V tomto článku jsou popsány metody samodiagnostiky různých poruch pevných disků podle symptomů jejich projevů, jakož i způsoby relativně bezpečného klonování pevných disků s drobnými problémy.
Byly probrány různé případy ztráty dat a soubor optimálních akcí, které vám pomohou obnovit vaše informace bez cizí pomoci, i bez hlubokých znalostí struktury souborových systémů pomocí programů pro automatické obnovení.
Ale než se pustíte do jakýchkoli samostatných akcí, je třeba se důkladně seznámit se všemi materiály článku a teprve poté analyzovat stav vašeho pevného disku, aby vaše pokusy nebyly posledními v životě úložného zařízení a abyste se nezbavili posledních nadějí na obnovení potřebných dat.
OBSAH
Část první: Diagnostika
Část druhá: Obnova dat.
Souhlasíte s dalším postupem podle pokynů, uvědomujete si, že nikdo kromě vás samotných nenese odpovědnost za možné selhání zařízení a nenávratnou ztrátu dat. Sada opatření je zaměřena na snížení pravděpodobnosti nepříznivého výsledku, ale nezajišťuje 100% ochranu.
Diagnostika
1. Vizualní kontrola
Prozkoumejte zařízení na přítomnost deformací, chybějících nebo spálených prvků na desce řadiče, zkontrolujte integritu konektorů. Pokud zjistíte nějaká vážná poškození nebo spálené prvky, důrazně se nedoporučuje pokoušet se napájet takové zařízení, aby nedošlo k dalšímu zhoršení problému.
Pomocí šroubováků (obvykle Torx – T5, T6, T9) odšroubujte šrouby, které upevňují desku řadiče, a zkontrolujte stav kontaktních ploch na desce řadiče.
Obr. 2 na kontaktních plochách je přítomna oxidová vrstva
Pokud jsou na kontaktních plochách oxidy, můžete se pokusit je běžnou gumou odstranit. S gumičkou je možné pracovat pouze na plochých plochách, jak je zobrazeno na obrázku. V jiných případech je takový zásah nepoužitelný.
Obr. 3 očištěné kontaktní plochy.
Pokud zjistíte nějaké poškození desky, neměli byste se pokoušet v moderních pevných discích vyměnit řídicí desku za podobný model, protože v moderních zařízeních mohou být v EEPROM na desce různé adaptivní parametry, které se vytvářejí během výrobního procesu a jsou unikátní pro každý disk. V relativně vzácných případech mohou cizí parametry způsobit poškození pevného disku.
Pokud máte k dispozici pájecí stanici, je třeba přenést MCU, EEPROM, NV-RAM, NAND (v závislosti na tom, co je na desce řídicího čipu a co je třeba bezpodmínečně přenést) a po takové adaptaci použít donorskou řídicí desku. Je třeba poznamenat, že pro adaptaci mnoha řídicích desek stačí přenést pouze čip EEPROM.
Při výběru desky se nejprve podívejte na odznačené číslo PCB. Poté vyhodnoťte shodu označení MCU a VCM&SM řídicí desky. Pokud se označení MCU a VCM&SM řídicí desky na původní desce a na desce donora liší, je vysoká pravděpodobnost, že deska potenciálního donora není vhodná. V rámci jedné rodiny mohou existovat různé verze desek a v některých případech mohou být s určitou podmínkou vzájemně kompatibilní, ale neměli byste se pokoušet to zjišťovat doma.
Pokud se pokusíte použít nevhodnou řídicí desku (s jiným číslem na PCB), může to vést ke spálení přepínače zesilovače.
Pokud máte multimetr, zkontrolujte obvody 5V a 12V na přítomnost zkratu. Také zkontrolujte odpor vinutí motoru. Pokud máte k dispozici zcela funkční přesně stejný disk (shodný výrobce, modelová řada, revize řídicí desky), můžete zkontrolovat, zda se stejný počet vývodů v konektoru spínače prosvítí na „zem“, a také porovnat odpory. Při významných rozdílech můžete usoudit, že spínač-předzesilovač je vadný, a na tom přestat s jakýmikoli pokusy o další obnovení dat.
2. Testovací spuštění
Ujistěte se, že vaše testovací zařízení je funkční, abyste se vyhnuli nesprávným diagnózám a pokud nebyly zjištěny žádné vnější příčiny, které by bránily pokusu o spuštění, připojte kabel pro rozhraní a napájecí kabel k odpovídajícím konektorům a zapněte napájení.
Pokud víte, že disk byl při provozu udeřen nebo upuštěn, nebo pokud předtím, než se k vám dostal, začal vydávat klepající zvuky, vyhněte se pokusům o zapnutí.
V těchto případech je nutné povinně otevřít pevný disk v podmínkách laminar boxu (nebo čisté místnosti) a důkladně prozkoumat pomocí mikroskopu.
Obrázek 4 připojení kabelů k pevným diskům.
Po dodání napájení by se disk měl začít otáčet. V některých případech se to nemusí stát u zcela funkčních disků, pokud z nějakého důvodu bylo do nastavení disku zavedeno požadavek na zaslání příkazu spin up.
Při otáčení hřídele vzniká jemný šum od vzduchového proudu. V některých discích je to sotva slyšitelné, a proto si můžete vzít stetoskop (nebo držet disk blízko ucha při dodržení všech bezpečnostních opatření, abyste zabránili zkratu).
Pokud místo šumu vzduchu slyšíte sérii cyklických hučících zvuků, tichých písků nebo zvuky, které vzdáleně připomínají telefonní vyzvánění, pak pravděpodobně disk nemůže začít otáčet hřídel motoru. Příčiny mohou být následující: zaseknutí BMG mimo parkovací rampu (zóny), zablokování hřídele motoru, porucha čipu VCM&SM řadiče.
Při použití vhodného donorového disku lze zkontrolovat verzi s vadou VCM&SM kontroléru, pokud jste ochotni provést potřebné úpravy donorové desky, jak je popsáno v bodě „vizuální inspekce“.
V případech zaseknutí BMG mimo parkovací rampu obvykle vlastní akce na základě videí na youtube vedou k vytváření dalších škrábanců na površích desek nebo k odtržení slajdrů. I když se vám podaří relativně úspěšně dostat BMG na parkovací rampu, vady polymerového povlaku, které vznikly na místě zaseknutí slajdrů, mikroškrábance od slajdrů, které vznikly při vyvádění BMG, spolu s procedurami offline skenování a prachem z nevyčištěného vzduchu pravděpodobně neumožní přečíst podstatné množství dat ve většině případů před zahájením vývoje dalších nevratných degradačních procesů. Jak probíhá proces obnovy dat v takových případech v specializované firmě lze seznámit se v tomto článku.
Při zablokování hřídele motoru je obvykle potřeba přenést diskový balíček do hermetického bloku donorového úložiště. Taková akce doma bez odpovídající přípravy a nutných nástrojů v 99,9 % případů bude odsouzena k neúspěchu.
Pokud se při zapnutí napájení neozve žádný zvuk a disky nezačnou otáčet hřídelí, mohou být následující diagnózy: nefunkční kontrolní deska, nefunkční předzesilovač, nefunkční BMG.
Jakmile disky začnou otáčet hřídelí, měly by kalibrovat, přečíst firmware a po inicializaci přenosového systému by měly být připraveny. Pokud místo kalibrace zazní cyklické údery, skřípání nebo jiné zvonivé zvuky, ihned vypněte disk. Příčinou takových jevů může být: závada na BMG nebo předzesilovači, závada na čipu VCM&SM kontroléru.
Mikroprogramy některých úložišť provádějí dotaz na předzesilovač před roztočením motoru, a v případě zjištění nesprávné odezvy nebo překročení odporu u některé z hlav provádějí nouzové zastavení procesu počáteční inicializace. Bohužel ne všechny mikroprogramy dostatečně kontrolují funkčnost samotného zařízení a povolují pokusy o spuštění zjevně problematického pevného disku. Přesazení BMG se doporučuje provádět v podmínkách laminárního boxu s čistým vzdušným tokem a specializovaným nářadím. Dále je třeba vědět, jak vybírat dárce, aby byl vybrán s odpovídající revizí předzesilovače, mapou hlav a podobnými adaptivními parametry. Pouhá shoda výrobce a modelu vůbec nezaručuje, že úložiště je vhodným dárcem. I když se podaří samostatně vybrat dárce a provést postup přesazení, pravděpodobně se nedaří přečíst významné množství dat kvůli souvisejícím problémům.
Jaké kroky lze podniknout při poruše řídící desky, je uvedeno v části „Vizualní kontrola“.
Obr. 5 silně poškrábaný povrch desky (mnoho rýh).
Je důležité chápat, že s každým pokusem o zapnutí úložiště s nefunkčním BMG existují rizika dalšího poškození povrchů desek, což může vést k úplné nemožnosti obnovit data.
Pokud úložiště nevydává žádné podezřelé zvuky, mělo by po provedení všech inicializačních procedur být připravené k činnosti. Od tohoto okamžiku by mělo být úložiště připravené na výměnu dat přes rozhraní a v případě připojení k portu základní desky PC by mělo odpovědět na dotaz BIOSu na pas. Pokud je všechno v pořádku s připojením a nastavením BIOSu, ale disk zůstává neviditelný pro PC, pravděpodobně existují problémy v mikroprogramu úložiště, které mu neumožňují připravit se.
Pokud úložiště vrací neplatné pasové údaje, například jen název modelu a nulovou kapacitu, nebo je název modelu nesprávný a chybí sériové číslo, znamená to, že procesy inicializace selhaly a v mikroprogramování jsou problémy. V takových případech není obvykle možné problém vyřešit bez použití profesionálních softwarových a hardwarových systémů.
Jednotlivým výběžkem je případ Seagate 7200.11 (rodina Moose), u kterého bylo možné některé problémy řešit pomocí RS232-TTL adaptéru a běžného terminálu, ale je třeba chápat, že bez porozumění problému mikroprogramu existují rizika, že se situace výrazně zhorší.
Důrazně se nedoporučuje aplikovat tuto metodiku na jiné rodiny, protože to povede k přepočtu převodníku, který ve většině případů bude chybný a přístup do uživatelské zóny bude blokován až do první nesrovnalosti. Obnova dat je v takovém případě značně ztížena.
Pokud jsou ve vydaném pasu úložiště všechna pole správná kromě kapacity, je nutné zkontrolovat, zda to není důsledkem chyby BIOSu některých základních desek, které při používání příkazů pro správu HPA, místo aby odstranily malý úsek LBA rozsahu pro uložení kopie BIOSu, odstraní téměř 1TB.
Obr. 6 pasová kapacita disku 1TB po nesprávném zpracování BIOSu základní desky Gigabyte
K vyřešení tohoto problému lze použít HDAT2 nebo jiný podobný bezplatný diagnostický software, s jehož pomocí lze vrátit původní pasovou kapacitu úložiště a také zakázat možnost správy HPA v DCO, aby se předešlo opakování problému.
3. Příprava na testování
Při testování disků mimo profesionální komplexy je důležité předem připravit operační systém. Je nutné zakázat automatické montování oddílů disku, aby se předešlo nechtěným akcím operačního systému.
V operačním systému Windows je k tomu potřeba spustit s administrátorskými právy diskpart a provést příkaz automount disable. Pokud byl potenciálně problémový disk dříve připojen k tomuto operačnímu systému, je nutné odstranit parametry montování z registru příkazem automount scrubPro aktivaci těchto nastavení se doporučuje restart.
Je také nutné připravit diagnostický software. Pod Windows můžete použít bezplatný PC3000 DiskAnalyzer, který kromě diagnostické funkce umožňuje také vytváření sektorové kopie. Také je doporučeno mít k dispozici bootovací USB flash disk s HDAT2.
Není nutné při diagnostice používat pouze tento software. Můžete použít jakékoli jiné alternativy, s výjimkou některého placeného softwaru pro příliš důvěřivé uživatele, jehož reklamy mohou obsahovat fráze jako „… unikátní program pro regeneraci fyzicky poškozených pevných disků. Nezakrývá vadné sektory, skutečně je obnovuje!“. Při velmi silných tvrzeních má takový software obvykle velmi omezené možnosti, které nepřesahují možnosti bezplatného softwaru, a ideologie práce s defekty je spíše zaměřena na konečné zničení disku než na pomoc při dalším získávání dat.
Pokud se při připojeném disku doba bootování operačního systému několikrát zvýšila i při vypnutém automatickém montování svazků, doporučuje se přerušit jakoukoli činnost, aby nedošlo k dalšímu prohloubení problému.
Podstatné zvýšení doby bootování operačního systému při připojení potenciálně problematického pevného disku je velmi typickým znakem toho, že na povrchu ploten disku existují vady. Zpoždění při bootování operačního systému vznikají v důsledku přístupů k vadným sektorům a pokusů firmwaru provádět offline skenovací postupy, které nejsou schopny splnit.
Po úspěšném načtení operačního systému přejděte do správce zařízení a ujistěte se, že váš disk je na seznamu zařízení. Pokud tam není, zkontrolujte, zda je nainstalován ovladač pro řadič, ke kterému je připojen, a zda není sám řadič vypnutý na seznamu zařízení. Pokud je ovladač a nastavení operačního systému v pořádku, ale disk se v operačním systému neobjevil nebo se po nějaké době ztratil, obvykle to naznačuje široké spektrum poruch. Nejpřijatelnější příčiny jsou poruchy řadičové desky, zamrznutí firmwaru disku nebo přepnutí disku do nouzového režimu, při kterém přestává normálně reagovat na většinu příkazů.
Pro upřesnění diagnózy můžete zkusit načíst DOS a pomocí HDAT2 zkontrolovat parametry SMART. Pokud se objeví známky vzniku vad (nenulové hodnoty pro atributy 5 a 197(C5) v oblastech nenormovaných hodnot), lze usoudit, že bez zásahu do nastavení firmwaru doma nic nezmůžete. Pokud známky vzniku vad nejsou, může být příčinou zamrzání nesprávné fungování řadičové desky. V tomto případě můžete zkusit použít řadičovou desku z donorského disku.
4. Testování
Po absolvování předchozích kroků a nepozorování vážných důvodů pro zastavení procesu lze přistoupit k dalšímu hodnocení stavu disku. Většina disků vyrobených v tomto století obsahuje technologii S.M.A.R.T., která monitoruje stav disku a zaznamenává různé události během jeho provozu. Podrobnosti o implementaci této technologie v HDD a které parametry je žádoucí sledovat při používání disků si můžete přečíst v našem článku .
Použitím diagnostického softwaru je třeba vyžádat parametry S.M.A.R.T.
Obr. 7 atributy SMART funkčního pevného disku
Je důležité posoudit ukazatele podle atributů 5 a 197(C5). Pokud jsou hodnoty ve sloupci RAW nulové nebo jsou ukazatele problémů jednotlivé, je potřeba přejít k dalšímu testování.
Obr. 8 atributy SMART disku se závažným poškozením
Pokud je počet kandidátů na defekty trojciferný nebo čtyřciferný, většinou další pokusy o testování povrchu nebo skenování pomocí nástrojů pro automatické obnovení dat problém ještě zhorší, až po úplnou nemožnost získání dat.
Pro získání dat v takových případech je důležité zasáhnout do nastavení firmware disků a vypnout procedury offline skenování, vedení záznamů S.M.A.R.T., aby se zbavil disk pozadí procesů, které mohou výrazně zkrátit životnost problémového zařízení. Bohužel, jednoduchými způsoby, bez hlubokých znalostí architektury firmwaru disků a bez profesionálních komplexů, to nebude možné. Další úkol je ohodnotit stav každé z hlav po jednotlivých a lokalizovat hlavní defektní zóny. Lineární čtení s opakovanými pokusy na defektních úsecích je v takových případech kontraindikováno, jakožto příliš nebezpečné.
I když disk na první pohled funguje správně a podle indikací S.M.A.R.T. neobsahuje žádné známky defektů, není to zárukou, že opravdu žádné nejsou. Proto je nutné provést závěrečnou fázi testování a vykonat verifikaci povrchu.
Je důležité neustále kontrolovat proces skenování. Při objevení cizích zvuků nebo zjištění velkých zón s chybami čtení je třeba proces okamžitě přerušit a disk odpojit, aby se předešlo nevratným následkům.
Obr. 9 graf skenování funkčního disku
Pokud je výsledkem skenování disku monotónně klesající graf z pohledu rychlosti a nejsou zaregistrovány žádné chyby čtení, lze disk považovat za funkční a přejít na další část.
U disků s velkým médiakýštem a přenosy, které se liší od klasických (obvykle u disků s plátkovým zápisem (SMR)), může být graf jiné formy. Mohou nastat různé výpadky.
Obr. 10 graf skenování disku s problémovou hlavou
Pokud při verifikaci disku zjistíte cyklické "pomalé" zóny, je to typický znak ne zcela funkční hlavy. Není třeba čekat, až budou zjištěny defekty, a testování okamžitě přerušit.
V takové situaci nelze čekat nic dobrého při pokusu o vlastní obnovu dat. S vysokou pravděpodobností disk nepřežije pokus o vytvoření sektorové kopie běžně dostupnými prostředky.
V případech, kdy byly ve vzdálenostech S.M.A.R.T. 5 a 197 (C5) nalezeny známky zhoršení, nebo během verifikace byly nalezeny bodové defekty, je nezbytné vytvořit kopii disku.
5. Po sektorová kopie
Pokud jsou výsledky testování disku v pořádku a žádné problémy nejsou zjištěny, není nutné vytvářet sektorovou kopii a můžete pracovat s originálním diskem. Avšak k zajištění bezpečnosti se důrazně doporučuje tento krok nevynechávat a dále pracovat pouze s kopií.
Při správném pevném disku nebo disku s malým množstvím defektů není zásadní rozdíl, jaký nástroj použijete, důležité je, aby vytvářel úplnou kopii. Také je důležité nepoužívat některé volby programů pro vytvoření komprimovaného obrazu, protože pak pravděpodobně budete moci pracovat pouze v rámci možností softwaru, který takový obraz vytvořil.
V operačním systému Windows lze použít následující programy: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio a další.
V operačním systému Linux jsou možnosti standardního příkazu dd dostatečné.
Ne všechny programy jsou zdarma, ale mnohé funkce verzí trial/demo budou stačit k vytvoření kopie disku.
Jako příklad použijeme WinHex pro klonování disku.
Obr. 11 možnosti v menu WinHex pro klonování disku
Na kartě 'Nástroje' vybíráme možnost 'Diskové nástroje' a v rozbalovacím okně vyberte 'Klonovat disk' nebo jednoduše stiskněte Ctrl+D.
Obr. 12 nastavení parametrů klonování
Jako zdroj vybíráme disk, který je třeba klonovat.
Příjemcem může být disk stejného nebo většího objemu, také je možné klonování do souborového obrazu.
Ujistěte se, že na příjemném disku je dostatek volného místa.
V nastavení kopírování je žádoucí aktivovat možnost 'přeskočit defektní sektory'.
Pokud má váš disk sektor s fyzickou velikostí 4096 bytů, ale v OS je prezentován s virtuální velikostí 512 bytů, je nutné nastavit hodnotu 8, aby se předešlo zbytečným pokusům o čtení problematického sektoru.
„Šablona pro nahrazení vad zdroje“ – zadejte slovo nebo frázi, které budou použity k vyplnění oblasti ve zkopírovaném souboru na místech nečitelných sektorů ze zdroje. Díky tomu bude snazší najít poškozené soubory.
Při vytváření kopie je nutné pečlivě sledovat celý proces. Jakmile se objeví podezřelé zvuky, disk se zasekne nebo se zjistí větší počet problémů, než bylo při prvotním testování, je třeba okamžitě proces přerušit a disk odpojit, aby se předešlo neodvratným následkům.
V profesionálních nástrojích pro obnovu dat, jako je DataExtractor, existuje mnohem více možností pro nastavení scénářů kopírování dat, a také je možné sledovat stav disku, což výrazně zvyšuje šance na úspěšné zotavení při přítomnosti kvalifikovaného specialisty.
Obr. 13 nastavení reakcí profesionálního systému při problémech s čtením
Obnova dat
6. Metody obnovy
Dnes existuje spousta automatických programů pro obnovu dat, které nevyžadují od uživatele žádné odborné znalosti a umožňují získat data téměř jedním kliknutím myši. Tento přístup však v mnoha případech nedá maximální možný výsledek, nebo se ztratí v množství nerelevantních variant.
Pro efektivní práci programu pro obnovu dat je nejlepší co nejvíce zúžit oblast vyhledávání. Je žádoucí uvést oblast skenování a typ hledaného souborového systému. Toto upřesnění může vyloučit mnoho předchozích souborových systémů a sníží pravděpodobnost nesprávného výkladu nalezených metadat souborového systému.
Obr. 14 Příklad nastavení R-studio pro vyhledání metadat požadovaného souborového systému
Metadata souborového systému jsou struktury, které popisují umístění souborů, jejich názvy, atributy, práva přístupu k nim, logy atd.
Obr. 15 Příklad metadat. Fragment záznamu MFT (Master File Table v NTFS)
Ne ve všech případech programy pro automatickou obnovu přesně vypočítají počáteční referenční bod v souvislosti se nalezenými metadaty a také ne vždy správně filtrují data různých souborových systémů, což může vést k chybné kalkulaci umístění pro všechny soubory; navíc různé chybný interpretace zvyšují předpokládaný objem dat, někdy mnohonásobně přesahující kapacitu samotného úložiště.
V profesionálních komplexech jsou k dispozici nástroje pro vytváření virtuálních svazků různých souborových systémů s ručně zadanými parametry, jakož i nástroje pro vyhledávání metadat s možností manuálního filtrování nadbytečných objektů.
V případech, kdy požadovaná metadata souborového systému již neexistují nebo jsou nesprávná, je nutné použít metodu vyhledávání pomocí regulárních výrazů charakteristických pro určité typy souborů.
Obr. 16 0xFF 0xD8 0xFF regulární výraz charakteristický pro JPG soubory
Programy automatické obnovy, které většinou hledají tímto způsobem, mají následující nevýhody: chybí struktura adresářů a původní názvy souborů, nedochází k analýze struktury souborů a nedostatečně se kontroluje integrita nalezeného souboru, což vede k množství odpadních dat, která nelze použít; pro mnohé typy souborů není správně vypočítána velikost.
Obr. 17 Nastavení R-Studio pro vyhledávání regulárních výrazů vašich souborů
7. Typické případy a doporučené akce
Poškození souborového systému
V důsledku selhání komponentů PC, nesprávné funkce operačního systému, náhlého výpadku napájení během zápisu na disk, nebo poruchy tvrdého disku mohou být poškozena metadata souborového systému. U mnoha typů poškození operační systém nebude schopen připojit svazek s poškozeným souborovým systémem.
Obr. 18 poškozená metadata souborového systému (nerozeznaný souborový systém RAW)
V těchto případech je metoda vyhledávání metadat souborového systému v rámci existujícího oddílu dostatečně efektivní. Při drobných poškozeních lze dosáhnout výsledku blízkého 100 %. Toto doporučení je aktuální pro většinu různých souborových systémů.
Samozřejmě existují případy, kdy v důsledku selhání dojde k poškození velkého množství metadat aktuálního souborového systému. V takovém případě, pokud první varianta nefungovala, je nutné využít metodu analýzy regulárních výrazů pro vyhledání potřebných souborů.
Práce specialisty se liší tím, že posuzuje povahu poškození metadat a pokud nejsou zničena, ale jsou zkreslena, je možné provést ruční úpravy v hexadecimálním editoru.
Odstranění souboru nebo skupiny souborů.
Chybné odstranění dat je poměrně častý případ. Důsledky tohoto kroku silně závisí na typu souborového systému a také u relativně nových disků na ideologii fungování firmwaru samotného zařízení.
Pokud byly soubory odstraněny na oddílu se souborovým systémem NTFS, optimální metodou vyhledávání bude expresní analýza v různých utilitách, při které se rychle skenují klíčové struktury (MFT, Index, Logfile) bez úplného skenování oddílu. Pokud potřebné souborové záznamy a prostor, který tyto soubory zabírají, nejsou přepsány jinými daty, je možné rychle získat zajímavé soubory.
Obr. 19 po skenování $MFT jsou fialově zvýrazněny záznamy evidované jako odstraněné.
Pokud při rychlém skenování nejsou potřebné údaje nalezeny nebo jsou poškozené, je možné provést úplné skenování oddílu, ale pravděpodobně se významně nezmění výsledek a kromě vyhledávání regulárních výrazů nezůstane nic jiného.
V arzenálu specialisty je k dispozici nástroj pro vytváření mapy nevyužitého prostoru a následnou analýzu výhradně v těchto oblastech, což odstraňuje z výsledku obnovení existující data. To výrazně šetří čas uživatele při dalším vyhledávání potřebných souborů mezi mnoha anonymními daty.
Pokud byly soubory smazány na oddílu se souborovým systémem FAT16 nebo FAT32, lze použít analýzu metadat a získat část dat s původními názvy. V případě SFN bude první znak v názvu souboru chybět, pokud byl soubor s dlouhým názvem, bude jeho úplný název uveden v záznamu LFN. Pokud se jedná o smazané fragmentované soubory, obnovování dat pomocí automatických obnovovacích programů nebude úspěšné, protože při smazání se v tabulce FAT maže záznam o řetězci clusterů, které patří souboru. Také v případě FAT32 v některých případech kromě smazání řetězce umístění souboru v obou kopiích tabulky, se v adresáři odstraní první znak SFN a vyšší dva bajty v čísle prvního clusteru, který soubor zabírá. Většina automatických obnovovacích utilit, které analyzují metadata, nenajde správnou pozici souboru.
Obnovování fragmentovaných souborů je obvykle dost složitá činnost, která je velmi špatně automatizována. Metody automatizace lze vyvíjet pro konkrétní typy struktur. Nejčastěji se úloha redukuje na ruční, nízkoprocentní analýzu při vyhledávání potřebných fragmentů. Příklad podobné práce lze zhodnotit v článku
Pokud metody analýzy metadat nevedly k nalezení potřebných dat nebo potřebné soubory nelze otevřít, zbývá metoda vyhledávání regulárních výrazů. Možná bude možné nějaké část souborů objevit.
Pokud byly soubory smazány na oddílu se souborovým systémem HFS+, Ext 2, Ext3, Ext4, je bohužel analýza metadat bezcenná. Kromě vyhledávání pomocí regulárních výrazů nezbývá nic jiného.
Smazání oddílu s daty
Pokud byl v nástroji pro správu disků omylem smazán jeden nebo více oddílů, doporučuje se uživateli, který chce obnovit data, spustit automatické obnovovací utility s úplným skenováním celého zařízení. Je také žádoucí zohlednit polohu existujících oddílů, aby se vyloučily zjevně nesprávné možnosti v nalezeném.
Obr. 20 smazaný oddíl
Práce prováděná specialistou se obvykle provádí relativně rychle, a to vyhledáváním spouštěcích sektorů a superbloků na očekávaných místech. Na základě nalezeného se vypočítají přesné pozice začátků oddílů a jejich délka.
Lze také zkusit použít DMDE nebo podobné nástroje, které mohou relativně rychle umožnit najít známky začátku oddílu a pokusit se zobrazit souborový systém nalezeného oddílu.
Obr. 21 výsledek rychlého vyhledávání oddílů pomocí DMDE
Oddíl je naformátován s daty.
V takových případech se doporučený scénář akcí silně liší podle typu souborového systému, který byl před naformátováním oddílu, a jaký souborový systém se začal používat po naformátování.
Například, pokud byl oddíl FAT32 s klastrem 8 kB naformátován na FAT32 s klastrem 64 kB, velikost nových tabulek FAT byla 8krát menší a tím pádem obě kopie nových tabulek zničily pouze první kopii starých tabulek FAT. V takové situaci může nalezení metadat vést k výsledku blízkému 100 %. Pokud však byl oddíl naformátován na FAT32 s menší nebo stejnou velikostí klastru, než byla před formátováním, nové čisté tabulky zcela přepíší staré a částečně zasáhnou oblast s uživatelskými daty. V takovém případě vyhledání metadat poskytne výrazně horší výsledek.
Pokud byla před formátováním oddílu použita souborový systém FAT32 a oddíl byl naformátován na NTFS, nové struktury ($MFT, $Bitmap, $Logfile) se obvykle nacházejí ne na začátku oddílu a je vysoká pravděpodobnost, že metodou vyhledávání metadat získáme většinu dat s normální strukturou adresářů a minimálními poškozeními samotných dat.
Také vysoké procento zotavení bude, když bude oddíl se souborovým systémem NTFS naformátován na FAT32. V tomto případě tabulky FAT zničí data na začátku oddílu a obvykle nezasáhnou klíčové struktury NTFS. Neuspokojivý výsledek bude v případě malého objemu dat, jejichž velikost je srovnatelná s velikostmi dvou kopií tabulek FAT.
Pokud uživatel nechce řešit podrobnosti o umístění metadat různých souborových systémů, je logickým krokem spustit utilitu automatického obnovování dat v režimu hledání metadat. A v případě, že je získán nedostatečný objem dat, použít metodu hledání pomocí regulárních výrazů.
Oddíl byl naformátován a částečně přepsán jinými daty.
Jak už to často bývá, uživatel může naformátovat oddíl a začít ho zaplňovat jinými daty, až si později uvědomí, že na starém oddílu byla důležitá informace. V takových případech neexistuje jednoznačné doporučení. Všechno velmi závisí na tom, kolik (početně a objemově) nových dat bylo zapsáno, a také na tom, kde se tato data nacházejí. V závislosti na podmínkách může být výsledek od 0 do téměř 100%. Není to možné určit bez přítomnosti.
V mnoha případech s velkým překrytím oblasti dat dává smysl začít metodou hledání pomocí regulárních výrazů pro potřebné typy souborů, abychom zjistili, zda ještě existují známky o existenci potřebných dat, a v případě jejich nalezení provést hledání metadat souborového systému.
V laboratořích obnovování dat odborník vytvoří mapu nevyužitého prostoru a provede hledání pomocí regulárních výrazů pouze v těchto oblastech, aby vyloučil z výsledků hledání existující data. Také pomocí nástrojů pro kontrolu integrity výrazně sníží počet falešných rozpoznání. A v některých úlohách, jako je obnova jpg souborů (např. domácího fotoalba), může provést třídění podle informací obsažených v Exif tags jpg souborů, což umožní získat chronologicky uspořádaný výsledek seřazený podle modelů fotoaparátů.
Obr. 22 výsledek třídění JPG souborů nalezených pomocí hledání regulárních výrazů.
Náhlé ukončení procesů měnění velikosti, přesouvání nebo slučování oddílů.
V případech havarijního ukončení procedur diskových správců při změně velikosti oddílu, jeho přesunu nebo sloučení několika oddílů bude třeba zjistit, jaké konkrétní kroky byly provedeny a v jaké fázi byla operace zastavena, aby bylo možné dosáhnout maximálně možného výsledku.
Vzhledem k složitosti a množství možných variací zvážíme pouze univerzální variantu pro uživatele, který potřebuje výsledek s minimálním počtem kroků. Jako objekt analýzy je třeba zvolit celý disk, aby bylo zaručeno pokrytí všech míst, kde jsou údaje umístěny. Použijte metodu vyhledávání metadat a zkopírujte všechny varianty dat podle nalezených souborových systémů. Vysoká pravděpodobnost, že v každém z variant budou správné různé soubory. Vyhledávání regulárních výrazů podle zadaných typů souborů je také důležité, protože v těchto případech může dojít k částečné ztrátě údajů o názvech a umístění souborů.
8. Kontrola integrity obnovených dat
Je důležité chápat, že zobrazení názvů souborů v programu pro obnovu dat nebo počet nalezených regulárních výrazů nezaručuje, že vše nalezené bude použitelné. Proto je není méně důležitou fází po obnovení dat programem automatické obnovy — kontrola integrity samotných dat.
Bohužel, neexistuje univerzální bezplatný prostředek pro kontrolu integrity velkého množství různých souborů. Ale jednotlivě lze najít bezplatný software, který může kontrolovat jednotlivé typy souborů. Například mnoho archivátorů umožní zkontrolovat správnost archívů, utilita MP3Diag může zkontrolovat správnost mp3 souborů, ImageMagick lze použít pro testování jpg souborů.
Hlavní nevýhodou mnoha bezplatných utilit pro kontrolu integrity souborů je, že nezaručují úplnou kontrolu souborů. A mohou se vyskytnout hromadné chyby.
Pro mnoho typů souborů nemá uživatel žádné jiné možnosti než vizuálně hodnotit integritu dat prostřednictvím postupného otevírání souborů v odpovídajících aplikacích.
V profesionálních komplexech je součástí sada nástrojů, která umožňuje částečnou kontrolu správnosti souborů, což zbavuje výsledek obnovy dat velkého množství nepotřebných souborů.
Kromě filtrování nepotřebných souborů je nutné zachytit poškozené soubory. Pokud jste vytvořili sektorovou kopii s vyplňováním vzorem nepřečtených sektorů, je otázka nalezení poškozených souborů snadno řešitelná pomocí hledání textového řetězce „BAD!BAD!BAD!BAD!“ (v našem příkladu byl použit zaplňovač „BAD!“). Po nalezení je nutné zkontrolovat míru poškození, protože některé formáty souborů nemusí trpět ztrátou malého kusu dat, zatímco jiné mohou být zcela nepoužitelné.
9. Časté chyby uživatelů.
Různé pokusy o „opravu“ vad s použitím populárních diagnostických utilit v naději, že to vrátí přístup k datům, jsou jednou z hlavních chyb mnoha uživatelů. Pokusy skrýt defekty na disku s poškozeným polymerem na povrchu ploten obvykle končí obrušováním ploten, místo získání přístupu k datům. Z tohoto důvodu se, bez znalosti povahy defektů na povrchu, důrazně nedoporučuje provádět jakékoli servisní operace nad diskem před získáním dat. Po úspěšné obnově informací je možné se pokusit o údržbu disku, a pokud budete mít štěstí, disku může být stále vhodný pro další použití při méně kritických úlohách.
Někdy se defekty týkají metadat souborového systému. V těchto případech se při pokusu o připojení poškozeného svazku operační systém dlouho zasekne. Při připojeném problematickém disku se doba spuštění operačního systému může prodloužit na desítky minut. Jedním z nejhorších nápadů k řešení tohoto problému je naformátovat problematickou oblast. Nově vytvořená metadata se mohou zapsat správně, a problém s dlouhým spuštěním operačního systému bude vyřešen, ale úkol obnovy dat se ztíží a kvalita výsledku obnovy může výrazně trpět.
Kopírování dat zjištěných nástrojem na stejnou partition, ze které se pokoušíte obnovit soubory. V tomto případě obvykle vše končí tím, že místo dat uživatel obdrží odpad, a další pokus o obnovení dat již bude mít mnohem horší výsledky. Pokud budete postupovat podle pokynů v tomto článku, tak se takové chybě vyhnete.
Není prováděna kontrola integrity obnovených dat a je zničeno obsahu originálního nosiče spolu s jeho kopií. V tomto případě hrozí, že zůstanete s hromadou složek naplněných chybovým výsledkem pokusu o obnovu dat bez možnosti získat kvalitní výsledek.
Špatný výběr nástroje a metod pro obnovu dat, což vede k výsledku, který je výrazně horší, než by mohl být.
Doufám, že tento soubor opatření vám pomůže se rozhodnout, zda situace s vaším nosičem umožňuje samostatné pokusy o obnovu dat a zda jste ochotni provést tuto sadu poměrně jednoduchých úkonů, které jsou uvedeny v tomto článku.
Zdroj: habr.com
