NTFSとは？MFTのしくみと、削除したファイルの行方

NTFSは、ファイルを管理するしくみ

NTFS（New Technology File System）は、Windowsで広く使われているファイルシステムです。ファイルの中身、名前、大きさ、保存場所、アクセス権などを、決まったルールで扱います。HDDやSSDの製品の名前でも、データ復旧ソフトの名前でもありません。

同じ外付けSSDでも、NTFSにもexFATにもできます。機器そのものが正常でも、NTFSの管理情報が読めなければ、Windowsからフォルダーを開けないことがあります。逆に、NTFSと表示されていても読み取りエラーが出るなら、機器の側の不調を疑います。

MFT（マスターファイルテーブル）の役割

NTFSの中心になる管理のしくみがMFTです。Microsoftの説明では、NTFSのボリュームにあるファイルには、どれもMFTの中に少なくとも一つの記録があり、MFTそのものもNTFSの管理用のファイルの一つです（マスター ファイル テーブル）。

MFTの記録には、ファイルを見分けるための属性が入っていて、中身が外の領域に保存されている場合は、その場所を指す情報を持っています。つまり、MFTはただのファイル名の一覧ではありません。

フォルダーも、NTFSでは索引や属性を持つ管理の対象です。フォルダーの一覧が壊れて開けなくなっても、ファイルのデータがすべて同時に消えたとは限りません。ただ、保存場所をたどる情報がなくなると、元のファイル名やフォルダーの階層を完全には戻せないことがあります。

ファイルを開くとき、Windowsはファイル名、フォルダーの索引、MFTの属性などから、必要な情報をたどります。大きなファイルのデータはふつうMFTの外にあり、MFTの属性がその範囲を記しています。ここが、「ファイルの一覧は見えるのに開けない」という現象を理解する手がかりです。

MFTの中にあるデータ、外にあるデータ

NTFSでは、ファイルのデータも属性の一つです。小さなデータがMFTの記録の中に収まる場合をresident（常駐）、外の領域を使う場合をnon-resident（非常駐）と呼びます。どこが境目かは、属性の構成や記録の空きによって変わり、一つの大きさでは決まりません。

たとえば、動画のMFTの記録が残っていても、動画の本体があった場所が上書きされていれば再生できません。逆に、中身のかけらが残っていても、管理情報がなくなると、元の名前やフォルダーの構造は戻せないことがあります。

NTFS、exFAT、FAT32の違い

Windowsの内蔵ディスクに向いた機能と、外付けの媒体をほかの機器とやり取りするときの互換性は、別の条件です。Microsoftのファイルシステムの機能の比較とBUFFALOの案内をもとにまとめると、次のようになります。

すでにデータが入っているドライブの形式を変えるためにフォーマットすると、元の管理情報がなくなることがあります。使いたい機器がNTFSを読めない場合も、まず読めるWindowsで中身をバックアップしてから、新しい媒体や空のボリュームに合った形式を設定するのが安全です。

NTFSの「ジャーナル」はバックアップではない

NTFSには名前の似た記録がいくつかありますが、残している情報は違います。$LogFileは管理情報の整合性に関わる記録で、USN変更ジャーナルは、変更があったことを記録するしくみです。どちらも、過去の写真や文書をまるごと残すバックアップではありません。

MicrosoftもUSN変更ジャーナルについて、変更の理由や対象は記録するが、変更を取り消せるだけの情報は記録しないと書いています。ファイル履歴の設定はMicrosoftの説明で確かめられます。

ファイルを削除すると、何が起きるか

削除すると、ファイルの管理情報は「空き」として扱われ、あとの書き込みで再利用されることがあります。これは、データの領域がすぐに消されたという意味ではありません。でも、同じ場所への新しい書き込みや、SSDの中の処理で、戻せなくなることがあります。

削除した直後でも、同じドライブに書き込まない

削除したファイルがあった場所は、空きとして再利用されることがあります。ダウンロード、アプリのインストール、取り出したデータの保存を同じドライブで続けるほど、上書きされる危険が増えます。Windowsの入っているドライブなら、ふだん使っているだけでも書き込みが起きます。

MFTが残っていても開けない理由

• ファイル名と大きさの情報は残っていても、データの一部が上書きされている
• 動画やデータベースの一部だけが欠けていて、ファイル全体としては使えない
• SSDでTRIMなどの削除の通知が処理され、元のデータを読めない
• EFSやBitLockerの鍵や、復号の条件がそろっていない

戻ったかどうかは、開いて判断する

復旧ソフトに「見つかった」と出ても、正しく使えるとは限りません。文書は開けるか、画像は崩れていないか、動画は最後まで再生できるかを確かめます。元のファイルと比べられるならハッシュ値の一致も有効ですが、元のファイルがなければ、それだけで完全とは言えません。具体的な手順は「Windows 11で削除したファイルを復元する」にまとめています。MicrosoftのWindows ファイル回復も、NTFSで削除したファイルを探す道具の一つです。

アクセス拒否、暗号化、RAWは別の問題

「アクセスが拒否されました」「BitLockerの回復キーを求められる」「RAWと表示される」は、同じ故障を示しているわけではありません。NTFSのACLはファイルやフォルダーを使える人を管理し、EFSはファイルごとの暗号化、BitLockerはボリュームの暗号化です。

権限が原因で読めないのに、ドライブ全体をフォーマットしても、目的のファイルは戻りません。暗号化されたデータは、記録が残っていても、正しい鍵がなければ読めないことがあります。BitLockerについては「BitLockerの回復キーがわからないとき」を見てください。

RAWと表示される原因は、MFTだけではありません。起動の領域、パーティションの情報、接続の異常、暗号化、互換性など、いくつもあります。くわしくは「RAWとは？」で説明しています。

外付けHDDをWindowsとMacで使うとき

WindowsでNTFSとして使っていたHDDをMacにつなぐと、読むだけで書き込めない、といったことがあります。これはOSの対応の問題で、データが壊れたわけではありません。Windowsで読み書きできているなら、そのパソコンで別の媒体にバックアップを取ってから、両方で使える形式を考えます。テレビ、ゲーム機、レコーダー、NASでは、メーカー独自の初期化や暗号化を使っていることもあります。パソコンにつないで初期化を求められても、それはデータを消していい理由にはなりません。

症状から考える例

ファイル名は一覧にあるのに、写真が開けない

MFTの一覧の情報は残っていても、写真の中身がある場所にエラーがあるのかもしれません。中身が読めない状態で、チェックディスクや長いスキャンを重ねるのは避けます。異音、断続的な切断、読み取りエラーがあるなら、使うのをやめます。

昨日までNTFSだった外付けHDDが、急にRAWになった

管理情報の不整合か、機器の異常かは、表示だけでは決められません。「フォーマットする必要があります」と出ても、データが必要なら「キャンセル」を押し、つなぎ方と容量の表示を記録します。

削除した文書の名前だけが、復旧ソフトに出てくる

MFTの情報の一部が残っているのかもしれませんが、中身が無事とは限りません。保存先は元のドライブとは別にして、取り出したファイルを開いて確かめます。SSDならTRIMの影響もあります。

元のパソコンでは見えたのに、別のパソコンではアクセス拒否

アクセス権や暗号化の問題かもしれません。ファイルシステムが壊れたと決めつけず、元のアカウント、回復キー、機器の仕様を確かめます。

WindowsでNTFSの状態を見る方法

ここで紹介するのは、ふつうに認識されていて、異音や切断のない媒体での、読み取り中心の確かめ方です。物理的な障害が疑われる媒体、仕事の大事な原本、暗号化の状態がわからない媒体では、無理に進めないでください。

まず、エクスプローラーでドライブを右クリックして「プロパティ」を開き、ファイルシステムの欄を見ます。NTFSと出ていても、ドライブ全体が健康だという保証ではありません。次に「ディスクの管理」で、容量、ボリューム、状態の表示を見ます。ディスクの番号と容量をよく見て、ほかのディスクと取り違えないようにし、「初期化」「新しいシンプル ボリューム」「フォーマット」は選びません。

Windowsの操作に慣れていて、正常なNTFSのボリュームなら、次の照会のコマンドも使えます。ドライブ文字は例なので、実際の環境で確かめたものに置き換えてください（fsutil fsinfo）。

fsutil fsinfo volumeinfo E:
fsutil fsinfo ntfsinfo E:

これはボリュームの情報を見るためのもので、故障の原因を決めたり、データを直したりするコマンドではありません。管理者の権限が必要なことがあり、RAWや読み取りに問題のあるボリュームではエラーになります。何度も試さないでください。

表示がおかしいなら、修復よりデータを守ることを優先します。chkdsk /fや/rは、ファイルシステムや媒体に手を加え、状態によっては元のデータが整理されたり変わったりします。大事なデータが残っている、障害のあるディスクには、原因がわからないまま実行しないでください。

よくある質問

参考情報

1. Microsoft Learn　マスター ファイル テーブル、MFTの開発者向けノート
2. Microsoft Learn　ファイルシステムの機能の比較
3. Microsoft Learn　Change Journals、Change Journal Records
4. Microsoft Learn　fsutil fsinfo
5. Microsoft サポート　Windows ファイル回復、ファイル履歴
6. BUFFALO　ファイルシステムの違い