削除の取り消しを早く試みるほど、成功する可能性が高くなります。これは、システムの使用頻度が高くなるほど、ドライブに書き込まれるデータが増え、削除された領域に割り当てられる可能性が高くなるためです。削除されたファイルの断片化によっても、ファイル システムの種類によっては回復の可能性が低くなる場合があります (以下を参照)。断片化されたファイルは、連続した領域にあるのではなく、ディスクのさまざまな部分に分散しています。

復元の動作は、削除されたファイルが保存されていたファイル システムによって異なります。HFS などの一部のファイル システムでは、削除されたファイルに関する情報が保持されないため (通常は存在しない追加のソフトウェアによる情報を除く)、復元機能を提供できません。ただし、FAT ファイル システムなど、一部のファイル システムでは、削除されたファイルの痕跡がすべて消去されるわけではありません。

FATファイル システムを使用してファイルを「削除」すると、ディレクトリ エントリはファイル名の最初の文字を除いてほとんど変更されず、「削除」されたファイルの名前の大部分、タイムスタンプ、ファイルの長さ、そして最も重要なディスク上の物理的な場所が保持されます。ただし、ファイルが占めるディスク クラスターのリストはファイル アロケーション テーブルから消去され、それらのセクターはその後作成または変更される他のファイルで使用可能になります。FAT32 の場合は、ファイル開始クラスター値の上位 16 ビットを担当するフィールドも消去されます。

削除取り消し操作を試行する場合、ファイルの回復を成功させるには次の条件を満たす必要があります。

• 削除されたファイルのエントリはディレクトリ内にまだ存在している必要があります。つまり、同じディレクトリ内に作成された新しいファイル (またはフォルダ) によってまだ上書きされていない必要があります。これが当てはまるかどうかは、削除を取り消すファイルの残りの名前がディレクトリ内にまだ存在しているかどうかを確認することで、かなり簡単に検出できます。
• 削除されたファイルによって以前使用されていたクラスターは、他のファイルによってまだ上書きされてはいけません。これは、クラスターがファイル アロケーション テーブルで使用済みとしてマークされていないことを確認することで、かなりうまく確認できます。ただし、その間に、それらのセクターを使用して新しいファイルがディスクに書き込まれ、その後再び削除されてそれらのセクターが再び解放された場合、削除取り消しプログラムではこれを自動的に検出できません。この場合、削除取り消し操作は、成功したように見えても、回復されたファイルに異なるデータが含まれているため失敗する可能性があります。
• FAT32デバイスの場合、物理アドレスの下位 16 ビットは通常ディレクトリ エントリに保持されますが、アドレスの上位ビットはゼロにリセットされます。多くの回復プログラムはこの事実を無視し、データを正しく回復できません。

通常、以前のシステムで使用されるクラスター サイズが大きいことと、FAT32 の論理クラスター アドレスの上位 16 ビットが失われることから、 FAT12およびFAT16では FAT32 ボリュームと比較して、削除されたファイルを回復できる可能性が高くなります。

復元プログラムが上記の要件が満たされていないという明確な兆候を検出できない場合、ディレクトリ エントリを使用中として復元し、ファイルアロケーション テーブルで使用されている古いディレクトリ エントリに記録されているものから始まる連続するすべてのクラスターをマークします。復元されたファイルを開いて、以前に削除されたファイルの完全なデータが含まれているかどうかを確認するのはユーザーの責任です。

したがって、断片化されたファイル (最初の断片以降) の復元は、通常、自動プロセスでは不可能であり、ディスクの各 (未使用の) ブロックを手動で調べることによってのみ可能です。これには、ファイル システムに関する詳細な知識と、復元するファイル タイプのバイナリ形式が必要であるため、復元の専門家またはフォレンジックの専門家によってのみ実行されます。

NTFS は、ファイル情報を、マスター ファイル テーブル (MFT) と呼ばれる固定サイズのレコード セット (通常 1 KB) として保存します。ファイル名とファイル割り当て情報はこれらのレコードにカプセル化され、各ファイルに関する完全な情報が提供されます。システムがファイルを削除すると、マスター ファイル テーブルのエントリは解放されてリンク解除または再利用されますが、ディスク上には残ります。MFT エントリが再利用または上書きされるまで、ファイルは簡単に復元できます。データ復元ソフトウェアは、「失われた」MFT エントリを見つけ、そこから失われたファイルに関する完全な情報を導き出すことができます。

ただし、SSD TRIM機能が有効になっている場合、SSD メモリセルを再利用するために、ファイルの内容が削除直後に破壊される可能性があります。これにより、ファイルの内容の回復が不可能になります (名前、日付、ファイルサイズの情報のみがディスクに残ります)。

データ消去とは、ファイルの復元を防ぐソフトウェアベースの方法を指す用語です。

• バックアップ
• Wikipedia の記事の削除 § 削除の確認と削除の取り消し
• データ復旧ソフトウェアのリスト
• シュレッダー
• ロールバック（データ管理）
• 元に戻す

• 削除解除無料
• 無料削除解除
• メディア調査員
• ホームページ
• FAT32 クラスタ ポインタの高ビットの問題