Loading [MathJax]/extensions/tex2jax.js

0

1
0

文字

分享

0
1
0

磁碟格式化檔案就沒了嗎?數位鑑識如何找回失落的檔案?

活躍星系核_96
・2018/08/23 ・2465字 ・閱讀時間約 5 分鐘 ・SR值 535 ・七年級

  • 文/慕容峰│從事數位鑑識工作多年,在分析證物的過程中,彷佛側耳傾聽證物娓娓道來一般,同時審慎客觀地仔細分析察看,即便是旁枝末節也不輕易放過,浸淫其中而樂此不疲。

說起數位鑑識(Digital Forensics),多數人是丈二金剛摸不著頭,搞不清楚它是什麼來著。但只要提及熱門的 CSI 犯罪調查影集,大家便能心領神會,甚至還可以憶及相關橋段,引發熱烈討論。

磁碟格式化時會發生什麼事?

沒錯,只要是與電子跡證有關的,便是數位鑑識的範疇。而由於電子跡證具有易遭污染破壞的特性,因此,簡而言之,數位鑑識科學便是用嚴謹的程序及工具,對電子跡證進行提取並加以分析,以還原犯罪事實及手法的科學。

而在一椿涉及犯罪的調查案件中,任何具有儲存電子跡證的儲存媒體,例如手機、硬碟、隨身碟、CD/DVD、記憶卡等等,皆是不可輕忽的證物。以下且讓筆者以 Windows 平台為例,來為各位說明磁碟格式化的奧秘。

各位應該都有將硬碟或隨身碟進行磁碟格式化(disk formatting)的經驗,如下圖所示。

-----廣告,請繼續往下閱讀-----

在真正開始進行前,還會彈出一個視窗讓使用者進行確認:

只見不一會兒功夫便完成格式化,會彈出如下圖的確認訊息。

被格式化後的分區之中,其原有的內容竟已不復存在,成了空空如也的狀態,如下圖所示。

由於格式化一個硬碟分區的效果,看起來就像是轉瞬間刪除掉該分區裡的資料夾及檔案一般。因此,在進行格式化前,使用者應該都會先確認已做好備份工作的前置作業,才會放心地進行格式化。

-----廣告,請繼續往下閱讀-----

磁碟如何存放資料?「檔案系統」的秘密

在這看似已空無一物的硬碟分區之中,其實背後還藏著秘密。在此先賣個關子,且容我先為各位說明傳統硬碟與資料的關係。當使用者在電腦上建立檔案輸入內容時,傳統機械式硬碟如何儲存數據呢?由物理層面來看,是因為磁頭於磁盤上繪出正負極磁性不同的「圖畫」所致,這些便是使用者所儲存在硬碟中的資料。因此,要傾刻間徹底清除硬碟裡的所有資料,就必須要「消磁」。

而從邏輯層面來看,硬碟存放資料與「檔案系統」(Filesystem)有所關聯。舉凡你在檔案總管之中進行資料夾或檔案的增刪修改,皆是在檔案系統的機制下進行。我接下來以圖書館的書目館藏來做比喻,大家應該有到圖書館借書的經驗,通常到了館內,來到「檢索區」使用電腦進行書目館藏的查詢,便可知道你想要借的書是否在館內,且是位於哪個區域的哪個架上。這些書是依循一定規則經過分類編目的,而能快速地查找到其所在位置則是索引(Index)的效果。

如同圖書館裡的大量館藏受館藏系統管理,儲存在硬碟中的檔案,也受到檔案系統管理。而使用者只要透過檔案總管,就像使用館藏系統一樣便能輕鬆進行相關操作。簡而言之,檔案系統有維護著一個表格,存放著目前有哪些資料夾或檔案,及其名稱與所存放的位置等資訊。

各位可以想像一下,若此刻館藏系統因故關閉無法使用,你要如何才能找到想借的書呢?也許有人會說,很簡單啊,問館員或自己到處逛,應該也可以找的到。把此情境搬到電腦之中,就如同把前述檔案系統所維護的那張「表」給拿掉,此時檔案總管中還能看到目前有哪些資料夾或檔案嗎?答案絕對是否定的。

-----廣告,請繼續往下閱讀-----

如此一來,各位便可以理解了,磁碟格式化的效果就如同把圖書館的館藏系統關閉,讓你無法藉由系統進行查詢了。而此時雖然看似什麼書都查不到了,但其實書還在架上並沒有不見。因此,硬碟分區格式化之後,只是失去了記錄相關資訊的目錄罷了,資料本體仍存放在原處。

各位可能或多或少都曾有過不慎將存有資料的裝置進行格式化的經驗,現在聽了上述解說,你便可以了解到要對遭到格式化的儲存裝置進行資料救援,並非難如登天,關鍵就在於找回檔案系統維護的那個「表」即可。只要有了那個目錄,想找到格式化前登記在案的那些資料夾和檔案,就輕而易舉不費吹灰之力了。

找回檔案配置「表」,就復原了檔案!

至於如何找到那張「表」?聰明的讀者應該已經猜到它肯定是個檔案才是。沒錯,而不同檔案系統的管理機制有所不同,其代表檔案配置的表也不同,以 NTFS 檔案系統而言,那張表叫做「MFT」;而 FAT 檔案系統的表則叫 FAT(File Allocation Table)。

也許有人會說他根本沒在檔案總管中看過這些檔案,的確,這配置表是屬於系統保護檔案,無法藉由檔案總管存取,但仍可透過鑑識工具或資料救援工具進行存取。

-----廣告,請繼續往下閱讀-----

我們再把焦點拉回前述我們已完成格式化的隨身碟,儘管看似空無一物,沒有任何檔案或資料夾存在其中,但經以專業工具進行回復,竟能順利找到那些代表檔案配置的「表」了,如下圖所示。

也許有讀者會感到好奇,找到的表不只一張,那究竟哪個表能讓我們回復出最多的資料呢?專業回復工具會把可回復資料最多的表列為最高優先,如上圖的分析結果所示。

接下來我們就來看看這張表能否按圖索驥找出那些仍然存在的資料夾及檔案,果然沒有令我們失望,分析結果如下圖所示。只要挑選欲回復的資料夾或檔案加以匯出,便可完成資料救援工作了。

在一椿電腦犯罪調查案中,若鑑識人員發現證物電腦的整顆硬碟或特定分區,裡頭竟是空無一物,便會合理懷疑可能是遭到有心人士進行格式化等滅證行為發生。為了找出與案情相關的線索,以還原犯罪事實及手法,鑑識人員便會採用專業鑑識工具進行資料還原,再對還原出的檔案內容進行分析,釐清相關案情。

-----廣告,請繼續往下閱讀-----

數位鑑識是門嚴謹的科學,各位應該聽過一句俗諺「The footprint in the sand shows where you have been.」這與常言道:「凡走過必留下痕跡」毫無二致。至此相信各位對數位鑑識科學應有了進一步的認識,下回將為各位進一步說明檔案刪除的奧秘,敬請期待。

-----廣告,請繼續往下閱讀-----
文章難易度
活躍星系核_96
778 篇文章 ・ 128 位粉絲
活躍星系核(active galactic nucleus, AGN)是一類中央核區活動性很強的河外星系。這些星系比普通星系活躍,在從無線電波到伽瑪射線的全波段裡都發出很強的電磁輻射。 本帳號發表來自各方的投稿。附有資料出處的科學好文,都歡迎你來投稿喔。 Email: contact@pansci.asia

0

1
0

文字

分享

0
1
0
拆解邊緣AI熱潮:伺服器如何提供穩固的運算基石?
鳥苷三磷酸 (PanSci Promo)_96
・2025/05/21 ・5071字 ・閱讀時間約 10 分鐘

-----廣告,請繼續往下閱讀-----

本文與 研華科技 合作,泛科學企劃執行。

每次 NVIDIA 執行長黃仁勳公開發言,總能牽動整個 AI 產業的神經。然而,我們不妨設想一個更深層的問題——如今的 AI 幾乎都倚賴網路連線,那如果哪天「網路斷了」,會發生什麼事?

想像你正在自駕車打個盹,系統突然警示:「網路連線中斷」,車輛開始偏離路線,而前方竟是萬丈深谷。又或者家庭機器人被駭,開始暴走跳舞,甚至舉起刀具向你走來。

這會是黃仁勳期待的未來嗎?當然不是!也因為如此,「邊緣 AI」成為業界關注重點。不靠雲端,AI 就能在現場即時反應,不只更安全、低延遲,還能讓數據當場變現,不再淪為沉沒成本。

什麼是邊緣 AI ?

邊緣 AI,乍聽之下,好像是「孤單站在角落的人工智慧」,但事實上,它正是我們身邊最可靠、最即時的親密數位夥伴呀。

當前,像是企業、醫院、學校內部的伺服器,個人電腦,甚至手機等裝置,都可以成為「邊緣節點」。當數據在這些邊緣節點進行運算,稱為邊緣運算;而在邊緣節點上運行 AI ,就被稱為邊緣 AI。簡單來說,就是將原本集中在遠端資料中心的運算能力,「搬家」到更靠近數據源頭的地方。

-----廣告,請繼續往下閱讀-----

那麼,為什麼需要這樣做?資料放在雲端,集中管理不是更方便嗎?對,就是不好。

當數據在這些邊緣節點進行運算,稱為邊緣運算;而在邊緣節點上運行 AI ,就被稱為邊緣 AI。/ 圖片來源:MotionArray

第一個不好是物理限制:「延遲」。
即使光速已經非常快,數據從你家旁邊的路口傳到幾千公里外的雲端機房,再把分析結果傳回來,中間還要經過各種網路節點轉來轉去…這樣一來一回,就算只是幾十毫秒的延遲,對於需要「即刻反應」的 AI 應用,比如說工廠裡要精密控制的機械手臂、或者自駕車要判斷路況時,每一毫秒都攸關安全與精度,這點延遲都是無法接受的!這是物理距離與網路架構先天上的限制,無法繞過去。

第二個挑戰,是資訊科學跟工程上的考量:「頻寬」與「成本」。
你可以想像網路頻寬就像水管的粗細。隨著高解析影像與感測器數據不斷來回傳送,湧入的資料數據量就像超級大的水流,一下子就把水管塞爆!要避免流量爆炸,你就要一直擴充水管,也就是擴增頻寬,然而這樣的基礎建設成本是很驚人的。如果能在邊緣就先處理,把重要資訊「濃縮」過後再傳回雲端,是不是就能減輕頻寬負擔,也能節省大量費用呢?

第三個挑戰:系統「可靠性」與「韌性」。
如果所有運算都仰賴遠端的雲端時,一旦網路不穩、甚至斷線,那怎麼辦?很多關鍵應用,像是公共安全監控或是重要設備的預警系統,可不能這樣「看天吃飯」啊!邊緣處理讓系統更獨立,就算暫時斷線,本地的 AI 還是能繼續運作與即時反應,這在工程上是非常重要的考量。

所以你看,邊緣運算不是科學家們沒事找事做,它是順應數據特性和實際應用需求,一個非常合理的科學與工程上的最佳化選擇,是我們想要抓住即時數據價值,非走不可的一條路!

邊緣 AI 的實戰魅力:從工廠到倉儲,再到你的工作桌

知道要把 AI 算力搬到邊緣了,接下來的問題就是─邊緣 AI 究竟強在哪裡呢?它強就強在能夠做到「深度感知(Deep Perception)」!

-----廣告,請繼續往下閱讀-----

所謂深度感知,並非僅僅是對數據進行簡單的加加減減,而是透過如深度神經網路這類複雜的 AI 模型,從原始數據裡面,去「理解」出更高層次、更具意義的資訊。

研華科技為例,旗下已有多項邊緣 AI 的實戰應用。以工業瑕疵檢測為例,利用物件偵測模型,快速將工業產品中的瑕疵挑出來,而且由於 AI 模型可以使用同一套參數去檢測,因此品管上能達到一致性,減少人為疏漏。尤其在高產能工廠中,檢測速度必須快、狠、準。研華這套 AI 系統每分鐘最高可處理 8,000 件產品,替工廠節省大量人力,同時確保品質穩定。這樣的效能來自於一台僅有膠囊咖啡機大小的邊緣設備—IPC-240。

這樣的效能來自於一台僅有膠囊咖啡機大小的邊緣設備—IPC-240。/ 圖片提供:研華科技

此外,在智慧倉儲場域,研華與威剛合作,研華與威剛聯手合作,在 MIC-732AO 伺服器上搭載輝達的 Nova Orin 開發平台,打造倉儲系統的 AMR(Autonomous Mobile Robot) 自走車。這跟過去在倉儲系統中使用的自動導引車 AGV 技術不一樣,AMR 不需要事先規劃好路線,靠著感測器偵測,就能輕鬆避開障礙物,識別路線,並且將貨物載到指定地點存放。

當然,還有語言模型的應用。例如結合檢索增強生成 ( RAG ) 跟上下文學習 ( in-context learning ),除了可以做備忘錄跟排程規劃以外,還能將實務上碰到的問題記錄下來,等到之後碰到類似的問題時,就能詢問 AI 並得到解答。

你或許會問,那為什麼不直接使用 ChatGPT 就好了?其實,對許多企業來說,內部資料往往具有高度機密性與商業價值,有些場域甚至連手機都禁止員工帶入,自然無法將資料上傳雲端。對於重視資安,又希望運用 AI 提升效率的企業與工廠而言,自行部署大型語言模型(self-hosted LLM)才是理想選擇。而這樣的應用,並不需要龐大的設備。研華的 SKY-602E3 塔式 GPU 伺服器,體積僅如後背包大小,卻能輕鬆支援語言模型的運作,實現高效又安全的 AI 解決方案。

但問題也接著浮現:要在這麼小的設備上跑大型 AI 模型,會不會太吃資源?這正是目前 AI 領域最前沿、最火熱的研究方向之一:如何幫 AI 模型進行「科學瘦身」,又不減智慧。接下來,我們就來看看科學家是怎麼幫 AI 減重的。

-----廣告,請繼續往下閱讀-----

語言模型瘦身術之一:量化(Quantization)—用更精簡的數位方式來表示知識

當硬體資源有限,大模型卻越來越龐大,「幫模型減肥」就成了邊緣 AI 的重要課題。這其實跟圖片壓縮有點像:有些畫面細節我們肉眼根本看不出來,刪掉也不影響整體感覺,卻能大幅減少檔案大小。

模型量化的原理也是如此,只不過對象是模型裡面的參數。這些參數原先通常都是以「浮點數」表示,什麼是浮點數?其實就是你我都熟知的小數。舉例來說,圓周率是個無窮不循環小數,唸下去就會是3.141592653…但實際運算時,我們常常用 3.14 或甚至直接用 3,也能得到夠用的結果。降低模型參數中浮點數的精度就是這個意思! 

然而,量化並不是那麼容易的事情。而且實際上,降低精度多少還是會影響到模型表現的。因此在設計時,工程師會精密調整,確保效能在可接受範圍內,達成「瘦身不減智」的目標。

當硬體資源有限,大模型卻越來越龐大,「幫模型減肥」就成了邊緣 AI 的重要課題。/ 圖片來源:MotionArray

模型剪枝(Model Pruning)—基於重要性的結構精簡

建立一個 AI 模型,其實就是在搭建一整套類神經網路系統,並訓練類神經元中彼此關聯的參數。然而,在這麼多參數中,總會有一些參數明明佔了一個位置,卻對整體模型沒有貢獻。既然如此,不如果斷將這些「冗餘」移除。

這就像種植作物的時候,總會雜草叢生,但這些雜草並不是我們想要的作物,這時候我們就會動手清理雜草。在語言模型中也會有這樣的雜草存在,而動手去清理這些不需要的連結參數或神經元的技術,就稱為 AI 模型的模型剪枝(Model Pruning)。

-----廣告,請繼續往下閱讀-----

模型剪枝的效果,大概能把100變成70這樣的程度,說多也不是太多。雖然這樣的縮減對於提升效率已具幫助,但若我們要的是一個更小幾個數量級的模型,僅靠剪枝仍不足以應對。最後還是需要從源頭著手,採取更治本的方法:一開始就打造一個很小的模型,並讓它去學習大模型的知識。這項技術被稱為「知識蒸餾」,是目前 AI 模型壓縮領域中最具潛力的方法之一。

知識蒸餾(Knowledge Distillation)—讓小模型學習大師的「精髓」

想像一下,一位經驗豐富、見多識廣的老師傅,就是那個龐大而強悍的 AI 模型。現在,他要培養一位年輕學徒—小型 AI 模型。與其只是告訴小型模型正確答案,老師傅 (大模型) 會更直接傳授他做判斷時的「思考過程」跟「眉角」,例如「為什麼我會這樣想?」、「其他選項的可能性有多少?」。這樣一來,小小的學徒模型,用它有限的「腦容量」,也能學到老師傅的「智慧精髓」,表現就能大幅提升!這是一種很高級的訓練技巧,跟遷移學習有關。

舉個例子,當大型語言模型在收到「晚餐:鳳梨」這組輸入時,它下一個會接的詞語跟機率分別為「炒飯:50%,蝦球:30%,披薩:15%,汁:5%」。在知識蒸餾的過程中,它可以把這套機率表一起教給小語言模型,讓小語言模型不必透過自己訓練,也能輕鬆得到這個推理過程。如今,許多高效的小型語言模型正是透過這項技術訓練而成,讓我們得以在資源有限的邊緣設備上,也能部署愈來愈強大的小模型 AI。

但是!即使模型經過了這些科學方法的優化,變得比較「苗條」了,要真正在邊緣環境中處理如潮水般湧現的資料,並且高速、即時、穩定地運作,仍然需要一個夠強的「引擎」來驅動它們。也就是說,要把這些經過科學千錘百鍊、但依然需要大量計算的 AI 模型,真正放到邊緣的現場去發揮作用,就需要一個強大的「硬體平台」來承載。

-----廣告,請繼續往下閱讀-----

邊緣 AI 的強心臟:SKY-602E3 的三大關鍵

像研華的 SKY-602E3 塔式 GPU 伺服器,就是扮演「邊緣 AI 引擎」的關鍵角色!那麼,它到底厲害在哪?

一、核心算力
它最多可安裝 4 張雙寬度 GPU 顯示卡。為什麼 GPU 這麼重要?因為 GPU 的設計,天生就擅長做「平行計算」,這正好就是 AI 模型裡面那種海量數學運算最需要的!

你想想看,那麼多數據要同時處理,就像要請一大堆人同時算數學一樣,GPU 就是那個最有效率的工具人!而且,有多張 GPU,代表可以同時跑更多不同的 AI 任務,或者處理更大流量的數據。這是確保那些科學研究成果,在邊緣能真正「跑起來」、「跑得快」、而且「能同時做更多事」的物理基礎!

二、工程適應性——塔式設計。
邊緣環境通常不是那種恆溫恆濕的標準機房,有時是在工廠角落、辦公室一隅、或某個研究實驗室。這種塔式的機箱設計,體積相對緊湊,散熱空間也比較好(這對高功耗的 GPU 很重要!),部署起來比傳統機架式伺服器更有彈性。這就是把高性能計算,進行「工程化」,讓它能適應台灣多樣化的邊緣應用場景。

三、可靠性
SKY-602E3 用的是伺服器等級的主機板、ECC 糾錯記憶體、還有備援電源供應器等等。這些聽起來很硬的規格,背後代表的是嚴謹的工程可靠性設計。畢竟在邊緣現場,系統穩定壓倒一切!你總不希望 AI 分析跑到一半就掛掉吧?這些設計確保了部署在現場的 AI 系統,能夠長時間、穩定地運作,把實驗室裡的科學成果,可靠地轉化成實際的應用價值。

-----廣告,請繼續往下閱讀-----
研華的 SKY-602E3 塔式 GPU 伺服器,體積僅如後背包大小,卻能輕鬆支援語言模型的運作,實現高效又安全的 AI 解決方案。/ 圖片提供:研華科技

台灣製造 × 在地智慧:打造專屬的邊緣 AI 解決方案

研華科技攜手八維智能,能幫助企業或機構提供客製化的AI解決方案。他們的技術能力涵蓋了自然語言處理、電腦視覺、預測性大數據分析、全端軟體開發與部署,及AI軟硬體整合。

無論是大小型語言模型的微調、工業瑕疵檢測的模型訓練、大數據分析,還是其他 AI 相關的服務,都能交給研華與八維智能來協助完成。他們甚至提供 GPU 與伺服器的租借服務,讓企業在啟動 AI 專案前,大幅降低前期投入門檻,靈活又實用。

台灣有著獨特的產業結構,從精密製造、城市交通管理,到因應高齡化社會的智慧醫療與公共安全,都是邊緣 AI 的理想應用場域。更重要的是,這些情境中許多關鍵資訊都具有高度的「時效性」。像是產線上的一處異常、道路上的突發狀況、醫療設備的即刻警示,這些都需要分秒必爭的即時回應。

如果我們還需要將數據送上雲端分析、再等待回傳結果,往往已經錯失最佳反應時機。這也是為什麼邊緣 AI,不只是一項技術創新,更是一條把尖端 AI 科學落地、真正發揮產業生產力與社會價值的關鍵路徑。讓數據在生成的那一刻、在事件發生的現場,就能被有效的「理解」與「利用」,是將數據垃圾變成數據黃金的賢者之石!

👉 更多研華Edge AI解決方案
👉 立即申請Server租借

-----廣告,請繼續往下閱讀-----
-----廣告,請繼續往下閱讀-----
文章難易度

討論功能關閉中。

0

1
1

文字

分享

0
1
1
為什麼被刪除的檔案還有機會被救回來?檔案刪除時到底發生了什麼事?
活躍星系核_96
・2019/04/12 ・2759字 ・閱讀時間約 5 分鐘 ・SR值 522 ・七年級

-----廣告,請繼續往下閱讀-----

  • 慕容峰│從事數位鑑識工作多年,在分析證物的過程中,彷佛側耳傾聽證物娓娓道來一般,同時審慎客觀地仔細分析察看,即便是旁枝末節也不輕易放過,浸淫其中而樂此不疲。

當提到不小心刪除檔案了,多數人的直覺反應會是「完蛋了」,接下來的念頭通常是「還救的回來嗎?」在回答這個問題之前,先讓要大家了解的是,當檔案被建立或刪除時,背後的處理機制有何玄機。

檔案刪除時 Ctrl+Z 救不回來,但不代表就沒救喔。圖/wikimedia

檔案系統的機制就像是餐廳的訂位系統

儘管檔案系統(File System)的種類眾多,常見的如 FAT、NTFS、Ext2/3/4、HFS/HFS+,但以數位鑑識的觀點來看待這些檔案系統,當掌握了其特性之後,你會發現它們其實很單純,皆是有著猶如餐廳訂位系統般的運作機制。

大家應該都有在餐廳訂位的經驗,當訂位完成時,訂位系統已註記了你所預訂的是哪一廳的哪些座次,這就與檔案系統的機制不謀而合。為了單純化起見,以下就以 FAT 這個檔案系統為例以有效地說明。

-----廣告,請繼續往下閱讀-----

檔案的過程如同你到餐廳預約席位。圖/pexels

當檔案被建立時,檔案系統會記錄此檔案的相關屬性值及儲存資料內容。而存放資料內容的基本單位,便是所謂的「cluster」,我們可以把它想像成是一個個的容器,即猶如一個個的餐廳座位一樣。當檔案愈大,就好比是聚餐的參與者愈多,需要更多的座位一般,檔案系統就會為其配置更多的 cluster以存放該檔案的資料內容。

此外還會在「directory entry」記錄此檔案的檔案名稱、副檔名、起始 cluster 號碼,及檔案大小等屬性值。並於FAT表註記該檔案所佔用的 cluster 編號是幾號到幾號。此一目的在於標記這些 cluster 已被佔用,就像是餐廳的座位若已被訂走就無法將其再開放讓其它人來訂一樣,如此才能確保檔案系統運作順遂。

當然了,一個資料量很大的檔案所佔用的 cluster 號碼可不見得是連號的哦,這部份亦可由FAT表中看出端倪。就算不是連號各位也不用為檔案系統操心,在FAT表中的記錄足可以串連出一個檔案所佔用的所有 cluster 無誤。

-----廣告,請繼續往下閱讀-----

如下圖所示,D槽的磁碟標籤為「Disk」,目前裡頭有 2 個檔案,分別為「file1.txt」及「_News.txt」,留意一下 2 個檔案的大小。由於txt是明文形式的檔案內容,以這種純文字檔來為各位說明最是簡明易懂。

或許有人會有疑問,怎知道這 2 個檔案各是佔用了多少 cluster 呢?沒錯,這就牽涉到 D 槽在格式化之初,所選擇的「配置單位大小」。下圖便是 D槽這個分區目前的配置狀況,由「Bytes per cluster: 2048」可清楚的得知一個 cluster 的大小是 2048 bytes,至於「sector」在此暫不論及,以免讀者們混淆不清就更是摸不著頭緒了。

我們就先來看看 file1.txt 好了,使用hex editor工具來查看 D 槽,file1.txt的資料內容及hex值如下圖所示,而其檔案大小為0.6KB,對照前述D槽的cluster資訊,便可輕易推導出file1.txt只佔用了一個cluster。

那要如何得知它佔用的是哪一個cluster呢?接著我們來看一下directory entry,如下圖所示,紅色框住部份便是file1.txt的相關屬性記錄,而其中綠色框住部份的「02 00」,便是此檔案的起始cluster號碼,由於其為Little Endian的定序。經轉換後得知file1.txt的起始cluster號碼為「2」。

-----廣告,請繼續往下閱讀-----

接著我們便可定位到FAT表中的cluster 2,如下圖紅色框住部份所示的值,即是file1.txt這個檔案在檔案系統中的「訂位記錄」了。

但由於這檔案很小僅佔用了一個cluster,我們再看看_News.txt有何不同。_News.txt的文本內容及hex值如下圖所示,此檔案的大小為2.9KB。

聰明的讀者們至此應該已經知道了,它佔用了一個以上的cluster,那要如何得知它佔用了哪些個cluster呢?如同前述的作法,我們要先得知它的起始cluster才行。來看一下它的directory entry便知道了,如下圖所示,_News.txt的起始cluster號碼是「5」。

再定位到FAT表中的cluster 5,如下圖紅色框住部份所示的值,其中「06 00」即表示它不僅佔用了cluster 5,同時也佔用了cluster 6。而其後的「FF FF」即表示結尾之意。

-----廣告,請繼續往下閱讀-----

或許會有讀者感到好奇,file1.txt的起始cluster是2,且它只佔用一個cluster,而_News.txt的起始cluster卻是5,為何不是3呢?原因很簡單,因為cluster 3及cluster 4早就被佔用了,如下圖所示,佔用這2個cluster的分別是資源回收筒及其下的檔案desktop.ini。

刪除檔案所產生的變化

那刪除檔案會產生何種變化呢?如同餐廳訂位系統一樣,若用餐畢離席時,原本被佔用的座位就可以空了出來,再開放給其它人訂位。我們就來看一下把file1.txt及_News.txt 刪除之後的變化,如下圖所示,此時 D 槽在檔案總管中已空無一物。

若查看 file1.txt的 directory entry,發現 file1.txt 的檔案名稱已變的不易辨識,沒錯,原因即就在於下圖紅色框住的值已變成了「E5」之故。

那麼 _News.txt 是不是也有相同的變化呢?是的,其directory entry的起始值也變成了「E5」,這便是FAT檔案系統中檔案遭到刪除後所呈現的特徵值。

-----廣告,請繼續往下閱讀-----

值得留意的是,除此之外,其它像是副檔名、起始 cluster、檔案大小等屬性值並未受到影響。但是,剛為各位說明了這 2 個檔案既被刪除,其原本佔用的cluster就該釋出而不能繼續佔用了,我們接著觀察一下 FAT 表是否有相應的變化。如下圖紅色框住部份所示,沒錯,這 2 個檔案本來佔用的 cluster 皆已被註記為「00 00」,代表已釋出,那些cluster可再被其它新進來的檔案去佔用了。

當然了,一般人最關心的仍是,有沒有機會救回這 2 個檔案的原有資料內容呢?答案是「有機會」的,只要是在尚未被新資料內容給覆蓋之前,都有機會可救回。下圖所示便是 file1.txt 的資料內容,目前仍完好如初。

再看_News.txt的內容如下圖所示,亦是完好如初。因為當刪除檔案之時,資料本體尚在,只是儲存資料的容器遭釋出可允許新資料寫入。這也就是我們常說的,傳統硬碟(SSD除外)的資料救援有著較高的成功機率之故。

但要留意的是,究竟是比較早刪還是比較晚刪的檔案內容易遭到覆蓋,則未有定論,畢竟這是作業系統及檔案系統在進行處理,非人為能夠介入決定。

-----廣告,請繼續往下閱讀-----

數位鑑識是一門嚴謹的科學,當鑑識人員對電子跡證的本質有了更深入的了解,便能在需要對證物中的遭刪除資料進行回復時,採取穩當而有效的措施。

-----廣告,請繼續往下閱讀-----
活躍星系核_96
778 篇文章 ・ 128 位粉絲
活躍星系核(active galactic nucleus, AGN)是一類中央核區活動性很強的河外星系。這些星系比普通星系活躍,在從無線電波到伽瑪射線的全波段裡都發出很強的電磁輻射。 本帳號發表來自各方的投稿。附有資料出處的科學好文,都歡迎你來投稿喔。 Email: contact@pansci.asia

0

0
0

文字

分享

0
0
0
【極光片語】火箭,公車道,磁碟機
雷漢欣
・2014/12/22 ・4556字 ・閱讀時間約 9 分鐘 ・SR值 517 ・六年級

李世光老師
李世光老師講述磁碟機的原理和研發故事。(攝影/賀厚平)

上集的李世光老師說故事中,NASA的工程師以「If you cannot fight it, join it」的思維出發,聰明地捨棄柏油和水泥,為承載火箭的履帶車鋪了一條不容易產生皺摺(corrugation)、又能輕鬆整理的石頭路,火箭才能夠一路平穩地從棚廠前往發射台,背著人類的太空夢飛向宇宙。

在1970年代,NASA工程師為了避免地面的皺摺改變了鋪路的材料,到了1980年代,車道上的皺褶也讓深陷磁碟機出廠危機的IBM科學家找到解決方法,讓磁碟機的性能持續提升,迅速全面取代磁帶機在電腦記憶體的地位,並且促進商業資訊的連結。所以corrugation是個考試必考的重要的現象嗎?No no(搖手指),他們從生活現象聯想到的解決辦法,是在說明科普知識對科學家來說有多重要!這故事要從磁帶機和磁碟機的身世說起,很久很久以前……

Think Out of the Box,磁碟機海放磁帶機

電腦使用磁帶機的歷史可以追朔到1950年代初期,發明於1928年的磁帶是一條又長又軟的塑膠帶,上面有用來存資料的磁性物質,磁帶機讀取或改寫磁帶上的資料時,就像拉開一條捲尺尋找某個刻度,如果要修改一次資料,就要捲動一段長長的磁帶才能找到資料存放的位置;在家用電腦開始普及的1980年代,當時最先進的磁帶機運轉速度可以達到超過音速的每秒350公尺以上!假設某筆資料存在磁帶的1000公尺處,只要約三秒鐘就可以讀到資料,這種比超音速飛機還快的驚人速度,「以科技的角度來看,實在很不得了!」李老師說。

-----廣告,請繼續往下閱讀-----

雖然磁帶機已經加足馬力跑到音速,但三秒鐘讀一筆資料的速度對一秒鐘幾十萬上下的商業市場來說還是太緩慢了。想像你去銀行要存入現金到自己的帳戶,銀行電腦中已經有你的身分證字號、帳號、存款金額等資料,現在要將原本存款的1000萬增加為1001萬元,僅僅是更動這一個數字,就要等電腦跑3秒鐘,如此低速的系統絕對無法用來建構做為今日商業行為基礎的關聯性資料庫(Relational Database),這個高速運轉的世界需要更快速的記憶體。

時間到了1980年代末期,另一種形式的記憶體——磁碟機自1956年誕生於IBM後,也歷經了30年的進步,尋覓時間(seek time)縮短到14毫秒,表示磁頭從靜止、以400倍重力加速度來加速移動到資料儲存的位置,再以同樣驚人的減速度來讓磁頭停止到震動不影響資料讀取的狀態,平均只需要約百分之一秒,相較於磁帶機讀取資料所需的3秒,磁碟機簡直快到讓磁帶機看不到車尾燈。其實磁碟機的磁頭飛行時最大速率遠不及磁帶機的音速,只有不到10m/s,其迅速讀取資料的原因不是移動速度,而是幾何結構的改變:從磁帶的一維結構(線)變成磁碟片的二維結構(面),以旋轉的磁碟片搭配在上面左右擺動的磁頭,就能隨意讀取資料,不需要從頭開始尋找存取位置,讓磁碟機成為歷史上第一個大量商業化的隨機存取記憶裝置,也逐漸取代磁帶機的地位。「『Think out of the box』是很重要的,磁帶機跟磁碟機的競爭就是這樣。」李老師說。

磁頭可以隨機存取磁碟片上的資料。來源:維基百科
磁頭可以隨機存取磁碟片上的資料。來源:維基百科

出廠危機挑戰科學家的科普力

1980年代末期,在IBM宣布最新型磁碟機3390即將誕生後,包括台灣11家新設立的銀行,全世界都在引頸期盼,希望這個高速的記憶體能促進商業資料的連結,然而3390在正式出廠的前夕卻發生重大危機,3390幾乎難產。

-----廣告,請繼續往下閱讀-----

「我們預計產品壽命要有7年,但出廠前估算出來產品壽命卻只有3個月!」李老師眉頭一皺,「這個產品有多值錢呢?IBM一年可以靠它賺幾十億美金!」平均出貨時間延遲一天就等於幾億台幣的營利損失,研發部門的科學家全部上緊發條,想辦法盡快排除問題。3390有以下幾個異常現象:

  1. 碟片上有磁頭撞擊的規律損害。
  2. 碟片上的潤滑油產生規律的油滴。
  3. 磁頭黏在磁碟上,無法起飛。

若說磁帶機的成敗在磁帶的轉速,那磁碟機的奧秘就是如何讓磁頭跟碟片維持微妙的距離。磁碟機的主角是磁頭和碟片,存放資料的碟片是金屬的圓形薄片,上面鑲滿奈米等級的「小磁鐵」,資料的磁頭上有微小線圈能產生磁場,磁頭發出的磁場會改變碟片上小磁鐵的方向,電腦則把每個磁場方向的改變轉化為自己的語言:0 和 1。3390的磁頭以數十奈米的高度懸浮在碟片上空,這個飛行高度跟空氣分子間的平均間距相去不遠。為什麼要靠這麼近呢?由於距離會影響磁場大小,磁頭跟碟片靠得越近,碟片感應到的磁場面積越小,同樣面積的碟片上資訊就越密集,所以科學家要讓磁頭如下雨前的燕子一般低飛在碟片表面,盡可能提高磁碟的空間儲存密度。

要讓磁頭如燕子般優雅的飛行需要非常精密的高科技。碟片旋轉時會上下震動,以3390來說,碟片旋轉時的上下震動幅度約一兩萬奈米,而磁頭要隨時跟起起伏伏的碟片保持幾十奈米的距離,以流體力學的角度來看,難度就像駕駛波音747客機飛行在台大校園內,隨時跟地面建築物的屋頂保持 3 公尺高的距離,舉例而言,在椰林大道上低飛,遇到圖書館需要立即飛高,若一個不小心,就會撞到建築物,造成校園(碟片)和飛機(磁頭)的損傷。

由於磁碟機的構造,科學家可以理解為什麼磁頭會撞上碟片,但碟片上有打水漂痕跡般的規律損害卻讓他們百思不解。這個問題早在1980年代初期就發生過,研究團隊曾想出多種可能的原因,但都被一一否決了,科學家猛盯著磁碟機看了好幾個月,最後解開謎題的卻是數學部門的經理。這位數學和力學領域的專家摸著下巴端詳碟片的損傷,腦中閃過公車道上的皺褶( corrugation ),察覺兩者有異曲同工之妙,於是他用磁頭阻尼器的共振頻率、速度等項目,計算磁頭撞擊磁碟片後彈跳的距離是否與事實相符,就以半張紙篇幅的算式證明了這個假設。

-----廣告,請繼續往下閱讀-----

慢著,corrugation看起來頗眼熟,但公車道跟磁碟片有什麼關係?在得到答案前,可以先想想,為什麼台北市的公車專用道常是鋪水泥而不是柏油呢?為什麼有些馬路在紅綠燈前的路段會有謎樣的波浪?

台北市羅斯福路上的公車專用道為什麼是水泥鋪成的呢?圖片來源:Howard61313
台北市羅斯福路上的公車專用道為什麼是水泥鋪成的呢?圖片來源:維基百科

柏油路上的皺褶(corrugaiton)。來源:FAA
柏油路上的皺褶(corrugation)。來源:FAA

當車子在紅綠燈前煞車,輪胎忽然擠壓柏油,會造成地面微微的凸起,下一台車經過這兒,就會彈起來,咚、咚、咚的往前撞擊地面直到靜止,而大部分車子的軸承、軸距(前後輪距離)、阻尼器(避震器)、車速、輪胎氣壓都差不多,所以車子往前彈跳的距離也差不多,經過多次的重複撞擊,地面就從上一個小小凸起漸漸變成一排波浪。公車道上的車種和停靠位置都很相似,公車停靠次數多,更容易產生地面皺摺,所以才會以水泥取代柏油,避免平坦的公車道變成崎嶇的天堂路。而碟片上的規則性損傷,就是貼地飛行的磁頭撞上碟片後往前跳動產生的結果。

-----廣告,請繼續往下閱讀-----

專門研究磁碟機的科學家沒有想到地面皺褶跟碟片損傷的相似之處,反而是擁有力學知識的數學家突破了盲點,「其實那個人也不怎麼懂什麼是磁碟機,」李老師說,「跨領域的知識背後最強大的基礎經常是科普。」

磁碟機運轉時,磁頭(紅色)懸浮在旋轉的磁碟片(紫色)上飛行。
磁碟機運轉時,磁頭(紅色)以數十奈米的高度飛行在旋轉的磁碟片(紫色)上方。

磁頭飛行時撞擊碟片可能導致磁頭撞毀。
磁頭飛行時撞擊碟片可能導致磁頭撞毀。

磁頭飛行在碟片上方的高度只有數十奈米,單純以尺寸來思考,這就表示即使是一顆病毒入侵也可能會讓磁頭卡住。如同車子在柏油路上產生的顛簸,磁頭在碟片上產生第一個撞擊後會繼續往前彈跳,在碟片上產生一連串的損傷,但除了磁頭撞擊碟片的傷害,工程師還發現碟片上有油滴以相同的規則排列,這又是為什麼呢?

-----廣告,請繼續往下閱讀-----

碟片上有一層薄薄的潤滑油,磁頭因為震動過於靠近碟片有可能會沾上潤滑油,如果發生碟片撞擊,更是會沾上潤滑油,沾有潤滑油的磁頭往前跳動就在碟片上形成一連串的油滴;科學家進一步分析油滴的性質,發現3390所用的潤滑油竟然在使用一段時間後變成黏膠了!探究其原因,不是因為黑心廠商,而是空氣剪力和撞擊造成的。原來磁頭撞擊碟片會產生超達800℃的瞬間高溫,原先所採用的長鏈潤滑油分子在高溫或高剪力的作用下被分解成短鏈分子,也就產生了黏膠的性質,一旦潤滑油變成黏膠,磁頭降落在碟片上,當然就有可能黏住而無法起飛囉。

找到了問題的方向,就能找出解決方法。在與危機搏鬥了半年後,科學家終於解決了問題,將磁頭的飛行高度調高幾個奈米,降低撞擊機率又能維持相當的空間儲存密度;再更換潤滑油,一方面選擇分子鍵結更為強韌的潤滑油,以抵抗空氣的剪力作用,一方面讓潤滑油和碟片間的聚合力大於潤滑油和磁頭材料間的聚合力,油滴就不會黏上磁頭啦!3390的危機排除,正式上市後一天內,整年的產量就被搶購一空,科學家也終於能喘口氣了。

「出現大問題時,你解決問題的工具就是科普了。」——跨領域知識就是科普的具體延伸

IBM的科學家在解決出廠危機的這段日子裡每天都在跟時間和金錢賽跑,在強大的壓力下用過往累積的知識和經驗,迅速推理、歸納、篩選出可能的原因,「但其實多人或多錢不一定可以解決問題,因為你需要的是高品質的人,而且是能整合多領域、快速思考還要當場推論的人。出現這種大問題的時候不能用太複雜的思維,你身邊有學化學、電機、分子生物……不同背景的人,你要讓他們快速瞭解這個思路為什麼正確,這時候你唯一的工具就是科普了,當然我指的是更深入的那類科普,也就是跨領域的知識。」李老師說。

其實很多高科技產品發明的關鍵是非常基礎的知識,2010年的諾貝爾物理學獎得主Andre GeimKonstantin Novoselov就曾靠著隨手可得的膠帶,從平凡的石墨中分離出材料界的超級巨星「石墨烯」(graphene)。石墨烯是碳原子排列出了六角形平面結構,石墨是由層層疊疊的石墨烯組成的,許多科學家原先認為單層的石墨烯無法穩定存在,但Geim跟Novoselov兩人卻成功的從石墨中取得單層的石墨烯,他們用的方法不太複雜,僅是以膠帶重複撕黏石墨,讓膠帶上的石墨越撕越薄,一直撕、一直撕、一直撕,撕到最後剩下一顆原子這麼厚,就得到石墨烯啦。另一項原子等級的發明「原子力顯微鏡」,當初竟不是誕生在精密的光學桌上,而是在科學家身上的吊帶!?預知詳情,請待下回分曉~

-----廣告,請繼續往下閱讀-----

諾貝爾獎得主Geim和Novoselov捐贈給諾貝爾博物館的石墨、石墨烯電晶體和一卷膠帶。來源:維基百科
Geim和Novoselov捐贈給諾貝爾博物館的石墨、石墨烯電晶體和一卷膠帶。來源:維基百科。

【極光片語】專欄收錄李世光老師的訪談,每一段小故事、小物件的背後,都有饒富趣味的科學道理。吉光片羽比喻殘存的珍貴文物,象徵李世光老師在科學研發的高昂志氣和人生智慧;傳說見到極光會帶給人一輩子的好運,期待讀者在本專欄得到的啟發,都能像看見極光般感動。

-----廣告,請繼續往下閱讀-----