Come molte altre cose, non esistono due situazioni di recupero dati uguali. A volte sarà possibile recuperare completamente i file persi da un disco, inclusi i nomi dei file originali e la struttura delle cartelle. Altre volte, i file e i dati potranno essere recuperati, ma i nomi dei file, la data/l'ora e i percorsi delle cartelle verranno persi. E in alcuni casi, non sarà possibile recuperare nulla. Ovviamente questo porta ad una domanda: perché?

Per aiutare a contestualizzare la risposta a questa domanda, è utile acquisire una comprensione di base di come i file vengono archiviati sul disco e di come possono essere recuperati. Mentre il recupero professionale dei dati di solito richiede anni di esperienza e una profonda conoscenza delle sfumature tecniche dei file system e della fisica del disco, l'apprendimento delle basi può aiutarti a stabilire ragionevoli aspettative per l'uso di un software di recupero dati.

In questo articolo, cercheremo di dare un'infarinatura su come funziona il ripristino dei file. Ti mostreremo anche come applicare questa conoscenza ad alcuni casi comuni al fine di stimare le tue possibilità di un corretto ripristino dei file.

Un articolo importante per il ripristino dei file dai dispositivi SSD: Specifiche del ripristino dei file per i dispositivi SSD.

Per capire come recuperare i file da un disco, è utile capire come i file vengono archiviati sui dischi rigidi prima che vadano persi.

La maggior parte dei sistemi operativi moderni divide (o "partiziona") l'intero disco rigido fisico in una o più parti indipendenti ("partizioni"). Nelle famiglie di sistemi operativi basati su DOS/Windows, queste partizioni sono chiamate "dischi logici". Ai dischi logici vengono assegnate lettere di unità ed etichette descrittive facoltative. Ad esempio, C: (Sistema) o D: (Dati). Ogni partizione ha il proprio tipo di file system, indipendente dalle altre partizioni sullo stesso disco fisico. Ad esempio, un disco rigido fisico per un sistema Windows può contenere due dischi logici: uno NTFS e un altro FAT32. Le informazioni sulle partizioni del disco vengono archiviate all'inizio del disco rigido. Questa viene solitamente definita "tabella delle partizioni" o "mappa delle partizioni".

Una tipica struttura di partizione è mostrata nella Figura 1.

Figura 1: Struttura del disco rigido
Clicca sull'immagine per ingrandire

La porzione di servizio del disco rigido e informazioni sulla struttura della partizione mostrata nella Figura 1 è nota come "meta-dati". Cioè, informazioni sui dati sul disco (al contrario dei dati stessi). Allo stesso modo, ogni partizione o disco logico è diviso in due parti: una memorizza le informazioni sul disco (struttura delle cartelle, file system, ecc.) e l'altra memorizza i dati che comprendono quei file. Questa divisione dei dati dai metadati consente una migliore gestione dello spazio su disco, una ricerca dei file più rapida e una maggiore affidabilità.

La Figura 2 mostra una tipica struttura logica del disco.

Figura 2: struttura del disco logico
Clicca sull'immagine per ingrandire

Le informazioni sul servizio disco mostrate nella Figura 2 contengono informazioni specifiche sulla dimensione della partizione, sul tipo di file system, ecc. Ciò è necessario affinché il computer trovi correttamente i dati necessari sulla partizione.

Le informazioni su file e cartelle contengono record di file che memorizzano nomi di file, dimensioni, data/ora e altre informazioni tecniche. Queste informazioni includono anche le posizioni fisiche esatte (indirizzi) dei dati del file sul disco. Queste informazioni vengono generalmente salvate sull'unità stessa, nel caso in cui la prima copia venga danneggiata.

Vari file system hanno diverse forme di memorizzazione di queste informazioni. Ad esempio, il file system FAT memorizza queste informazioni in una File Allocation Table (FAT), mentre il file system NTFS le archivia in una Master File Table (MFT).

Quando un computer ha bisogno di leggere un file, va prima alle informazioni su file e cartelle e cerca il record di quel file. Quindi, cerca l'indirizzo del file, va nella posizione specificata sul disco e quindi legge i dati del file.

Per i file contigui, in cui i dati sono raggruppati sul disco, questo processo è molto semplice. Tuttavia, i file sul disco potrebbero essere frammentati. Cioè, possono occupare diverse aree del disco non adiacenti. Questo è più comune di quanto la maggior parte degli utenti realizzi. Dopotutto, quando visualizzi un file da Esplora risorse o Finder, viene sempre rappresentato come un unico file. Questo perché il file system sta facendo tutto il lavoro per mettere insieme i frammenti dietro le quinte. Le informazioni su file e cartelle memorizzano gli indirizzi di ogni dato frammentato in modo che possano essere recuperati in modo rapido e affidabile quando il computer ha bisogno di leggere il file. Queste informazioni e il modo in cui vengono recuperate svolgono un ruolo importante nel recupero dei file.

Quando un computer vuole eliminare un file, non distrugge immediatamente i suoi dati. Al contrario, apporta alcune modifiche alle informazioni su file e cartelle per indicare che il file è stato eliminato. Alcuni sistemi operativi contrassegnano semplicemente il file come eliminato, conservando tutti i metadati sul file fino a quando non diventa necessario sovrascriverlo con i metadati su un nuovo file. Questo è il modo in cui i file system di Windows gestiscono le eliminazioni. Altri sistemi operativi, come Mac OS X, distruggono completamente il record del file eliminato. Mentre i sistemi operativi variano a seconda che conservino o eliminino immediatamente le informazioni su file e cartelle, tutti i sistemi operativi lasciano inalterati i dati dei file effettivi finché non diventa necessario allocare lo spazio su disco per un altro file. Se nessun file verrà scritto sul disco, le informazioni sui dati sul file e sui suoi dati potrebbero rimanere per sempre.

Come notato sopra, la parte del disco che memorizza i dati del file contiene anche una copia di backup delle informazioni su file e cartelle. Questa parte del disco può anche contenere alcune informazioni aggiuntive sulla struttura di file e cartelle sparse sull'intero disco.

Prima di discutere i diversi metodi per il ripristino dei file, è importante notare una cosa:
Se i dati sul disco vengono sovrascritti, i vecchi dati spariscono. Nessun programma o metodo di recupero dati disponibile in commercio può recuperarlo.

Questo è il motivo per cui è della massima importanza che nessun nuovo file venga scritto su un disco prima di tentare un ripristino dei dati.

Per i file che non sono stati sovrascritti, sono disponibili due metodi di ripristino dei file. Tutti i software di recupero dati utilizzano una o entrambe queste tecniche.

Questo è il primo metodo che un programma di recupero file tenta di eseguire. Questo perché può recuperare i file con i loro nomi originali, percorsi, data/ora e i loro dati (se riusciti).

Il software di recupero file inizia provando a leggere ed elaborare la prima copia delle informazioni su file e cartelle. In alcuni casi (come l'eliminazione accidentale di file), questo è l'unico passaggio necessario per recuperare i file nella loro interezza.

Se la prima copia delle informazioni su file e cartelle è gravemente danneggiata, il software esegue la scansione del disco alla ricerca della seconda copia delle informazioni su file e cartelle. Tenta inoltre di raccogliere informazioni aggiuntive sulle cartelle e sulla struttura dei file che potrebbero trovarsi nella parte dati del disco. Quindi, elabora tutte queste informazioni per ricostruire le cartelle originali e la struttura dei file.

Se il file system sul disco non è gravemente danneggiato, è spesso possibile ripristinare l'intera struttura di file e cartelle.

Se il file system sul disco è gravemente danneggiato, questo metodo di ripristino non può ricreare l'intera struttura delle cartelle. Quindi i file recuperati appariranno nelle cartelle "orfane".

La figura 3 mostra queste cartelle "orfane" in R-Studio.

Figura 3: Struttura di file e cartelle recuperati e cartelle "orfane".
Clicca sull'immagine per ingrandire

Se il primo metodo non riesce a produrre risultati soddisfacenti, viene eseguita una ricerca dei file non elaborati. Questo secondo metodo di recupero dati può recuperare i dati con maggiore successo rispetto al primo metodo, ma non è in grado di ricostruire i nomi dei file originali, la data/ora o l'intera struttura di cartelle e file del disco.

Una ricerca di tipi di file noti, o recupero di file non elaborati, funziona analizzando il contenuto del disco per "signature di file". Le signature (firme) dei file sono modelli comuni che indicano l'inizio o la fine di un file. Quasi ogni tipo di file ha almeno una signature. Ad esempio, tutti i file di tipo png (grafici) iniziano con la stringa "‰PNG" e molti file MP3 iniziano con la stringa "ID3". Tali signature possono essere utilizzate per riconoscere che un frammento di dati sul disco appartiene a un determinato tipo di file che potrà quindi essere recuperato.

Dopo aver eseguito una ricerca di file non elaborati, R-Studio e R-Undelete mostreranno i file eventualmente recuperabili come "File trovati extra". A queste vengono assegnate estensioni di file in base alla signature del file identificata e ai nomi dei file (numeri sequenziali). Vedere la figura 4 e la figura 5.

Figura 4: file recuperati utilizzando la ricerca di tipi di file noti (file extra trovati) che si trovano all'interno di un disco logico
Clicca sull'immagine per ingrandire


Figura 5: file recuperati utilizzando la ricerca di tipi di file noti (file extra trovati) che si trovano all'esterno di un disco logico
Clicca sull'immagine per ingrandire

Sebbene questo metodo sia solitamente il più indicato per recuperare i dati da un file system gravemente danneggiato, ci sono alcune limitazioni. Il primo è il fatto che alcuni tipi di file hanno una signature di "inizio" e "fine", alcuni hanno solo una signature di "inizio" (e nessuna di "fine") e alcuni tipi di file non hanno affatto una signature immediatamente riconoscibile .

Se il software di recupero dati è in grado di identificare l' "inizio" e "fine" del file, questo può essere facilmente identificato e recuperato. Per i file che non hanno una signature di "fine", il software a volte può recuperare il file presumendo che termini all'inizio del file successivo. Per i file senza signature, come i contenitori di dischi crittografati, una ricerca di file non elaborati non sarà in grado di distinguere i dati dalle parti di spazio su disco non allocato.

Ognuna di queste circostanze è ulteriormente complicata dalla frammentazione dei file. Inoltre, i file senza le signature dei file finali possono avere lunghe tracce di "spazzatura" dopo il ripristino. La figura 6 illustra il motivo.

Figura 6: file di dati sul disco
Clicca sull'immagine per ingrandire

Nella situazione mostrata nella Figura 6, il File 1 e il File 3 verranno ripristinati con successo, mentre il ripristino del File 2 e del File 4 non andrà a buon fine. La tabella 1 spiega perché:

Oltre alle complicazioni dei file frammentati, una ricerca di file non elaborati produce occasionalmente anche "falsi positivi". Ad esempio, la stringa "ID3" può essere presente in un file senza essere una signature del file. Ad esempio, il testo che stai leggendo include la stringa "ID3" ma non è un file MP3. Pertanto, una ricerca di file non elaborati potrebbe identificare erroneamente una parte di questo testo come l'inizio di un file MP3.

Sebbene tutti i programmi di recupero dati utilizzino una variazione di uno dei metodi di cui sopra, esistono numerosi parametri di ricerca aggiuntivi e tecniche di recupero dati che possono essere applicate per ottenere risultati migliori. I programmi avanzati di recupero file, come R-Studio, consentono agli utenti di specificare manualmente set di fil signature molto complessi e avanzati, incluse signature personalizzate.

In pratica, questi due metodi di recupero file vengono solitamente utilizzati insieme: alcuni file vengono recuperati utilizzando un metodo, mentre i file rimanenti vengono recuperati utilizzando il secondo metodo. Programmi avanzati di recupero file come R-Studio e R-Undelete possono usarli contemporaneamente applicando la Tecnologia di recupero dati IntelligentScan. Cioè, possono analizzare i resti di un file system danneggiato e cercare tipi di file conosciuti durante la stessa scansione del disco.

Stima dei risultati del recupero dei file
(Puoi vedere informazioni più dettagliate sulle possibilità di un corretto ripristino nel nostro articolo Previsione del successo dei casi comuni di recupero dei dati.)

Utilizzando le informazioni di cui sopra, puoi fare una stima abbastanza accurata delle possibilità che i tuoi file vengano ripristinati correttamente. Tuttavia, è importante tenere a mente i seguenti fattori:

• è difficile quantificare il danno causato a un file system. La condizione dei file dipenderà da ciò che ha causato la perdita dei file, dallo stato di salute del disco prima dell'errore e da qualsiasi azione intrapresa prima dei tentativi di ripristino. Le stime fornite in questo articolo sono approssimative e si applicano solo ai dischi in cui non sono stati scritti nuovi dati sul disco danneggiato.
• Il ripristino dei dati non deve essere eseguito su dischi con guasti hardware. Se sospetti che il disco possa essere danneggiato fisicamente, la cosa migliore da fare è rivolgerti a un professionista del recupero dati con l'esperienza e le attrezzature adeguate. Qualsiasi tentativo di manomissione di un disco danneggiato fisicamente può causare un'ulteriore perdita di dati, rendendo inutili i successivi tentativi di ripristino.
• Si consiglia di eseguire tutte le attività di ripristino dei dati dalle immagini dei dischi per preservare i dati originali sul disco. Ciò consente di eseguire più tentativi di ripristino dei dati senza modificare la struttura del disco e rischiare un'ulteriore perdita di dati. Programmi avanzati di recupero file come R-Studio e R-Undelete possono creare immagini disco ed eseguire la scansione dei dati contemporaneamente.

Se un disco viene montato o rimosso in modo errato (ad esempio a causa di un'interruzione di corrente o di un errore dell'utente), può avvenire il danneggiamento o la perdita di alcuni o tutti i metadati del disco rigido. Anche se dati di servizio del disco rigido e le informazioni sulla struttura delle partizioni originali vengono persi, il resto dei dati del disco rimangono intatti. In questi casi, i programmi di recupero file possono analizzare le informazioni su file e cartelle ancora intatte sulle partizioni e recuperare da esse tutti i file e le cartelle. In questi casi è raramente necessaria una ricerca aggiuntiva per i tipi di file noti. Questo è lo scenario migliore per il ripristino dei dati e in genere produce i risultati di maggior successo.

Questo caso dipende fortemente da quanto è danneggiato il file system. Ricordiamo che il disco contiene due copie delle informazioni su file e cartelle. Se solo una copia è danneggiata, un programma di recupero file può leggere i dati dalla copia di backup e recuperare tutte le informazioni e i dati del file. Se entrambe le copie sono gravemente danneggiate, le prospettive di un corretto ripristino dei file potrebbero essere molto basse. Come nel caso 3, una ricerca aggiuntiva per i tipi di file conosciuti potrebbe essere la grazia salvifica.

Questi casi sono descritti più dettagliatamente in questo articolo:
Recupero dei dati da un disco con un file system danneggiato.

Se un disco viene ripartizionato accidentalmente, la situazione è simile al Caso 1, con un'importante eccezione: quando viene creata una nuova partizione, alcuni nuovi dati vengono scritti sul disco. Questi nuovi dati sovrascriveranno le informazioni esistenti sull'intero disco fisico. Il resto dei dati delle vecchie partizioni però, rimarrà intatto, comprese le informazioni su file e cartelle. Pertanto, i programmi di recupero file potranno eseguire la scansione del disco, trovare queste informazioni e recuperare quei file e cartelle che non sono stati sovrascritti dai nuovi dati della partizione. Raramente è necessaria una ricerca aggiuntiva per i tipi di file conosciuti.

Questo caso è descritto più dettagliatamente in questo articolo:
Ripristino file dopo la reinstallazione di Windows

La riformattazione è in genere più invasiva del ripartizionamento, a seconda del tipo di operazione di formattazione eseguita.

Un formattazione completa fa sì che tutti i dati sulla partizione vengano sovrascritti con un determinato schema (di solito 00 o FF). Ciò rende impossibile recuperare qualsiasi file dalla partizione.

Una formattazione rapida provoca la sovrascrittura di alcune o tutte le informazioni su file e cartelle, ma lascia inalterati i dati del file. I programmi di recupero file possono eseguire la scansione del disco, trovare ciò che rimane dal file system precedente e recuperare file e cartelle di conseguenza. A seconda del file system, i risultati del ripristino dei dati varieranno ampiamente utilizzando il primo metodo. In questo caso, una ricerca aggiuntiva di tipi di file noti può avere molto successo, anche se il primo metodo non riesce a trovare alcun file.

Questi casi sono descritti più dettagliatamente in questi articoli:
Recupero dati da un disco NTFS riformattato (Windows)
Recupero dati da un disco cancellato Disco HFS (MacOSX)
Recupero dati da un disco exFAT/FAT riformattato (Windows/MacOSX/Linux)
Dati Recupero da un disco Ext2/3/4FS riformattato (Linux)

Se il computer si blocca o si arresta in modo anomalo durante un'operazione di deframmentazione o ripartizionamento del disco, i risultati possono essere disastrosi. Questo è in genere lo scenario peggiore per il ripristino dei file. Sebbene le informazioni su file e cartelle possano sembrare integre, i metadati potrebbero puntare a indirizzi fisici errati per i file che erano in fase di spostamento. Ad esempio, i dati potrebbero essere stati scritti in una nuova posizione, ma le informazioni su file e cartelle potrebbero non essere state ancora aggiornate. Oppure, le informazioni sui file e le cartelle potrebbero essere state aggiornate, ma alcuni o tutti i dati del file non potrebbero essere stati ancora spostati. In questi casi, anche una ricerca aggiuntiva di tipi di file noti potrebbe non riuscire, poiché molti file potrebbero essere frammentati.

Questo caso è descritto più dettagliatamente in questo articolo:
Recupero dei dati dopo l'arresto anomalo di Partition Manager

Sebbene questo articolo fornisca solo una breve panoramica dei concetti di base del ripristino dei file, dovrebbe aiutarti a capire cosa fare e cosa aspettarti nel tuo caso specifico. Per istruzioni più dettagliate su come utilizzare programmi di recupero file come R-Studio e R-Undelete, fare riferimento ai documenti della guida in linea. Puoi anche trovare casi studio dettagliati ed esercitazioni su casi specifici di recupero file nei nostri articoli online.

Come sempre, il modo migliore per valutare il possibile successo di un recupero file è provare gratuitamente i nostri programmi. Utilizzando la modalità demo di R-Studio o R-Undelete, è possibile eseguire la scansione completa del disco, insieme ad analisi avanzate per vedere quali file sono recuperabili. Se i file che stai cercando sono recuperabili, puoi registrarti al volo per recuperare completamente i tuoi file e salvarli su un altro disco.