Come recuperare una partizione non allocata senza sovrascrivere i dati

Inizia da qui: proteggi la sorgente e preparati al recupero

Tutto ciò che segue dipende da un unico presupposto: nessuna nuova scrittura deve raggiungere il dispositivo fisico interessato fino a quando i dati necessari non siano stati recuperati e convalidati. Completare questa preparazione prima della diagnosi, prima di confrontare le cause e prima di valutare qualsiasi software.

Interrompere qualsiasi attività che comporti la scrittura sul dispositivo:

• download, installazioni e aggiornamenti delle applicazioni che potrebbero interessare il disco in questione;
• copiare file sul dispositivo o su qualsiasi altra partizione dello stesso disco fisico;
• operazioni di backup, sincronizzazione, indicizzazione e antivirus che eseguono scansioni e scritture;
• utility per il disco che riparano, inizializzano, convertono o riscrivono i metadati di layout;
• riavviare ripetutamente il computer nella speranza che Windows corregga il layout.

Prepararsi prima di effettuare la diagnosi:

• un dispositivo fisico diverso con spazio libero sufficiente per i file recuperati e, quando è necessario creare un’immagine, per un’immagine completa della sorgente;
• una documentazione scritta del modello del dispositivo, della capacità, del numero del disco in “Gestione disco”, del tipo di connessione, dell’ordine delle partizioni, delle dimensioni approssimative e dell’evento che ha preceduto il problema;
• una cattura dello stato iniziale di Gestione disco, acquisita senza rivelare numeri di serie o percorsi di file personali;
• password di crittografia, chiavi di ripristino e qualsiasi credenziale necessaria per sbloccare il volume in un secondo momento.

Un’altra partizione sullo stesso disco fisico non è una destinazione sicura. Windows la mostra come una lettera di unità separata, ma le operazioni di scrittura vengono eseguite sullo stesso supporto fisico, in intervalli di settori che il software di recupero potrebbe ancora dover leggere. Il confine di una partizione è una convenzione di layout, non una barriera di scrittura.

Se l’area non allocata si trova sul disco di sistema di Windows, ridurre al minimo l’uso di quel computer. Ogni sessione scrive log, aggiornamenti, file temporanei e dati del file di paging. Ove possibile, spegnere il sistema e collegare il disco a un altro computer come dispositivo secondario, oppure chiedere a un tecnico qualificato di farlo.

Interrompere l’operazione se il dispositivo mostra sintomi di instabilità hardware

Il software non è in grado di correggere un guasto fisico o elettrico. Quando si presentano i sintomi riportati di seguito, interrompere l’operazione e richiedere una valutazione da parte di un professionista invece di proseguire.

• clic, cigolii o ripetuti avviamenti e arresti;
• surriscaldamento percepibile al tatto o segnalato dal sistema;
• disconnessioni ripetute o rilevamenti che compaiono e scompaiono tra una sessione e l’altra;
• una capacità dichiarata che varia o non corrisponde a quella del dispositivo;
• gravi rallentamenti, blocchi del sistema o una scansione che si blocca nella stessa regione;
• errori di lettura ricorrenti che aumentano man mano che il lavoro procede.

Cosa significa “spazio non allocato” in Windows

Windows segnala un intervallo di settori come “Non allocato” quando la struttura attuale del disco non assegna tale intervallo a una voce di partizione riconosciuta. Il rapporto descrive la struttura, non il contenuto. Un’area realmente inutilizzata e un’area la cui voce di partizione è mancante possono apparire identiche in Gestione disco.

L’etichetta non dimostra se il contenuto sottostante sia assente, intatto, sovrascritto, crittografato, troncato o fisicamente leggibile. Per stabilirlo è necessario leggere la regione, non la sua descrizione.

Cinque termini che spesso vengono confusi tra loro:

01Disco fisico

il dispositivo hardware stesso, elencato in Gestione disco come Disco 0, Disco 1 e così via. Si tratta dell’unità che presenta un guasto, si disconnette e di cui viene creata l’immagine

02Partizione

una voce nel layout del disco che riserva un intervallo di settori per l’uso. Quando questa voce manca, l’intervallo viene segnalato come non allocato

03Volume

l’area di archiviazione utilizzabile creata su una partizione, dotata di un file system e di una dimensione che Windows è in grado di montare

04File system

le strutture che registrano la posizione di file e cartelle all’interno del volume, come NTFS, FAT32 o exFAT

05Lettera dell’unità

un comando che rende visibile un volume montato in Esplora file. La sua assenza indica un problema di montaggio, non la prova che i dati siano andati persi

Lo spazio non allocato non è uguale a questi stati adiacenti:

• RAW — la voce della partizione esiste, ma Windows non riesce a identificare un file system montabile su di essa;
• In buono stato senza lettera di unità — il volume è riconosciuto e montabile, ma non gli è stata assegnata una lettera;
• Offline — il disco viene riconosciuto ma non viene deliberatamente messo online a causa di criteri, conflitti di firma o stato della connessione;
• non inizializzata — Windows non rileva alcuno schema di partizionamento utilizzabile sul disco e propone di crearne uno.

Considerare questi quattro termini come sinonimi di “non allocato” porta a intraprendere la prima azione sbagliata, e molte di queste azioni comportano la scrittura sulla sorgente.

Diagnosticare lo stato del disco prima di scegliere un percorso di recupero

Classificate ciò che state effettivamente esaminando prima di accettare qualsiasi raccomandazione, comprese quelle contenute in questa guida. La stessa schermata di Gestione disco può rappresentare diversi problemi con soluzioni diverse.

Esaminare la gestione dei dischi senza apportare modifiche

Aprire Gestione disco in modalità di sola lettura: osservare, registrare e chiudere. Non accettare alcuna richiesta che modifichi la struttura.

• verificare che l’immagine corrisponda al dispositivo fisico per modello, capacità, numero del disco e tipo di connessione prima di trarre qualsiasi conclusione;
• registrare se l’intero disco è non allocato o solo una regione al suo interno;
• registrare l’ordine delle partizioni, le dimensioni, le etichette, i file system e il testo esatto dello stato visualizzato da Windows;
• confronta le dimensioni e la posizione approssimative della regione con la struttura che ricordi, considerando una corrispondenza ravvicinata come un’ipotesi piuttosto che come una prova;
• annullare la richiesta di inizializzazione ogni volta che il disco conteneva precedentemente dei dati o la cui storia è incerta;
• lascio inalterate tutte le azioni del menu contestuale che creano, eliminano, estendono, convertono o formattano.

Abbinare lo stato osservato al passo successivo più sicuro

Individuare la riga che corrisponde a quanto osservato. Ogni stato comporta un proprio passo successivo e un proprio elenco di azioni da evitare; la formulazione dello stato è più importante del tipo di dispositivo.

Nessuna di queste righe costituisce una diagnosi. Ciascuna rappresenta una classificazione iniziale che indica quali prove raccogliere successivamente e quali azioni potrebbero distruggere tali prove.

Scegliere tra scansione diretta, creazione di immagine o valutazione professionale

La seconda decisione riguarda il modo in cui leggere la sorgente, non ciò che la sorgente mostra. Questi tre percorsi presentano condizioni di idoneità diverse.

Un rapporto SMART senza anomalie non garantisce che il dispositivo sia integro e la creazione di un’immagine non è universalmente sicura. Entrambi sono elementi da considerare nella decisione, non autorizzazioni a procedere.

Perché una partizione può apparire come non allocata

Le cause si suddividono in gruppi e ciascun gruppo lascia tracce diverse. Non trarre conclusioni sulla causa basandosi esclusivamente sull’etichetta di Gestione disco; cerca le prove a conferma accanto ad essa.

Cancellazione o voce di partizione mancante

Confermata da una recente operazione di partizionamento, una sessione di gestione del disco, un programma di installazione che ha offerto di gestire le partizioni o un’area la cui dimensione e posizione corrispondono al volume precedente

Operazione di layout interrotta

Confermato da un’operazione di ridimensionamento, clonazione, conversione, installazione o partizionamento che si è interrotta prematuramente, ha subito un’interruzione di corrente o ha segnalato un errore prima del completamento

Corruzione dei metadati di layout

Confermato da un crash del software, uno spegnimento imprevisto, una rimozione non sicura o un problema al controller o al cavo verificatosi più o meno nel momento in cui l’area è scomparsa

Layout multidisco non supportato o assemblato in modo incompleto

Corroborata da un array RAID, un set di dischi dinamici o un pool di Storage Spaces i cui membri non sono tutti presenti, oppure da un disco che è stato rimosso dal controller o dall’alloggiamento originale

Crittografia o traduzione del controller

Confermata da un prodotto di crittografia in uso, da un enclosure con crittografia hardware, da un’unità con crittografia automatica o da un adattatore che presenta i settori in modo diverso rispetto all’host originale

Instabilità fisica di lettura

Confermato da clic, disconnessioni, rilevamento intermittente, errori di lettura crescenti o una capacità non plausibile per il dispositivo

Un’area realmente inutilizzata

Confermata da un nuovo dispositivo, da una struttura documentata che ha intenzionalmente lasciato spazio libero o da una cronologia di acquisto e configurazione che tiene conto di quella regione

Possono essere presenti diverse cause contemporaneamente. Quando le prove puntano in due direzioni, considerare l’interpretazione più distruttiva come ipotesi di lavoro e preservare la sorgente di conseguenza.

Scegliere il risultato del recupero effettivamente necessario

Decidete quale di questi quattro obiettivi volete raggiungere prima di iniziare. Presentano prerequisiti e rischi diversi, e il ritrovamento dei file non garantisce che la partizione originale possa essere ripristinata.

L’ordine è importante. I risultati tre e quattro sono ragionevoli solo dopo che il risultato uno è stato completato e convalidato in modo indipendente.

Come recuperare i dati dallo spazio non allocato in modo sicuro

Questa è la procedura fondamentale per il recupero dei dati dallo spazio non allocato quando il caso è di natura logica e il dispositivo è stabile. Completare prima la sezione dedicata alla preparazione; questi passaggi presuppongono che non vengano effettuate operazioni di scrittura sulla sorgente.

Creare un'immagine quando è necessario preservare la sorgente

Un’immagine è una copia a livello di settore della sorgente memorizzata su un altro dispositivo. L’analisi dell’immagine anziché dell’originale riduce le letture ripetute da hardware che potrebbe non essere in grado di leggere due volte e consente di ripetere l’analisi senza dover accedere nuovamente alla sorgente.

Creare prima un’immagine quando:

• i dati sono talmente importanti da rendere necessario un secondo tentativo;
• si prevede di eseguire più di una scansione, modalità o confronto;
• la sorgente ora viene letta in modo coerente, ma non si può dare per scontato che continuerà a farlo;
• È disponibile un dispositivo fisico separato con capacità sufficiente per l’immagine completa.

Verificare esplicitamente entrambe le identità prima di iniziare: la sorgente in base al modello, alla capacità e al numero del disco, e la destinazione come dispositivo fisico diverso con spazio libero sufficiente. Una immagine scritta su una destinazione errata è un’operazione distruttiva.

Interrompere la creazione dell’immagine e rivalutare la situazione se il numero di errori aumenta, il dispositivo si disconnette durante la copia, la velocità di trasferimento crolla o la capacità riportata cambia. La creazione dell’immagine comporta la lettura di ogni settore, quindi un dispositivo instabile viene sollecitato dal processo anziché protetto da esso.

Individuare le partizioni o eseguire la scansione dei file senza scrivere sulla sorgente

Selezionare la sorgente con attenzione. Verificare il disco o l’immagine selezionati in base al modello e alla capacità piuttosto che alla lettera di unità, poiché la regione interessata non ha una lettera da selezionare.

Spesso tre operazioni diverse vengono descritte con lo stesso termine:

• Rilevamento delle partizioni cerca tracce dei precedenti confini delle partizioni e dell’identità del file system;
• scansione del file system legge le strutture riconoscibili del file system per ricostruire l’albero delle cartelle;
• recupero di file raw ignora la struttura e riconosce i file in base alle loro firme interne, solitamente senza i nomi o le cartelle originali.

Utilizzate solo modalità di scansione che avete verificato non modifichino la sorgente e mantenete il risultato in forma virtuale finché non lo avete valutato. La fase di individuazione restituisce spesso diversi candidati — vecchi layout, duplicati e intervalli sovrapposti — e la loro presenza in un elenco non è prova che uno di essi sia corretto.

Una volta che il caso appare logico e il dispositivo è stabile, DiskInternals Partition Recovery è un’opzione per l’individuazione delle partizioni e la scansione dei file su Windows. È possibile scaricare una versione di prova gratuita dalla pagina del prodotto; il salvataggio dei file recuperati potrebbe richiedere una licenza: verificare i termini attuali riportati in quella pagina prima di fare affidamento su di essi.

Anteprima dei risultati e verifica della loro plausibilità

Visualizza in anteprima file rappresentativi di diversi tipi, laddove l’anteprima sia supportata: un documento, una foto, un video e qualcosa dalla cartella che ti interessa di più. Un candidato che non mostra alcuna anteprima non è necessariamente sbagliato, ma un candidato che mostra contenuti significativi è decisamente più valido.

Confronta ogni candidato con ciò che già conosci:

• dimensione approssimativa e posizione relativa al layout registrato in precedenza;
• tipo di file system e etichetta del volume, ove riportati;
• struttura ad albero delle cartelle — i nomi delle cartelle di primo livello che si riconoscono hanno un peso maggiore rispetto al numero di file;
• timestamp che rientrano in un intervallo plausibile anziché nei valori predefiniti dell’epoca.

Un’anteprima riuscita non garantisce la completa integrità. Considerate i candidati sovrapposti, le date non plausibili, le strutture di cartelle che mescolano contenuti non correlati e gli errori diffusi nell’anteprima come motivi per un’ulteriore analisi piuttosto che come rumore da ignorare.

Recuperare i file selezionati su un altro dispositivo fisico

Prima di salvare qualsiasi cosa, verificare ancora una volta che la destinazione sia un dispositivo fisico diverso: non un’altra partizione, non una cartella mappata che rimanda allo stesso disco e non un disco virtuale memorizzato sulla sorgente.

Quando la stabilità della sorgente, il tempo a disposizione o la capacità della destinazione sono limitati, procedere al recupero in ordine di priorità:

• materiale insostituibile: documenti, foto e registrazioni che non esistono altrove;
• quindi dati che sarebbero costosi da riprodurre;
• qualsiasi cosa che possa essere scaricata, reinstallata o rigenerata in un secondo momento.

Mantenere la sorgente o l’immagine inalterate fino al completamento della convalida. Un’operazione di copia completata segnala che i byte sono stati scritti, non che i file siano utilizzabili.

Convalidare i file recuperati prima di modificare il disco

La convalida è una fase separata e avviene prima di qualsiasi modifica al disco:

• apri i file rappresentativi con le applicazioni che normalmente li gestiscono, non con un riquadro di anteprima;
• verificare il contenuto previsto, le dimensioni dei file, le date significative e se le cartelle contengono ciò che dovrebbero;
• confronta i checksum quando è disponibile un originale attendibile o un backup precedente;
• verificare i file critici in modo indipendente e conservarne più di una copia;
• registrare ciò che manca, è danneggiato, non ha nome o è stato recuperato solo parzialmente.

Il controllo a campione di un file non dimostra che tutti i file non testati siano intatti. Considerate il registro degli errori come parte del risultato: è ciò che vi indica se vale la pena eseguire un secondo tentativo dall’immagine prima di sostituire il disco.

Decidere se il ripristino della partizione è giustificato

Il ripristino scrive una voce di partizione sulla sorgente. Si tratta di una modifica della struttura, non di un’operazione di recupero, ed è giustificato solo quando si verificano tutte le seguenti condizioni.

• i file importanti siano già stati recuperati e verificati in modo indipendente;
• se vi è un elevato grado di certezza riguardo ai confini e all’identità del file system del candidato;
• nessun altro candidato si sovrapponga allo stesso intervallo;
• il disco presenta una struttura semplice a disco singolo senza crittografia irrisolta.

Un inserimento errato può nascondere volumi validi, disallineare il file system e complicare ogni successivo tentativo di recupero. I candidati ambigui, i volumi crittografati, gli intervalli sovrapposti e le configurazioni a più dischi devono essere gestiti da uno specialista. Questa guida non fornisce una procedura di write-back, poiché il ripristino non è un’operazione di routine e una procedura generica è la causa principale dei danni evitabili.

Risoluzione dei problemi relativi a risultati incompleti o contrastanti

È normale ottenere risultati incompleti e la maggior parte di essi indica un controllo specifico da effettuare successivamente piuttosto che un fallimento. Le regole di preparazione rimangono valide in ogni fase: nessuna scrittura sulla sorgente e nessun salvataggio sul dispositivo interessato.

Azioni che riducono le opzioni di recupero

Queste sono le operazioni che più spesso trasformano un caso recuperabile in uno irrecuperabile.

Inizializzazione del disco

Scrive un nuovo schema di partizionamento e può sostituire le informazioni di layout che sarebbero state utilizzate durante l’acquisizione

Formattazione

Crea nuove strutture del file system sulla regione, il che può spostare le strutture che una scansione deve leggere

Creazione di un nuovo volume

Scrive una voce di partizione e i metadati del file system esattamente nell’intervallo oggetto di indagine

Estensione di un volume adiacente

Assorbe l’intervallo non allocato in un altro volume e vi scrive i metadati relativi al layout e al file system

Esecuzione DiskPart clean

Rimuove le informazioni di layout dal disco e non è un comando diagnostico

Conversione del disco

Riscrive lo schema di partizionamento, anche tra MBR e GPT, e modifica le posizioni in cui ci si aspetta che si trovino le strutture

Ripetizione delle scansioni su un dispositivo instabile

Aumenta lo stress da lettura senza aggiungere prove e potrebbe chiudere la finestra temporale in cui il dispositivo è ancora leggibile

Salvataggio dei file recuperati sulla sorgente

Scrive nuovi dati negli intervalli di settori da cui il recupero dipende ancora

Rendere lo spazio utilizzabile solo dopo aver verificato la validità del recupero

L’allocazione dello spazio è l’ultimo passaggio ed è secondaria rispetto a tutto quanto descritto sopra. Essa sovrascrive la regione con nuove strutture e non costituisce un’azione di recupero.

Procedere solo quando tutte le condizioni riportate di seguito sono soddisfatte:

• i file necessari siano stati recuperati e convalidati in modo indipendente;
• il dispositivo fisico corretto e i confini della regione sono stati confermati;
• I record di recupero e qualsiasi immagine di origine vengono conservati, non eliminati per liberare spazio;
• nessun candidato irrisolto e nessun volume valido adiacente rimane a rischio.

Creare un nuovo volume solo nello spazio vuoto verificato

La creazione di un volume comporta la scrittura di una voce di partizione e di un nuovo file system nell’intervallo. Eseguite questa operazione solo dopo aver accertato che non vi siano più dati necessari in quella zona e solo sul dispositivo che avete identificato per modello e capacità. Se sussiste qualche dubbio sulla correttezza di una scelta, conservate l’immagine e rimandate la decisione: l’area sarà ancora lì domani, mentre le prove non sopravvivranno alla formattazione.

Estendere un volume esistente solo se il layout lo supporta

Estensione del layout di scrittura e dei metadati del file system nell’intervallo assorbito. È valida solo per un layout compatibile e verificato, in genere quando la regione non allocata è adiacente al volume e il file system supporta l’espansione. Non tutte le regioni non allocate possono essere unite a una vicina, e un tentativo di estensione su un layout errato comporta una scrittura proprio nell’area di cui potresti ancora aver bisogno.