Odzyskiwanie plików z FAT16/FAT32: co da się uratować ze starych dysków

FAT16 i FAT32 – specyfika starych systemów plików a odzyskiwanie danych

Dlaczego FAT16/FAT32 są inne niż współczesne systemy plików

Odzyskiwanie plików z FAT16 i FAT32 rządzi się nieco innymi prawami niż praca z dyskami NTFS czy nowoczesnymi systemami plików w stylu ext4, APFS czy Btrfs. FAT powstał w czasach, gdy dyski miały po kilkadziesiąt lub kilkaset megabajtów, a nikt nie myślał o dyskach SSD czy nośnikach o pojemności liczonej w terabajtach. To prosta struktura oparta na tabeli alokacji, bez dziennika, bez złożonych mechanizmów zabezpieczających.

Ta prostota ma dwie twarze. Z jednej strony łatwiej „ręcznie” zrozumieć i analizować to, co dzieje się na dysku: gdzie są katalogi, gdzie klastry, jak wygląda łańcuch danych. Z drugiej strony brak dziennika i mechanizmów transakcyjnych oznacza, że każdy błąd, nagłe odcięcie zasilania czy uszkodzenie sektora może trwale nadpisać część metadanych bez prostego sposobu ich odtworzenia.

Odzyskiwanie danych z FAT w praktyce opiera się na kilku filarach: zrozumieniu struktury katalogów, odczytaniu lub rekonstrukcji tablicy alokacji (FAT), analizie ciągłości klastrów oraz rozpoznawaniu sygnatur plików. Im lepiej znane są ograniczenia i specyfika FAT16/FAT32, tym większa szansa na uratowanie plików ze starego dysku, karty pamięci, pendrive’a czy dyskietki ZIP.

Różnice między FAT16 a FAT32 z punktu widzenia odzyskiwania

FAT16 i FAT32 różnią się przede wszystkim rozmiarem wpisów w tablicy alokacji (16 vs 28 bitów faktycznie użytecznych) oraz maksymalną liczbą klastrów. W praktyce oznacza to różną maksymalną pojemność partycji i inne rozmiary klastra typowe dla danego rozmiaru dysku. Dla odzyskiwania istotne są m.in.:

• Rozmiar klastra – w FAT16 typowe są duże klastry (np. 32 KB, 64 KB), co sprawia, że nawet mały plik „zajmuje” więcej przestrzeni i jest bardziej wrażliwy na uszkodzenia pojedynczych sektorów.
• Struktura katalogów – w obu systemach katalogi to w gruncie rzeczy specjalny typ pliku zawierający wpisy 32-bajtowe; jednak max liczba plików w głównym katalogu FAT16 bywała ograniczona (szczególnie na partycjach DOS-owych).
• Rozmiar samej tablicy FAT – w FAT32 jest ona większa, ale daje też więcej informacji (więcej klastrów do zarządzania), co ułatwia rekonstrukcję łańcuchów.

Dla osoby odzyskującej dane kluczowe jest poprawne rozpoznanie, czy ma do czynienia z FAT16 czy FAT32, bo narzędzia i ustawienia skanowania (np. rozmiar klastra) muszą odpowiadać realnej strukturze woluminu. Błędne założenia prowadzą do „poszatkowanych” odzyskanych plików, które wyglądają na uszkodzone, choć na dysku dane mogły być jeszcze w całości.

Co typowo spotyka się w praktyce retro i archiwizacji

Systemy FAT16/FAT32 dominowały na:

• dyskach twardych komputerów z DOS, Windows 3.x, Windows 95/98/Me,
• kartach pamięci starszych aparatów cyfrowych (FAT16), później FAT32,
• pendrive’ach z pierwszej dekady XXI wieku,
• dyskach wymiennych typu ZIP, JAZ, LS-120,
• kartach pamięci w konsolach, handheldach i odtwarzaczach MP3.

Przy takich nośnikach często spotyka się problemy: „dysk wymaga sformatowania”, „system plików RAW”, brak literki dysku, błędne rozmiary partycji, znikające katalogi. W większości przypadków przyczyną nie jest natychmiastowe zniknięcie wszystkich danych, lecz uszkodzenie fragmentu struktury systemu plików FAT. To dobra wiadomość – prawidłowa procedura i odpowiednie narzędzia pozwalają uratować sporo, a czasem niemal wszystko.

Jak działa FAT16/FAT32 i co to oznacza dla utraty danych

Struktura woluminu FAT – kluczowe elementy

Każdy wolumin FAT składa się z kilku podstawowych obszarów. Zrozumienie ich roli mocno ułatwia analizę tego, co da się uratować:

1. Sektor rozruchowy (Boot Sector) – zawiera informacje o rozmiarze sektora, klastrów, położeniu tablic FAT, rozmiarze systemu plików. Jego uszkodzenie bywa krytyczne, ale często da się go zrekonstruować na podstawie kopii lub analizy struktury.
2. Tablica lub tablice FAT – jedna lub dwie kopie mapy alokacji klastrów. Każdy wpis FAT informuje, który klaster jest zajęty, wolny, uszkodzony, ewentualnie wskazuje kolejny klaster w łańcuchu pliku.
3. Obszar katalogów (root + podkatalogi) – katalog główny i struktura podkatalogów przechowują wpisy z nazwami plików, datami, atrybutami i numerami startowych klastrów.
4. Obszar danych – właściwe dane plików, ułożone w klastrach, których kolejność jest opisana za pomocą tablicy FAT.

Jedna uszkodzona tablica FAT nie przekreśla szans na odzysk, o ile druga jest w lepszym stanie albo da się odtworzyć łańcuchy klastrów na podstawie analizy kolejności danych. Znacznie gorzej jest, gdy uszkodzone są zarówno tablice FAT, jak i katalogi, bo wtedy traci się zarówno mapę, jak i „spis treści”.

Kasowanie plików na FAT – co się faktycznie dzieje

Przy zwykłym usunięciu pliku w systemie operacyjnym (np. DOS, Windows 9x) nie dochodzi do natychmiastowego nadpisania danych. Zazwyczaj:

• w katalogu pierwszy znak nazwy pliku jest oznaczany specjalnym symbolem (np. 0xE5), co informuje, że wpis jest usunięty,
• łańcuch klastrów w tablicy FAT jest oznaczany jako wolny, ale same dane w obszarze danych pozostają niezmienione, dopóki system nie przydzieli tych klastrów innemu plikowi.

Dzięki temu odzyskiwanie skasowanych plików z FAT jest często skuteczne – dopóki nie zostaną nadpisane przez nowe dane. Źródłem problemów są operacje takie jak defragmentacja, zgrywanie nowych plików, intensywne korzystanie z dysku po usunięciu. W świecie retro plików zwykle już się nie nadpisuje, bo nośnik długo leżał w szufladzie – co paradoksalnie sprzyja odtwarzaniu.

Formatowanie i uszkodzenia logiczne w FAT

Inaczej wygląda sytuacja przy formatowaniu. Szybkie formatowanie w FAT zazwyczaj:

• nadpisuje sektor rozruchowy nowymi parametrami,
• inicjalizuje tablicę FAT, uznając wszystkie klastry za wolne,
• czyści lub tworzy od nowa katalog główny.

Jednak ogromna część obszaru danych pozostaje nietknięta. W praktyce daje to duże pole do popisu narzędziom typu file carving, które rozpoznają sygnatury plików (np. JPEG, ZIP, DOC) i odtwarzają je bez wsparcia ze strony tablicy FAT. Problemem bywa brak pierwotnej nazwy pliku i struktury katalogów, ale same dane da się bardzo często uratować.

Pełne formatowanie z nadpisaniem sektorów znacznie ogranicza możliwości. Starsze narzędzia DOS-owe potrafiły jednak wykonywać pełny format w sposób bardziej „powierzchowny” (testowanie i znakowanie sektorów), zostawiając fragmenty danych. Tu liczy się szczegół – nazwa narzędzia, system operacyjny, wybrane opcje formatowania.

Typowe scenariusze uszkodzeń starych dysków FAT16/FAT32

Uszkodzenia logiczne: system plików RAW, błędny rozmiar partycji

Przy podłączaniu starego dysku do współczesnego komputera pojawiają się komunikaty w stylu „Dysk nie jest sformatowany” albo system widzi partycję jako RAW. Takie objawy zazwyczaj oznaczają:

• uszkodzony sektor rozruchowy,
• uszkodzoną tablicę partycji MBR lub wpisy w tablicy partycji rozszerzonych,
• nietypowy lub nieprawidłowy geometrycznie rozmiar partycji, którego współczesny system nie potrafi zinterpretować.

W takich sytuacjach nie należy zgadzać się na „naprawę” oferowaną przez system operacyjny (np. formatowanie, inicjalizację dysku, zmiany schematu partycjonowania). Zamiast tego najlepiej zatrzymać się na etapie tylko-odczyt, wykonać kopię sektor po sektorze (o ile to możliwe), a dopiero potem próbować przywracać tablice partycji i boot sector.

Uszkodzenia fizyczne: bad sektory, stukanie głowicy, problemy z elektroniką

Stare dyski twarde cierpią na typowe dolegliwości: utlenione styki, problemy z zasilaniem, starzejące się kondensatory, mechaniczne zużycie łożysk, uszkodzone głowice. Z punktu widzenia odzyskiwania plików z FAT16/FAT32 najbardziej niebezpieczne są:

• postępujące bad sektory – obszary, których nie da się odczytać albo które podczas kolejnych prób „rozsypują się” coraz bardziej,
• niestabilne działanie dysku – dysk znika z systemu, przerywa transfer, nagrzewa się i traci komunikację,
• uszkodzenia w obszarze systemu plików – jeżeli bad sektory trafią w tablicę FAT lub obszar katalogów, odczyt metadanych staje się bardzo utrudniony.

W takich przypadkach każde kolejne uruchomienie dysku bez przygotowania może zmniejszać szanse na odzysk. Nawet jeśli celem jest tylko jeden folder z dokumentami, sensowniej jest od razu wykonać klon sektorowy na drugi nośnik (z użyciem narzędzi tolerujących błędy) i dopiero na kopii próbować odczytywać strukturę FAT.

Specyficzne problemy nośników flash (karty, pendrive’y)

Choć mieszczą się w kategorii „starych nośników”, pendrive’y i karty pamięci działają zupełnie inaczej niż dyski talerzowe. Kontroler w środku zarządza rozkładaniem zapisów po kościach flash i ukrywa logikę przed użytkownikiem. Typowe problemy to:

• nagła utrata dostępu – urządzenie zgłasza się, ale system wymaga formatowania,
• drastyczne spowolnienie odczytu i zapisu,
• zniknięcie części katalogów lub plików, błędne nazwy.

Przy FAT16/FAT32 zaimplementowanym na takich nośnikach uszkodzeniu może ulec głównie wewnętrzne tłumaczenie adresów, a nie same dane. Poziom skomplikowania odzysku bezpośrednio ze złącz pamięci flash jest zdecydowanie wyższy i wymaga specjalistycznego sprzętu. Na poziomie software’owym można jednak nadal wiele zdziałać, jeśli kontroler poprawnie obsługuje odczyt sektorowy.

Przygotowanie do odzyskiwania danych z FAT16/FAT32

Bezpieczeństwo danych – czego bezwzględnie unikać

Przy pracy ze starymi dyskami i systemem FAT kilka błędów powtarza się jak mantra. Te najgroźniejsze to:

• Formatowanie nośnika „żeby Windows go zobaczył” – szybkie formatowanie FAT na wierzchu starej struktury może nadpisać kluczowe fragmenty, utrudniając analizę.
• Chkdsk /f, Scandisk z automatyczną naprawą – te narzędzia coś „naprawią”, ale często oznacza to, że tworzą nowe katalogi, zmieniają łańcuchy klastrów, przerzucają uszkodzone fragmenty do katalogu FOUND.000 i nadpisują informację o pierwotnych strukturach.
• Zapis jakichkolwiek nowych plików na uszkodzonym nośniku – nowe dane nadpisują klastry, które mogły należeć do plików przeznaczonych do odzysku.

Najbezpieczniejszym podejściem jest traktowanie starego dysku czy karty jako źródła tylko do odczytu. Nawet jeśli system umożliwia zapis, nie należy z niego korzystać. Każda operacja typu „naprawa błędów” powinna być robiona dopiero na kopii sektorowej, nigdy na oryginale.

Kluczowy krok: kopia sektor po sektorze

Niezależnie od tego, czy nośnik jest względnie stabilny, czy widać już problemy, najlepszym rozwiązaniem jest wykonanie obrazu (image) dysku:

• obraz zapisuje się jako pojedynczy plik (np. .img, .dd),
• specjalistyczne narzędzia potrafią kontynuować kopiowanie mimo błędów, wielokrotnie próbować odczytu uszkodzonych sektorów i omijać krytyczne miejsca,
• analiza systemu plików prowadzona jest później na obrazie, co eliminuje ryzyko pogorszenia stanu oryginału.

Dobór narzędzi do kopii i analizy FAT16/FAT32

Do pracy z obrazami sektorowymi i analizą systemów FAT przydają się zarówno narzędzia linuksowe, jak i wyspecjalizowane programy dla Windows. W praktyce najczęściej używane są:

• dd, ddrescue, HDDSuperClone – do tworzenia kopii sektor po sektorze, z obsługą błędów i ponownych prób odczytu,
• TestDisk – do rekonstrukcji tablic partycji, boot sectorów i niektórych uszkodzeń FAT,
• PhotoRec – do odzysku plików metodą file carving z obrazów dysków lub bezpośrednio z nośnika,
• forensyczne przeglądarki systemów plików (np. Autopsy/The Sleuth Kit, X-Ways Forensics) – bardziej rozbudowane, ale pozwalają dokładniej obejrzeć strukturę FAT i katalogów.

Prosty scenariusz: najpierw klonowanie nośnika narzędziem tolerującym bad sektory, potem praca z obrazem w TestDisk/PhotoRec albo innym programie, bez fizycznego dotykania starego dysku.

Parametry kopii – kiedy wystarczy prosty obraz, a kiedy potrzebny jest zaawansowany klon

Niekiedy wystarczy jednorazowy zrzut dd, ale przy niestabilnych dyskach lepiej od razu użyć narzędzia radzącego sobie z błędami. Kilka praktycznych wskazówek:

• Dyski bez bad sektorów – można użyć klasycznego dd if=/dev/sdX of=dysk.img bs=4M conv=noerror,sync lub graficznego narzędzia typu Clonezilla.
• Dyski z błędami odczytu – lepszy wybór to ddrescue: najpierw szybki przebieg omijający trudne sektory, potem dopiero intensywne próby ich odczytu na końcu procesu.
• Bardzo niestabilne dyski – przy symptomach typu znikanie w trakcie pracy, stukanie, nagłe zatrzymania – czasem sensowne jest sklonowanie tylko początku dysku (MBR, tablice FAT, katalogi), by jak najszybciej pozyskać metadane, a później walczyć o dalszą część danych.

Przy tworzeniu obrazu warto od razu notować dokładny model dysku, pojemność raportowaną przez BIOS/OS, typ interfejsu (IDE, SATA, USB) i każdy nietypowy objaw – te informacje często wyjaśniają, czemu niektóre narzędzia widzą inny rozmiar lub dziwne granice partycji.

Ręczna analiza struktury FAT na obrazie

Gdy obraz jest gotowy, kolejny krok to obejrzenie go na spokojnie. Do prostych inspekcji wystarczy fdisk -l czy parted na Linuksie lub odpowiedniki pod Windows, które pokażą, jakie partycje system dostrzega w pliku obrazu (po zamapowaniu np. przez losetup lub narzędzia typu OSFMount).

Typowy schemat pracy wygląda tak:

1. Sprawdzenie tablicy partycji – czy istnieją wpisy dla partycji FAT16/FAT32, czy ich rozmiary są sensowne (mieszczą się w całej pojemności obrazu).
2. Odczyt pierwszych sektorów partycji – weryfikacja boot sectora (podpis 0x55AA, parametry BPB, informacje o liczbie sektorów, rozmiarze klastra itp.).
3. Porównanie parametrów z danymi katalogowymi – czy pierwsze klastry katalogu głównego i tablic FAT zgadzają się z tym, co wynika z BPB.

Jeśli sektor rozruchowy jest uszkodzony, bywa, że w dalszej części partycji zachował się sektor kopii boot sectora (w FAT32 często w sektorze 6). Wtedy przydają się narzędzia umożliwiające ręczne podmienienie lub „wskazanie” poprawnego boot sectora programowi analizującemu.

Odzyskiwanie plików z zachowaną strukturą FAT

Gdy tablica FAT jest w dużej mierze cała

Najłatwiejszy przypadek to sytuacja, w której tablica FAT i katalogi są tylko częściowo uszkodzone albo występują na dysku drobne błędy logiczne. Odczyt starych łańcuchów klastrów jest wówczas możliwy praktycznie „od ręki”.

W takich przypadkach sprawdzają się programy specjalizujące się w FAT, które:

• odtwarzają strukturę katalogów na podstawie wpisów katalogowych,
• ignorują błędy typu „wiszące klastry” czy niepoprawne wskaźniki końca łańcucha,
• pozwalają ręcznie poprawiać niektóre pola (np. początkowy klaster pliku).

Kiedy katalog główny jest nienaruszony, ale uszkodzone są katalogi podrzędne, duża część nazw plików i układu folderów może zostać zachowana. Zwykle problemem stają się pojedyncze podkatalogi, których wpisy trafiły na bad sektory – wtedy pliki z tych katalogów będzie trzeba odzyskiwać bardziej „na piechotę”, czasem bez oryginalnych nazw.

Odczyt plików fragmentarycznych

Jeżeli część łańcuchów klastrów jest przerwana, nie oznacza to automatycznie pełnej utraty pliku. Często da się wydobyć pierwsze lub środkowe fragmenty:

• w plikach tekstowych i dokumentach TXT/RTF da się wyłowić zawartość między uszkodzonymi miejscami,
• w archiwach ZIP bez niektórych fragmentów bywają do uratowania pojedyncze pliki z wnętrza archiwum,
• w zdjęciach JPEG brak fragmentu danych skutkuje „ucięciem” obrazu w pewnym miejscu lub artefaktami, ale część kadru pozostaje poprawna.

Zdarza się, że program do odzyskiwania przerywa proces, widząc uszkodzony łańcuch. Warto wtedy skorzystać z innego narzędzia, które pozwala wymusić odczyt do konkretnej liczby klastrów lub do napotkania nienaprawialnego błędu I/O, zamiast polegać wyłącznie na informacjach z FAT.

Rekonstrukcja nazwy i czasu modyfikacji

Nawet przy dość zniszczonej tablicy FAT w katalogach często zachowują się:

• pełne nazwy plików (8.3 i długie nazwy LFN),
• daty utworzenia i modyfikacji,
• atrybuty (archiwalny, ukryty, systemowy, tylko do odczytu).

Narzędzia potrafią przypisać odtworzone dane do wpisów katalogowych według klastrów początkowych. Gdy sam łańcuch jest częściowo uszkodzony, plik bywa zapisywany w postaci skróconej, ale z zachowaną nazwą i metadanymi, co potem ułatwia ręczne sortowanie odzyskanych materiałów.

Odzyskiwanie plików przy silnie uszkodzonej FAT

Gdy katalogi istnieją, ale łańcuchy klastrów są nieczytelne

Częsty scenariusz: katalogi dają się odczytać, widać listę plików, ale próba skopiowania ich kończy się błędami, bo tablica FAT ma zbyt wiele przerw lub losowe wartości. W takiej sytuacji można:

• ręcznie odtworzyć łańcuchy na podstawie ciągłych obszarów danych – dla plików zapisanych sekwencyjnie (bez fragmentacji) wystarczy znać początkowy klaster i przybliżony rozmiar,
• posłużyć się narzędziami analizującymi ciągłość klastrów – niektóre programy wykrywają, że plik o danym rozmiarze leży w jednym kawałku, nawet gdy FAT jest uszkodzona.

Typowy przykład z praktyki: partycja FAT32 z uszkodzoną pierwszą tablicą FAT, gdzie jako „źródło prawdy” wykorzystano drugą kopię FAT oraz założenie, że duże pliki wideo były nagrywane jednorazowo, więc danych szukano w postaci ciągłego zakresu klastrów bez przerw.

File carving – odzysk bez FAT i katalogów

Gdy katalogi i tablice FAT są w strzępach, pozostaje metoda rozpoznawania plików po sygnaturach. File carving polega na:

1. przeskanowaniu obszaru danych sektor po sektorze,
2. szukaniu charakterystycznych sekwencji bajtów oznaczających początek pliku (np. FF D8 FF dla JPEG, 50 4B 03 04 dla ZIP),
3. próbie określenia końca pliku na podstawie specyfikacji formatu lub następnych sygnatur.

Taka metoda ma ograniczenia:

• nie odtwarza struktury katalogów ani nazw – pliki nazywane są zwykle numerami, np. f0001234.jpg,
• gorzej radzi sobie z silnie pofragmentowanymi plikami – granice między fragmentami bywają trudne do automatycznego wykrycia,
• bywa czasochłonna przy dużych dyskach, ponieważ analizowany jest każdy sektor.

Mimo to do zdjęć, dokumentów biurowych, archiwów i plików PDF carving potrafi uratować zaskakująco dużo, zwłaszcza na nośnikach, które po awarii były pozostawione w spokoju.

Łączenie carvingu z resztkami informacji z FAT

Ciekawy efekt daje połączenie obu podejść. Nawet mocno uszkodzona FAT może dostarczyć informacji o tym, które obszary dysku są „wolne”, a które należały do plików. Niektóre narzędzia:

• najpierw analizują wpisy katalogowe,
• szacują potencjalne przedziały klastrów zajętych przez konkretne pliki,
• a dopiero wewnątrz tych przedziałów stosują carving, by posklejać części pliku.

Efektem bywa odzysk pliku z zachowaniem nazwy oraz daty, mimo że klasyczny carving zapisałby go jako anonimowy plik numerowany.

Specyfika odzyskiwania różnych typów danych na FAT

Dokumenty biurowe i pliki tekstowe

Pliki tekstowe, .DOC, .DOCX, .XLS, .ODT i podobne są zwykle kompaktowe i mają charakterystyczne nagłówki, co pomaga w carvingu. Problemem bywa fragmentacja i uszkodzone środki pliku. Nawet wtedy:

• często udaje się wyodrębnić nagłówki i początkowe strony dokumentu,
• tekst w formacie Unicode lub ANSI można „wydłubać” nawet z częściowo uszkodzonego pliku, analizując czysty ciąg bajtów,
• w starych formatach (Word 6/95, Word 97) możliwa jest naprawa struktury pliku w samym Wordzie po odzyskaniu uszkodzonego pliku z dysku.

Przy ważnych dokumentach sensowne jest zachowanie kilku wariantów odzyskanego pliku (z różnych prób czy narzędzi), bo każdy z nich może mieć inne, zachowane fragmenty treści.

Zdjęcia i grafika

Stare karty pamięci i dyski z aparatów cyfrowych to głównie JPEG, sporadycznie RAW-y. Dla FAT16/FAT32 typowe są:

• względnie ciągłe zapisanie plików (jeśli karta była wcześniej formatowana w aparacie),
• plik po pliku zapisywane sekwencyjnie, dopóki nie zabrakło miejsca.

To idealne środowisko dla carvingu: odnalezienie sygnatury JPEG na początku klastra i szukanie końca znacznika FF D9. Problematyczne są sytuacje, gdy:

• na karcie lub dysku wykonywano wiele cykli kasowania i dogrywania nowych zdjęć,
• aparat lub czytnik korzystał z nietypowych rozwiązań (nietrwałe firmware, własny sposób zarządzania plikami).

Przy RAW-ach (CR2, NEF, DNG i inne) uszkodzony koniec pliku zwykle uniemożliwia jego pełne otwarcie w programach graficznych, ale narzędzia specjalistyczne potrafią z takich szczątków odzyskać przynajmniej podgląd lub wyeksportować część klatki.

Pliki multimedialne: wideo i audio

Pliki wideo AVI, MPEG, MP4 przechowywane na FAT są zwykle duże i bardziej podatne na fragmentację. Typowe efekty uszkodzeń:

• brak nagłówka kontenera – plik w ogóle nie otwiera się w odtwarzaczu,
• brak końcowych indeksów (np. moov atom w MP4) – plik odtwarza się tylko częściowo, nie można przewijać,
• dziury w środku strumienia – artefakty obrazu, „zamrożenie” kadru, brak dźwięku w fragmentach.

Po odzyskaniu samego ciągu bajtów wideo często potrzebuje jeszcze naprawy narzędziami typu ffmpeg, mp4box czy wyspecjalizowanymi programami do naprawy kontenerów. Przy nagraniach z kamer cyfrowych czasem udaje się odtworzyć tylko jedną ścieżkę – np. sam dźwięk bez obrazu lub odwrotnie.

Pliki wykonywalne i archiwa

Stare programy DOS/Windows na FAT (pliki .EXE, .COM) są dość wrażliwe na drobne uszkodzenia – brak kilku bajtów w nieodpowiednim miejscu może uniemożliwić uruchomienie. Mimo to:

• da się odzyskać ich treść w celach kolekcjonerskich lub analitycznych,

Systemy plików i konfiguracje typowe dla starych nośników

FAT16 i FAT32 pojawiały się w wielu odmianach – inaczej wyglądała partycja na dyskietce, inaczej na karcie CF, a jeszcze inaczej na dysku IDE w komputerze z Windows 98. Podczas odzysku dobrze uwzględnić kilka detali:

• rozmiar klastra – na małych nośnikach (np. 256 MB) często spotyka się klastry po 4 KB, na większych (kilkanaście–kilkadziesiąt GB) – 16 KB lub 32 KB; od tego zależy, jak „grube” są fragmenty tracone przy pojedynczym bad sektorze,
• liczba kopii FAT – standardem są dwie, ale nietypowe urządzenia bywały konfigurowane tylko z jedną kopią; wówczas nie ma „zapasowego” źródła informacji o łańcuchach,
• układ partycji – stare dyski IDE/PATA i karty flash sformatowane w urządzeniach wbudowanych czasem korzystają z układu CHS lub nietypowego wyrównania do granic cylindrów, co może mylić współczesne narzędzia.

Przykładowo, na karcie CF z aparatu z końca lat 90. często stosowano FAT16 z dużymi klastrami. Uszkodzenie pojedynczego klastra „wycinało” znaczną część zdjęcia, ale jednocześnie większość plików leżała w jednym kawałku, więc dało się je odtworzyć, ignorując zniszczone sektory.

Stare urządzenia, nietypowe implementacje FAT

Nie każdy firmware implementował FAT „książkowo”. Odchylenia od standardu potrafią utrudnić odzysk:

• urządzenia nagrywające (rejestratory CCTV, dyktafony) potrafiły pomijać aktualizację czasu modyfikacji, licząc wyłącznie na ciągły zapis,
• niektóre odtwarzacze MP3 i aparaty trzymały w katalogach dodatkowe, własne wpisy lub atrybuty, co myli części narzędzi naprawczych,
• spotykane były „pływające” sektory rozruchowe – boot sector w nietypowym miejscu, co po konwersji obrazu dysku do pliku .img wyglądało jak kompletnie uszkodzona partycja.

W takich sytuacjach przydaje się surowy podgląd heksadecymalny i ręczne namierzenie:

1. podpisu sektora rozruchowego (np. 55 AA na końcu sektora, nagłówek BPB z informacją o typie FAT),
2. początku pierwszej tablicy FAT i katalogu głównego,
3. pierwszego klastra danych, aby poprawnie przeliczać numery klastrów na adresy sektorów.

Narzędzia typu edytory hex, a także programy do analizy struktur systemów plików (np. dedykowane moduły w komercyjnych pakietach forensic) pomagają „przeskoczyć” ograniczenia standardowych programów odzyskujących, które zakładają idealnie poprawny układ partycji.

Strategia pracy z fizycznie uszkodzonymi nośnikami FAT

Tworzenie obrazu dysku przed odzyskiem

Przy starych dyskach IDE, kartach CF i pamięciach flash z bad sektorami podstawową zasadą jest praca na kopii bitowej. Zanim cokolwiek się „naprawi”, najlepiej:

• wykonać obraz sektor po sektorze do pliku .img lub .dd,
• zapisać listę sektorów, których nie udało się odczytać (log błędów),
• zatrzymać wszelkie próby automatycznego formatowania czy „naprawy” ze strony starego systemu operacyjnego.

Do tworzenia obrazu, gdy nośnik „sypie” błędami, dobrze sprawdzają się narzędzia umożliwiające wielokrotne próby odczytu i pomijanie sektora po przekroczeniu limitu czasowego. Umożliwia to odzyskanie maksimum danych, zanim elektronika nośnika ulegnie ostatecznej awarii.

Odczyt z pominięciem najbardziej zniszczonych obszarów

Jeżeli część powierzchni dysku jest praktycznie nieczytelna, można zastosować strategię selektywnego odczytu:

• najpierw kopiowane są obszary bezbłędne (sektory czytane „od strzału”),
• później – sektory sprawiające umiarkowane problemy (wymagające kilku prób),
• na końcu – sektory najbardziej zniszczone, często z ograniczoną liczbą podejść, by nie zamęczyć napędu.

Dopiero na takim obrazie sensownie uruchamiać analizę FAT i carving. Środowisko odzysku przestaje wtedy zależeć od kapryśnego kontrolera lub starego interfejsu (np. adapterów IDE–USB wątpliwej jakości), a struktury systemu plików nie zmieniają się w trakcie pracy.

Praca z „klonem logicznym” zamiast fizycznego dysku

Czasami nie udaje się zgrać całego nośnika, ale powstaje częściowy obraz z „dziurami”. Mimo braków taka kopia bywa cenniejsza niż dalsze próby na oryginale. W narzędziach doradczych i forensic można:

• oznaczyć fragmenty obrazu jako nieczytelne (brak danych),
• analizować FAT i katalogi tak, jakby znajdowały się na realnym dysku,
• podejmować próby carvingu i rekonstrukcji łańcuchów tylko w dostępnych obszarach.

Dzięki temu łatwiej ocenić, ile faktycznie da się odzyskać, zanim zapadnie decyzja o bardziej zaawansowanej interwencji (np. laboratorium z wymianą głowic czy otwieraniem dysku).

Ograniczenia i pułapki przy naprawie struktur FAT

Automatyczne „naprawiacze” a utrata szans na odzysk

Starsze systemy, szczególnie Windows 9x/Me, lubiły po wykryciu błędów na FAT uruchamiać narzędzia typu Scandisk lub CHKDSK z opcją naprawy. Z perspektywy odzysku danych bywa to zgubne:

• poprawiane są łańcuchy klastrów na podstawie niepełnych informacji,
• porzucone fragmenty plików lądują w katalogu typu FOUND.000 jako FILE0000.CHK, często bez związku z pierwotnym układem,
• zmienia się znaczna część tablic FAT i wpisów katalogowych, co utrudnia późniejszą analizę „jak było wcześniej”.

Jeśli istnieje podejrzenie, że nośnik ma błędy logiczne, bezpieczniej jest najpierw zrobić obraz, a dopiero potem testować różne metody naprawy na kopii. Wtedy nawet agresywne działania narzędzi systemowych nie uniemożliwią cofnięcia się do punktu wyjścia.

Rekonstrukcja FAT „na czuja”

Narzędzia potrafią próbować odgadnąć zawartość uszkodzonej tablicy FAT na podstawie fizycznego położenia danych. Metody te bywają skuteczne, ale niosą ryzyko:

• zlepienia fragmentów należących kiedyś do różnych plików w jeden łańcuch,
• przypisania tych samych klastrów kilku plikom naraz,
• „nadpisania” reliktów starych, skasowanych danych w celu uzyskania spójnej struktury.

Mechanizmy te mają sens, gdy zależy na uzyskaniu działającego systemu plików tu i teraz (np. dla starego komputera z DOS-em), ale niekoniecznie wtedy, gdy priorytetem jest maksymalny odzysk treści. W poważniejszych sprawach lepiej zachować oryginalną, nawet uszkodzoną FAT, a rekonstrukcje prowadzić wyłącznie na kopii.

Konsekwencje ponownego formatowania

Stary dysk czy karta FAT często trafia na stół dopiero po tym, jak ktoś „dla próby” kliknął szybkie formatowanie. W takim scenariuszu zwykle dzieje się kilka rzeczy:

• tworzona jest nowa pusta tablica FAT i katalog główny,
• stare wpisy katalogowe przestają być dostępne „normalnie”, choć ciągi bajtów nadal istnieją w danych,
• przy dalszym zapisie nowe pliki zaczynają nadpisywać najstarsze dane.

Odzysk zależy wtedy od:

• rozmiaru i typu formatowania (szybkie vs pełne z nadpisem),
• ilości danych dogranych po formatowaniu,
• fragmentacji starego systemu plików.

Jeżeli po formacie nie zapisywano praktycznie nic, carving i analiza „starej” FAT wciąż są możliwe, bo informacje nie zostały fizycznie skasowane – zmienił się jedynie początkowy fragment dysku z metadanymi. Gdy jednak nośnik był aktywnie używany, nadpisane obszary są już nie do odzyskania w warunkach domowych.

Praktyczne wskazówki organizacyjne przy odzysku z FAT16/FAT32

Porządkowanie odzyskanych danych

Po kilkugodzinnym lub kilkudniowym odzysku z uszkodzonej FAT efektem bywa ogromny stos plików bez nazw lub z częściowo zniekształconą strukturą katalogów. Ułatwieniem jest prosty system porządkowania:

• osobne katalogi dla danych odzyskanych „z katalogów” (z oryginalnymi nazwami) i dla wyników carvingu,
• dodatkowe podział na typy plików – np. DOC, JPG, MP4, MISC,
• zachowanie logów z narzędzi odzysku w tym samym drzewie katalogów, aby móc szybko sprawdzić, skąd pochodzi konkretny plik.

Przy archiwach rodzinnych (zdjęcia, dokumenty) przydaje się później ręczne sortowanie według dat modyfikacji i wielkości pliku. Nawet jeśli część dat jest błędna, z reguły cała seria zdjęć z konkretnego wydarzenia ma zbliżone znaczniki czasu, co ułatwia odtworzenie chronologii.

Weryfikacja integralności plików

Nie każdy odzyskany plik jest w pełni sprawny. Zamiast otwierać wszystko ręcznie, można posłużyć się prostą automatyczną weryfikacją:

• dla archiwów (ZIP, RAR) – masowe sprawdzenie integralności (opcja „testuj archiwum”),
• dla obrazów – skrypty lub programy, które próbują otworzyć każde zdjęcie i odrzucić ewidentnie uszkodzone pliki (błąd dekodowania),
• dla dokumentów – szybkie otwarcie w trybie „podglądu” i zapis logu błędów.

Takie podejście pozwala skupić się na tych plikach, które albo są kompletne i można je spokojnie archiwizować, albo odwrotnie – są istotne, ale sprawiają problemy i wymagają dodatkowej, ręcznej naprawy.

Dokumentowanie działań

Przy jednym domowym dysku może wydawać się przesadą, ale nawet wtedy krótka dokumentacja oszczędza pracy przy ponownych próbach:

• notatki, w jakiej kolejności użyto narzędzi i z jakimi parametrami,
• informacja, które sektory lub obszary dysku zgłaszały najwięcej błędów,
• zachowane wersje obrazu dysku po kolejnych etapach (np. „surowy odczyt”, „po próbie naprawy FAT na kopii”).

Jeżeli sprawa dotyczy danych firmowych lub potencjalnie dowodowych, taka dokumentacja jest szczególnie istotna – pozwala w razie potrzeby komuś innemu odtworzyć kolejne kroki i ocenić, na ile wynik jest wiarygodny.

Szanse odzysku w typowych scenariuszach dla FAT16/FAT32

Karta pamięci z przypadkowo skasowanymi zdjęciami

Kiedy użytkownik usuwa zdjęcia z karty SD czy CF bez dalszego zapisu, układ jest zwykle prosty:

• tablica FAT i katalogi są logicznie spójne,
• wpisy katalogowe mają wyzerowany pierwszy znak nazwy, ale reszta danych jest nienaruszona,
• nie było nadpisywania klastrów przez nowe pliki.

W takiej sytuacji odzysk z FAT jest niemal kompletny: zdjęcia wracają z nazwami, datami i pełną strukturą katalogów. Carving służy tylko jako uzupełnienie dla pojedynczych plików, których wpis katalogowy został nadpisany.

Stary dysk z Windows 95/98 po awarii systemu

Jeżeli dysk systemowy z FAT16/FAT32 przestał się uruchamiać, ale nie słychać niepokojących dźwięków mechanicznych, problem leży zwykle w:

• sektorze rozruchowym,
• pierwszej kopii tablicy FAT,
• katalogu głównym.

Tworzy się wtedy obraz dysku i sprawdza drugą kopię FAT. Często okazuje się nienaruszona i wystarczy w narzędziu do odzysku wskazać ją jako źródło informacji o łańcuchach klastrów. Dalsza część partycji, w tym katalogi użytkownika (np. C:DOKUME~1, C:MOJE DOKUMENTY), daje się wtedy wydobyć niemal w całości.

Nośnik po wielokrotnym nadpisywaniu

Najgorszy scenariusz z punktu widzenia odzysku to karta lub dysk, na którym przez długi czas kasowano pliki i zapisywano nowe, bez okresowego formatowania. W takim przypadku:

• wolne klastry po skasowanych plikach zostały już przydzielone innym danym,
• wiele łańcuchów jest mocno pofragmentowanych,

Najczęściej zadawane pytania (FAQ)

Jakie dane da się odzyskać ze starego dysku lub karty pamięci z FAT16/FAT32?

W większości przypadków można odzyskać znaczny procent plików – szczególnie dokumenty, zdjęcia (JPEG, PNG), archiwa ZIP/RAR oraz pliki wykonywalne z epoki DOS/Windows 9x. Dużo zależy od tego, czy po utracie dostępu do nośnika były na nim dalej zapisywane nowe dane (instalacje, kopiowanie, defragmentacja).

Na nośnikach „retro”, które latami leżały w szufladzie, dane często są fizycznie nienaruszone – uszkodzony bywa tylko system plików (boot sector, tablica FAT, katalogi). W takich sytuacjach możliwe jest odtworzenie zarówno zawartości plików, jak i części oryginalnej struktury katalogów.

Czym różni się odzyskiwanie danych z FAT16 od FAT32?

W FAT16 typowe są większe klastry i mniejsza liczba klastrów, co oznacza większą wrażliwość na uszkodzenia pojedynczych sektorów – jeden błąd może „zabrać” większą część pliku. Bywa też ograniczona liczba wpisów w katalogu głównym, więc częściej dochodzi do problemów ze strukturą katalogów.

W FAT32 tablica alokacji jest większa i zawiera więcej informacji, co ułatwia rekonstrukcję łańcuchów klastrów. Dla odzyskiwania ważne jest poprawne rozpoznanie rodzaju systemu (FAT16 vs FAT32) i rzeczywistego rozmiaru klastra – błędne założenia skutkują poszatkowanymi, pozornie „uszkodzonymi” plikami.

Czy da się odzyskać pliki po szybkim formatowaniu partycji FAT16/FAT32?

Po szybkim formatowaniu szanse są zwykle bardzo dobre. Operacja ta zazwyczaj nadpisuje sektor rozruchowy, inicjalizuje tablicę FAT i czyści katalog główny, ale sam obszar danych z zawartością plików w dużej mierze pozostaje nietknięty.

W takiej sytuacji stosuje się głównie skanowanie po sygnaturach (file carving), które pozwala odnaleźć i odtworzyć pliki na podstawie ich charakterystycznych nagłówków (np. JPEG, ZIP, DOC), nawet bez poprawnej tablicy FAT. Minusem jest to, że często tracimy oryginalne nazwy plików i układ katalogów – wiele narzędzi nadaje plikom nazwy w rodzaju file0001.jpg.

Czy można odzyskać skasowane pliki z FAT16/FAT32, jeśli nie zapisywałem nic nowego na dysku?

Tak, to idealny scenariusz. Przy usuwaniu pliku w FAT system oznacza tylko wpis katalogowy jako „skasowany” i zaznacza klastry jako wolne w tablicy FAT – same dane w obszarze danych pozostają na miejscu, dopóki nie zostaną nadpisane przez nowe pliki.

Jeśli po skasowaniu nie wykonywano intensywnego zapisu (instalacji, defragmentacji, kopiowania dużych plików), większość skasowanych plików da się przywrócić z oryginalnymi nazwami i katalogami. Dlatego po przypadkowym usunięciu najlepiej natychmiast przestać używać nośnika i wykonać kopię sektor po sektorze.

Co zrobić, gdy Windows widzi stary dysk FAT jako RAW i proponuje formatowanie?

Nie należy zgadzać się na żadne „naprawy” typu formatowanie, inicjalizacja dysku, zmiana schematu partycji ani szybkie „naprawy błędów systemu plików”. Często uszkodzony jest tylko sektor rozruchowy, tablica partycji albo geometria partycji, a dane wciąż są na miejscu.

Bezpieczna procedura to:

• podłączyć dysk tylko do odczytu (np. przez adapter USB z przełącznikiem read-only lub w trybie LiveCD);
• wykonać kopię sektor po sektorze (image) całego nośnika;
• pracować wyłącznie na kopii, używając narzędzi do odzyskiwania i rekonstrukcji MBR/boot sector (np. TestDisk, specjalistyczne oprogramowanie)

Czy uszkodzona tablica FAT oznacza definitywną utratę danych?

Nie zawsze. Wiele woluminów FAT ma dwie kopie tablicy FAT – jeśli jedna z nich jest w lepszym stanie, oprogramowanie do odzyskiwania może się na niej oprzeć. Nawet gdy obie są częściowo uszkodzone, możliwe bywa odtworzenie łańcuchów klastrów na podstawie analizy ciągłości danych.

Najgorzej jest, gdy jednocześnie uszkodzone są obie tablice FAT oraz struktura katalogów – wtedy tracimy i mapę (FAT), i „spis treści” (katalogi). Wciąż jednak można próbować skanowania po sygnaturach plików; w takim scenariuszu często odzyskuje się same dane bez oryginalnych nazw i folderów.

Jakie narzędzia nadają się do odzyskiwania danych z FAT16/FAT32 na starych dyskach?

Do wstępnej diagnostyki i rekonstrukcji tablic partycji oraz boot sectorów często używa się narzędzi takich jak TestDisk. Do odzyskiwania samych plików (w tym po szybkim formacie) przydają się programy potrafiące pracować z FAT16/FAT32 i robić skan po sygnaturach, zarówno pod Windows, jak i Linuksem.

W przypadku bardzo starych nośników (dyski z DOS/Windows 3.x, ZIP, JAZ, LS-120) ważniejsze od nazwy konkretnego programu jest to, by:

• narzędzie poprawnie rozpoznawało typ FAT i rozmiar klastra,
• pozwalało pracować na obrazie dysku (plik .img/.dd), nie bezpośrednio na fizycznym nośniku,
• nie wykonywało automatycznych modyfikacji na oryginalnym dysku bez wyraźnej zgody.

Najbardziej praktyczne wnioski

• FAT16/FAT32 to bardzo proste, pozbawione dziennika systemy plików, przez co łatwo analizować je „ręcznie”, ale są jednocześnie wrażliwe na błędy, nagłe wyłączenia i uszkodzenia sektorów.
• Skuteczne odzyskiwanie danych z FAT opiera się na zrozumieniu struktury katalogów, rekonstrukcji tablicy alokacji (FAT) oraz analizie ciągłości klastrów i sygnatur plików.
• Różnice między FAT16 i FAT32 (głównie rozmiar wpisów w FAT i liczba klastrów) przekładają się na inne typowe rozmiary klastrów i pojemności partycji, co wymaga dobrania właściwych ustawień skanowania.
• Duże klastry typowe dla FAT16 sprawiają, że nawet małe pliki zajmują dużo miejsca i są bardziej podatne na utratę danych przy uszkodzeniu pojedynczych sektorów.
• W nośnikach retro (stare dyski, karty pamięci, pendrive’y, ZIP/JAZ) typowe problemy typu „system plików RAW” czy „dysk wymaga sformatowania” często wynikają z uszkodzenia fragmentu struktury FAT, a nie całkowitej utraty danych.
• Kasowanie plików w FAT zwykle tylko oznacza wpis w katalogu i zwalnia klastry w tablicy FAT, pozostawiając dane fizycznie na nośniku, co umożliwia skuteczny odzysk, dopóki nie nastąpi nadpisanie.
• Uszkodzenie jednej tablicy FAT nie przekreśla odzysku, o ile druga kopia lub analiza rzeczywistego układu danych pozwala odtworzyć łańcuchy klastrów; znacznie gorzej rokują jednoczesne uszkodzenia FAT i katalogów.

Warte uwagi:

• 

  ZFS, Btrfs i inne – systemy plików Open Source pod lupą

• 

  Filesystemy w systemach operacyjnych – który wybrać?

• 

  Dyski SSD Gen 5.0 – czy są warte swojej ceny?

• 

  Czy lepiej kupić laptopa z SSD czy HDD?

• 

  Jak przenieść system na nowy dysk SSD

• 

  Przenoszenie Windowsa na nowy dysk SSD – poradnik