No hay dos situaciones de recuperación de datos iguales. Muchas veces, es posible recuperar completamente los archivos perdidos de un disco, incluidos los nombres de archivo originales y la estructura de carpetas. Otras veces, los archivos y los datos pueden recuperarse, pero los nombres de los archivos, las marcas de fecha / hora y las rutas de las carpetas se pierden. Y en algunos casos, no se pueden encontrar archivos intactos. Esto plantea una pregunta común de nuestros usuarios: ¿por qué?

Para ayudar a contextualizar la respuesta a esta pregunta, es útil comprender a grandes rasgos cómo se almacenan los archivos en el disco y cómo se pueden recuperar. Si bien la recuperación de datos profesional generalmente requiere años de experiencia y un conocimiento profundo de los matices técnicos de los sistemas de archivos y la física del disco, aprender los conceptos básicos puede ayudarle a establecer expectativas razonables para su software de recuperación de datos.

En este artículo, analizaremos a muy alto nivel cómo funciona la recuperación de archivos. También le mostraremos cómo aplicar este conocimiento a algunos escenarios comunes para estimar sus posibilidades de una recuperación de datos con éxito.

Un artículo importante para la recuperación de archivos desde dispositivos SSD: Particularidades de la recuperación de archivos para dispositivos SSD.

Para comprender cómo se pueden recuperar los archivos de un disco, es útil comprender cómo se almacenan los archivos en los discos duros antes de que se pierdan.

La mayoría de los sistemas operativos modernos dividen (o "particionan") todo el disco duro físico en una o varias partes independientes ("particiones"). En las familias de sistemas operativos basados ​​en DOS / Windows, estas particiones se denominan "discos lógicos". A los discos lógicos se les asigna letras de unidad y etiquetas descriptivas opcionales. Por ejemplo, C: (Sistema) o D: (Datos). Cada partición tiene su propio tipo de sistema de ficheros, independiente de otras particiones del mismo disco físico. Por ejemplo, un disco duro físico para un sistema Windows puede contener dos discos lógicos: uno NTFS y otro FAT32. La información sobre las particiones en el disco se almacena al principio del disco duro. Esto generalmente se denomina "tabla de particiones" o "mapa de particiones".

En la Figura 1 se muestra una estructura de particiones típica.

Figura 1: Estructura del disco duro
Haga clic en la imagen para ampliarla

La parte de datos de servicio del disco duro e información sobre la estructura de la partición que se muestra en la Figura 1 se conoce como "metadatos". Es decir, información sobre los datos en el disco (a diferencia de los datos en sí). De manera similar, cada partición o disco lógico se divide en dos partes: una almacena información sobre el disco (estructura de carpetas, sistema de archivos, etc.) y la otra almacena los datos que componen esos archivos. Esta división de datos de metadatos permite una mejor administración del espacio en disco, una búsqueda de archivos más rápida y una mayor confiabilidad.

La Figura 2 muestra una estructura de discos lógicos típica.

Figura 2: Estructura de discos lógicos
Haga clic en la imagen para ampliarla

La información de servicio del disco que se muestra en la Figura 2 contiene información específica sobre el tamaño de la partición, el tipo de sistema de archivos, etc. Esto es necesario para que el ordenador encuentre correctamente los datos necesarios en la partición.

La información sobre archivos y carpetas contiene registros de archivos que almacenan nombres de archivo, tamaños, fecha/hora y otra información técnica. Esta información también incluye las ubicaciones físicas exactas (direcciones) de los datos del archivo en el disco. Esta información generalmente se respalda en la propia unidad, en caso de que la primera copia se dañe.

Los distintos sistemas de ficheros tienen diferentes formas de almacenar esta información. Por ejemplo, el sistema de archivos FAT almacena esta información en una tabla de asignación de archivos (FAT, por sus siglas en inglés), mientras que el sistema de archivos NTFS la almacena en una tabla de archivos maestra (MFT, por sus siglas en inglés).

Cuando un ordenador necesita leer un fichero, primero va a la información sobre archivos y carpetas y busca el registro de ese archivo. Luego, busca la dirección del archivo, va al lugar especificado en el disco y entonces lee los datos del fichero.

Para archivos contiguos, donde los datos se agrupan en el disco, este proceso es muy sencillo. Sin embargo, los archivos del disco pueden estar fragmentados. Es decir, pueden ocupar varias áreas de disco no adyacentes. Esto es más común de lo que creen la mayoría de los usuarios. Después de todo, cuando ve un archivo desde el Explorador de Windows o el Finder, siempre se representa como un solo archivo. Esto se debe a que el sistema de ficheros está haciendo todo el trabajo de unir los fragmentos de forma transparente. La información sobre archivos y carpetas almacena las direcciones de cada fragmento de datos para que se puedan recuperar de forma rápida y fiable cuando el ordenador necesite leer el archivo. Esta información y cómo se recupera juega un papel importante en la recuperación de archivos.

Cuando un ordenador quiere eliminar un archivo, no destruye sus datos de inmediato. En su lugar, realiza algunos cambios en la información sobre archivos y carpetas para indicar que el archivo se ha eliminado. Algunos sistemas operativos simplemente marcan el archivo como eliminado, conservando todos los metadatos sobre el archivo hasta que sea necesario sobrescribirlo con metadatos sobre un nuevo archivo. Así es como los sistemas de archivos de Windows manejan las eliminaciones. Otros sistemas operativos, como Mac OS X, destruyen por completo el registro del archivo eliminado. Si bien los sistemas operativos varían en cuanto a si conservan o eliminan la información sobre archivos y carpetas inmediatamente, todos los sistemas operativos dejan intactos los datos reales del archivo hasta que sea necesario asignar ese espacio en disco a otro archivo. Si no se va a escribir archivos en el disco, la información sobre el archivo y sus datos pueden permanecer para siempre.

Como se indicó anteriormente, la parte del disco que almacena los datos del archivo también contiene una copia de seguridad de la información sobre archivos y carpetas. Esta parte del disco también puede contener información adicional sobre la estructura de archivos y carpetas repartidos por todo el disco.

Antes de discutir los diferentes métodos para la recuperación de archivos, es importante tener en cuenta una cosa:
Si los datos del disco se sobrescriben, los datos antiguos se pierden. Ningún programa o método de recuperación de datos disponible comercialmente puede recuperarlos.

Por eso es de suma importancia que no se escriban archivos nuevos en un disco antes de intentar la recuperación de datos.

Para los archivos que no se han sobrescrito, existen dos métodos de recuperación de archivos. Todo el software de recuperación de datos utiliza una de estas técnicas o ambas.

Este es el primer método que intenta realizar un programa de recuperación de archivos. Esto se debe a que puede recuperar archivos con sus nombres originales, rutas, marcas de fecha / hora y sus datos (si tiene éxito).

El software de recuperación de archivos comienza intentando leer y procesar la primera copia de la información sobre archivos y carpetas. En algunos casos (como la eliminación accidental de archivos), este es el único paso que debe realizarse para recuperar los archivos en su totalidad.

Si la primera copia de la información sobre archivos y carpetas está muy dañada, el software escanea el disco en busca de la segunda copia de la información sobre archivos y carpetas. También intenta recopilar información adicional sobre las carpetas y la estructura de archivos que pueden estar en la parte de datos del disco. Luego, procesa toda esta información para reconstruir las carpetas y la estructura de archivos originales.

Si el sistema de archivos del disco no está muy dañado, a menudo es posible recuperar la estructura completa de archivos y carpetas.

Si el sistema de archivos del disco está muy dañado, este método de recuperación no puede recrear toda la estructura de carpetas. Como consecuencia, los archivos recuperados aparecerán en carpetas "huérfanas".

La figura 3 muestra estas carpetas "huérfanas" en R-Studio.

Figura 3: Estructura de carpetas y archivos recuperados y carpetas "huérfanas"
Haga clic en la imagen para ampliarla

Si el primer método no produce resultados satisfactorios, se realiza una búsqueda de archivos sin formato. Este segundo método de recuperación de datos puede recuperar datos de archivos con mayor éxito que el primer método, pero no puede reconstruir los nombres de los archivos originales, las marcas de fecha / hora o toda la estructura de carpetas y archivos del disco.

Una búsqueda de tipos de archivos conocidos, o recuperación de archivos sin formato, funciona analizando el contenido del disco en busca de "firmas de archivos". Las firmas de archivos son patrones comunes que indican el principio o el final de un archivo. Casi todos los tipos de archivo tienen al menos una firma de archivo. Por ejemplo, todos los archivos del tipo de archivo PNG (gráficos de red portables, por sus siglas en inglés) comienzan con la cadena "†° PNG" y muchos archivos MP3 comienzan con la cadena "ID3". Estas firmas de archivos se pueden utilizar para reconocer que un dato del disco pertenece a un determinado tipo de archivo y, por tanto, se puede recuperar.

Después de realizar una búsqueda de archivos sin formato, R-Studio y R-Undelete mostrarán los archivos posiblemente recuperables como "Archivos extra encontrados". A estos se les asignan extensiones de archivo según la firma del archivo identificado y los nombres de archivo de marcador de posición dados (números secuenciales). Consulte la Figura 4 y la Figura 5.

Figura 4: Archivos recuperados mediante la búsqueda de tipos de archivos conocidos (archivos extra encontrados) que se encuentran dentro de un disco lógico
Haga clic en la imagen para ampliarla


Figura 5: Archivos recuperados mediante la búsqueda de tipos de archivos conocidos (archivos extra encontrados) que se encuentran fuera de un disco lógico
Haga clic en la imagen para ampliarla

Aunque este método suele ser la mejor técnica para recuperar datos de un sistema de archivos muy dañado, hay algunas limitaciones. Primero está el hecho de que algunos tipos de fichero tienen una firma de "inicio" y de "fin", algunos tienen solo una de "inicio" (y ninguna de fin) y algunos no tienen ninguna firma reconocible en absoluto.

Si el software de recuperación de datos puede identificar la firma del archivo "inicial" y "final", el archivo se puede identificar y recuperar fácilmente. Para los archivos que no tienen una firma de archivo "final", el software a veces puede recuperar el archivo asumiendo que termina al principio del siguiente archivo. En el caso de archivos sin firma, como contenedores de disco cifrados, una búsqueda de archivos sin formato no podrá distinguir los datos de los fragmentos de espacio en disco no asignado.

Cada una de estas circunstancias se complica aún más por la fragmentación de archivos. Además, los archivos sin firmas de archivos finales pueden tener largos rastros de "basura" después de la recuperación. La figura 6 ilustra por qué.

Figura 6: Datos de archivo en el disco
Haga clic en la imagen para ampliarla

En la situación que se muestra en la Figura 6, el Archivo 1 y el Archivo 3 se recuperarán con éxito, mientras que para el Archivo 2 y el Archivo 4 la recuperación no tendrá éxito. La Tabla 1 explica por qué:

Además de las complicaciones de los archivos fragmentados, una búsqueda de archivos sin formato también arroja ocasionalmente "falsos positivos". Por ejemplo, la cadena "ID3" puede aparecer en un archivo sin ser una firma de archivo. Por ejemplo, el texto que está leyendo actualmente incluye la cadena "ID3" pero no es un archivo MP3. Como tal, una búsqueda de archivos sin procesar puede identificar incorrectamente una parte de este texto como el comienzo de un archivo MP3.

Si bien todos los programas de recuperación de datos utilizan una variación de uno de los métodos anteriores, hay una serie de parámetros de búsqueda y técnicas de recuperación de datos adicionales que se pueden aplicar para obtener mejores resultados. Los programas avanzados de recuperación de archivos, como R-Studio, permiten a los usuarios especificar manualmente conjuntos muy complejos y avanzados de firmas de archivos, incluidas firmas de archivos personalizadas.

En la práctica, estos dos métodos de recuperación de archivos generalmente se usan juntos: algunos archivos se recuperan usando un método, mientras que los archivos restantes se recuperan usando el segundo método. Los programas avanzados de recuperación de archivos como R-Studio y R-Undelete pueden usarlos simultáneamente aplicando la Tecnología de recuperación de datos IntelligentScan. Es decir, pueden analizar los restos de un sistema de archivos dañado y buscar tipos de archivos conocidos durante la misma exploración del disco.

Estimación de los resultados de la recuperación de archivos
(Puede ver información más detallada sobre las posibilidades de una recuperación con éxito en nuestro artículo Predecir el éxito de casos comunes de recuperación de datos).

Con la información anterior, puede hacer una estimación bastante precisa de sus posibilidades de recuperar archivos con éxito. Sin embargo, es importante tener en cuenta los siguientes factores:

• El daño causado a un sistema de archivos puede ser impredecible. El estado de sus archivos dependerá de qué causó la pérdida de los archivos, el estado del disco antes del fallo o pérdida de datos y cualquier acción tomada antes de los intentos de recuperación de datos. Las estimaciones proporcionadas en este artículo son aproximadas y solo se aplican a los discos donde no se han escrito nuevos datos en el disco dañado.
• No se debe intentar la recuperación de datos en discos con fallos de hardware. Si sospecha que el disco puede estar dañado físicamente, lo mejor que puede hacer es remitir el caso a un profesional de recuperación de datos con la experiencia y el equipo adecuados. Cualquier intento de alterar un disco dañado físicamente puede causar una mayor pérdida de datos, lo que hace que los intentos posteriores de recuperación de datos sean inútiles.
• Recomendamos realizar todas las tareas de recuperación de datos a partir de imágenes de los discos reales para conservar los datos originales en el disco. Esto le permite ejecutar varios intentos de recuperación de datos sin provocar cambios en el disco o sin correr el riesgo de una mayor pérdida de datos. Los programas avanzados de recuperación de archivos como R-Studio y R-Undelete pueden crear imágenes de disco y escanear los datos simultáneamente.

Si un disco se monta o extrae incorrectamente (por ejemplo, debido a un corte de corriente o un error del usuario), puede causar que algunos o todos los metadatos del disco duro se dañen o se pierdan. Aunque los datos de servicio del disco duro originales y la información sobre la estructura de la partición se pierden, el resto de los datos del disco permanece intacto. En estos casos, los programas de recuperación de archivos pueden analizar la información sobre archivos y carpetas que aún está intacta en las particiones y recuperar todos los archivos y carpetas de ellos. En estos casos, rara vez es necesaria una búsqueda adicional de tipos de archivos conocidos. Este es el mejor escenario para la recuperación de datos y generalmente produce los resultados más exitosos.

Este caso depende en gran medida de la gravedad del daño del sistema de archivos. Recuerde que el disco contiene dos copias de la información sobre archivos y carpetas. Si solo una copia está dañada, un programa de recuperación de archivos puede leer los datos de la copia de respaldo y recuperar toda la información y los datos del archivo. Si ambas copias están gravemente dañadas, las perspectivas de éxito en una recuperación de archivos podrían ser muy sombrías. Como en el caso 3, una búsqueda adicional de tipos de archivos conocidos puede ser la salvación.

Estos casos se describen con más detalle en este artículo:
Recuperación de datos de un disco con un sistema de archivos dañado.

Si un disco se vuelve a particionar accidentalmente, la perspectiva es similar al caso 1, con una excepción importante: cuando se crea una nueva estructura de partición, se escriben algunos datos nuevos en el disco. Estos nuevos datos sobrescribirán la información de servicio del disco existente sobre todo el disco físico. Sin embargo, el resto de los datos de las particiones antiguas permanecen intactos, incluida la información sobre archivos y carpetas. Por lo tanto, los programas de recuperación de archivos pueden escanear el disco, encontrar esta información y recuperar aquellos archivos y carpetas que no se hayan visto afectados por los datos de la nueva partición. Rara vez es necesaria una búsqueda adicional de tipos de archivos conocidos.

Este caso se describe con más detalle en este artículo:
Recuperación de archivos después de reinstalar Windows

Reformatear es normalmente más perjudicial que volver a particionar, según el tipo de operación de formateo de disco que se realizó.

Un formato completo hace que todos los datos de la partición se sobrescriban con un patrón determinado (normalmente 00 o FF). Esto hace que sea imposible recuperar archivos de la partición.

Un formato rápido hace que se sobrescriba parte o toda la información sobre archivos y carpetas, pero no modifica los datos del archivo. Los programas de recuperación de archivos pueden escanear el disco, encontrar lo que queda del sistema de archivos anterior y recuperar archivos y carpetas en consecuencia. Dependiendo de los sistemas de archivos antes y después del reformateo, los resultados de recuperación de datos variarán ampliamente con el primer método. En este caso, una búsqueda adicional de tipos de archivos conocidos puede ser muy exitosa, incluso si el primer método no logra encontrar ningún archivo.

Estos casos se describen con más detalle en estos artículos:
Recuperación de datos de un disco NTFS reformateado (Windows)
Recuperación de datos de un Disco HFS (MacOSX)
Recuperación de datos de un disco exFAT / FAT reformateado (Windows / MacOSX / Linux)
Recuperación de datos de un disco Ext2/3/4FS reformateado (Linux)

Si el ordenador se bloquea o falla durante una operación de desfragmentación o reparticionamiento del disco, los resultados pueden ser desastrosos. Este suele ser el peor de los casos para la recuperación de archivos. Aunque la información sobre los archivos y carpetas puede parecer correcta, los metadatos pueden apuntar a direcciones físicas incorrectas para archivos que estaban en proceso de ser movidos. Por ejemplo, es posible que los datos se hayan escrito en una nueva ubicación, pero es posible que la información sobre los archivos y carpetas no se haya actualizado todavía. O bien, es posible que se haya actualizado la información sobre los archivos y carpetas, pero algunos o todos los datos del archivo aún no se han movido. En estos casos, incluso una búsqueda adicional de tipos de archivo conocidos puede no tener éxito, ya que muchos archivos pueden estar fragmentados.

Este caso se describe con más detalle en este artículo:
Recuperación de datos después de un fallo del Administrador de particiones

Aunque este artículo solo ofrece una breve descripción general de los conceptos básicos de recuperación de archivos, debería ayudarle a comprender qué hacer y qué esperar de su escenario de recuperación de datos. Para obtener instrucciones más detalladas sobre cómo utilizar programas de recuperación de archivos como R-Studio y R-Undelete, consulte sus documentos de ayuda en línea. También puede encontrar documentación de casos detallados y tutoriales sobre casos específicos de recuperación de archivos en nuestros artículos en línea.

Como siempre, la mejor manera de estimar sus posibilidades de recuperación de archivos es probar nuestros programas de forma gratuita. Con el modo de demostración de R-Studio o R-Undelete, puede realizar la exploración completa del disco y los análisis avanzados de recuperación de datos para ver qué archivos se pueden recuperar. Si los archivos que está buscando son recuperables, puede registrarse sobre la marcha para recuperarlos por completo y guardarlos en otro disco.