Un disque de 1 To qui n'affichait que 2 dossiers : comment nous en avons retrouvé 18 142 fichiers

Le support arrive au laboratoire un matin de septembre, déposé par un particulier de Seine-Saint-Denis. C'est un disque dur externe USB de 1 To, un modèle grand public très répandu, acheté deux ou trois ans plus tôt. Il contient l'intégralité des photos et vidéos de la famille : voyages, fêtes, petits-enfants, travaux de la maison. Il n'existe aucune autre copie.

Depuis quelques jours, Windows met plusieurs minutes à afficher le contenu du disque, puis finit par annoncer que le volume est inaccessible. Le client a fait ce qu'il fallait : il a débranché le boîtier et il a arrêté d'essayer. C'est le meilleur réflexe possible, et dans ce dossier, il a probablement sauvé les données.

Le diagnostic d'entrée : un disque presque neuf, mais qui lit mal

Première étape systématique chez nous : le support n'est jamais branché directement sur un PC. Il passe par un DeepSpar USB Stabilizer, un matériel qui s'intercale entre le disque et la station et qui garde la main sur chaque commande de lecture. Il impose au support un accès strictement en lecture seule, il contrôle le temps laissé à chaque lecture, et il coupe l'alimentation quand le disque décroche, au lieu de le laisser s'épuiser en tentatives.

Le disque répond, s'identifie correctement, annonce sa capacité complète de 1 953 458 176 secteurs. Le SMART, lui, raconte une histoire intéressante :

Ce tableau, pour un technicien, se lit en une phrase : la surface magnétique n'est pas détruite, mais une tête de lecture n'arrive plus à faire son travail correctement. Elle capte encore les pistes de servo, elle se positionne bien, mais elle doit relire chaque secteur de données plusieurs fois avant d'obtenir une lecture valide. Sur un disque de cette génération, avec une seule tête en souffrance sur les deux, c'est la panne la plus fréquente que nous voyons arriver après une chute ou un débranchement brutal.

« Un disque lent n'est pas un disque vide. Dans neuf cas sur dix, les octets sont toujours sur le plateau — c'est le temps qu'on leur accorde qui décide s'ils reviennent ou non. »

Pourquoi la première image ne montrait presque rien

La première passe d'imagerie avait bien tourné pendant plus d'une heure et sécurisé environ 466 Go. Le reste du disque avait été marqué « délai d'attente dépassé » : le support n'avait pas répondu assez vite, et l'imageur était passé à la zone suivante, comme il doit le faire pour ne pas s'acharner.

Le problème n'était pas là. Il était dans ce qui n'avait pas été lu.

Sur un volume NTFS, tous les fichiers et tous les dossiers sont décrits dans une table unique appelée la MFT (Master File Table). Chaque fichier y possède un enregistrement de 1 024 octets qui contient son nom, ses dates, sa taille, son dossier parent, et surtout la liste des zones du disque où son contenu est stocké. Sans la MFT, un logiciel de récupération ne peut plus faire que du carving : reconnaître des photos à leur signature de début de fichier, sans nom, sans date, sans dossier, en vrac dans un seul répertoire.

Et dans ce dossier, la MFT tombait précisément dans les zones lentes. Résultat : une arborescence quasi vide, alors que l'essentiel des données était intact.

Localiser la MFT au lieu de relire tout le disque

La tentation, à ce stade, serait de relancer une passe complète sur les 931 Go avec des réglages plus patients. C'est exactement ce qu'il ne faut pas faire. Sur un disque dont la tête faiblit, chaque heure de fonctionnement supplémentaire est une prise de risque, et l'immense majorité de ces 931 Go ne contient rien d'utile.

Nous avons donc procédé à l'envers : d'abord savoir où se trouve la MFT, ensuite ne lire que ça.

Étape 1 — lire le secteur de démarrage du volume

Le premier secteur de la partition NTFS contient tous les paramètres du volume. Il se trouve au tout début du disque, dans une zone qui avait été lue sans difficulté. Nous l'ouvrons dans l'éditeur hexadécimal, sur l'image, jamais sur le disque lui-même :

# Secteur de démarrage NTFS — offsets utiles
0x03  "NTFS"          → signature du système de fichiers
0x0B  512             → octets par secteur
0x0D  8               → secteurs par cluster (cluster de 4 Ko)
0x30  786432          → cluster de départ de la MFT
0x40  0xF6            → taille d'un enregistrement : 1 024 octets

# Position de la MFT sur le disque
LBA = 2048 + (786432 x 8) = 6 293 504

Étape 2 — lire l'enregistrement n° 0, celui de la MFT elle-même

La MFT se décrit elle-même dans son propre premier enregistrement. On y trouve sa taille réelle et sa runlist : la liste de ses fragments sur le disque. Ce fichier n'était pas d'un seul tenant, il était découpé en trois morceaux répartis sur les 70 premiers Go du volume.

Au total : 16 Mo à lire sur un disque de 1 To. Soit 0,0016 % de la surface, pour reconstruire l'intégralité du catalogue. C'est toute la différence entre une approche industrielle et une approche au jugé.

Le réglage qui a tout changé : lire petit, attendre longtemps

Nous avons créé quatre régions de lecture correspondant exactement aux trois fragments de la MFT et à sa table d'occupation, puis modifié deux paramètres du Stabilizer.

Ce second réglage est le plus contre-intuitif, et c'est celui qui a débloqué le dossier. Avec des blocs de 128 Ko, le disque devait enchaîner 32 lectures lentes d'environ 600 ms avant de rendre le bloc complet, soit plus de 19 secondes : bien au-delà de n'importe quel délai raisonnable. La lecture échouait, et 128 enregistrements de fichiers partaient en fumée d'un coup alors qu'ils étaient parfaitement lisibles.

En passant à des blocs de 4 Ko, chaque lecture demande 600 ms et réussit. Lentement, mais elle réussit. Les zones orange de la carte sont passées au vert les unes après les autres.

# Journal du Stabilizer, blocs de 128 Ko — délai 5 s
Failed Read: 65182712[240] - TIMEOUT 5006ms
Failed Read: 65189096[240] - TIMEOUT 6515ms

# Même zone, blocs de 4 Ko — délai 10 s
Successful Read: 146547360[8] - 614ms
Successful Read: 146547368[8] - 594ms
Successful Read: 146547376[8] - 600ms
Successful Read: 146547384[8] - 606ms

Surveiller le patient pendant l'opération

Une récupération sur un disque mécanique fragile, c'est une intervention sous monitoring. Pendant toute la durée des lectures, trois indicateurs sont relevés en continu, avec des seuils d'arrêt définis avant de commencer :

• Le compteur de secteurs en attente (C5) : il est passé de 13 à 42 pendant la session
• La température du support : de 29 °C au repos à 46 °C en charge
• Le temps de réponse moyen : un allongement signe une tête qui se dégrade
• Le comportement sonore : tout cliquetis répété impose l'arrêt immédiat

Le triplement du compteur C5 en moins d'une heure est un signal net : le support se dégrade à l'usage. Dès l'obtention de la MFT complète, le disque a été mis hors tension et la suite du travail s'est faite exclusivement sur l'image, copie fidèle stockée sur nos baies de laboratoire. Un disque en panne ne doit tourner que le temps strictement nécessaire.

Le résultat : de 2 dossiers à 18 142 fichiers

L'image rouverte hors ligne, avec une MFT désormais complète à plus de 99 %, le volume s'est ouvert normalement. L'arborescence d'origine est réapparue intégralement : 42 dossiers à la racine, des noms de voyages, de fêtes de famille, d'albums photo triés par année.

Moins de 1 % des enregistrements de la MFT sont restés illisibles, correspondant à quelques dizaines de fichiers dispersés. Ceux-là seront récupérés par signature, sans leur nom d'origine, et remis au client dans un dossier séparé.

Autre enseignement précieux : sur les 931 Go de capacité, seuls 111,55 Go contiennent réellement des données. Le reste est de l'espace libre. Cette information, impossible à obtenir sans la MFT, change entièrement la suite de l'intervention. Au lieu de relire un disque entier, le laboratoire sait désormais exactement quelles zones physiques doivent être extraites, et peut chiffrer le temps machine et le coût de l'opération avec précision.

Ce que ce dossier dit de votre propre disque

Ce cas n'a rien d'exceptionnel. Il illustre trois situations que nous rencontrons chaque semaine au laboratoire.

Un logiciel qui n'affiche presque rien ne signifie pas que le disque est vide

Quand un utilisateur lance un logiciel de récupération grand public sur ce type de panne, il obtient exactement le résultat de notre première passe : une poignée de fichiers, une arborescence absente, et la conviction que tout est perdu. Beaucoup de supports arrivent chez nous accompagnés de la phrase « on m'a dit qu'il n'y avait plus rien dessus ». Dans ce dossier, il y avait 111 Go.

Chaque tentative à domicile consomme du capital de lecture

Une tête affaiblie dispose d'un nombre limité d'heures avant de lâcher définitivement. Un logiciel grand public, lui, ne connaît ni les délais de lecture adaptés, ni la taille de bloc, ni les secteurs à éviter : il balaie le disque du début à la fin, en boucle, pendant des heures. Le compteur de secteurs en attente grimpe, et les zones encore lisibles ce matin ne le sont plus ce soir.

Un disque externe de moins de deux ans peut parfaitement tomber en panne

44 heures de fonctionnement au compteur, aucun secteur réalloué, et pourtant une tête en fin de vie. Les défaillances précoces existent, et les boîtiers externes 2,5 pouces y sont particulièrement exposés : ils sont transportés, posés sans précaution, débranchés en cours d'écriture. Sur ce support, 26 rétractations d'urgence des têtes avaient été enregistrées pour une centaine de mises sous tension seulement — la signature d'un disque régulièrement débranché sans éjection préalable.

Questions fréquentes