Time Machine是 macOS 中的标准备份软件应用程序。Time Machine 每小时备份过去 24 小时，每天备份过去一个月，每周备份超过一个月的所有内容。它会进行备份，直到卷空间用完为止。通常，这些备份存储在带有 HFS+ 文件系统的磁盘上。

在本文中，我们将讨论 Time Machine 中数据存储的细节以及如何在数据恢复过程中使用它。

HFS+ 中的硬链接

Time Machine 使用硬链接来存储数据。硬链接是将同一文件放在不同文件夹（目录）中的一种方式。

让我们举个例子。有两个文件：

\文件夹1\文件1.txt

\folder2\file2.txt

一个文件是另一个文件的硬链接。代表着：

• 这两个文件都被操作系统和大多数软件识别为单独的文件；
• 如果我们改变一个文件的内容，另一个文件的内容会自动改变；
• 如果我们删除一个文件，另一个文件保持不变

可以为一个文件创建多个硬链接，也可以为目录创建一个硬链接。

对于HFS+文件系统，有一个原始文件，以及这个原始文件的一个或几个硬链接。原始文件存储在HFS+ 私有数据中，并具有类似iNode1234567 的名称。例如，我们有文件“ file1.txt ”并为此文件创建一个硬链接“ file2.txt ”。现在我们在 HFS+ 私有数据目录中有一个原始文件和两个硬链接（file1.txt ' 和 ' file2.txt）。

目录的硬链接原件存储在.HFS+ Private Directory Data_文件夹中。

HFS+文件系统中Time Machine的数据结构

详细信息取决于最终用户设置，但一般而言，Time Machine 将数据保存在Backups.backupdb文件夹或名称包含“Time Machine”字样的文件夹中的HFS+ 分区上。此文件夹或具有用户名的文件夹具有一组带有 masl 的目录，例如 YYYY-MM-DD-hhmmss（年、月、日、小时、分钟、秒）。

如果我们打开这些目录之一，我们可以在目录名称中提到的确切日期和时间看到文件系统的快照。显然，大多数文件的更改比创建副本少，因此Time Machine 不会复制未更改的文件，而是为这些文件创建硬链接。它充分减少了快照创建时间和已用空间。但是，这种结构使 Time Machine 的数据恢复过程变得复杂。

此外，Time Machine 并不是唯一使用硬链接的地方，而是这些链接最常使用的地方。

数据提取器中带有硬链接的作案手法

在 Data Extractor 中使用硬链接的主要功能是转换到原始文件：

• 如果我们尝试为硬链接构建映射，则会构建原始文件的映射；
• 如果我们保存硬链接，则原始文件的数据保存在硬链接的名称下。

这对于从存在物理问题的磁盘中恢复数据非常有用。我们构建了一张所需数据的地图，我们阅读了这张地图，我们保存了数据。

但是，保存的数据的大小存在问题。由于硬链接，它会大大增加。

• 每个原始文件可以有几十个硬链接。对于每个硬链接，都会构建原始文件的映射并将其添加到总映射中。所以总地图的大小可以远远超过整个驱动器的大小。
• 每个硬链接都保存为一个单独的文件。因此，保存文件的大小可能远远超过整个驱动器的大小。

有硬链接的数据恢复过程的解决方案

• 如果您的客户端不需要所有 Time Machine 数据，请不要构建也不保存 Time Machine (\Backups.backupdb) 目录的映射。此外，您可以跳过文件夹HFS+ Private Data和 . HFS+ 私人目录数据_
• 在 Time Machine 中构建并创建最后一个快照的地图（如果最后一个没有任何有效数据，则可能是以前快照的地图
• 使用地图压缩来估计保存数据的实际大小