关于系统恢复，本文共讨论以下几方面：

　　.基本功能介绍
　　.系统恢复的构成与定位。
　　.自动建立恢复指针的原理
　　.系统与应用程序文件变化的监视
　　.系统恢复过程操作介绍

1. 系统恢复功能介绍：

　　一旦系统恢复机制可以投入运行，它就一直监视操作系统的核心设置与应用程序文件，记录并不断拷贝这些文件的当前状态和改变方式。这些搜索来的变化信息被记录到一个监视文件中，监视的范围是那些没有拒绝属性的文件夹及文件。有拒绝属性的文件都是那些根本无需监视的部分。那么，为什么有些文件或文件夹会不受监视呢？这些都是哪一类文件呢？原来，windows中有许多文件本来就是记录系统变化的动态文件，如扩展名是bat、ini、sys、注册表等等。所保存的信息基本上可对应于系统当时的实际状况，无需重复保存。但这一原因还在其次，更重要的是，如果监视程序也监视这些动态文件的变化，这些动态文件反过来又需要保存监视文件的变化，而这种保存又是一种变化并被再次监视到，造成无法结束的循环，这当然是不允许的。应当注意，虽然这些动态文件不受监视，但因为其内容随时可能发生变化，所以建立恢复指针的时候，在档案文件中，还是需要备份这些文件的。这些不被监视的文件或文件夹的名称都列本文在后面。监视程序将监视结果保存在自动建立的恢复指针中。恢复指针文件或者说储存监视结果的是一个后缀名为.XML的文件。你要了解基于浏览器页面编程的知识，对于为什么微软会采用XML文件的恢复指针，当不难理解。

　　一旦需要恢复操作，系统将取得完整的、经过“注册”的系统“快照”和一些动态的系统文件作为恢复的依据。这就是恢复指针的用途。要恢复系统，必须先找到上述的XML文件，找到XML文件后，再依据监视文件产生恢复文件。这也相当于将监视文件转换为恢复文件。选择恢复指针，并取得指针处的文件状态。它将取代当前注册的文件＂映像＂，并将诸如安全参数、动态权限以及证明信息拷贝至恢复的注册表中。监视程序设有注册功能，注册是自动完成的，只要将当前的恢复指针与当前映像进行对比，从两者的差异中就可以判别出系统是否已经进行过恢复操作。当然，这仅仅是很简略的叙述，实际情况需要考虑很多细节，但这不是我们讨论的范围。

2.恢复指针的建立：

　　系统恢复指针虽然是自动建立的，但也需要有外界事件触发，触发事件可以是时间（例如默认以每一天为一个周期），也可以是下面的某个事件：

　　(1)进行了安装应用程序的操作：这很容易理解，因为这属于系统中发生的重大改变。倘若应用程序利用了先前的安装，系统恢复将恢复相应的PT。API . 万一因为应用程序导致操作系统受到损害，就可以利用这时建立的恢复指针将系统恢复到原来的状态。

　　(2)自动更新安装：这大概与微软的反盗版措施和在线服务有关，windows xp在还是测试版本的时候，就提供有自动更新服务，你只要下载了自动更新的内容，在有机会的时候就可以对你的操作系统进行更新。

　　(3)恢复操作或撤销：如果在某一次，一个不老练的用户偶然使用了不正确的恢复指针，使自己的系统进入了非预定的状态，你也不用惊慌，只需要你再次选择（这次可要细心了）最新的恢复指针，就可以恢复原状，也即回到某一次之前的状态。这类似很多应用软件（如Office的编辑工具）中的撤销和恢复功能。在你进行了一步错误操作之后，给你一次悔改的机会！

　　(4)备份与恢复工具运行：这里所说的恢复是指早期意义上的（例如ｄｏｓ时代）恢复。并不是特指系统恢复。当Microsoft Backup Utility Recovery运行的时候，也可以触发建立恢复指针。以防万一备份与恢复程序丢失或取消系统原先的状态，利用这时建立的恢复指针就可以救急。

　　(5)安装设备驱动程序：当安装设备驱动程序时，安装程序必然要探测windows 的INF文件。这也可以触发建立恢复指针。这主要提防那些不兼容的驱动程序，倘若安装上去不能工作或反而有害于操作系统，就可依据恢复指针使破镜重圆。稍后会讲到驱动程序＂反转＂，说的就是这个问题。

　　(6)手工建立恢复指针：在任何时间，用户都可自己以手工建立并命名恢复指针。所以等不及自动建立而手工建立恢复指针的原因，可能是下面要进行比较危险的操作，用此留个退路。也可能是下一步要进行系统优化的尝试，怕万一优化结果不理想时退回原处等等。