In questo articolo vengono descritti i metodi per la diagnosi autonoma di varie malfunzionamenti dei dischi rigidi in base ai sintomi che manifestano, oltre ai modi per clonare i dischi rigidi con problemi minori in modo relativamente sicuro.
Vengono esaminati diversi casi di perdita di dati e un insieme di azioni ottimali che, senza una profonda conoscenza delle strutture dei file, possono aiutarti a recuperare le tue informazioni senza assistenza esterna tramite programmi di recupero automatico.
Ma prima di intraprendere qualsiasi azione autonoma, è necessario esaminare attentamente tutti i materiali dell'articolo, e solo dopo analizzare lo stato del tuo disco rigido in modo che i tuoi tentativi non siano gli ultimi nella vita del dispositivo, e che tu non ti privi delle ultime speranze di recuperare i dati di cui hai bisogno.
CONTENUTO
Parte prima: Diagnosi
Parte seconda: Recupero dei dati.
Accettando di seguire le istruzioni successive, riconosci che nessuno tranne te stesso è responsabile per il possibile guasto del dispositivo e la perdita irreversibile di dati. L'insieme di misure è volto a ridurre la probabilità di risultati sfavorevoli, ma non garantisce al 100% contro di essi.
Diagnosi
1. Ispezione visiva
Esamina il dispositivo per verificare la presenza di deformazioni, elementi assenti o bruciati sulla scheda del controller, controlla l'integrità delle connessioni. Se vengono trovati danni gravi o elementi bruciati, è fortemente sconsigliato tentare di alimentare tale dispositivo, per evitare di aggravare il problema.
Utilizzando cacciaviti (di solito Torx — T5, T6, T9), svita le viti che fissano la scheda del controller e controlla lo stato dei contatti sulla scheda del controller.
Nella Fig. 2 sono presenti filmature di ossido sui contatti
Se ci sono ossidi, si può provare a rimuoverli dalle piazzole di contatto con una normale gomma. Si può lavorare con la gomma solo su superfici piatte, come illustrato nell'immagine. In altri casi, un'azione del genere non è applicabile.
Fig. 3 piazzole di contatto pulite.
Se si riscontrano danni alla scheda, non è consigliabile tentare di sostituire la scheda di controllo con quella di un dispositivo simile nei moderni dischi rigidi, poiché in questi dispositivi in ROM sulla scheda possono trovarsi vari parametri adattivi, che vengono formati durante il ciclo produttivo e sono unici per ogni dispositivo. In casi relativamente rari, parametri estranei possono danneggiare il disco rigido.
Se si dispone di una stazione di saldatura, è necessario eseguire il trasferimento di MCU, EEPROM, NV-RAM, NAND (a seconda di ciò che è presente a bordo della scheda di controllo e di cosa è necessario trasferire) e, dopo tale adattamento, utilizzare il controller donatore. È importante notare che per l'adattamento di molti controller è sufficiente trasferire solo il chip EEPROM.
Quando si seleziona la scheda, si deve innanzitutto guardare il numero PCB inciso. Successivamente, si deve valutare la corrispondenza delle marcature di MCU e VCM&SM del controller. Se le marcature di MCU e VCM&SM del controller sulla scheda originale e sulla scheda donatrice differiscono, è molto probabile che la scheda donatrice non sia adatta. All'interno di una stessa famiglia possono esistere diverse versioni di schede e, in alcuni casi, potrebbero essere compatibili a determinate condizioni, ma non è consigliabile cercare di capirlo a casa.
Tentare di sostituire una scheda di controllo non corretta (con un numero diverso sul PCB) può portare a bruciare lo switch preamplificatore.
Controlla i circuiti da 5V e 12V per eventuali cortocircuiti, se disponibile un multimetro. Controlla anche la resistenza delle bobine del motore. Se hai a disposizione un'unità di memoria uguale e garantita (con lo stesso produttore, serie di modelli, revisione della scheda di controllo), puoi verificare se lo stesso numero di pin nel connettore del commutatore si collegherà a "terra", nonché confrontare le resistenze. In caso di differenze significative, si può dedurre che il commutatore-preamp è difettoso e interrompere ulteriori tentativi di recupero dati.
2. Avvio di prova
Assicurati che il tuo sistema di test funzioni correttamente, per evitare diagnosi errate. Se non si riscontrano cause esterne che impediscono il tentativo di avvio, collegare il cavo dell'interfaccia e il cavo di alimentazione alle porte corrispondenti e accendere l'alimentatore.
Se sei certo che l'unità di memoria sia stata colpita o caduta mentre era in funzione, o che prima di arrivare a te ha iniziato a emettere rumori di percussione, evita di tentare di accenderla.
In questi casi, è necessario aprire l'hard disk in un ambiente a flusso laminare (o in una camera pulita) e sottoporlo a un'attenta ispezione utilizzando un microscopio.
Fig. 4 connessione dei cavi agli hard disk.
Dopo l'accensione, l'unità dovrebbe iniziare a far girare l'albero. In alcuni casi, potrebbe non accadere anche con unità completamente funzionanti, se per qualche motivo sono state impostate delle richieste di comando per la salita della ventola.
Durante la rotazione dell'albero si genera un leggero rumore dovuto al flusso d'aria. In alcune unità il rumore è appena udibile, quindi puoi usare uno stetoscopio (o tenere l'unità vicino all'orecchio rispettando tutte le norme di sicurezza per evitare cortocircuiti).
Se invece del rumore dell'aria si sentono una serie di vibrazioni cicliche, fischi silenziosi o suoni simili a toni di telefono, è probabile che l'unità non riesca ad avviare la rotazione dell'albero motore. Le cause possono essere: bloccaggio del BMG al di fuori della rampa di parcheggio (zone), bloccaggio dell'albero del motore, malfunzionamento del chip VCM&SM del controller.
Se c'è un'unità di memorizzazione donatrice appropriata, è possibile verificare la versione con il malfunzionamento del controller VCM&SM, se si è disposti a eseguire le necessarie modifiche alla scheda donatrice, come descritto nella sezione "ispezione visiva".
Nei casi di bloccaggio della BMG al di fuori della rampa di parcheggio, le azioni autonome motivate dai video su youtube portano solitamente alla formazione di graffi aggiuntivi sulle superfici delle piastre o al distacco dei cursori. Anche se riuscite a portare relativamente bene la BMG sulla rampa di parcheggio, i difetti del rivestimento polimerico che si formano nel punto di bloccaggio dei cursori, i micrograffi dai cursori ottenuti durante il posizionamento della BMG, insieme alle procedure di scansione offline e alla polvere dall'aria non filtrata, difficilmente vi permetteranno di leggere una quantità significativa di dati nella stragrande maggioranza dei casi prima dell'inizio dello sviluppo di ulteriori processi degenerativi irreversibili. Come avviene il processo di recupero dei dati in tali casi in un'azienda specializzata si può leggere in questo articolo.
In caso di bloccaggio dell'albero del motore, di solito è necessario trasferire il pacchetto di dischi nel guscio ermetico dell'unità donatrice. Tale operazione in casa, senza la necessaria preparazione e senza gli strumenti adeguati, risulta nel 99,9% dei casi destinata al fallimento.
Se non si sente alcun suono quando si applica alimentazione e l'unità non inizia a far girare l'albero, le seguenti diagnosi sono possibili: la scheda del controller è difettosa, il commutatore preamplificatore è difettoso, la BMG è difettosa.
Dopo che l'unità ha iniziato a far girare l'albero, deve eseguire la calibrazione, leggere il firmware e, dopo aver inizializzato il sistema di traduzione, andare in prontezza. Se al posto della calibrazione si sentono suoni ciclici di battitura, stridore o altri suoni acuti, scollegate immediatamente l'unità. La causa di tali fenomeni può essere: malfunzionamento della BMG o del commutatore preamplificatore, guasto del chip del controller VCM&SM.
I microprogrammi di alcuni dispositivi di memorizzazione eseguono il sondaggio dello switch preamplificatore prima di avviare il motore, e in caso di risposte errate o resistenza eccessiva su una delle teste effettuano un arresto di emergenza del processo di inizializzazione. Sfortunatamente, non tutti i microprogrammi controllano sufficientemente la funzionalità del dispositivo stesso e consentono tentativi di avvio di dischi rigidi chiaramente problematici. Si raccomanda di eseguire il trapianto della BMG in condizioni di cassa laminarie con flusso d'aria pulito e attrezzi specializzati. Inoltre, è necessario sapere come scegliere il donatore, in modo da selezionarlo con la revisione adeguata dello switch preamplificatore, della mappa delle teste e dei parametri adattivi simili. La semplice corrispondenza tra produttore e modello non garantisce affatto che il dispositivo sia un donatore adatto. Anche se si riesce a trovare un donatore e a eseguire la procedura di trapianto, sarà difficile leggere un volume significativo di dati a causa di problemi correlati.
Le azioni che è possibile intraprendere in caso di scheda controller difettosa sono indicate nella sezione "Ispezione visiva".
Fig. 5 superficie della piastra fortemente graffiata (numerose incisioni).
È importante comprendere che con ogni tentativo di accensione del dispositivo con BMG difettosa ci sono rischi di ulteriore danneggiamento delle superfici delle piastre, il che potrebbe portare a un'impossibilità totale di recuperare i dati.
Se il dispositivo non emette alcun suono sospetto, dopo aver eseguito tutte le procedure di inizializzazione dovrebbe essere pronto. A partire da questo momento, il dispositivo dovrebbe essere pronto per lo scambio di dati tramite interfaccia, e in caso di collegamento alla porta della scheda madre del PC dovrebbe rispondere alla richiesta del passaporto da parte del BIOS. Se tutto è in ordine con le connessioni e le impostazioni del BIOS, ma il disco rimane invisibile per il PC, probabilmente ci sono problemi nel microprogramma del dispositivo che non gli permettono di essere pronto.
Se l'unità restituisce dati del passaporto non corretti, ad esempio solo il nome del modello e una capacità nulla, oppure il nome del modello non è esattamente quello corretto, manca il numero di serie, ciò indica che le procedure di inizializzazione non sono state completate con successo e ci sono problemi nel firmware. In questi casi, risolvere il problema autonomamente senza l'uso di complessi software e hardware professionali è generalmente impossibile.
Un'eccezione separata può essere considerata il caso del Seagate 7200.11 (familiare Moose), per il quale alcuni problemi possono essere risolti utilizzando un adattatore RS232-TTL e un normale terminale, ma qui è importante capire che senza entrare nel problema del microcodice ci sono rischi di aggravare notevolmente la situazione.
Si sconsiglia vivamente di applicare questa metodologia ad altre famiglie, in quanto comporterebbe un ricalcolo del traduttore, che nella stragrande maggioranza dei casi sarebbe errato e l'accesso all'area utente si fermerebbe al primo punto di divergenza. In questo caso, il recupero dei dati si complicherebbe notevolmente.
Se nel passaporto restituito dall'unità tutti i campi sono corretti tranne la capacità, è necessario verificare se ciò sia dovuto a un errore del BIOS di alcune schede madri, che, utilizzando i comandi di gestione HPA, invece di tagliare un piccolo pezzo del range LBA per mantenere una copia del BIOS, ne tagliano quasi 1TB.
Fig. 6 capacità nominale del disco 1TB dopo un funzionamento non corretto del BIOS della scheda madre Gigabyte
Per risolvere questo problema è possibile utilizzare HDAT2 o software diagnostico gratuito simile, con il quale è possibile ripristinare la capacità nominale originale dell'unità e disattivare la gestione HPA nel DCO per evitare la ricorrenza del problema.
3. Preparazione al test
Durante il test dei dischi al di fuori dei complessi professionali, è importante preparare in anticipo il sistema operativo. È necessario vietare il montaggio automatico delle partizioni del disco per evitare azioni indesiderate del sistema operativo.
In Windows, per farlo è necessario avviare con diritti di amministratore diskpart ed eseguire il comando automount disable. Se il disco problematico in potenza è stato precedentemente collegato a questo sistema operativo, è necessario rimuovere i parametri di montaggio dal registro utilizzando il comando automount scrub. Per rendere effettive queste impostazioni è consigliato riavviare.
È inoltre necessario preparare il software diagnostico. Su Windows è possibile utilizzare il gratuito PC3000 DiskAnalyzer, che oltre alla funzionalità diagnostica offre la possibilità di creare una copia settoriale. È anche auspicabile avere a disposizione una chiavetta USB avviabile con HDAT2.
Non è obbligatorio utilizzare solo questo software per la diagnostica. Si possono impiegare altre alternative, ad eccezione di alcuni software a pagamento per utenti troppo fiduciosi, la cui pubblicità potrebbe presentare slogan come «… programma unico per la rigenerazione di hard disk danneggiati fisicamente. Non nasconde i settori danneggiati, li ripristina veramente!». A fronte di affermazioni così accattivanti, in realtà tale software ha capacità piuttosto modeste, che non superano quelle del software gratuito, e l'ideologia di lavoro sui difetti è più orientata a danneggiare definitivamente l'unità piuttosto che ad aiutare nel recupero dei dati.
Se, con il disco connesso, il tempo di avvio del sistema operativo è aumentato di diversi fattori anche con il montaggio automatico delle partizioni disattivato, si raccomanda di interrompere qualsiasi iniziativa autonoma, per evitare di aggravare il problema.
Un aumento significativo del tempo di avvio del sistema operativo quando viene collegato un disco rigido potenzialmente difettoso è un segnale caratteristico che sul disco ci sono difetti di superficie. I ritardi nell'avvio del sistema operativo si verificano a causa delle richieste ai settori difettosi e dei tentativi del firmware di eseguire procedure di scansione offline, che non è in grado di gestire.
Dopo aver caricato con successo il sistema operativo, accedi al gestore dispositivi e assicurati che il tuo disco rigido sia presente nell'elenco dei dispositivi. Se non è presente, verifica se il driver per il controller a cui è collegato è installato e se il controller stesso è disattivato nell'elenco dei dispositivi. Se tutto è a posto con il driver e le impostazioni del sistema operativo, ma il disco rigido non appare o scompare dopo un certo periodo, di solito ciò indica una vasta gamma di guasti. I più probabili sono guasti al circuito del controller, il blocco del firmware del disco o il passaggio del disco in modalità di emergenza, in cui smette di rispondere normalmente alla maggior parte dei comandi.
Per una diagnosi più precisa, puoi provare a caricare DOS e usare HDAT2 per controllare i parametri SMART. Se emergono segni di deformità (valori diversi da zero per i parametri 5 e 197(C5) nei campi dei valori non normalizzati), allora si può concludere che senza interventi sulle impostazioni di funzionamento del firmware non è possibile fare nulla in condizioni domestiche. Se non ci sono segni di deformità, la causa dei blocchi potrebbe trovarsi nel malfunzionamento della scheda del controller. In tal caso, puoi provare a utilizzare una scheda del controller da un disco rigido donatore.
4. Testing
Dopo aver completato i passaggi precedenti e non aver notato motivi validi per fermare il processo, puoi procedere a una valutazione più approfondita dello stato del disco. La maggior parte dei dischi rigidi prodotti in questo secolo è dotata della tecnologia S.M.A.R.T., che monitora lo stato del disco e registra vari eventi durante il suo funzionamento. Puoi leggere ulteriormente sulla realizzazione di questa tecnologia negli HDD e quali parametri sarebbe meglio monitorare durante l'uso dei dischi nel nostro articolo .
Utilizzando il software diagnostico, è necessario richiedere i parametri S.M.A.R.T.
Fig. 7 attributi SMART di un disco rigido funzionante
È importante valutare i valori degli attributi 5 e 197(C5). Se i valori nella colonna RAW sono zero o i parametri di problema sono sporadici, allora è necessario procedere a test più dettagliati.
Fig. 8 attributi SMART di un disco con gravi deformità
Se il numero di candidati ai difetti è un numero di tre o quattro cifre, nella maggior parte dei casi ulteriori tentativi di testare la superficie o di scansionare con strumenti di recupero dati automatico aggraveranno il problema fino a rendere impossibile il recupero dei dati.
Per ottenere dati in questi casi è importante intervenire nelle impostazioni del firmware degli drive e disattivare le procedure di scansione offline e il logging S.M.A.R.T., per liberare l'unità da processi in background che possono ridurre notevolmente la vita dell'apparecchiatura problematica. Purtroppo, non è possibile farlo in modo semplice senza una profonda conoscenza dell'architettura dei firmware delle unità e senza complessi professionali. Il compito successivo è valutare lo stato di ciascuna testina separatamente e localizzare le zone difettose principali. La lettura lineare con ripetizioni multiple nelle aree difettose è controindicata in questi casi, poiché è troppo rischiosa.
Anche se l'unità sembra funzionare correttamente a prima vista e non presenta segni di difetti secondo le indicazioni S.M.A.R.T., ciò non garantisce che non ce ne siano. Pertanto, è necessario effettuare una fase finale di test e completare la verifica della superficie.
È importante monitorare continuamente il processo di scansione. Se si sentono rumori strani o si rilevano grandi aree con errori di lettura, interrompere immediatamente il processo e scollegare l'unità per evitare conseguenze irreversibili.
Fig. 9 grafico di scansione di un disco funzionante
Se il risultato della scansione del disco mostra un grafico monotonicamente decrescente nella velocità e non si registrano errori di lettura, l'unità può essere considerata funzionante e si può passare alla sezione successiva.
Nei dischi con un grande media cache e una traduzione che differisce da quella classica (di solito nei dischi con scrittura a tegola (SMR)), il grafico può avere una forma diversa. Possono esserci vari tipi di anomalie.
Fig. 10 grafico di scansione di un disco con una testina problematica
Se durante la verifica del disco si rilevano aree "lente" cicliche, questo è un segnale caratteristico di una testina non completamente funzionante. Non aspettare che vengano rilevati difetti e interrompere immediatamente il test.
In una situazione del genere non ci si può aspettare nulla di buono da tentativi autonomi di recupero dati. È molto probabile che il supporto non sopravviva a un tentativo di creazione di una copia settoriale con strumenti a disposizione dell'utente.
Nei casi in cui negli attributi S.M.A.R.T. 5 e 197 (C5) siano stati rilevati segni di formazione di difetti, o durante il processo di verifica siano stati riscontrati difetti puntuali, è necessario creare una copia del disco.
5. Copia settoriale
Se dai risultati dei test il supporto risulta funzionante e non vengono riscontrati problemi, allora non è necessario creare una copia settoriale e si può lavorare con il disco originale. Tuttavia, per evitare vari imprevisti, si raccomanda vivamente di non saltare questo passaggio e di lavorare solo con la copia.
Con un disco rigido funzionante o un disco con pochi difetti non c'è particolare differenza riguardo quale strumento utilizzare, è importante che crei una copia completa. È anche importante non cercare di utilizzare opzioni di alcuni programmi per la creazione di un'immagine compressa, poiché poi è probabile che si possa lavorare solo nell'ambito delle possibilità del software che ha creato tale immagine.
Nel sistema operativo Windows è possibile utilizzare i seguenti programmi: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio e altri.
Nel sistema operativo Linux sono sufficienti le funzionalità del comando dd.
Non tutti i software sono gratuiti, ma in gran parte le capacità delle versioni trial/demo saranno sufficienti per creare una copia del supporto.
Come esempio utilizziamo WinHex per il clonaggio del disco.
Fig. 11 opzioni nel menu WinHex per il clonaggio del disco.
Nella scheda "Strumenti" selezioniamo l'opzione "Strumenti disco", nel menu a discesa scegliamo "Clona disco" o premiamo semplicemente Ctrl+D.
Fig. 12 impostazioni dei parametri di clonazione.
Come sorgente scegliamo il disco da clonare.
Il destinatario può essere un disco di volume analogo o maggiore, oppure è possibile clonare in un'immagine file.
Assicurati che sul disco di ricezione ci sia abbastanza spazio libero.
Nelle impostazioni di copia è consigliabile attivare l'opzione "salta settori difettosi".
Se il tuo supporto ha un settore con una dimensione fisica del settore di 4096 byte, ma nel sistema operativo è tradotto con una dimensione virtuale di 512 byte, è necessario impostare il valore su 8 per evitare tentativi di lettura ridondanti del settore problematico.
"Modello per la sostituzione dei difetti della sorgente" — specificare una parola o una frase comoda per la ricerca, con cui sarà riempito il settore nella copia al posto dei settori illeggibili provenienti dalla sorgente. In seguito sarà facile individuare i file danneggiati.
Durante la creazione di una copia, è obbligatorio monitorare il processo ininterrottamente. Alla comparsa di rumori estranei, bloccaggi del dispositivo di memorizzazione o alla rilevazione di un numero maggiore rispetto a quello riscontrato durante il primo test, interrompere immediatamente il processo e scollegare il dispositivo per evitare conseguenze irreversibili.
Negli strumenti professionali di recupero dati, come DataExtractor, ci sono possibilità di configurazione del processo di copia dei dati significativamente maggiori, e inoltre è presente un controllo dello stato del dispositivo, il che aumenta notevolmente le probabilità di un recupero riuscito in presenza di un esperto competente.
Fig. 13 impostazioni di reazione del complesso professionale in caso di problemi di lettura
Ripristino dei dati
6. Metodi di recupero
Oggi esistono molteplici programmi di recupero dati automatico che non richiedono alcuna competenza specifica da parte dell'utente e consentono di ottenere i dati quasi con un clic del mouse. Ma tale approccio, in molti casi, non fornirà il risultato massimo possibile o questo risultato sarà perso in una massa di opzioni spazzatura.
Per un funzionamento efficace del programma di recupero dati, è meglio restringere al massimo l'area di ricerca. Per fare ciò, è consigliabile specificare l'area di scansione e il tipo di filesystem ricercato. Questa precisazione può escludere molte opzioni di filesystem precedenti, oltre a ridurre la probabilità di un'errata interpretazione dei metadati del filesystem individuati.
Fig. 14 Esempio di configurazione di R-studio per la ricerca dei metadati del filesystem necessario
I metadati del filesystem sono strutture che descrivono la posizione dei file, i loro nomi, attributi, diritti di accesso, registrazioni, ecc.
Fig. 15 Esempio di metadati. Frammento di registrazione MFT (Master File Table in NTFS)
Non in tutti i casi i programmi di recupero automatico calcolano con precisione il punto di partenza relativo ai metadati trovati e non sempre filtrano correttamente i dati provenienti da diversi file system, il che può portare a un calcolo errato della posizione per tutti i file. Inoltre, varie interpretazioni errate aumentano il volume di dati previsto, talvolta molte volte superiore alla capacità stessa del dispositivo di archiviazione.
Nei complessi professionali sono disponibili strumenti per la creazione di volumi virtuali di diversi file system con parametri impostati manualmente, oltre a strumenti per la ricerca di metadati con la possibilità di escludere manualmente gli oggetti superflui.
Negli altri casi, quando i metadati richiesti del file system non esistono più o sono errati, è necessario applicare un metodo di ricerca tramite espressioni regolari tipiche di determinati tipi di file.
Fig. 16 0xFF 0xD8 0xFF espressione regolare tipica per i file JPG
I programmi di recupero automatico che eseguono ricerche in questo modo presentano i seguenti svantaggi: mancanza di una struttura di directory e originali nomi di file, nessuna analisi della struttura dei file e un insufficiente controllo dell'integrità del file trovato, il che porta alla presenza di numerosi dati spazzatura che non possono essere utilizzati e, per molti tipi di file, non viene calcolata correttamente la dimensione.
Fig. 17 Impostazioni R-Studio per la ricerca di espressioni regolari dei file desiderati
7. Casi tipici e azioni consigliate
Danneggiamento del file system
A causa di guasti nelle componenti del PC, malfunzionamenti del sistema operativo, interruzioni improvvise dell'alimentazione durante la scrittura su disco o guasti del disco rigido, i metadati del file system possono risultare danneggiati. In molti tipi di danneggiamento, il sistema operativo non sarà in grado di montare il volume con il file system danneggiato.
Fig. 18 metadati danneggiati del file system (file system non riconosciuto RAW)
In questi casi, il metodo di ricerca dei metadati del file system all'interno della partizione esistente si è dimostrato piuttosto efficace. In caso di danni leggeri, è possibile ottenere un risultato vicino al 100%. Questa raccomandazione è valida per la maggior parte dei diversi file system.
Naturalmente, ci sono casi in cui a causa di guasti un grande volume di metadati dell'attuale file system risulta danneggiato. In tal caso, se la prima opzione non ha funzionato, è necessario utilizzare il metodo di analisi delle espressioni regolari per cercare i file necessari.
Il lavoro dello specialista si differenzia in quanto valuta la natura del danno ai metadati e, se non sono stati distrutti ma sono deformati, sono possibili correzioni manuali in un editor esadecimale.
Eliminazione di un file o di un gruppo di file.
L'eliminazione accidentale di dati è un caso abbastanza comune. Le conseguenze di questa azione dipendono fortemente dal tipo di file system e, relativamente ai dischi più recenti, dalla filosofia di funzionamento del firmware del dispositivo stesso.
Se i file sono stati eliminati in una partizione con file system NTFS, il metodo ottimale di ricerca sarà un'analisi rapida in vari strumenti, durante la quale vengono rapidamente analizzate le strutture chiave (MFT, Index, Logfile) senza una scansione completa della partizione. Se i registri dei file necessari e lo spazio occupato da questi file non sono stati sovrascritti con altri dati, si possono ottenere rapidamente i file di interesse.
Fig. 19 dopo la scansione $MFT le registrazioni cancellate sono evidenziate in viola
Se durante la scansione rapida non vengono trovati i dati necessari o sono danneggiati, è possibile eseguire una scansione completa della partizione, ma è probabile che il risultato non cambi in modo significativo e non rimanga altro da fare se non cercare espressioni regolari.
Nell'arsenale dello specialista è disponibile uno strumento per costruire una mappa dello spazio non allocato e un'analisi successiva esclusivamente in queste aree, il che esclude dal risultato di recupero i dati esistenti. Ciò consente di risparmiare notevolmente tempo all'utente nella successiva ricerca dei file necessari tra una grande quantità di dati anonimi.
Se i file sono stati eliminati da una partizione con filesystem FAT16 o FAT32, è possibile utilizzare l'analisi dei metadati per recuperare una parte dei dati con i nomi originali. Nel caso di SFN, il primo carattere del nome del file sarà assente, mentre se il file aveva un nome lungo, il suo nome completo sarà nella registrazione LFN. Quando si eliminano file frammentati, il recupero dei dati tramite software di recupero automatico non avrà successo, poiché durante l'eliminazione nella tabella FAT viene rimossa la registrazione con la catena dei cluster appartenenti al file. Inoltre, in FAT32, in alcuni casi, oltre a eliminare la catena di posizionamento del file in entrambe le copie della tabella, nella directory viene rimosso il primo carattere SFN e i due byte più significativi nel numero del primo cluster occupato dal file. La maggior parte degli strumenti di recupero automatico che analizzano i metadati non determinerà la posizione corretta del file.
Il recupero di file frammentati è un'operazione generalmente complessa, che è molto poco automatizzata. I metodi di automazione possono essere sviluppati per un particolare tipo di strutture. Più spesso, il compito si riduce a un'analisi manuale a bassa produttività alla ricerca dei frammenti necessari. Un esempio di un simile lavoro può essere valutato nell'articolo
Se i metodi di analisi dei metadati non hanno portato a trovare i dati necessari o i file richiesti non possono essere aperti, rimane il metodo della ricerca tramite espressioni regolari. Potrebbe essere possibile scoprire alcuni file.
Se i file sono stati eliminati da una partizione con filesystem HFS+, Ext 2, Ext3 o Ext4, purtroppo, analizzare i metadati è inutile. Non rimane altro che la ricerca tramite espressioni regolari.
Eliminazione di una partizione con dati
Se uno o più partizioni sono state eliminati per errore nell'unità di gestione dei dischi, per l'utente che desidera recuperare i dati, si raccomanda di avviare strumenti di recupero automatico con una scansione completa di tutto il dispositivo. È anche consigliabile considerare la posizione delle partizioni esistenti per escludere opzioni chiaramente errate tra i risultati trovati.
Fig. 20 partizione eliminata
Un professionista può completare questo tipo di lavoro relativamente rapidamente, cercando settori di caricamento e superblocchi nei luoghi previsti. Sulla base di quanto trovato, vengono calcolate le posizioni esatte dell'inizio delle partizioni e la loro lunghezza.
È anche possibile provare a utilizzare DMDE o utilità simili, che possono individuare rapidamente i segni dell'inizio di una partizione e tentare di visualizzare il file system della partizione trovata.
Figura 21 risultato della ricerca rapida delle partizioni tramite DMDE
Partizione formattata con dati.
In questi casi, lo scenario raccomandato dipende fortemente dal tipo di file system che era in uso prima della formattazione della partizione e da quale file system viene utilizzato dopo la formattazione.
Ad esempio, se una partizione FAT32 con cluster di 8 KB è stata formattata in FAT32 con cluster di 64 KB, le nuove tabelle FAT sono diventate 8 volte più piccole e, di conseguenza, entrambe le copie delle nuove tabelle hanno danneggiato solo la prima copia delle vecchie tabelle FAT. In questa situazione la ricerca dei metadati può dare risultati vicini al 100%. Tuttavia, se la partizione è stata formattata in FAT32 con una dimensione del cluster inferiore o uguale a quella precedente, le nuove tabelle vuote sovrascriveranno completamente le vecchie etoccheranno parzialmente l'area con i dati degli utenti. In questo caso, la ricerca dei metadati darà risultati significativamente peggiori.
Se prima della formattazione la partizione utilizzava il file system FAT32, e la partizione è stata formattata in NTFS, le nuove strutture ($MFT, $Bitmap, $Logfile) di solito non sono collocate all'inizio della partizione e c'è una alta probabilità di ottenere la maggior parte dei dati con una struttura di directory normale e con danni minimi ai dati stessi utilizzando il metodo di ricerca dei metadati.
Anche una percentuale elevata di recupero si avrà quando una partizione con file system NTFS è stata formattata in FAT32. In questo caso, le tabelle FAT danneggeranno i dati all'inizio della partizione e di solito non influiscono sulle strutture chiave di NTFS. I risultati saranno insoddisfacenti in caso di piccole quantità di dati, la cui dimensione è comparabile con quella delle due copie delle tabelle FAT.
Ma se l'utente non desidera approfondire le complessità della posizione dei metadati di diversi file system, il passo logico sarà avviare l'utilità di recupero automatico dei dati in modalità di ricerca dei metadati. E nel caso in cui venga ottenuto un volume di dati insufficiente, applicare il metodo di ricerca tramite espressioni regolari.
La partizione è stata formattata e parzialmente riscritta con altri dati.
Come spesso accade, l'utente può formattare una partizione e iniziare a riempirla con altri dati, per poi rendersi conto solo dopo che c'erano informazioni importanti nella vecchia partizione. In questi casi non può esserci una raccomandazione univoca. Tutto dipende molto da quanti (in termini quantitativi e di volume) nuovi dati sono stati registrati e dove si trovano questi dati. A seconda delle circostanze, il risultato può variare da 0 a quasi il 100%. È imprevedibile.
In molti casi, con una grande sovrapposizione dell'area dati, ha senso iniziare con il metodo di ricerca tramite espressioni regolari per i tipi di file richiesti, per capire se ci siano ancora segni dell'esistenza dei dati necessari, e nel caso vengano rinvenuti, eseguire la ricerca dei metadati del file system.
In un laboratorio di recupero dati, il tecnico costruirà una mappa dello spazio non allocato e condurrà la ricerca di espressioni regolari solo su queste aree, per escludere dai risultati la presenza di dati già esistenti. Inoltre, con strumenti di controllo dell'integrità, ridurrà notevolmente il numero di falsi riconoscimenti. E in alcuni casi, come nel recupero di file jpg (ad esempio, di un album fotografico domestico), sarà in grado di eseguire una classificazione in base alle informazioni contenute nei tag Exif dei file jpeg, permettendo di ottenere risultati ordinati cronologicamente e classificati per modelli di fotocamere.
Fig. 22 risultato della classificazione dei file JPG, trovati tramite ricerca di espressioni regolari
Uscita anomala delle procedure di ridimensionamento, spostamento o unione delle partizioni.
In caso di terminazioni anomale delle procedure dei gestori di disco per la modifica delle dimensioni delle partizioni, il loro spostamento o la fusione di più partizioni, sarà necessario comprendere quali passi sono stati effettuati e a quale fase l'operazione si è fermata, per ottenere il miglior risultato possibile.
Data la complessità e il numero di possibili varianti, consideriamo solo l'opzione universale per l'utente che ha bisogno di un risultato con il minor numero di azioni possibile. L'oggetto da analizzare deve essere l'intero disco, per garantire che vengano coperti tutti i luoghi di posizionamento dei dati. Utilizzare il metodo di ricerca dei metadati e copiare tutte le varianti di dati secondo i file di sistema trovati. È molto probabile che in ciascuna delle opzioni ci siano set di file diversi e corretti. La ricerca tramite espressioni regolari per i tipi di file specificati è anch'essa importante, poiché in tali casi di perdita di dati è possibile una parziale perdita di informazioni sui nomi e sulla posizione dei file.
8. Verifica dell'integrità dei dati ripristinati
È importante comprendere che la visualizzazione dei nomi dei file nel programma di recupero dati o il numero di espressioni regolari trovate non garantisce che tutto ciò che è stato trovato sia utilizzabile. Pertanto, una fase altrettanto importante dopo il recupero dei dati tramite il programma di ripristino automatico è la verifica dell'integrità dei dati stessi.
Sfortunatamente, non esiste uno strumento gratuito universale per verificare l'integrità di un grande numero di file diversi. Tuttavia, è possibile trovare software gratuiti per controllare singoli tipi di file. Ad esempio, molti archiviatori permettono di verificare la correttezza degli archivi, mentre il software MP3Diag può essere utilizzato per controllare la correttezza dei file mp3, e ImageMagick può essere impiegato per testare i file jpg.
Il principale svantaggio di molti strumenti gratuiti per il controllo dell'integrità dei file è che non garantiscono una verifica completa dei file. E possono verificarsi errori massivi.
Per molti tipi di file, l'utente non ha altre opzioni se non valutare visivamente l'integrità dei dati aprendo i file in successione nelle corrispondenti applicazioni.
Nei complessi professionali è presente un insieme di strumenti che consente di controllare parzialmente l'integrità dei file, il che elimina il risultato del recupero dei dati da un gran numero di file spazzatura.
Oltre a filtrare i file spazzatura, è necessario identificare i file danneggiati. Se hai creato una copia settoriale con un riempitivo per i settori non leggibili, allora il problema di trovare i file danneggiati può essere facilmente risolto cercando la stringa di testo "BAD!BAD!BAD!BAD!" (nel nostro esempio è stato utilizzato il riempitivo "BAD!"). Dopo averli trovati, è necessario controllare il grado di danneggiamento, poiché alcuni formati di file potrebbero non subire danni significativi per la perdita di un piccolo pezzo di dati, mentre altri potrebbero essere completamente inservibili.
9. Errori frequenti degli utenti.
Vari tentativi di "curare" i difetti utilizzando utilità diagnostiche popolari nella speranza che possano ripristinare l'accesso ai dati sono uno dei principali errori di molti utenti. I tentativi di nascondere i difetti su un'unità con polimeri danneggiati sulla superficie dei dischi di solito si concludono con la levigatura dei dischi, piuttosto che con l'accesso ai dati. Per questo motivo, senza conoscere la natura dei difetti sulla superficie, è fortemente sconsigliato eseguire qualsiasi operazione di servizio sul disco fino a quando non sono stati recuperati i dati. Dopo un recupero riuscito delle informazioni, si può provare a servire l'unità e, se per caso si è fortunati, l'unità potrebbe ancora essere utilizzabile per compiti meno critici.
Spesso i difetti riguardano i metadati del file system. In questi casi, il sistema operativo si blocca a lungo nel tentativo di montare il volume danneggiato. Con l'unità problematica collegata, il tempo di avvio del sistema operativo può allungarsi per decine di minuti. Una delle idee più sbagliate per affrontare questo problema è formattare la partizione problematica. I nuovi metadati possono essere registrati correttamente risolvendo il problema del lungo avvio del sistema operativo, ma la questione del recupero dei dati diventa più complicata, e la qualità del risultato del recupero può risentirne notevolmente.
Copia dei dati rilevati dall'utilità nella stessa partizione da cui si sta tentando di recuperare i file. In questo caso, di solito tutto si conclude nel fatto che, invece dei dati, l'utente ottiene spazzatura, e il successivo tentativo di recupero dei dati avrà già un risultato molto peggiore. Seguendo le istruzioni di questo articolo, sarete protetti da tale errore.
Non viene eseguita la verifica dell'integrità dei dati recuperati e viene distrutto il contenuto dell'unità originale insieme alla sua copia. In questo caso, c'è il rischio di rimanere con un mucchio di cartelle piene di risultati errati del tentativo di recupero dei dati senza possibilità di ottenere un risultato di qualità.
Scelta errata degli strumenti e delle metodologie di recupero dei dati, a causa della quale si ottiene un risultato significativamente peggiore di quanto potrebbe essere.
Spero che questo insieme di misure vi aiuti a decidere se la situazione con il vostro disco rigido consenta tentativi di recupero dati autonomi e se siete pronti a eseguire questo insieme di azioni relativamente semplici, elencate in questo articolo.
Fonte: habr.com
