Não há duas situações de recuperação de dados exatamente iguais. Muitas vezes, é possível recuperar completamente os arquivos perdidos de um disco, incluindo os nomes dos arquivos originais e a estrutura de pastas. Outras vezes, os arquivos e dados podem ser recuperados, mas os nomes dos arquivos, datas/carimbos de data/hora e caminhos das pastas são perdidos. E, em alguns casos, nenhum arquivo intacto pode ser encontrado. Isso levanta uma pergunta comum de nossos usuários: por quê?

Para ajudar a contextualizar a resposta a esta pergunta, é útil obter uma compreensão básica de como os arquivos são armazenados no disco e como eles podem ser recuperados. Embora a recuperação profissional de dados geralmente exija anos de experiência e profundo conhecimento das nuances técnicas dos sistemas de arquivos e da física do disco, aprender o básico pode ajudá-lo a definir expectativas razoáveis para o seu software de recuperação de dados.

Neste artigo, veremos como funciona a recuperação de arquivos. Também mostraremos como aplicar esse conhecimento a alguns cenários comuns para estimar suas chances de uma recuperação de arquivo bem-sucedida.

Um artigo importante para recuperação de arquivos de dispositivos SSD: Especificações de Recuperação de Arquivos para dispositivos SSD.

Para entender como os arquivos podem ser recuperados de um disco, é útil entender como os arquivos são armazenados nos discos rígidos antes de serem perdidos.

A maioria dos sistemas operacionais modernos divide (ou "particiona") todo o disco rígido físico em uma ou várias partes independentes ("partições"). Nas famílias de sistemas operacionais baseados em DOS/Windows, essas partições são chamadas de "discos lógicos". Os discos lógicos recebem letras de unidade e rótulos descritivos opcionais. Por exemplo, C: (Sistema) ou D: (Dados). Cada partição tem seu próprio tipo de sistema de arquivos, independente de outras partições no mesmo disco físico. Por exemplo, um disco rígido físico para um sistema Windows pode conter dois discos lógicos: um NTFS e outro FAT32. As informações sobre as partições do disco são armazenadas no início do disco rígido. Isso geralmente é chamado de "tabela de partição" ou "mapa de partição".

Uma estrutura de partição típica é mostrada na Fig. 1.

Fig. 1: Estrutura do disco rígido
Clique na imagem para ampliar

A parte dados de serviço do disco rígido e informações sobre a estrutura da partição mostrada na Figura 1 é conhecida como "metadados". Ou seja, informações sobre os dados no disco (em oposição aos dados em si). Da mesma forma, cada partição ou disco lógico é dividido em duas partes: uma armazena informações sobre o disco (estrutura de pastas, sistema de arquivos, etc.) e a outra armazena os dados que compõem esses arquivos. Essa divisão de dados de metadados permite melhor gerenciamento de espaço em disco, pesquisa de arquivos mais rápida e maior confiabilidade.

A Fig. 2 mostra uma estrutura típica de disco lógico.

Fig. 2: Estrutura do disco lógico
Clique na imagem para ampliar

As informações de serviço de disco mostradas na Fig. 2 contêm informações específicas sobre o tamanho da partição, tipo de sistema de arquivos, etc. Isso é necessário para que o computador encontre corretamente os dados necessários na partição.

As informações sobre arquivos e pastas contêm registros de arquivos que armazenam nomes de arquivos, tamanhos, datas/horas e outras informações técnicas. Essas informações também incluem os locais físicos exatos (endereços) dos dados do arquivo no disco. Essas informações geralmente são copiadas na própria unidade, caso a primeira cópia seja corrompida.

Vários sistemas de arquivos têm diferentes formas de armazenar essas informações. Por exemplo, o sistema de arquivos FAT armazena essas informações em uma tabela de alocação de arquivos (FAT - File Allocation Table), enquanto o sistema de arquivos NTFS as armazena em uma tabela de arquivos mestre (MFT - Master File Table).

Quando um computador precisa ler um arquivo, ele primeiro acessa as informações sobre arquivos e pastas e procura o registro desse arquivo. Em seguida, ele procura o endereço do arquivo, vai para o local especificado no disco e lê os dados do arquivo.

Para arquivos contíguos, onde os dados são agrupados no disco, esse processo é muito simples. No entanto, os arquivos no disco podem estar fragmentados. Ou seja, eles podem ocupar várias áreas de disco não adjacentes. Isso é mais comum do que a maioria dos usuários imagina. Afinal, quando você visualiza um arquivo no Windows Explorer ou no Finder, ele sempre é representado como um único arquivo. Isso ocorre porque o sistema de arquivos está fazendo todo o trabalho de juntar os fragmentos nos bastidores. As informações sobre arquivos e pastas armazenam os endereços de cada fragmento de dados para que possam ser recuperados de forma rápida e confiável quando o computador precisar ler o arquivo. Essas informações e como são recuperadas desempenham um papel importante na recuperação de arquivos.

Quando um computador deseja excluir um arquivo, ele não destrói imediatamente seus dados. Em vez disso, ele faz algumas alterações nas informações sobre arquivos e pastas para indicar que o arquivo foi excluído. Alguns sistemas operacionais simplesmente marcam o arquivo como excluído, retendo todos os metadados sobre o arquivo até que seja necessário substituí-lo por metadados sobre um novo arquivo. É assim que os sistemas de arquivos do Windows lidam com exclusões. Outros sistemas operacionais, como o Mac OS X, destroem completamente o registro do arquivo excluído. Embora os sistemas operacionais variem se preservam ou excluem as informações sobre arquivos e pastas imediatamente, todos os sistemas operacionais deixam os dados do arquivo reais intocados até que seja necessário alocar esse espaço em disco para outro arquivo. Se nenhum arquivo for gravado no disco, as informações de dados sobre o arquivo e seus dados podem permanecer para sempre.

Conforme observado acima, a parte do disco que armazena os dados do arquivo também contém uma cópia de backup das informações sobre arquivos e pastas. Essa parte do disco também pode conter algumas informações adicionais sobre a estrutura de arquivos e pastas espalhadas por todo o disco.

Antes de discutirmos os diferentes métodos de recuperação de arquivos, é importante observar uma coisa:
Se os dados no disco forem substituídos, os dados antigos desaparecerão. Nenhum programa ou método de recuperação de dados disponível comercialmente pode recuperá-lo.

É por isso que é de extrema importância que nenhum arquivo novo seja gravado em um disco antes de tentar uma recuperação de dados.

Para arquivos que não foram substituídos, existem dois métodos de recuperação de arquivos. Todos os softwares de recuperação de dados usam uma ou ambas as técnicas.

Este é o primeiro método que um programa de recuperação de arquivos tenta executar. Isso ocorre porque ele pode recuperar arquivos com seus nomes originais, caminhos, carimbos de data/hora e seus dados (se bem-sucedidos).

O software de recuperação de arquivos começa tentando ler e processar a primeira cópia das informações sobre arquivos e pastas. Em alguns casos (como exclusão acidental de arquivo), essa é a única etapa que precisa ser executada para recuperar os arquivos por completo.

Se a primeira cópia das informações sobre arquivos e pastas estiver gravemente danificada, o software verifica o disco em busca da segunda cópia das informações sobre arquivos e pastas. Ele também tenta coletar informações adicionais sobre a estrutura de pastas e arquivos que podem estar na parte de dados do disco. Em seguida, ele processa todas essas informações para reconstruir as pastas originais e a estrutura de arquivos.

Se o sistema de arquivos no disco não estiver gravemente danificado, geralmente é possível recuperar todo o arquivo e a estrutura de pastas.

Se o sistema de arquivos no disco estiver gravemente danificado, esse método de recuperação não poderá recriar toda a estrutura de pastas. Em seguida, os arquivos recuperados aparecerão em pastas "órfãs".

A Fig. 3 mostra essas pastas "órfãs" no R-Studio.

Fig. 3: Estrutura de arquivos e pastas recuperados e pastas "órfãs"
Clique na imagem para ampliar

Se o primeiro método não produzir resultados satisfatórios, uma pesquisa de arquivo bruto será executada. Este segundo método de recuperação de dados pode recuperar dados de arquivos com maior sucesso do que o primeiro método, mas não pode reconstruir os nomes de arquivos originais, carimbos de data/hora ou toda a estrutura de pastas e arquivos do disco.

Uma pesquisa por tipos de arquivos conhecidos, ou recuperação de arquivos brutos, funciona analisando o conteúdo do disco em busca de "assinaturas de arquivos". Assinaturas de arquivo são padrões comuns que significam o início ou o fim de um arquivo. Quase todo tipo de arquivo tem pelo menos uma assinatura de arquivo. Por exemplo, todos os arquivos do tipo png (gráficos de rede portáteis) começam com a string ".PNG" e muitos arquivos MP3 começam com a string "ID3". Essas assinaturas de arquivo podem ser usadas para reconhecer que um dado no disco pertence a um determinado tipo de arquivo e, portanto, pode ser recuperado.

Depois de realizar uma pesquisa de arquivo bruto, o R-Studio e o R-Undelete mostrarão os arquivos possivelmente recuperáveis como "Arquivos Extra Encontrados". Essas extensões de arquivo são atribuídas com base na assinatura de arquivo identificada e nos nomes de arquivo de espaço reservado (números sequenciais). Consulte a Figura 4 e a Figura 5.

Fig. 4: Arquivos recuperados usando a pesquisa de Tipos de Arquivos Conhecidos (Arquivos Extras Encontrados) que são encontrados dentro de um disco lógico
Clique na imagem para ampliar


Fig. 5: Arquivos recuperados usando a pesquisa de Tipos de Arquivos Conhecidos (Arquivos Extra Encontrados) que são encontrados fora de um disco lógico
Clique na imagem para ampliar

Embora esse método seja geralmente a melhor técnica para recuperar dados de um sistema de arquivos muito danificado, existem algumas limitações. Primeiro é o fato de que alguns tipos de arquivo têm uma assinatura de arquivo "início" e "fim", alguns têm apenas uma assinatura de arquivo "início" (e nenhuma assinatura de arquivo "final") e alguns tipos de arquivo não têm assinatura de arquivo imediatamente reconhecível. .

Se o software de recuperação de dados puder identificar a assinatura do arquivo "início" e "fim", o arquivo poderá ser facilmente identificado e recuperado. Para arquivos que não possuem uma assinatura de arquivo "final", o software às vezes pode recuperar o arquivo assumindo que ele termina no início do próximo arquivo. Para arquivos sem assinatura, como contêineres de disco criptografados, uma pesquisa de arquivo bruto não conseguirá distinguir os dados de partes de espaço em disco não alocado.

Cada uma dessas circunstâncias é ainda mais complicada pela fragmentação do arquivo. Além disso, arquivos sem assinatura de arquivo final podem ter longas trilhas de "lixo" após a recuperação. A Figura 6 ilustra o porquê.

Fig. 6: Dados do arquivo no disco
Clique na imagem para ampliar

Na situação mostrada na Figura 6, o Arquivo 1 e o Arquivo 3 serão recuperados com sucesso, enquanto a recuperação do Arquivo 2 e do Arquivo 4 não terá êxito. A Tabela 1 explica o porquê:

Além das complicações de arquivos fragmentados, uma pesquisa de arquivos brutos também ocasionalmente produz "falsos positivos". Por exemplo, a string "ID3" pode ocorrer em um arquivo sem ser uma assinatura de arquivo. Por exemplo, o texto que você está lendo no momento inclui a string "ID3", mas não é um arquivo MP3. Como tal, uma pesquisa de arquivo bruto pode identificar incorretamente uma parte desse texto como o início de um arquivo MP3.

Embora todos os programas de recuperação de dados usem uma variação de um dos métodos acima, há vários parâmetros de pesquisa adicionais e técnicas de recuperação de dados que podem ser aplicadas para obter melhores resultados. Programas avançados de recuperação de arquivos, como o R-Studio, permitem que os usuários especifiquem manualmente conjuntos muito complexos e avançados de assinaturas de arquivos, incluindo assinaturas de arquivo personalizadas.

Na prática, esses dois métodos de recuperação de arquivos geralmente são usados juntos: alguns arquivos são recuperados usando um método, enquanto os arquivos restantes são recuperados usando o segundo método. Programas avançados de recuperação de arquivos como R-Studio e R-Undelete podem usá-los simultaneamente aplicando a Tecnologia de Recuperação de Dados IntelligentScan. Ou seja, eles podem analisar os restos de um sistema de arquivos danificado e procurar tipos de arquivos conhecidos durante a mesma varredura de disco.

Estimando resultados de recuperação de arquivos
(Você pode ver informações mais detalhadas sobre as chances de recuperação bem-sucedida em nosso artigo Prevendo o Sucesso de Casos Comuns de Recuperação de Dados.)

Usando as informações acima, você pode fazer uma estimativa bastante precisa de suas chances de uma recuperação de arquivo bem-sucedida. No entanto, é importante manter os seguintes fatores em mente:

• O dano causado a um sistema de arquivos pode ser imprevisível. A condição de seus arquivos dependerá do que causou a perda dos arquivos, da integridade do disco antes da falha ou perda de dados e de quaisquer ações tomadas antes das tentativas de recuperação de dados. As estimativas fornecidas neste artigo são aproximadas e se aplicam somente a discos em que nenhum dado novo foi gravado no disco danificado.
• A recuperação de dados não deve ser tentada em discos com falhas de hardware. Se você suspeitar que o disco pode estar fisicamente danificado, o melhor a fazer é encaminhar o caso a um profissional de recuperação de dados com experiência e equipamento adequados. Qualquer tentativa de manipulação de um disco fisicamente danificado pode causar mais perda de dados, tornando inúteis as tentativas subsequentes de recuperação de dados.
• Recomendamos executar todas as tarefas de recuperação de dados de imagens dos discos reais para preservar os dados originais no disco. Isso permite que você execute várias tentativas de recuperação de dados sem causar alterações no disco ou arriscar mais perda de dados. Programas avançados de recuperação de arquivos como R-Studio e R-Undelete podem criar imagens de disco e escanear os dados simultaneamente.

Se um disco for montado ou removido incorretamente (por exemplo, devido a uma queda de energia ou erro do usuário), isso pode causar danos ou perda de alguns ou de todos os metadados do disco rígido. Embora os dados originais do serviço do disco rígido e as informações sobre a estrutura da partição sejam perdidos, o restante dos dados do disco permanece intacto. Nesses casos, os programas de recuperação de arquivos podem analisar as informações sobre arquivos e pastas que ainda estão intactas nas partições e recuperar todos os arquivos e pastas delas. Uma pesquisa extra por tipos de arquivos conhecidos raramente é necessária nesses casos. Este é o melhor cenário para recuperação de dados e normalmente produz os resultados mais bem-sucedidos.

Este caso depende muito de quão severamente o sistema de arquivos foi danificado. Lembre-se de que o disco contém duas cópias das informações sobre arquivos e pastas. Se apenas uma cópia estiver danificada, um programa de recuperação de arquivos pode ler os dados da cópia de backup e recuperar todas as informações e dados do arquivo. Se ambas as cópias estiverem severamente danificadas, as perspectivas de uma recuperação de arquivo bem-sucedida podem ser muito sombrias. Assim como no Caso 3, uma busca extra por tipos de arquivos conhecidos pode ser a graça salvadora.

Esses casos são descritos com mais detalhes neste artigo:
Recuperação de Dados de um Disco com um Sistema de Arquivos Danificado.

Se um disco for reparticionado acidentalmente, a perspectiva é semelhante ao Caso 1, com uma exceção importante: quando uma nova estrutura de partição é criada, alguns novos dados são gravados no disco. Esses novos dados substituirão as informações de serviço de disco existentes sobre todo o disco físico. No entanto, o restante dos dados das partições antigas permanece intocado, incluindo as informações sobre arquivos e pastas. Assim, os programas de recuperação de arquivos podem escanear o disco, encontrar essas informações e recuperar os arquivos e pastas que não foram afetados pelos novos dados da partição. Uma pesquisa extra por tipos de arquivos conhecidos raramente é necessária.

Este caso é descrito com mais detalhes neste artigo:
Recuperação de Arquivos após a Reinstalação do Windows

A reformatação geralmente causa mais interrupções do que o reparticionamento, dependendo do tipo de operação de formato de disco que foi executada.

Uma formatação completa faz com que todos os dados na partição sejam substituídos por um determinado padrão (geralmente 00 ou FF). Isso impossibilita a recuperação de qualquer arquivo da partição.

Uma formatação rápida faz com que algumas ou todas as informações sobre arquivos e pastas sejam substituídas, mas deixa os dados do arquivo intocados. Os programas de recuperação de arquivos podem escanear o disco, encontrar o que resta do sistema de arquivos anterior e recuperar arquivos e pastas de acordo. Dependendo do(s) sistema(s) de arquivos antes e depois da reformatação, os resultados da recuperação de dados variam muito usando o primeiro método. Uma pesquisa extra por tipos de arquivos conhecidos pode ser muito bem-sucedida nesse caso, mesmo que o primeiro método não encontre nenhum arquivo.

Esses casos são descritos com mais detalhes nestes artigos:
Recuperação de Dados de um Disco NTFS Reformatado (Windows)
Recuperação de Dados de um Disco HFS Apagado (MacOSX)
Recuperação de Dados de um Disco exFAT/FAT Reformatado (Windows/MacOSX/Linux)
Recuperação de Dados de um disco Ext2/3/4FS Reformatado (Linux)

Se o computador congelar ou travar durante uma operação de desfragmentação de disco ou reparticionamento, os resultados podem ser desastrosos. Este é normalmente o pior cenário para recuperação de arquivos. Embora as informações sobre os arquivos e pastas possam parecer saudáveis, os metadados podem apontar para os endereços físicos errados de arquivos que estavam em processo de serem movidos. Por exemplo, os dados podem ter sido gravados em um novo local, mas as informações sobre os arquivos e pastas podem não ter sido atualizadas ainda. Ou as informações sobre os arquivos e pastas podem ter sido atualizadas, mas alguns ou todos os dados do arquivo ainda não foram movidos. Nesses casos, mesmo uma pesquisa extra por tipos de arquivos conhecidos pode não ser bem-sucedida, pois muitos arquivos podem estar fragmentados.

Este caso é descrito com mais detalhes neste artigo:
Recuperação de Dados Após Falha no Gerenciador de Partição

Embora este artigo forneça apenas uma breve visão geral dos conceitos básicos de recuperação de arquivos, ele deve ajudá-lo a entender o que fazer e o que esperar do seu cenário de recuperação de dados. Para obter instruções mais detalhadas sobre como usar programas de recuperação de arquivos como R-Studio e R-Undelete, consulte seus documentos de ajuda online. Você também pode encontrar estudos de caso detalhados e tutoriais sobre casos específicos de recuperação de arquivos em nossos artigos online.

Como sempre, a melhor maneira de estimar suas chances de recuperação de arquivos é experimentar nossos programas gratuitamente. Usando o modo de demonstração do R-Studio ou R-Undelete, você pode realizar a varredura completa do disco e análises avançadas de recuperação de dados para ver quais arquivos podem ser recuperados. Se os arquivos que você está procurando são recuperáveis, você pode se registrar rapidamente para recuperar totalmente seus arquivos e salvá-los em outro disco.