Jag raderade några viktiga filer från en APFS-enhet på min Mac och insåg för sent att jag fortfarande behöver dem. Jag är inte säker på om TRIM, snapshots eller nylig diskanvändning gör filåterställning från APFS omöjlig. Vilka steg bör jag prova innan jag riskerar att skriva över något?
användare 1
Du kan fortfarande ha en chans, men det beror främst på två saker: om något har skrivits till den enheten sedan raderingen, och om det är en SSD eller en mekanisk hårddisk.
Det säkraste är att sluta använda den enheten direkt. Spara inget på den, installera inga återställningsverktyg på den, och jag skulle undvika att köra reparationsverktyg just nu också. Raderade filer är ofta inte riktigt borta direkt, men nya skrivningar kan skriva över utrymmet de använde.
Om du formaterade den i Skivverktyg betyder inte det automatiskt att datan är förstörd. En snabbformatering återskapar vanligtvis filsystemets struktur i stället för att radera varje bit av den gamla datan. Om du inte har kopierat en massa nytt innehåll till den efteråt kan återställning fortfarande vara möjlig.
SSD:er är det svårare fallet, särskilt interna Mac-SSD:er med TRIM aktiverat. När TRIM väl rensar de raderade blocken kan vanlig återställningsprogramvara inte få tillbaka dem. Externa SSD:er är lite mer osäkra eftersom TRIM beror på kapslingen och anslutningstypen. Vissa skickar vidare TRIM-kommandon, andra gör det inte. Så en extern SSD kan ibland vara mer återställningsbar än man skulle tro, men bara om du slutar använda den snabbt.
Jag har haft bäst resultat med Disk Drill.
Det som fungerade för mig var i princip detta:
- Installera Disk Drill på en annan enhet, inte den du försöker återställa från.
- Anslut APFS-enheten som förlorade filerna.
- Ge den Fullständig skivåtkomst när macOS frågar.
- Skanna hela APFS-volymen, inte bara en slumpmässig mapp.
- Låt den fullständiga skanningen bli klar innan du hämtar filer.
- Använd förhandsvisningar för att kontrollera att de återställda filerna faktiskt går att öppna.
- Spara de återställda filerna på en annan enhet.
Det stora plusset för mig var att den behöll många av de ursprungliga mapp- och filnamnen. Det är viktigare än det låter, eftersom det är hemskt att sortera igenom tusentals filer med slumpmässiga namn.
Om du har en Time Machine-säkerhetskopia, kontrollera den först. Om du inte har det är återställningsprogramvara förmodligen nästa rimliga steg. Kontrollera också APFS-ögonblicksbilder. macOS kan ibland behålla lokala ögonblicksbilder även när din Time Machine-enhet inte är inkopplad. De kanske inte finns, men det är värt att kontrollera innan du antar att filerna är borta.
Jag skulle undvika Första hjälpen i Skivverktyg tills efter att du har återställt allt viktigt. Min regel är att återställa först, reparera senare. Reparationer kan hjälpa med ett skadat filsystem, men de kan också ändra saker på disken, vilket inte är vad du vill innan återställning.
Om enheten inte går att montera, kopplas från slumpmässigt, klickar, fryser under skanningar eller verkar fysiskt instabil skulle jag sluta experimentera med programvara och prata med ett återställningslaboratorium. Många bra laboratorier utvärderar gratis, och många har ingen data, ingen avgift. Det kostar mer, men om enheten håller på att gå sönder är det den säkrare vägen.
Den saknade detaljen är om detta var din startskiva och om FileVault var aktiverat. Om det var en intern Mac-SSD med FileVault och du fortsatte använda Macen efter att ha raderat filerna, skulle jag sätta förväntningarna ganska lågt. APFS plus SSD TRIM kan snabbt förvandla raderat till inte praktiskt återställbart, och kryptering betyder att du inte kommer att kunna plocka fram användbara rester på det sätt som folk brukade kunna göra på gamla hårddiskar.
Jag håller med om rådet att sluta använda den, men jag skulle vara striktare med det: stäng av Macen om de förlorade filerna finns på den interna disken. Ladda inte ner någon återställningsapp, uppdatera inte macOS, och låt inte Bilder eller iCloud-synkronisering mala på i bakgrunden. Om du har en annan Mac kan måldiskläge eller extern uppstart minska mängden ny skrivning, även om nyare Apple silicon-Macar gör det mindre enkelt än det brukade vara.
Innan du skannar skulle jag kontrollera de tråkiga sakerna som ibland sparar timmar: Senast raderade i appen som skapade filerna, iCloud Drive-webbåterställning, Time Machine och lokala ögonblicksbilder. Om ögonblicksbilder finns är det vanligtvis renare än återställningsprogram eftersom du får tillbaka den riktiga filen i stället för en gissad rekonstruktion. Disk Drill eller liknande verktyg är värda att prova efter det, men jag skulle betrakta förhandsvisningen som sanningen. Om det inte kan förhandsvisa filen korrekt kan återställning av en fil med rätt namn ändå ge dig skräp.
Sluta behandla enheten som en plats för experiment.
TRIM-punkten ovan är verklig, men det större misstaget jag ser att folk gör är att köra tre olika återställningsappar direkt mot originaldisken och sedan undra vilken som gjorde saker värre. Om filerna är viktiga, bevara det nuvarande läget först. Även om det nuvarande läget är dåligt är det fortfarande bättre än ett läge som du ändrade medan du petade runt.
Om detta är en extern enhet skulle jag skapa en fullständig diskavbild eller klon till en annan enhet innan jag gör genomsökningar. Inte en Finder-kopia av de synliga filerna. En riktig blocknivåavbild eller klon av hela enheten eller APFS-behållaren. Skanna sedan avbilden om ditt återställningsverktyg stöder det. Det ger dig en återställningspunkt om den första skanningen är värdelös, och det undviker att belasta en eventuellt opålitlig enhet i timmar.
Om detta är den interna SSD:n i Macen är det här saker blir fulare. Att starta normalt skriver redan loggar, cachar, Spotlight-data, iCloud-ändringar, webbläsarskräp och vem vet vad mer. Jag öppnade bara Safari för att ladda ner ett verktyg är fortfarande diskaktivitet. Stäng av den och arbeta från en annan Mac, Återställning eller en extern startskiva om du vet vad du gör. Om du inte gör det är detta ögonblicket då det kan vara billigare att betala en verkstad än att lära sig genom att förstöra bevisen.
Liten varning om ögonblicksbilder: anta inte att de finns bara för att APFS stöder dem. APFS kan ha ögonblicksbilder, men det betyder inte att din saknade mapp ligger säkert i en av dem. Lokala Time Machine-ögonblicksbilder är det vanliga användbara fallet. Om de finns, använd dem först eftersom det är återställning, inte gissning. Återställningsprogram är mer som arkeologi.
Disk Drill är okej att prova, men jag skulle använda det som en skanner, inte som bevis på att allt går att återställa. Förhandsvisningen betyder mer än fillistan. Ett återställt filnamn med en trasig förhandsvisning är ofta bara en tröstande lögn. Detta gäller särskilt för större filer som videor, virtuella maskiner, Bilder-bibliotek, databaser och projektfiler där en enda saknad del kan göra hela filen värdelös.
Folk glömmer också att raderade filer kanske inte är vanliga filer. Om det du förlorade fanns i Bilder, Anteckningar, Mail, Lightroom, Final Cut, en synkroniseringsmapp eller en paketfil, kan den bästa återställningsvägen finnas i appens egen papperskorg, säkerhetskopia, cache, versionshistorik eller molnåterställningssida. Filåterställningsverktyg kan hitta fragment, medan appen fortfarande kan ha en ren kopia eller en databaspost.
Min ordning skulle vara:
- Sluta använda Macen eller koppla från den externa enheten.
- Kontrollera appspecifika Nyligen raderat-områden och molnåterställning.
- Kontrollera Time Machine och lokala ögonblicksbilder.
- Om ingen ren återställning finns, skapa en avbild eller klon av enheten om det är praktiskt möjligt.
- Skanna avbilden eller originalet först därefter.
- Återställ till en helt annan disk.
- Öppna de återställda filerna innan du firar.
För en raderad fil på en intern Apple SSD som har använts ett tag efteråt skulle jag hålla förväntningarna låga. För en extern APFS-hårddisk, eller en extern SSD som inte passerade TRIM, kan oddsen vara mycket bättre. Samma filsystem, mycket olika återställningssituation.
Kontrollera Papperskorgen från samma Mac-användarkonto innan du skannar något, särskilt om filerna låg på en extern enhet. macOS får Papperskorgen att se ut som en enda plats, men varje volym kan ha sin egen dolda papperskorgsmapp. Om du raderade från en extern APFS-disk och sedan anslöt den till en annan Mac eller ett annat användarkonto, kan det se ut som att filerna är borta fast de egentligen bara inte visas i den Papperskorg du tittar på.
De andra svaren har rätt om att stoppa skrivningar, men jag skulle dela upp raderad i några fall eftersom de inte är likvärdiga. Om du drog filer till Papperskorgen och inte har tömt den, handlar återställning oftast bara om att återställa dem. Om du tömde Papperskorgen, använde Command-Option-Delete, raderade från Terminal med rm, eller om en app städade bort dem, då är du inne på verklig dataåterställning. Om enheten är en intern SSD och Macen har använts normalt sedan dess, sjunker oddsen snabbt. Disk Drill, PhotoRec, R-Studio osv. kan inte återställa block som SSD:n redan har fått besked om att den kan kassera.
För ögonblicksbilder, kontrollera inte bara gränssnittet i Time Machine-appen. Du kan öppna Terminal och köra något som tmutil listlocalsnapshots / för startvolymen. För en annan monterad volym spelar sökvägen roll. Om ögonblicksbilder finns är återställning från en sådan mycket bättre än att försöka återskapa filer. Om det inte finns några ögonblicksbilder finns det inget magiskt som APFS kan falla tillbaka på. Att APFS är modernt betyder inte att det behåller en säkerhetskopia av varje raderad fil.
En liten varning: låt inte ett återställningsprogram fixa mappstrukturen eller spara återställda filer tillbaka till samma APFS-enhet. Att spara tillbaka till samma disk är så människor skriver över just de data de försöker rädda. Återställ till en separat disk och testa sedan filerna där. Med dokument och foton är förhandsvisning ett ganska bra tecken. Med bibliotek, virtuella maskiner, videoprojekt, databaser och app-paket räcker det inte att öppna filen på högsta nivån eftersom delar av paketet fortfarande kan saknas.
Så nej, det är inte automatiskt för sent. Men om detta var en intern Mac-SSD med TRIM och normal användning efter radering, se programvaruåterställning som ett försök med låg sannolikhet, inte som en plan. Om det var en extern hårddisk, eller en extern SSD där TRIM inte skickades vidare, kan du fortfarande ha en rimlig chans om du slutar röra den nu.