系统还原与文件备份：到底谁保护什么

还原点里到底装了什么

还原点是系统状态的快照：注册表配置单元、系统文件、驱动和部分程序设置，通过卷影副本以“与上一快照的差异集”的形式捕获。它有意排除你的文档、图片和配置文件里的其他一切——还原后你的文件完好无损，这也意味着无人守护。在还原点之后安装的程序经常会坏掉，因为文件还在，注册表项和驱动却被回滚了。空间预算也很小——Windows默认只占磁盘的百分之几——旧还原点会滚动删除，所以还原点是降落伞，不是档案库。

哪种灾难配哪种工具

两套机制覆盖的故障不同，而在错误的时刻抓错工具，正是糟糕的下午变成糟糕的一个月的典型路径。下面把每种灾难对应到真正能处理的工具。注意同一工具覆盖两行的情况有多罕见。

糟糕的驱动或更新弄坏了启动或图形：还原点——几分钟回滚系统文件和注册表，不碰数据
勒索软件加密了你的文件：备份——最好是离线的，因为新变种会先删掉卷影副本
你删除或覆盖了一份文档：备份或文件历史记录——还原点从来不包含个人文件，没有例外
注册表调整或“系统清理工具”搞垮了Windows：还原点——它快照的正是这个状态层
磁盘正在坏死或已经死亡：备份——故障盘上的一切都救不了你，包括存在上面的每一个还原点
Windows好好的，机器却没了——被偷、被淹、被烧：存放在异地、且至少真实恢复过一次验证过的备份

备份能做到而还原点做不到的事

真正的备份给你三样还原点永远给不了的东西：版本历史，上周弄坏的文件在上周的副本里依然存在；地理隔离，一场火灾或云账户里的加密锁都没法同时带走两份副本；以及经过测试的恢复——这是备份存在的唯一证明。经典经验法则是3-2-1：数据三份副本、两种不同介质、其中一份异地——而Windows用文件历史记录加一块外置硬盘就能轻松搞定前两条。同时，也请给系统还原留五分钟检查：某些功能更新之后、部分OEM机型上，它可能处于禁用状态，而伸手去够一个从没打包过的降落伞的那天，绝不会是好日子。诚实的配置是两者都要——还原点用来廉价地撤销系统层面的折腾，备份用来在灾难中幸存——因为它们回答的是同一台机器上不同的问题。