Referencia técnica
Entender exFAT: estructura y comportamiento del borrado
El sistema de archivos de casi toda tarjeta de cámara — y por qué su estructura decide tus posibilidades de recuperación.
La respuesta corta
exFAT gestiona los archivos mediante cuatro estructuras.
Región de arranque, tabla de asignación, mapa de bits de asignación y entradas de directorio. Entender cuáles modifica el borrado y cuáles no explica también por qué las grabaciones borradas suelen seguir presentes y por qué los clips de vídeo largos son el caso más difícil.
01 / Base
Dónde aparece exFAT y por qué
exFAT significa Extensible File Allocation Table y se diseñó para soportes extraíbles de memoria flash. La SD Association lo exige para las tarjetas SDXC y microSDXC, es decir, prácticamente todas las tarjetas de 64 gigabytes en adelante. Cámaras, drones, cámaras de acción y grabadoras de audio escriben por tanto casi siempre en exFAT.
Frente al antiguo FAT32, exFAT elimina el límite de cuatro gigabytes por archivo. Esa es la razón de que se impusiera para vídeo: un solo clip 4K supera ese límite con facilidad.
Microsoft ha publicado oficialmente la especificación. Una implementación no tiene por tanto que basarse en ingeniería inversa, sino que puede apoyarse en estructuras documentadas.
02 / Estructura
Las cuatro estructuras de un vistazo
La última fila es la razón de que la recuperación funcione. El cluster heap no se toca al borrar. La grabación sigue donde estaba: el sistema de archivos simplemente ya no sabe de ella.
| Estructura | Función | Al borrar |
|---|---|---|
| Región de arranque | Describe tamaño de sector, de clúster y dónde está el resto | Sin cambios |
| Mapa de bits de asignación | Anota por clúster si está ocupado o libre | El bit pasa a libre |
| Tabla de asignación (FAT) | Encadena los clústeres de archivos fragmentados | La cadena se libera |
| Entradas de directorio | Contienen nombre, marcas de tiempo, tamaño y primer clúster | Marcadas como borradas |
| Cluster heap | Contiene los datos reales de los archivos | Se conserva físicamente |
03 / Arranque
Qué contiene el volume boot record
exFAT coloca además una copia completa de esta región de arranque en el sector 12. Si la región principal está dañada, la estructura puede reconstruirse a partir de ella. Esa redundancia es una razón por la que un soporte exFAT suele seguir siendo analizable incluso tras dañarse su comienzo.
- El identificador EXFAT en el desplazamiento 3, que permite reconocer el sistema de archivos sin ambigüedad.
- Tamaño de sector y de clúster, almacenados cada uno como potencia de dos.
- Desplazamiento y longitud de la tabla de asignación, y el número de FAT.
- El inicio del cluster heap y el número total de clústeres.
- El primer clúster del directorio raíz como punto de entrada a la estructura de carpetas.
- La firma de arranque 0x55AA al final del sector.
04 / Borrado
Qué hace realmente el borrado
Para una reconstrucción eso significa: en un archivo almacenado de forma contigua bastan el primer clúster y el tamaño de la entrada de directorio para leerlo entero. En un archivo fragmentado falta en cambio la cadena, porque se liberó en la FAT. Justo por eso los clips de vídeo largos y fragmentados son el caso más difícil.
- 1
La entrada de directorio se marca como no utilizada. Nombre, tamaño, marcas de tiempo y primer clúster siguen siendo legibles al principio.
- 2
En el mapa de bits de asignación, los clústeres correspondientes se marcan como libres.
- 3
Si el archivo estaba fragmentado, su cadena en la FAT se libera.
- 4
El contenido del cluster heap permanece intacto hasta que se escribe algo nuevo en el mismo lugar.
La memoria flash asigna internamente las direcciones lógicas a las celdas físicas con libertad. En soportes que admiten TRIM y cuya controladora borra activamente las zonas liberadas, los datos pueden haber desaparecido físicamente poco después del borrado. En tarjetas SD clásicas de cámara es menos frecuente que en SSD internos, pero no está descartado.
05 / Práctica
Qué se deduce para la recuperación
- Deja de escribir de inmediato. El cluster heap es la única fuente; cada grabación nueva puede sobrescribirlo en parte.
- No ejecutes una reparación del sistema de archivos. CHKDSK y herramientas similares escriben justo en las estructuras que la reconstrucción necesita.
- Crea una imagen sin comprimir. Después podrás analizar tantas veces como quieras y con cualquier herramienta sin volver a forzar el soporte.
- Comprueba los resultados frente a la estructura del formato, no solo frente a la cabecera. En archivos fragmentados es ahí donde se decide la integridad.
Fuentes y referencias técnicas
Preguntas frecuentes
¿Cómo sé si mi tarjeta es exFAT?
Las tarjetas SDXC y microSDXC de 64 gigabytes en adelante vienen en exFAT de fábrica. En Windows lo muestran las propiedades de la unidad; en macOS, la Utilidad de Discos. En una imagen puedes comprobarlo con la herramienta de sector de arranque de esta web.
¿Por qué los vídeos son más difíciles de recuperar que las fotos?
Una foto es pequeña y suele almacenarse de forma contigua. Un clip de vídeo largo es mucho mayor y a menudo está fragmentado. Como la cadena de los archivos fragmentados se libera en la FAT al borrar, hay que reconstruirla, y esa es la parte más costosa.
¿Ayuda la región de arranque de respaldo con tarjetas dañadas?
Ayuda cuando la región principal está dañada pero el resto de estructuras está intacto. No sustituye a la reconstrucción de las entradas de directorio ni a la reparación física de un soporte defectuoso.
¿Es exFAT más o menos seguro que otros sistemas de archivos?
exFAT es deliberadamente ligero y no tiene diario. Un diario puede ayudar a restablecer el último estado coherente tras un corte de corriente. Sin él, una grabación interrumpida es algo más crítica en exFAT.
¿Teoría clara, toca la práctica?
Lee el sector de arranque de tu imagen directamente en el navegador.