为何NTFS删除超过4G大文件或数据库文件后FILE RECORD大小表现为0

为何NTFS删除超过4G大文件或数据库文件后FILE RECORD大小表现为0？

答：NTFS删除一个文件，必需要完成以下几个流程，才算完结：

一、更改文件系统$bitmap，释放空间

二、更改$mft filerecord项的属性为删除

三、更改$mft:$bitmap的位图信息为0，释放这个filerecord的占用空间

四、清除目录链表中关于本文件的item信息。

        这个流程是理想状态下的处理规则，但实际上，最头疼的是OS要考虑这个问题：若是在上述4个步骤中出现中断(如忽然断电、死机等)，如何让下次操做时可以继续，或者维系文件系统仍是一致的(最简单的，若是文件删除了，但目录还在，那老是不合适的，全盘李检测一次又太消耗时间，并且到底谁错了，有时候也分不清)，为了解决这个问题，NTFS引入了$logfile，即日志，简单说就是为正在执行的一个完整IO运做(如删除一个文件)事先记录一下状态，若是没作成功，下回直接回滚回没作成功的状态便可。

        但是问题又来了，若是某个文件太大，或者存储链表太长(即碎片太多)。记录这个文件元信息部分就会变得很大，好比一个文件大小是4G，按4K块大小算，连续的位图至少也得有1M，为了避免至于在日志文件中保存太大的信息(好比一个4T的文件，先保存1g的位图，太慢且变数又增大了)，NTFS对于复杂文件或大文件是采起分批次处理的：即某个文件多是不断地被变小，变小，直至变0。

        为了维持操做的一致性。猜测，NTFS设了两种状况，若是是判断能够一第二天志记录即够完成某个IO原子操做的，就不用清除filerecord的大小和位置信息(runlist)了。但若是ntfs没法一第二天志完成一个IO原子操做，则须要分红多个独立的IO原子操做，每一个IO原子操做记录一第二天志，完成时更新成新状态——这样一来，删除一个大文件或多碎片的文件，最后一次IO原子操做后，就会清除为0大小，RUNLIST清空状态。

        这个问题中，4G其实也不是变数，猜想来源于4K块大小，和文件一次释放1M个簇范围的片区致使。数据库每每不容易恢复，大小即便小于4G，其缘由是由于数据库不断增加，碎片较多，片段化致使元数据量大，位置分散，没法一次性完成释放等操做。

                                                                                                       -------北亚数据恢复中心 张宇