Bitmap d’une partition : à quoi il sert et pourquoi il décide de vos données

Qu'est ce que le bitmap d'une partition

Un volume formaté n'est pas une surface continue : il est découpé en clusters, l'unité d'allocation la plus petite que le système sache attribuer, le plus souvent 4 Ko. Le bitmap d'une partition est la table d'allocation des clusters de ce volume : une suite de bits où le premier bit décrit le premier cluster, le deuxième bit le deuxième cluster, et ainsi de suite jusqu'au dernier. Un bit à 0 signifie libre, un bit à 1 signifie occupé.

Cette économie de moyens explique sa taille. Sur un volume de 1 To découpé en clusters de 4 Ko, il y a 268 435 456 clusters, donc 268 435 456 bits, soit 32 Mo de bitmap pour décrire 1 To de stockage. Le système peut le garder en mémoire et le consulter des milliers de fois par seconde, ce qui serait impossible s'il fallait relire l'ensemble des fichiers pour savoir où il reste de la place.

Ce que le bitmap fait, et ce qu'il ne fait pas

Ce qu'il fait :

• Il désigne au système les clusters libres où écrire un nouveau fichier.
• Il permet d'afficher instantanément l'espace libre d'un volume.
• Il marque les clusters comme réutilisables dès qu'un fichier est supprimé.
• Il sert de plan de travail au défragmenteur et aux outils de vérification.

Ce qu'il ne fait pas :

• Il ne contient aucune donnée de vos fichiers.
• Il ne contient aucun nom de fichier ni aucun chemin.
• Il ne dit pas à quel fichier appartient un cluster occupé, seulement qu'il est pris.

Cette dernière ligne est la plus importante de l'article. Le bitmap sait qu'une place est prise, il ne sait pas par qui. Il est incapable, à lui seul, de reconstruire quoi que ce soit.

Bitmap et MFT, deux tables qui doivent rester d'accord

Sur un volume NTFS, le bitmap est un vrai fichier système, nommé $Bitmap, stocké dans l'enregistrement 6 de la table de fichiers maître. Il travaille en face de la MFT, qui tient l'autre moitié de l'information : pour chaque fichier, la liste ordonnée des clusters qu'il occupe. La MFT dit quels clusters appartiennent à quel fichier, le bitmap NTFS dit lesquels sont pris. Le système de fichiers n'est cohérent que si les deux disent la même chose.

Le principe est le même ailleurs, sous d'autres noms. En exFAT, une table dédiée appelée Allocation Bitmap remplit exactement ce rôle. En FAT32, c'est la table d'allocation elle même qui sert de carte des clusters libres et occupés. En ext4, chaque groupe de blocs possède son propre bitmap de blocs. En APFS, un gestionnaire d'espace tient la même comptabilité. La page sur les systèmes de fichiers Windows(opens in new tab) situe ces formats les uns par rapport aux autres, et la documentation Microsoft sur la table de fichiers maître détaille les fichiers de métadonnées de NTFS.

Pourquoi un bitmap corrompu décide du sort de vos données

Quand les deux tables divergent, la divergence prend deux formes, et une seule est grave.

Des clusters réellement occupés sont marqués libres. C'est le cas dangereux : le système considère cette zone comme disponible et y écrit à la première occasion. Les fichiers qui s'y trouvaient sont écrasés, définitivement, sans message d'erreur et sans que rien ne signale la perte. Un bitmap corrompu ne détruit pas vos données par lui même, il autorise le système à les détruire.

Des clusters réellement libres sont marqués occupés. C'est le cas bénin : de l'espace disparaît des compteurs, le volume paraît plus plein qu'il ne l'est, aucune donnée n'est menacée.

C'est ce déséquilibre qui commande la règle de conduite : dès qu'un volume se comporte anormalement, on cesse d'écrire dessus, et on le débranche. Tant que rien n'est écrit, un bitmap faux ne coûte rien.

Suppression, formatage rapide et partition RAW, vus du bitmap

Supprimer un fichier ne l'efface pas. Le système met son entrée de côté dans la MFT et remet à 0 les bits de ses clusters dans le bitmap. Les données restent intactes sur la surface, et elles le restent jusqu'à ce qu'une écriture vienne réutiliser ces clusters. C'est toute la fenêtre de récupération, et elle se referme à chaque fichier écrit.

Le formatage rapide va plus loin : il écrit un bitmap neuf, entièrement à 0, et déclare l'ensemble du volume disponible. Rien n'a été effacé, mais tout est devenu réutilisable d'un coup. C'est le mécanisme détaillé dans notre page sur la récupération de données sur disque dur formaté(opens in new tab).

Une partition RAW est le cas où le système n'arrive plus à lire les structures du volume, bitmap compris, et propose donc de le formater. Accepter, c'est remplacer les tables abîmées par des tables vides : la marche à suivre est décrite dans réparer une partition RAW(opens in new tab). Quand seules les structures NTFS sont atteintes, le traitement est celui d'un disque NTFS corrompu(opens in new tab).

Sur un SSD, la fenêtre est beaucoup plus courte : la commande TRIM efface réellement les blocs libérés, souvent en quelques minutes. Le cas est traité dans notre page sur la récupération de données SSD après formatage(opens in new tab).

Ce que fait un laboratoire quand le bitmap n'est plus fiable

Nous ne réparons jamais un bitmap sur le support d'origine. La première opération est un clonage de disque dur(opens in new tab) secteur par secteur vers un support sain, avec plusieurs passages sur les zones difficiles quand la surface est fatiguée. Tout le travail se fait ensuite sur la copie, jamais sur l'original.

Sur cette copie, le bitmap est ignoré. Nous reconstruisons l'occupation réelle du volume à partir des enregistrements de la MFT et de leurs listes de clusters, en nous appuyant au besoin sur la copie de secours $MFTMirr et sur le journal $LogFile, qui conserve la trace des dernières opérations. Quand la MFT elle même est trop atteinte, on passe à la reconstruction par signatures de fichiers, qui retrouve les contenus sans l'aide d'aucune table, au prix des noms et de l'arborescence.

Un bitmap faux est donc un problème de structure, pas un problème de surface. Il relève de la récupération de données sur disque dur en panne logique(opens in new tab), et il se traite dans notre laboratoire parisien de récupération de données disque dur(opens in new tab), avec diagnostic gratuit, devis ferme avant intervention et aucun frais si la récupération échoue.

Sur un disque fragile, le bitmap sert à cloner moins

Un disque instable ne se lit pas deux fois. Chaque passage de têtes sur une surface dégradée consomme une part du peu qui reste lisible, et un clone intégral impose de lire tous les secteurs, y compris les zones qui n'ont jamais rien contenu. Sur un volume de 4 To dont 400 Go sont réellement occupés, ce sont neuf dixièmes de l'effort de lecture dépensés sur du vide, pendant que le disque se dégrade.

D'où une méthode que nous employons dès que l'état du support l'impose : lire d'abord les structures, secteur d'amorçage, MFT et $Bitmap, en tirer la carte des clusters libres et occupés, puis ne cloner que les clusters occupés. Le clone obtenu n'est pas une copie physique du disque, c'est une copie de tout ce qui porte un fichier vivant, et cela suffit à rendre les données. Le temps d'exposition du disque baisse dans la même proportion que le volume lu, ce qui change tout sur un support qui perd des secteurs, comme le détaille notre page sur le clonage sectoriel d'un disque à secteurs défectueux(opens in new tab).

Deux conditions commandent ce choix, et elles se vérifient avant de lancer quoi que ce soit. La première : les zones qui portent le bitmap et la MFT doivent être lisibles en entier. Un seul secteur défectueux dans le $Bitmap et la carte devient fausse ou incomplète, on repasse alors au clonage intégral en commençant par les zones saines. La seconde : la demande ne doit pas porter sur des fichiers supprimés. Le bitmap ne connaît que l'occupation du moment, et un fichier supprimé a vu ses bits remis à 0 : ses clusters sont marqués libres alors qu'ils contiennent encore les données. Un clonage guidé par le bitmap les laisse sur le disque d'origine.

La règle de décision tient en deux lignes. Fichiers présents mais illisibles sur un disque fragile : on clone par le bitmap. Fichiers supprimés, volume formaté ou partition perdue : le bitmap ne sert plus de guide, on clone tout, en commençant par les zones que le disque accepte encore de livrer.

Ce qu'il ne faut pas faire

• Ne pas lancer chkdsk /f sur un volume suspect : la commande réécrit le bitmap pour le remettre d'accord avec la MFT, et fige l'état abîmé.
• Ne pas accepter le formatage proposé par Windows.
• Ne pas défragmenter un volume dont l'espace libre affiché est incohérent.
• Ne pas réinstaller le système sur le disque concerné.
• Ne pas restaurer une sauvegarde sur le disque d'origine, restaurer sur un autre support.
• Ne pas installer un logiciel de récupération sur le volume à récupérer.

Chaque écriture consomme un fichier encore récupérable.