Cet article décrit les méthodes de diagnostic autonome de diverses pannes de disques durs en fonction de leurs symptômes, ainsi que des moyens relativement sûrs de cloner des disques durs présentant de légers problèmes.
Différents cas de perte de données et un ensemble d'actions optimales qui, sans connaissances approfondies des systèmes de fichiers, vous aideront à récupérer vos informations à l'aide de logiciels de récupération automatique sont examinés.
Mais avant de commencer toute action autonome, il est nécessaire de prendre connaissance de tous les matériaux de l'article, et seulement après cela d'analyser l'état de votre disque dur, afin que vos tentatives ne deviennent pas les dernières de la vie du périphérique, et que vous ne vous priviez pas de vos dernières chances de récupérer les données dont vous avez besoin.
CONTENU
Partie première : Diagnostic
Partie deuxième : Récupération de données.
En acceptant de suivre les instructions suivantes, vous comprenez que personne d'autre que vous-même n'est responsable d'une éventuelle défaillance du périphérique et de la perte irréversible de données. Cet ensemble de mesures vise à réduire la probabilité d'un résultat défavorable, mais ne garantit pas une protection à 100%.
Diagnostic
1. Examen visuel
Examinez le périphérique pour détecter toute déformation, tout élément manquant ou grillé sur la carte de contrôle, vérifiez l'intégrité des connecteurs. Si des dommages sérieux ou des éléments grillés sont constatés, il est fortement déconseillé d'essayer de fournir de l'alimentation à un tel périphérique, afin d'éviter d'aggraver le problème.
À l'aide de tournevis (généralement des Torx — T5, T6, T9), dévissez les vis maintenant la carte de contrôle et vérifiez l'état des zones de contact sur la carte de contrôle.
Fig. 2, les zones de contact présentent un film d'oxyde
En cas d'oxydation, vous pouvez essayer de les enlever avec une gomme ordinaire sur les contacts. Vous ne pouvez travailler avec la gomme que sur des surfaces planes, comme illustré. Dans d'autres cas, cette action est inapplicable.
Fig. 3 contacts nettoyés.
Si vous constatez des dommages sur la carte, il n'est pas recommandé d'essayer de remplacer la carte du contrôleur par celle d'un disque similaire, car dans les appareils modernes, la mémoire flash sur la carte peut contenir divers paramètres adaptatifs qui se forment pendant le cycle de production et sont uniques à chaque disque. Dans des cas relativement rares, des paramètres étrangers peuvent entraîner des dommages au disque dur.
En présence d'une station de soudage, il faut transférer le MCU, l'Eeprom, la NV-RAM, la NAND (selon ce qui est présent sur la carte du contrôleur et ce qui doit être transféré) et, après cette adaptation, utiliser un contrôleur donneur. Il convient de noter que pour adapter de nombreux contrôleurs, il suffit de transférer uniquement la puce EEPROM.
Lors du choix de la carte, regardez d'abord le numéro PCB gravé. Ensuite, évaluez la correspondance des marquages du MCU et des contrôleurs VCM&SM. Si les marquages du MCU et des contrôleurs VCM&SM diffèrent entre la carte originale et la carte donneuse, il est très probable que la carte donneuse potentielle ne soit pas compatible. Au sein d'une même famille, il peut exister différentes versions de cartes, et dans certains cas, elles peuvent être compatibles sous certaines réserves, mais il est déconseillé d'essayer de le déterminer chez soi.
Essayer d'utiliser une carte de contrôleur incompatible (avec un numéro différent sur le PCB) peut entraîner la combustion de l'amplificateur de commutation.
En cas de disponibilité d'un multimètre, vérifiez les circuits 5V et 12V pour déceler un court-circuit. Vérifiez également la résistance des enroulements du moteur. Si un disque dur identique et garanti en bon état est disponible (même fabricant, même gamme, même révision de carte contrôleur), vous pouvez vérifier si le même nombre de broches dans le connecteur sera mis à la terre, ainsi que comparer les résistances. En cas de différences significatives, vous pouvez conclure que le commutateur-préamplificateur est défectueux et arrêter toute tentative indépendante de récupération des données.
2. Démarrage de test
Assurez-vous du bon fonctionnement de votre système de test, afin d'éviter des diagnostics erronés. Si aucune cause externe n'empêche le démarrage, connectez le câble d'interface et le câble d'alimentation aux ports appropriés et allumez l'alimentation.
Si vous savez d'emblée que le disque a été heurté ou tombé en état de fonctionnement, ou qu'il a commencé à émettre des bruits de cliquetis avant de vous parvenir, évitez toute tentative de mise sous tension.
Dans ces cas, l'ouverture du disque dur dans un environnement de boîte à flux laminaire (ou salle blanche) est obligatoire, ainsi qu'un examen minutieux à l'aide d'un microscope.
Fig. 4 connexion des câbles aux disques durs.
Après l'alimentation, le disque doit commencer à faire tourner l'arbre. Dans certains cas, cela peut ne pas se produire avec des disques entièrement fonctionnels si, pour une raison quelconque, un paramètre de disque a été modifié pour exiger une commande de démarrage.
Lorsque l'arbre tourne, un léger bruit de flux d'air est audible. Dans certains disques, il peut être à peine perceptible, donc vous pouvez utiliser un stéthoscope (ou tenir le disque près de votre oreille en respectant toutes les règles de sécurité pour éviter tout court-circuit).
Si au lieu d'un bruit d'air, une série de bourdonnements cycliques, de petits sifflements ou des sons similaires à des tonalités téléphoniques sont entendus, il est très probable que le disque ne puisse pas commencer à faire tourner l'arbre du moteur. Les raisons peuvent être les suivantes : un blocage de la tête de lecture en dehors de la rampe de stationnement, un blocage de l'arbre du moteur, ou un défaut de la puce VCM&SM du contrôleur.
S'il existe un bon disque dur de remplacement, vous pouvez vérifier la version défectueuse du contrôleur VCM&SM, si vous êtes prêt à effectuer les adaptations nécessaires à la carte de donor décrites dans la section « inspection visuelle ».
Dans les cas où le BMG se bloque en dehors de la rampe de stationnement, les actions autonomes inspirées par des vidéos sur YouTube entraînent généralement des rayures supplémentaires sur les surfaces des plaques ou le déchirement des curseurs. Même si vous parvenez relativement bien à amener le BMG sur la rampe de stationnement, les défauts du revêtement polymère causés à l'endroit où les curseurs se bloquent, les micro-rayures causées par les curseurs lors de l'acheminement du BMG, combinés avec les procédures de numérisation hors ligne et la poussière de l'air non filtré, risquent de vous empêcher de lire une quantité substantielle de données dans la grande majorité des cas avant le début du développement d'autres processus de dégradation irréversibles. Vous pouvez consulter cet article sur le processus de récupération des données dans de tels cas par une entreprise spécialisée.
Lors de l'enrayement de l'arbre du moteur, il est généralement nécessaire de transférer le paquet de disques dans le caisson hermétique du disque dur de remplacement. Une telle opération à domicile sans préparation adéquate et sans les outils nécessaires échouera dans 99,9 % des cas.
Si aucun son n'est émis lors de la mise sous tension et que le disque ne commence pas à faire tourner l'arbre, les diagnostics possibles sont les suivants : carte de contrôleur défectueuse, commutateur préamplificateur défectueux, BMG défectueux.
Après que le disque ait commencé à faire tourner l'arbre, il doit effectuer une calibration, lire le microprogramme et, après avoir initialisé le système de traduction, être prêt. Si, au lieu de la calibration, des bruits frappants cycliques, des grincements ou d'autres sons aigus sont entendus, déconnectez immédiatement le disque. Les causes de ces phénomènes peuvent être : défaillance du BMG ou du commutateur préamplificateur, défaillance de la puce VCM&SM du contrôleur.
Les micrologiciels de certains disques effectuent un sondage de l'interrupteur de préamplification avant que le moteur ne démarre. En cas de détection d'une réponse incorrecte ou d'une résistance excessive sur l'une des têtes, cela entraîne l'arrêt d'urgence du processus d'initialisation initiale. Malheureusement, tous les micrologiciels ne contrôlent pas suffisamment l'intégrité de l'appareil lui-même et permettent des tentatives de démarrage d'un disque dur clairement problématique. Les transplantations de la tête de lecture sont recommandées à effectuer dans des conditions de boîte à flux laminaire avec un flux d'air propre et des outils spécialisés. De plus, il est essentiel de savoir comment choisir un donneur, afin de sélectionner celui avec la révision appropriée de l'interrupteur de préamplification, la carte des têtes et des paramètres adaptatifs similaires. Une simple correspondance de marque et de modèle ne garantit pas que le disque est un donneur approprié. Même si l'on parvient à choisir un donneur et à effectuer la procédure de transplantation, il est peu probable qu'il soit possible de lire un volume important de données en raison de problèmes connexes.
Les actions à entreprendre en cas de carte contrôleur défectueuse sont indiquées dans la section « Inspection visuelle ».
Fig. 5 surface du plateau fortement rayée (multiples rayures).
Il est important de comprendre qu'à chaque tentative d'allumer un disque avec un BMG défectueux, il existe des risques de destruction supplémentaire des surfaces des plateaux, ce qui peut entraîner une impossibilité totale de récupération des données.
Si le disque ne produit aucun bruit suspect, après avoir effectué toutes les procédures d'initialisation, il devrait être prêt. À partir de ce moment, le disque doit être prêt à échanger des données via l'interface, et en cas de connexion au port de la carte mère du PC, il doit répondre à la demande de passeport de la part du BIOS. Si tout est en ordre avec la connexion et les réglages du BIOS, mais que le disque reste invisible pour le PC, il est probable qu'il existe des problèmes dans le micrologiciel du disque qui l'empêchent de devenir opérationnel.
Si le disque dur renvoie des informations de statut incorrectes, par exemple seulement le nom du modèle et une capacité nulle, ou si le nom du modèle n'est pas tout à fait correct, et qu'il manque le numéro de série, cela indique que les procédures d'initialisation n'ont pas été réussies et qu'il y a des problèmes de microprogramme. Dans de tels cas, il est généralement impossible de résoudre le problème sans utiliser des complexes logiciels et matériels professionnels.
Une exception séparée peut être envisagée pour le cas du Seagate 7200.11 (de la famille Moose), pour lequel certains problèmes pouvaient être résolus en utilisant un adaptateur RS232-TTL et un terminal standard. Cependant, il faut comprendre qu'en l'absence d'une compréhension approfondie du microcode, il y a un risque d'aggraver considérablement la situation.
Il est fortement déconseillé d'appliquer cette méthode à d'autres familles, car cela entraînera un recalcul du translateur qui, dans la grande majorité des cas, sera incorrect, et l'accès à la zone utilisateur sera perdu dès le premier point de divergence. La récupération des données dans ce cas devient considérablement plus compliquée.
Si dans le rapport émis par le disque, tous les champs sont corrects sauf la capacité, il est nécessaire de vérifier si cela n'est pas dû à une erreur du BIOS de certaines cartes mères, qui, en utilisant des commandes de gestion HPA, coupent presque 1 To au lieu de simplement retirer un petit morceau de la plage LBA pour conserver une copie du BIOS.
Fig. 6 capacité nominale du disque de 1 To après un traitement incorrect du BIOS de la carte mère Gigabyte
Pour résoudre ce problème, vous pouvez utiliser HDAT2 ou un logiciel de diagnostic gratuit similaire, qui permet de restaurer la capacité nominale d'origine du disque, ainsi que de désactiver la gestion HPA dans le DCO pour éviter la récurrence du problème.
3. Préparation au test
Lors des tests de disques en dehors des complexes professionnels, il est important de préparer le système d'exploitation à l'avance. Il est nécessaire d'interdire le montage automatique des volumes du disque afin d'éviter que le système d'exploitation n'agisse de manière autonome.
Sous Windows, pour cela, il faut lancer avec les droits d'administrateur diskpart et exécuter la commande automount disable. Si le disque potentiellement problématique a déjà été connecté à ce système d'exploitation, il est nécessaire de supprimer les paramètres de montage du registre avec la commande automount scrubPour que ces réglages prennent effet, un redémarrage est recommandé.
Il est également nécessaire de préparer un logiciel de diagnostic. Sous Windows, vous pouvez utiliser le gratuit PC3000 DiskAnalyzer qui, en plus de la fonction de diagnostic, permet de créer une copie sectorielle. Il est également souhaitable d'avoir une clé USB bootable avec HDAT2.
Il n'est pas obligatoire d'utiliser uniquement ce logiciel pour le diagnostic. Vous pouvez utiliser d'autres équivalents, à l'exception de certains logiciels payants pour les utilisateurs trop naïfs, dont la publicité peut présenter des slogans tels que «… programme unique pour la régénération de disques durs physiquement endommagés. Il ne cache pas les secteurs défectueux, il les restaure réellement ! ». Avec des déclarations aussi emphatiques, de tels logiciels ont en réalité des capacités assez modestes qui ne dépassent pas celles des logiciels gratuits, et leur idéologie de travail sur les défauts est plutôt axée sur la destruction finale du disque, plutôt que sur l'aide à la récupération d'informations.
Si, avec le disque connecté, le temps de chargement du système d'exploitation a augmenté plusieurs fois même avec le montage automatique des volumes désactivé, il est recommandé de cesser toute activité pour éviter d'aggraver le problème.
Une augmentation significative du temps de chargement du système d'exploitation lors de la connexion d'un disque dur potentiellement problématique est un signe caractéristique que des défauts de surface sont présents sur les plateaux du disque. Les retards de démarrage du système d'exploitation surviennent en raison des accès aux secteurs défectueux et des tentatives du micrologiciel d'exécuter des procédures de numérisation hors ligne qui lui sont impossibles.
Après le téléchargement réussi du système d'exploitation, ouvrez le gestionnaire de périphériques et assurez-vous que votre stockage figure dans la liste des appareils. S'il n'apparaît pas, vérifiez si le pilote du contrôleur auquel il est connecté est installé et si le contrôleur lui-même n'est pas désactivé dans la liste des appareils. Si le pilote et les paramètres du système d'exploitation sont corrects, et que le stockage ne s'affiche toujours pas ou disparaît après un certain temps, cela indique généralement un large éventail de pannes. Les causes les plus probables sont des défauts de la carte contrôleur, un gel du micrologiciel du stockage, ou le passage du stockage en mode dégradé, où il cesse de répondre correctement à la plupart des commandes.
Pour préciser le diagnostic, vous pouvez essayer de charger DOS et utiliser HDAT2 pour vérifier les paramètres SMART. Si des signes de formation de défauts sont détectés (valeurs non nulles pour les attributs 5 et 197 (C5) dans les champs de valeurs non normalisées), on peut conclure qu'il ne sera rien possible à faire sans modifier les réglages du micrologiciel dans un environnement domestique. S'il n'y a pas de signes de formation de défauts, la cause des blocages peut résider dans le fonctionnement incorrect de la carte contrôleur. Dans ce cas, vous pouvez essayer d'utiliser la carte contrôleur d'un stockage donneur.
4. Test
Après avoir passé les étapes précédentes sans constater de raisons valables d'arrêter le processus, vous pouvez procéder à l'évaluation de l'état du stockage. La plupart des dispositifs de stockage fabriqués au cours de ce siècle sont dotés de la technologie S.M.A.R.T., qui surveille l'état du stockage et enregistre divers événements durant son fonctionnement. Vous pouvez lire plus en détail sur la mise en œuvre de cette technologie dans les HDD et quels paramètres contrôler lors de l'utilisation des disques dans notre article .
En utilisant un logiciel de diagnostic, vous devez demander les paramètres S.M.A.R.T.
Fig. 7 attributs SMART d'un disque dur fonctionnel
Il est important d'évaluer les indicateurs des attributs 5 et 197 (C5). Si les valeurs dans la colonne RAW sont nulles ou si les indicateurs de problème sont uniques, il est alors nécessaire de passer à des tests supplémentaires.
Fig. 8 attributs SMART d'un disque avec une grave formation de défauts
Si le nombre de candidats aux défauts est un nombre à trois ou quatre chiffres, dans la plupart des cas, toute autre tentative de test de surface ou de numérisation avec des utilitaires de récupération automatique des données aggraverait le problème au point de rendre impossible l'obtention des données.
Pour récupérer des données dans de tels cas, il est important d'intervenir dans les paramètres du firmware des disques et de désactiver les procédures de scan hors ligne, ainsi que la journalisation S.M.A.R.T., afin de libérer le disque des processus en arrière-plan qui peuvent considérablement réduire la durée de vie de l'appareil défectueux. Malheureusement, il n'est pas possible de faire cela simplement sans une connaissance approfondie de l'architecture du firmware des disques et sans des outils professionnels. La tâche suivante consiste à évaluer l'état de chaque tête individuellement et à localiser les zones défectueuses principales. La lecture linéaire avec des répétitions multiples sur les zones défectueuses est contre-indiquée dans ces cas, car elle est trop dangereuse.
Même si le disque semble fonctionner correctement au premier abord et qu'aucun signe de défaut n'est détecté selon les indications S.M.A.R.T., cela ne garantit pas qu'il n'y a effectivement pas de défauts. Il est donc nécessaire de procéder à un test final et d'effectuer une vérification de la surface.
Il est crucial de surveiller en continu le processus de numérisation. En cas de bruits anormaux ou de détection de grandes zones avec des erreurs de lecture, il faut immédiatement interrompre le processus et éteindre le disque afin d'éviter des conséquences irréversibles.
Fig. 9 graphique de numérisation d'un disque fonctionnel
Si le résultat de la numérisation du disque montre un graphique monotone en déclin et qu'aucune erreur de lecture n'est enregistrée, le disque peut être considéré comme fonctionnel et passer à la section suivante.
Dans les disques avec un grand cache média et une traduction différente de celle classique (en général dans les disques avec enregistrement par bandes (SMR)), le graphique peut avoir une autre forme. Divers types de chutes sont possibles.
Fig. 10 graphique de numérisation d'un disque avec une tête problématique
Si, lors de la vérification du disque, des zones cycliques « lentes » sont détectées, cela indique un défaut de tête. Il ne faut pas attendre que des défauts soient détectés et il est impératif d'interrompre immédiatement le test.
Dans une telle situation, il n'y a aucune chance d'obtenir un bon résultat en essayant de récupérer les données par ses propres moyens. Il est très probable que le disque ne survive pas à une tentative de création d'une image sectorielle avec les outils mis à disposition de l'utilisateur.
Dans les cas où des signes de formation de défaut ont été détectés dans les attributs S.M.A.R.T. 5 et 197 (C5), ou si des défauts ponctuels ont été détectés lors de la vérification, il est nécessaire de créer une copie du disque.
5. Copie par secteur
Si le disque est en bon état et qu'aucun problème n'est détecté à l'issue des tests, il n'est pas nécessaire de créer une image sectorielle et vous pouvez travailler avec le disque original. Cependant, pour éviter divers imprévus, il est fortement recommandé de ne pas sauter cette étape et de travailler uniquement avec la copie par la suite.
Avec un disque dur fonctionnel ou un disque présentant peu de défauts, il n'y a pas de différence significative quant à l'outil que vous utilisez, l'important étant qu'il crée une copie complète. Il est également crucial de ne pas tenter d'utiliser les options de certains programmes pour créer une image compressée, car vous risquez, par la suite, de ne pouvoir travailler qu'avec les fonctionnalités du logiciel qui a généré cette image.
Sous Windows, vous pouvez utiliser les programmes suivants : WinHex, DMDE, PC3000 DiskAnalyzer, R-studio et d'autres.
Sous Linux, les capacités de la commande intégrée dd suffisent.
Tous les logiciels ne sont pas gratuits, mais dans de nombreux cas, les fonctionnalités de la version d'essai/démonstration suffisent pour créer une copie du disque.
Prenons WinHex comme exemple pour cloner un disque.
Fig. 11 options dans le menu WinHex pour le clonage de disque.
Dans l'onglet « Outils », sélectionnez l'option « Outils de disque », puis dans la fenêtre déroulante choisissez « Cloner le disque » ou appuyez simplement sur Ctrl+D.
Fig. 12 paramètres des options de clonage.
Comme source, choisissez le disque que vous souhaitez cloner.
Comme destinataire, vous pouvez utiliser un disque de capacité identique ou supérieure, ou même cloner vers un fichier image.
Assurez-vous qu'il y a suffisamment d'espace libre sur le disque destinataire.
Dans les paramètres de copie, il est souhaitable d'activer l'option « ignorer les défauts, secteurs ».
Si votre disque a un secteur avec une taille physique de 4096 octets, mais est projeté avec une taille virtuelle de 512 octets dans l'OS, vous devez définir la valeur à 8 pour éviter des tentatives de lecture inutiles du secteur défectueux.
«Modèle de remplacement des défauts de source» - spécifiez un mot ou une expression facile à rechercher, qui remplira le secteur dans la copie à la place des secteurs non lisibles de la source. Cela sera utile pour localiser les fichiers endommagés par la suite.
Lors de la création d'une copie, il est impératif de surveiller le processus de manière ininterrompue. En cas de bruits étrangers, de blocage du support ou si un nombre supérieur à celui observé lors des tests initiaux est détecté, interrompez immédiatement le processus et déconnectez le support pour éviter des conséquences irréversibles.
Avec des outils professionnels de récupération de données, tels que DataExtractor, il existe des possibilités de configuration significativement plus grandes pour le scénario de copie des données, ainsi qu'un contrôle de l'état du support, ce qui augmente considérablement les chances d'extraction réussie en présence d'un spécialiste compétent.
Fig. 13 réglages des réactions d'un complexe professionnel en cas de problèmes de lecture
Récupération des données
6. Méthodes de récupération
À ce jour, il existe de nombreux programmes de récupération automatique de données qui ne nécessitent aucune connaissance spécialisée de l'utilisateur et permettent d'obtenir des données en un clic presque. Cependant, cette approche ne donnera pas dans de nombreux cas le résultat maximal possible, ou il sera perdu parmi une masse d'options non pertinentes.
Pour un fonctionnement efficace du programme de récupération de données, il est préférable de réduire au maximum le champ de recherche. Il est donc souhaitable de spécifier la zone de scan et le type du système de fichiers recherché. Cette précision peut écarter de nombreuses variantes d'anciens systèmes de fichiers, et réduire également la probabilité de fausse interprétation des métadonnées découvertes du système de fichiers.
Fig. 14 Exemple de configuration de R-studio pour rechercher les métadonnées du système de fichiers requis
Les métadonnées du système de fichiers sont des structures décrivant l'emplacement des fichiers, leurs noms, attributs, droits d'accès, journaux, etc.
Fig. 15 Exemple de métadonnées. Fragment d'enregistrement MFT (Master File Table dans NTFS)
Dans tous les cas, les programmes de récupération automatique ne calculent pas toujours avec précision le point de départ en fonction des métadonnées trouvées, et ne filtrent pas toujours correctement les données des différents systèmes de fichiers, ce qui peut entraîner un calcul erroné de la localisation pour tous les fichiers. De plus, différentes interprétations erronées augmentent le volume de données estimé, parfois de plusieurs fois supérieur à la capacité même du disque.
Les solutions professionnelles disposent d'outils pour créer des volumes virtuels de différents systèmes de fichiers avec des paramètres définis manuellement, ainsi que d'outils pour rechercher des métadonnées avec la possibilité de filtrer manuellement les objets non désirés.
Dans les cas où les métadonnées nécessaires du système de fichiers n'existent plus ou sont incorrectes, il est nécessaire d'appliquer une méthode de recherche basée sur des expressions régulières caractéristiques de certains types de fichiers.
Fig. 16 0xFF 0xD8 0xFF, expression régulière caractéristique des fichiers JPG
Les programmes de récupération automatique qui effectuent des recherches de cette manière présentent principalement les inconvénients suivants : absence de structure de répertoires et de noms de fichiers originaux, pas d'analyse de la structure des fichiers et un contrôle insuffisant de l'intégrité des fichiers trouvés, ce qui entraîne la récupération d'un grand nombre de données inutilisables. Pour de nombreux types de fichiers, la taille correcte n'est pas calculée.
Fig. 17 Paramètres de R-Studio pour la recherche d'expressions régulières de vos fichiers
7. Cas typiques et actions recommandées
Corruption du système de fichiers
En raison des défaillances des composants PC, du fonctionnement incorrect du système d'exploitation, de la coupure soudaine de l'alimentation pendant l'écriture sur le disque ou des défaillances du disque dur, les métadonnées du système de fichiers peuvent être corrompues. Dans de nombreux types de dommages, le système d'exploitation ne pourra pas monter le volume avec un système de fichiers corrompu.
Fig. 18 métadonnées corrompues du système de fichiers (système de fichiers RAW non reconnu)
Dans ces cas, la méthode de recherche des métadonnées du système de fichiers dans la partition existante s'avère plutôt efficace. En cas de légers dommages, il est possible d'obtenir un résultat proche de 100 %. Cette recommandation est pertinente pour la plupart des différents systèmes de fichiers.
Il existe évidemment des cas où, à la suite de pannes, une grande quantité de métadonnées du système de fichiers actuel est corrompue. Dans ce cas, si la première méthode n'a pas fonctionné, il est nécessaire d'utiliser l'analyse par expressions régulières pour rechercher les fichiers dont vous avez besoin.
Le travail du spécialiste consiste à évaluer la nature des dommages des métadonnées et, si elles ne sont pas détruites mais altérées, des corrections manuelles peuvent être effectuées dans un éditeur hexadécimal.
Suppression d'un fichier ou d'un groupe de fichiers.
La suppression accidentelle de données est un cas assez fréquent. Les conséquences de cette action dépendent fortement du type de système de fichiers, ainsi que, pour les disques relativement récents, de la manière dont le microprogramme lui-même fonctionne.
Si les fichiers ont été supprimés sur une partition avec un système de fichiers NTFS, la méthode optimale de recherche sera une analyse rapide avec diverses utilitaires, qui scanne rapidement les structures clés (MFT, Index, Logfile) sans un scan complet de la partition. Si les enregistrements de fichiers nécessaires et l'espace occupé par ces fichiers ne sont pas écrasés par d'autres données, il est possible d'obtenir rapidement les fichiers souhaités.
Fig. 19 après l'analyse de $MFT, les enregistrements considérés comme supprimés sont marqués en violet.
Si les données requises ne sont pas trouvées ou sont endommagées lors d'une analyse rapide, un scan complet de la partition peut être effectué, mais le résultat ne changera probablement pas de manière significative et seule la recherche par expressions régulières restera.
Dans l'arsenal du spécialiste se trouve un outil de cartographie de l'espace non alloué et une analyse ultérieure exclusivement dans ces zones, ce qui élimine les données existantes des résultats de récupération. Cela permet d'économiser considérablement le temps de l'utilisateur lors de la recherche de fichiers nécessaires parmi de nombreuses données anonymes.
Si des fichiers ont été supprimés dans une partition utilisant le système de fichiers FAT16 ou FAT32, il est possible d'utiliser l'analyse des métadonnées pour récupérer une partie des données avec les noms d'origine. Dans le cas de SFN, le premier caractère du nom de fichier sera absent, alors que si le fichier avait un nom long, son nom complet apparaîtra dans l'enregistrement LFN. Pour les fichiers fragmentés supprimés, la récupération des données avec des logiciels de récupération automatique ne sera pas efficace, car lors de la suppression, l'enregistrement de la chaîne de clusters appartenant au fichier est supprimé de la table FAT. De plus, dans certains cas sous FAT32, au-delà de la suppression de la chaîne de localisation du fichier dans les deux copies de la table, le premier caractère SFN et les deux octets les plus significatifs du numéro du premier cluster occupé par le fichier sont supprimés dans le répertoire. La plupart des utilitaires de récupération automatique analysant les métadonnées ne détecteront pas la position correcte du fichier.
La récupération de fichiers fragmentés est généralement un travail assez complexe, qui est très peu automatisé. Les méthodes d'automatisation peuvent être développées pour des types de structures spécifiques. Souvent, la tâche se résume à une analyse manuelle à faible performance à la recherche des fragments nécessaires. Un exemple de ce genre de travail peut être évalué dans l'article
Si les méthodes d'analyse des métadonnées n'ont pas permis de trouver les données nécessaires ou si les fichiers requis ne peuvent pas être ouverts, il reste la méthode de recherche par expressions régulières. Il est possible de retrouver une partie des fichiers.
Si des fichiers ont été supprimés dans une partition utilisant le système de fichiers HFS+, Ext 2, Ext3, Ext4, alors, malheureusement, analyser les métadonnées est inutile. À part la recherche par expressions régulières, il n'y a pas d'autre solution.
Suppression d'une partition de données
Si dans l'outil de gestion des disques, une ou plusieurs partitions ont été supprimées par erreur, il est recommandé à l'utilisateur souhaitant récupérer des données de lancer des utilitaires de récupération automatique avec une analyse complète de l'appareil. Il est également souhaitable de tenir compte de la position des partitions existantes pour exclure des options manifestement incorrectes lors de la recherche.
Fig. 20 partition supprimée
Un spécialiste peut exécuter ce type de travail relativement rapidement, en recherchant des secteurs de démarrage et des superblocs aux endroits attendus. Sur la base des éléments trouvés, les positions exactes du début des sections et leur étendue sont calculées.
Il est également possible d'essayer d'utiliser DMDE ou des utilitaires similaires, qui peuvent relativement rapidement permettre de détecter des indices de début de section et tenter d'afficher le système de fichiers de la section trouvée.
Fig. 21 résultat de la recherche rapide de sections avec DMDE
Section formatée avec des données.
Dans de tels cas, le scénario recommandé dépend fortement du type de système de fichiers qui était présent avant le formatage de la section, et quel système de fichiers a été utilisé après le formatage.
Par exemple, si une section FAT32 avec un cluster de 8 Ko a été formatée en FAT32 avec un cluster de 64 Ko, les nouvelles tables FAT sont devenues huit fois plus petites et, par conséquent, les deux copies des nouvelles tables n'ont endommagé que la première copie des anciennes tables FAT. Dans cette situation, la recherche de métadonnées peut donner un résultat proche de 100 %. En revanche, si la section a été formatée en FAT32 avec une taille de cluster égale ou inférieure à celle qui était présente avant le formatage, alors les nouvelles tables propres écraseront complètement les anciennes et toucheront partiellement la zone des données utilisateur. Dans ce cas, la recherche de métadonnées donnera un résultat nettement moins bon.
Si avant le formatage, le système de fichiers FAT32 était utilisé sur la section, et que celle-ci a été formatée en NTFS, alors les nouvelles structures ($MFT, $Bitmap, $Logfile) se trouvent généralement pas au début de la section, et il y a une forte probabilité, grâce à la méthode de recherche de métadonnées, d'obtenir la majorité des données avec une structure de répertoire normale et des dommages minimaux aux données elles-mêmes.
Un taux de récupération également élevé se produira lorsque la section avec un système de fichiers NTFS est formatée en FAT32. Dans ce cas, les tables FAT endommageront les données au début de la section et, en général, ne toucheront pas les structures clés de NTFS. Un résultat insatisfaisant sera le cas pour un petit volume de données, dont la taille est comparable à celle de deux copies des tables FAT.
Mais si l'utilisateur ne souhaite pas se pencher sur les subtilités de l'emplacement des métadonnées des différents systèmes de fichiers, il serait logique de lancer l'utilitaire de récupération automatique des données en mode recherche de métadonnées. Et dans le cas où la quantité de données obtenue est insuffisante, appliquer la méthode de recherche par expressions régulières.
La partition avec les données a été formatée et partiellement réécrite avec d'autres données.
Comme c'est souvent le cas, l'utilisateur peut formater une partition et commencer à y remplir d'autres données, pour finalement réaliser qu'il y avait des informations importantes sur l'ancienne partition. Dans de tels cas, il n'existe pas de recommandation définitive. Tout dépend fortement de la quantité (en nombre et en volume) de nouvelles données enregistrées, ainsi que de l'emplacement de ces données. Selon les conditions, le résultat peut varier de 0 à presque 100 %. À distance, c'est imprévisible.
Dans de nombreux cas avec un grand recoupement des zones de données, il est judicieux de commencer par la méthode de recherche par expressions régulières pour les types de fichiers nécessaires, afin de déterminer s'il existe encore des signes de l'existence des données requises, et en cas de découverte, d'effectuer une recherche des métadonnées du système de fichiers.
Dans un laboratoire de récupération de données, le spécialiste construira une carte de l'espace non utilisé et effectuera une recherche par expressions régulières uniquement sur ces zones, afin d'exclure dans les résultats de recherche la présence de données déjà existantes. De plus, grâce à des outils de contrôle d'intégrité, il réduira considérablement le nombre de faux positifs. Et pour certaines tâches, comme la récupération de fichiers jpg (par exemple, d'un album photo familial), il pourra trier les résultats en fonction des informations contenues dans les balises Exif des fichiers jpeg, ce qui permettra d'obtenir un résultat chronologique et trié selon les modèles d'appareils photo.
Fig. 22 résultat du tri des fichiers JPG, trouvés par la recherche par expressions régulières
Arrêt d'urgence des procédures de redimensionnement, de déplacement ou de fusion des partitions.
En cas d'arrêt d'urgence des gestionnaires de disque lors de la modification de la taille de la partition, de son déplacement ou de la fusion de plusieurs partitions, il est nécessaire de déterminer quelles étapes ont été réalisées et à quel stade l'opération a échoué, afin d'obtenir le meilleur résultat possible.
Étant donné la complexité et le nombre de variations possibles, nous allons examiner uniquement l'option universelle pour l'utilisateur qui a besoin d'un résultat avec un minimum d'actions. L'objet d'analyse doit être l'ensemble du disque afin de garantir la couverture de tous les emplacements des données. Utilisez la méthode de recherche de métadonnées et copiez toutes les variantes des données selon les systèmes de fichiers trouvés. Il y a de fortes chances que, dans chaque variante, différents ensembles de fichiers soient valides. La recherche d'expressions régulières selon les types de fichiers spécifiés est également importante, car dans de tels cas de perte de données, il peut y avoir une perte partielle d'informations sur les noms et l'emplacement des fichiers.
8. Vérification de l'intégrité des données récupérées
Il est important de comprendre que l'affichage des noms de fichiers dans le programme de récupération de données ou le nombre d'expressions régulières trouvées ne garantit pas que tout ce qui a été trouvé sera utilisable. Ainsi, une étape tout aussi importante après la récupération des données par un logiciel de récupération automatique est la vérification de l'intégrité des données elles-mêmes.
Malheureusement, il n'existe pas d'outil gratuit universel pour vérifier l'intégrité d'un grand nombre de fichiers différents. Cependant, on peut trouver séparément des logiciels gratuits capables de contrôler des types de fichiers spécifiques. Par exemple, de nombreux compresseurs permettent de vérifier l'intégrité des archives, le logiciel MP3Diag peut vérifier l'intégrité des fichiers mp3, et ImageMagick peut être utilisé pour tester les fichiers jpg.
Le principal inconvénient de nombreux utilitaires gratuits de vérification de l'intégrité des fichiers est qu'ils ne garantissent pas un contrôle complet des fichiers. Des erreurs massives peuvent se produire.
Pour de nombreux types de fichiers, l'utilisateur n'a d'autre choix que d'évaluer visuellement l'intégrité des données en ouvrant les fichiers un par un dans les applications appropriées.
Dans les solutions professionnelles, un ensemble d'outils permet de contrôler partiellement l'intégrité des fichiers, ce qui élimine une grande quantité de fichiers indésirables lors de la récupération des données.
En plus d'éliminer les déchets, il est nécessaire d'identifier les fichiers endommagés. Si vous avez créé une copie sectorielle remplie par un modèle de secteurs non lisibles, la question de trouver les fichiers endommagés peut être facilement résolue en recherchant dans les fichiers la chaîne de texte « BAD!BAD!BAD!BAD! » (où nous avons utilisé le remplisseur « BAD! » dans notre exemple). Une fois trouvés, il est essentiel de vérifier le degré de dommage, car certains formats de fichiers peuvent ne pas souffrir gravement de la perte d'une petite portion de données, tandis que d'autres peuvent être complètement inutilisables.
9. Erreurs fréquentes des utilisateurs.
Les différentes tentatives de « guérison » des défauts à l'aide d'outils de diagnostic populaires, dans l'espoir de retrouver l'accès aux données, constituent l'une des principales erreurs de nombreux utilisateurs. Essayer de masquer les défauts sur un support avec un polymère endommagé à la surface des plateaux se termine généralement par le meulage des plateaux, plutôt que l'accès aux données. Pour cette raison, sans connaître la nature des défauts à la surface, il est fortement déconseillé d'effectuer des opérations de service sur le disque avant de récupérer les données. Une fois les informations récupérées avec succès, vous pouvez essayer d'entretenir le support, et si par chance cela fonctionne, il se peut que le support soit encore utilisable pour des tâches moins critiques.
Il n'est pas rare que les défauts touchent les métadonnées du système de fichiers. Dans ces cas, le système d'exploitation reste bloqué longtemps lorsqu'il essaie de monter le volume endommagé. Avec le support problématique connecté, le temps de chargement du système d'exploitation peut s'étendre sur des dizaines de minutes. L'une des pires idées pour résoudre ce problème est de formater la partition problématique. Les nouvelles métadonnées peuvent s'écrire correctement, résolvant ainsi le problème du long chargement du système d'exploitation, mais la tâche de récupération des données sera compliquée et la qualité du résultat de récupération peut en souffrir considérablement.
La copie des données détectées par l'utilitaire sur la même partition d'où vous essayez de récupérer les fichiers. Dans ce cas, tout se termine généralement par le fait qu'au lieu des données, l'utilisateur obtient des déchets, et la prochaine tentative de récupération de données sera déjà beaucoup moins réussie. Si vous suivez les instructions de cet article, vous serez protégé contre cette erreur.
La vérification de l'intégrité des données récupérées n'est pas effectuée et le contenu du support original est détruit avec sa copie. Dans ce cas, il y a un risque de se retrouver avec une pile de dossiers remplis de résultats erronés de la tentative de récupération de données, sans possibilité d'obtenir un résultat de qualité.
Le choix incorrect de l'outil et des méthodes de récupération de données, ce qui entraîne un résultat nettement inférieur à ce qu'il pourrait être.
J'espère que cet ensemble de mesures vous aidera à décider si la situation avec votre support admet des tentatives de récupération de données autonomes et si vous êtes prêt à effectuer cet ensemble d'actions relativement simples énumérées dans cet article.
Source : habr.com
