2.Unallocated Clusters

まずはファイル名の痕跡を探す。ファイルシステムによってファイル名の文字コードが異なるので、その点を考慮してパターン検索を行う。
ファイル名はないけど、ファイルが存在していた痕跡を探したい場合には、該当ファイル内のデータをバイナリパターンで検索するとか。
ファイル名が変更されていた可能性を考慮した場合に、タイムスタンプ値を探してみるというのも案としてはありか？ファイルの名前は変ってもタイムスタンプがそのままであれば、ナノ秒単位まで一致するケースは少ない？ZIPとかから展開したりすると丸められるのでそうでもない？、探したいファイルのオリジナルが確認できる場合に限定。
$FILE_NAMEの構造を使ってファイルサイズを探すパターンを作成してみてもよいかも？やったことないけどノイズがかなり多くなりそうな気もしますね。