Dlaczego zdjęcia odzyskały się poprawnie, a filmy nie?
Dosyć częstym problemem w przypadku odzyskiwania danych ze sformatowanych kart pamięci używanych w cyfrowych kamerach i aparatach fotograficznych jest to, że zdjęcia na ogół odzyskują się poprawnie, ale filmy są uszkodzone. Najczęściej odpowiedzialny za to jest sposób zapisu danych na karcie podczas robienia zdjęć i nagrywania filmów. W przypadku zdjęć jest to dosyć proste, gdyż cały potrzebny do zapisania materiał jest znany już w momencie naświetlenia matrycy. Można od razu utworzyć odpowiedni nagłówek zawierający m, in. informację Exif i zapisać cały plik w odpowiednim miejscu na partycji.
Inaczej jest w przypadku filmów. Urządzenie rejestrujące nie wie, jak długi film będziemy nagrywać. Dlatego nie jest w stanie utworzyć odpowiedniego nagłówka, zanim nie skończymy nagrywać. Zbyt ryzykowne jest też przetrzymywanie nagrywanego materiału video w buforze aż do końca nagrywania, gdyż łatwo wtedy może dojść do przepełnienia bufora. Z tego powodu nagrywany materiał jest od razu zapisywany na karcie, zanim jeszcze będzie utworzony nagłówek pliku.
Oprogramowanie kamer i aparatów różnie sobie radzi z tym zadaniem. Możliwe jest zarezerwowanie obszaru, w jakim później zostanie utworzony nagłówek lub utworzenie dodatkowych plików pomocniczych. Jednak najprostszym, a przez to dość popularnym rozwiązaniem, jest zapisywanie najpierw strumienia video w miarę jego nagrywania, a dopiero na końcu nagłówka pliku.
Podejście takie prowadzi do fragmentacji pliku na dwie części – większą, zawierającą zasadniczą część pliku i mniejszą, typowo rozmiaru jednego klastra, zawierającą nagłówek pliku. I dopóki na partycji istnieją prawidłowe metadane opisujące ten plik, nie ma żadnego problemu z odczytaniem klastrów we właściwej kolejności i poprawnym otwarciem pliku. Jeśli jednak partycja zostanie sformatowana, jej metadane zostają nadpisane nowymi metadanymi o treści opisującej „pustą” partycję. A to, z uwagi na sposób działania programów do odzyskiwania danych, sprawia, że odzyskiwanie pofragmentowanych plików staje się dużo trudniejsze i właściwie niemożliwe w automatycznym trybie.
Jak działają programy do odzyskiwania danych?
Zasadniczo wszystkie programy do odzyskiwania danych działają w bardzo podobny sposób. Skanują zadany obszar nośnika i wyszukują charakterystyczne wzorce, jakie mogą być fragmentami struktur logicznych lub plików. Zwykle programy do odzyskiwania danych mają dwa podstawowe tryby skanowania: szybki i dokładny, jakich nazwy w konkretnych programach mogą się różnić, jednak funkcjonalność będzie bardzo podobna.
Tryb szybkiego skanowania polega na wyszukiwaniu pozostałości struktur logicznych systemów plików w tych miejscach, gdzie ich znalezienie jest najbardziej prawdopodobne (zazwyczaj początkowe i końcowe obszary tak całego nośnika, jak i zidentyfikowanych partycji), a następnie podążaniu za wskazanymi w znalezionych fragmentach struktur adresami. To podejście często pozwala na szybkie uzyskanie pozytywnego rezultatu w przypadku niewielkich uszkodzeń struktur logicznych, jednak w sytuacji poważniejszych problemów jest zbyt niedokładne i może nie znaleźć wielu plików wciąż możliwych do odzyskania.
Tryb dokładny jest wolniejszy, gdyż analizuje każdy sektor pod kątem zawartości mogącej odpowiadać zdefiniowanym w bazie programu strukturom. Tryb ten pozwala znajdować nie tylko pliki w strukturze logicznej opisanej przez metadane systemu plików, ale też niezależnie od niej, na podstawie sygnatur odpowiadających poszczególnym typom plików (tzw. wyszukiwanie RAW, чёрновое восстановление). Większość typów plików ma charakterystyczne struktury (sygnatury) pozwalające zidentyfikować typ pliku niezależnie od jego rozszerzenia, oznaczające ich początek, a część – także i koniec.
W przypadku uszkodzenia metadanych opisujących plik i jego położenie na partycji, wyszukiwanie po sygnaturach często staje się jedyną praktyczną drogą do jego odzyskania. Ta metoda polega na wykopiowaniu sekwencji sektorów poczynając od zidentyfikowanej sygnatury pliku aż do sygnatury końca (jeśli w danym typie pliku występuje), napotkania początku kolejnego pliku lub do końca partycji (stąd w niektórych przypadkach programy potrafią odzyskać pliki o absurdalnie dużych rozmiarach). Z tego powodu pofragmentowane pliki mogą być odzyskiwane jedynie częściowo, czasem przy tym zawierając fragmenty obcych plików, co bezpośrednio przekłada się na ich uszkodzenie. Pliki odzyskiwane po sygnaturach tracą swoje oryginalne nazwy, położenie w strukturze katalogów i inne atrybuty opisywane przez metadane systemu plików.
Podstawowe informacje o systemach plików FAT.
Systemy plików FAT (nazwa pochodzi od File Allocation Table – tablica alokacji plików) mają swoją historię sięgającą końcówki lat '70, dyskietek i systemu operacyjnego CP/M. Jest to powszechnie obsługiwana przez systemy operacyjne rodzina dosyć prostych systemów plików, co sprawia, że są one szeroko wykorzystywane w przenośnych nośnikach danych, w tym kartach pamięci używanych w kamerach i aparatach cyfrowych. Rodzina systemów plików FAT obecnie obejmuje 4 systemy: FAT12, FAT16, FAT32 i exFAT, określany też czasem jako FAT64. Systemy te różnią się w szczegółach metadanych, w jakie nie będziemy tu zbyt głęboko wchodzić, jednak ich ogólna architektura i zasady działania są wspólne.
Partycja typu FAT zaczyna się od obszaru zarezerwowanego zawierającego sektor rozruchowy (boot-sector), a począwszy od systemu FAT32, także jego kopię i strukturę FSInfo. Wewnętrzna struktura sektora rozruchowego różni się w zależności od wersji systemu, ale zawsze obejmuje kluczowe informacje o partycji, takie, jak jej położenie, rozmiar klastra (wyrażony liczbą sektorów, jaka zawsze jest potęgą dwójki), liczbę, położenie i rozmiar tablic alokacji plików itd. Dalej mamy obszar, w jakim przechowywane są tablice alokacji plików (zazwyczaj dwie), a w przypadku systemów FAT12 i FAT16 – także obszar katalogu głównego. Resztę partycji zajmuje obszar klasteryzacji służący do przechowywania danych.
W przypadku systemów FAT32 i exFAT katalog główny mieści się w obszarze klasteryzacji, co pozwala uniknąć sytuacji, kiedy nie można do niego dodać kolejnych obiektów z powodu wyczerpania miejsca w samym katalogu głównym, podczas gdy ogólnie na partycji w obszarze klasteryzacji jest wystarczająco dużo wolnego miejsca. Kiedy w nowszych wersjach systemów FAT katalog główny zajmie cały klaster, jego dalsza zawartość jest umieszczana w kolejnym, typowo przy tym ulegając fragmentacji. Wewnętrzna struktura katalogów także się różni pomiędzy poszczególnymi wariantami systemów plików, jednak szczegółowa jej znajomość nie będzie nam potrzebna. Wystarczy wiedzieć, że wpis w katalogu wskazuje położenie pierwszego klastra zajmowanego przez dany plik oraz zawiera informację o jego rozmiarze.
Ponieważ rozmiary plików zwykle są większe od rozmiaru klastra, pliki typowo zajmują wiele klastrów. Za przechowywanie informacji o położeniu plików w konkretnych klastrach odpowiada tablica alokacji plików. Zawiera ona sekwencję numerów 12- (dla FAT12), 16- (dla FAT16 lub 32-bitowych (dla FAT32 i exFAT). Jeśli zwrócimy uwagę na numery klastrów w partycjach typu FAT32, zauważymy, że 4 najstarsze bity numerów klastrów zawsze są wyzerowane, a więc adresowanie tak naprawdę jest 28-bitowe. Ma to swoje uzasadnienie w starej, 28-bitowej wersji adresowania LBA (ang. Logical Block Addressing – adresowanie w logicznych blokach). Kiedy powstawał FAT32, ograniczenia adresacji LBA i tak nie pozwalały na praktyczne wykorzystanie adresowania 32-bitowego.
Dwa pierwsze pola tablicy alokacji plików (odpowiadające klastrom 0 i 1) są zajęte przez sygnaturę identyfikującą tę tablicę. Z tego powodu klastry w systemach plików typu FAT numerowane są od 2. Dalej kolejne pola zawierają numery klastrów zawierających kolejne fragmenty pliku. Prócz tego w tablicy alokacji plików występują wartości o szczególnym znaczeniu.
Wartość wyzerowana oznacza wolny klaster. Z kolei numer złożony z bitów ustawionych na 1 (0x0FFFFFFF dla FAT32 – bo 4 najstarsze bity są wyzerowane) oznacza koniec łańcucha klastrów, a więc ostatni klaster danego pliku. Wartości FF7, FFF7, 0FFFFFF7 i FFFFFFF7 (odpowiednio dla poszczególnych wariantów systemu FAT) oznaczają uszkodzony klaster, jaki będzie omijany podczas alokacji plików.
Konsekwencje sformatowania partycji typu FAT.
Zasadniczo możemy wyróżnić dwa rodzaje sposobów formatowania partycji: formatowanie szybkie i formatowanie pełne. Formatowanie szybkie polega na wyzerowaniu tablicy alokacji plików (oznaczeniu wszystkich dostępnych na partycji klastrów jako wolnych) oraz usunięciu wszystkich wpisów w katalogu głównym. Powoduje to utratę dostępu do pozostałej zawartości partycji, jaka przestaje być adresowana w strukturze logicznej, jednak dopóki nie zostanie nadpisana inną zawartością, wciąż jest możliwa do odzyskania.
Po przeprowadzeniu szybkiego formatowania na partycji pozostają nie tylko pliki, ale też podkatalogi, co zwykle pozwala na przynajmniej częściową odbudowę struktury logicznej. Jeśli znamy rozmiar klastra i potrafimy określić początek obszaru klasteryzacji, możemy powiązać znalezione pliki z wpisami w podkatalogach wskazującymi na numery klastrów, w jakich te pliki się zaczynały. Pomocne jest w tym to, że często formatowanie wykonywane jest na ustawieniach domyślnych, przez co parametry nowej partycji często mają takie same wartości, jak i starej. Natomiast tracona jest informacja o plikach adresowanych bezpośrednio przez katalog główny.
Niestety utrata zawartości tablicy alokacji plików powoduje, że w prosty sposób można odzyskać tylko pliki niepofragmentowane, umieszczone w ciągłej sekwencji kolejnych klastrów. W przypadku plików pofragmentowanych, informacja o położeniu poszczególnych fragmentów tych plików jest bezpowrotnie tracona. Jest to też istotny powód, by w żadnym wypadku nie formatować partycji , z jakich zamieramy odzyskiwać dane, co czasem bywa zalecane przez niekompetentnych użytkowników na internetowych forach o niskiej wartości merytorycznej.
Pełne formatowanie oznacza wyzerowanie całej partycji, a więc też bezpowrotne zniszczenie jej zawartości. Podczas pełnego formatowania sprawdzany jest także stan sektorów i w przypadku stwierdzenia błędów, klastry zawierające takie sektory są oznaczane jako uszkodzone. Współcześnie zazwyczaj domyślnym sposobem formatowania jest formatowanie szybkie, ale część urządzeń przeprowadza formatowanie pełne.
Ryzykiem dla możliwości odzyskania danych jest też funkcja TRIM, jaka może doprowadzić do fizycznego skasowania obszarów niezaalokowanych w strukturach logicznych. Dlatego na komputerze używanym do odzyskiwania danych lepiej obsługę tej funkcji wyłączyć. W przypadku nowszych systemów operacyjnych, zwłaszcza Windows 10 i Windows 11, warto też sprawdzać, czy przy okazji aktualizacji obsługa funkcji TRIM nie została automatycznie włączona przez system.
Praktyka odzyskiwania filmów po sformatowaniu karty pamięci.
Z uwagi na opisany na wstępie sposób zapisywania plików video przez kamery i aparaty cyfrowe, ich fragmentacja jest na ogół dosyć prosta. Zazwyczaj mamy jeden duży, zapisany sekwencyjnie fragment pliku zawierający wszystkie jego klastry, prócz początkowego, oraz umieszczony bezpośrednio za tą sekwencją pierwszy klaster pliku z jego nagłówkiem. A więc możliwe jest złożenie takiego pliku w całość poprzez połączenie we właściwej kolejności nagłówka z odpowiednią sekwencją klastrów zawierających materiał video. Jak to zrobić w praktyce?
Identyfikacja rozmiaru klastra.
Jest to relatywnie proste zadanie. Formatując partycję na ustawieniach domyślnych niemal na pewno dostaniemy dokładnie taki sam rozmiar klastra, więc można go po prostu sprawdzić w boot-rekordzie. Trochę trudniejsza, ale bardziej uniwersalna metoda, sprawdzająca się też w przypadku utraty boot-rekordu polega na porównaniu rozmiaru tablicy alokacji plików z rozmiarem partycji. Przy danym rozmiarze partycji będzie mogła ona zawierać mniejszą liczbę większych lub większą liczbę mniejszych klastrów. Liczba klastrów na partycji będzie się przekładała na rozmiar tablicy alokacji plików.
Inny, niewymagający szczególnego wysiłku analitycznego sposób, to sprawdzenie rozmiarów plików odnalezionych przez wyszukiwanie RAW. Bardzo często najmniejsze ze znalezionych w ten sposób plików będą miały rozmiar właśnie jednego klastra. Można też wyszukać fragmenty katalogów. Z uwagi na sposób dodawania do nich kolejnych rekordów opisujących kolejne pliki, zazwyczaj katalogi bardzo łatwo fragmentują się na pojedyncze klastry.
W ostateczności można do tego zadania podejść metodą prób i błędów, sprawdzając różne możliwości. Wiedząc, że rozmiar klastra w sektorach zawsze jest wyrażony potęgą dwójki, liczba wariantów wymagających sprawdzenia jest ograniczona. Warto przy tym zaczynać od najbardziej prawdopodobnych możliwości, np. od wartości domyślnej dla danego systemu plików i rozmiaru partycji.
Identyfikacja kolejności plików.
To zadanie jest bardzo proste, a z pomocą przychodzą nam zasady działania programów do odzyskiwania danych. Podczas wyszukiwania po sygnaturach, programy te nadają znalezionym plikom automatyczne nazwy, typowo zawierające numer sektora LBA, w jakim dany plik został znaleziony. Nazwy te mogą być okraszone jakimiś dodatkowymi symbolami (np. „f”, „$” itp.) zależnymi od pomysłu autora programu, jednak dla ułożenia listy plików w kolejności odpowiadającej ich rozmieszczeniu na partycji wystarczające jest posortowanie tych plików po nazwach.
Identyfikacja początku sekwencji klastrów z materiałem video.
Trudność tej części pracy w dużym stopniu zależy od zawartości zapisanej na partycji. W przypadku, jeśli na partycji były zapisane jedynie filmy, jest to relatywnie proste. Po posortowaniu plików w odpowiedniej kolejności wystarczy wycinać z nich klastry zawierające nagłówki plików i przeklejać je do poprzednich plików.
Jednak w praktyce zazwyczaj na karcie pamięci zapisujemy zarówno filmy, jak i zdjęcia, na ogół w dosyć przypadkowej kolejności. Oznacza to, że film może być zapisany nie tylko za poprzednim filmem i odzyskany z nagłówkiem tego poprzedniego filmu, ale też za zdjęciem. I sortując odzyskane pliki w opisany wyżej sposób, często możemy zwrócić uwagę, że zdjęcie poprzedzające film ma nienaturalnie duży rozmiar, z kolei filmy poprzedzające zdjęcia często mają rozmiar jednego klastra.
Wynika to z faktu, że program odzyskujący dane nie napotykając sygnatury początku następnego pliku, dołącza kolejne klastry do poprzedniego pliku, nawet, jeśli wykraczają one poza jego pierwotny rozmiar. Zdjęcia są bardzo tolerancyjne na dołączaną do nich zawartość i otwierają się poprawnie niezależnie od dźwiganego bagażu obcej treści, przez co też np. bywają wykorzystywane do przenoszenia złośliwego kodu. Dla naszych celów kluczowe w tej sytuacji jest uwolnienie zdjęcia od ciężaru nadmiarowych klastrów i połączenie tych klastrów z właściwym nagłówkiem pliku video.
Jak więc w takim dużym pliku odnaleźć koniec zdjęcia i początek materiału video? Jeśli mamy do czynienia z plikami z sygnaturą końca pliku, można próbować ją odszukać i w ten sposób ustalić, gdzie kończy się jeden plik, a zaczyna fragment kolejnego. Trzeba przy tym pamiętać, że o ile sygnatura początku pliku znajduje się w łatwo przewidywalnym, zwykle stałym (nie w każdym przypadku muszą być to pierwsze bajty pliku) miejscu, to sygnatura końca może wypaść w dowolnym miejscu sektora. Wymusza to odpowiednią konfigurację wyszukiwarki.
Metoda prób i błędów jest prosta i niewymagająca szczególnych umiejętności, ale też żmudna i czasochłonna, dlatego nie sprawdzi się przy składaniu większej liczby plików. Polega ona na tym, by odcinać jako zdjęcie fragment pliku odpowiadający rozmiarem innym typowym zdjęciom, wychodząc z założenia, że aparat zapisuje zdjęcia do plików o podobnym rozmiarze. Jeśli podzielimy plik nieprawidłowo, film się nie uruchomi, ale jeżeli zdjęcie nadal otwiera się poprawnie, to wskazuje, że wciąż ma zbyt duży rozmiar. Jeżeli wytniemy zbyt dużą część pliku, jako materiał video, a zostawimy za małą część pliku na zdjęcie, otworzy się ono nie do końca, przy czym proporcja poprawnie wyglądającego obrazu do jego uszkodzonej części w przybliżeniu będzie odpowiadała proporcji rozmiaru uszkodzonego pliku do jego właściwej wielkości.
Znacznie łatwiej odciąć od pliku błędnie dołączone do niego klastry znając jego rozmiar. Dzieląc rozmiar pliku przez rozmiar klastra można dokładnie wyliczyć liczbę klastrów zajmowanych przez ten plik. Trzeba przy tym pamiętać, by wynik zawsze zaokrąglić w górę, gdyż jeśli choć jeden bajt pliku zajmie kolejny klaster, ten klaster będzie w całości przeznaczony na potrzeby tego pliku. Dane o rozmiarze pliku czasem można znaleźć w jego wewnętrznych metadanych. W przypadku zdjęć warto sprawdzić, czy ta informacja nie jest zapisana w Exifie.
Trudniejsza, ale bardziej uniwersalna metoda wymaga przeliczenia ustalonego na podstawie nazwy pliku adresu LBA na adresację klastrową partycji i odnalezienia rekordu katalogu opisującego dany plik na podstawie numeru klastra, na jaki ten rekord wskazuje. Jest to zadanie wykonalne, gdyż kamery i aparaty cyfrowe typowo nie zapisują plików do katalogu głównego, ale do podkatalogów o nazwach typu „DCIM”, „IMG”, „MOV” itp., przez co zawartość tych podkatalogów nie jest tracona podczas formatowania. Odnalezienie odpowiedniego rekordu pozwala na dokładne określenie rozmiaru pliku na podstawie informacji zawartej w rekordzie katalogu.
Metodę tę można wykorzystać zarówno do określenia rozmiaru zdjęcia, jak też i filmu. W pierwszym przypadku dowiemy się, ile jest prawdziwego zdjęcia w zdjęciu, jakie odnalazł program do odzyskiwania danych, w drugim możemy wyliczyć, o ile klastrów musimy się cofnąć, by wyciąć strumień video, jaki następnie dołączymy do klastra zawierającego odpowiedni nagłówek. Praktyczną wadą tej metody jest to, że podkatalogi zawierające dużą liczbę plików łatwo ulegają fragmentacji i często są rozrzucone w pojedynczych klastrach na przestrzeni całej partycji. Najbardziej prawdopodobnym miejscem, gdzie znajduje się kolejny klaster podkatalogu jest klaster bezpośrednio za końcem pliku opisanego w ostatnim rekordzie bieżącego klastra podkatalogu.
Inna praktyczna metoda oddzielania zdjęcia od dołączonego doń przez program odzyskujący dane materiału video opiera się na tym, że dane skompresowane, jak pliki *.jpg i różne formaty video, mają wysoką entropię, a część sektora za końcem pliku jest wyzerowana. Znalezienie wewnątrz pliku wyzerowanego fragmentu z wyrównaniem do końca fizycznej jednostki alokacji, a w przypadku nośników półprzewodnikowych – w praktyce często do końca klastra, zwykle pozwala na zlokalizowanie miejsca, gdzie należy odseparować zdjęcie od strumienia video. W przypadku każdej, z opisanych wyżej metod, należy też zwracać uwagę na ryzyko zaśmiecenia odzyskiwanych przez programy plików fragmentami zawartości katalogów. Zawartość ta jest na ogół łatwa do zidentyfikowania nawet przez mało doświadczone osoby, jej fragmenty można czytać w ASCII.
Połączenie w całość i sprawdzenie plików.
Ostatnia część procesu, to połączenie zidentyfikowanych i odpowiednio posortowanych par „klaster z nagłówkiem – reszta pliku” w całość. Zadanie to, podobnie, jak i każdą inną część procesu, można wykonać z pomocą dowolnego edytora szesnastkowego, jednak z praktycznych względów warto wybrać program pozwalający na wygodną pracę w adresacji sektorów LBA, a najlepiej – też w adresacji klastrowej. Praca na większych jednostkach alokacji pozwoli uniknąć błędów wynikających z niedokładnego zaznaczania kopiowanych fragmentów plików.
Fragmentacja dla orłów.
W pewnych sytuacjach może dochodzić do znacznie poważniejszej fragmentacji, niż tylko wynikający ze sposobu rejestracji obrazu podział plików video na dwie części. Systemy plików typu FAT są dosyć proste, a ich sterowniki nie mają rozbudowanych algorytmów zapobiegających fragmentacji plików. W szczególności fragmentacji może sprzyjać np. obecność rozproszonych na partycji klastrów zwolnionych przez skasowane wcześniej pliki.
Do uszkodzeń i podziału plików na fragmenty może dojść też w przypadku błędów w metadanych opisujących strukturę logiczną systemu plików i uruchomienia programu chkdsk. Program ten często uszkadza strukturę logiczną jeszcze bardziej, adresując część klastrów, w tym często należących do istniejących plików, jako pliki „file№№№№.chk”. Ze względu na wysokie ryzyko spowodowania uszkodzeń wtórnych, użycie takich narzędzi, jak chkdsk, fsck, czy scandisk nie jest zalecane, a bez uprzedniego zabezpieczenia stanu wyjściowego przez wykonanie kopii posektorowej, użycie tych narzędzi jest poważnym błędem, jaki może istotnie utrudnić lub nawet praktycznie uniemożliwić odzyskanie danych.
Nadzieję na skuteczne odzyskanie plików uszkodzonych przez fragmentację daje prostota systemów typu FAT. Zazwyczaj alokują one pliki w pierwszych wolnych klastrach. Pozwala to na podjęcie próby odseparowania klastrów zajętych przez pliki sprawne i kompletne oraz poskładania przynajmniej części plików z pozostałych klastrów. Przydatne tu mogą być zapisane w rekordach katalogów informacje o położeniu pierwszego klastra i rozmiarze plików usuniętych (te pliki będą miały zamieniony pierwszy symbol nazwy wartoscią 0xE5) oraz poszukiwanych. Ułatwi to połączenie klastrów w większe grupy potencjalnie zawierające fragmenty jednego pliku i dalsze próby składania plików z większych fragmentów.
Jeśli przyczyną utraty plików było uszkodzenie struktur logicznych inne, niż sformatowanie, np. błędne zapisy, użycie chkdsku itp., warto podjąć też analizę tablic alokacji plików – najlepiej obu kopii, zwracając przy tym uwagę na ewentualne rozbieżności pomiędzy nimi. W przypadku części typów plików przydatna może być też analiza ich wewnętrznych metadanych i struktury. Może to ułatwić wybieranie właściwych łańcuchów klastrów i składanie ich w odpowiedniej kolejności, jednak im bardziej partycja była używana i im więcej zapisów było na niej dokonywane, tym to zadanie będzie trudniejsze.
Dodatkowym utrudnieniem może być też wystąpienie zjawiska plików skrzyżowanych. Pliki skrzyżowane, są to różne pliki przynajmniej częściowo zaalokowane w tych samych klastrach. Oczywiście klaster może zawierać treść tylko jednego z tych plików, a więc będzie zawierał fragment pliku zapisanego do klastra jako ostatni. Oznacza to, że w pełni poprawne odzyskanie plików, jakich fragmenty były przechowywane w tym klastrze nie będzie możliwe, gdyż ich zawartość została co najmniej częściowo uszkodzona (nadpisana) przez inny plik.