В тази статия се описват методи за самостоятелна диагностика на различни повреди на харддисковете според симптомите им, както и начини за относително безопасно клониране на харддискове с незначителни проблеми.
Разгледани са различни случаи на загуба на данни и набор от оптимални действия, които без дълбоки познания в устройствата на файловите системи с помощта на програми за автоматично възстановяване ще ви помогнат да върнете информацията си без външна помощ.
Но преди да пристъпите към каквито и да било действия, е необходимо внимателно да се запознаете с всички материали на статията и едва след това да анализирате състоянието на вашия харддиск, за да не станат опитите ви последни в живота на носителя и да не лишите себе си от последната надежда за възстановяване на необходимите ви данни.
СЪДЪРЖАНИЕ
Част първа: Диагностика
Част втора: Възстановяване на данни.
Съгласявайки се да следвате по-нататъшните инструкции, осъзнавате, че никой освен вас самите не носи отговорност за възможното неработоспособност на носителя и необратима загуба на данни. Наборът мерки е насочен към намаляване на вероятността от неблагоприятен изход, но не осигурява 100% защита.
Диагностика
1. Визуален преглед
Проверете носителя за наличие на деформации, липсващи или изгорели елементи на платката на контролера, проверете целостта на конекторите. Ако откриете сериозни повреди или изгорели елементи, силно се препоръчва да не се опитвате да подавате захранване на такъв носител, за да избегнете влошаване на проблема.
С помощта на отвертки (обикновено това са Torx – T5, T6, T9) развийте винтовете, които крепят платката на контролера, и проверете състоянието на контактните площадки на платката на контролера.
Рис. 2 на контактните площадки присъства оксиден филм
Ако има окислявания, може да опитате да ги избършете с обикновена гуменца по контактните площадки. С гуменца може да работите само върху плоски повърхности, както е показано на изображението. В други случаи подобно действие не е приложимо.
Рис. 3 почистени контактни площадки.
Ако откриете каквито и да е повреди по платката, не трябва да се опитвате да заменяте платката на контролера с аналогичен носител в съвременните твърди дискове, тъй като в съвременните устройства в паметта на платката могат да се намират различни адаптивни параметри, които се формират по време на производствения цикъл и са уникални за всеки носител. В относително редки случаи чуждите параметри могат да повредят твърдия диск.
При наличието на станция за запояване е нужно да се извърши пренос на MCU, EEPROM, NV-RAM, NAND (в зависимост от това какво има на платката на контролера и какво е наложително да се пренесе) и след такава адаптация да се използва донорският контролер. Струва си да се отбележи, че за адаптацията на много контролери е достатъчно да се пренесе само микросхемата EEPROM.
При поддръжката на платка, на първо място погледнете на гравирания номер на PCB. След това оценете съвпадението на маркировките на MCU и VCM&SM контролера. Ако на оригиналната платка и на платката на донора маркировките на MCU и VCM&SM контролера се различават, вероятността платката на потенциалния донор да не е подходяща е висока. В рамките на едно семейство могат да съществуват различни версии на платки и в някои случаи те могат да бъдат съвместими при определени условия, но не трябва да опитвате да установите това в домашни условия.
Опитът да се замени неподходяща платка на контролера (с различен номер на PCB) може да доведе до изгаряне на превключвателя-предусилвател.
Ако имате мултиметър, проверете веригите 5V и 12V за късо съединение. Също така проверете съпротивлението на намотките на двигателя. Ако разполагате с гарантирано работещ аналогичен носител (същия производител, модел, ревизия на контролера), можете да проверите дали същото количество изводи в ключовия конектор ще се свързва към 'земя', а също така да сравните съпротивленията. При сериозни разлики може да се заключи, че превключвателят-усилвател е неизправен и да се спрат всякакви опити за възстановяване на данни.
2. Тестово стартиране
Уверете се, че тестовата система е в изправност, за да избегнете поставянето на неверни диагнози и ако не се открият външни причини, които пречат на опита за стартиране, свържете интерфейса и захранващия кабел към съответните портове и включете БП.
Ако знаете, че носителят е бил ударен или паднал, докато е бил в работно състояние, или преди да дойде при вас е започнал да издава стържещи звуци, въздържайте се от опити за включване.
В тези случаи е необходимо задължително отваряне на твърдия диск в условията на ламинарен бокса (или чиста стая) и внимателно изследване с помощта на микроскоп.
Рис. 4 свързване на кабелите към твърдите дискове.
След подаване на захранване, носителят трябва да започне да върти вала. В някои случаи това може да не се случи с напълно изправни носители, ако по някакви причини в настройките на носителя е записано изискване за подаване на команда за завъртане.
При въртене на вала се чува лек шум от въздушния поток. В някои носители той е едва доловим, затова може да се използва стетоскоп (или да се държи носителя близо до ухото, спазвайки всички правила за безопасност, за да се предотврати късо съединение).
Ако вместо шум на въздуха се чува серия циклични жужения, тихи писъци или звуци, наподобяващи телефонни тонове, вероятно носителят не може да започне въртенето на вала на двигателя. Причините за това могат да бъдат следните: залепване на БМГ извън парковката (зоната), блокиране на вала на двигателя, неизправност на микрочипа VCM&SM на контролера.
При наличието на подходящ носител можете да проверите версията с неисправен контролер VCM&SM, ако сте готови да извършите необходимите адаптации на донорската платка, описани в точка „визуален преглед“.
В случаите на засядане на БМГ извън паркинговата рампа, самостоятелните действия на основата на клипове в youtube обикновено водят до образуването на допълнителни надрасквания по повърхностите на пластините или до откъсване на плъзгачите. Дори ако успеете сравнително успешно да изкарате БМГ на паркинговата рампа, недостатъците в полимерното покритие, образували се на мястото на засядане на плъзгачите, микронадрасквания от плъзгачите, получени при изкарването на БМГ, заедно с процедурите за оффлайн сканиране и праха от незачистен въздух вероятно няма да ви позволят да прочетете значителен обем данни в подавляващото мнозинство от случаите преди развитието на допълнителни необратими деградационни процеси. Как се осъществява процесът на възстановяване на данни в такива случаи в профилна компания можете да научите от тази статия.
При заклинване на вала на двигателя обикновено е необходимо прехвърляне на пакета дискове в гермоблока на донорския носител. Такова мероприятие в домашни условия без необходимата подготовка и без нужните инструменти в 99,9% от случаите ще бъде обречено на провал.
Ако няма никакъв звук при подаване на захранване и носителят не започне да завърта вала, възможните диагнози са: повреда на платката на контролера, повреда на комутатора-предусилител, повреда на БМГ.
След като носителят започне завъртането на вала, той трябва да извърши калибрация, да прочете микропрограмата и, инициализирайки системата на транслацията, да влезе в готовност. Ако вместо калибрация се чуват циклични стучащи звуци, скърцане или други резки звукове, веднага изключете носителя. Причините за подобни явления могат да бъдат: повреда на БМГ или комутатора-предусилител, повреда на микросхемата на контролера VCM&SM.
Микропрограмми на някои устройства провеждат проверка на превключвателя-предусилителя преди завъртането на двигателя, и в случаите на откритие на неправилен отговор или прекалено високо съпротивление по някоя от главите, извършват аварийно спиране на процеса на начинификация. За съжаление, далеч не всички микропрограми достатъчно контролират правилността на самото устройство и позволяват опити за стартиране на явно проблемни хардуерни дискове. Препоръчва се извършването на прехвърляния на БМГ в условия на ламинарен бокс с чист въздушен поток и специализиран инструмент. Освен това, необходимо е да се знае как да се избира донор, за да се избере с подходяща ревизия на превключвателя-предусилителя, карта на главите и близки адаптивни параметри. Просто съвпадение на производителя и модела изобщо не гарантира, че устройството е подходящ донор. Дори и да успеете сами да подберете донор и да проведете процедурата по прехвърляне, едва ли ще можете да прочетете сериозен обем данни поради съпътстващи проблеми.
Какви действия могат да се предприемат при неизправна платка контролер, е посочено в раздела „Визуална проверка“.
Рис. 5 силно надраскана повърхност на пластината (множество нарязвания).
Важно е да разберем, че с всяка опит за включване на устройството с неизправен БМГ съществуват рискове за допълнително разрушаване на повърхностите на пластините, което може да доведе до напълно невъзможно възстановяване на данните.
Ако устройството не издава никакви подозрителни звуци, след извършване на всички процедури по инициализация, то трябва да бъде готово. От този момент нататък устройството трябва да е готово за обмен на данни през интерфейса, и при свързване към порта на основната дънна платка на ПК, то трябва да отговори на искането за паспорт от страна на BIOS. Ако всичко е наред с свързването и настройките на BIOS, но дискът остава невидим за ПК, то вероятно имат проблеми в микропрограмата на устройството, които не му позволяват да се активира.
Ако устройствoто връща некоректни паспортни данни, например само името на модела и нулева капацитет, или името на модела не е точно такова, каквото трябва да бъде, липсва сериен номер, то това показва, че процедурите на инициализация са завършили неуспешно и има проблеми в микропрограмата. В такива случаи обикновено е невъзможно самостоятелно да се реши проблемът без използване на професионални софтуерно-апаратни комплекси.
Поотделно можем да разгледаме случая с Seagate 7200.11 (семейство Moose), при които някои проблеми можеше да се решат с помощта на RS232-TTL адаптер и обикновен терминал, но тук е нужно да се разбере, че без да се задълбочим в проблема с микрокода, съществуват рискове значително да влошим ситуацията.
Настоятелно не се препоръчва прилагането на методологията по отношение на други семейства, тъй като тя ще доведе до преноминация на транслатора, който в подавляващото мнозинство на случаите ще бъде некоректен и достъпът до потребителската зона ще бъде до първата точка на разминаване. Възстановяването на данни в този случай значително се усложнява.
Ако в предоставеното от устройството паспотно поле всички данни са коректни, освен капацитета, е необходимо да се провери дали това не е последица от грешка на BIOS на някои дънни платки, които, използвайки команди за управление на HPA, вместо да отрежат малък фрагмент от LBA диапазона за запазване на копие на BIOS, отрязват почти 1TB.
Рис. 6 паспортен капацитет на диск 1TB след некоректна работа на BIOS на дънна платка Gigabyte
За решаване на този проблем може да се използва HDAT2 или аналогично безплатно диагностично софтуерно, с помощта на което може да се възвърне оригиналният паспортен капацитет на устройството, а също така да се деактивира възможността за управление на HPA в DCO, за да се избегне рецидив на проблема.
3. Подготовка за тестване
При тестване на дискове извън професионални комплекси е важно предварително да се подготви операционната система. Необходимо е да се забрани автоматичното монтиране на томовете на диска, за да се избегне самодейността на операционната система.
В ОС Windows за това с администраторски права е нужно да се стартира diskpart и да се изпълни командата automount disable. Ако потенциално проблемният диск преди това е бил свързван с тази ОС, е необходимо да се изтрият параметрите за монтиране от регистъра с командата automount scrub. Препоръчва се да се рестартира, за да влязат в сила зададените настройки.
Също така е необходимо да се подготви диагностичен софтуер. Под Windows можете да използвате безплатния PC3000 DiskAnalyzer, който предлага не само диагностични функции, но и възможност за създаване на секторна копия. Препоръчително е също да разполагате с USB флаш устройство с HDAT2.
Не е задължително да се използва само този софтуер за диагностика. Можете да използвате всякакви аналогични програми, с изключение на някои платени приложения, предназначени за прекалено доверчиви потребители, в реклама на които могат да звучат подобни слогани: „... уникална програма за възстановяване на физически повредени твърди дискове. Тя не скрива дефектните секторни, а наистина ги възстановява!“. При много претенциозни твърдения, в действителност подобен софтуер предлага съвсем ограничени възможности, които не надвишават тези на безплатния софтуер, а идеологията за работа с дефектите е по-скоро насочена към окончателно унищожаване на устройството, отколкото на помощ при възстановяване на данни.
Ако времето за зареждане на ОС се е увеличило многократно дори при изключено автоматично монтиране на томовете, се препоръчва да се прекратят всякакви опити за самостоятелни действия, за да не се влоши ситуацията.
Същественото увеличение на времето за зареждане на ОС при свързване на потенциално проблемен твърд диск е характерен признак, че на повърхностите на пластините на устройството има дефекти. Забавянията в зареждането на ОС се дължат на опити за достъп до дефектни секторни и на опити на фърмуера да изпълнява процедури за офлайн сканиране, които не му по силите.
След успешното зареждане на ОС влезте в диспечера на устройствата и се уверете, че вашето устройство присъства в списъка с устройства. Ако не го има там, проверете дали драйверът за контролера, към който е свързано, е инсталиран, и дали самият контролер не е отключен в списъка с устройства. Ако драйверът и настройките на ОС са в ред, а устройството все още не се появява в ОС или се е появило и след известно време е изчезнало, това обикновено показва широк спектър от неизправности. Най-вероятните причинители са неизправности на платката на контролера, зависване на фърмуера на устройството или преминаване на устройството в аварийни режими, при които то спира да реагира нормално на повечето команди.
За уточняване на диагнозата можете да опитате да заредите DOS и с помощта на HDAT2 да проверите параметрите SMART. Ако се открият признаци на дефектообразуване (ненулеви стойности по 5 и 197(С5) атрибута в полетата на ненормирани стойности), можете да заключите, че без намеса в настройки на фърмуера в домашни условия нищо не може да се направи. Ако признаци на дефектообразуване няма, причината за зависванията може да се крие в некоректната работа на платката на контролера. В този случай можете да опитате да използвате платката на контролера от устройство донор.
4. Тестване
Следвайки предишните етапи и не забелязвайки сериозни причини за спиране на процеса, можете да преминете към по-нататъшна оценка на състоянието на устройството. В повечето устройства, произведени през този век, е внедрена технологията S.M.A.R.T., която следи състоянието на устройството и фиксира различни събития по време на неговата работа. Повече информация за реализацията на тази технология в HDD и какви параметри е желателно да се следят по време на експлоатация на дисковете можете да прочетете в нашата статия .
Използвайки диагностичен софтуер, е необходимо да се поискат параметрите S.M.A.R.T.
Рис. 7 атрибути SMART на здрав твърд диск
Важно е да оцените показателите по атрибутите 5 и 197(С5). Ако стойностите в колоната RAW са нулеви или показателите за проблеми са единични, тогава е необходимо да преминете към по-нататъшно тестване.
Рис. 8 атрибути SMART на диск със сериозно дефектообразуване
Ако броят на дефектните кандидати е тризначно или четиризначно число, в повечето случаи допълнителните опити за тестване на повърхността или сканирането с инструменти за автоматично възстановяване на данни ще влошат проблема, до пълна невъзможност за получаване на данни.
За получаване на данни в такива случаи е важно да се намесите в настройките на фърмуера на дисковете и да деактивирате процедури за офлайн сканиране, водене на S.M.A.R.T. журнали, за да освободите диска от фонови процеси, които могат значително да съкратят живота на проблемното устройство. За съжаление, простите методи без дълбоки познания в архитектурата на фърмуерите на дисковете и без професионални комплекси не могат да постигнат това. Следващата задача е да се оцени състоянието на всяка от главите поотделно и да се локализира основната дефектна зона. Линейното четене с многократни повторения на дефектни участъци в такива случаи е противопоказано, като прекалено опасно.
Дори ако дисковият носител на пръв поглед работи правилно и според показанията на S.M.A.R.T. не се откриват признаци на дефекти, това не гарантира, че наистина ги няма. Затова е необходимо да се направи завершаващ етап на тестването и да се извърши верификация на повърхността.
Важно е постоянно да се контролира процеса на сканиране. При появата на чужди звуци или откритие на значителни зони с грешки в четенето, незабавно трябва да се прекрати процеса и да се изключи носителя, за да се избегнат необратими последици.
Фиг. 9 график на сканиране на здрав диск
Ако резултатът от сканирането на диска сочи монотонно-намаляващ по скорост график и няма регистрирани грешки в четенето, то носителят може да се счита за здрав и може да се премине към следващия раздел.
В дискове с голям медиакеш и транслация, различаваща се от класическата (обикновено в дискове с плочкова запис (SMR)), графикът може да има друга форма. Възможни са различни видове отклонения.
Фиг. 10 график на сканиране на диск с проблемна глава
Ако при верификация на диска се открият циклични "бавни" зони, то това е характерен признак на не напълно исправна глава. Необходимо е незабавно да се прекрати тестването, а не да се чака появата на дефекти.
В такава ситуация не бива да се очаква нищо добро при самостоятелни опити за извличане на данни. С голяма вероятност, устройството няма да преживее опита за създаване на секторно копие с наличните на потребителя средства.
В случаи, когато в атрибутите S.M.A.R.T. 5 и 197(С5) са открити признаци на образуване на дефекти или по време на верификацията са открити точкови дефекти, е необходимо да се създаде копие на диска.
5. Посекторно копие
Ако по резултатите от тестването устройството е изправно и не се откриват проблеми, тогава не е необходимо да се създава секторно копие и може да се работи с оригиналния диск. Но за да се избегнат различни злополуки, е настоятелно препоръчително да не се пропуска този етап и да се работи само с копието.
При изправен хард диск или диск с малко количество дефекти няма особена разлика какъв инструмент ще използвате, важното е да създава пълно копие. Също така е важно да не се опитвате да активирате опции на някои програми за създаване на компресиран образ, тъй като по-късно вероятно ще можете да работите само в рамките на възможностите на софтуера, създал този образ.
В ОС Windows могат да се използват следните програми: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio и други.
В ОС Linux ще са достатъчни възможностите на стандартната команда dd.
Не всичкото софтуер е безплатен, но в много случаи възможностите на trial/demo версията ще са достатъчни за създаване на копие на устройството.
Като пример ще използваме WinHex за клониране на диск.
Рис. 11 опции в менюто на WinHex за клониране на диск.
На раздела „Инструменти“ изберете опцията „Дискови инструменти“ и в изскачащото меню изберете „Клонирай диск“ или просто натиснете Ctrl+D.
Рис. 12 настройки на параметрите за клониране.
Източникът е дискът, който трябва да се клонира.
Получателят може да бъде диск с подобен или по-голям обем, а също така е възможно клониране в файл-образ.
Уверете се, че на диска-приемник има достатъчно свободно пространство.
В настройките за копиране е желателно да се активира опцията „пропускане на дефектни сектори“.
Ако вашето устройство има сектор с физически размер на сектора 4096 байта, но в ОС се трансформира с виртуален размер 512 байта, е необходимо да зададете стойност 8, за да избегнете излишни опити за четене на проблемния сектор.
Шаблон за замяна на дефекти на източника — посочете удобно за търсене слово или словосъчетание, с което ще бъде попълнен секторът в копието на мястото на непрочетените сектори от източника. Впоследствие ще бъде удобно да се намират повредените файлове.
При създаване на копия е задължително да се следи процеса без прекъсвания. При появата на нежелани звукове, зависване на носителя или откритие на повече проблеми в сравнение с първоначалното тестване, незабавно прекратете процеса и изключете носителя, за да избегнете необратими последици.
В професионалните средства за възстановяване на данни, като DataExtractor, има значително повече възможности за настройка на сценарии за копиране на данни, както и контрол на състоянието на носителя, което значително увеличава шансовете за успешно извличане при наличие на компетентен специалист.
Рис. 13 настройки на реакциите на професионалния комплекс при проблеми с четенето
Възстановяване на данни
6. Методи за възстановяване
Към днешна дата съществуват много програми за автоматично възстановяване на данни, които не изискват от потребителя никакви специализирани знания и предвиждат получаване на данни почти с един клик. Но този подход в много случаи няма да даде максимално възможен резултат или той ще бъде загубен между множество нежелани варианти.
За ефективна работа на програмата за възстановяване на данни е най-добре да се ограничи максимално областта на търсене. За това е желателно да се посочи областта на сканиране и типът на търсената файловата система. Такова уточнение може да отхвърли множество варианти на предишни файлови системи, както и да намали вероятността от неправилно интерпретиране на откритите метаданни на файловата система.
Рис. 14 Пример за настройка на R-studio за търсене на метаданни от необходимата файловата система
Метаданните на файловата система са структури, описващи разположението на файловете, техните имена, атрибути, права за достъп до тях, логове и т.н.
Рис. 15 Пример за метаданни. Фрагмент от запис на MFT (Master File Table в NTFS)
Не във всички случаи програмите за автоматично възстановяване точно изчисляват началната точка за метаданните, а също така не винаги коректно филтрират данни от различни файлови системи, поради което е възможно грешно изчисление на местоположението за всички файлове. Освен това, различни грешни интерпретации увеличават предполагаемия обем данни, понякога много повече от капацитета на самото устройство.
В професионалните комплекти има инструменти за създаване на виртуални томове от различни файлови системи с ръчно зададени параметри, както и инструменти за търсене на метаданни с възможност за ръчно отсяване на излишни обекти.
В случаи, когато необходимите метаданни на файловата система вече не съществуват или са некоректни, е необходимо да се приложи метод за търсене с регулярни изрази, характерни за различни типове файлове.
Рис. 16 0xFF 0xD8 0xFF регулярният израз, характерен за JPG файлове
Програмите за автоматично възстановяване, които използват този метод на търсене, имат следните недостатъци: липсва структура на каталогите и оригиналните имена на файловете, не се извършва анализ на структурата на файловете и недостатъчно се контролира целостта на намерения файл, поради което се намират множество боклуци, които не могат да се използват, а за много типове файлове не се изчислява коректен размер.
Рис. 17 Настройки на R-Studio за търсене на регулярни изрази на нужните файлове
7. Типови случаи и препоръчителни действия
Повреда на файловата система
В резултат на сбоя на компоненти на компютъра, некоректна работа на операционната система, внезапно прекъсване на захранването по време на запис на диска, или неизправности на твърдия диск, метаданните на файловата система могат да бъдат повредени. При много видове повреди операционната система няма да може да монтира дял с повредена файловата система.
Рис. 18 повредени метаданти на файловата система (неразпозната файловата система RAW)
В тези случаи методът за търсене на метаданти на файловата система в границите на съществуващия дял е достатъчно ефективен. При незначителни повреди може да се постигне резултат, близък до 100%. Тази препоръка е актуална за повечето различни файлови системи.
Разбира се, съществуват случаи, когато в резултат на сбой голям обем метаданни на текущата файлова система се поврежда. В такива моменти, ако първият вариант не е проработил, е необходимо да се използва методът за анализ на регулярни изрази за намиране на нужните файлове.
Работата на специалиста се отличава с това, че той оценява характера на повредата на метаданните и ако те не са унищожени, а се намират в изкривен вид, е възможна ръчна корекция в шестнадцатичен редактор.
Изтриване на файл или група файлове.
Грешно изтриване на данни — доста често срещан случай. Последствията от това действие зависят значително от типа файлова система, както и от идеологията на работа на микропрограмата на самото устройство при относително нови дискове.
Ако файловете са били изтрити в дял с файлова система NTFS, оптималният метод за търсене ще бъде експресен анализ с различни инструменти, при който бързо се сканират ключовите структуры (MFT, Index, Logfile) без пълно сканиране на дяла. Ако необходимите файлови записи и пространството, заето от тези файлове, не са презаписани от други данни, то релативно бързо може да се получат интересуващите файлове.
Рис. 19 след сканиране $MFT фиолетово са обозначени записите, числящи се за изтрити.
Ако при бързото сканиране не се открият нужните данни или те са повредени, може да се извърши пълно сканиране на дяла, но вероятно резултатът няма да се промени сериозно и освен търсенето на регулярни изрази, няма да остане нищо друго.
В арсенала на специалиста е наличен инструмент за изграждане на карта на незаетото пространство и последващ анализ единствено в тези области, което премахва от резултатите възстановяването на съществуващи данни. Това значително спестява време на потребителя при по-нататъшното търсене на необходими файлове сред множеството безименни данни.
Ако файловете са изтрити на дял с файловата система FAT16, FAT32, може да се използва анализ на метаданни, за да се възстановят части от данните с оригиналните имена. В случай на SFN, първият символ от името на файла ще липсва, а ако файлът е с дълго име, пълното му име ще бъде в записа LFN. При изтриване на фрагментирани файлове, възстановяването на данни чрез средства за автоматично възстановяване няма да бъде успешно, тъй като при изтриване в таблицата FAT се изтрива записа за веригата на кластерите, принадлежащи на файла. Освен това в FAT32 в някои случаи, освен изтриването на веригата за местоположението на файла в двете копия на таблицата, в директорията се изтрива първият символ на SFN и старшите два байта в номера на първия кластер, зает от файла. Повечето утилити за автоматично възстановяване, които анализират метаданни, няма да определят правилната позиция на файла.
Възстановяването на фрагментирани файлове обикновено е доста сложна работа, която е слабо автоматизирана. Методите за автоматизация могат да се разработват за конкретен тип структури. Най-често задачата се свежда до ръчен, нископродуктивен анализ за търсене на необходимите фрагменти. Пример за подобна работа може да се оцени в статията
Ако методите за анализ на метаданни не доведат до намиране на нужните данни или нужните файлове не могат да бъдат отворени, остава методът за търсене с редовни изрази. Възможно е някои от файловете да успеят да се открият.
Ако файловете са изтрити на дял с файловата система HFS+, Ext 2, Ext3, Ext4, то, за съжаление, анализът на метаданни е безполезен. Освен търсенето с редовни изрази, няма какво друго да се направи.
Изтриване на дял с данни
Ако в конзолата за управление на дисковете е изтрит един или повече дялове по грешка, за потребителя, който иска да възстанови данните, ще се препоръча стартиране на утилити за автоматично възстановяване с пълно сканиране на устройството. Също така е желателно да се вземе предвид положението на съществуващите дялове, за да се изключат явно неверни варианти в намерените.
Рис. 20 изтрит дял
Подобна работа се изпълнява сравнително бързо от специалист чрез търсене на заредни сектори и суперблокове на очаквани места. На базата на откритото се изчисляват точните позиции на началото на разделите и тяхната дължина.
Също така може да се опитате да използвате DMDE или аналогични инструменти, които сравнително бързо могат да позволят намирането на признаци за начало на раздела и да се опитате да визуализирате файловата система на намерения раздел.
Рис. 21 резултат от бързо търсене на раздели с помощта на DMDE.
Разделът е форматиран с данни.
В такива случаи препоръчаният сценарий на действия зависи силно от типа файловата система, която е била преди форматирането на раздела, и коя файловата система е започнала да се използва след форматирането.
Например, ако раздел FAT32 с 8KB клъстери е бил форматиран в FAT32 с 64KB клъстери, размерът на новите FAT таблици става осем пъти по-малък и следователно и двете копия на новите таблици повреждат само първото копие на старите FAT таблици. В такава ситуация търсенето на метаданни може да доведе до резултат близък до 100%. Ако обаче разделът е бил форматиран в FAT32 с равен или по-малък размер на клъстера от преди форматирането, новите чисти таблици напълно ще презапишат старите и частично ще засегнат областта с потребителски данни. В такъв случай търсенето на метаданни ще даде значително по-лош резултат.
Ако преди форматирането на раздела е била използвана файловата система FAT32, а разделът е бил форматиран в NTFS, новите структури ($MFT, $Bitmap, $Logfile) обикновено не се намират в самото начало на раздела и вероятността с метода за търсене на метаданни да получите по-голямата част от данните с нормална структура на папките и минимални повреди на самите данни е голяма.
Също така, процентът на възстановяване ще бъде висок, когато раздел с файловата система NTFS е форматиран в FAT32. В този случай FAT таблиците повреждат данните в началото на раздела и обикновено не засягат ключовите структури на NTFS. Незадоволителен резултат ще бъде в случай на малък обем данни, размерите на които са съизмерими с размерите на двете копия на FAT таблиците.
Но ако потребителят не желае да се запознава с нюансите на разположението на метаданните в различните файлови системи, логичната стъпка би била да стартира утилита за автоматично възстановяване на данни в режим на търсене на метаданни. И в случай, че полученото количество данни е недостатъчно, да приложи метода на търсене с регулярни изрази.
Разделът с данните е форматиран и частично презаписан с други данни.
Както обикновено се случва, потребителят може да форматира раздел и да започне да го запълва с други данни, а едва след това да се осъзнае, че на стария раздел е имало важна информация. В такива случаи не може да има еднозначна препоръка. Всичко зависи много от това колко (количествено и по обем) нови данни са записани, както и къде се намират тези данни. В зависимост от условията, резултатът може да бъде от 0 до близо 100%. Очакваните резултати са непредсказуеми.
В много случаи, когато има голямо припокриване на областта с данни, има смисъл да се започне с метода за търсене с регулярни изрази за нужните типове файлове, за да се разбере дали все още има признаци за съществуването на необходимите данни, и при тяхното откритие да се извърши търсене на метаданните на файловата система.
В условията на лаборатория за възстановяване на данни специалистът ще изгради карта на незаетото пространство и ще проведе търсене с регулярни изрази само в тези участъци, за да изключи от резултатите наличието на вече съществуващи данни. Също така, с помощта на инструменти за контрол на цялостта значително ще намали броя на фалшивите разпознавания. А в някои задачи, като възстановяването на jpg файлове (например, на домашен фотоалбум), ще успее да извърши сортиране според информацията, съдържаща се в Exif таговете на jpeg файловете, което ще позволи да се получи подреден в хронологичен ред резултат и сортиран по модели на камери.
Рис. 22 резултат от сортиране на JPG файлове, намерени чрез търсене с регулярни изрази
Аварийно завършване на процедури за промяна на размер, местене или обединение на раздели.
В случай на аварийно завършване на процедурите на дисковите мениджъри за промяна на размера на дял, неговото преместиране или сливане на няколко дяла, е необходимо да се изясни какви точно стъпки са били извършени и на какъв етап е била спряна операцията, за да се получи максимално възможният резултат.
Като вземем предвид сложността и броя на възможните варианти, ще разгледаме само универсалния вариант за потребител, който се нуждае от резултат с минимален брой действия. Обект за анализ трябва да бъде целият носител, за да се гарантира обхващането на всички места за съхранение на данни. Използвайте метода за търсене на метаданни и копирайте всички варианти на данни според намерените файлови системи. Вероятността е висока, че в всеки от вариантите ще има валидни различни набори файлове. Търсенето с регулярни изрази по зададени типове файлове също е важно, тъй като в такива случаи загубата на данни може да доведе до частична загуба на информация за имената и местоположението на файловете.
8. Проверка на целостта на възстановените данни
Важно е да се разбере, че показването на имената на файловете в програмата за възстановяване на данни или броят на намерените регулярни изрази не гарантира, че всичко намерено ще бъде годно за използване. Затова един не по-малко важен етап след възстановяването на данните с програмата за автоматично възстановяване е проверката на целостта на самите данни.
За съжаление, универсално безплатно средство за проверка на целостта на голямо количество различни файлове не съществува. Но поотделно е възможно да се намерят безплатни програми, които могат да контролират отделни типове файлове. Например, много архиватори ще позволят проверка на целостта на архивите, с MP3Diag можете да проверите целостта на mp3 файловете, а ImageMagick може да се използва за тестване на jpg файлове.
Основният недостатък на много безплатни утилити за проверка на целостта на файловете е, че те не гарантират пълна проверка на файловете. И могат да се допуснат масови грешки.
За много типове файлове у потребителя не остава друг вариант, освен визуално да оценява целостта на данните чрез последователно отваряне на файловете в съответстващи приложения.
В професионалните комплекси присъства набор от инструменти, който позволява частично да се контролира изправността на файловете, което освобождава резултата от възстановяването на данни от голямо количество боклуци.
Освен отсяването на боклука, е необходимо да се открият повредени файлове. Ако сте създали секторно копие с попълнителен патерн на неперчетими сектори, то въпросът за намирането на повредени файлове може лесно да се реши посредством търсене в файловете на текстовата стринга «BAD!BAD!BAD!BAD!» (в нашия пример беше използван попълнителя «BAD!»). След намирането е необходимо да се провери степента на повредата, тъй като някои формати на файлове могат да не пострадат съществено от загубата на малко количество данни, а други могат да станат напълно негодни.
9. Чести грешки на потребителите.
Различни опити за "лечение" на дефекти с помощта на популярни диагностични утилити с надежда да възвърнат достъпа до данните, са една от основните грешки на много потребители. Опитите да се скрият дефектите на устройството с повреден полимер на повърхността на пластините обикновено завършват с шлифоване на пластините, а не с получаване на достъп до данните. Поради тази причина, без да се знае характерът на дефектите на повърхността, категорично не се препоръчва извършването на каквито и да било сервизни операции върху диска преди получаване на данните. След успешно възстановяване на информацията, може да се опитате да обслужите устройството, и ако случайно ви провърви, може би устройството ще бъде годно за по-нататъшна експлоатация в не особено отговорни задачи.
Често повредите засягат метаданните на файловата система. В тези случаи операционната система при опит за монтиране на повредения том дълго замръзва. При свързано проблемно устройство, времето за зареждане на операционната система може да се проточи на десетки минути. Една от най-неуспешните идеи за решаване на този проблем е форматирането на проблемния дял. Нoво създадените метаданни могат да се запишат коректно и проблемът със дългото зареждане на операционната система ще бъде решен, но задачата за възстановяване на данни ще се усложни, а качеството на резултата от възстановяването може да пострада значително.
Копиране на данни, открити от утилитата, на същия дял, от който се опитвате да възстановите файлове. В този случай обикновено всичко приключва с това, че вместо данни потребителят получава отпадъци, а следващата опит за възстановяване на данни вече ще бъде с много по-лош резултат. Ако действате по инструкциите в тази статия, ще бъдете защитени от такава грешка.
Не се извършва проверка на целостта на възстановените данни и съдържанието на оригиналното устройство се унищожава заедно с неговото копие. В този случай съществува риск да останете с куп папки, пълни с грешни резултати от опита за възстановяване на данни, без възможност да получите качествен резултат.
Неправилен избор на инструмент и методи за възстановяване на данни, в резултат на което получавате резултат, значително по-лош, отколкото би могъл да бъде.
Надявам се, че този комплекс от мерки ще ви помогне да вземете решение дали ситуацията с вашето хранилище допуска самостоятелни опити за възстановяване на данни и готови ли сте да извършите този набор от относително прости действия, изброени в тази статия.
Източник: habr.com
