In questo articolo vengono descritti i metodi di autodiagnosi di vari malfunzionamenti degli hard disk in base ai sintomi che manifestano, così come i modi per clonare in modo relativamente sicuro gli hard disk con problemi lievi.
Vengono esaminati diversi casi di perdita di dati e un insieme di azioni ottimali che, senza una profonda conoscenza delle strutture dei file, possono attraverso programmi di recupero automatico aiutarvi a riottenere le vostre informazioni senza assistenza esterna.
Ma prima di intraprendere qualsiasi azione autonoma, è necessario esaminare attentamente tutto il materiale dell'articolo e solo dopo analizzare lo stato del vostro hard disk, affinché i vostri tentativi non diventino gli ultimi nella vita dell'unità e non vi privino delle ultime speranze di recuperare i dati di cui avete bisogno.
CONTENUTO
Parte prima: Diagnosi
Parte seconda: Recupero dei dati.
Accettando di seguire le istruzioni successive, riconoscete che nessuno, tranne voi stessi, è responsabile per eventuali guasti del dispositivo e per la perdita irreversibile di dati. Il set di misure è volto a ridurre la probabilità che si verifichino esiti sfavorevoli, ma non garantisce una protezione totale.
Diagnostica
1. Ispezione visiva
Controllate il dispositivo per la presenza di deformazioni, elementi mancanti o bruciati sulla scheda di controllo, verificate l'integrità delle connessioni. Se vengono riscontrati danni significativi o componenti bruciati, è fortemente sconsigliato tentare di alimentare un dispositivo del genere, per evitare di aggravare il problema.
Utilizzando cacciaviti (di norma, si tratta di Torx — T5, T6, T9), allentate le viti che fissano la scheda di controllo e verificate lo stato dei pad di contatto sulla scheda di controllo.
Fig. 2 mostra la presenza di pellicole ossidate sui pad di contatto
Se ci sono ossidi, puoi provare a rimuoverli dalle piazzole di contatto con una normale gomma. È possibile lavorare con la gomma solo sulle superfici piane, come mostrato nell'immagine. In altri casi, tale azione non è applicabile.
Fig. 3 piazzole di contatto pulite.
Se vengono trovati danni alla scheda, non è consigliabile tentare di sostituire la scheda di controllo con una di un'unità simile nei moderni dischi rigidi, poiché nei dispositivi moderni nella ROM sulla scheda potrebbero trovarsi vari parametri adattivi, che vengono formati durante il ciclo produttivo e sono unici per ciascun'unità. In rari casi, parametri estranei possono causare danni al disco rigido.
Se hai una stazione di saldatura, devi trasferire MCU, EEPROM, NV-RAM, NAND (a seconda di ciò che è presente sulla scheda di controllo e di ciò che deve essere trasferito) e, dopo tale adattamento, utilizzare il controller donatore. Vale la pena notare che per adattare molti controller è sufficiente trasferire solo il chip EEPROM.
Quando scegliete una scheda, osservate innanzitutto il numero PCB inciso. Successivamente, valutate la corrispondenza delle etichette MCU e VCM&SM del controller. Se le etichette MCU e VCM&SM differiscono tra la scheda originale e quella donatrice, c'è una forte possibilità che la scheda donatrice non sia adatta. All'interno di una stessa famiglia possono esistere diverse versioni di schede, e in alcuni casi potrebbero essere compatibili con determinate condizioni, ma non è consigliabile cercare di verificarlo a casa.
Cercare di sostituire una scheda controller inadatta (con un numero diverso sul PCB) può portare all'incendio dell'interruttore preamplificatore.
Con un multimetro a disposizione, controlla i circuiti da 5V e 12V per eventuali cortocircuiti. Controlla anche la resistenza degli avvolgimenti del motore. Se hai a disposizione un’unità di memoria dello stesso produttore, modello e revisione della scheda di controllo, puoi verificare se lo stesso numero di pin sul connettore si chiude a terra e confrontare le resistenze. Se ci sono differenze significative, puoi concludere che l'interruttore-preamplificatore è difettoso e fermarti qui con qualsiasi tentativo autonomo di recupero dati.
2. Avvio di prova
Assicurati che il tuo sistema di test funzioni correttamente per evitare diagnosi errate; se non ci sono cause esterne evidenti che impediscano l'avvio, collega il cavo di interfaccia e il cavo di alimentazione alle porte appropriate e accendi l'alimentatore.
Se sai già che l'unità di memoria è stata colpita o caduta mentre era in funzione, o se ha iniziato a emettere rumori di battitura prima di arrivare a te, astieniti dall'accenderla.
In questi casi è necessaria l'apertura obbligatoria del disco rigido in un ambiente a flusso laminare (o in una camera sterile) e un'accurata ispezione utilizzando un microscopio.
Fig. 4 collegamento dei cavi ai dischi rigidi.
Dopo aver fornito l'alimentazione, il disco deve iniziare a far ruotare l'albero. In alcuni casi, ciò potrebbe non avvenire con dischi perfettamente funzionanti se, per qualche motivo, è stata impostata una richiesta di comando spin up.
Con la rotazione dell'albero si genera un lieve rumore dal flusso d'aria. In alcuni dischi è quasi impercettibile, quindi è consigliabile utilizzare uno stetoscopio (oppure avvicinare il disco all'orecchio rispettando tutte le norme di sicurezza per evitare cortocircuiti).
Se invece del rumore dell'aria si sente una serie di ronzî ciclici, fischi silenziosi o suoni simili a quelli di un telefono in attesa, è probabile che il disco non riesca a iniziare la rotazione dell'albero del motore. Le cause potrebbero essere: l'aderenza della testina di lettura/scrittura oltre il parcheggio, il bloccaggio dell'albero del motore, un guasto del circuito integrato VCM&SM del controller.
Se è presente un'unità di supporto adatta, è possibile controllare la versione con il difetto del controller VCM&SM, se si è disposti ad apportare le necessarie modifiche alla scheda donor, come descritto nella sezione "ispezione visiva".
Nei casi di bloccaggio del BMG al di fuori della rampa di parcheggio, le azioni autonome ispirate ai video su YouTube portano solitamente alla formazione di graffi aggiuntivi sulle superfici delle piastre o alla rottura degli slider. Anche se riuscite a riportare relativamente bene il BMG sulla rampa di parcheggio, i difetti del rivestimento polimerico creatisi nel punto di bloccaggio degli slider, le micro-scarificazioni causate dagli slider durante il ripristino del BMG, insieme alle procedure di scansione offline e alla polvere dell'aria non filtrata, difficilmente vi consentiranno di leggere un significativo volume di dati nella stragrande maggioranza dei casi prima dell'inizio dello sviluppo di ulteriori processi di degrado irreversibili. Potete scoprire come avviene il processo di recupero dei dati in questi casi in una società specializzata in questo articolo.
Quando l'albero del motore si blocca, è generalmente necessario trasferire il pacco di dischi nel guscio del disco rigido di un'unità donatrice. Un'operazione del genere, eseguita in casa senza la dovuta preparazione e senza gli strumenti necessari, avrà una probabilità del 99,9% di fallire.
Se non si sente alcun suono quando si accende l'alimentazione e l'unità non inizia a far girare l'albero, potrebbero esserci le seguenti diagnosi: il circuito stampato del controller è difettoso, l'interruttore di preamplificazione è guasto, o il BMG è rotto.
Dopo che l'unità ha iniziato a far girare l'albero, deve eseguire la calibrazione, leggere il firmware e, dopo aver inizializzato il sistema di trasmissione, essere pronta all'uso. Se invece della calibrazione si sentono rumori ripetitivi, colpi, scricchiolii o altri suoni acuti, scollega immediatamente l'unità. Le cause di tali fenomeni possono essere: un guasto del BMG o dell'interruttore di preamplificazione, oppure un malfunzionamento del microchip VCM&SM del controller.
I microprogrammi di alcuni dischi rigidi eseguono un sondaggio del commutatore preamplificatore prima che il motore inizi a girare e, nel caso venga rilevata una risposta errata o una resistenza anomala su una delle teste, arrestano immediatamente il processo di inizializzazione. Purtroppo, non tutti i microprogrammi controllano adeguatamente il funzionamento del dispositivo stesso e consentono tentativi di avvio di dischi rigidi visibilmente problematici. Si consiglia di effettuare i trasferimenti della testina in un ambiente a flusso d'aria pulito all'interno di una cappa a flusso laminare, utilizzando strumenti specializzati. Inoltre, è fondamentale sapere come selezionare un donatore per scegliere un’unità con la revisione giusta del commutatore preamplificatore, la scheda delle teste e parametri adattivi simili. La semplice corrispondenza tra produttore e modello non garantisce affatto che l'unità sia un donatore adatto. Anche se si riesce a trovare un donatore e a portare a termine la procedura di sostituzione, sarà difficile leggere un volume significativo di dati a causa di problemi associati.
Quali azioni possono essere intraprese in caso di malfunzionamento della scheda di controllo sono indicate nella sezione "Ispezione visiva".
Fig. 5 superficie della piastra gravemente graffiata (numerosi segni di abrasione).
È importante capire che ogni tentativo di accendere l'unità con un BMG difettoso comporta rischi di ulteriori danni alle superfici delle piastre, il che può portare all'impossibilità totale di recuperare i dati.
Se l'unità non emette rumori sospetti, dopo aver completato tutte le procedure di inizializzazione, dovrebbe essere pronta. Da questo momento, l'unità dovrebbe essere pronta per lo scambio di dati tramite l'interfaccia, e nel caso di connessione alla porta della scheda madre del PC, dovrebbe rispondere alla richiesta di passaporto da parte del BIOS. Se tutto è in ordine con il collegamento e le impostazioni del BIOS, ma il disco rimane invisibile al PC, è probabile che ci siano problemi con il firmware dell'unità che ne impediscono il passaggio alla modalità pronta.
Se il dispositivo restituisce dati di autenticazione errati, come solo il nome del modello e una capacità pari a zero, oppure se il nome del modello non corrisponde esattamente a quello atteso, e manca il numero di serie, ciò indica che le procedure di inizializzazione non sono state completate con successo e ci sono problemi con il firmware. In questi casi, risolvere il problema autonomamente senza l'uso di complessi software e hardware professionali di solito non è possibile.
Un'eccezione particolare può essere rappresentata dal caso del Seagate 7200.11 (della famiglia Moose), per il quale alcuni problemi possono essere risolti utilizzando un adattatore RS232-TTL e un normale terminale. Tuttavia, è necessario comprendere che, senza un'analisi approfondita del problema del microcodice, ci sono rischi di aggravare notevolmente la situazione.
Si sconsiglia vivamente di applicare questa metodologia ad altre famiglie, poiché porterebbe a un ricalcolo del traslatore, che nella stragrande maggioranza dei casi risulterà errato, e l'accesso all'area utente sarà possibile solo fino al primo punto di divergenza. Il recupero dei dati in questo caso diventa notevolmente più complicato.
Se nel passaporto di un'unità fornito tutti i campi sono corretti tranne la capacità, è necessario verificare se ciò sia il risultato di un errore del BIOS di alcune schede madri, che, utilizzando i comandi di gestione HPA, invece di ritagliare un piccolo pezzo dell'intervallo LBA per conservare una copia del BIOS, ritagliano quasi 1 TB.
Fig. 6 capacità nominale del disco 1TB dopo un errato funzionamento del BIOS della scheda madre Gigabyte
Per risolvere questo problema si può utilizzare HDAT2 o un software diagnostico gratuito simile, con cui è possibile ripristinare la capacità nominale originale dell'unità e disattivare la gestione HPA in DCO per evitare un nuovo verificarsi del problema.
3. Preparazione per il test
Quando si testano i dischi al di fuori di complessi professionali, è importante preparare in anticipo il sistema operativo. È necessario disabilitare il montaggio automatico delle partizioni del disco per evitare l'interferenza del sistema operativo.
In Windows, per fare ciò, con i diritti di amministratore bisogna avviare diskpart ed eseguire il comando automount disable. Se il disco potenzialmente problematico era stato precedentemente collegato a questo sistema operativo, è necessario rimuovere le impostazioni di montaggio dal registro con il comando automount scrub. Per attivare queste impostazioni, è consigliato riavviare.
È inoltre necessario preparare software diagnostico. Su Windows, è possibile utilizzare il gratuito PC3000 DiskAnalyzer, che, oltre alla funzione diagnostica, offre la possibilità di creare una copia settoriale. È consigliabile avere anche un'unità flash USB avviabile con HDAT2.
Non è obbligatorio utilizzare solo questo software per la diagnostica. È possibile utilizzare qualsiasi altro software equivalente, tranne alcuni programmi a pagamento per gli utenti troppo fiduciosi, la cui pubblicità potrebbe contenere slogan come «… programma unico per la rigenerazione di hard disk danneggiati fisicamente. Non nasconde i settori danneggiati, li ripara davvero!». Con affermazioni così eccessive, tali programmi hanno in realtà capacità molto modeste, che non superano quelle del software gratuito, e la loro ideologia nel trattare i difetti è più orientata a danneggiare ulteriormente il dispositivo piuttosto che aiutare nel recupero dei dati.
Se durante il collegamento di un'unità il tempo di avvio del sistema operativo è aumentato notevolmente anche con il montaggio automatico delle partizioni disattivato, è consigliabile evitare qualsiasi azione autonoma per non aggravare ulteriormente il problema.
Un significativo incremento del tempo di avvio del sistema operativo al collegamento di un disco rigido potenzialmente problematico è un chiaro segnale che ci sono difetti di superficie sui piatti dell'unità. I ritardi nell'avvio del sistema operativo si verificano a causa di accessi a settori difettosi e tentativi del firmware di eseguire procedure di scansione offline che non riesce a gestire.
Dopo aver caricato con successo il sistema operativo, accedi al gestore dispositivi e verifica che il tuo dispositivo sia presente nell'elenco. Se non appare, assicurati che il driver per il controller a cui è collegato sia installato e che il controller stesso non sia disabilitato nell'elenco dei dispositivi. Se il driver e la configurazione del sistema operativo sono a posto, e il dispositivo non appare nel sistema operativo o appare e scompare, ciò di solito indica una vasta gamma di guasti. I più probabili sono guasti alla scheda del controller, il congelamento del firmware del dispositivo, o il passaggio del dispositivo in modalità di emergenza, in cui smette di rispondere normalmente alla maggior parte dei comandi.
Per affinare la diagnosi, puoi provare a caricare DOS e utilizzare HDAT2 per controllare i parametri SMART. Se emergono segni di formazione di difetti (valori diversi da zero per gli attributi 5 e 197 (C5) nei campi dei valori non normalizzati), si può concludere che senza intervenire nelle impostazioni del firmware non si può fare nulla a casa. Se non ci sono segni di formazione di difetti, la causa dei blocchi potrebbe risiedere nel malfunzionamento della scheda di controllo. In tal caso, puoi provare a utilizzare la scheda di controllo di un disco di donazione.
4. Test
Dopo aver completato i precedenti passaggi senza notare motivi validi per interrompere il processo, puoi iniziare una valutazione più approfondita dello stato del disco. La maggior parte dei dischi rilasciati in questo secolo ha integrato la tecnologia S.M.A.R.T., che monitora lo stato del disco e registra vari eventi durante il suo funzionamento. Puoi approfondire l'implementazione di questa tecnologia negli HDD e quali parametri è consigliabile monitorare durante l'uso dei dischi nel nostro articolo .
Utilizzando il software di diagnostica, è necessario richiedere i parametri S.M.A.R.T.
Fig. 7 attributi SMART di un hard disk funzionante
È importante valutare i valori degli attributi 5 e 197 (C5). Se i valori nella colonna RAW sono zero o i valori dei problemi sono singoli, allora è necessario procedere a ulteriori test.
Fig. 8 attributi SMART di un disco con grave formazione di difetti
Se il numero di candidati ai difetti è di tre o quattro cifre, nella maggior parte dei casi ulteriori tentativi di testare la superficie o di scansionare utilizzando strumenti di recupero automatico dei dati possono aggravare il problema fino a rendere impossibile il recupero dei dati.
Per ottenere dati in questi casi, è fondamentale intervenire sulle impostazioni del firmware dei dischi e disattivare le procedure di scansione offline e la registrazione S.M.A.R.T., per liberare l'unità da processi di sfondo che potrebbero ridurre notevolmente la vita utile del dispositivo problematico. Sfortunatamente, senza una conoscenza approfondita dell'architettura del firmware dei dischi e senza strumenti professionali, non sarà possibile farlo tramite metodi semplici. Il passo successivo è valutare lo stato di ciascuna testina singolarmente e localizzare le principali aree difettose. La lettura lineare con ripetizioni multiple nelle aree difettate è sconsigliata in questi casi, in quanto troppo pericolosa.
Anche se l'unità sembra funzionare correttamente a prima vista e non presenta segni di difetti secondo le indicazioni S.M.A.R.T., ciò non garantisce che non ce ne siano realmente. Pertanto, è necessario effettuare una fase finale di test e verificare la superficie.
È importante monitorare continuamente il processo di scansione. In caso di rumori estranei o di rilevamento di grandi aree con errori di lettura, interrompere immediatamente il processo e disconnettere il dispositivo per evitare conseguenze irreversibili.
Fig. 9 grafico di scansione di un disco funzionante
Se il risultato della scansione del disco mostra un grafico monotono decrescente in velocità e non sono stati registrati errori di lettura, il dispositivo può essere considerato funzionante e si può passare alla sezione successiva.
Nei dischi con un grande buffer di media e una scrittura differente dalla classica (generalmente nei dischi con registrazione a strati (SMR)), il grafico può assumere una forma diversa. Possono verificarsi vari tipi di anomalie.
Fig. 10 grafico di scansione di un disco con testina problematica
Se durante la verifica del disco si rilevano zone cicliche 'lente', questo è un chiaro segnale di una testina non completamente funzionante. Non è necessario attendere che vengano scoperti difetti, ma è necessario interrompere immediatamente il test.
In questa situazione non ci si può aspettare nulla di buono da tentativi autonomi di estrazione dei dati. È altamente probabile che il disco non sopravviva a un tentativo di creare una copia settoriale con strumenti disponibili per l'utente.
Nei casi in cui negli attributi S.M.A.R.T. 5 e 197 (C5) siano stati rilevati segni di difettosità, oppure durante la verifica siano stati scoperti difetti puntuali, è necessario creare una copia del disco.
5. Copia settoriale
Se dai risultati del test il disco risulta funzionante e non vengono rilevati problemi, non è necessario creare una copia settoriale e si può continuare a lavorare con il disco originale. Tuttavia, per evitare vari imprevisti, si raccomanda vivamente di non saltare questo passaggio e di lavorare esclusivamente con la copia.
Con un disco rigido funzionante o un disco con pochi difetti non c'è una differenza particolare riguardo allo strumento utilizzato; è importante che crei una copia completa. È altresì importante non cercare di utilizzare le opzioni di alcuni programmi per creare un'immagine compressa, poiché poi si potrà lavorare solo all'interno delle possibilità del software che ha creato tale immagine.
In Windows, you can use the following programs: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio, and others.
In Linux, the built-in dd command is sufficient.
Not all software is free, but often the features of trial/demo versions will be enough to create a backup of the storage device.
For example, we use WinHex to clone a disk.
Fig. 11 options in the WinHex menu for disk cloning
On the 'Tools' tab, select the 'Disk Tools' option, then choose 'Clone Disk' from the dropdown menu or simply press Ctrl+D.
Fig. 12 cloning parameter settings
Select the disk you want to clone as the source.
The receiving disk can be of equal or larger capacity, or cloning to an image file is also possible.
Make sure there is enough free space on the receiving disk.
In the copy settings, it's advisable to use the 'skip defects' option.
If your storage device has a sector size of 4096 bytes but is presented in the OS with a virtual size of 512 bytes, you need to set the value to 8 to avoid extra read attempts on the problematic sector.
«Modello per la sostituzione dei settori danneggiati» — specifica una parola o una frase facile da trovare, che verrà utilizzata per riempire il settore nella copia nei punti in cui si trovano settori non leggibili dell'originale. In futuro sarà più semplice individuare i file danneggiati.
Durante la creazione di una copia, è obbligatorio monitorare attentamente il processo. In caso di rumori strani, blocco del dispositivo di memoria o di un numero di errori maggiore rispetto a quanto rilevato durante il test iniziale, interrompere immediatamente il processo e scollegare il dispositivo per evitare conseguenze irreversibili.
Negli strumenti professionali di recupero dati, come DataExtractor, ci sono molte più opzioni per configurare lo scenario di copia dei dati, oltre a un controllo dello stato del dispositivo, il che aumenta notevolmente le possibilità di recupero con la presenza di un professionista competente.
Fig. 13 impostazioni delle reazioni del complesso professionale in caso di problemi di lettura
Recupero dei dati
6. Metodi di recupero
Oggi ci sono molteplici programmi di recupero dati automatico che non richiedono agli utenti conoscenze specifiche e consentono di ottenere i dati con un semplice clic. Tuttavia, questo approccio in molti casi non porterà al massimo risultato possibile o potrebbe risultare in una miriade di opzioni non utili.
Per un funzionamento efficace del programma di recupero dati, è meglio restringere il campo di ricerca il più possibile. È consigliabile indicare l'area di scansione e il tipo di file system ricercato. Tale specificazione può escludere molte opzioni di file system precedenti e ridurre la probabilità di un'errata interpretazione dei metadati del file system trovati.
Fig. 14 Esempio di impostazione di R-studio per la ricerca dei metadati del file system richiesto
I metadati del file system sono strutture che descrivono la posizione dei file, i loro nomi, attributi, diritti di accesso, log e così via.
Fig. 15 Esempio di metadati. frammento della registrazione MFT (Master File Table in NTFS)
Non tutte le volte i programmi di recupero automatico calcolano con precisione il punto di partenza relativo ai metadati trovati, e non sempre filtrano correttamente i dati di diversi file system, a causa dei quali è possibile un calcolo errato della posizione per tutti i file. Inoltre, diverse interpretazioni errate aumentano il volume stimato dei dati, a volte molto superiore alla capacità stessa del supporto.
Nei complessi professionali sono presenti strumenti per la creazione di volumi virtuali di diversi file system con parametri impostati manualmente, oltre a strumenti per la ricerca di metadati con la possibilità di filtrare manualmente gli oggetti superflui.
Nei casi in cui i metadati necessari del file system non esistono più o sono errati, è necessario applicare un metodo di ricerca con espressioni regolari caratteristiche per diversi tipi di file.
Fig. 16 0xFF 0xD8 0xFF espressione regolare caratteristica per file JPG
I programmi di recupero automatico che utilizzano questo metodo presentano per lo più i seguenti svantaggi: mancanza di una struttura di directory e di nomi di file originali, non viene eseguita un'analisi della struttura dei file e non viene controllata adeguatamente l'integrità dei file trovati, il che porta alla generazione di molti dati inutilizzabili e per molti tipi di file non viene calcolata correttamente la dimensione.
Fig. 17 Impostazioni di R-Studio per la ricerca delle espressioni regolari dei file desiderati
7. Casi tipici e azioni consigliate
Danneggiamento del file system
A causa di guasti dei componenti del PC, cattivo funzionamento del sistema operativo, improvvisa perdita di alimentazione durante la scrittura su disco, o guasti al disco rigido, i metadati del file system possono essere danneggiati. In molti casi di danneggiamento, il sistema operativo non sarà in grado di montare il volume con il file system danneggiato.
Fig. 18 metadati danneggiati del file system (file system RAW non riconosciuto)
In questi casi, è efficace il metodo di ricerca dei metadati del file system all'interno della partizione esistente. In caso di lievi danneggiamenti, è possibile ottenere risultati vicini al 100%. Questa raccomandazione è valida per la maggior parte dei diversi file system.
Naturalmente, ci sono situazioni in cui, a causa di malfunzionamenti, viene danneggiato un grande volume di metadati dell'attuale file system. In quel caso, se la prima opzione non ha funzionato, è necessario utilizzare il metodo di analisi delle espressioni regolari per trovare i file che ti servono.
Il lavoro dello specialista si distingue per il fatto che valuta la natura del danneggiamento dei metadati e, se non sono distrutti ma si trovano in uno stato distorto, sono possibili correzioni manuali con un editor esadecimale.
Eliminazione di un file o di un gruppo di file.
L'eliminazione errata dei dati è un caso abbastanza comune. Le conseguenze di questa azione dipendono fortemente dal tipo di file system e, nei dischi relativamente nuovi, dalla filosofia operativa del firmware dello stesso dispositivo.
Se i file sono stati eliminati da una partizione con file system NTFS, il metodo ottimale per la ricerca è l'analisi rapida in diverse utility, in cui vengono scanati rapidamente le strutture chiave (MFT, Index, Logfile) senza una scansione completa della partizione. Se i registri dei file necessari e lo spazio occupato da questi file non sono stati sovrascritti da altri dati, è possibile recuperare rapidamente i file desiderati.
Fig. 19 dopo la scansione $MFT le voci contrassegnate come eliminate sono evidenziate in viola.
Se durante la scansione rapida i dati necessari non vengono trovati o sono danneggiati, è possibile eseguire una scansione completa della partizione, ma probabilmente il risultato non cambierà in modo significativo e non rimarrà altro che cercare espressioni regolari.
Tra gli strumenti a disposizione di uno specialista c'è la costruzione di una mappa dello spazio non occupato e un'analisi successiva esclusivamente in queste aree, il che esclude dai risultati di recupero i dati esistenti. Questo fa risparmiare tempo all'utente nella ricerca dei file necessari in mezzo a una vasta quantità di dati anonimi.
Se i file vengono eliminati da una partizione con file system FAT16, FAT32, è possibile utilizzare l'analisi dei metadati per recuperare parte dei dati con i nomi originali. Nel caso dei SFN, mancherà il primo carattere del nome del file, mentre se il file aveva un nome lungo, il suo nome completo sarà presente nella registrazione LFN. Se si eliminano file frammentati, il recupero dei dati tramite software di recupero automatico non sarà efficace, poiché durante l'eliminazione viene rimossa dalla tabella FAT la registrazione della catena di cluster appartenenti al file. Inoltre, in FAT32, in alcuni casi oltre all'eliminazione della catena di posizionamento del file in entrambe le copie della tabella, viene rimosso il primo carattere SFN e i due byte più significativi del numero del primo cluster occupato dal file. La maggior parte degli strumenti di recupero automatico che analizzano i metadati non riuscirà a determinare la posizione corretta del file.
Il recupero di file frammentati è generalmente un compito piuttosto complesso, che è scarsamente automatizzato. I metodi di automazione possono essere sviluppati per tipi specifici di strutture. Spesso, il compito si riduce a un'analisi manuale a bassa produttività per trovare i frammenti necessari. Un esempio di tale lavoro può essere apprezzato nell'articolo
Se i metodi di analisi dei metadati non hanno portato al ritrovamento dei dati desiderati o i file necessari non possono essere aperti, rimane il metodo della ricerca tramite espressioni regolari. È possibile che si riesca a trovare una parte dei file.
Se i file sono stati eliminati da una partizione con filesystem HFS+, Ext 2, Ext3, Ext4, purtroppo analizzare i metadati è inutile. A parte la ricerca con espressioni regolari, non rimane altro.
Eliminazione della partizione con i dati
Se un'unità è stata accidentalmente rimossa dallo strumento di gestione dei dischi, agli utenti che desiderano recuperare i dati verrà consigliato di avviare strumenti di recupero automatico con una scansione completa dell'intero dispositivo. È inoltre consigliabile considerare la posizione delle partizioni esistenti per escludere opzioni ovviamente errate tra i risultati trovati.
Fig. 20 partizione rimossa
Questo tipo di lavoro viene eseguito rapidamente da un tecnico, attraverso la ricerca dei settori di avvio e dei superblocchi nei luoghi previsti. Sulla base di quanto trovato, vengono calcolate le posizioni esatte dell'inizio delle partizioni e la loro lunghezza.
È possibile anche provare a utilizzare DMDE o strumenti simili, che possono relativamente rapidamente trovare indizi dell'inizio di una partizione e tentare di visualizzare il filesystem della partizione trovata.
Fig. 21 risultato della ricerca rapida delle partizioni con DMDE
La partizione è stata formattata con dei dati.
In tali casi, lo scenario raccomandato dipende fortemente dal tipo di file system che era presente prima della formattazione della partizione e dal file system utilizzato dopo la formattazione.
Ad esempio, se una partizione FAT32 con cluster di 8 KB è stata formattata in FAT32 con cluster di 64 KB, la dimensione delle nuove tabelle FAT è diventata otto volte più piccola e, di conseguenza, entrambe le copie delle nuove tabelle hanno danneggiato solo la prima copia delle vecchie tabelle FAT. In questa situazione, la ricerca dei metadati può produrre un risultato vicino al 100%. Tuttavia, se la partizione è stata formattata in FAT32 con una dimensione del cluster uguale o inferiore rispetto a quella precedente alla formattazione, le nuove tabelle pulite sovrascriveranno completamente le vecchie e interesseranno parzialmente l'area dei dati utente. In questo caso, la ricerca dei metadati darà risultati significativamente peggiori.
Se il filesystem FAT32 era in uso sulla partizione prima della formattazione e la partizione è stata formattata in NTFS, le nuove strutture ($MFT, $Bitmap, $Logfile) si trovano tipicamente non all'inizio della partizione e c'è una buona probabilità di recuperare la maggior parte dei dati con una struttura di catalogo normale e con danni minimi ai dati stessi tramite il metodo di ricerca dei metadati.
Anche la percentuale di recupero sarà elevata quando una partizione con filesystem NTFS viene formattata in FAT32. In questo caso, le tabelle FAT rovinano i dati all'inizio della partizione e in genere non toccano le strutture chiave di NTFS. Il risultato sarà insoddisfacente nel caso di un piccolo volume di dati, la cui dimensione è paragonabile alle dimensioni di due copie delle tabelle FAT.
Ma se l'utente non desidera addentrarsi nei dettagli della posizione dei metadati dei vari filesystem, un passo logico sarebbe avviare l'utilità di recupero dati automatico in modalità di ricerca dei metadati. E nel caso in cui venga ottenuto un volume di dati insufficiente, applicare il metodo di ricerca con espressioni regolari.
La partizione è stata formattata con dati e parzialmente sovrascritta con altri dati.
Spesso può capitare che un utente formatti una partizione e inizi a riempirla con nuovi dati, solo per poi rendersi conto che sulla vecchia partizione c'era informazioni importanti. In questi casi, non esiste una raccomandazione chiara. Dipende molto da quanto (sia in quantità che in volume) sono stati registrati nuovi dati, oltre a dove si siano collocati. A seconda delle circostanze, il risultato può oscillare da 0 a vicino al 100%. È impossibile prevederlo a distanza.
In molti casi, con un'ampia sovrapposizione delle aree di dati, ha senso partire da un metodo di ricerca con espressioni regolari per i tipi di file desiderati, per capire se ci siano ancora segni dell'esistenza dei dati necessari e, nel caso vengano trovati, eseguire una ricerca nei metadati del file system.
In un laboratorio di recupero dati, lo specialista creerà una mappa dello spazio non allocato e eseguirà la ricerca di espressioni regolari solo in queste aree, per escludere dai risultati di ricerca la presenza di dati già esistenti. Utilizzando strumenti di controllo dell'integrità, ridurrà notevolmente il numero di falsi riconoscimenti. In alcune operazioni, come il recupero di file JPG (ad esempio, un album fotografico di qualcuno), sarà in grado di ordinare in base alle informazioni contenute nei tag Exif dei file JPEG, permettendo di ottenere un risultato ordinato cronologicamente e classificato per modelli di fotocamera.
Fig. 22 risultato dell'ordinamento dei file JPG trovati tramite la ricerca di espressioni regolari
Chiusura imprevista delle procedure di ridimensionamento, spostamento o unione delle partizioni.
In caso di chiusura imprevista delle procedure dei gestori di disco per il ridimensionamento, il movimento o la fusione di più partizioni, è necessario comprendere quali passi sono stati eseguiti e in quale fase l'operazione è stata interrotta, per ottenere il massimo possibile dal recupero.
Considerando la complessità e il numero di variazioni possibili, esaminiamo solo l'opzione universale per l'utente che desidera un risultato con il minimo sforzo. Per l'analisi, è necessario scegliere l'intero disco, per garantire la copertura di tutte le posizioni dei dati. Utilizzare un metodo di ricerca dei metadati e copiare tutte le varianti di dati attraverso i file system trovati. È molto probabile che in ciascuna delle varianti ci siano set di file validi diversi. La ricerca con espressioni regolari per tipi di file specificati è anche importante, poiché in tali casi di perdita di dati è possibile una parziale perdita di informazioni sui nomi e sulla posizione dei file.
8. Verifica dell'integrità dei dati ripristinati
È importante comprendere che la visualizzazione dei nomi dei file nel programma di recupero dati o il numero di espressioni regolari trovate non garantisce che tutto ciò che viene trovato sia utilizzabile. Pertanto, un passaggio altrettanto importante dopo il recupero dei dati con il programma di recupero automatico è la verifica dell'integrità dei dati stessi.
Sfortunatamente, non esiste uno strumento gratuito universale per controllare l'integrità di un gran numero di file diversi. Tuttavia, è possibile trovare software gratuito che può monitorare singoli tipi di file. Ad esempio, molti archiviatori consentono di verificare l'integrità degli archivi, l'utility MP3Diag può controllare la validità dei file mp3, ImageMagick può essere utilizzato per testare i file jpg.
Il principale svantaggio di molte utility gratuite per la verifica dell'integrità dei file è che non garantiscono un controllo completo dei file. E possono verificarsi errori diffusi.
Per molti tipi di file, l'utente non ha altra opzione se non valutare visivamente l'integrità dei dati aprendo i file in sequenza nelle applicazioni corrispondenti.
Nei sistemi professionali è presente un insieme di strumenti che consente di controllare parzialmente l'integrità dei file, eliminando così il recupero dei dati da una grande quantità di file spazzatura.
Oltre a filtrare la spazzatura, è necessario identificare i file danneggiati. Se hai creato una copia settoriale riempiendo i settori non leggibili con un modello, puoi facilmente risolvere il problema dell'individuazione dei file danneggiati cercando la stringa testuale "BAD!BAD!BAD!BAD!" (nel nostro esempio, è stato usato il riempitivo "BAD!"). Una volta trovati, è necessario controllare il grado di danneggiamento, poiché alcuni formati di file possono non subire gravi perdite da un piccolo pezzo di dati, mentre altri possono risultare completamente inutilizzabili.
9. Errori frequenti degli utenti.
Vari tentativi di "curare" i difetti utilizzando strumenti diagnostici popolari nella speranza di ripristinare l'accesso ai dati sono uno degli errori principali commessi da molti utenti. Gli sforzi per nascondere i difetti su un disco con un polimero danneggiato sulla superficie dei piatti di solito si traducono in una levigatura dei piatti, piuttosto che nel recupero dei dati. Per questo motivo, senza conoscere la natura dei difetti sulla superficie, è fortemente sconsigliato eseguire qualsiasi operazione di servizio sul disco prima di aver ottenuto i dati. Dopo un recupero di informazioni riuscito, si può provare a servire il disco e, se si è fortunati, potrebbe essere ancora utilizzabile per ulteriori compiti non particolarmente critici.
Spesso i difetti riguardano i metadati del file system. In questi casi, il sistema operativo si blocca a lungo nel tentativo di montare un volume danneggiato. Con il disco problematico collegato, il tempo di avvio del sistema operativo può estendersi per decine di minuti. Una delle idee più sbagliate per risolvere questo problema è formattare la partizione difettosa. I nuovi metadati possono essere scritti correttamente, risolvendo così il problema del lungo avvio del sistema operativo, ma il compito di recuperare i dati diventa più difficile e la qualità del risultato potrebbe risentirne notevolmente.
Copiare i dati rilevati dall'utilità sulla stessa partizione da cui si tentano di recuperare i file. In questo caso, di solito tutto finisce con l'utente che riceve spazzatura invece di dati, e il successivo tentativo di recupero dei dati avrà esiti ben peggiori. Se segui le istruzioni di questo articolo, sarai protetto da tale errore.
Non viene eseguito il controllo dell'integrità dei dati ripristinati e il contenuto dell'unità originale viene distrutto insieme alla sua copia. In questo caso, c'è il rischio di rimanere con un sacco di cartelle riempite di risultati errati dall'inattempto di recupero dati, senza possibilità di ottenere un risultato qualitativo.
Scelta impropria degli strumenti e delle metodologie di recupero dati, per cui il risultato è significativamente peggiore di quanto potrebbe essere.
Spero che questo insieme di misure ti aiuti a decidere se la situazione con il tuo dispositivo consenta tentativi di recupero autonomo e se sei disposto a eseguire questo insieme di azioni relativamente semplici elencate in questo articolo.
Fonte: habr.com
