Selles artiklis käsitletakse meetodeid erinevate kõvaketaste vigade iseseisvaks diagnoosimiseks nende sümptomite alusel, samuti suhteliselt ohutuid meetodeid kõvaketaste kloonimiseks väikeste probleemide korral.
Käsitletakse erinevaid andmete kaotamise juhtumeid ja koos optimiseeritud tegevuste kogumi, mis aitab teil automaatsete taastamisprogrammide abil teie teavet tagasi saada, ilma et peaksite sügavaid teadmisi failisüsteemide ülesehitusest.
Kuid enne mis tahes iseseisvate tegevuste alustamist on oluline hoolikalt tutvuda artikli kõigi materjalidega ning alles siis analüüsida oma kõvaketta seisundit, et teie katsed ei muutuks teie seadme viimasteks ja et te ei kaotaks lootust vajalike andmete taastamiseks.
SISU
Esimene osa: Diagnostika
Teine osa: Andmete taastamine.
Nõustudes järgima edasiseid juhiseid, kinnitate, et ainus vastutus võimaliku salvestusseadmest tingitud tõrke ja andmete pöördumatuse kadumise eest lasub teiega. Antud meetmete kogum on suunatud ebasoodsa tulemuse tõenäosuse vähendamisele, kuid ei taga 100% kaitset.
Diagnostika
1. Visuaalne ülevaatus
Kontrollige salvestusseadet deformatsioonide, puuduvate või kahjustatud elemendi osas kontrolleri plaadil ja veenduge pistikute terviklikkuses. Kui leiate tõsiseid kahjustusi või kahjustatud elemente, on tungivalt soovitatav mitte toita sellist seadet, et mitte probleemi süvendada.
Kasutades kruvikeerajaid (tavaliselt Torx — T5, T6, T9), eemaldage kontrolleri plaati kinnitavad kruvid ja kontrollige kontaktpindade seisukorda kontrolleri plaadil.
Kujutisel 2 on kontaktpindadel nähtav oksüdeerumise kiht
Oksüde olemas olles saab tavapärast kummit kustutada kontaktpindadelt. Kummiga töötada saab ainult lapikestel pindadel, nagu joonisel. Teistes olukordades pole sellised toimingud kohaldatavad.
Joon. 3 puhastatud kontaktpinnad.
Kui leiate, et plaadiga on mingeid kahjustusi, ei tohiks kaasaegsete kõvakettade puhul proovida asendada juhtplaati samasuguse seadme omaga, kuna tänapäevastes seadmetes võivad juhitava plaadi BIOS-is olla erinevad adaptiivsed parameetrid, mis moodustuvad tootmisprotsessi käigus ja on iga seadmest unikaalsed. Suhteliselt harvadel juhtudel võivad võõrad parameetrid põhjustada kõvaketta kahjustusi.
Kui on olemas jootmisjaam, tuleb teostada MCU, EEPROM, NV-RAM, NAND ülekandmine (sõltuvalt sellest, mis on juhtplaadi pardal ja mis on kindlasti vajalik üleviimiseks) ning pärast sellist kohandamist kasutada doonorplaati. Tasub märkida, et paljude kontrollerite kohandamiseks piisab ainult EEPROM-mikroskeemi ülekandmisest.
Plaati valimisel vaadake esmalt PCB graveeritud numbrit. Seejärel hindake MCU ja VCM&SM kontrollerite märgiste vastavust. Kui originaalplaadil ja doonorplaadil on MCU ja VCM&SM kontrollerite märgised erinevad, on suur tõenäosus, et doonorplaat ei sobi. Ühe pere jaoks võib olla erinevaid plaatide versioone ja mõnel juhul võivad need teatud tingimustel olla ühilduvad, kuid kodustes tingimustes ei tasu seda välja selgitada.
Sobimatu kontrolleriplaadi (eraldi PCB numbriga) paigaldamine võib põhjustada eelvõimendi lüliti ülekuumenemise.
Multimeeteriga kontrollige 5V ja 12V vooluahelate lühisekontakte. Samuti kontrollige mootori mähiste takistust. Kui teil on olemas tõestatud töökindel täpselt sama mäluseade (tootja, mudel, kontrolleri versioon on samad), siis saate kontrollida, kas lüliti pistikupessa väljundid katkevad 'maa' vastu, ning võrrelda takistusi. Suurte erinevuste korral võib järeldada, et lüliti eelvõimendi on rikki läinud, ja lõpetada kõik edasised iseseisvad andmete taastamise katsed.
2. Katsetamine
Veenduge, et teie testimisüsteem töötab korralikult, et vältida vale diagnoosi seadmist. Kui ei tuvastatud väliseid põhjuseid, mis takistaksid käivitamist, ühendage liidese kaabel ja toitekaabel vastavatesse portidesse ning lülitage toiteallikas sisse.
Kui teate, et mäluseade on töötamise ajal löögi saanud või kukkunud, või kui see hakkas enne teie kätte jõudmist kolisema, siis hoiduge sisselülitamisest.
Sellistel juhtudel on vajalik kõvaketta avamine laminaarses kastis (või puhtas toas) ja põhjalik uurimine mikroskoobi abil.
Joonis 4 kaablite ühendamine kõvaketastega.
Pärast toite allikat peaks seade hakkama pingutuspink mängima. Mõnel juhul võib see olla probleemiks täiesti töötavatel seadmetel, kui seadmestiku seadetesse on mõnel põhjusel pandud nõue saata spin up käsk.
Kui pingutuspink pöörleb, tekib kerge müra õhuvoolust. Mõnedes seadmetes on see vaevu kuulda, seega õnnestub kasutada stetoskoopi (või hoida seadet lähedal kõrva juures, järgides kõiki ohutusnõudeid, et vältida lühise tekkimist).
Kui õhu müra asemel kuulete tsüklilisi suminaid, vaikseid piiksu- või helisid, mis meenutavad telefonikeste, siis on tõenäoliselt seade ei saa alustada mootori pöörlemist. Selle põhjuseks võivad olla: peatumine BMGu väljaspool parkimisraami (ala), mootori võlli kinnijäämine, VCM&SM kontrolleri tükkide rike.
Sobiva annetud andmekandja abil on võimalik kontrollida VCM ja SM kontrolleri riket, eeldusel, et olete valmis teostama vajalikud donorplaadi kohandused, nagu on kirjeldatud punktis 'visuaalne kontroll'.
BMG kinnitamise juhtudel väljaspool parkimisseadet võivad iseseisvad tegevused YouTube'i videote põhjal tavaliselt kaasa tuua lisakriimustuste teket plaatide pindadel või liugurite katkemise. Isegi kui suudate BMG parkimisseadmest eeskuulikult välja viia, siis liugurite kinnitumispaikades tekkinud polümeerkatte defektid ja liuguritest saadud mikrokiikesed, koos offline skaneerimise protseduuride ja puhastamata õhust pärit tolmu kogumisega, tõenäoliselt ei lase teil suurema osa andmete mahtude lugemiseks enne edasiste pöördumatute degradeerimisprotsesside algust jõuda. Andmete taastamise protsesside kohta sellistes olukordades spetsialiseeritud ettevõttes saate rohkem lugeda sellest artiklist.
Kui mootori võll jääb kinni, on tavaliselt vajalik kõvaketaste paketi eemaldamine doonorist hermoblock'ist. Taoline tegevus kodustes tingimustes ilma piisava ettevalmistuse ja vajalike tööriistadeta ebaõnnestub 99,9% juhtudest.
Kui toite sisse lülitamisel ei ole mingit heli ja kõvaketas ei alusta võlli pöörlemist, võivad järgmist tüüpi vead olla võimalikud: juhtplaadi rike, eelvõimendi rike, BMG rike.
Pärast seda, kui kõvaketas on alustanud pöörlemist, peab see kalibreerima, lugema mikrokoodi ja, pärast edastusüsteemi initsialiseerimist, olema valmis. Kui kalibreerimise asemel kostavad tsüklilised paukuvad helid, kriipimine või mingid muud helid, peate kõvaketta kohe välja lülitama. Sarnaste nähtuste põhjuseks võivad olla: BMG või eelvõimendi rike, juhipiiri VCM&SM rike.
Mõned mäluseadmete mikroprogrammid teevad eelvõimendi lüliti küsitluse enne mootori pöörlemise algust ning juhtudel, kui avastatakse vale vastus või liiga kõrge takistus mõnes peadest, tehakse hädaolukorra lõpetamine algse initsialiseerimise protsessis. Kahjuks ei kontrolli kaugel kõik mikroprogrammid seadme töökindlust piisavalt ning lasevad katsetada probleemset kõvaketast. BMG-de siirdamine on soovitatav läbi viia laminaarboksis puhta õhuvooluga ning spetsialiseeritud tööriistarikka. Peale selle on oluline teada, kuidas valida doonorit, et valida sobiva eelvõimendi revideerimise, peade kaardi ja sarnaste adaptiivsete parameetritega. Lihtne tootja ja mudeli ühtivus ei garanteeri, et mäluseade on sobilik doonor. Isegi kui õnnestub iseseisvalt doonor valida ja siirdamisprotseduur läbi viia, on ebatõenäoline, et suudetakse lugeda tõsist andmemahtu kaasnevate probleemide tõttu.
Milliseid toiminguid saab teha rikke tõttu kontrolleri plaadi puhul, on kirjas jaotises „Visuaalne kontroll“.
Joon. 5 tugevalt kriimustatud plaadi pind (mitmed lõiked).
Oluline on mõista, et iga kord, kui proovite kahjustatud BMG-ga seadet sisse lülitada, on olemas risk plaatide pindade edasiseks kahjustuseks, mis võib viia andmete taastamise täieliku võimatuse.
Kui seade ei tegele kahtlaste helidega, peaks ta pärast kõikide initsialiseerimisprotseduuride täitmist olema valmis. Sellest hetkest alates peab seade olema andmete edastamiseks valmis ning kui see on ühendatud arvuti emaplaadi pessa, peab ta vastama BIOS-i poolt esitatavale passi päringule. Kui kõik on ühenduse ja BIOS-i seadistuste osas korras, kuid ketas jääb arvutile nähtamatuks, on tõenäoliselt probleemid seadme mikrokoodis, mis takistavad tal valmisolekusse jõudmast.
Kui andur edastab vale passandmed, näiteks ainult mudeli nime ja nullkapasiteedi, või mudelinimi ei ole täpselt õige ning seerianumber puudub, siis see viitab sellele, et initsialiseerimisprotseduurid ei ole lõppenud edukalt ja seadmes on rikkeid. Sellistes olukordades on probleemi iseseisev lahendamine tavaliselt professionaalsete tarkvara- ja riistvarakomplekside kasutamiseta võimatu.
Erandina võib arvesse võtta Seagate 7200.11 (Moose'i perekond) juhtumeid, millega mõningaid probleeme oli võimalik lahendada RS232-TTL adapteri ja tavalise terminali abil, kuid sel juhul on oluline mõista, et mikroprogrammi probleemide süvitsi minekuta on tõenäoliselt suurenenud risk olukorra halvenemiseks.
Soovitame tungivalt mitte rakendada meetodit teiste perekondade puhul, kuna see viib tõlkija ümberarvutamiseni, mis enamasti ei ole korrektne, ja juurdepääs kasutajaalale lõpeb esimese lahknevuse kohas. Andmete taastamine sellisel juhul on oluliselt keerulisem.
Kui andmehoidja passis on kõik väljad õiged, välja arvatud maht, tuleb kontrollida, kas see ei ole põhjustatud mõnede emaplaatide BIOS-i veast, mis, kasutades HPA juhtimise käske, lõikavad madala LBA vahemiku asemel peaaegu 1 TB.
Kujutis 6 - ketta passimahu 1 TB vale BIOS-i töötlemise tõttu emaplaadil Gigabyte
Selle probleemi lahendamiseks võib kasutada HDAT2 või sarnast tasuta diagnostikaprogrammi, millega saab taastada originaalse passimahu ja deaktiveerida HPA juhtimise DCO's, et vältida probleemi kordumist.
3. Katsetamiseks ettevalmistamine
Ketaste testimisel väljaspool professionaalseid süsteeme on oluline operatsioonisüsteem eelnevalt ette valmistada. Tuleb keelata ketta mahtude automaatne monteerimine, et vältida operatsioonisüsteemi isetegevust.
Windowsi opsüsteemis tuleb seda teha administraatori õigustega, käivitades diskpart ja täites käsku automount disable. Kui potentsiaalselt probleemne ketas oli varem ühendatud sellele opsüsteemile, tuleb registrist eemaldada monteerimise parameetrid käsu abil automount scrub. Nende seadistuste kehtimiseks on soovitatav taaskäivitamine.
Samuti on vajalik ette valmistada diagnostikaprogramm. Windowsi all võib kasutada tasuta PC3000 DiskAnalyzer'i, mis lisaks diagnostikafunktsioonile võimaldab luua sektori kaupa koopiat. Soovitav on ka omada käivitatavat USB flash-mälupulka koos HDAT2-ga.
Diagnostikas ei ole kohustuslik kasutada ainult seda tarkvara. Võib kasutada ka muid sarnaseid variante, välja arvatud teatud tasulised programmid, mis on suunatud liiga usaldusväärsetele kasutajatele ja mille reklaam võib sisaldada sarnaseid lauseid: „… unique program for regeneration of physically damaged hard disk drives. It does not hide bad sectors, it really restores them!“. Eriti suurete silmadega väidete puhul on sellise tarkvara tegelikud võimalused üsna tagasihoidlikud, mis ei ületa tasuta tarkvara omadusi, ning defektidega töötamise ideoloogia on pigem suunatud seadme lõplikule rikkele kui abi andmisele andmete edasisel saamisel.
Kui ühendatud kõvaketta korral on operatsioonisüsteemi käivitusaeg mitu korda pikenenud, isegi kui automaatne partitsioonide monteerimine on välja lülitatud, soovitatakse lõpetada kõik tegevused, et vältida probleemi süvenemist.
Operatsioonisüsteemi käivitamise aja oluliselt pikenemine potentsiaalselt probleemse kõvaketta ühendamisel on selge märk sellest, et kettapindades on defekte. Käivitusaegade viivitused tekivad defektselt sektoritele juurdepääsude tõttu ja püüdlustest, et mikrotarkvara sooritaks off-line skannimise protseduure, mis on talle üle jõu.
Pärast operatsioonisüsteemi edukat laadimist minge seadmehaldurisse ja veenduge, et teie kõvaketas on seadmete loendis olemas. Kui seda seal ei ole, kontrollige, kas juhtimine on paigaldatud ja kas kontroller, millele see on ühendatud, on seadmete loendis välja lülitatud. Kui juhiga ja operatsioonisüsteemi seadistusega on kõik korras, kuid kõvaketas ei ilmu operatsioonisüsteemi või ilmub ja kaob pärast mõnda aega, viitab see tavaliselt laiale rikkevalikule. Kõige tõenäolisemad probleemid on kontrolleri plaadi rikke, kõvaketta püsivara hangumine või kõvaketta üleminek hädaolukorrasse, mille ajal ta lõpetab enamiku käskudele normaalse reageerimise.
Diagnoosi täiendamiseks võite proovida DOS-i laadida ja HDAT2 abil vaadata SMART parameetreid. Kui ilmnevad defektiindikaatorid (mitte null väärtused 5. ja 197. (C5) atribuudi puhul mittenormeeritud väärtustes), siis võib järeldada, et seadmete mikroprogrammi seadeid muutmata ei ole olukordade lahendamine võimalik. Kui defektiindikaatoreid ei esine, võib külmumiste põhjus peituda kontrolleriplaadi ebaõiges töös. Sellisel juhul võite proovida kasutada doonori andmekandja kontrolleriplaati.
4. Testimine
Läbides eelnevad etapid ja mitte märgates tõsiseid põhjusi protsessi peatamiseks, võite alustada edasise hindamisega andmekandja seisundi kohta. Enamik käesoleva sajandi jooksul valmistatud andmekandjatest on varustatud S.M.A.R.T. tehnoloogiaga, mis jälgib andmekandjate seisundit ja registreerib erinevaid sündmusi nende tööaja jooksul. Lisainfot selle tehnoloogia rakendamise kohta HDD-del ja milliseid parameetreid on soovitatav jälgida ketaste kasutamise ajal leiate meie artiklist .
Diagnostikaprogrammi kasutamisel on vajalik küsida S.M.A.R.T. parameetreid.
Joon. 7 SMART atribuute korralikult töötavast kõvakettast
Oluline on hinnata näitajaid atribuutide 5 ja 197 (C5) järgi. Kui RAW veerus olevad väärtused on null või probleemiliste näitajate arv on minimaalne, tuleb liikuda edasistele testimise etappidele.
Joon. 8 SMART atribuute kettast, millel on tõsised defekti arengud
Kui defektikandidaatidena on kolme kuni nelja numbrilised arvud, siis enamikul juhtudel toovad edasised katsetused pinna testimiseks või automaatsete andmete taastamise utiliidiga skaneerimine probleemi halvenemist, kuni andmete taastamine muutub täielikult võimatuks.
Nende olukordade korral on oluline sekkuda salvestusseadmete tarkvara seadistustesse ning keelata offline-skaneerimise protseduurid ja S.M.A.R.T. logimise, et vabastada seade taustprotsessidest, mis võivad oluliselt vähendada probleemse seadme eluiga. Kahjuks ei saa seda lihtsate meetoditega teha, kui sügavat teadlikkust salvestusseadmete arhitektuurist ja professionaalsetest tööriistadest ei ole. Järgmine ülesanne on hinnata iga pead eraldi ja lokaliseerida peamised defektsed alad. Lineaarne lugemine defektselt aladel korduvalt on sellistel juhtudel vastunäidustatud, kuna see on liiga ohtlik.
Isegi kui seadme pealtnäha töötab korralikult ja vastavalt S.M.A.R.T. näidustustele ei leita puudulikkuse märke, ei tähenda see, et neid tõesti ei ole. Seetõttu on vajalik teha lõplik testimisetapp ja teostada pinnase valideerimine.
Oluline on pidevalt jälgida skaneerimisprotsessi. Kui tekivad kõrvalised helid või tuvastatakse suuremad lugemisveapiirkonnad, tuleb protsess kohe peatada ja seade välja lülitada, et vältida pöördumatute tagajärgede tekkimist.
Joon. 9 töötava ketta skaneerimise graafik
Kui ketta skaneerimise tulemus on monotoonselt väheneva kiirusgraafikuga ja lugemisvigu ei ole registreeritud, võib seadet pidada töökorras ja liikuda järgmisse jaotisse.
Kettadel, millel on suur mediaalmälu ja mille edastus erineb klassikalisest (tavaliselt ajatab kettad SMR-süsteemiga), võib graafik olla teistsuguse vormiga. On võimalikud erinevad katkestused.
Joon. 10 probleemi kumpuusega ketta skaneerimise graafik
Kui ketta verifitseerimisel leitakse ringikujulisi 'aeglaseid' alasid, siis on see tüüpiline märk mitte täiesti töökorrast peast. Ei tasu oodata, kuni defektid leitud, ja katsetamine tuleb kohe lõpetada.
Selliseid olukordi arvesse võttes ei tasu oodata midagi head, kui proovite andmeid ise välja võtta. Suure tõenäosusega ei ella seade üle proovimise sektorite kaupa kopeerida kasutajale kergesti kättevõetavate vahenditega.
Kui S.M.A.R.T. atribuutide 5 ja 197 (C5) järgi on leitud defekti märke, või kontrollimise käigus avastatakse punktdefektid, on vajalik luua ketta koopia.
5. Sektoripõhine koopia
Kui testimise tulemuste põhjal on seade korras ega esine probleeme, ei ole vajalik luua sektorite kaupa koopiaid ega töötada originaaldiskiga. Kuid mitmesuguste õnnetuste vältimiseks soovitatakse tungivalt seda sammu mitte vahele jätta ning töötada ainult koopia põhjal.
Kui kõvaketas või ketas on korras või sellel on vähe defekte, ei ole oluline, millist tööriista te kasutate, peamine on, et see loob täieliku koopia. Samuti on oluline mitte proovida kasutada mõnede programmide tihendatud piltide loomise valikuid, kuna pärast seda tõenäoliselt ei saa te töötada ainult selle tarkvara võimalustega, mis sellise pildi lõi.
Windowsi operatsioonisüsteemis võib kasutada järgmisi programme: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio ja teised.
Linuxi operatsioonisüsteemis piisab tavalise dd käsu võimalustest.
Kõik tarkvara ei ole tasuta, kuid paljuski katse/demoversioonide võimalused on piisavad ketta koopia tegemiseks.
Ketikloonimise näiteks kasutame WinHexi.
Joon. 11 WinHexi menüü valikud ketta kloonimiseks.
Vahekaart «Tööriistad», valige «Dissketi tööriistad», seejärel valige avanevas aknas «Klooni ketas» või vajutage lihtsalt Ctrl+D.
Joon. 12 kloonimise parameetrite seadistuste seadistamine.
Allikaks valige ketas, mida soovite kloonida.
Sihtkohaks võib olla samasugune või suurem ketas, samuti on võimalik kloonida failiks-imaagiaks.
Veenduge, et sihtketasel oleks piisavalt vaba ruumi.
Kopeerimise seadetest on soovitatav kasutada valikut «jätke defektid, sektorid vahele».
Kui teie kettal on füüsilise sektori suurus 4096 baiti, kuid operatsioonisüsteemis tõlgendatakse seda virtuaalse suurusega 512 baiti, tuleb seadistada väärtuseks 8, et vältida liigseid lugemiskatseid probleemse sektori korral.
«Kahjustuste asendusmall» — sisestage otsingusõna või fraas, millega täidetakse sektorid koopia all, kus on lugemata sektoreid allikast. Hiljem on lihtne leida kahjustatud faile.
Kopeerimise loomisel tuleb protsessi pidevalt jälgida. Kui ilmnevad kõrvalised helid, andmekandja jaheneb või tuvastatakse rohkem vigu kui esialgse testimise käigus, tuleb protsess kohe lõpetada ja andmekandja välja lülitada, et vältida pöördumatute tagajärgede tekkimist.
Professionaalsetes andmete taastamise tööriistades, nagu DataExtractor, on oluliselt rohkem võimalusi andmekopeerimise stsenaariumi seadistamiseks ning ka andmekandja seisundi jälgimine, mis suurendab oluliselt edukate taastamiste võimalikkust, kui töötada kvalifitseeritud spetsialistiga.
Joon. 13 professionaalse kompleksi reaktsiooniseadete seade lugemisprobleemide korral
Andmete taastamine
6. Taastamismeetodid
Praegu on olemas palju andmete taastamise programme, mis ei nõua kasutajalt mingeid spetsiaalseid teadmisi ja võimaldavad andmeid saada peaaegu ühe hiireklõpsuga. Kuid selline lähenemine ei pruugi paljudes juhtudes anda maksimaalset võimalikku tulemust või võib see kaduda prahi hulkade seas.
Andmete taastamise programmi tõhusaks tööks on soovitatav võimalikult palju otsingupiirkonda kitsendada. Selleks on soovitatav märkida skaneerimise ala ja otsitava failisüsteemi tüüp. Selline täpsustus võib kõrvaldada palju eelnevaid failisüsteeme, samuti vähendada vale tõlgendamise tõenäosust leitud failisüsteemi metaandmete vahel.
Kujutis 14 Näide R-studio seadistamisest vajaliku failisüsteemi metaandmete otsimiseks
Failisüsteemi metaandmed on struktuurid, mis kirjeldavad failide asukohta, nende nimesid, omadusi, juurdepääsu õigusi, logisid jne.
Kujutis 15 Näide metaandmetest. MFT (Master File Table) salvestuse fragment NTFS-is
Kaugelgi ei suuda automaatse taastamise programmid alati õigesti kindlaks teha algset nullpunkti leitud metaandmete kontekstis, samuti ei filtreeri nad alati erinevate failisüsteemide andmeid korrektselt. Seetõttu võib kõikide failide asukoha arvutamine olla vale ning erinevad valeinterpretatsioonid suurendavad eeldatavat andmemahtu tihti mitu korda rohkem kui salvestusseadmest ise.
Professionaalsetes kompleksides on tööriistad erinevate failisüsteemide virtuaalsete mahtude loomiseks manuaalselt määratud parameetritega, samuti tööriistad metainfo otsimiseks, pakkudes võimalust liigsete objektide käsitsi filtreerimiseks.
Juhul, kui vajalikud failisüsteemi metaandmed ei eksisteeri või on need vale, tuleb rakendada regulaaravaldiste otsingu meetodit, mis on iseloomulik erinevatele failitüüpidele.
Joon. 16 0xFF 0xD8 0xFF regulaaravaldis, mis on iseloomulik JPG failidele
Enamik automaatsetest taastamisprogrammidest, mis otsivad sellise meetodiga, kannatavad järgmiste puuduste all: puudub kaustastruktuur ja originaalfailide nimed, failistruktuuri analüüsi ei tehta ning leitud faili terviklikkust ei kontrollita piisavalt, mistõttu leidub palju kasutuskõlbmatuid andmeid; paljude failitüüpide puhul ei mõelda välja õiget suurust.
Joon. 17 R-Studio seaded regulaaravaldiste abil vajalike failide otsimiseks
7. Tüüpilised juhtumid ja soovitatavad tegevused
Failisüsteemi kahjustus
Arvutikomponentide rikke, operatsioonisüsteemi ebaõige töö, ootamatu toitekatkestuse ajal kettale kirjutamise ajal ning kõvaketta tõrgete tõttu võivad failisüsteemi metaandmed saada kahjustada. Paljude kahjustuste korral ei suuda operatsioonisüsteem mountida mahtu, millel on kahjustatud failisüsteem.
Joon. 18 kahjustatud failisüsteemi metaandmed (tuvastamata failisüsteem RAW)
Nendes olukordades on väga tõhus meetod metainfo otsimiseks failisüsteemi olemasolevas osas. Väikeste kahjustuste korral on võimalik saavutada peaaegu 100% tulemus. See soovitus kehtib enamiku erinevate failisüsteemide jaoks.
Muidugi on juhtumeid, kus tõrgete tõttu on hetke failisüsteemi suur hulk metainfot kahjustatud. Kui esimene variant ei toimi, tuleb siis kasutada regulaaravaldiste analüüsimise meetodit vajalike failide leidmiseks.
Spetsialisti töö erineb sellest, et ta hindab metainformatsiooni kahjustuse iseloomu ning kui see pole täielikult hävitatud, vaid on moonutatud, on võimalik käsitsi parandamine heksadecimaalselt redigeerija abil.
Faili või failigruppi kustutamine.
Vale andmete kustutamine on üsna sage juhtum. Selle teo tagajärjed sõltuvad tugevalt failisüsteemi tüübist ning ka suhteliselt uutel kõvaketastel seadme mikroprogrammi töö ideoloogiast.
Kui failid on NTFS-failisüsteemis kustutatud, on parim meetod nende leidmiseks ekspressanalüüs erinevates utiliitides, kus kiiresti skaneeritakse võtmestruktuurid (MFT, Index, Logfile) ilma jaotise täieliku skaneerimiseta. Kui vajalikud failikanded ja nende hõivatud ruum ei ole teiste andmetega ümber kirjutatud, saab huvipakkuvaid faile kiiresti taastada.
Joon. 19 pärast $MFT skaneerimist on violetsega esile tõstetud kustutatud kantud kirjed.
Kui kiirel skaneerimisel vajalikud andmed ei leidu või on kahjustatud, on võimalik teostada jaotise täielik skannimine, kuid tõenäoliselt ei muutu tulemus märkimisväärselt ning ei jää muud üle kui otsida regulaaravaldise järgi.
Spetsialisti arsenalis on tööriist vabade ruumide kaardi koostamiseks ja edasine analüüs just nendes piirkondades, mis eemaldab taastamise tulemusest olemasolevad andmed. See säästab kasutaja aega vajalike failide otsimisel suures koguses nimesid, millel pole märgistust.
Kui failid on FAT16 või FAT32 failisüsteemiga mahult kustutatud, on võimalik metandmete analüüsi abil taastada osa andmeid algsete nimedega. SFN puhul puudub faili nimes esimene sümbol, kui fail oli pika nimega, siis on selle täisnimi LFN kirjes. Killustatud failide kustutamisel ei õnnestu andmete taastamine automaatsete taastamisseadmete kaudu, kuna FAT tabelis kustutatakse kirje failiga seotud klastrite ahelast. Samuti FAT32 puhul kustutatakse mõnel juhul, peale faili asukoha ahela kustutamise, mõlemas tabeli koopias, kataloogist esimene sümbol SFN ja kaks kõige kõrgemat baiti esimese klastrinumbri, mida fail kasutab. Enamik automaatse taastamise utiliite, mis analüüsivad metandmeid, ei tuvasta faili õiget positsiooni.
Fragmenteeritud failide taastamine on tavaliselt piisavalt keeruline ülesanne, mis on vähe automatiseeritud. Automatiseerimismeetodeid saab arendada kindlate struktuuride jaoks. Enamasti piirdub ülesanne käsitsi, madala tootlikkusega analüüsiga, et leida vajalikke fragmente. Sellise töö näidet saab hinnata artiklis
Kui metainformatsiooni analüüsi meetodid ei ole toonud vajalikku teavet või vajalikud failid ei avane, jääb üle regulaaravaldiste otsimise meetod. Võib-olla õnnestub leida osa faile.
Kui failid on kustutatud HFS+, Ext 2, Ext 3, Ext 4 failisüsteemi partitionilt, siis, kahjuks, on metainformatsiooni analüüs mõttetu. Muud võimalused peale regulaaravaldiste otsimise ei jää.
Andmepartitsiooni kustutamine
Kui ketashaldustööriistas on kogemata kustutatud üks või mitu partiid, soovitatakse andmete taastamise soovijal käivitada automaatse taastamise utiliidid, mis skaneerivad seadet põhjalikult. Samuti on soovitatav arvesse võtta olemasolevate partiide asukohta, et välistada selgelt vale valik leidudest.
Joon. 20 kustutatud partii
Spetsialisti jaoks toimub selline töö suhteliselt kiiresti, otsides käivitussektoreid ja superblokke oodatud kohtades. Leitud andmete alusel arvutatakse täpsed partiide alguspunktid ja nende pikkus.
Samuti võib proovida kasutada DMDE-d või sarnaseid utiliite, mis suhteliselt kiiresti aitavad leida partisignaale ja püüda kuvada leitud partii failisüsteemi.
Joon. 21 DMDE abil partiide kiire otsingu tulemus
Andmed sisaldav partii on vormindatud.
Sellistes olukordades sõltub soovitatav tegevusstrateegia tugevalt failisüsteemi tüübist, mis oli enne partitsiooni vormindamist, ja millist failisüsteemi hakati kasutama pärast vormindamist.
Näiteks, kui partitsioon FAT32, mille klaster on 8 kB, vormindati FAT 32ks, mille klaster on 64 kB, siis muutuvad uute FAT-tabelite suurused 8 korda väiksemaks ning seega rikuvad mõlemad uute tabelite koopiad ainult esmase koopiat vanadest FAT-tabelitest. Sellises olukorras võib metaandmete otsimine anda tulemuse, mis on peaaegu 100%. Kui aga partitsioon vormindati FAT32ks, mille klastrisuurus on väiksem või võrdne eelmise vormindamise eel, siis uusi puhtaid tabeleid kirjutatakse täielikult üle vanade tabelite, mõjutades osaliselt ka kasutajaandmeid. Sellisel juhul annab metaandmete otsimine märgatavalt halvemad tulemused.
Kui enne vormindamist kasutati jaotises failisüsteemi FAT32 ja jaotis vormindati NTFS-ks, paiknevad uued struktuurid ($MFT, $Bitmap, $Logfile) tavaliselt jaotise alguses mitte, mis suurendab tõenäosust, et metainformatsiooni otsimise meetodil saab enamiku andmetest normaalse kaustastruktuuri ja minimaalsete andmekahjustustega kätte.
Samuti on taastumise protsent kõrge, kui NTFS failisüsteemiga jaotis on vormindatud FAT32-ks. Sel juhul rikuvad FAT tabelid jaotise alguses andmed ning tavaliselt ei mõjuta nad NTFS-i võtmestruktuure. Rahuldav tulemus on probleemne väikese andmekoguse puhul, mille suurus on võrreldav kahe FAT tabeli suurusega.
Kuid kui kasutaja ei soovi süveneda erinevate failisüsteemide metainformatsiooni asukoha nüanssidesse, on loogiline samm käivitada automaatne andmete taastamise utiliit metainformatsiooni otsimise režiimis. Ja juhul, kui andmete maht on ebapiisav, rakendada regulaaravaldiste otsimise meetodit.
Jaotis on vormindatud andmetega ja osaliselt kirjutatud teiste andmete poolt.
Kuna sageli juhtub, et kasutaja vormindab osa ja hakkab seda täitma uute andmetega, ainult hiljem meenub, et vana osas oli oluline teave. Sellistel juhtudel ei saa anda kindlat soovitust. Kõik sõltub sellest, kui palju (koguses ja mahus) uusi andmeid on salvestatud, ning ka nende asukohast. Tingimustest sõltuvalt võib tulemus olla vahemikus 0 kuni lähedane 100%-le. Kaugelt on seda raske ennustada.
Paljudel juhtudel, kus andmete alad kattuvad, on mõistlik alustada regulaarsete väljendusmeetodi kasutamisest vajalike failitüüpide leidmiseks, et mõista, kas on veel märke vajalike andmete olemasolust. Kui need on leitud, on mõttekas otsida failisüsteemi metaandmeid.
Andmete taastamise laboritingimustes koostab spetsialist vabade ruumide kaardi ja otsib regulaaravaldisi ainult nende alade pealt, et vältida juba olemasolevate andmete tulemusi. Samuti vähendab integriteedikontrolli tööriistade abil oluliselt valehäirete arvu. Teatud ülesannetes, näiteks jpg-failide taastamisel (näiteks kellegi koduse fotoalbumi puhul), saab lähtuda jpeg-failide Exif-siltides sisalduvatest andmetest, mis võimaldab saada ajakohaselt järjestatud tulemused ja kaameramudelite järgi sorteeritud tulemuse.
Võrdluses 22 JPG-failide sortimise tulemused, leitud regulaaravaldi otsinguga
Hädaolukordade lõpetamine partitsioonide suuruse muutmise, liikumise või ühendamise protseduuride käigus.
Kui ketta haldurite toimingud, nagu jaotuste suuruse muutmine, liigutamine või mitme jaotuse ühendamine, lõppevad ootamatult, tuleb välja selgitada, millised sammud tehti ja millisel etapil operatsioon peatati, et saavutada võimalikult hea tulemus.
Arvestades keerukust ja võimalikke variatsioone, vaatame ainult universaalset varianti kasutajale, kes soovib tulemust minimaalse tegevuste arvuga. Analüüsitav objekt peab olema kogu ketas, et tagada andmete asukohtade katmine. Kasutada tuleks metaandmete otsimise meetodit ja kopeerida kõik andmevariandid leitud failisüsteemide järgi. On suur tõenäosus, et igas variandis on erinevad õige failide komplektid. Regulaaravaldiste otsimine antud failitüüpide järgi on samuti oluline, kuna sellistes juhtumites võib andmete kadumise korral osaliselt kaduda teave failide nimede ja asukohtade kohta.
8. Taastatud andmete terviklikkuse kontrollimine
Oluline on mõista, et failinimede või leitud regulaarsete väljendite kuvamine andmete taastamise programmis ei garanteeri, et kõik leitud andmed on kasutuskõlblikud. Seetõttu on andmete taastamise programmist tulenev etapp andmete terviklikkuse kontrollimine sama oluline.
Kahjuks ei eksisteeri universaalset tasuta tööriista, mis kontrolliks erinevate failitüüpide terviklikkust. Kuid eraldi on võimalik leida tasuta tarkvara, mis suudab kontrollida teatud tüüpe faile. Näiteks paljud arhiivijad võimaldavad kontrollida arhiivide terviklikkust, MP3Diag utiliidi abil saab kontrollida mp3 failide terviklikkust ning ImageMagick'i kasutada jpg failide testimiseks.
Paljude tasuta failide terviklikkuse kontrollimise utiliitide peamine puudus on see, et nad ei garanteeri failide täielikku kontrollimist. Suured vead on võimalikud.
Paljude failitüüpide puhul ei jää kasutajale muud võimalust, kui hinnata andmete terviklikkust visuaalselt, avades faile järjestikku sobivates rakendustes.
Professionaalsetes kompleksides on olemas tööriistade komplekt, mis võimaldab osaliselt kontrollida failide korrasolekut, vabastades andmete taastamise tulemuse suurest hulgast rämpsfailidest.
Lisaks rämpsu filtreerimisele on vajalik ka vigastatud failide tuvastamine. Kui olete loonud sektoripõhise koopia, kasutades lugemata sektorite täitmiseks mustrit, siis on vigastatud failide leidmine lihtne, otsides failidest tekstijärje "BAD!BAD!BAD!BAD!" (meie näites oli kasutatud täitjat "BAD!"). Pärast leidmist tuleb kontrollida kahjustuse ulatust, kuna mõned failiformaadid ei pruugi väikse andmekao tõttu oluliselt kannatada, samas kui teised võivad olla täielikult kasutuskõlbmatud.
9. Kasutajate sagedased vead.
Erinevad katsed "vigade parandamiseks" populaarsate diagnostikavahendite abil lootuses, et need taastavad juurdepääsu andmetele, on paljude kasutajate üks peamisi vigu. Katsed varjata vigu kahjustatud polümeeriga plaatide pinnal lõpevad tavaliselt plaatide lihvimisega, mitte juurdepääsuga andmetele. Seetõttu, teadmata vigade olemust plaadi pinnal, ei soovitata ketast teenindusoperatsioonide alla võtta enne, kui andmed on saadud. Pärast edukat teabe taastamist võib proovida kettaseade hooldada ja kui õnn liigub käsi, on võimalik, et seade on veel kõlblik edaspidiseks kasutamiseks mitte eriti vastutustundlikes ülesannetes.
Sageli on failisüsteemi metaandmetes defekte. Sellistes olukordades jääb operatsioonisüsteem kahjustatud mahtu proovides pikalt seisma. Probleemse mittefondiga ühendatud olekus võib operatsioonisüsteemi käivitusaeg venida kümnete minutiteni. Üks kehvamaid lahendusi sellele probleemile on probleemse jaotuse vormindamine. Uuesti loodud metaandmed võivad õigesti salvestuda ja operatsioonisüsteemi pika laadimise probleem laheneb, kuid andmete taastamise ülesanne muutub keeruliseks ning taastamise kvaliteet võib oluliselt kannatada.
Andmete kopeerimine, mille utiliit on leidnud, samale jaotusele, millest püütakse faile taastada. Sellisel juhul lõpeb tavaliselt kõik sellega, et kasutaja saab andmete asemel prügi ning järgmine andmete taastamise katse toob juba hoopis kehvema tulemuse. Kui järgite selles artiklis antud juhiseid, siis olete sellise vea eest kaitstud.
Taastatud andmete terviklikkuse kontrollimist ei teostata ning originaaldraivi sisu hävitatakse koos selle koopiaga. Sellisel juhul on oht jääda hulga kaustadega, mis on täidetud vigaste taastamisprotsesside tulemustega, ilma korraliku tulemuse saamise võimaluseta.
Vale tööriista ja taastamismeetodite valik, mistõttu on tulemus oluliselt halvem, kui see võiks olla.
Loodan, et see meetmete kogum aitab teil otsustada, kas teie draivi olukord lubab iseseisvaid andmete taastamiskatseid ja kas olete valmis neid suhteliselt lihtsaid samme, mis on selles artiklis loetletud, läbi viima.
Allikas: habr.com
