意外格式化我的 Mac 后恢复已删除的 APFS 文件

我不小心格式化了 Mac 的 APFS 驱动器,丢失了还没来得及备份的重要文件。我需要帮助弄清楚,如何以最安全的方式恢复已删除的 APFS 文件,同时避免覆盖数据或让恢复变得更困难。

仍然有相当大的机会,但这其实主要取决于两件事:它当时是什么类型的硬盘,以及删除之后这块硬盘上又发生了多少操作。

如果这件事刚发生,请立刻停止使用那块硬盘。不要在上面安装恢复应用,不要往里面复制任何东西,也先不要运行“磁盘工具”的修复。任何新的写入都有可能覆盖已删除的数据,让恢复变得更困难,甚至完全不可能。

在“磁盘工具”里进行格式化,也不一定意味着文件会被立刻抹掉。如果只是快速格式化,可能只是重建了文件系统,而实际的文件数据仍然还在,至少在被新数据覆盖之前是这样。

更棘手的情况是启用了 TRIM 的 SSD。在大多数较新的 Mac 上,内部 SSD 都会使用 TRIM,一旦那些已删除的数据块被清除,普通恢复软件就无法把它们找回来了。外置 SSD 的情况则稍微没那么确定一些。TRIM 是否会被传递,取决于连接方式和硬盘盒,所以有时候外置 SSD 比内置 SSD 更有恢复希望,尤其是在你很快停止使用它的情况下。

我之前误删了一个 APFS 文件夹并清空废纸篓时,使用 Disk Drill 的效果最好。

对我来说有效的方法是:

  1. 把 Disk Drill 安装到另一块硬盘上,不要装在你要恢复数据的那块硬盘上。
  2. 连接受影响的 APFS 硬盘。
  3. 如果 macOS 提示,就授予它“完全磁盘访问权限”。
  4. 扫描整个 APFS 宗卷,不要只扫某个小文件夹。
  5. 先让扫描完整结束,再开始提取文件。
  6. 先预览文件,确认它们确实可以正常打开。
  7. 把恢复出来的文件保存到另一块硬盘。

对我来说,文件夹结构是很关键的一点。它保留了很多原始名称,而不是把成千上万个杂乱文件全都丢进一个巨大的文件夹里,这让后续整理轻松了很多。

如果你没有 Time Machine 备份,那么恢复软件可能就是下一步最值得尝试的办法了。如果这是在 macOS 上发生的,也请检查一下 APFS 快照。有时候即使 Time Machine 磁盘没有连接,本地快照也依然存在。它们不一定总是有,但在认定文件已经彻底丢失之前,值得先检查一下。

在你把任何重要内容复制出来之前,我会先暂缓运行“磁盘工具”的急救。先恢复,再修复。过早运行修复可能会以某些方式改变文件系统,从而让恢复效果变得更差。

如果这块硬盘在物理层面表现异常,比如无法显示、频繁断开、发出咔哒声、扫描时卡死,或者读取速度异常缓慢,我会停止继续折腾软件,转而联系专业数据恢复实验室。很多信誉良好的机构都会先免费评估,只有在成功找回数据后才收费。虽然这比应用程序更贵,但如果硬盘正在损坏,这是更安全的选择。

不要仅仅为了让 Mac 再次可用,就在同一个 APFS 驱动器上重新安装 macOS。如果是内部驱动器,请将其关闭,并使用另一台 Mac 或外部启动磁盘进行操作,然后从那里扫描或制作已格式化驱动器的镜像。Mike 关于写入的警告才是最重要的,但重新安装就是人们常常忘记也算写入的那种操作。

在你开始折腾恢复之前,先做一个克隆。

这里缺少的关键细节是加密。如果启用了 FileVault,APFS 恢复可能比旧版 HFS 恢复困难得多。如果有足够多的 APFS 元数据幸存,密码也许能让工具读取该卷;但如果抹掉操作销毁了旧的卷密钥,那么即使原始数据块还在那里,文件恢复也可能基本无望。这就是为什么我不会只根据“快速格式化 vs 完全擦除”来判断情况。在现代 Mac 上,APFS 加 SSD 加加密,可能会让恢复窗口变得非常小。

如果数据很重要,我会先尝试把硬盘做成镜像到另一块磁盘上,然后再扫描镜像。这样 Disk Drill 或任何其他恢复应用都可以反复扫描,而不会一再触碰原始盘。如果受影响的硬盘是内置的 Apple SSD,这可能意味着要使用另一台 Mac、Target Disk Mode 或 Share Disk 模式(如果可用),或者从外部启动并把镜像保存到别的地方。不要把镜像保存回同一块硬盘。

小提醒:不要因为预览到一些小文件就过于兴奋。恢复工具可能会显示看起来很有希望的缩略图、文件名或片段,但实际的大文件可能已经损坏。先检查最重要的内容:照片能否以完整尺寸打开,文档能否正常打开,视频能否播放超过最初几秒,压缩包能否正常解压。如果这些文件的重要性高于送实验室恢复的成本,那么在第一次谨慎尝试之后就该停手,而不是在同一块原始硬盘上尝试五种不同的应用。

不要让 macOS 在你检查时把已格式化的磁盘当作普通可写磁盘。如果它弹出提示要求初始化、修复、用于 Time Machine、导入照片,或“设置”任何内容,请取消。即使是像 Spotlight 索引、Finder 元数据和应用缓存这样不起眼的后台操作,也可能产生你本无意进行的写入。

@mikeappsreviewer 关于先做镜像的说法是对的,但我会对如何连接硬盘要求更严格一些。如果它是外置 APFS 磁盘,只在你准备好对其进行镜像或扫描时才连接,并确保恢复的文件保存到别的地方。如果它是内部硬盘,尽量不要再次从同一个 macOS 安装启动。改为从外置 macOS 磁盘启动、使用另一台 Mac,或使用来自独立驱动器的恢复工具。目标是让受损磁盘只作为数据来源,而绝不作为工作盘。

关于 APFS,一个很多人会忽略的细节是容器和卷的区别。磁盘工具可能会显示一个新创建的空卷,但扫描通常应针对整个物理设备或 APFS 容器,而不只是上面的空白卷。如果你只扫描新格式化的卷,可能是在让软件检查错误的层级。有些工具会用简单标签掩盖这一点,所以在运行长时间扫描之前,花一点时间选择范围最广的设备级选项。

如果硬盘本身健康,Disk Drill 可以一试,但不要把它安装到已格式化的硬盘上,也不要用扫描到的数量来判断是否成功。“找到 300,000 个文件” 可能只是浏览器缓存、残缺文件和重复文件的一团乱麻。按你真正关心的文件类型排序,先恢复一小批测试文件到另一块磁盘。打开恢复出来的副本,不要只看文件名还在不在。

如果这些是业务文件、家庭照片,或任何你愿意花大价钱找回的东西,请在动手试验之前先做决定。一次谨慎的镜像加一次扫描是合理的。再次格式化、重装 macOS、运行急救、创建新用户账户,以及在原始磁盘上连续尝试五种工具,往往会让原本可恢复的情况变得更糟。