A cikkben bemutatott módszerek a merevlemezek különböző hibáinak önálló diagnosztikáját tartalmazzák a megjelenési tünetek alapján, valamint a viszonylag biztonságos klónozási módokat is, kisebb problémák esetén.
Különböző adatvesztési eseteket és optimális lépéssort vizsgálunk, amelyek mély ismeretek nélkül is segítenek az automatikus helyreállító programok révén visszaszerezni az információkat külső segítség nélkül.
De mielőtt bármilyen önálló intézkedést tennél, alaposan át kell nézned az összes anyagot a cikkben, és csak ezután elemezheted a merevlemezed állapotát, hogy a próbálkozásaid ne legyenek a meghajtó végső kudarca, és ne fosszanak meg azoktól a reményektől, amelyek nélkülözhetetlenek számodra az adatok helyreállításához.
TARTALOM
Első rész: Diagnosztika
Második rész: Adat-helyreállítás.
A további utasítások követésére való beleegyezéseddel tudomásul veszed, hogy senki más, csak te magad vagy felelős a meghajtó esetleges meghibásodásáért és az adatok végleges elvesztéséért. Az intézkedések a kedvezőtlen kimenet valószínűségének csökkentésére irányulnak, de nem biztosítanak 100%-os védelmet.
Diagnosztika
1. Vizuális ellenőrzés
Ellenőrizd a meghajtót deformációk, hiányzó vagy elégett elemek szempontjából a vezérlőpanelen, és nézd meg a csatlakozók épségét. Ha súlyos sérüléseket vagy elégett elemeket találsz, akkor nem ajánlott megpróbálni áramot adni az ilyen meghajtóra, hogy ne súlyosbítsd a problémát.
Készíts fel készletet (általában Torx — T5, T6, T9) a vezérlőpanel rögzítőcsavarjainak eltávolításához, és ellenőrizd a kontaktpaneleket a vezérlőpanelen.
A 2. ábrán a kontaktpaneleken oxidos réteg található.
Oxidáció esetén a kontaktfelületekről egy sima radírral próbálhatjuk meg eltávolítani azokat. A radírral csak a lapos felületeken dolgozhatunk, ahogyan az a képen is látható. Más esetekben ez a művelet nem alkalmazható.
3. ábra a tisztított kontaktfelületek.
Ha bármilyen sérülést észlel a nyomtatott áramkörön, akkor a modern merevlemezeknél nem érdemes próbálkozni a vezérlőlap hasonló tárolóról való áthelyezésével, mert a modern eszközök esetében a vezérlőlap memóriájában különböző adaptív paraméterek találhatók, amelyeket a gyártási ciklus során állítanak be, és egyediek az egyes tárolók számára. Viszonylag ritka esetekben a nem azonosített paraméterek a merevlemez meghibásodásához vezethetnek.
Ha forrasztóállomás áll rendelkezésre, el kell végezni az MCU, EEPROM, NV-RAM, NAND (attól függően, hogy mi található a vezérlőlap fedélzetén, és mi az, amit feltétlenül át kell mozgatni) áthelyezését, és a kapaszkodóknál ezt követően donor vezérlőt kell használni. Meg kell jegyezni, hogy sok vezérlő esetében elegendő csak az EEPROM chip áthelyezése.
Alkalmas vezérlőlap keresésekor először is vizsgálja meg a nyomtatott áramkör (PCB) gravírozott számát. Ezután értékelje az MCU és a VCM&SM vezérlőn lévő jelölések egyezését. Ha az eredeti lapon és a donor lapon az MCU és a VCM&SM vezérlő jelölései eltérőek, akkor nagy valószínűséggel a potenciálisan donor lap nem alkalmas. Ugyanazon családon belül különböző verziók létezhetnek, és egyes esetekben bizonyos feltételekkel kompatibilisek lehetnek, de nem érdemes ezt otthoni körülmények között tisztázni.
Nem megfelelő vezérlőlap (más PCB számú) beépítési kísérlete a kapcsoló-erősítő kiégéséhez vezethet.
Mérje meg a 5V és 12V áramköröket multiméterrel rövidzárlat szempontjából. Ellenőrizze a motor tekercseinek ellenállását is. Ha van elérhetően egy garantáltan működőképes azonos tároló (megegyező gyártó, modell, vezérlőkártya verzió), akkor ellenőrizheti, hogy a kapcsolóaljzatban az áthúzások az „föld” irányába azonos számú kimenetet mutatnak, valamint hasonlítsa össze az ellenállásokat. Jelentős eltérés esetén arra a következtetésre juthatunk, hogy a kapcsoló-előfok meghibásodott, és ezek után ne próbáljon meg önálló adat-helyreállítást végezni.
2. Teszt indítása
Bizonyosodjon meg, hogy a teszt rendszere rendben van, elkerülve a hamis diagnózisokat, és ha nem találhatóak külső okok, amelyek megakadályozzák a bekapcsolási kísérletet, csatlakoztassa az interfészkábelt és a tápkábelt a megfelelő csatlakozókhoz, majd kapcsolja be az tápegységet.
Ha tudja, hogy a tároló megütődött vagy elejtődött működés közben, vagy már a birtokába kerülése előtt elkezdett zörgő hangot kiadni, akkor tartózkodjon a bekapcsolási kísérlettől.
Ezekben az esetekben kötelező a merevlemez feltárása laminaris boxban (vagy tiszta szobában) és alapos vizsgálata mikroszkóp alatt.
4. ábra: a kábelek csatlakoztatása a merevlemezekhez.
A tápegység bekapcsolása után a tárolónak el kell kezdenie a tengely forgását. Egyes esetekben ez nem következhet be teljesen működő tárolókban, ha valami okból a tároló beállításaiba a spin up parancs követelménye be lett állítva.
A tengely forgása közben enyhe zaj keletkezik a légáramlás miatt. Egyes tárolókban ez alig hallható, ezért érdemes sztetoszkópot használni (vagy a tárolót közel tartani a fülünkhöz, betartva minden biztonsági előírást, hogy elkerüljük a rövidzárlatot).
Ha a levegő zaja helyett egy ciklikus zümmögés, halk sípolások vagy olyan hangok hallatszanak, amelyek távolról telefoncsengésre emlékeztetnek, akkor valószínűleg a tároló nem tudja kezdeni a motor tengelyének forgását. Ennek oka lehet: a BMG ragadása a parkoló zónán kívül, a motor tengelyének megfeszülése, vagy a VCM&SM vezérlő chip meghibásodása.
Ha megfelelő donor tárolóállomás áll rendelkezésre, ellenőrizheti a VCM&SM vezérlő hibás verzióját, ha kész elvégezni a donor tányérra vonatkozó, a "vizuális ellenőrzés" részben leírt szükséges módosításokat.
Ha a BM-t a parkoló rampán kívül rögzítették, az önálló Youtube videók alapján végzett intézkedések többnyire további karcolásokhoz vezetnek a tányérok felületén, vagy a slide-ok leválásához. Még ha viszonylag sikerül is kivezetni a BM-et a parkoló rampára, a slide-ok rögzítési helyén kialakuló polimere burkolat hibái, a slide-okból származó mikrokarcolások és a nem tisztított levegőből származó por együtt valószínűleg nem teszik lehetővé, hogy a szükséges adatmennyiséget elolvassa a többségében a további visszafordíthatatlan degradációs folyamatok kezdetének megkezdése előtt. A hasonló helyzetekben a szakmai cégek adat-helyreállítási folyamataira ebben a cikkben talál információt.
Motor tengely blokkolásakor általában szükséges a lemezkészlet áthelyezése a donor tároló hermetikus blokkjába. Az ilyen tevékenységek otthoni körülmények között, megfelelő felkészülés és a szükséges eszközök hiányában, az esetek 99,9%-ában kudarccal végződnek.
Ha áramellátáskor nem hallható semmilyen hang, és a tároló nem kezdi meg a tengely forgatását, a következő diagnózisok lehetségesek: hibás a vezérlőlap, hibás a kapcsoló-előerősítő, hibás a BM.
Miután a tároló megkezdte a tengely forgatását, kalibrálni kell, el kell végezni a firmware olvasását, és a transzlációs rendszer inicializálásával készen kell állnia. Ha a kalibrálás helyett ciklikus kopogó hangok, súrlódások vagy más erős hangok hallatszanak, azonnal kapcsolja ki a tárolót. Az ilyen jelenségek okai lehetnek: a BM vagy a kapcsoló-előerősítő hibája, a VCM&SM vezérlő chip hibája.
Néhány tároló mikprogramja a vezérlők kapcsolójának lekérdezését a motor tengelyének forgása előtt végzi, és ha bármelyik fejen hibás válasz vagy túlságosan magas ellenállás észlelhető, akkor vészleállítást hajtanak végre a kezdeti inicializálási folyamat során. Sajnos nem minden mikprogram ellenőrzi kellőképpen az eszköz saját állapotát, és engedélyezi a nyilvánvalóan problémás merevlemez indítási kísérleteit. A BMG áthelyezését laminaris boxban, tiszta levegőáram mellett és speciális eszközzel ajánlott végezni. Ezen kívül fontos tudni, hogyan válasszuk ki a donor eszközt, hogy megfelelő kapcsolórevízióval, fej térképpel és hasonló adaptív paraméterekkel rendelkezzen. Csak a gyártó és a modell egybeesése nem garantálja, hogy a tároló megfelelő donor lesz. Még ha sikerül is önállóan kiválasztani egy donort és elvégezni az áthelyezést, valószínűleg nehézkes lesz jelentős mennyiségű adat olvasása a társuló problémák miatt.
A hibás vezérlőlap esetén teendő intézkedések a "Látványos ellenőrzés" szakaszban találhatók.
5. ábra erősen megkarcolt lemezf Surface (több bemetszés).
Fontos megérteni, hogy minden egyes kísérlet a hibás BMG-vel való bekapcsolásra a lemezek felületeinek további károsodásának kockázatát jelenti, ami a adatok teljes helyreállításának lehetetlenségéhez vezethet.
Ha a tároló nem ad ki gyanús hangokat, akkor minden inicializálási eljárás végrehajtása után készen kell állnia. Ettől a pillanattól kezdve a tárolónak képesnek kell lennie az adatok cseréjére az interfészen, és ha a PC alaplapján lévő porthoz csatlakozik, akkor válaszolnia kell a BIOS által küldött azonosítási kérésre. Ha a csatlakozással és a BIOS beállításokkal minden rendben van, de a lemez továbbra is láthatatlan a PC számára, akkor valószínűleg a tároló mikprogramjában van probléma, amely megakadályozza a működésre való készenlétet.
Ha a tároló helytelen adatokat ad meg, például csak a modell nevét és nullás kapacitást, vagy a modell neve nem pontosan olyan, mint kellene, hiányzik a sorozatszám, akkor ez arra utal, hogy az inicializálási eljárások nem sikerültek, és problémák vannak a firmware-ben. Ilyen esetekben a probléma önálló megoldása általában nem lehetséges professzionális szoftverhardware megoldások igénybevétele nélkül.
Külön kivételként említhető a Seagate 7200.11 (Moose család) eset, amelynél néhány probléma megoldható RS232-TTL adapter és egy egyszerű terminál használatával, de itt fontos megérteni, hogy a mikrokód problémájába való belemerülés nélkül nagy a kockázata a helyzet súlyosbodásának.
Határozottan nem ajánlott e módszert más családokra alkalmazni, mivel az a fordító újraszámításához vezet, amely a legtöbb esetben helytelen lesz, és a felhasználói területhez való hozzáférés csak az első eltérésig biztosított. Az adat visszaállítása ebben az esetben jelentősen bonyolultabbá válik.
Ha a tároló által megadott adatlap minden mezője helyes, kivéve a kapacitást, akkor meg kell vizsgálni, hogy ez nem a BIOS hibájának következménye-e, amely néhány alaplapon a HPA vezérlési parancsokkal, a BIOS másolatának megőrzése érdekében, szinte 1 TB-ot vágott le az LBA tartományból ahelyett, hogy egy kis darabot vágott volna le.
6. ábra. 1 TB kapacitású lemezdokumentum a Gigabyte alaplap BIOS-ának helytelen működése után.
A probléma megoldására használható az HDAT2 vagy hasonló ingyenes diagnosztikai szoftver, amellyel visszaállítható a tároló eredeti kapacitása, valamint letiltható a HPA vezérlés lehetősége a DCO-ban, elkerülve a probléma visszatértét.
3. Előkészületek a teszteléshez
A lemezek professzionális komplexumokon kívüli tesztelésénél fontos az operációs rendszer előkészítése. Le kell tiltani a lemeztömbök automatikus csatolását, elkerülve ezzel az operációs rendszer önálló működését.
Windows operációs rendszerben ehhez adminisztrátori jogosultsággal el kell indítani diskpart és végre kell hajtani a parancsot automount disable. Ha a potenciálisan problémás lemezt korábban csatlakoztatták ehhez az operációs rendszerhez, akkor a csatolási paramétereket a regiszterből a következő paranccsal kell eltávolítani: automount scrubEzeknek a beállításoknak a érvénybe lépéséhez javasolt újraindítani a rendszert.
Ezen felül szükséges előkészíteni a diagnosztikai szoftvert. Windows alatt ingyenes PC3000 DiskAnalyzer használható, amely a diagnosztikai funkció mellett szektoros másolat készítésére is lehetőséget ad. Emellett célszerű rendelkezni egy indítható USB flash meghajtóval HDAT2-vel.
Nem kötelező kizárólag ezt a szoftvert használni a diagnosztikához. Bármilyen egyéb alternatíva használható, kivéve néhány nem ingyenes szoftver, amely túlzottan bizalomgerjesztő ígéreteivel hirdeti magát, például „… egyedi program fizikailag sérült merevlemezek helyreállítására. Nem rejti el a hibás szektorokat, valóban helyreállítja őket!”. Az ilyen hangzatos állítások mellett a hasonló szoftverek lehetőségei általában nem haladják meg a szabadon elérhető programokét, és a hibákkal való kezelés ideológiája inkább a meghajtó végleges elpusztítására irányul, mintsem adatok további megszerzésére.
Ha a csatlakoztatott meghajtóval az operációs rendszer betöltési ideje többszörösére nőtt, még az automatikus kötetmódozás kikapcsolásával is, akkor ajánlott abbahagyni bármilyen önálló tevékenységet, hogy elkerülje a probléma súlyosbítását.
Jelentős növekedés az operációs rendszer betöltési idejében egy potenciálisan problémás merevlemez csatlakozása esetén egy jellemző jel, hogy a meghajtó felületén hibás helyek találhatók. Az operációs rendszer betöltésének késlekedései a hibás szektorokra való hivatkozásokból és a firmware offline szkennelési eljárásainak teljesítésére tett próbálkozásokból erednek, amelyeket nem tud végrehajtani.
Az operációs rendszer sikeres betöltése után lépjen be az Eszközkezelőbe, és győződjön meg arról, hogy a tároló szerepel az eszközök listájában. Ha nem található ott, ellenőrizze, hogy telepítve van-e a vezérlőhöz tartozó illesztőprogram, és hogy a vezérlő nincs-e letiltva az eszközök listájában. Ha az illesztőprogrammal és az operációs rendszer beállításaival minden rendben van, és a tároló mégsem jelent meg az operációs rendszerben, vagy megjelent, majd egy idő után eltűnt, akkor ez általában széles spektrumú meghibásodásokra utal. A legvalószínűbb okok a vezérlőlap meghibásodása, a tároló firmware-jének lefagyása, vagy a tároló vészhelyzeti üzemmódba lépése, amely során az nem reagál a legtöbb parancsra.
A diagnózis pontosítása érdekében megpróbálhatja betölteni a DOS-t, és az HDAT2 segítségével megnézni a SMART paramétereket. Ha hibaképződés jelei mutatkoznak (nem nulla értékek az 5-ös és 197-es (C5) attribútumok esetében az anomáliás értékek mezőiben), akkor arra lehet következtetni, hogy otthon a firmware működésének beállítása nélkül nem lehetséges a probléma megoldása. Ha nincsenek hibaképződésre utaló jelek, akkor a fagyások oka a vezérlőlap helytelen működésében keresendő. Ebben az esetben próbálja meg használni a donor tároló vezérlőlapját.
4. Tesztelés
Miután áthaladt a korábbi lépéseken, és nem talált meggyőző okokat a folyamat leállítására, folytathatja a tároló állapotának további értékelését. A legtöbb, ebben a században megjelent tárolóba S.M.A.R.T. technológia került beépítésre, amely nyomon követi a tároló állapotát, és rögzíti a különböző eseményeket a működése során. További részleteket olvashat a technológia HDD-kben való megvalósításáról és a lemezek használata során ellenőrizendő paraméterekről cikkünkből. .
Diagnosztikai szoftver használatával kérni kell a S.M.A.R.T. paramétereket.
7. ábra - a hibátlan merevlemez SMART attribútumai
Fontos értékelni az 5-ös és 197-es (C5) attribútumok mutatóit. Ha a RAW oszlopbeli értékek nullák, vagy a problémás mutatók egyediek, akkor folytatni kell a további tesztelést.
8. ábra - a súlyos hibaképződésű lemez SMART attribútumai
Ha a hibakandidánsok száma három- vagy négyjegyű szám, akkor a legtöbb esetben a felület további tesztelése vagy az adat-helyreállító eszközökkel történő szkennelés súlyosbítja a problémát, egészen addig, hogy lehetetlenné válik az adatok visszanyerése.
Az adatok visszanyeréséhez ilyen esetekben fontos beavatkozni a meghajtók firmware-beállításaiba, és letiltani az offline szkennelési eljárásokat, valamint a S.M.A.R.T. naplózást, hogy megszabadítsuk a meghajtót a háttérfolyamatoktól, amelyek jelentősen csökkenthetik a problémás eszköz élettartamát. Sajnos ez nem lehetséges egyszerű módokon, mély firmware-architektúra-ismeretek és professzionális eszközök nélkül. A következő feladat az, hogy külön-külön értékeljük minden egyes fejet, és lokalizáljuk a fő hibás területeket. A hibás szakaszokban történő többszörös lineáris olvasás ilyenkor ellenjavallt, mivel túl kockázatos.
Még ha a meghajtó első pillantásra helyesen működik is, és a S.M.A.R.T. adatok alapján nem mutat hibajeleket, ez nem garantálja, hogy nincsenek hibák. Ezért szükséges elvégezni a tesztelés utolsó szakaszát, és végrehajtani a felület ellenőrzését.
Fontos folyamatosan figyelni a szkennelési folyamatot. Ha idegen hangok lépnek fel, vagy nagyobb hibaövezetek jelennek meg, azonnal meg kell szakítani a folyamatot, és ki kell kapcsolni a meghajtót, elkerülve ezzel a visszafordíthatatlan következményeket.
9. ábra: A hibátlan lemez szkennelési grafikonja
Ha a lemez szkennelése monoton csökkenő sebességű grafikon eredményét adja, és nem regisztrál hibákat az olvasás során, akkor a meghajtót hibátlannak lehet tekinteni, és át lehet térni a következő szakaszra.
A nagy médiakapacitással rendelkező és a klasszikustól eltérő (általában csempe írású (SMR) lemezek esetén) lemezek grafikonja eltérő formájú lehet. Különféle kiesések lehetségesek.
10. ábra: A problémás fejjel rendelkező lemez szkennelési grafikonja
Ha a lemez ellenőrzése során ciklikus 'lassú' zónák találhatók, az tipikus jele annak, hogy a fej nem teljesen működőképes. Nem érdemes várni, amíg hibák jelentkeznek, azonnal le kell állítani a tesztelést.
Ilyen helyzetben nem érdemes jóra számítani, ha az adatmentést saját magunk próbáljuk megoldani. Nagy valószínűséggel a meghajtó nem éli túl a rendelkezésre álló eszközökkel végzett szektoros másolási kísérletet.
Amikor az S.M.A.R.T. 5 és 197 (C5) attribútumaiban hibákra utaló jelek találhatók, vagy ellenőrzés során pontszerű hibák fordulnak elő, szükséges a háttértár másolatának létrehozása.
5. Szektorváltozat másolat
Ha a teszt eredményeként a meghajtó hibátlanul működik, és nem található probléma, akkor nem szükséges szektoros másolatot készíteni, és az eredeti lemezzel is dolgozhatunk. De a különböző véletlen esetek elkerülése érdekében erősen ajánlott ezt a lépést nem kihagyni, és a jövőben csak a másolattal dolgozni.
Hibátlan merevlemez vagy néhány hibás szektorral rendelkező lemez esetén nincs különösebb különbség abban, hogy melyik eszközt használja, fontos, hogy teljes másolat készüljön. Az is fontos, hogy ne próbálja ki néhány program tömörített képképzési opcióját, mert valószínűleg csak a az ilyen képet készítő szoftver képességeivel tud majd dolgozni.
Windows operációs rendszeren a következő programok használhatók: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio és mások.
Linux operációs rendszeren elegendő a beépített dd parancs lehetősége.
Nem minden szoftver ingyenes, de a próbaverziók/nem teljes verziók lehetőségei elegendőek lehetnek a háttértár másolatának elkészítéséhez.
Példaként használjuk a WinHexet a lemez klónozására.
11. ábra WinHex klónozási opciói a menüben.
Az 'Eszközök' fülön válassza a 'Lemez eszközök' opciót, majd a megnyíló ablakban válassza a 'Lemez klónozása' lehetőséget, vagy egyszerűen nyomja meg a Ctrl+D gombot.
12. ábra a klónozási beállítások konfigurálásához.
Forrásként válassza ki a klónozni kívánt lemezt.
Célként választhat egy azonos vagy nagyobb kapacitású lemezt, és lemezkép fájlba is klónozhat.
Győződjön meg arról, hogy a céllemezen elegendő szabad hely van.
A másolási beállításoknál érdemes aktiválni a 'hibás szektorok kihagyása' opciót.
Ha a meghajtója fizikai szektor mérete 4096 byte, de az operációs rendszerben 512 byte virtuális méretben van megjelenítve, akkor be kell állítani a 8-as értéket, hogy elkerülje a problémás szektor olvasásának felesleges kísérleteit.
A „forrásdefektusok cserélési sablonja” - meg kell adnia egy könnyen kereshető szót vagy kifejezést, amellyel ki fogja tölteni a szektort a nem olvasható szektorok helyén a másolatban. Később könnyebb lesz megtalálni a sérült fájlokat.
A másolat létrehozásakor feltétlenül folyamatosan ellenőrizze a folyamatot. Ha idegen hangot hall, a tárolóberendezés megakad vagy több hibát észlel, mint az első tesztelés során, azonnal hagyja abba a folyamatot, és kapcsolja le a tárolót, hogy elkerülje a visszafordíthatatlan következményeket.
A professzionális adat-helyreállító eszközök, mint például a DataExtractor, jelentősen nagyobb lehetőségeket kínálnak az adatmásolási szkript konfigurálására, valamint a tároló állapotának ellenőrzésére, ami lényegesen növeli a sikeres visszanyerés esélyét, ha a szakember tapasztalt.
13. ábra a professzionális komplexum reakcióbeállításai olvasási problémák esetén
Adatok helyreállítása
6. Adatvisszaállítási módszerek
Ma már rengeteg automatikus adatvisszaállító program létezik, amelyek nem igényelnek a felhasználótól szakmai tudást, és a lehető legkevesebb kattintással ígérik az adatok visszanyerését. Azonban ez a módszer sok esetben nem nyújtja a maximálisan elérhető eredményt, vagy az eredmény a szemétvariációk tömegében elveszik.
A hatékony adatvisszaállító program működéséhez érdemes a keresési területet a lehető legjobban leszűkíteni. Ehhez célszerű megadni a beolvasás területét és a keresett fájlrendszer típusát. Ez a pontosítás eldobhatja a korábbi fájlrendszerek sok lehetőségét, valamint csökkenti a fájlrendszer metaadatainak téves értelmezésének valószínűségét.
14. ábra Példa az R-studio beállításaira a szükséges fájlrendszer metaadatainak kereséséhez
A fájlrendszer metaadatai olyan struktúrák, amelyek leírják a fájlok elhelyezkedését, neveit, attribútumait, a hozzáférési jogokat, naplóikat stb.
15. ábra A metaadatok példája. Az MFT (Master File Table az NTFS-ben) egy részlete.
Nem minden esetben számítanak a helyreállító programok pontosan a kezdeti referencia pontot a megtalált metaadatokhoz viszonyítva, és nem mindig szűrik ki helyesen a különböző fájlrendszerek adatait. Emiatt lehetséges, hogy tévesen számítják ki a fájlok helyét, ráadásul különböző zavaros értelmezések növelik az adatforgalom várt mennyiségét, sok esetben többszörösére a tároló kapacitásának.
A professzionális megoldások tartalmaznak eszközöket különféle fájlrendszerek virtuális kötetének kézi paraméterekkel való létrehozásához, valamint eszközöket a metaadatok keresésére, lehetőséggel a felesleges objektumok manuális kiszűrésére.
Arra az esetre, ha a fájlrendszer szükséges metaadatai már nem léteznek vagy helytelenek, alkalmazni kell a fájltípusokra jellemző reguláris kifejezések keresési módszerét.
Ábra 16 0xFF 0xD8 0xFF a JPG fájlokhoz jellemző reguláris kifejezés
A rendszeres kifejezések alapján kereső automatikus helyreállító programok a legtöbb esetben a következő hátrányokkal rendelkeznek: hiányzik a mappastruktúra és az eredeti fájlnevek, nem elemzik a fájlok struktúráját, és nem ellenőrzik eléggé a megtalált fájl integritását, ami miatt sok haszontalan adatot találhatunk, és sok fájltípus esetében nem számítják ki pontosan a méretet.
Ábra 17 R-Studio beállítások a kívánt fájlok reguláris kifejezéseinek kereséséhez
7. Tipikus esetek és javasolt tevékenységek
Fájlrendszer sérülése
A számítógép alkatrészeinek hibái, az operációs rendszer hibás működése, váratlan áramkimaradás írás közben, valamint a merevlemez meghibásodása miatt megsérülhetnek a fájlrendszer metaadatai. Sokféle sérülés esetén az operációs rendszer nem képes csatolni a sérült fájlrendszerrel rendelkező kötetet.
Ábra 18 a fájlrendszer sérült metaadatai (nem észlelt fájlrendszer RAW)
Ezekben az esetekben a fájlrendszer metaadatainak keresése a meglévő partíció határain belül elég hatékony. Kis mértékű sérülések esetén a kapott eredmény közel 100%-os lehet. Ez a javaslat a különböző fájlrendszerek többsége számára aktuális.
Természetesen vannak olyan esetek, amikor a hibák következtében a jelenlegi fájlrendszer jelentős mennyiségű metaadatot megsérthet. Ilyenkor, ha az első lehetőség nem működött, a reguláris kifejezések elemzési módszerét kell alkalmazni a szükséges fájlok keresésére.
A szakember munkája abban különbözik, hogy felméri a metaadatok sérülésének jellegét, és ha nem tűntek el, hanem torzult formában maradtak meg, lehetséges kézi korrekciók végrehajtása hexadecimális szerkesztőben.
Fájl vagy fájlok csoportjának törlése.
Az adatok téves törlése eléggé gyakori eset. Ennek a cselekedetnek a következményei nagymértékben függenek a fájlrendszertől, valamint a viszonylag új meghajtók esetében a működési mikroprogram elgondolásától.
Ha a fájlokat NTFS fájlrendszerű partíción törölték, akkor az optimális keresési módszer a gyors elemzés különböző segédprogramjaiban, amely gyorsan beolvassa a kulcsfontosságú struktúrákat (MFT, Index, Logfile) anélkül, hogy a partíciót teljesen beolvasná. Ha a szükséges fájlbejegyzések és a fájlok által elfoglalt hely nem lett felülírva más adatokká, akkor viszonylag gyorsan hozzá lehet jutni az érdekes fájlokhoz.
19. ábra az $MFT beolvasása után lila színnel kiemeli a töröltnek nyilvánított bejegyzéseket.
Ha a gyors beolvasás során a szükséges adatok nem találhatók meg vagy sérültek, akkor teljes körű beolvasást végezhetünk a partíción, de valószínűleg a végeredmény nem változik jelentősen, és a reguláris kifejezések keresésén kívül nem marad más lehetőség.
A szakember arzenáljában elérhető a szabad területek térképezésére szolgáló eszköz és további elemzés kizárólag ezeken a területeken, ami eltávolítja a visszaállítás eredményéből a meglévő adatokat. Ez jelentősen megkönnyíti a felhasználó számára a szükséges fájlok keresését a sok névtelen adat között.
Ha a fájlok törölve lettek a FAT16, FAT32 fájlrendszerrel rendelkező partíción, akkor meg lehet próbálni a metaadatai elemzését, hogy egy részét az eredeti nevének vissza lehessen nyerni. SFN esetén a fájl nevének első karaktere hiányzik, ha a fájl hosszú névvel rendelkezett, akkor a teljes neve az LFN bejegyzésben található. Törölt töredezett fájlok esetén az automatikus helyreállító programokkal végzett adatvisszaállítás nem lesz sikeres, mivel a FAT táblában a fájlhoz tartozó klaszterlánc bejegyzése törlődik a törlés során. A FAT32 esetén néhány helyzetben a fájl helyének láncának törlése mellett mindkét másolatban törlődik az SFN első karaktere és az első klaszter számának legfelső két bájtja, amelyet a fájl foglal el. A legtöbb automatikus helyreállító eszköz, amely a metaadatokat elemzi, nem határozza meg a fájl helyes pozícióját.
A töredezett fájlok helyreállítása általában meglehetősen bonyolult feladat, amely nagyon gyengén van automatizálva. Az automatizálási módszerek konkrét struktúratípusokra fejleszthetők. A feladat általában alacsony teljesítményű kézi elemzésre korlátozódik a szükséges töredékek keresése szempontjából. Az ilyen munkák példáját egy cikkben lehet értékelni
Ha a metaadatok elemzési módszerei nem vezettek a szükséges adatok megtalálásához, vagy a szükséges fájlok nem nyithatók meg, akkor a reguláris kifejezések keresésének módszere marad. Elképzelhető, hogy egyes fájlokat sikerül felfedezni.
Ha a fájlok törölve lettek az HFS+, Ext2, Ext3, Ext4 fájlrendszerrel rendelkező partíción, sajnos a metaadatok elemzése értelmetlen. A reguláris kifejezések keresésén kívül más lehetőség nem marad.
Adatpartíció törlése
Ha a lemezkezelő eszközből egy vagy több partíciót tévedésből töröltek, akkor a felhasználónak, aki adatokat szeretne helyreállítani, ajánlott az automatikus helyreállító eszközök teljes vizsgálatának elindítása az egész eszközön. Célszerű figyelembe venni a meglévő partíciók helyzetét is, hogy kizárhatóak legyenek a nyilvánvalóan téves ajánlatok az előkerült adatok között.
20. ábra: törölt partíció
A szakemberek az ilyen munkát viszonylag gyorsan végzik, keresve a betöltési szektorokat, szuperblokkokat a várt helyeken. A megtalált információk alapján pontosan kiszámítják a szakaszok kezdetének helyét és hosszúságát.
Próbálkozhat DMDE vagy hasonló eszközök használatával is, amelyek viszonylag gyorsan képesek észlelni a szakasz kezdetének jeleit, és megkísérelhetik megjeleníteni a megtalált szakasz fájlrendszerét.
21. ábra: A gyors szakaszkeresés eredménye DMDE segítségével
A szakasz adatokkal formázva van.
Ilyen esetekben a javasolt cselekvési forgatókönyv nagymértékben függ a fájlrendszer típusától, amely a szakasz formázása előtt volt, és attól, hogy milyen fájlrendszert használtak a formázás után.
Például, ha egy 8 kB clusterű FAT32 szakasz 64 kB clusterű FAT32-re lett formázva, akkor az új FAT táblák mérete 8-szor kisebb lett, és ennek következtében mindkét új FAT táblakópia csak az első régi FAT tábla példányt károsította. Ilyen helyzetben a metaadatok keresése 100%-hoz közeli eredményt adhat. Ha viszont a szakaszt FAT32-re formázták, amelynek cluster mérete kisebb vagy egyenlő volt a formázás előttivel, akkor az új, tiszta táblák teljesen felülírják a régi táblákat, és részben érinthetik a felhasználói adatok területét. Ebben az esetben a metaadatok keresése jelentősen rosszabb eredményt hoz.
Ha a formázás előtt a szakaszon FAT32 fájlrendszer volt használatban, és a szakaszt NTFS-re formázták, akkor az új struktúrák ($MFT, $Bitmap, $Logfile) általában nem a szakasz elején helyezkednek el, és nagy a valószínűsége, hogy a metaadatkeresés révén a legtöbb adat normális mappa struktúrával és minimális adatkárosodással visszanyerhető.
A helyreállítási arány is magas lesz, ha a NTFS fájlrendszerű szakaszt FAT32-re formázták. Ilyen esetben a FAT táblák a szakasz elején károsítják az adatokat, és általában nem érintik a kulcsfontosságú NTFS struktúrákat. A nem kielégítő eredmény kis adatmennyiség esetén várható, amelynek mérete összehasonlítható a két FAT tábla méretével.
Ha a felhasználó nem kíván belemerülni a különböző fájlrendszerek metainformációinak elhelyezkedésébe, akkor logikus lépés, hogy elindítja az adatok automatikus helyreállító eszközét a metainformációk keresési módjában. Ha pedig az elérhető adatok mennyisége elégtelen, alkalmazni kell a reguláris kifejezések keresésének módszerét.
A partíció formázva lett, és részben más adatokkal felülírták.
Ahogy gyakran előfordul, a felhasználó formázza a partíciót, és elkezdi más adatokat feltölteni, majd csak később eszmél, hogy a régi partíción fontos információ volt. Ilyen esetekben nem adható egyértelmű ajánlás. Minden nagyon függ attól, hogy mennyi (mennyiségileg és méretileg) új adatot írtak felül, valamint, hogy ezek az adatok hol helyezkedtek el. A körülményektől függően az eredmény 0-tól 100%-ig terjedhet. Ez távolról kiszolgáltatott.
Sok esetben, amikor nagy a mértékű átfedés az adatok területén, érdemes a reguláris kifejezések keresésének módszerével kezdeni a szükséges fájltípusokra, hogy megértsük, vannak-e még jelei a szükséges adatok meglétének, és ha azokat észleljük, akkor végezzük el a fájlrendszer metainformációinak keresését.
Adat-helyreállító laboratóriumi körülmények között a szakember térképet készít a szabad területről, és csak ezeken a részeken végez reguláris kifejezések keresését, hogy kizárja a már meglévő adatok megtalálását a keresési eredményekből. Az integritás-ellenőrző eszközök segítségével jelentősen csökkenti a téves azonosítások számát. Bizonyos feladatoknál, mint például JPG fájlok helyreállítása (például egy családi fényképalbum) képes időrendbe rendezni az eredményeket az Exif címkékben található információk alapján, ami lehetővé teszi a kronológiai sorrendbe rendezett eredmény elérését, valamint a fényképezőgépek modellek szerinti csoportosítását.
22. ábra: JPG fájlok rendezésének eredménye, melyeket reguláris kifejezések keresésével találtak.
Váratlan leállás az átméretezéssel, áthelyezéssel vagy partíciók egyesítésével kapcsolatos eljárások során.
Vészhelyzetben, amikor a lemezkezelők méretváltoztatási, áthelyezési vagy több partíció egyesítési eljárása megakad, fontos megérteni, milyen lépéseket hajtottak végre és melyik fázisban állt le a művelet, hogy a lehető legjobb eredményt érhessük el.
Figyelembe véve az összetettséget és a lehetséges variációk számát, csak egy univerzális megoldást fogunk megvizsgálni, amely minimális műveleteket igényel a felhasználótól. Az elemzéshez érdemes az egész meghajtót kiválasztani, hogy biztosítsuk az adatok minden helyének lefedését. Használjuk a metaadatok keresési módszerét, és másoljuk le az összes elérhető adatváltozatot a megtalált fájlrendszerek alapján. Nagy az esély arra, hogy minden változatban eltérő, de helyes fájlkészletek találhatók. A megadott fájltípusokkal kapcsolatos reguláris kifejezések keresése szintén fontos, mivel ilyen esetekben adatok elvesztése esetén a fájlnevekkel és elhelyezésekkel kapcsolatos információk részleges elvesztése is lehetséges.
8. A helyreállított adatok integritásának ellenőrzése
Fontos megérteni, hogy a fájlnevek megjelenítése az adathelyreállító programban vagy a talált reguláris kifejezések száma nem garantálja, hogy minden megtalált adat felhasználható lesz. Ezért nem kevésbé fontos lépés az adatok helyreállítása után az automatikus helyreállító program által, az adatok integritásának ellenőrzése.
Sajnos nincs általános ingyenes eszköz a különböző fájlok integritásának ellenőrzésére. De külön-külön találhatunk olyan ingyenes szoftvereket, amelyek különböző fájltípusokat figyelhetnek. Például sok tömörítő program lehetővé teszi az archívumok épségének ellenőrzését, az MP3Diag segíthet az mp3 fájlok épségének ellenőrzésében, az ImageMagick pedig a jpg fájlok tesztelésére használható.
A sok ingyenes fájl-ellenőrző eszköz legfőbb hátránya az, hogy nem garantálják a fájlok teljeskörű ellenőrzését, és tömeges hibák léphetnek fel.
Sok fájltípus esetében a felhasználónak más lehetősége nincs, mint vizuálisan értékelni az adatok épségét azáltal, hogy egyesével megnyitja a fájlokat a megfelelő alkalmazásokban.
A professzionális komplexumokban található egy eszközkészlet, amely részben lehetővé teszi a fájlok hibátlanságának ellenőrzését, ezáltal a helyreállítási folyamat során elkerülhető a rengeteg hulladékfájl megjelenése.
A hulladékfájlok kiszűrése mellett fontos az hibás fájlok azonosítása is. Ha szektoronkénti másolatot készített a nem olvasható szektorok kitöltésével, akkor a hibás fájlok megtalálása egyszerűen megoldható a fájlokban a "BAD!BAD!BAD!BAD!" szövegsor keresésével (példánkban a "BAD!" kitöltőt használtuk). Miután megtalálta, ellenőriznie kell a sérülés mértékét, mivel egyes fájlformátumok nem szenvednek komolyabb károkat egy kis adatdarab elvesztése miatt, míg mások teljesen használhatatlanná válhatnak.
9. Gyakori felhasználói hibák.
A népszerű diagnosztikai eszközökkel végzett "javítási" kísérletek a hibák helyrehozására, abban a reményben, hogy visszanyerjék az adatokat, a legtöbb felhasználó egyik legnagyobb hibáját jelentik. A meghibásodott polimerréteggel rendelkező tárolóhibák elrejtésére tett kísérletek jellemzően a tányérok megcsiszolásával zárulnak, és nem az adatokhoz való hozzáféréssel. Ezért nagyon nem ajánlott bármiféle szervizelési műveletet végezni a lemezen az adatok megismerése előtt, ismeretlen felületi hibák esetén. Az információ sikeres helyreállítása után megkísérelheti a tároló szervizelését, és ha szerencséje van, lehet, hogy a tároló még alkalmas lehet a további, nem túl kritikus feladatokra.
Gyakran a fájlrendszer metaadatain is találhatók hibák. Ilyen esetekben az operációs rendszer hosszú időre leáll, amikor megpróbálja csatolni a sérült kötetet. A problémás tároló csatlakoztatásakor az operációs rendszer betöltési ideje akár több tíz percre is meghosszabbodhat. Az egyik legrosszabb ötlet ennek a problémának a megoldására a problémás partíció formázása. Az újonnan létrehozott metaadatok helyesen írhatók, és a hosszú betöltési problémát megoldják, de az adatvisszaállítás feladata bonyolultabbá válik, és a helyreállítás minősége jelentősen romolhat.
Az adatok másolása arra a meghajtóra, ahonnan a fájlok helyreállítását próbálják elvégezni. Ebben az esetben általában az történik, hogy az adatok helyett a felhasználó szemét kap, és a következő helyreállítási kísérlet már sokkal rosszabb eredményt ad. Ha a cikkben található utasítások szerint jár el, akkor e hibától megvédheti magát.
Nem végzik el a helyreállított adatok integritásának ellenőrzését, és az eredeti tároló tartalma együtt tűnik el a másolatával. Ilyen esetben fennáll a kockázata, hogy a helyreállítási kísérlet hamis eredményekkel megtöltött mappák halmazával zárul, amelyből nem lehet minőségi eredményt kapni.
Helytelen eszköz- és módszerválasztás a helyreállításhoz, ennek következtében az eredmény jelentősen rosszabb, mint ami lenni tudna.
Remélem, hogy ez az intézkedéscsomag segít Önnek eldönteni, hogy a meghajtójával kapcsolatos helyzet lehetővé teszi-e a helyreállítási kísérletek elvégzését, és hogy készen áll-e a cikkben felsorolt viszonylag egyszerű tevékenységek elvégzésére.
Forrás: habr.com
