In diesem Artikel werden Methoden zur Selbstdiagnose verschiedener Fehler von Festplatten anhand ihrer Symptome sowie Möglichkeiten zum relativ sicheren Klonen von Festplatten mit geringfügigen Problemen beschrieben.
Unterschiedliche Fälle von Datenverlust und ein Satz optimaler Maßnahmen werden erörtert, die Ihnen ohne tiefgehende Kenntnisse der Dateisysteme mithilfe von automatischen Wiederherstellungsprogrammen helfen, Ihre Informationen ohne fremde Hilfe zurückzubekommen.
Bevor Sie jedoch irgendwelche selbstständigen Maßnahmen ergreifen, sollten Sie sich gründlich mit sämtlichen Materialien des Artikels vertraut machen und erst dann den Zustand Ihrer Festplatte analysieren, damit Ihre Versuche nicht die letzten im Leben des Speichermediums werden und Sie sich nicht der letzten Hoffnung auf die Wiederherstellung der benötigten Daten berauben.
INHALT
Erster Teil: Diagnose
Zweiter Teil: Datenwiederherstellung.
Indem Sie den weiteren Anweisungen zustimmen, erkennen Sie an, dass niemand außer Ihnen selbst für mögliche Ausfälle des Speichermediums und den unwiderruflichen Verlust von Daten verantwortlich ist. Die Maßnahmen zielen darauf ab, die Wahrscheinlichkeit eines ungünstigen Outcomes zu verringern, bieten jedoch keinen 100%igen Schutz dagegen.
Diagnose
1. Sichtprüfung
Untersuchen Sie das Speichermedium auf Verformungen, fehlende oder verbrannte Elemente auf der Controller-Platine und überprüfen Sie die Integrität der Anschlüsse. Bei schwerwiegenden Schäden oder verbrannten Komponenten wird dringend davon abgeraten, die Stromversorgung für ein solches Medium zu aktivieren, um die Probleme nicht zu verschärfen.
Verwenden Sie Schraubendreher (in der Regel sind dies Torx – T5, T6, T9), um die Schrauben zu lösen, die die Controller-Platine fixieren, und überprüfen Sie den Zustand der Kontaktflächen auf der Platine.
In Abb. 2 ist auf den Kontaktflächen ein Oxidfilm vorhanden.
Wenn Oxidation vorhanden ist, kann man versuchen, diese mit einem normalen Radiergummi von den Kontaktflächen zu entfernen. Arbeiten Sie mit dem Radiergummi nur auf flachen Flächen, wie im Bild dargestellt. In anderen Fällen ist eine solche Maßnahme nicht anwendbar.
Abb. 3 gereinigte Kontaktflächen.
Sollten Schäden an der Platine festgestellt werden, ist es nicht ratsam, bei modernen Festplatten die Steuerplatine eines ähnlichen Speichermediums zu verwenden, da in modernen Geräten im ROM auf der Platine verschiedene adaptive Parameter gespeichert sein können, die während des Produktionszyklus entstehen und für jedes Speichermedium einzigartig sind. In vergleichsweise seltenen Fällen können fremde Parameter das Festplattenlaufwerk beschädigen.
Wenn eine Lötstation vorhanden ist, sollten MCU, EEPROM, NV-RAM, NAND (je nachdem, was auf der Steuerplatine vorhanden ist und was unbedingt übertragen werden muss) übertragen werden. Nach dieser Anpassung kann ein Spendercontroller verwendet werden. Es ist anzumerken, dass es für die Anpassung vieler Controller ausreichend sein kann, nur den EEPROM-Chip zu übertragen.
Bei der Auswahl der Platine achten Sie zunächst auf die geätzte PCB-Nummer. Danach bewerten Sie die Übereinstimmung der Bezeichnungen von MCU und VCM&SM-Controller. Wenn sich die Bezeichnungen von MCU und VCM&SM-Controller auf der Originalplatine und der Spenderplatine unterscheiden, besteht eine hohe Wahrscheinlichkeit, dass die potenzielle Spenderplatine nicht geeignet ist. Innerhalb einer Familie können verschiedene Versionen von Platinen existieren, und in einigen Fällen können sie mit bestimmten Einschränkungen kompatibel sein, doch sollten Sie nicht versuchen, dies im eigenen Zuhause zu klären.
Der Versuch, eine ungeeignete Controllerplatine (mit einer anderen Nummer auf der PCB) einzusetzen, kann zum Durchbrennen des Vorverstärker-Switches führen.
Überprüfen Sie mit einem Multimeter die 5V- und 12V-Schaltkreise auf Kurzschlüsse. Kontrollieren Sie auch den Widerstand der Motorwicklungen. Wenn Sie einen garantierten funktionsfähigen Speicher mit genau demselben Hersteller, Modellreihe und Revision der Controller-Platine zur Verfügung haben, können Sie prüfen, ob die gleiche Anzahl von Pins im Stecker des Schalters durchgangs- und erdungsgeprüft wird, sowie die Widerstände vergleichen. Bei erheblichen Unterschieden können Sie schließen, dass der Schalter-Verstärker defekt ist, und jegliche selbstständigen Versuche zur Wiederherstellung von Daten einstellen.
2. Teststart
Stellen Sie sicher, dass Ihr Testsystem in Ordnung ist, um falsche Diagnosen zu vermeiden. Wenn keine externen Ursachen gefunden wurden, die den Startversuch behindern, schließen Sie das Schnittstellenkabel und das Netzkabel an die entsprechenden Anschlüsse an und schalten Sie das Netzteil ein.
Wenn Sie wissen, dass der Speicher während des Betriebs geschlagen oder fallen gelassen wurde oder bevor er zu Ihnen kam, klackernde Geräusche begann, verzichten Sie auf den Versuch, ihn einzuschalten.
In diesen Fällen ist eine obligatorische Öffnung der Festplatte unter einer Laminarstrombox (oder in einem Reinraum) erforderlich, gefolgt von einer sorgfältigen Untersuchung mit einem Mikroskop.
Abb. 4 Anschluss der Kabel an die Festplatten.
Nach dem Einschalten sollte das Laufwerk beginnen, die Welle zu drehen. In einigen Fällen kann dies nicht bei vollkommen funktionstüchtigen Laufwerken passieren, wenn aus bestimmten Gründen die Anforderung zur Ausgabe des Befehls spin up in die Laufwerkseinstellungen aufgenommen wurde.
Beim Drehen der Welle entsteht ein leises Geräusch durch den Luftstrom. In einigen Laufwerken ist es kaum hörbar, daher kann man ein Stethoskop verwenden (oder das Laufwerk nahe ans Ohr halten, unter Beachtung aller Sicherheitsregeln, um einen Kurzschluss zu vermeiden).
Wenn anstelle des Luftgeräuschs eine Reihe zyklischer Summgeräusche, leiser Pieptöne oder Geräusche zu hören sind, die entfernt an Telefonwahlgeräusche erinnern, ist es sehr wahrscheinlich, dass das Laufwerk die Welle des Motors nicht drehen kann. Die Gründe hierfür können Folgendes umfassen: Festkleben des HDA außerhalb der Parkzone, Blockade der Motorwelle, oder ein Defekt des VCM&SM-Controller-Chips.
Mit dem richtigen Spenderlaufwerk können Sie die Version mit dem fehlerhaften VCM&SM-Controller überprüfen, wenn Sie bereit sind, die notwendigen Anpassungen am Spenderboard vorzunehmen, die im Abschnitt „Visuelle Inspektion“ beschrieben sind.
In Fällen von Festfrierungen der BMK außerhalb der Parkrampe führen selbstständige Maßnahmen, inspiriert von Videos auf YouTube, in der Regel zu zusätzlichen Kratzern auf den Oberflächen der Platten oder zum Abreißen der Slider. Selbst wenn es Ihnen gelingt, die BMK relativ erfolgreich auf die Parkrampe zu bringen, werden die Schäden am Polymerüberzug, die an der Stelle der Festfrierung der Slider und die Mikrokratzer von den Slidern, die beim Positionieren der BMK entstanden sind, zusammen mit den Verfahren des Offline-Scannens und dem Staub aus ungefilterter Luft es kaum ermöglichen, bis zum Beginn weiterer irreversibler Degenerationsprozesse eine bedeutende Menge an Daten zu lesen. Wie in solchen Fällen eine Datenwiederherstellung in einem spezialisierten Unternehmen durchgeführt wird, können Sie in diesem Artikel nachlesen.
Wenn die Welle des Motors klemmt, ist normalerweise ein Austausch des Plattenpakets in den Hermetic Block des Spenderlaufwerks erforderlich. Eine solche Maßnahme ist in der heimischen Umgebung ohne entsprechende Vorbereitung und ohne die nötigen Werkzeuge in 99,9 % der Fälle zum Scheitern verurteilt.
Wenn beim Einschalten keine Geräusche zu hören sind und das Laufwerk die Welle nicht zu drehen beginnt, könnten folgende Diagnosen vorliegen: Defekt der Steuerplatine, Defekt des Vorverstärkers, Defekt des BMG.
Nachdem das Laufwerk mit der Drehung der Welle begonnen hat, muss es eine Kalibrierung durchführen, die Firmware lesen und das Übersetzungssystem initialisieren, um bereit zu sein. Wenn anstelle der Kalibrierung wiederholte klopfende Geräusche, Kratzen oder andere laute Geräusche zu hören sind, trennen Sie das Laufwerk sofort. Mögliche Ursachen für solche Phänomene können ein Defekt des BMG oder des Vorverstärkers sowie ein Defekt des VCM&SM-Chips des Controllers sein.
Die Firmware bestimmter Speichergeräte führt eine Abfrage des Switch-Controllers durch, bevor die Motordrehung beginnt. Bei der Feststellung einer fehlerhaften Antwort oder übermäßigen Widerstandswerten an einem der Köpfe wird der Initialisierungsprozess notgeschaltet. Leider kontrollieren viele Firmware-Versionen nicht ausreichend die Integrität des Geräts und ermöglichen den Versuch, offensichtlich fehlerhafte Festplatten zu starten. Transplantationen des Lesekopfes sollten unter einem Laminar-Flow-Beschränkungsraum mit reinem Luftstrom und mit speziellem Werkzeug durchgeführt werden. Darüber hinaus ist es wichtig zu wissen, wie man einen Spender auswählt, um eine passende Revision des Switch-Controllers, des Kopfkarten und ähnliche adaptive Parameter zu finden. Es reicht nicht aus, nur den Hersteller und das Modell abzugleichen, um sicherzustellen, dass das Speichergerät als geeigneter Spender fungiert. Selbst wenn es gelingt, einen passenden Spender zu finden und die Transplantation durchzuführen, ist es unwahrscheinlich, dass ein erheblicher Datenbestand aufgrund begleitender Probleme gelesen werden kann.
Welche Maßnahmen bei einer fehlerhaften Controller-Platine ergriffen werden können, finden Sie im Abschnitt „Visuelle Inspektion“.
Abb. 5 stark zerkratzte Oberfläche der Platte (mehrere Kerben).
Es ist wichtig zu verstehen, dass mit jedem Versuch, ein Speichermedium mit einem fehlerhaften BMG (Baustein-Medien-Generator) zu aktivieren, das Risiko weiterer Beschädigungen der Plattenoberflächen verbunden ist, was zu einer vollständigen Unmöglichkeit der Datenwiederherstellung führen kann.
Wenn das Speichermedium keine verdächtigen Geräusche von sich gibt, sollte es nach Abschluss aller Initialisierungsverfahren bereit sein. Ab diesem Zeitpunkt sollte das Medium zum Datenaustausch über die Schnittstelle bereit sein und sollte bei Anschluss an den Port der Systemplatine des PCs auf die Anfrage des BIOS nach dem Passwort reagieren. Wenn alles in Ordnung ist mit der Verbindung und den BIOS-Einstellungen, aber die Festplatte für den PC unsichtbar bleibt, liegen wahrscheinlich Probleme mit der Firmware des Speichermediums vor, die es ihm nicht erlauben, bereit zu werden.
Wenn der Speicher falsche Passdaten zurückgibt, wie beispielsweise nur den Modellnamen und eine null Kapazität oder der Modellname nicht exakt ist, und die Seriennummer fehlt, deutet das darauf hin, dass die Initialisierungsprozeduren nicht erfolgreich abgeschlossen wurden und es Probleme mit der Firmware gibt. In solchen Fällen ist es normalerweise unmöglich, das Problem ohne spezialisierte Software-Hardware-Lösungen selbst zu beheben.
Eine Ausnahme könnte der Fall des Seagate 7200.11 (aus der Moose-Serie) sein, bei dem einige Probleme mit einem RS232-TTL-Adapter und einem gewöhnlichen Terminal gelöst werden konnten. Allerdings muss man hierbei verstehen, dass es ohne tiefes Verständnis des Firmware-Problems Risiken gibt, die Situation erheblich zu verschlimmern.
Es wird dringend davon abgeraten, diese Methode auf andere Serien anzuwenden, da dies zu einer fehlerhaften Übersetzung des Transmitters führen würde, die in den überwiegenden meisten Fällen inkorrekt ist und der Zugang zur Benutzerzone bis zum ersten Punkt der Abweichung beschränkt ist. Die Datenrettung wird in diesem Fall deutlich erschwert.
Wenn im vom Speichergerät bereitgestellten Dokument alle Felder korrekt sind, außer der Kapazität, sollte überprüft werden, ob dies auf einen BIOS-Fehler einiger Motherboards zurückzuführen ist, die beim Einsatz von HPA-Steuerbefehlen anstelle des Ausschneidens eines kleinen Teils des LBA-Bereichs zur Sicherung einer BIOS-Kopie fast 1 TB ausschneiden.
Abb. 6 die ausgewiesene Kapazität der Festplatte von 1 TB nach Fehlfunktionen des BIOS des Gigabyte-Motherboards.
Um dieses Problem zu lösen, kann HDAT2 oder eine ähnliche kostenlose Diagnosesoftware verwendet werden, mit der die ursprüngliche ausgewiesene Kapazität des Speichers wiederhergestellt und das HPA-Management in DCO deaktiviert werden kann, um ein erneutes Auftreten des Problems zu vermeiden.
3. Vorbereitung zum Testen
Bei der Testung von Festplatten außerhalb professioneller Systeme ist es wichtig, das Betriebssystem im Voraus vorzubereiten. Automatisches Mounten von Datenträgerpartitionen sollte deaktiviert werden, um unbefugte Aktionen des Betriebssystems zu vermeiden.
In Windows muss dies mit Administratorrechten erfolgen, indem man diskpart aufruft und den Befehl automount disableausführt. Wenn die potenziell problematische Festplatte zuvor an dieses Betriebssystem angeschlossen war, müssen die Mount-Parameter mit folgendem Befehl aus der Registry entfernt werden. automount scrub. Für die Wirkung dieser Einstellungen wird ein Neustart empfohlen.
Es ist auch erforderlich, eine Diagnosesoftware vorzubereiten. Unter Windows kann man den kostenlosen PC3000 DiskAnalyzer verwenden, der neben der Diagnosefunktion auch die Möglichkeit bietet, eine sektorweise Kopie zu erstellen. Es ist zudem ratsam, einen bootfähigen USB-Stick mit HDAT2 zur Hand zu haben.
Es ist nicht zwingend erforderlich, ausschließlich diese Software zur Diagnose zu verwenden. Man kann auch andere Alternativen nutzen, abgesehen von einigen kostenpflichtigen Programmen für zu skeptische Benutzer, deren Werbung mit Slogans wie «… einzigartige Software zur Wiederherstellung physisch beschädigter Festplatten. Sie versteckt keine defekten Sektoren, sie stellt sie tatsächlich wieder her!» wirbt. Bei solch übertriebenen Behauptungen hat die Software oft eine sehr begrenzte Funktionalität, die nicht über die Möglichkeiten kostenloser Software hinausgeht, und die Herangehensweise an Defekte zielt eher darauf ab, das Laufwerk endgültig zu schädigen, als bei der Datenrettung zu helfen.
Wenn die Bootzeit des Betriebssystems bei angeschlossenem Laufwerk auch bei deaktivierter automatischer Einbindung der Volumes mehrere Male angestiegen ist, sollte jegliche Eigeninitiative eingestellt werden, um eine Verschärfung des Problems zu vermeiden.
Ein erhebliches Ansteigen der Bootzeit des Betriebssystems beim Anschließen einer potenziell problematischen Festplatte ist ein ganz typisches Zeichen dafür, dass auf den Oberflächen der Platten des Laufwerks Oberflächendefekte vorliegen. Verzögerungen beim Booten des Betriebssystems entstehen durch Zugriffe auf defekte Sektoren und die Versuche der Firmware, Offline-Scannvorgänge durchzuführen, die ihr nicht gelingen.
Nach dem erfolgreichen Laden des Betriebssystems gehen Sie zum Geräte-Manager und überprüfen Sie, ob Ihr Speichergerät in der Geräteliste aufgeführt ist. Wenn es nicht vorhanden ist, stellen Sie sicher, dass der Treiber für den Controller, an den es angeschlossen ist, installiert ist und dass der Controller selbst in der Geräteliste nicht deaktiviert ist. Wenn der Treiber und die OS-Konfiguration in Ordnung sind, das Speichergerät aber trotzdem nicht angezeigt wird oder nach einiger Zeit wieder verschwindet, deutet dies normalerweise auf eine Vielzahl von Problemen hin. Zu den wahrscheinlichsten Ursachen gehören Controller-Platine-Fehler, ein Fehler in der Firmware des Speichergeräts oder der Wechsel des Speichergeräts in den Notfallmodus, wodurch es nicht mehr auf die meisten Befehle reagiert.
Um das Diagnoseergebnis zu präzisieren, können Sie versuchen, DOS zu laden und mithilfe von HDAT2 die SMART-Parameter zu überprüfen. Falls Anzeichen von Defektbildung festgestellt werden (nicht-null Werte für die Attribute 5 und 197(C5) in den Bereichen der unnormalisierten Werte), kann geschlossen werden, dass ohne Eingriffe in die Firmware-Einstellungen in einer Heimumgebung nichts unternommen werden kann. Wenn keine Anzeichen von Defektbildung vorhanden sind, könnte die Ursache für die Abstürze in der fehlerhaften Funktionsweise der Steuerplatine liegen. In diesem Fall können Sie versuchen, eine Steuerplatine von einem Spenderlaufwerk zu verwenden.
4. Testen
Nachdem Sie die vorherigen Schritte durchlaufen haben und keine wesentlichen Gründe für eine Unterbrechung des Prozesses festgestellt wurden, können Sie mit der weiteren Bewertung des Zustands des Laufwerks fortfahren. Die meisten in diesem Jahrhundert produzierten Laufwerke verfügen über die S.M.A.R.T.-Technologie, die den Zustand des Laufwerks überwacht und verschiedene Ereignisse während seines Betriebs registriert. In unserem Artikel können Sie mehr über die Implementierung dieser Technologie in HDDs erfahren und welche Parameter bei der Nutzung von Festplatten überwacht werden sollten. .
Verwenden Sie Diagnosesoftware, um die S.M.A.R.T.-Parameter abzurufen.
Abb. 7 S.M.A.R.T.-Attribute eines funktionierenden Festplattens
Es ist wichtig, die Werte der Attribute 5 und 197 (C5) zu bewerten. Wenn die Werte in der Spalte RAW null sind oder nur einzelne Problemwerte angezeigt werden, sollte eine weitere Untersuchung vorgenommen werden.
Abb. 8 S.M.A.R.T.-Attribute einer Festplatte mit ernsthaften Defekten
Wenn die Anzahl der Defektkandidaten drei- bis vierstellige Zahlen erreicht, werden weitere Versuche, die Oberfläche zu testen oder mit Datenwiederherstellungs-Tools zu scannen, in den meisten Fällen das Problem verschlimmern, bis eine vollständige Datenwiederherstellung unmöglich wird.
Um in solchen Fällen an die Daten zu gelangen, ist es wichtig, die Firmware-Einstellungen der Speichergeräte anzupassen und Offline-Scans sowie S.M.A.R.T.-Protokollierung zu deaktivieren. Dadurch kann der Speicher von Hintergrundprozessen befreit werden, die die Lebensdauer des fehlerhaften Geräts erheblich verkürzen könnten. Leider sind solche Anpassungen ohne tiefgehende Kenntnisse der Firmware-Architektur der Speichergeräte und ohne professionelle Tools nicht möglich. Die nächste Aufgabe besteht darin, den Zustand jeder einzelnen Kopfgruppe zu bewerten und die Hauptfehlerzonen zu lokalisieren. In diesen Fällen ist lineares Lesen mit mehrfachen Wiederholungen an fehlerhaften Stellen kontraindiziert, da dies zu gefährlich ist.
Selbst wenn der Speicher auf den ersten Blick korrekt funktioniert und laut den S.M.A.R.T.-Werten keine Anzeichen von Defekten zeigt, ist das keine Garantie dafür, dass tatsächlich keine vorhanden sind. Daher ist es notwendig, die endgültige Testphase durchzuführen und die Oberfläche zu validieren.
Es ist wichtig, den Scanprozess kontinuierlich zu überwachen. Bei auftretenden ungewöhnlichen Geräuschen oder der Entdeckung umfangreicher Bereiche mit Lese-Fehlern sollte der Prozess sofort abgebrochen und das Laufwerk abgeschaltet werden, um irreversible Folgen zu vermeiden.
Abb. 9: Diagramm des Scans eines funktionierenden Laufwerks
Wenn das Ergebnis des Laufwerkscans ein monoton fallendes Geschwindigkeitsdiagramm zeigt und keine Lese-Fehler registriert wurden, kann das Laufwerk als funktionsfähig betrachtet werden, und es kann zum nächsten Abschnitt übergegangen werden.
Bei Laufwerken mit großem Media-Cache und einer von der klassischen abweichenden Aufzeichnung (in der Regel bei Laufwerken mit schuppenförmiger Aufzeichnung (SMR)) kann das Diagramm eine andere Form aufweisen. Es sind verschiedene Arten von Ausreißern möglich.
Abb. 10: Diagramm des Scans eines Laufwerks mit problematischem Kopf
Wenn bei der Überprüfung des Laufwerks zyklische „langsame“ Bereiche entdeckt werden, ist dies ein typisches Zeichen für einen nicht ganz funktionierenden Kopf. Man sollte nicht warten, bis Defekte entdeckt werden, sondern sofort mit den Tests aufhören.
In dieser Situation ist nicht viel Gutes zu erwarten, wenn man selbst versucht, Daten wiederherzustellen. Es besteht eine hohe Wahrscheinlichkeit, dass das Laufwerk den Versuch, ein sektorweises Abbild mit den dem Benutzer zur Verfügung stehenden Mitteln zu erstellen, nicht übersteht.
Wenn in den S.M.A.R.T.-Attributen 5 und 197 (C5) Anzeichen für eine Fehlentwicklung festgestellt wurden oder während der Überprüfung punktuelle Defekte auftraten, sollte eine Kopie der Festplatte erstellt werden.
5. Sektorweise Kopie
Wenn der Festplattentest keine Probleme zeigt und das Laufwerk als funktionsfähig gilt, ist es nicht erforderlich, ein sektorweises Abbild zu erstellen, und Sie können mit dem Originallaufwerk arbeiten. Um jedoch unerwartete Vorfälle zu vermeiden, wird dringend empfohlen, diesen Schritt nicht zu überspringen und nur mit der Kopie zu arbeiten.
Bei einer intakten Festplatte oder einer Festplatte mit nur wenigen Defekten gibt es keinen wesentlichen Unterschied, welches Werkzeug Sie verwenden, wichtig ist, dass es eine vollständige Kopie erstellt. Es ist auch wichtig, die Optionen bestimmter Programme zur Erstellung eines komprimierten Abbilds nicht zu verwenden, da Sie danach wahrscheinlich nur im Rahmen der Möglichkeiten der Software arbeiten können, die ein solches Abbild erstellt hat.
Unter Windows können folgende Programme verwendet werden: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio und andere.
Unter Linux reichen die Funktionen des Standardbefehls dd aus.
Nicht alle Software ist kostenlos, aber in vielen Fällen reichen die Funktionen der Test- oder Demoversion aus, um ein Laufwerk zu kopieren.
Als Beispiel verwenden wir WinHex zum Klonen von Festplatten.
Abb. 11 WinHex-Optionen im Menü zum Klonen von Festplatten.
Im Tab „Werkzeuge“ wählen wir die Option „Festplattenwerkzeuge“ im Dropdown-Menü und wählen „Festplatte klonen“ oder drücken einfach Strg+D.
Abb. 12 Einstellungen der Klonparameter.
Als Quelle wählen wir die Festplatte, die wir klonen möchten.
Als Ziel kann eine Festplatte mit gleichem oder größerem Volumen dienen, oder das Klonen in eine Image-Datei ist ebenfalls möglich.
Stellen Sie sicher, dass auf der Zielplatte genügend freier Speicherplatz vorhanden ist.
In den Kopiereinstellungen ist es ratsam, die Option „Fehlerhafte Sektoren überspringen“ zu aktivieren.
Wenn Ihr Laufwerk Sektoren mit einer physischen Sektorgröße von 4096 Byte hat, aber im Betriebssystem mit einer virtuellen Größe von 512 Byte angezeigt wird, sollten Sie den Wert 8 einstellen, um unnötige Leseversuche auf dem problematischen Sektor zu vermeiden.
„Vorlage zur Behebung von Quellfehlern“ – Geben Sie ein Suchwort oder eine Phrase an, die den Sektor in der Kopie der undurchsichtigen Sektoren aus der Quelle füllt. So lassen sich beschädigte Dateien später leichter finden.
Bei der Erstellung einer Kopie ist es wichtig, den Prozess ununterbrochen zu überwachen. Bei ungewöhnlichen Geräuschen, Hängern des Speichermediums oder dem Auffinden einer größeren Anzahl von Fehlern als bei der ursprünglichen Prüfung, muss der Prozess sofort gestoppt und das Speichermedium abgeschaltet werden, um irreparable Folgen zu vermeiden.
Professionelle Datenwiederherstellungssoftware, wie DataExtractor, bietet erheblich erweiterte Möglichkeiten zur Anpassung des Kopierszenarios sowie eine Überwachung des Status des Speichermediums, was die Chancen auf eine erfolgreiche Wiederherstellung bei geschulten Fachkräften erheblich erhöht.
Abb. 13 Einstellungen der Reaktionen des professionellen Systems bei Leseproblemen
Datenwiederherstellung
6. Wiederherstellungsmethoden
Heutzutage gibt es viele Programme zur automatischen Datenwiederherstellung, die keine spezifischen Kenntnisse des Benutzers erfordern und die Daten fast mit einem Mausklick wiederherstellen. Dieser Ansatz führt jedoch in vielen Fällen nicht zu den bestmöglichen Ergebnissen oder die Resultate gehen im Dschungel irrelevanter Optionen unter.
Für eine effektive Nutzung des Datenwiederherstellungsprogramms ist es ratsam, den Suchbereich so weit wie möglich einzugrenzen. Dazu sollte der Bereich des Scannens und die Art des gesuchten Dateisystems angegeben werden. Solche Spezifizierungen können viele Optionen früherer Dateisysteme ausschließen und die Wahrscheinlichkeit einer falschen Interpretation der gefundenen Metadaten des Dateisystems verringern.
Abb. 14 Beispiel für die Einrichtung von R-Studio zur Suche nach Metadaten des gewünschten Dateisystems
Die Metadaten des Dateisystems sind Strukturen, die den Standort der Dateien, deren Namen, Attribute, Zugriffsrechte, Protokolle usw. beschreiben.
Abb. 15 Beispiel für Metadaten. Fragment eines MFT-Eintrags (Master File Table im NTFS)
In vielen Fällen berechnen die automatischen Wiederherstellungsprogramme den Ausgangspunkt in Bezug auf die gefundenen Metadaten nicht genau und filtern auch nicht immer korrekt die Daten verschiedener Dateisysteme, was zu falschen Berechnungen der Position für alle Dateien führen kann. Zudem erhöhen verschiedene falsche Interpretationen das geschätzte Datenvolumen manchmal um ein Vielfaches über die Kapazität des Speichers.
Professionelle Lösungen bieten Werkzeuge zur Erstellung virtueller Volumes verschiedener Dateisysteme mit manuell festgelegten Parametern sowie Werkzeuge zur Suche nach Metadaten, mit der Möglichkeit, überflüssige Objekte manuell auszuschließen.
In Fällen, in denen die benötigten Metadaten des Dateisystems nicht mehr existieren oder fehlerhaft sind, ist es erforderlich, die Methode zur Suche nach regulären Ausdrücken anzuwenden, die für bestimmte Dateitypen charakteristisch sind.
Abb. 16 0xFF 0xD8 0xFF regulärer Ausdruck, der für JPG-Dateien charakteristisch ist
Automatisch durchgeführte Wiederherstellungsprogramme, die solche Methoden verwenden, weisen in der Regel folgende Mängel auf: Es fehlt an Verzeichnisstrukturen und originalen Dateinamen, die Struktur der Dateien wird nicht analysiert und die Integrität der gefundenen Dateien wird nicht ausreichend überwacht, wodurch eine Vielzahl von unbrauchbaren Daten entsteht, die nicht verwendet werden können, und für viele Dateitypen wird die korrekte Größe nicht berechnet.
Abb. 17 Einstellungen von R-Studio zur Suche nach regulären Ausdrücken für die gewünschten Dateien
7. Typische Fälle und empfohlene Maßnahmen
Beschädigung des Dateisystems
Aufgrund von PC-Komponentenfehlern, einer fehlerhaften Betriebssystemfunktion, unerwarteten Stromausfällen während des Schreibens auf die Festplatte und Festplattenschäden können die Metadaten des Dateisystems beschädigt werden. Bei vielen Arten von Beschädigungen kann das Betriebssystem das Volumen mit dem beschädigten Dateisystem nicht einhängen.
Abb. 18 beschädigte Metadaten des Dateisystems (nicht erkannter Dateisystemtyp RAW)
In solchen Fällen ist die Methode zur Suche nach Metadaten im Dateisystem innerhalb einer bestehenden Partition recht effektiv. Bei leichten Beschädigungen kann ein nahezu 100%iges Ergebnis erzielt werden. Diese Empfehlung gilt für die meisten verschiedenen Dateisysteme.
Natürlich gibt es Situationen, in denen aufgrund von Ausfällen eine große Menge an Metadaten des aktuellen Dateisystems beschädigt wird. Wenn die erste Methode nicht funktioniert hat, ist es notwendig, die Methode der regulären Ausdrücke zu verwenden, um die benötigten Dateien zu finden.
Die Arbeit eines Spezialisten zeichnet sich dadurch aus, dass er die Art der Beschädigung der Metadaten beurteilt. Wenn diese nicht zerstört, sondern in verzerrter Form vorliegen, sind manuelle Korrekturen mit einem Hex-Editor möglich.
Löschen von Dateien oder Gruppen von Dateien.
Ein versehentliches Löschen von Daten ist ein recht häufiger Fall. Die Folgen dieser Handlung hängen stark von der Art des Dateisystems ab, sowie bei relativ neuen Festplatten von der Arbeitsweise der Firmware des Geräts.
Wenn Dateien auf einer NTFS-Partition gelöscht wurden, ist die beste Methode zur Wiederherstellung der Dateien eine Express-Analyse mit verschiedenen Tools. Dabei werden die Hauptstrukturen (MFT, Index, Logfile) schnell gescannt, ohne die gesamte Partition vollständig zu scannen. Wenn die benötigten Datei-Einträge und der Platz, den diese Dateien einnehmen, nicht durch andere Daten überschrieben wurden, können die gewünschten Dateien zügig wiederhergestellt werden.
Abb. 19 zeigt nach dem Scannen des $MFT die als gelöscht gekennzeichneten Einträge in lila.
Falls bei der schnellen Analyse die benötigten Daten nicht gefunden oder beschädigt sind, kann eine vollständige Partitionserstellung durchgeführt werden. Womöglich wird sich das Ergebnis jedoch nicht wesentlich ändern, und es bleibt nichts anderes übrig, als nach regulären Ausdrücken zu suchen.
Ein Tool zur Erstellung einer Karte des freien Raums ist im Arsenal des Spezialisten verfügbar, um eine gezielte Analyse nur in diesen Bereichen durchzuführen. Das entfernt bestehende Daten aus den Wiederherstellungsergebnissen und spart dem Benutzer erheblich Zeit bei der Suche nach den benötigten Dateien in der Vielzahl an namenlosen Daten.
Wenn Dateien auf einer Partition mit dem Dateisystem FAT16 oder FAT32 gelöscht werden, kann man die Metadatenanalyse verwenden, um einen Teil der Daten mit den ursprünglichen Namen wiederherzustellen. Bei SFN fehlt das erste Zeichen im Dateinamen; wenn die Datei jedoch einen langen Namen hatte, wird der vollständige Name im LFN-Eintrag angezeigt. Bei der Wiederherstellung fragmentierter Dateien werden mit automatischen Wiederherstellungsprogrammen keine Erfolge erzielt, da mit dem Löschen der Eintrag für die Kette der Cluster, die zur Datei gehören, in der FAT-Tabelle entfernt wird. Darüber hinaus werden im FAT32 in einigen Fällen neben dem Löschen der Kette des Dateispeicherorts in beiden Kopien der Tabelle das erste Zeichen von SFN und die oberen zwei Bytes der Nummer des ersten Clusters, den die Datei belegt, aus dem Verzeichnis gelöscht. Die meisten automatischen Wiederherstellungswerkzeuge, die Metadaten analysieren, können die korrekte Position der Datei nicht bestimmen.
Die Wiederherstellung von fragmentierten Dateien ist in der Regel eine komplexe Aufgabe, die nur begrenzt automatisiert werden kann. Automatisierungsmethoden können für spezifische Strukturtypen entwickelt werden. Häufig besteht die Aufgabe in einer manuellen, wenig effizienten Analyse, um die benötigten Fragmente zu finden. Ein Beispiel für eine solche Arbeit kann in dem Artikel bewertet werden.
Wenn die Methoden zur Analyse von Metadaten nicht zur Auffindung der benötigten Daten geführt haben oder wenn die erforderlichen Dateien nicht geöffnet werden können, bleibt die Methode der regulären Ausdruckssuche. Möglicherweise kann ein Teil der Dateien gefunden werden.
Wenn Dateien auf einem Laufwerk mit dem Dateisystem HFS+, Ext 2, Ext3, Ext4 gelöscht wurden, ist die Analyse der Metadaten bedauerlicherweise nutzlos. Außer der Suche nach regulären Ausdrücken bleibt nichts anderes übrig.
Löschung der Datenpartition
Wenn in der Datenträgerverwaltung versehentlich eine oder mehrere Partitionen gelöscht wurden, wird empfohlen, das automatische Wiederherstellungsprogramm mit einer vollständigen Gerätescannung zu starten, um Daten wiederherzustellen. Dabei sollte auch die Position der vorhandenen Partitionen berücksichtigt werden, um offensichtlich falsche Optionen im Fund zu vermeiden.
Abb. 20 gelöschte Partition
Ein Fachmann führt diese Arbeiten in der Regel relativ schnell durch, indem er nach Bootsektoren und Superblöcken an den erwarteten Stellen sucht. Auf Basis der gefundenen Informationen werden die exakten Positionen der Partitionen und ihre Ausdehnung berechnet.
Es kann auch versucht werden, DMDE oder ähnliche Tools zu verwenden, die relativ schnell Anzeichen für den Beginn einer Partition finden und versuchen können, das Dateisystem der gefundenen Partition anzuzeigen.
Abb. 21 Ergebnis der schnellen Partitionssuche mit DMDE
Die Partition mit Daten wurde formatiert.
In solchen Fällen hängt das empfohlene Vorgehen stark von der Art des Dateisystems ab, das vor der Formatierung des Laufwerks verwendet wurde, und von dem Dateisystem, das nach der Formatierung verwendet wird.
Wenn beispielsweise ein FAT32-Partition mit 8 KB Clustergröße in FAT32 mit 64 KB Clustergröße formatiert wurde, dann ist die Größe der neuen FAT-Tabellen um das Achtfache kleiner geworden. Folglich haben beide Kopien der neuen Tabellen nur die erste Kopie der alten FAT-Tabellen beschädigt. In dieser Situation kann die Suche nach Metadaten Ergebnisse nahe 100 % liefern. Wurde die Partition jedoch in FAT32 mit einer Clustergröße formatiert, die kleiner oder gleich der ursprünglichen Größe war, werden die neuen, leeren Tabellen die alten vollständig überschreiben und teilweise den Bereich mit Benutzerdaten beeinträchtigen. In diesem Fall wird die Suche nach Metadaten deutlich schlechtere Ergebnisse liefern.
Wenn vor der Formatierung im Laufwerk das Dateisystem FAT32 verwendet wurde und das Laufwerk in NTFS formatiert wurde, befinden sich die neuen Strukturen ($MFT, $Bitmap, $Logfile) in der Regel nicht am Anfang des Laufwerks. Es besteht eine hohe Wahrscheinlichkeit, durch die Methode der Metadatensuche die meisten Daten mit einer normalen Verzeichnisstruktur und minimalen Beschädigungen der Daten zu erhalten.
Ein hoher Prozentsatz an Wiederherstellung wird auch erreicht, wenn ein Laufwerk mit dem Dateisystem NTFS in FAT32 formatiert wird. In diesem Fall beschädigen die FAT-Tabellen die Daten am Anfang des Laufwerks und berühren normalerweise nicht die Schlüsselstrukturen von NTFS. Ein unzufriedenstellendes Ergebnis wird erwartet, wenn die Datenmenge gering ist, deren Größe mit der von zwei Kopien der FAT-Tabellen vergleichbar ist.
Wenn der Benutzer jedoch nicht in die Feinheiten der Anordnung von Metadaten verschiedener Dateisysteme eintauchen möchte, ist es sinnvoll, das Datenwiederherstellungstool im Modus zur Metadatensuche zu starten. Und falls die Menge der erhaltenen Daten unzureichend ist, sollte die Methode der regulären Ausdrücke angewendet werden.
Das Laufwerk wurde formatiert und teilweise mit anderen Daten überschrieben.
Es kommt häufig vor, dass ein Nutzer eine Partition formatiert und sie anschließend mit anderen Daten befüllt, erst später fällt ihm ein, dass auf der alten Partition wichtige Informationen waren. In solchen Fällen kann es keine eindeutige Empfehlung geben. Es hängt stark davon ab, wie viele (quantitativ und in Bezug auf das Volumen) neue Daten geschrieben wurden, sowie wo sich diese Daten befinden. Je nach den Umständen kann das Ergebnis von 0 bis nahezu 100% variieren. Eine Vorhersage ist hierbei kaum möglich.
In vielen Fällen, in denen große Überschneidungen im Datenbereich bestehen, macht es Sinn, mit der Methode der regulären Ausdrücke nach den benötigten Dateitypen zu suchen, um zu prüfen, ob es noch Hinweise auf das Vorhandensein der benötigten Daten gibt. Wenn diese erkannt werden, können Metadaten der Datei-Systeme durchsucht werden.
In einer Datenwiederherstellungslaborumgebung erstellt der Fachmann eine Karte des nicht belegten Speicherplatzes und führt die Suche nach regulären Ausdrücken nur in diesen Bereichen durch, um sicherzustellen, dass bereits vorhandene Daten in den Suchergebnissen ausgeschlossen werden. Mit Hilfe von Integritätsprüfungswerkzeugen kann die Anzahl der Fehlalarme signifikant reduziert werden. Bei bestimmten Aufgaben, wie beispielsweise der Wiederherstellung von JPG-Dateien (z.B. eines persönlichen Fotoalbums), ist es möglich, die Daten entsprechend den Informationen in den Exif-Tags der JPEG-Dateien zu sortieren, was zu einem chronologisch geordneten Ergebnis führt, das nach Kameramodellen sortiert ist.
Abb. 22 Ergebnis der Sortierung von JPG-Dateien, die über die Suche nach regulären Ausdrücken gefunden wurden.
Notabschaltung bei Verfahren zur Größenänderung, Verschiebung oder Zusammenführung von Partitionen.
Im Falle eines unerwarteten Abbruchs der Prozesse von Disk-Management-Tools zur Größenänderung, Verschiebung oder Zusammenlegung mehrerer Partitionen ist es wichtig, zu ermitteln, welche Schritte durchgeführt wurden und an welchem Punkt der Vorgang gestoppt wurde, um das bestmögliche Ergebnis zu erzielen.
Angesichts der Komplexität und der Vielzahl möglicher Variationen konzentrieren wir uns hier auf eine universelle Lösung für den Benutzer, der ein Ergebnis mit minimalem Aufwand wünscht. Das Objekt der Analyse sollte das gesamte Laufwerk sein, um sicherzustellen, dass alle Speicherorte der Daten abgedeckt sind. Es sollte die Methode zur Metadatensuche verwendet und alle Datenvarianten von den gefundenen Dateisystemen kopiert werden. Es besteht eine hohe Wahrscheinlichkeit, dass in jeder Variante unterschiedliche Dateisätze korrekt sind. Die Suche nach regulären Ausdrücken für die angegebenen Dateitypen ist ebenfalls wichtig, da in solchen Fällen bei Datenverlust möglicherweise Informationen über Namen und Platzierung der Dateien teilweise verloren gehen können.
8. Überprüfung der Integrität der wiederhergestellten Daten
Es ist wichtig zu verstehen, dass die Anzeige von Dateinamen in der Datenwiederherstellungssoftware oder die Anzahl der gefundenen regulären Ausdrücke keine Garantie dafür bietet, dass alles gefundene Material brauchbar ist. Daher ist ein ebenso wichtiger Schritt nach der Datenwiederherstellung durch die Automatisierungssoftware die Überprüfung der Integrität der Daten selbst.
Leider gibt es kein universelles, kostenloses Tool zur Überprüfung der Integrität einer Vielzahl unterschiedlicher Dateitypen. Aber einzeln kann man kostenlose Software finden, die die Prüfung bestimmter Dateitypen ermöglicht. Zum Beispiel können viele Archivierungsprogramme die Integrität von Archiven überprüfen, das Tool MP3Diag kann die Integrität von MP3-Dateien testen und ImageMagick kann zur Überprüfung von JPG-Dateien verwendet werden.
Der Hauptnachteil vieler kostenloser Tools zur Überprüfung der Dateiintegrität besteht darin, dass sie keine vollständige Überprüfung der Dateien garantieren. Es können erhebliche Fehler auftreten.
Für viele Dateitypen bleibt dem Benutzer oft nur die Möglichkeit, die Integrität der Daten visuell zu überprüfen, indem er die Dateien nacheinander in den entsprechenden Anwendungen öffnet.
In professionellen Systemen steht eine Reihe von Werkzeugen zur Verfügung, mit denen die Integrität von Dateien teilweise überwacht werden kann. Dadurch wird das Ergebnis der Datenwiederherstellung von einer Vielzahl von fehlerhaften Dateien befreit.
Neben der Entfernung von Müll ist es wichtig, beschädigte Dateien aufgrund von Defekten zu identifizieren. Wenn Sie eine sektorale Kopie mit einem Muster für ungelesene Sektoren erstellt haben, lässt sich das Problem der Feststellung beschädigter Dateien leicht lösen, indem Sie in den Dateien nach der Textzeile „BAD!BAD!BAD!BAD!“ suchen (in unserem Beispiel wurde der Platzhalter „BAD!“ verwendet). Nach der Auffindung ist es wichtig, das Ausmaß der Beschädigung zu überprüfen, da einige Dateiformate nicht stark unter dem Verlust eines kleinen Datenstücks leiden, während andere möglicherweise völlig unbrauchbar sind.
9. Häufige Benutzerfehler.
Verschiedene Versuche, 'Defekte' mithilfe gängiger Diagnosetools zu 'behandeln', in der Hoffnung, den Zugriff auf Daten wiederherzustellen, gehören zu den häufigsten Fehlern vieler Benutzer. Versuche, die Defekte auf einem Laufwerk mit beschädigtem Polymer auf der Oberfläche der Platten zu verbergen, enden normalerweise mit dem Schleifen der Platten, anstatt den Datenzugriff wiederherzustellen. Aus diesem Grund wird dringend davon abgeraten, irgendwelche Wartungsarbeiten am Laufwerk durchzuführen, solange die Art der Defekte auf der Oberfläche nicht bekannt ist. Nach der erfolgreichen Datenwiederherstellung kann man versuchen, das Laufwerk zu warten, und wenn alles gut geht, besteht die Möglichkeit, dass das Laufwerk weiterhin für weniger kritische Aufgaben verwendet werden kann.
Oft treten Fehler in den Metadaten des Dateisystems auf. In diesen Fällen bleibt das Betriebssystem beim Versuch, das beschädigte Laufwerk zu mounten, oft lange stehen. Wenn das problematische Laufwerk angeschlossen ist, kann die Bootzeit des Betriebssystems auf mehrere Minuten ansteigen. Eine der ungünstigsten Lösungen für dieses Problem besteht darin, die betroffene Partition zu formatieren. Die neu erstellten Metadaten könnten korrekt geschrieben werden, und das Problem mit der langen Bootzeit würde gelöst, jedoch würde die Datenwiederherstellung erheblich schwieriger und die Qualität der Wiederherstellung könnte stark beeinträchtigt werden.
Das Kopieren von Daten, die durch das Tool gefunden wurden, auf dasselbe Laufwerk, von dem versucht wird, Dateien wiederherzustellen. In diesem Fall endet es normalerweise damit, dass der Benutzer anstelle der Daten Abfall erhält, und der nächste Versuch zur Datenwiederherstellung wird deutlich schlechter ausfallen. Wenn Sie den Anweisungen in diesem Artikel folgen, sind Sie vor einem solchen Fehler geschützt.
Die Integritätsprüfung der wiederhergestellten Daten wird nicht durchgeführt, und der Inhalt des originalen Speichermediums wird zusammen mit seiner Kopie gelöscht. In diesem Fall besteht das Risiko, mit einer Ansammlung von Ordnern zurückzubleiben, die mit fehlerhaften Ergebnissen eines Datenrettungsversuchs gefüllt sind, ohne die Möglichkeit, ein qualitativ hochwertiges Ergebnis zu erhalten.
Die falsche Wahl von Werkzeugen und Methoden zur Datenwiederherstellung führt dazu, dass das Ergebnis deutlich schlechter ausfällt, als es sein könnte.
Ich hoffe, dass dieser Maßnahmenkomplex Ihnen helfen wird, zu entscheiden, ob die Situation mit Ihrem Speichermedium eigenständige Datenrettungsversuche zulässt und ob Sie bereit sind, die in diesem Artikel aufgelisteten relativ einfachen Schritte auszuführen.
Quelle: habr.com
