Guía
Todo lo que se debe saber sobre la recuperación de datos con el software Raise Data Recovery

Gracias a Raise Data Recovery, la restauración de cualquier archivo se ha vuelto elemental incluso para novatos. Esta guía le dará una idea general de diferentes aspectos del proceso y le enseñará a darse maña con varios casos de pérdida de datos, incluso si nunca antes ha trabajado con programas de recuperación de archivos. Aquí también puede encontrar unos consejos útiles de los expertos en el ámbito que le ayudarán a evitar esos errores graves que pueden convertir todo el procedimiento en un desastre completo.

Tipo de sistema de archivos y posibilidades de recuperación de datos

El sistema de archivos (o sistema de ficheros) es el principal mecanismo de gestión de datos en un medio de almacenamiento. No sólo regula la forma en que el sistema operativo asigna, almacena y manipula los datos, sino que también define el método para gestionarlos durante el proceso de eliminación de archivos o formateo de almacenamiento. Por lo tanto, en caso de cualquier problema o necesidad de restaurar la información eliminada, las posibilidades de una recuperación de datos exitosa dependen drásticamente del comportamiento del sistema de archivos aplicado.

Si ha borrado algunos archivos o si todo el volumen con sus datos ha sido formateado por un error desafortunado, puede fácilmente estimar la probabilidad de arreglarlo todo, si sabe qué tipo de sistema de ficheros ha realizado dicha operación. Por lo tanto, examinemos en detalle diferentes sistemas de archivos de Windows (NTFS, FAT/FAT32, exFAT, ReFS), macOS (HFS +, APFS) y Linux (Ext2, Ext3, Ext4, ReiserFS, XFS, JFS), su estructura general y cómo exactamente se deshacen de los datos durante la eliminación y el formateo.

File system type and data recovery chances

Sistemas de archivos de Windows

Sistema de archivos NTFS

Detalles específicos

Estructura: el encabezado del sistema de archivos (registro de arranque), Master File Table ($MFT, Tabla Maestra de Archivos), espacio para archivos:

NTFS structure

Estructura de NTFS

El sistema de archivos NTFS utiliza la Tabla Maestra de Archivos (MFT) para la coordinación de archivos. Básicamente, la MFT contiene información sobre todos los archivos, así como sobre las carpetas donde se almacenan. En concreto, esta información incluye la ubicación, el nombre, el tamaño del archivo y la fecha/hora de su creación y última modificación.

Si los atributos del archivo son demasiado grandes para una celda de la MFT, el sistema de ficheros asignará otra celda colocada en el archivo para la lista de atributos del archivo.

Eliminación de archivo

Procedimiento: el sistema de archivos no elimina, sino que etiqueta el registro del archivo en la MFT como no utilizado y marca la ubicación del archivo en la MFT y el mapa de bits como liberados. El sistema también elimina la entrada del archivo de su directorio.

Recuperación: la información sobre el archivo borrado (nombre, tamaño, ubicación) queda en la MFT. Si el registro de la MFT permanece sin cambios y los datos en la unidad no se sobrescribieron, las posibilidades de la recuperación de archivos son del 100%. Sin embargo, si se eliminó este registro, aún es posible encontrar el archivo por su contenido con la ayuda del método de recuperación RAW (el análisis del contenido raw de la unidad para detectar la presencia de archivos de tipos predefinidos, omitiendo la estructura del sistema de ficheros).

Formateo

Procedimiento: el sistema de archivos borra solo el inicio de la MFT. El final de la MFT permanece sin cambios.

Recuperación: los primeros 256 archivos pierden sus enlaces a la MFT; por lo tanto, su recuperación sólo es posible con el método de recuperación RAW. Las posibilidades de restauración de archivos siguientes a dichos 256 son de hasta el 100%.

Sistema de archivos FAT/FAT32

Detalles específicos

Estructura: el encabezado del sistema de archivos (2 encabezados más para FAT32), las tablas FAT y el área de datos.

FAT/FAT32 structure

Estructura de FAT/FAT32

El sistema de archivos FAT aplica la Tabla de Asignación de Archivos que contiene una entrada para cada clúster en la unidad y un enlace de esta tabla a la ubicación del archivo en el disco. También contiene enlaces al clúster del inicio del archivo, de la continuación del archivo y del final del archivo. El sistema FAT no aplica la desfragmentación de archivos fragmentados. En cuanto a su diseño original, los archivos en FAT tienen 8 símbolos para el nombre del archivo y 3 símbolos para la extensión del archivo. Es por eso que el sistema de ficheros almacena los nombres de archivos largos por separado utilizando la función de extensión de nombre de archivo largo (LFN).

Eliminación de archivo/Formateo

Procedimiento: el sistema de archivos elimina toda la información de la Tabla de Asignación de Archivos, incluyendo los enlaces a los clústeres de la continuación y del fin del archivo. Sin embargo, el área de datos en sí no se borra. El primer símbolo del nombre de fichero se elimina en su forma abreviada y, en caso de FAT32, se elimina parcialmente la información sobre el clúster del inicio del archivo.

Recuperación: se puede encontrar el inicio del archivo, pero se debe asumir la información sobre la continuación y el final del archivo. Por esta razón, la recuperación de datos puede estar incompleta. Además, el sistema de archivos FAT no desfragmenta los archivos, lo que dificulta la recuperación de archivos fragmentados incluso con el método de recuperación RAW. Otro problema consiste en que los nombres de archivos tienen una longitud limitada e incluso pueden almacenarse por separado de los archivos. Es posible que la recuperación de nombres de archivo largos no tenga éxito.

Sistema de archivos exFAT

Detalles específicos

Estructura: el encabezado del sistema de archivos, la tabla FAT y el área de datos.

exFAT structure

Estructura de exFAT

Al igual que los sistemas anteriores, exFAT utiliza la Tabla de Asignación de Archivos para administrar ficheros. Esta tabla contiene una entrada para cada clúster en la unidad y crea un enlace de la tabla a la ubicación del archivo en el almacenamiento. También contiene enlaces al inicio del archivo, a la continuación del archivo y al final del archivo. Este sistema de ficheros intenta evitar la fragmentación de archivos. No proporciona enlaces a los subdirectorios de un archivo.

Eliminación de archivo/Formateo

Procedimiento: el sistema de archivos elimina toda la información de la Tabla de Asignación de Archivos, incluyendo los enlaces a la continuación y al fin del archivo. Sin embargo, el área de datos en sí no se borra.

Recuperación: dado que los enlaces a la continuación del archivo se pueden perder, el resultado de la recuperación de ficheros compuestos de varios bloques puede ser incompleto. Las posibilidades de una recuperación exitosa de un archivo del directorio dañado también pueden ser bastante bajas. Al mismo tiempo, la recuperación de ficheros por su contenido (el método de recuperación RAW) puede dar resultados muy buenos debido a la fragmentación de archivos baja.

Sistema de archivos ReFS

Detalles específicos

Estructura: los árboles B+ se aplican a todas las estructuras en disco, incluso a los datos de archivo y los metadatos.

Estructura de ReFS

La estructura del sistema de ficheros ReFS es muy diferente de las estructuras de los sistemas anteriores. La información que contiene por lo general está organizada en forma de árboles B+ que funcionan de manera similar a las bases de datos. Dicho árbol se compone de la raíz, los nodos internos y las hojas. Cada nodo de árbol tiene una lista ordenada de claves y punteros a los nodos de nivel inferior u hojas. La característica más notable de ReFS es su uso de Copiar en escrito (Copy-on-Write o CoW en inglés) – las entradas originales del sistema de archivos nunca se modifican de inmediato, simplemente se copian y se guardan en una nueva ubicación junto con los cambios necesarios.

Eliminación de archivo

Procedimiento: el sistema de archivos no edita directamente los metadatos del archivo. Hace una copia, realiza los cambios necesarios y vincula los datos a la "entrada actualizada" solo después de que se hayan escrito correctamente en el almacenamiento.

Recuperación: las versiones anteriores de los objetos del sistema de ficheros aún permanecen en la unidad, lo que permite recuperar hasta el 100% de los datos.

Sistemas de archivos de macOS

Sistema de archivos HFS+

Detalles específicos

Estructura: el encabezado del sistema de archivos; el journal (registro por diario) del sistema de ficheros; el Archivo de Catálogo con ficheros que contienen información sobre otros ficheros (los llamados archivos de enlace físico).

HFS+ structure

Estructura de HFS+

El sistema de archivos HFS+ utiliza el llamado journaling (registro por diario). En el journal del sistema se registran todas las modificaciones del sistema de ficheros. El tamaño del journal de HFS+ está limitado, por lo que nueva información se agrega y se escribe sobre los registros del journal antiguos. De esta manera, el sistema de archivos sobrescribe la información anterior para actualizar el journal con los datos de las modificaciones más recientes del sistema de ficheros.

El sistema de archivos HFS+ tiene como objetivo la desfragmentación de archivos. Busca minuciosamente un lugar para almacenar un archivo y, literalmente, recopila fragmentos de archivo en el encontrado. Aún así, los archivos fragmentados restantes pueden causar un problema en cuanto al resultado de la recuperación.

HFS+ cuenta con enlaces duros almacenados como ficheros separados dentro de un directorio raíz oculto de HFS+ que sirven para almacenar información sobre un archivo de usuario. Cada archivo de enlace duro (o físico) está vinculado a su archivo de usuario.

Eliminación de archivo

Procedimiento: el sistema de archivos elimina el enlace físico (duro) del directorio. Sin embargo, aún conserva esta información en sus registros del journal durante algún tiempo.

Recuperación: el programa puede consultar el journal del sistema de archivos para encontrar un estado más antiguo del sistema y devolver el enlace duro perdido a su lugar. Las posibilidades de recuperación de datos dependerán mucho del período de tiempo por lo se usa el sistema después de la eliminación de un archivo. A pesar de esto, si el registro del journal ha sido vaciado, puede probar la recuperación RAW que puede brindar resultados excelentes en caso de archivos no fragmentados.

Formateo

Procedimiento: el sistema de archivos elimina el directorio de enlace físico dejando intactos el registro por diario (journal) y el área de datos en el disco.

Recuperación: el programa se dirige al journal (registro por diario) del sistema de archivos para recuperar todo lo que se puede restaurar del journal o realiza la recuperación RAW (por contenido de archivo) para devolver archivos perdidos. Las posibilidades de recuperación pueden ser bajas para archivos fragmentados debido a la eliminación de enlaces físicos.

Sistema de archivos APFS

Eliminación de archivo

Procedimiento: el archivo tiene una estructura de dos árboles: uno contiene los datos, mientras que otro es una representación virtual del primero. Durante la eliminación, se suele borrar el primer árbol, sin embargo, en algunos casos de pérdida de datos, ambos árboles se dañan. En dichos casos, la recuperación de archivos no es posible.

Recuperación: Las versiones anteriores del primer árbol se analizan con la ayuda del segundo y así se recuperan.

Sistemas de archivos de Linux

Sistema de archivos Ext2

Detalles específicos

Estructura: el encabezado del sistema de archivos; inodos; tabla de inodos.

Ext2 structure

Estructura de Ext2

El sistema de archivos Ext2 utiliza inodos que contienen información sobre archivos. Esta información incluye la pertenencia al usuario y al grupo, el modo de acceso y la extensión. Algunos inodos incluyen una copia de tabla de inodos.

Los inodos no incluyen el contenido y los nombres de archivos, ya que se almacenan en directorios de archivos y no se consideran metadatos según el sistema de ficheros.

Eliminación de archivo

Procedimiento: Ext2 etiqueta el archivo inodo como libre y actualiza el mapa de bloques libres. La entrada del nombre del archivo se desvincula del registro del directorio. Se borra el nombre del archivo a la referencia del nodo. El archivo se eliminará tan pronto como se borren todas las referencias de inodo a este archivo.

Recuperación: gracias a las descripciones de archivos que permanecen en el inodo, las posibilidades de recuperar el archivo son bastante altas. Sin embargo, los nombres de archivos almacenados en directorios y desvinculados de archivos se perderán.

Formateo

Procedimiento: Ext2 borra todos los grupos de asignación de archivos y elimina los inodos de archivos.

Recuperación: el programa puede aplicar el método de recuperación RAW para encontrar archivos por su contenido. Las posibilidades de recuperación dependen de la fragmentación del archivo: los fragmentados son difíciles de restaurar.

Sistema de archivos Ext3/Ext4

Detalles específicos

Estructura: el encabezado del sistema de archivos; inodos; tabla de inodos.

Ext3 and Ext4 structure

Estructuras de Ext3 y Ext4

Aparte de los inodos implementados en Ext2, los sistemas de ficheros Ext3 y Ext4 también utilizan el journaling (registro por diario) del sistema de archivos. Dicho registro por diario contiene todas las modificaciones realizadas por el sistema de ficheros. Ext4 se distingue del sistema de archivos Ext3 por su estructura de referencias.

Eliminación de archivo

Procedimiento: El sistema de archivos hace una entrada en el registro por diario (journal) y luego borra la entrada de inodo del archivo. El dato del directorio no se elimina por completo, sino que se cambia el orden de lectura del directorio.

Recuperación: gracias al registro diario (journal) del sistema de archivos, es posible recuperar archivos eliminados incluso con sus nombres. Aún así, el resultado de recuperación depende del tiempo por lo que el sistema de archivos permanece en funcionamiento después de la eliminación del archivo.

Formateo

Procedimiento: Se borran todos los grupos de asignación, así como los inodos de archivos e incluso el journal. El journal del sistema de ficheros aún puede contener información sobre algunos de los archivos creados recientemente.

Recuperación: la recuperación de archivos perdidos sólo es posible con el método de recuperación RAW que permite encontrar archivos perdidos por su contenido. La recuperación de archivos fragmentados es poco probable.

Sistema de archivos ReiserFS

Detalles específicos

Estructura: el encabezado del sistema de archivos, el árbol S+.

ReiserFS structure

Estructura de ReiserFS

El sistema de archivos utiliza el árbol S+ que almacena metadatos de archivos y cuenta con descriptores de todos los archivos y fragmentos de archivos. Cuando se escriben nuevos metadatos en el árbol, se crea un nuevo árbol con nuevos datos que reemplaza al anterior. Al mismo tiempo, una copia del anterior queda en el disco. Por lo tanto, el sistema de archivos puede almacenar muchas copias de metadatos. Esta técnica se llama Copiar en escrito (COW o Copy-on-write en inglés).

Eliminación de archivo

Procedimiento: El sistema actualiza su árbol S+ para excluir el archivo y renueva el mapa de espacio libre.

Recuperación: gracias a COW, es posible recuperar todos los archivos junto con sus nombres. Además, también puede recuperar la versión anterior del archivo desde una copia de árbol S+ anterior.

Formateo

Procedimiento: El sistema de archivos crea un nuevo árbol S+ que reemplaza al existente.

Recuperación: La técnica Copiar en escrito o COW ayuda a recuperar el estado anterior del sistema de archivos, lo que permite realizar la recuperación completa de los datos. Sin embargo, las posibilidades para recuperar completamente los archivos perdidos disminuyen, si la partición del sistema de archivos estaba llena. En este caso, el sistema sobrescribirá los datos antiguos con los nuevos.

Sistema de archivos XFS

Detalles específicos

Estructura: estructuras de árbol complejas, inodos, mapas de bits (bitmaps).

SGI XFS structure

Estructura de XFS

El sistema de archivos XFS utiliza inodos para almacenar metadatos de archivos y el journaling (registro diario) para realizar un seguimiento de las modificaciones del sistema. Este sistema de ficheros sólo registra los metadatos. Cada inodo tiene un encabezado y un mapa de bits. XFS almacena inodos en un árbol especial en un lugar específico en el disco. El sistema también tiene un mapa de bits para bloques de almacenamiento libres.

Eliminación de archivo

Procedimiento: el inodo responsable del archivo se excluye del árbol; en su lugar se escribe nueva información.

Recuperación: XFS conserva los metadatos del archivo con mucha información lo que hace posible la recuperación de datos perdidos. Las posibilidades para recuperar un archivo borrado incluso con el nombre de archivo correcto son bastante altas.

Formateo

Procedimiento: se sobrescriben los directorios raíz del sistema de archivos.

Recuperación: las posibilidades para recuperar archivos que no estaban ubicados al principio del almacenamiento son altas, a diferencia de aquellos archivos que se almacenaban cerca del inicio del disco.

Sistema de archivos JFS

Detalles específicos

Estructura: el superbloque, el árbol B+, el registro diario (journal), conjuntos de archivos de inodo.

JFS structure

Estructura de JFS

El sistema de archivos JFS utiliza la estructura de árbol B+ para almacenar datos, el registro diario (journal) para hacer un seguimiento de las modificaciones del sistema de ficheros y los inodos para describir archivos. El sistema también es capaz de almacenar varios sistemas de archivos en una sola partición con enlaces al mismo archivo. Los nombres de archivo se pueden guardar en codificaciones Unicode y UTF8.

Eliminación de archivo

Procedimiento: JFS actualiza el contador de usos del objeto y libera su inodo en el mapa de inodos. El directorio se reconstruye para que refleje los cambios.

Recuperación: El inodo del archivo queda en el almacenamiento, lo que aumenta las posibilidades de recuperación de archivos hasta casi el 100%. Las posibilidades de recuperación son bajas sólo para los nombres de archivos.

Formateo

Procedimiento: JFS escribe un árbol nuevo. Es pequeño al principio y se amplía a medida que se usa el sistema de archivos.

Recuperación: las posibilidades para recuperar archivos perdidos después del formateo son bastante altas, debido al pequeño tamaño de un nuevo árbol B+. Además, la numeración de inodos internos aumenta las posibilidades de recuperación sencilla de archivos después del formateo.