I denne artikel beskrives metoder til selvdiagnosticering af forskellige fejl på harddiske baseret på deres symptomer, samt metoder til relativt sikker kloning af harddiske med mindre problemer.
Forskellige tilfælde af datatab er blevet overvejet, samt et sæt optimale handlinger, der, uden dybdegående kendskab til filsystemernes opbygning, med hjælp fra automatiserede genopretningsprogrammer, kan hjælpe dig med at genskabe dine oplysninger uden ekstern assistance.
Men før du påbegynder nogen selvstændige handlinger, er det nødvendigt nøje at gennemgå alle materialer i artiklen og kun derefter analysere tilstanden af din harddisk, så dine forsøg ikke bliver de sidste i harddiskens liv, og så du ikke fratager dig selv de sidste håb om at genfinde de data, du har brug for.
INDHOLD
Del 1: Diagnose
Del 2: Datagendannelse.
Ved at acceptere at følge de følgende instruktioner, erkender du, at ingen andre end dig selv bærer ansvar for eventuel fejl i enheden og uigenkaldeligt datatab. Sættet af foranstaltninger sigter mod at reducere sandsynligheden for en negativ udvikling, men det giver ikke 100% garanti imod det.
Diagnostik
1. Visuel inspektion
Inspektér enheden for deformationer, manglende eller brændte elementer på kontrolkortet, og kontroller integriteten af forbindelserne. Hvis der opdages alvorlige skader eller brændte elementer, anbefales det kraftigt ikke at tilslutte strøm til et sådant drev for at undgå at forværre problemet.
Ved hjælp af skruetrækkere (normalt Torx T5, T6, T9) skal du fjerne skruerne, der fastgør kontrolkortet, og kontrollere tilstanden af kontaktpunkterne på kontrolkortet.
Fig. 2 viser, at der er en oxidfilm på kontaktpunkterne
Hvis der er oxider, kan man forsøge at fjerne dem fra kontaktfladerne med en almindelig viskelæder. Viskeren kan kun bruges på flade overflader, som vist på billedet. I andre tilfælde er en sådan handling ikke anvendelig.
Fig. 3 rensede kontaktflader.
Hvis der er nogen skader på kredsløbet, bør man ikke forsøge at sætte et controllerkort fra en lignende enhed i moderne harddiske, da der i moderne enheder kan være forskellige adaptive parametre i ROM på kortet, som dannes under produktionen og er unikke for hver enhed. I relativt sjældne tilfælde kan fremmede parametre føre til beskadigelse af harddisken.
Hvis der er en lodde station tilgængelig, skal MCU, EEPROM, NV-RAM, NAND (afhængigt af hvad der er på controllerkortet og hvad der nødvendigvis skal overføres) overføres, og efter en sådan tilpasning skal donorcontrolleren anvendes. Det skal bemærkes, at det for mange controllere ofte er tilstrækkeligt at overføre EEPROM-chippen.
Når du vælger et kort, skal du først se på det ætset PCB-nummer. Vurder derefter overensstemmelsen mellem markeringerne på MCU og VCM&SM-controlleren. Hvis markeringerne på det originale kort og donor-kortet adskiller sig, er der en høj sandsynlighed for, at donorens kort ikke er passende. Inden for én familie kan der eksistere forskellige versioner af kort, og i nogle tilfælde kan de være kompatible under visse forbehold, men det er ikke en god idé at forsøge at finde ud af dette derhjemme.
Forsøget på at sætte et uegnet controllerkort (med et andet nummer på PCB) kan føre til, at forstærkeren brænder af.
Hvis du har et multimeter, skal du kontrollere 5V- og 12V-linjernes kredsløb for kortslutning. Tjek også modstanden i motorviklingerne. Hvis du har en identisk, garanteret fungerende enhed (med samme producent, modelserie og revision af controllerkortet), kan du kontrollere, om det samme antal ben i stikforbindelsen måler til "jord", samt sammenligne modstandene. Ved betydelige forskelle kan det konkluderes, at commutatoren-forstærkeren er defekt, og alle forsøg på at genoprette data bør stoppe her.
2. Testkørsel
Sørg for, at dit testsystem fungerer korrekt for at undgå fejldiagnoser, og hvis der ikke er opdaget nogen eksterne årsager, der hindrer opstartsforsøg, skal du tilslutte interfacekablet og strømkablet til de relevante stik og tænde for strømforsyningen.
Hvis du på forhånd ved, at enheden er blevet ramt eller tabt, mens den var i drift, eller før den kom til dig, begyndte at lave bankelyde, bør du undlade at tænde for den.
I disse tilfælde er det påkrævet at åbne harddisken i et laminarboks (eller et rent rum) og foretage en grundig inspektion ved hjælp af et mikroskop.
Figur 4 tilslutning af kabler til harddiske.
Efter strømtilslutning skal enheden begynde at dreje akslen. I nogle tilfælde kan dette dog ikke ske med helt fungerende enheder, hvis der af en eller anden grund er indført krav om at sende en spin up-kommando.
Når akslen drejer, kan der høres en svag lyd fra luftstrømmen. I nogle enheder er denne næsten uhørbar, så du kan bruge et stetoskop (eller holde enheden tæt ved øret, mens du følger alle sikkerhedsregler for at undgå kortslutning).
Hvis der i stedet for lyden af luft høres en række cykliske summelyde, stille pip eller lyde, der minder om telefonens elektroniske ringetoner, er det meget sandsynligt, at enheden ikke kan starte motorakslen. Årsagerne til dette kan være: fastklemning af HGA uden for parkeringsrammen, blokering af motorakslen, defekt i VCM&SM-controllerchippen.
Hvis der er en passende donor-enhed tilgængelig, kan du kontrollere versionen med en defekt VCM&SM-controller, hvis du er parat til at udføre de nødvendige tilpasninger af donorprintpladen, som beskrevet i punktet "visuel inspektion".
I tilfælde af, at BMG hænger uden for parkeringsrammen, fører selvstændige handlinger baseret på videoer på YouTube normalt til dannelse af yderligere ridser på pladers overflader eller til at slidersne løsner sig. Selv hvis du relativt heldigt lykkes med at bringe BMG til parkeringsrammen, vil defekter i den polymere belægning, der er opstået, hvor slidersne hænger fast, mikro-ridser fra slidersne under forsøget på at bringe BMG på plads, samt offline-skanningsprocedurer og støv fra ufiltreret luft næppe give dig mulighed for at læse et væsentligt datavolumen i langt de fleste tilfælde, før der opstår yderligere irreversible nedbrydningsprocesser. Du kan læse om, hvordan dataudvindingsprocessen foregår i sådanne tilfælde i denne artikel
Ved blokering af motorakslen kræves det normalt at flytte diskpakken til donorens hermetiske kabinet. En sådan operation vil i 99,9% af tilfældene være dømt til at mislykkes i hjemlige forhold uden passende forberedelse og nødvendige værktøjer.
Hvis der ikke høres nogen lyd ved tilslutning af strømmen, og enheden ikke begynder at rotere akslen, kan følgende diagnoser være mulige: controllerprintpladen er defekt, forstærkeren er defekt, BMG er defekt.
Når enheden har startet rotationen af akslen, skal den udføre kalibrering, læse firmware og, efter at have initieret transmissonsystemet, blive klar. Hvis der i stedet for kalibrering høres cykliske bankelyde, skrig eller andre høje lyde, skal du straks slukke for enheden. Årsagen til sådanne fænomener kan være: BMG's eller forstærkerens defekt, eller en fejl i VCM&SM-controllerens chip.
Mikroprogrammerne på nogle lagringsenheder udfører en forespørgsel til forstærkeren, inden motorakslen starter, og ved opdagelse af ukorrekte svar eller overbelastning af modstanden i nogen af hovederne foretager de en nødstoppelse af den indledende initialiseringsproces. Desværre kontrollerer langt fra alle mikroprogrammer i tilstrækkelig grad enhedens funktionalitet og tillader forsøg på at starte en åbenlyst problematisk harddisk. Det anbefales at udføre BMG-transplantationer i et laminarboks med ren luftstrøm og specialværktøj. Derudover er det nødvendigt at vide, hvordan man vælger en donor for at sikre, at den har den passende revision af forstærkeren, hovedkortet og nært beslægtede adaptive parametre. Bare en match af producent og model garanterer ikke, at lagringsenheden er en egnet donor. Selv hvis det lykkes at finde en donor og udføre transplantationen, vil det næppe være muligt at læse en betydelig mængde data på grund af tilknyttede problemer.
Hvilke handlinger der kan foretages ved en defekt controller, er angivet i afsnittet "Visuel inspektion".
Fig. 5 meget ridset overflade af pladen (mange slidmærker).
Det er vigtigt at forstå, at med hver forsøg på at tænde lagringsenheden med en defekt BMG, er der risici for yderligere ødelæggelse af pladernes overflader, hvilket kan føre til fuldstændig umulighed for datarestitution.
Hvis lagringsenheden ikke afgiver nogen mistænkelige lyde, bør den efter udførelsen af alle initialiseringsprocedurerne være klar. Fra dette tidspunkt skal enheden være klar til datatransmission gennem grænsefladen, og hvis den tilsluttes til systembundkortet, skal den svare på BIOS'ens anmodning om identifikation. Hvis alt er i orden med forbindelsen og BIOS-indstillingerne, men disken forbliver uset af PC'en, er det højst sandsynligt, at der er problemer i mikroprogrammet, som forhindrer den i at blive klar.
Hvis lageret giver forkerte pasdata, som kun modelnavn og nul kapacitet, eller hvis modelnavnet ikke helt stemmer overens, og serienummeret mangler, indikerer dette, at initialiseringsprocedurerne ikke er blevet udført korrekt, og der er problemer i firmware'en. I sådanne tilfælde er det normalt umuligt at løse problemet uden brug af professionelle software-hardware-løsninger.
Et særtilfælde kan overvejes for Seagate 7200.11 (Moose-familien), hvor nogle problemer kunne løses ved at bruge en RS232-TTL-adapter og et almindeligt terminalprogram, men her skal man forstå, at uden at dykke ned i mikrocodeproblemet er der risici for at forværre situationen væsentligt.
Det anbefales kraftigt ikke at anvende denne metode for andre familier, da det vil føre til en omregning af oversætteren, som i de fleste tilfælde vil være ukorrekt, og adgangen til brugerområdet vil stoppe ved det første forskydningspunkt. Datagendannelse er i dette tilfælde væsentligt kompliceret.
Hvis alle felter i det givne pas fra lageret er korrekte bortset fra kapaciteten, skal du kontrollere, om dette er en konsekvens af BIOS-fejl på nogle bundkort, der bruger HPA-styringskommandoer; i stedet for at trimme et lille stykke af LBA-området for at bevare en BIOS-kopi, skærer de næsten 1TB.
Fig. 6 den pasmæssige kapacitet af disken på 1TB efter en forkert behandling af BIOS på bundkortet Gigabyte.
For at løse dette problem kan du bruge HDAT2 eller lignende gratis diagnostisk software, som kan returnere den originale pasmæssige kapacitet af lageret samt deaktivere HPA-styringsmuligheden i DCO for at undgå et tilbagefald af problemet.
3. Forberedelse til testning
Når du tester diske uden for professionelle systemer, er det vigtigt at forberede operativsystemet på forhånd. Automounting af diskpartitioner skal deaktiveres for at undgå uprøvlede handlinger fra operativsystemet.
I Windows OS skal dette gøres med administratorrettigheder ved at køre diskpart og udføre kommandoen automount disable. Hvis den potentielt problematiske disk tidligere har været tilsluttet dette OS, skal mount-parametrene fjernes fra registreringsdatabasen med kommandoen automount scrubFor these settings to take effect, a restart is recommended.
You should also prepare diagnostic software. Under Windows, you can use the free PC3000 DiskAnalyzer, which not only has diagnostic functions but also allows you to create sector-based copies. It is also advisable to have a bootable USB flash drive with HDAT2 on hand.
It is not mandatory to use only this software for diagnostics. You can utilize any other analogs, except for certain non-free software aimed at overly trusting users, which may advertise with slogans like "... unique program for regeneration of physically damaged hard disk drives. It does not hide bad sectors, it really restores them!". Such software, often making loud claims, usually has fairly limited capabilities that do not exceed those of free software, and its approach to dealing with defects is more about ultimately killing the drive than assisting in data recovery.
If the OS boot time has increased significantly when the drive is connected, even with automatic volume mounting disabled, it is recommended to cease any actions to avoid worsening the problem.
A significant increase in OS boot time when a potentially problematic hard drive is connected is a characteristic sign that there are surface defects on the drive platters. OS boot delays occur due to accesses to defective sectors and attempts by the firmware to perform offline scanning procedures that it cannot handle.
Efter vellykket installation af operativsystemet skal du gå ind i Enhedshåndtering og sikre dig, at din enhed er til stede på listen over enheder. Hvis den ikke er der, skal du kontrollere, om driveren til controlleren, som den er tilsluttet, er installeret, og om selve controlleren ikke er deaktiveret på listen over enheder. Hvis driveren og indstillingerne for operativsystemet er i orden, men enheden stadig ikke vises, eller hvis den vises og derefter forsvinder igen, indikerer det normalt et bredt spektrum af fejl. De mest sandsynlige årsager er defekter i controllerboardet, fastfrysning af enhedens firmware, eller at enheden er gået ind i nødtilstand, hvilket får den til at stoppe med at reagere normalt på de fleste kommandoer.
For at afklare diagnosen kan du prøve at starte DOS og bruge HDAT2 til at se SMART-parametrene. Hvis der findes tegn på defektdannelse (ikke-nul værdier for attributterne 5 og 197 (C5) i felterne for ikke-normaliserede værdier), kan man konkludere, at det uden intervention i firmwareindstillingerne ikke er muligt at løse problemet derhjemme. Hvis der ikke er tegn på defektdannelse, kan årsagen til fastlåsningen være en forkert funktion af controllerboardet. I så fald kan du forsøge at bruge et controllerboard fra en donor-enhed.
4. Testning
Efter at have gennemgået de tidligere trin og ikke bemærket væsentlige grunde til at stoppe processen, kan du fortsætte med at vurdere tilstanden af enheden. De fleste enheder, der er udgivet i dette århundrede, har implementeret S.M.A.R.T.-teknologi, som overvåger tilstanden af enheden og registrerer forskellige hændelser i løbet af dens drift. Du kan læse mere om implementeringen af denne teknologi i HDD'er, og hvilke parametre det er ønskeligt at overvåge under drift af diske i vores artikel .
Ved at bruge diagnostisk software er det nødvendigt at anmode om S.M.A.R.T.-parametrene.
Fig. 7 SMART-attributter for en funktionel harddisk
Det er vigtigt at vurdere værdierne for attributterne 5 og 197 (C5). Hvis værdierne i RAW-kolonnen er nul eller kun et enkelt problem er fundet, skal du fortsætte med yderligere testning.
Fig. 8 SMART-attributter for en disk med alvorlig defektdannelse
Hvis antallet af kandidater til defekter er et tre- eller firedigit tal, vil yderligere forsøg på at teste overfladen eller scanne med automatiske datagendannelsesværktøjer i de fleste tilfælde forværre problemet til det punkt, hvor dataene ikke kan genvindes.
For at opnå data i sådanne tilfælde er det vigtigt at gribe ind i firmwareindstillingerne for drevene og deaktivere offline-scanningsprocedurer samt S.M.A.R.T.-logføring for at befri drevet fra baggrundsprocesser, der kan forkorte levetiden for det problematiske apparat. Desværre er det ikke muligt at gøre dette på en enkel måde uden dybdegående viden om drevenes firmwarearkitektur og uden professionelle værktøjer. Den næste opgave er at evaluere tilstanden af hver enkelt læsehoved og lokalisere de vigtigste defekte områder. Lineær læsning med gentagne forsøg på de defekte sektioner er stærkt frarådet, da det er for risikabelt.
Selv hvis drevet ved første øjekast fungerer korrekt, og der ikke registreres tegn på defekter ifølge S.M.A.R.T., er det ikke en garanti for, at der ikke er nogen. Derfor er det nødvendigt at udføre den afsluttende testfase og gennemføre en verifikation af overfladen.
Det er vigtigt konstant at overvåge scanningsprocessen. Ved fremkomsten af fremmede lyde eller opdagelse af store områder med læsefejl skal processen straks standses, og drevet skal frakobles for at undgå irreversibel skade.
Fig. 9 graf over scanningen af en fungerende disk
Hvis resultatet af diskens scanning viser en monoton faldende hastighedsgraf, og der ikke registreres læsefejl, kan drevet betragtes som fungerende, og man kan gå videre til næste afsnit.
I diske med stort mediecach og oversættelse, der adskiller sig fra den klassiske (ofte i diske med murstensoptagelse (SMR)), kan grafen have en anden form. Forskellige former for frekvenser kan optræde.
Fig. 10 graf over scanningen af en disk med et problematisk læsehoved
Hvis der under diskverifikationen opdages cykliske 'langsomme' områder, er det et karakteristisk tegn på, at læsehovedet ikke er helt funktionsdygtigt. Man skal ikke vente på, at defekter bliver opdaget, og bør straks stoppe testningen.
I denne situation er der ikke meget godt at forvente ved selvstændige forsøg på at hente data. Med stor sandsynlighed vil lagermediet ikke overleve forsøget på at lave en sektorkopi med de midler, der er tilgængelige for brugeren.
I tilfælde hvor der er opdaget tegn på defekt i S.M.A.R.T.-attributterne 5 og 197 (C5), eller hvor der er fundet punktdefekter under verifikationen, er det nødvendigt at lave en kopi af disken.
5. Sektorkopi
Hvis resultatet af testen viser, at lagermediet fungerer korrekt, og der ikke opdages nogen problemer, kan du undlade at lave en sektorkopi og arbejde med den originale disk. Men for at undgå forskellige former for tilfældigheder anbefales det på det kraftigste ikke at springe dette trin over og i stedet arbejde kun med kopien.
Ved en fungerende harddisk eller en disk med få defekter er der ikke meget forskel på, hvilket værktøj du bruger; det er vigtigt, at det laver en fuld kopi. Det er også vigtigt ikke at forsøge at benytte nogle programmets muligheder for at lave et komprimeret billede, da du sandsynligvis kun vil kunne arbejde inden for rammerne af de funktioner, som det program, der har lavet billedet, tilbyder.
Under Windows kan følgende programmer benyttes: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio og andre.
Under Linux er det tilstrækkeligt med de indbyggede dd-kommandoer.
Ikke alt software er gratis, men i mange tilfælde vil funktionerne i prøve-/demo-versionerne være tilstrækkelige til at lave en kopi af lagermediet.
Som eksempel bruger vi WinHex til at klone disken.
Fig. 11 muligheder i WinHex-menuen til kloning af disken.
På fanebladet 'Værktøjer' vælger vi muligheden 'Diskværktøjer' og i det dropdown-menu vælger vi 'Klone disk' eller bare trykker Ctrl+D.
Fig. 12 indstillinger for kloningsparametre.
Som kilde vælger vi den disk, der skal klones.
Som modtager kan en disk af samme størrelse eller større bruges, og det er også muligt at klone til en filbillede.
Sørg for, at der er tilstrækkelig ledig plads på modtagerdisken.
I kopiindstillingerne er det ønskeligt at aktivere muligheden 'springe defekte sektorer over'.
Hvis din lagermedie har en fysisk sektorstørrelse på 4096 bytes, men i OS transduceres med en virtuel størrelse på 512 bytes, skal værdien sættes til 8 for at undgå unødvendige læseforsøg af den problematiske sektor.
«Skabelon til udskiftning af defekter i kilden» — angiv et søgbart ord eller udtryk, som vil blive brugt til at udfylde sektionen i kopien for de ulæste sektorer fra kilden. Dette vil senere gøre det nemmere at finde beskadigede filer.
Når du opretter en kopi, er det vigtigt at overvåge processen uden afbrydelser. Hvis der opstår underlige lyde, fryser drevet, eller hvis der opdages et højere antal fejl, end der blev konstateret ved den primære test, skal du straks stoppe processen og frakoble drevet for at undgå uoprettelige konsekvenser.
Professionelle datagendannelsesværktøjer som DataExtractor tilbyder betydeligt større muligheder for at tilpasse kopieringsscenarier samt kontrol af drevstatus, hvilket væsentligt øger chancerne for en vellykket udtrækning, når der er en kompetent specialist til stede.
Fig. 13 indstillinger for reaktioner i det professionelle system ved læseproblemer
Datagendannelse
6. Gendannelsesmetoder
Der findes i dag mange programmer til automatisk datagendannelse, som ikke kræver særlige færdigheder fra brugeren og gør det muligt at få data med et enkelt klik. Men denne tilgang vil i mange tilfælde ikke give det maksimalt mulige resultat, eller resultatet vil blive overskygget af en masse irrelevante muligheder.
For at sikre effektiviteten af datagendannelsesprogrammet er det bedst at indsnævre søgeområdet så meget som muligt. Det er derfor ønskeligt at angive scanningsområdet og typen af den ønskede filsystem. En sådan præcisering kan udelukke mange af de tidligere filsystemer og også mindske risikoen for fejltolkning af de registrerede metadata i filsystemet.
Fig. 14 Eksempel på indstilling af R-studio til at søge efter metadata for det ønskede filsystem
Metadata for filsystemet er strukturer, der beskriver placeringen af filer, deres navne, attributter, adgangsrettigheder, logfiler osv.
Fig. 15 Eksempel på metadata. Uddrag af MFT (Master File Table i NTFS)
Programmer til automatisk gendannelse beregner ikke altid korrekt startpunktet i forhold til de fundne metadata, og sorterer ikke altid korrekt data fra forskellige filsystemer, hvilket kan føre til fejlberegninger af placeringen for alle filer. Desuden øger forskellige affaldsfortolkninger den anslåede datamængde, ofte mange gange mere end selve lagerkapaciteten.
I professionelle systemer findes der værktøjer til oprettelse af virtuelle volumer af forskellige filsystemer med manuelt angivne parametre, samt værktøjer til at finde metadata med mulighed for manuelt at filtrere unødvendige objekter.
Når de nødvendige metadata for filsystemet ikke længere findes eller er ukorrekte, skal metoden med regulære udtryk, der er karakteristiske for bestemte filtyper, anvendes.
Fig. 16 0xFF 0xD8 0xFF regulært udtryk karakteristisk for JPG-filer
Programmer til automatisk gendannelse, der søger på denne metode, har som regel følgende ulemper: der er ingen mappestruktur og originale filnavne, der udføres ikke analyse af filstrukturen, og der kontrolleres ikke tilstrækkeligt for integriteten af de fundne filer, hvilket resulterer i mange affaldsdata, der ikke kan bruges, og for mange filtyper beregnes størrelsen ikke korrekt.
Fig. 17 Indstillinger for R-Studio til søgning efter regulære udtryk for de filer, du har brug for
7. Typiske tilfælde og anbefalede handlinger
Skader på filsystemet
Som følge af fejl i PC-komponenter, ukorrekt funktion af styresystemet, pludselig strømafbrydelse under skrivning til disken, eller fejl på hårde diske kan metadataene for filsystemet blive beskadiget. Ved mange former for skader vil styresystemet ikke kunne montere en partition med et beskadiget filsystem.
Fig. 18 beskadigede metadata for filsystemet (ukendt filsystem RAW)
I disse tilfælde er metoden til at søge efter metadata for filsystemet inden for det eksisterende partitioner ofte effektiv. Ved mindre skader kan man opnå resultater tæt på 100%. Denne anbefaling er relevant for de fleste forskellige filsystemer.
Selvfølgelig er der tilfælde, hvor et stort volumen af metadata i det aktuelle filsystem bliver beskadiget som et resultat af fejl. Så hvis den første metode ikke har virket, er det nødvendigt at bruge metoden til analyse af regulære udtryk for at finde de filer, du har brug for.
Arbejdet som specialist adskiller sig ved, at han vurderer karakteren af beskadigelsen af metadata, og hvis de ikke er ødelagte, men eksisterer i en forvrænget form, er der mulighed for manuelle korrektioner i en hexadecimal editor.
Sletning af en fil eller en gruppe af filer.
Fejlagtig sletning af data er en relativt almindelig hændelse. Konsekvenserne af denne handling afhænger stærkt af typen af filsystem samt i forholdsvis nye diske afhænger af ideologien for mikroprogrammet i selve enheden.
Hvis filerne blev slettet på en partition med NTFS-filsystemet, vil den mest optimale metode til søgning være hurtig analyse i forskellige værktøjer, hvor de nøgle strukturer (MFT, Index, Logfile) hurtigt scannes uden en fuldstændig scanning af partitionen. Hvis de nødvendige filreferencer og det plads, de optager, ikke er blevet overskrevet med andre data, kan man hurtigt få fat i de ønskede filer.
Fig. 19 viser efter scanningen, at referencerne, der er markeret med lilla, er registreret som slettede.
Hvis de nødvendige data ikke findes eller er beskadigede ved hurtig scanning, kan man udføre en fuld scanning af partitionen, men sandsynligvis vil resultatet ikke ændre sig væsentligt, og der vil ikke være andet at gøre end at søge med regulære udtryk.
Specialistens arsenal inkluderer et værktøj til opbygning af kort over det ubrugte rum samt yderligere analyse udelukkende i disse områder, hvilket fjerner eksisterende data fra genoprettelsesresultatet. Dette sparer betydelig tid for brugeren, når han senere skal finde de nødvendige filer blandt de mange anonyme data.
Hvis filer slettes på et drev med filsystemet FAT16 eller FAT32, kan man anvende metadataanalyse til at genopnå nogle data med de oprindelige navne. I tilfælde af SFN vil den første karakter i filnavnet være fraværende, og hvis filen havde et langt navn, vil hele navnet være i LFN-posten. Hvis fragmenterede filer slettes, vil datagendannelse ved brug af automatiserede genoprettelsesværktøjer ikke være vellykket, da posten om kæden af klynger, der tilhører filen, slettes i FAT-tabellen. I FAT32 kan der i nogle tilfælde, udover sletning af kæden til pladsen for filen i begge kopier af tabellen, slettes den første karakter af SFN og de to højeste byte i nummeret på den første klynge, der optages af filen. De fleste automatiserede genoprettelsesværktøjer, der analyserer metadata, vil ikke bestemme den korrekte position for filen.
Gendannelse af fragmenterede filer er som regel en ret kompliceret opgave, der er lidt automatiseret. Automatiseringsmetoder kan udvikles til specifikke type strukturer. Oftest reduceres opgaven til manuel, lavproduktiv analyse for at finde de nødvendige fragmenter. Et eksempel på et sådant arbejde kan vurderes i artiklen
Hvis metoderne til metadataanalyse ikke førte til at finde de nødvendige data, eller hvis de nødvendige filer ikke kan åbnes, må man ty til metoden for at søge med regulære udtryk. Det er muligt at opdage nogle dele af filerne.
Hvis filer er slettet på et drev med filsystemet HFS+, Ext 2, Ext3, Ext4, så er det desværre værdiløst at analysere metadata. Der er ikke andet at gøre end at søge med regulære udtryk.
Sletning af datadrev
Hvis et eller flere partitioner er blevet slettet fejlagtigt i diskstyringsværktøjet, anbefales det for brugeren, der ønsker at gendanne data, at køre automatiserede genoprettelsesværktøjer med en fuld scanning af hele enheden. Det er også ønskeligt at tage hensyn til placeringen af de eksisterende partitioner for at udelukke åbenlyse forkerte muligheder i det fundne.
Fig. 20 slettet partition
En specialist udfører sådant arbejde relativt hurtigt ved at søge efter boot-sektorer og superblokke på forventede steder. Baseret på de fundne søges, beregnes de nøjagtige positioner for start af partitioner og deres længde.
Man kan også forsøge at bruge DMDE eller lignende værktøjer, som relativt hurtigt kan finde tegn på starten af en partition, og forsøge at visualisere filsystemet for den fundne partition.
Fig. 21 resultatet af hurtig søgning af partitioner ved hjælp af DMDE.
Partitionen er formateret med data.
I sådanne tilfælde afhænger den anbefalede handlingsplan stærkt af typen af filsystem, der var før formateringen af partitionen, og hvilket filsystem der blev brugt efter formateringen.
For eksempel, hvis en FAT32-partition med en klynge på 8 KB blev formateret til FAT32 med en klynge på 64 KB, så er størrelsen på de nye FAT-tabeller blevet 8 gange mindre, og derfor ødelagde begge kopier af de nye tabeller kun den første kopi af de gamle FAT-tabeller. I denne situation kan søgning efter metadata give en succesrate tæt på 100%. Hvis partitionen derimod blev formateret til FAT32 med en mindre eller lig størrelse klynge end før formateringen, vil de nye, rene tabeller helt overskrive de gamle og delvist berøre området med brugerdata. I så fald vil søgning efter metadata give betydeligt dårligere resultater.
Hvis der blev anvendt et FAT32-filsystem før formateringen på partitionen, og partitionen blev formateret til NTFS, er det som regel ikke de nye strukturer ($MFT, $Bitmap, $Logfile), der er placeret i startområdet af partitionen, og der er stor sandsynlighed for, at vi ved hjælp af metadata-søgemetoden kan få det meste af dataene med en normal struktur af mapper og minimale skader på selve dataene.
Der vil også være en høj procentdel af genopretning, når en partition med NTFS-filsystemet er blevet formateret til FAT32. I dette tilfælde vil FAT-tabellerne ødelægge dataene i starten af partitionen og vil som regel ikke berøre de nøglemæssige strukturer af NTFS. Resultatet vil være utilfredsstillende i tilfælde af en lille mængde data, hvis størrelse er sammenlignelig med størrelsen på de to kopier af FAT-tabeller.
Men hvis brugeren ikke ønsker at dykke ned i detaljerne om metadataernes placering i forskellige filsystemer, vil det være en logisk skridt at starte værktøjet til automatisk datagendannelse i metadata-søgemodus. Og hvis den modtagne mængde data er utilstrækkelig, kan metoden for regulære udtryk anvendes.
Partitionen er blevet formateret, og der er delvist blevet overskrevet med andre data.
Som det ofte sker, kan brugeren formatere partitionen og begynde at fylde den med andre data, kun for senere at indse, at der var vigtig information på den gamle partition. I sådanne tilfælde kan der ikke gives en entydig anbefaling. Det afhænger i høj grad af, hvor meget (kvantitativt og volumetrisk) nyt data der er blevet skrevet, samt hvor disse data er placeret. Afhængigt af betingelserne kan resultatet variere fra 0 til tæt på 100 %. Det kan ikke forudsiges på forhånd.
I mange tilfælde, hvor der er en stor overlapping i datalområdet, giver det mening at starte med metoden for regulære udtryk for de nødvendige filtyper for at forstå, om der stadig er tegn på eksisterende data, og hvis sådanne opdages, udføre en søgning i filsystemets metadata.
Under laboratorieforhold for datagendannelse vil specialisten opbygge et kort over det ledige rum og udføre en søgning efter regulære udtryk kun på disse områder for at udelukke eksistensen af allerede eksisterende data i søgningens resultater. Derudover vil værktøjer til integrity kontrol betydeligt mindske antallet af falske positive resultater. I nogle opgaver, som for eksempel at gendanne jpg-filer (f.eks. en privat fotoalbum), vil det være muligt at sortere i henhold til den information, der findes i Exif-tags fra jpeg-filerne, hvilket muliggør et resultatsæt, der er ordnet kronologisk og sorteret efter kameramodeller.
Fig. 22 resultaterne af sorteringen af JPG-filer, fundet ved hjælp af søgning med regulære udtryk
Uventet afslutning af procedurerne for ændring af størrelse, flytning eller sammenlægning af partitioner.
I tilfælde af, at diskmanagerens procedurer til ændring af partitionstørrelse, flytning eller sammenlægning af flere partitioner afsluttes uventet, er det nødvendigt at finde ud af, hvilke specifikke trin der blev udført, og på hvilket trin operationen blev stoppet, for at opnå det bedst mulige resultat.
Givet kompleksiteten og antallet af mulige variationer, vil vi kun overveje den universelle løsning for brugeren, der ønsker et resultat med et minimum af handlinger. Det er nødvendigt at vælge hele lagerenheden som emne for analysen for at sikre, at alle dataplaceringer er dækket. Brug metoden til at søge i metadata og kopiere alle dataversioner fra de fundne filsystemer. Der er en høj sandsynlighed for, at forskellige filsyner vil have gyldige forskellige sæt af filer. Søgning med regulære udtryk baseret på angivne filtyper er også vigtig, da der i sådanne tilfælde kan være delvis datatab ved tab af oplysninger om filnavne og placering.
8. Kontrol af integriteten af de genskabte data
Det er vigtigt at forstå, at visningen af filnavne i datagendannelsesprogrammet eller antallet af fundne regulære udtryk ikke garanterer, at alt det fundne kan bruges. Derfor er en ikke mindre vigtig fase efter datarestitutionen med det automatiske gendannelsesprogram kontrollen af selve dataintegriteten.
Desværre findes der ikke noget universelt gratis værktøj til at kontrollere integriteten af et stort antal forskellige filer. Men man kan finde gratis software, der kan kontrollere enkeltstående filtyper. For eksempel tillader mange arkiveringsværktøjer at kontrollere arkivers integritet, while MP3Diag kan bruges til at kontrollere integriteten af mp3-filer, og ImageMagick kan anvendes til at teste jpg-filer.
Den største ulempe ved mange gratis værktøjer til at kontrollere filintegritet er, at de ikke garanterer en fuldstændig kontrol af filerne. Og der kan opstå massefejl.
For mange filtyper har brugeren ikke andre muligheder end visuelt at vurdere dataintegriteten ved gradvist at åbne filerne i de relevante applikationer.
I professionelle systemer findes der et sæt værktøjer, der gør det muligt at delvist kontrollere filers integritet, hvilket befrir data recovery-resultatet for mange unødvendige filer.
Udover at filtrere unødvendige filer er det nødvendigt at identificere filer med skader. Hvis du har oprettet en sektorkopi fyldt med et mønster af ulæste sektorer, kan du nemt finde beskadigede filer ved at søge efter tekststrengen "BAD!BAD!BAD!BAD!" (i vores eksempel blev fyldmaterialet "BAD!" anvendt). Efter at have fundet dem skal du vurdere graden af skader, da nogle filformater muligvis ikke lider meget ved tabet af en lille del af dataene, mens andre kan være helt ubrugelige.
9. Hyppige brugerfejl.
Forskellige forsøg på at "helbrede" skader ved hjælp af populære diagnoseværktøjer i håbet om at genskabe dataadgangen er en af de største fejl, mange brugere begår. Forsøg på at skjule skader på lagermedier med beskadiget polymer på pladernes overflade ender ofte med at slibe pladerne ned i stedet for at få adgang til dataene. Af denne grund anbefales det stærkt ikke at udføre nogen serviceoperationer på disken, før dataene er blevet hentet, hvis man ikke kender skadernes art på overfladen. Efter en vellykket data recovery kan man forsøge at servicere lagermediet, og hvis man er heldig, kan det muligvis stadig være anvendeligt til mindre kritiske opgaver.
Fejl opstår ofte i metadatastrukturen i filsystemet. I sådanne tilfælde fryser operativsystemet i længere tid, når det forsøger at montere den beskadigede partition. Hvis det problematiske lagermedie er tilsluttet, kan opstartstiden for operativsystemet strække sig over mange minutter. En af de værste ideer til at løse dette problem er at formatere den problematiske partition. Nyoprettede metadata kan blive korrekt skrevet, og problemet med langsom opstart af operativsystemet vil blive løst, men opgaven med at genskabe data vil blive vanskeligere, og kvaliteten af genskabningen kan lide alvorligt.
Kopiering af data, der er fundet af værktøjet, til den samme partition, som man forsøger at gendanne filer fra. I denne situation ender det normalt med, at brugeren får affald frem for data, og det næste forsøg på datagendannelse vil have en langt dårligere resultat. Hvis man følger instruktionerne i denne artikel, vil man være beskyttet mod en sådan fejl.
Der udføres ikke en integritetskontrol af de gendannede data, og indholdet af den originale enhed ødelægges sammen med dens kopi. I dette tilfælde er der risiko for at ende med en bunke mapper fyldt med fejlagtige resultater fra datagendannelsesforsøget uden mulighed for at få et kvalitetsresultat.
Forkert valg af værktøj og metoder til datagendannelse, hvilket resulterer i et resultat, der er betydeligt dårligere end det kunne være.
Jeg håber, dette sæt foranstaltninger vil hjælpe dig med at beslutte, om situationen med din enhed tillader selvstændige forsøg på datagendannelse, og om du er klar til at udføre dette sæt relativt enkle handlinger, som er nævnt i denne artikel.
Kilde: habr.com
