Был софт под названием TCT (The Coroner's Toolkit) для исследования файловых систем, возможно, он мог бы помочь. Есть SleuthKit (http://www.sleuthkit.org/), выполняющий те же функции. Образ диска надо снимать --- и на вскрытие!
$ mueller coroner
coroner _n. кОронер, слЕдователь, ведУщий делА о насИльственной или скоропостИжной смЕрти