Структура записів FAT була розглянута вище. Процес видалення файлів на томі FAT умовно можна розбити на чотири етапи. Перші два виконуються відразу ж, як тільки користувач дав команду на видалення файлу:
1. Спочатку в записі каталогу (Root Directory) перший символ імені файлу замінюється значенням E5. Цим ОС позначає, що ця група в таблиці звільнилася.
2. Потім очищається ланцюжок кластерів в таблиці FAT. В осередку таблиці замість номерів кластерів заносяться значення 00 - кластер позначається, як вільний.
Наступні дві події можуть відбутися в будь-який час. Все залежить від того, коли і куди ОС збереться записувати нові файли:
1. Створюючи черговий файл або папку, ОС знаходить першу вільну комірку в записі каталогу і вносить в неї інформацію про новому файлі. При цьому відомості про ім'я віддаленого файлу і його атрибутах пропадають остаточно.
2. Слідом зазвичай перезаписувати кластери, в яких знаходилось вміст віддаленого файлу. Зауважимо, що ОС намагається в першу чергу використовувати безперервні ділянки вільного простору. Тому зовсім не обов'язково, що перший же записується файл відразу затре саме ті кластери, які «звільнилися» при видаленні попереднього.
До настання четвертого етапу файл теоретично ще можна відновити, хоча і без початкового імені і атрибутів. Ми можемо припустити, що файл не фрагментований і займає послідовно йдуть кластери. Номер кластера з кінцем файлу легко обчислити, виходячи з розміру файлу - він приводиться в останньому полі запису каталогу.
Фрагментація відразу все псує. Головна проблема полягає в тому, що не існує безпомилкового способу знайти і зібрати фрагменти файлу після очищення записів таблиці FAT.
Так що витяг нефрагментовані і фрагментированного файлів - різні завдання з абсолютно різним прогнозом! Проте, утилітам відновлення даних іноді вдається підібрати до «голові» віддаленого файлу відповідні «хвости», хоча це робиться перебором, і шанси на успіх невеликі.
