In diesem Artikel werden Methoden zur Selbstdiagnose verschiedener Festplattenfehler anhand ihrer Symptome beschrieben sowie relativ sichere Methoden zur Klonung von Festplatten mit geringfügigen Problemen.
Es werden verschiedene Fälle von Datenverlust und eine Reihe optimaler Maßnahmen betrachtet, die Ihnen ohne tiefgehende Kenntnisse der Dateisysteme mit Hilfe von automatischen Wiederherstellungsprogrammen helfen, Ihre Informationen ohne fremde Hilfe zurückzubekommen.
Bevor Sie jedoch mit irgendwelchen eigenen Maßnahmen beginnen, sollten Sie sich aufmerksam mit allen Materialien des Artikels vertrautmachen und erst dann den Zustand Ihrer Festplatte analysieren, damit Ihre Bemühungen nicht die letzten in der Lebensspanne des Speichers sind und Sie sich nicht Ihrer letzten Hoffnungen auf die Wiederherstellung der für Sie benötigten Daten berauben.
INHALT
Teil eins: Diagnose
Teil zwei: Datenwiederherstellung.
Indem Sie sich bereit erklären, den weiteren Anweisungen zu folgen, sind Sie sich bewusst, dass niemand außer Ihnen selbst für mögliche Ausfälle des Speichers und den unwiderruflichen Verlust von Daten verantwortlich ist. Die Maßnahmen sollen die Wahrscheinlichkeit eines ungünstigen Ausgangs verringern, bieten jedoch keinen 100%igen Schutz davor.
Diagnose
1. Sichtprüfung
Untersuchen Sie das Speichergerät auf Deformierungen, fehlende oder durchgebrannte Elemente auf der Steuerplatine und überprüfen Sie die Integrität der Anschlüsse. Wenn ernsthafte Schäden oder durchgebrannte Elemente festgestellt werden, wird dringend davon abgeraten, das Gerät mit Strom zu versorgen, um das Problem nicht zu verschärfen.
Verwenden Sie Schraubendreher (in der Regel Torx — T5, T6, T9), um die Schrauben zu lösen, die die Steuerplatine sichern, und überprüfen Sie den Zustand der Kontaktflächen auf der Steuerplatine.
Abb. 2 zeigt, dass auf den Kontaktflächen eine Oxidschicht vorhanden ist.
Wenn Oxide vorhanden sind, kann man versuchen, sie mit einem normalen Radiergummi von den Kontaktflächen zu entfernen. Mit dem Radiergummi sollte man nur auf flachen Flächen arbeiten, wie auf der Abbildung. In anderen Fällen ist eine solche Maßnahme nicht anwendbar.
Abb. 3 gereinigte Kontaktflächen.
Wenn irgendwelche Schäden an der Platine festgestellt werden, ist es nicht ratsam, bei modernen Festplatten die Steuerplatine von einem ähnlichen Speichergerät auszutauschen, da in modernen Geräten im ROM auf der Platine verschiedene adaptive Parameter gespeichert sein können, die während des Produktionszyklus gebildet werden und für jedes Speichergerät einzigartig sind. In relativ seltenen Fällen kann ein Austausch anderer Parameter die Festplatte beschädigen.
Wenn eine Lötstation zur Verfügung steht, sollte der Transfer von MCU, EEPROM, NV-RAM, NAND (je nachdem, was auf der Steuerplatine vorhanden ist und was unbedingt übertragen werden muss) erfolgen und nach einer solchen Anpassung der Spendercontroller verwendet werden. Es sei angemerkt, dass für die Anpassung vieler Controller oft nur der EEPROM-Chip übertragen werden muss.
Bei der Auswahl der Platine sollte zunächst die geätzte PCB-Nummer betrachtet werden. Danach bewertet man die Übereinstimmung der Kennzeichnungen von MCU und VCM&SM Controller. Wenn sich die Kennzeichnungen von MCU und VCM&SM Controller auf der Originalplatine und der Spenderplatine unterscheiden, ist die Wahrscheinlichkeit hoch, dass die potenzielle Spenderplatine nicht geeignet ist. Innerhalb einer Familie können verschiedene Versionen von Platinen existieren, und in einigen Fällen können sie unter bestimmten Vorbehalten kompatibel sein, aber man sollte nicht versuchen, dies unter häuslichen Bedingungen herauszufinden.
Der Versuch, eine ungeeignete Steuerplatine (mit einer anderen Nummer auf der PCB) einzusetzen, kann zum Durchbrennen des Vorverstärker-Schalters führen.
Überprüfen Sie mit einem Multimeter die 5V- und 12V-Schaltungen auf Kurzschlüsse. Überprüfen Sie auch den Widerstand der Motorwicklungen. Wenn ein funktionsfähiger, identischer Speicher (gleicher Hersteller, Modellreihe, Revision der Steuerplatine) verfügbar ist, kann geprüft werden, ob die gleiche Anzahl von Pins in der Steckerleiste auf „Masse“ durchgeschaltet wird und ob die Widerstände übereinstimmen. Bei erheblichen Abweichungen kann geschlossen werden, dass der Schaltspeicher defekt ist, und alle eigenständigen Versuche zur Datenwiederherstellung sollten eingestellt werden.
2. Testlauf
Stellen Sie sicher, dass Ihr Testsystem funktionsfähig ist, um falsche Diagnosen zu vermeiden. Wenn keine äußeren Ursachen gefunden werden, die den Startversuch behindern, schließen Sie das Schnittstellkabel und das Stromkabel an die entsprechenden Anschlüsse an und schalten Sie das Netzteil ein.
Wenn Sie sicher wissen, dass der Speicher während des Betriebs geschlagen oder fallen gelassen wurde oder bevor er zu Ihnen kam, anfing, klopfende Geräusche zu machen, verzichten Sie auf den Versuch, ihn einzuschalten.
In diesen Fällen ist eine zwingende Öffnung der Festplatte unter laminarer Abzugseinheit (oder in einem Reinraum) erforderlich, gefolgt von einer sorgfältigen Untersuchung mit Mikroskopen.
Abbildung 4 zeigt den Anschluss der Kabel an die Festplatten.
Nach dem Einschalten sollte der Speicher beginnen, die Achse zu drehen. In einigen Fällen geschieht dies möglicherweise nicht bei vollkommen funktionstüchtigen Speichern, wenn aus bestimmten Gründen eine Anforderung an den Speicher zur Aktivierung des «Spin-Up»-Befehls definiert wurde.
Beim Drehen der Achse entsteht ein leichtes Geräusch durch den Luftstrom. In einigen Speichern ist es kaum hörbar, daher kann man ein Stethoskop benutzen (oder den Speicher nah ans Ohr halten, wobei alle Sicherheitsvorschriften beachtet werden müssen, um Kurzschlüsse zu vermeiden).
Wenn anstelle des Luftgeräuschs eine Reihe von zyklischen Summgeräuschen, leisen Pieptönen oder Geräuschen zu hören ist, die wenigsten ähnlich wie Telefonanrufe sind, kann der Speicher wahrscheinlich die Achse des Motors nicht zu drehen bringen. Die Gründe dafür können sein: das Klemmen des BMG außerhalb der Parkzone, das Blockieren der Motorachse, oder ein Defekt der VCM&SM-Controller-Chips.
Bei Vorliegen eines geeigneten Spenderspeichers kann die Version mit dem VCM&SM-Controllerfehler überprüft werden, wenn Sie bereit sind, die erforderlichen Anpassungen des Spender-PCBs vorzunehmen, die im Abschnitt "visuelle Inspektion" beschrieben sind.
In Fällen des Festhängens des BMG außerhalb der Parkrampe führen selbstständige Maßnahmen, inspiriert durch YouTube-Videos, normalerweise zur Bildung zusätzlicher Kratzer auf den Oberflächen der Platten oder zu einem Abreißen der Slider. Selbst wenn es Ihnen gelingt, das BMG relativ erfolgreich auf die Parkrampe zu bringen, werden die Defekte der Polymerbeschichtung, die an der Stelle des Festhängens der Slider entstanden sind, sowie Mikroschrammen von den Slidern, die während des Ausbringens des BMG verursacht wurden, zusammen mit den Verfahren der Offline-Scannung und dem Staub aus ungefilterter Luft in den meisten Fällen nicht ausreichend Datenleseverfahrenbehandeln, bevor irreversible Degenerationsprozesse beginnen. Der Prozess der Datenwiederherstellung in solchen Fällen in einem Fachunternehmen kann in diesem Artikel nachgelesen werden.
Bei einem Festhängen der Motorwelle ist meistens ein Transfer des Plattensatzes in den hermetisch getrennten Block des Spenderspeichers erforderlich. Eine solche Maßnahme wird in 99,9 % der Fälle ohne entsprechende Vorbereitung und ohne die notwendigen Werkzeuge zum Scheitern verurteilt sein.
Wenn beim Zuschalten der Stromversorgung kein Geräusch zu hören ist und der Speicher die Welle nicht zu drehen beginnt, sind folgende Diagnosen möglich: Die Controller-Platine ist defekt, der Schalter-Vorverstärker ist defekt, das BMG ist defekt.
Nachdem der Speicher die Welle zu drehen begonnen hat, muss er eine Kalibrierung durchführen, die Firmware auslesen und das Übertragungssystem initialisieren, um bereit zu sein. Wenn anstelle der Kalibrierung zyklische klopfende Geräusche, Quietschen oder andere helle Geräusche zu hören sind, trennen Sie sofort den Speicher. Die Ursache solcher Phänomene kann ein Defekt des BMG oder des Schalter-Vorverstärkers, ein Defekt des VCM&SM-Controller-Chips sein.
Die Microprogramme einiger Speichergeräte führen eine Umfrage beim Vorverstärker-Schalter durch, bevor die Welle des Motors gedreht wird. Wenn eine ungültige Antwort oder ein Übermaß an Widerstand bei einem der Köpfe festgestellt wird, wird der Prozess der initialen Initialisierung notfallmäßig gestoppt. Leider kontrollieren nicht alle Microprogramme in ausreichendem Maße die Funktionsfähigkeit des Geräts und erlauben den Versuch, eine erkennbar problematische Festplatte zu starten. Es wird empfohlen, die BMG-Transplantationen unter Bedingungen eines laminar fließenden Boxsystems mit sauberem Luftstrom und spezialisiertem Werkzeug durchzuführen. Darüber hinaus ist es erforderlich zu wissen, wie man einen Spender auswählt, um ihn mit der passenden Revision des Vorverstärker-Schalters, der Kopfkarte und ähnlichen adaptiven Parametern auszuwählen. Ein bloßes Zusammentreffen von Hersteller und Modell garantiert keineswegs, dass das Speichergerät ein geeigneter Spender ist. Selbst wenn es gelingt, den Spender selbst auszuwählen und die Transplantationsprozedur durchzuführen, wird es wahrscheinlich schwierig sein, einen erheblichen Datenumfang aufgrund begleitender Probleme auszulesen.
Welche Maßnahmen bei einer defekten Controller-Platine ergriffen werden können, ist im Abschnitt „Visuelle Inspektion“ angegeben.
Abb. 5 stark zerkratzte Oberfläche der Platte (mehrfache Schnitte).
Es ist wichtig zu verstehen, dass mit jedem Versuch, das Speichergerät mit einer defekten BMG einzuschalten, die Risiken einer weiteren Zerstörung der Oberflächen der Platten bestehen, was dazu führen kann, dass eine vollständige Datenwiederherstellung unmöglich wird.
Wenn das Speichergerät keine verdächtigen Geräusche von sich gibt, sollte es nach Abschluss aller Initialisierungsverfahren betriebsbereit sein. Ab diesem Zeitpunkt sollte das Speichergerät bereit sein, Daten über die Schnittstelle auszutauschen. Bei Anschluss an den Port des PC-Mainboards sollte es auf die Anfrage des BIOS nach dem Gerätepass antworten. Wenn alles in Ordnung ist mit der Verbindung und den BIOS-Einstellungen, aber die Festplatte für den PC unsichtbar bleibt, deutet dies wahrscheinlich auf Probleme im Microprogramm des Speichergeräts hin, die es ihm nicht erlauben, betriebsbereit zu werden.
Wenn das Speicherlaufwerk fehlerhafte Passdaten übergibt, zum Beispiel nur die Modellbezeichnung und eine null Kapazität oder die Modellbezeichnung nicht ganz korrekt ist und die Seriennummer fehlt, deutet dies darauf hin, dass der Initialisierungsprozess nicht erfolgreich abgeschlossen wurde und es Probleme mit der Firmware gibt. In solchen Fällen ist es normalerweise nicht möglich, das Problem ohne den Einsatz professioneller Software-Hardware-Komplexe selbst zu lösen.
Eine besondere Ausnahme kann der Fall mit Seagate 7200.11 (Familie Moose) sein, bei dem einige Probleme mit einem RS232-TTL-Adapter und einem normalen Terminal gelöst werden konnten, aber hier muss man verstehen, dass ohne ein vertieftes Verständnis des Mikrocode-Risikos besteht, die Situation erheblich zu verschärfen.
Es wird dringend davon abgeraten, diese Methode auf andere Familien anzuwenden, da dies zu einer Neuberechnung des Übersetzers führt, die in den überwiegenden meisten Fällen fehlerhaft sein wird und der Zugang zum Benutzerbereich bis zum ersten Abgleichspunkt eingeschränkt sein wird. Die Wiederherstellung von Daten wird in diesem Fall erheblich erschwert.
Wenn im übergebenen Pass des Speicherlaufwerks alle Felder korrekt sind, nur die Kapazität nicht, sollte überprüft werden, ob dies die Folge eines BIOS-Fehlers bestimmter Mainboards ist, die bei der Verwendung von HPA-Befehlen anstelle des Abschneidens eines kleinen Stücks des LBA-Bereichs zur Sicherung einer BIOS-Kopie fast 1 TB abtrennen.
Abb. 6 Passkapazität der 1 TB Festplatte nach fehlerhafter Verarbeitung des BIOS des Gigabyte-Mainboards
Zur Lösung dieses Problems kann HDAT2 oder eine vergleichbare kostenlose Diagnosesoftware verwendet werden, mit der die ursprüngliche Passkapazität des Speicherlaufwerks wiederhergestellt und die Verwaltung von HPA im DCO deaktiviert werden kann, um einen Rückfall des Problems zu vermeiden.
3. Vorbereitung auf den Test
Beim Testen von Festplatten außerhalb professioneller Komplexe ist es wichtig, das Betriebssystem im Voraus vorzubereiten. Automatisches Mounten der Laufwerkspartitionen sollte deaktiviert werden, um ungewollte Aktivitäten des Betriebssystems zu vermeiden.
In Windows muss dies mit Administratorrechten beendet werden diskpart und der Befehl ausgeführt werden automount disable. Wenn die potenziell fehlerhafte Festplatte zuvor mit diesem Betriebssystem verbunden war, müssen die Mount-Parameter mit dem Befehl entfernt werden automount scrub. Um diese Einstellungen wirksam werden zu lassen, wird ein Neustart empfohlen.
Es ist auch notwendig, eine Diagnosesoftware vorzubereiten. Unter Windows kann das kostenlose PC3000 DiskAnalyzer verwendet werden, das neben der Diagnosefunktion die Möglichkeit zur Erstellung einer sektorweisen Kopie bietet. Außerdem ist es wünschenswert, einen bootfähigen USB-Flash-Stick mit HDAT2 zur Verfügung zu haben.
Es ist nicht zwingend erforderlich, nur diese Software für die Diagnose zu verwenden. Es können auch andere Analogien genutzt werden, mit Ausnahme bestimmter kostenpflichtiger Software für zu vertrauensvolle Benutzer, in deren Werbung solche Slogans wie „… einzigartige Software zur Regeneration physisch beschädigter Festplatten. Sie blendet defekte Sektoren nicht aus, sie stellt sie wirklich wieder her!“ vorkommen. Bei sehr großspurigem Auftreten sind solche Programme in der Tat sehr bescheiden in ihren Möglichkeiten, die nicht über die Funktionen kostenloser Software hinausgehen, und die Ideologie im Umgang mit Defekten zielt eher darauf ab, das Laufwerk endgültig unbrauchbar zu machen, als bei der Wiederherstellung von Daten zu helfen.
Wenn die Bootzeit des Betriebssystems bei angeschlossenem Laufwerk selbst bei deaktivierter automatischer Volumenmontage mehrere Male gestiegen ist, wird empfohlen, jegliche Eigeninitiative einzustellen, um eine Verschärfung des Problems zu vermeiden.
Eine erhebliche Verlängerung der Bootzeit des Betriebssystems bei Anschluss einer potenziell problematischen Festplatte ist ein sehr charakteristisches Zeichen dafür, dass auf den Oberflächen der Platten des Speichers Oberflächenfehler vorliegen. Die Verzögerungen beim Booten des Betriebssystems entstehen durch Zugriffe auf fehlerhafte Sektoren und Versuche der Firmware, Offline-Scans durchzuführen, die ihr nicht gelingen.
Nach erfolgreichem Laden des Betriebssystems gehen Sie in den Geräte-Manager und überprüfen Sie, ob Ihr Laufwerk in der Geräteliste vorhanden ist. Wenn es dort nicht angezeigt wird, stellen Sie sicher, dass der Treiber für den Controller, an den es angeschlossen ist, installiert ist und der Controller selbst nicht im Geräte-Manager deaktiviert ist. Wenn mit dem Treiber und den Betriebssystemeinstellungen alles in Ordnung ist, das Laufwerk jedoch nicht im Betriebssystem erscheint oder nach einer gewissen Zeit verschwindet, deutet dies normalerweise auf ein breites Spektrum an Störungen hin. Die wahrscheinlichsten Ursachen sind Fehler auf der Controller-Platine, ein Hängenbleiben der Firmware des Laufwerks oder der Übergang des Laufwerks in den Notbetrieb, bei dem es nicht mehr auf die meisten Befehle reagiert.
Um die Diagnose zu verfeinern, können Sie versuchen, DOS zu laden und mit HDAT2 die SMART-Parameter zu überprüfen. Wenn Anzeichen von Defektbildung (nicht null Werte für die Attribute 5 und 197(C5) in den Feldern der nicht normierten Werte) auftreten, kann man schließen, dass ohne Eingriffe in die Firmware-Einstellungen zu Hause nichts zu machen ist. Wenn keine Anzeichen von Defektbildung vorliegen, könnte das Problem bei der fehlerhaften Funktionsweise der Controller-Platine liegen. In diesem Fall können Sie versuchen, die Controller-Platine von einem Spenderlaufwerk zu verwenden.
4. Testen
Nachdem Sie die vorherigen Schritte durchgeführt haben und keine wesentlichen Gründe für die Unterbrechung des Prozesses festgestellt haben, können Sie mit der weiteren Beurteilung des Zustands des Laufwerks fortfahren. In den meisten Laufwerken, die im diesem Jahrhundert produziert wurden, ist die S.M.A.R.T.-Technologie integriert, die den Zustand des Laufwerks überwacht und verschiedene Ereignisse während seines Betriebs protokolliert. Weitere Informationen zur Umsetzung dieser Technologie in HDDs und welche Parameter beim Betrieb von Laufwerken überwacht werden sollten, finden Sie in unserem Artikel .
Mit diagnostischer Software müssen die S.M.A.R.T.-Parameter angefordert werden.
Abb. 7 SMART-Attribute einer funktionierenden Festplatte
Es ist wichtig, die Werte der Attribute 5 und 197(C5) zu bewerten. Wenn die Werte in der RAW-Spalte null sind oder die Problemanzeigen gering sind, muss mit weiteren Tests fortgefahren werden.
Abb. 8 SMART-Attribute einer Festplatte mit ernsthafter Defektbildung
Wenn die Anzahl der defekten Kandidaten dreistellig oder vierstellig ist, werden in den meisten Fällen weitere Versuche, die Oberfläche zu testen oder mit Tools zum automatischen Datenrettung zu scannen, das Problem nur verschärfen, bis es vollständig unmöglich wird, Daten zu erhalten.
Um in solchen Fällen Daten zu erhalten, ist es wichtig, in die Firmware-Einstellungen der Laufwerke einzugreifen und die Offlinescan-Prozesse sowie das Führen von S.M.A.R.T.-Protokollen zu deaktivieren, um das Laufwerk von Hintergrundprozessen zu befreien, die die Lebensdauer des problembehafteten Geräts erheblich verkürzen können. Leider ist dies ohne tiefgehende Kenntnisse der Firmware-Architektur der Laufwerke und ohne professionelle Werkzeuge nicht möglich. Die nächste Aufgabe besteht darin, den Zustand jedes Schreib- und Lesekopfes einzeln zu bewerten und die wichtigsten defekten Bereiche zu lokalisieren. Lineares Lesen mit mehrfachen Wiederholungen in defekten Bereichen ist in solchen Fällen kontraindiziert, da es zu riskant ist.
Selbst wenn das Laufwerk auf den ersten Blick korrekt funktioniert und laut den S.M.A.R.T.-Werten keine Anzeichen für Defekte vorliegen, ist dies keine Garantie dafür, dass tatsächlich keine vorhanden sind. Daher ist es notwendig, die abschließende Testphase durchzuführen und die Oberfläche zu verifizieren.
Es ist wichtig, den Scanprozess kontinuierlich zu überwachen. Bei Auftreten von Fremdgeräuschen oder beim Erkennen größerer Bereiche mit Lesefehlern sollte der Prozess sofort unterbrochen und das Laufwerk deaktiviert werden, um irreversible Folgen zu vermeiden.
Abb. 9, Diagramm des Scans eines funktionierenden Laufwerks
Wenn das Ergebnis des Festplattenscans ein monoton abfallendes Geschwindigkeitsschema zeigt und keine Lesefehler registriert werden, kann das Laufwerk als funktionierend betrachtet werden und es kann zum nächsten Abschnitt übergegangen werden.
Bei Laufwerken mit großem Medien-Cache und einer von der klassischen unterscheidenden Übersetzung (gewöhnlich bei Laufwerken mit gestapelter Aufzeichnung (SMR)) kann das Diagramm eine andere Form aufweisen. Verschiedene Arten von Ausfällen sind möglich.
Abb. 10, Diagramm des Scans eines Laufwerks mit defektem Kopf
Wenn bei der Verifizierung des Laufwerks zyklische 'langsamen' Zonen festgestellt werden, ist dies ein typisches Zeichen für einen nicht ganz funktionierenden Kopf. Man sollte nicht warten, bis Defekte festgestellt werden, sondern die Tests sofort abbrechen.
In einer solchen Situation kann man bei eigenen Versuchen, Daten wiederherzustellen, nichts Gutes erwarten. Mit hoher Wahrscheinlichkeit wird das Medium den Versuch, ein sektorweises Backup mit den verfügbaren Mitteln des Benutzers zu erstellen, nicht überstehen.
In Fällen, in denen in den S.M.A.R.T.-Attributen 5 und 197 (C5) Anzeichen von Defektbildung festgestellt wurden oder bei der Verifikation punktuelle Fehler aufgetreten sind, muss eine Kopie der Festplatte erstellt werden.
5. Sektorweises Kopieren
Wenn die Tests ergeben, dass das Medium fehlerfrei ist und keine Probleme festgestellt werden, kann auf die Erstellung eines sektorweisen Backups verzichtet werden, und es kann mit der Originalfestplatte gearbeitet werden. Um jedoch verschiedene Arten von Zufällen zu vermeiden, wird dringend empfohlen, diesen Schritt nicht zu überspringen und weiterhin nur mit der Kopie zu arbeiten.
Bei einer funktionierenden Festplatte oder einer Festplatte mit wenigen Defekten gibt es keinen besonderen Unterschied, welches Werkzeug Sie verwenden, wichtig ist, dass es eine vollständige Kopie erstellt. Es ist auch wichtig, die Optionen einiger Programme zur Erstellung von komprimierten Images nicht zu verwenden, da Sie später wahrscheinlich nur im Rahmen der Möglichkeiten der Software, die ein solches Bild erstellt hat, arbeiten können.
Unter Windows können folgende Programme verwendet werden: WinHex, DMDE, PC3000 DiskAnalyzer, R-Studio und andere.
Unter Linux reichen die Möglichkeiten des integrierten Befehls dd aus.
Nicht alle Software ist kostenlos, aber in vielen Fällen sind die Funktionen der Test-/Demoversionen ausreichend, um ein Backup des Mediums zu erstellen.
Als Beispiel verwenden wir WinHex zum Klonen der Festplatte.
Abb. 11 Optionen im Menü WinHex zum Klonen der Festplatte
Im Tab "Werkzeuge" wählen wir die Option "Disk-Tools" und wählen im sich öffnenden Fenster "Festplatte klonen" oder drücken einfach Ctrl+D.
Abb. 12 Einstellungen der Klonparameter
Als Quelle wählen wir die Festplatte, die geklont werden soll.
Das Ziel kann eine Festplatte mit gleichem oder größerem Volumen oder das Klonen in eine Image-Datei sein.
Stellen Sie sicher, dass auf der Ziel-Festplatte ausreichend freier Speicherplatz vorhanden ist.
In den Kopiereinstellungen ist es ratsam, die Option "Fehlerhafte Sektoren überspringen" zu aktivieren.
Wenn Ihr Medium einen Sektor mit einer physikalischen Sektorgröße von 4096 Byte hat, dieses aber im Betriebssystem mit einer virtuellen Größe von 512 Byte übersetzt wird, müssen Sie den Wert 8 einstellen, um unnötige Leseversuche des problematischen Sektors zu vermeiden.
„Vorlage zur Korrektur von Quellfehlern“ – geben Sie ein suchfreundliches Wort oder eine Wortgruppe an, mit der der Sektor in der Kopie anstelle der unlesbaren Sektoren aus der Quelle gefüllt wird. Dies erleichtert später das Finden beschädigter Dateien.
Beim Erstellen einer Kopie muss der Prozess kontinuierlich überwacht werden. Bei Auftreten fremder Geräusche, Festplattensperren oder dem Auffinden einer höheren Anzahl als bei der Erstprüfung, sofort den Prozess stoppen und das Medium trennen, um irreversible Folgen zu vermeiden.
Professionelle Datenwiederherstellungs-Tools wie DataExtractor bieten wesentlich größere Anpassungsmöglichkeiten für das Kopier-Szenario sowie einen Zustandskontrollmechanismus des Mediums, was die Chancen auf eine erfolgreiche Wiederherstellung bei Anwesenheit eines kompetenten Spezialisten erheblich erhöht.
Abb. 13 Einstellungen der Reaktionen eines professionellen Systems bei Leseproblemen.
Datenwiederherstellung
6. Wiederherstellungsmethoden
Heutzutage gibt es viele Programme zur automatischen Datenwiederherstellung, die vom Benutzer keine speziellen Kenntnisse erfordern und eine Datenwiederherstellung schon mit einem Klick ermöglichen. Diese Vorgehensweise führt jedoch in vielen Fällen nicht zu den bestmöglichen Ergebnissen oder die erhaltenen Daten gehen in einer Vielzahl von fehlerhaften Varianten unter.
Um die Effizienz des Datenwiederherstellungsprogramms zu maximieren, sollten Sie den Suchbereich so stark wie möglich eingrenzen. Es ist ratsam, den Scan-Bereich und den Typ des gesuchten Dateisystems anzugeben. Solche Präzisierungen können zahlreiche Varianten vorheriger Dateisysteme ausschließen und die Wahrscheinlichkeit der falschen Interpretation gefundener Metadaten des Dateisystems verringern.
Abb. 14 Beispiel für die Einstellung von R-studio zur Suche nach den Metadaten des erforderlichen Dateisystems.
Die Metadaten des Dateisystems sind Strukturen, die den Standort von Dateien, ihre Namen, Attribute, Zugriffsrechte, Protokolle usw. beschreiben.
Abb. 15 Beispiel für Metadaten. Auszug aus dem MFT (Master File Table) in NTFS.
Nicht in allen Fällen berechnen die Programme zur automatischen Wiederherstellung den Anfangszeitpunkt in Bezug auf die gefundenen Metadaten genau, und auch die Daten verschiedener Dateisysteme werden nicht immer korrekt gefiltert, weshalb eine fehlerhafte Berechnung der Position aller Dateien möglich ist. Außerdem erhöhen verschiedene fehlerhafte Interpretationen das vermutete Datenvolumen, manchmal um ein Vielfaches mehr als die Kapazität des Speichers.
In professionellen Komplettlösungen sind Werkzeuge zur Erstellung virtueller Volumes verschiedener Dateisysteme mit manuell festgelegten Parametern sowie Werkzeuge zur Suche nach Metadaten mit der Möglichkeit der manuellen Filterung überflüssiger Objekte vorhanden.
In Fällen, in denen die benötigten Metadaten des Dateisystems nicht mehr existieren oder nicht korrekt sind, muss eine Methode zur Suche nach regulären Ausdrücken angewendet werden, die charakteristisch für bestimmte Dateitypen sind.
Abb. 16 0xFF 0xD8 0xFF reguläres Ausdruck charakteristisch für JPG-Dateien
Programme zur automatischen Wiederherstellung, die nach dieser Methode suchen, weisen in der Regel folgende Nachteile auf: Es fehlt eine Verzeichnisstruktur und die originalen Dateinamen, die Struktur der Dateien wird nicht analysiert und die Integrität der gefundenen Datei wird nicht ausreichend kontrolliert, weshalb viele fehlerhafte Daten gefunden werden, die nicht verwendet werden können. Für viele Dateitypen wird die korrekte Dateigröße nicht berechnet.
Abb. 17 R-Studio Einstellungen zur Suche nach regulären Ausdrücken für die benötigten Dateien
7. Typische Fälle und empfohlene Maßnahmen
Beschädigung des Dateisystems
Durch Ausfälle von PC-Komponenten, Fehlfunktionen des Betriebssystems, plötzliche Stromausfälle während des Schreibens auf die Festplatte oder durch Festplattenschäden können die Metadaten des Dateisystems beschädigt werden. Bei vielen Arten von Beschädigungen kann das Betriebssystem das Volume mit dem beschädigten Dateisystem nicht einbinden.
Abb. 18 beschädigte Metadaten des Dateisystems (unbekanntes Dateisystem RAW)
In diesen Fällen ist die Methode zur Suche nach Metadaten des Dateisystems innerhalb des bestehenden Bereichs recht effektiv. Bei leichten Beschädigungen kann ein Ergebnis erreicht werden, das nahezu 100 % entspricht. Diese Empfehlung ist für die meisten verschiedenen Dateisysteme aktuell.
Natürlich gibt es Fälle, in denen durch Störungen ein großer Teil der Metadaten des aktuellen Dateisystems beschädigt wird. Wenn die erste Methode nicht funktioniert hat, ist es erforderlich, die Methode der Analyse regulärer Ausdrücke zu verwenden, um die benötigten Dateien zu finden.
Die Arbeit eines Spezialisten unterscheidet sich dadurch, dass er die Art der Beschädigung der Metadaten beurteilt und, wenn sie nicht zerstört, sondern verzerrt sind, sind manuelle Korrekturen im Hex-Editor möglich.
Löschen einer Datei oder einer Gruppe von Dateien.
Falsches Löschen von Daten ist ein recht häufiges Vorkommen. Die Folgen dieser Aktion hängen stark von der Art des Dateisystems ab und bei relativ neuen Festplatten von der Philosophie der Firmware des Geräts.
Wenn Dateien auf einer Partition mit dem Dateisystem NTFS gelöscht wurden, ist die optimale Suchmethode die Schnellanalyse in verschiedenen Tools, bei der die Schlüsselstrukturen (MFT, Index, Logfile) schnell gescannt werden, ohne die gesamte Partition vollständig zu scannen. Wenn die benötigten Dateieinträge und der Platz, den diese Dateien einnehmen, nicht mit anderen Daten überschrieben wurden, können die gewünschten Dateien relativ schnell wiederhergestellt werden.
Abb. 19 zeigt nach dem Scannen von $MFT die als gelöscht aufgeführten Einträge in lila markiert.
Wenn bei einer schnellen Analyse die benötigten Daten nicht gefunden oder beschädigt wurden, kann eine vollständige Analyse der Partition durchgeführt werden. Es ist jedoch wahrscheinlich, dass sich das Ergebnis erheblich nicht ändern wird und außer der Suche mit regulären Ausdrücken nichts anderes bleibt.
Im Arsenal des Spezialisten steht das Werkzeug zur Verfügung, um eine Karte des freien Speicherplatzes zu erstellen und eine weitere Analyse ausschließlich in diesen Bereichen vorzunehmen, was bestehende Daten aus dem Wiederherstellungsergebnis entfernt. Dies spart dem Benutzer erheblich Zeit bei der weiteren Suche nach den benötigten Dateien in der Vielzahl an namenlosen Daten.
Wenn Dateien auf einer Partition mit dem FAT16- oder FAT32-Dateisystem gelöscht wurden, kann die Metadatenanalyse verwendet werden, um einige Daten mit den ursprünglichen Namen zu erhalten. Bei SFN fehlt das erste Zeichen im Dateinamen; wenn die Datei jedoch einen langen Namen hatte, wird der vollständige Name im LFN-Eintrag gespeichert. Bei der Wiederherstellung fragmentierter Dateien werden die automatisierten Wiederherstellungsprogramme nicht erfolgreich sein, da beim Löschen der Eintrag über die Clusterkette in der FAT-Tabelle gelöscht wird, die zu der Datei gehört. Außerdem werden im FAT32 in bestimmten Fällen neben dem Löschen der Clusterkette in beiden Kopien der Tabelle im Verzeichnis das erste Zeichen des SFN und die oberen zwei Bytes der Nummer des ersten von der Datei belegten Clusters entfernt. Die meisten automatisierten Wiederherstellungsprogramme, die Metadaten analysieren, können die richtige Position der Datei nicht bestimmen.
Die Wiederherstellung fragmentierter Dateien ist in der Regel eine recht komplexe Aufgabe, die nur wenig automatisiert ist. Automatisierungsmethoden können spezifisch für bestimmte Typen von Strukturen entwickelt werden. Oft beschränkt sich die Aufgabe auf eine manuelle, ineffiziente Analyse auf der Suche nach den benötigten Fragmenten. Ein Beispiel für eine solche Arbeit kann im Artikel bewertet werden
Wenn die Methoden zur Analyse der Metadaten nicht zu den benötigten Daten geführt haben oder die benötigten Dateien nicht geöffnet werden können, bleibt die Methode der regulären Ausdruckssuche. Möglicherweise kann ein Teil der Dateien entdeckt werden.
Wenn die Dateien auf einer Partition mit dem HFS+, Ext 2, Ext3 oder Ext4-Dateisystem gelöscht wurden, ist die Analyse der Metadaten leider nutzlos. Neben der Suche nach regulären Ausdrücken bleibt nichts anderes übrig.
Löschen der Datenpartition
Wenn im Datenträgerverwaltungstool versehentlich eine oder mehrere Partitionen gelöscht wurden, wird Benutzern, die Daten wiederherstellen möchten, empfohlen, automatisierte Wiederherstellungsprogramme mit einer vollständigen Scanfunktion für das gesamte Gerät auszuführen. Es ist auch ratsam, die Position der bestehenden Partitionen zu berücksichtigen, um offensichtlich falsche Optionen in den gefundenen Ergebnissen auszuschließen.
Abb. 20 gelöschte Partition
Ein Fachmann führt eine solche Arbeit relativ schnell aus, indem er nach Ladebereichen und Superblöcken an erwarteten Stellen sucht. Auf der Grundlage der gefundenen Informationen werden die genauen Positionen der Abschnittsanfänge und deren Länge berechnet.
Es kann auch versucht werden, DMDE oder ähnliche Dienstprogramme zu verwenden, die relativ schnell Hinweise auf den Beginn eines Abschnitts finden können, und zu versuchen, das Dateisystem des gefundenen Abschnitts anzuzeigen.
Abb. 21 Ergebnis der schnellen Abschnittssuche mit DMDE
Der Abschnitt ist mit Daten formatiert worden.
In solchen Fällen hängt das empfohlene Vorgehen stark von der Art des Dateisystems ab, das vor der Formatierung des Abschnitts verwendet wurde, und von dem Dateisystem, das nach der Formatierung verwendet wurde.
Wenn zum Beispiel ein FAT32-Abschnitt mit einer Clustergröße von 8 KB in FAT32 mit einer Clustergröße von 64 KB formatiert wurde, dann wurde die Größe der neuen FAT-Tabellen achtmal kleiner, und folglich haben beide Kopien der neuen Tabellen nur die erste Kopie der alten FAT-Tabellen beschädigt. In dieser Situation kann die Suche nach Metadaten ein Ergebnis nahe 100 % liefern. Wenn hingegen der Abschnitt in FAT32 mit einer Clustergröße formatiert wurde, die kleiner oder gleich der Größe vor der Formatierung war, haben die neuen leeren Tabellen die alten komplett überschrieben und betrafen teilweise den Bereich mit Benutzerdaten. In einem solchen Fall wird die Suche nach Metadaten deutlich schlechtere Ergebnisse liefern.
Wenn vor der Formatierung auf dem Abschnitt ein FAT32-Dateisystem verwendet wurde und der Abschnitt in NTFS formatiert wurde, dann befinden sich die neuen Strukturen ($MFT, $Bitmap, $Logfile) in der Regel nicht am Anfang des Abschnitts, und es ist wahrscheinlich, dass man durch die Methode der Metadatensuche die meisten Daten mit normaler Verzeichnisstruktur und minimalen Schäden an den Daten erhalten kann.
Ebenfalls wird ein hoher Wiederherstellungsprozentsatz erzielt, wenn ein NTFS-Dateisystem in FAT32 formatiert wurde. In diesem Fall beschädigen die FAT-Tabellen die Daten zu Beginn des Abschnitts und betreffen in der Regel nicht die Schlüsselkonstrukte von NTFS. Ein unbefriedigendes Ergebnis wird bei einer kleinen Datenmenge erzielt, deren Größe mit den Größen von zwei Kopien der FAT-Tabellen vergleichbar ist.
Wenn der Benutzer jedoch nicht die Nuancen der Positionierung der Metadaten verschiedener Dateisysteme verstehen möchte, wäre es logisch, das Dienstprogramm zur automatischen Datenwiederherstellung im Modus zur Suche nach Metadaten zu starten. Falls nicht genügend Daten vorhanden sind, sollte die Methode zur Suche mit regulären Ausdrücken angewendet werden.
Die Partition wurde formatiert und teilweise mit anderen Daten überschrieben.
Wie oft kommt es vor, dass der Benutzer eine Partition formatiert und beginnt, sie mit anderen Daten zu füllen, und erst später merkt, dass auf der alten Partition wichtige Informationen waren. In solchen Fällen kann keine eindeutige Empfehlung gegeben werden. Alles hängt stark davon ab, wie viele (quantitativ und volumetrisch) neue Daten geschrieben wurden und wo sich diese Daten befinden. Abhängig von den Umständen kann das Ergebnis von 0 bis nahe 100% reichen. Pauschal ist das unvorhersehbar.
In vielen Fällen mit großem Überschneidungsbereich der Daten macht es Sinn, mit der Methode zur Suche mit regulären Ausdrücken nach den benötigten Dateitypen zu beginnen, um zu verstehen, ob es noch Hinweise auf die Existenz der benötigten Daten gibt, und falls sie gefunden werden, die Suche nach den Metadaten des Dateisystems durchzuführen.
Im Labor zur Datenwiederherstellung wird der Spezialist eine Karte des ungenutzten Raums erstellen und die Suche nach regulären Ausdrücken nur in diesen Bereichen durchführen, um vorhandene Daten in den Suchergebnissen auszuschließen. Außerdem wird die Anzahl der Fehlerkennungen durch Integritätsprüfungswerkzeuge erheblich reduziert. In einigen Aufgaben, wie der Wiederherstellung von JPG-Dateien (z. B. eines persönlichen Fotoalbums), kann er die Sortierung gemäß den Informationen in den Exif-Tags der JPEG-Dateien durchführen, was einen chronologisch geordneten und nach Kameramodellen sortierten Ergebnis ermöglicht.
Abb. 22 Ergebnis der Sortierung von JPG-Dateien, die durch die Suche mit regulären Ausdrücken gefunden wurden.
Notabbruch der Verfahren zum Ändern der Größe, Verschieben oder Zusammenführen von Partitionen.
Im Falle eines unerwarteten Abbruchs der Festplattenverwalter bei der Änderung der Partitionsgröße, deren Verschiebung oder dem Zusammenführen mehrerer Partitionen ist es wichtig, herauszufinden, welche Schritte unternommen wurden und an welchem Punkt der Vorgang gestoppt wurde, um das bestmögliche Ergebnis zu erzielen.
Angesichts der Komplexität und der Vielzahl möglicher Variationen betrachten wir nur die allgemeine Lösung für einen Benutzer, der ein Ergebnis mit minimalem Aufwand benötigt. Das Objekt der Analyse sollte der gesamte Speicher sein, um alle Datenstandorte sicher abzudecken. Nutzen Sie die Methode der Metadatensuche und kopieren Sie alle Datentypvarianten in die gefundenen Dateisysteme. Es besteht eine hohe Wahrscheinlichkeit, dass in jedem der Optionen unterschiedliche Dateisätze korrekt sind. Die Suche nach regulären Ausdrücken für bestimmte Dateitypen ist ebenfalls wichtig, da in solchen Fällen bei Datenverlust teilweise Informationen über Dateinamen und deren Ablage verloren gehen können.
8. Überprüfung der Integrität der wiederhergestellten Daten
Es ist wichtig zu verstehen, dass die Anzeige von Dateinamen im Datenrettungsprogramm oder die Anzahl gefundener regulärer Ausdrücke nicht garantiert, dass alle gefundenen Elemente brauchbar sind. Daher ist die Überprüfung der Integrität der Daten im Anschluss an die Wiederherstellung durch das automatisierte Wiederherstellungsprogramm ein ebenso wichtiger Schritt.
Leider gibt es kein universelles kostenloses Werkzeug zur Überprüfung der Integrität einer großen Anzahl unterschiedlicher Dateien. Aber separat können kostenlose Softwarelösungen gefunden werden, die bestimmte Dateitypen überwachen können. Zum Beispiel ermöglichen viele Archivierungsprogramme die Überprüfung der Integrität von Archiven, mit dem MP3Diag-Tool können Sie die Integrität von MP3-Dateien überprüfen, und ImageMagick kann verwendet werden, um JPG-Dateien zu testen.
Der größte Nachteil vieler kostenloser Integritätsprüfungswerkzeuge ist, dass sie keine vollständige Überprüfung der Dateien garantieren. Es sind möglicherweise Massenfehler möglich.
Für viele Dateitypen hat der Benutzer keine andere Wahl, als die Datenintegrität visuell zu überprüfen, indem er die Dateien nacheinander in den entsprechenden Anwendungen öffnet.
In professionellen Komplexen gibt es ein Set von Werkzeugen, das es ermöglicht, die Integrität von Dateien teilweise zu kontrollieren, wodurch das Ergebnis der Datenwiederherstellung von einer großen Anzahl von fehlerhaften Dateien befreit wird.
Neben der Beseitigung von Müll ist es notwendig, beschädigte Dateien zu identifizieren. Wenn Sie eine sektorale Kopie mit einem Muster für nicht lesbare Sektoren erstellt haben, kann das Auffinden beschädigter Dateien leicht durch die Suche nach der Textzeile „BAD!BAD!BAD!BAD!“ in den Dateien gelöst werden (in unserem Beispiel wurde der Platzhalter „BAD!“ verwendet). Nach der Auffindung ist es wichtig, den Grad der Beschädigung zu überprüfen, da einige Dateiformate möglicherweise nicht stark unter dem Verlust eines kurzen Datenstücks leiden, während andere möglicherweise völlig unbrauchbar sind.
9. Häufige Fehler von Benutzern.
Verschiedene Versuche, Defekte mit beliebten Diagnosetools zu "heilen", in der Hoffnung, den Zugang zu den Daten wiederherzustellen, gehören zu den Hauptfehlern vieler Benutzer. Versuche, Defekte auf einem Speichermedium mit beschädigtem Polymer auf der Oberfläche der Platten zu verbergen, enden in der Regel mit dem Abschleifen der Platten, anstatt den Zugang zu den Daten zu erhalten. Aus diesem Grund wird nachdrücklich empfohlen, keine Wartungsoperationen am Laufwerk durchzuführen, solange die Art der Defekte auf der Oberfläche unbekannt ist. Nach der erfolgreichen Wiederherstellung der Informationen kann versucht werden, das Speichermedium zu warten, und falls das Glück auf Ihrer Seite ist, könnte das Medium noch für weniger kritische Aufgaben genutzt werden.
Häufig betreffen die Defekte die Metadaten des Dateisystems. In diesen Fällen bleibt das Betriebssystem beim Versuch, ein beschädigtes Volume einzuhängen, lange stehen. Bei angeschlossenem problematischen Speichermedium kann sich die Bootzeit des Betriebssystems auf viele Minuten ausdehnen. Eine der ungünstigsten Ideen zur Lösung dieses Problems besteht darin, die problematische Partition zu formatieren. Neu erstellte Metadaten können korrekt geschrieben werden, und das Problem der langen Bootzeit des Betriebssystems wird gelöst, aber die Aufgabe der Datenwiederherstellung wird erschwert, und die Qualität des Wiederherstellungsergebnisses kann stark beeinträchtigt werden.
Das Kopieren von Daten, die durch das Dienstprogramm entdeckt wurden, auf dasselbe Laufwerk, von dem Sie versuchen, Dateien wiederherzustellen. In diesem Fall endet es normalerweise damit, dass der Benutzer anstelle der Daten Abfall erhält, und der nächste Versuch der Datenwiederherstellung wird bereits mit einem weit schlechteren Ergebnis erfolgen. Wenn Sie den Anleitungen aus diesem Artikel folgen, sind Sie vor einem solchen Fehler geschützt.
Es findet keine Integritätsprüfung der wiederhergestellten Daten statt, und der Inhalt des Originallaufwerks wird zusammen mit seiner Kopie gelöscht. In diesem Fall besteht das Risiko, mit einer Menge von Ordnern, die mit fehlerhaften Ergebnissen des Datenwiederherstellungsversuchs gefüllt sind, ohne die Möglichkeit, ein qualitativ hochwertiges Ergebnis zu erzielen, zurückzubleiben.
Die falsche Auswahl des Werkzeugs und der Methoden zur Datenwiederherstellung, wodurch ein Ergebnis erzielt wird, das erheblich schlechter ist, als es hätte sein können.
Ich hoffe, dass dieses Maßnahmenpaket Ihnen hilft, zu entscheiden, ob die Situation Ihres Speichermediums selbstständige Versuche zur Datenwiederherstellung zulässt und ob Sie bereit sind, die in diesem Artikel aufgeführten relativ einfachen Schritte auszuführen.
Quelle: habr.com
