第5章

Mac系統的數據恢復技術Mac系統和Windows系統有著不同的操作體驗。Mac系統擁有比Windows系統更出色的一站式體驗。這兩個系統在設定及使用方法上存在著不同的地方。

蘋果計算機的靈魂不是硬件，而是其操作系統。蘋果計算機的操作系統經歷了System1.0到System6.0版本，再到System7.5.3版本的巨大變化，也從單調的黑白界面變成8色、16色、真彩色界面，并在系統穩定性、應用程序數量、界面效果等各方面向人們展示著自己日益成熟和長大的“身影”。Mac系統是蘋果計算機專用系統，是基于Unix內核的圖形化操作系統。在一般情況下，普通個人計算機無法安裝該操作系統。蘋果計算機目前的操作系統已經到了MacOSX（X為10的羅馬數字寫法）版本。該系統非常可靠。它的許多特點和服務都體現了蘋果公司的經營理念。

另外，現在的計算機病毒幾乎都是針對Windows系統的，由于Mac系統的架構與Windows系統的架構不同，所以很少受到計算機病毒的襲擊。Mac系統的界面非常獨特，突出了形象的圖標和人機對話的功能。蘋果公司不僅自己開發系統，也涉及硬件的開發。5.1Mac系統的分區結構

Mac系統支持以下3種分區結構。1．GPT分區結構GPT是蘋果計算機基于英特爾處理器使用的新的分區表，是EFI標準的一個部分。使用英特爾處理器的蘋果計算機可以使用GPT和APM（ApplePartitionMap）分區結構的硬盤來啟動。GUID是蘋果公司建議使用的分區表格式。對于使用時間機器備份的硬盤，只能使用GUID分區表格式。2．APM分區結構

對于使用PowerPC處理器的蘋果計算機，其硬盤只能使用APM分區結構才能作為系統啟動盤。如果在分區中安裝UniversalBinary碼的MacOSX，則使用英特爾處理器的蘋果計算機也可以使用APM分區結構的硬盤啟動。5.1Mac系統的分區結構

Mac系統支持以下3種分區結構。3．MBR分區結構MBR分區結構存在著諸多限制，如最多支持4個主分區等。但由于個人計算機的廣泛使用，以及微軟操作系統的持續使用，所以這種分區結構依然存在。如果在蘋果計算機上給硬盤使用這種分區結構，一般會應用在外接硬盤或Ｕ盤上，這樣可以使個人計算機在轉移數據時更方便。MacOSX不能從這種分區結構的硬盤上啟動系統。5.2HFS+的特點HFS+又稱MacOSExtended，是目前蘋果計算機默認的最常見的文件系統。HFS+來源于UNIX系統，但是又不應用于UNIX系統。它增加了許多新的特性，同時也有許多不同于Windows、UNIX等系統的概念。HFS+是蘋果公司為替代分層文件系統（HierarchicalFileSystem，HFS）而開發的一種文件系統，被用在Macintosh計算機（或者其他運行MacOS的計算機）上，也是iPod上使用的一種文件系統。

在開發過程中，蘋果公司也把HFS+命名為“Sequoia”。HFS+是HFS的改進版本，能支持更大的文件，并用Unicode來命名文件或文件夾，代替了MacOSRoman或一些其他的字符集。HFS+和HFS一樣也使用B樹來存儲大部分分卷的元數據。5.2HFS+的特點HFS+把硬盤內的空間分為一個個邏輯塊。每個邏輯塊大小為512個字節，稱為1個扇區。所有扇區均從0開始編號，直到磁盤的總扇區數減1為止。

在一個文件卷內，文件的分配單元不是扇區，而是HFS+把所有扇區分成的等大的組。通常將這個組稱為分配塊。每個分配塊大小為2n個扇區，且占用一組連續的扇區。

分配塊大小為2的正整數次冪，且大于或等于512個字節。此值在卷初始化時被設定，并且在卷存在的過程中不能被修改，除非重新對卷進行初始化。HFS+用32個位記錄分配塊的數量，因此最多可以管理232個分配塊。

所有的文件結構，包括卷頭，都包含在一個或幾個分配塊中（也有例外的情況，如備份卷頭），而HFS的特殊結構（包括啟動塊、主目錄塊和位圖）不屬于任何分配塊塊。5.2HFS+的特點

為了減少文件碎片的產生，HFS+在為文件分配存儲空間時，會盡可能地為其分配一組連續的分配塊或塊組。塊組大小通常為分配塊大小的整數倍。塊組大小在卷頭中進行說明。

對于非連續存儲的文件，MacOS系統采用“下一可用分配”策略為其分配存儲空間，即當MacOS系統接收到文件空間分配請求時，如果找到的空閑空間無法滿足請求的空間大小，則繼續從下一個找到的空閑塊開始繼續分配，如果該次找到的連續空閑空間足夠大，則MacOS系統根據請求空間的大小分配塊組大小的整倍數空間給該文件。5.3HFS+的結構HFS+整體結構如圖5-1所示。其中，灰色底框為用戶數據區。下面對卷頭結構進行分析。圖5-1

HFS+整體結構5.3HFS+的結構HFS+的卷頭位于宗卷的2號扇區，占用1個扇區，其重要性質類似FAT文件和NTFS的DBR，如圖5-2所示。圖5-2HFS+的卷頭5.3HFS+的結構

卷頭中主要參數如圖5-3所示，其中包含了HFS+的主要標志示。圖5-3卷頭中主要的參數5.3HFS+的結構

卷頭中主要參數如圖5-3所示，其中包含了HFS+的主要標志示。

（1）簽名：H+，也就是卷頭的標志（H+代表HFS+格式；HX代表HFSX格式）。

（2）版本：也是對宗卷格式的描述。通常來說，版本“4”表示HFS+格式；版本“5”表示HFSX格式。

（3）屬性：描述該宗卷所具備的屬性。

（4）最后加載版本：用來識別最后對該宗卷做寫操作的系統版本。對于MacOS8.1到MacOS9.2系統版本，該參數值為“8.10”；對于MACOSX系統版本，該參數值為“10.0”。

（5）日志信息塊：描述日志信息塊的地址。

（6）創建時間：記錄了該宗卷創建的日期和時間，此處記錄的是創建時的本地時間。5.3HFS+的結構

卷頭中主要參數如圖5-3所示，其中包含了HFS+的主要標志示。

（7）修改時間：記錄了該宗卷最后一次修改的日期和時間，此處記錄的是修改時的本地時間。

（8）備份時間：記錄了該宗卷最后一次備份的日期和時間，此處記錄的是備份時的本地時間。

（9）檢查時間：記錄了該宗卷最后一次做一致性檢測的日期和時間，此處記錄的是檢查時的本地時間。磁盤檢測工具（包括DiskFirstAid）必須在完成磁盤檢測后才能被安裝使用。磁盤檢測工具有可能周期性地對宗卷進行檢測。

（10）文件數目：記錄了該宗卷上文件的總數，但不包括元文件。該數目和編錄文件里記錄的文件數是一致的。

（11）目錄數目：記錄了該宗卷上文件夾的總數，但不包括根目錄。該數目等于編錄文件記錄的文件夾總數減1。5.3HFS+的結構

卷頭中主要參數如圖5-3所示，其中包含了HFS+的主要標志示。

（12）每塊字節數：塊大小，即每個塊包含的字節數。

（13）總塊數：記錄宗卷中塊的總數，如果一個宗卷的總大小是分配塊大小的整數倍，那么該磁盤上包括卷頭和備份卷頭在內的所有區域都包括在一個塊中。

（14）空閑塊數：記錄了該宗卷上沒有被使用的塊的總數。

（15）下一個分配塊號：記錄了宗卷上下次分配搜索的起始位置。當需要為一文件分配塊時，該值被MacOS系統用來記錄和尋找未使用塊的起始位置。

（16）資源分支的塊組大小：在為文件增加存儲空間時，需要以資源分支的塊組大小給文件分配空間。不過大部分蘋果操作系統都會忽略資源分支的塊組大小，只以數據分支的塊組大小作為給數據分支和資源分支分配空間的依據。5.3HFS+的結構

卷頭中主要參數如圖5-3所示，其中包含了HFS+的主要標志示。

（17）數據分支的塊組大小：記錄了默認的數據分支塊組的大小，以字節為單位。

（18）下一個目錄的ID：記錄了下一個未使用的目錄文件的ID。

（19）寫記數：在寫記數區域記錄的宗卷被加載的次數，且在每次宗卷被加載時都會增加。它允許操作跟蹤該宗卷的加載情況，甚至是未被正確加載或意外失去連接的情況。當介質重新加載接入時，系統會檢測此處的值以確定在因意外失去連接時是否對宗卷產生了改變。5.4HFS+的文件

在HFS+中有5種特殊的文件，用來分別保存文件系統結構的數據性數據和屬性，我們將這5個文件稱為“元文件”，這5種文件分別是分配文件（AllocationFile）、盤區溢出文件（ExtentsOveflowFile）、編錄文件（CatalogFile）、屬性文件（AttributesFile）和啟動文件（StartupFile）。HFS+的元文件只有數據分支，沒有資源分支。它們的起始地址和大小都在文件系統的卷頭中描述。

1．分配文件：

分配文件用來描述文件系統中塊的狀態（空閑或已被占用），相當于NTFS中的位圖文件。2．盤區溢出文件：

HFS+的盤區是為分支分配的一系列連續的塊，并使用起始塊號和塊數描述盤區的所在地址。對于一個用戶文件，每個分支的前8個盤區的信息會被保存在宗卷的編錄文件中。5.4HFS+的文件3．編錄文件：編錄文件用來描述文件系統內的文件和目錄的層次結構。該文件存儲了文件系統中所有文件和目錄的重要信息。

編錄文件是用B-樹結構組織目錄的。通過B-樹結構能夠快速而有效地在層次很多的大目錄中尋找目標文件4．屬性文件：屬性文件用來保存文件及目錄的附加信息。它的組織結構與編錄文件一樣，都是采用B-樹結構。5．啟動文件：啟動文件是為了從HFS+宗卷