აგონიაში გავლა ან მონაცემთა აღდგენის ერთი მცდელობის ხანგრძლივი ისტორია

2019 წელი იყო. ჩვენმა ლაბორატორიამ საკმაოდ უჩვეულო 9.1 გბ QUANTUM FIREBALL Plus KA დისკი მიიღო. მფლობელის თქმით, დისკის გაუმართაობა 2004 წელს მოხდა კვების წყაროს გაუმართაობის გამო, რამაც მყარი დისკი და კომპიუტერის სხვა კომპონენტები წაიღო. შემდგომში, მრავალმა სარემონტო სახელოსნომ სცადა დისკის შეკეთება და მონაცემების აღდგენა, მაგრამ უშედეგოდ. ზოგი იაფფასიან შეკეთებას გვპირდებოდა, მაგრამ პრობლემა ვერასდროს გადაჭრა; ზოგი ძალიან ძვირი ღირდა და მომხმარებელმა უარი თქვა მონაცემების აღდგენაზე. საბოლოოდ, დისკი მრავალ სერვის ცენტრში გაიარა. ის რამდენჯერმე დაიკარგა, მაგრამ მფლობელის პროაქტიული მცდელობის წყალობით, ჩაეწერა ინფორმაცია დისკზე სხვადასხვა სტიკერიდან, მან შეძლო მყარი დისკის რამდენიმე სერვის ცენტრში დაბრუნება. გაჭედვები შეუმჩნეველი არ დარჩენილა; ორიგინალურ კონტროლერის დაფაზე შედუღების მრავალი კვალი დარჩა და ასევე შესამჩნევი იყო SMD ელემენტების ვიზუალური ნაკლებობა (მომავლისთვის ვიტყვი, რომ ეს ამ დისკის ყველაზე მცირე პრობლემაა).

რაისი. 1 მყარი დისკი Quantum Fireball Plus KA 9,1GB

პირველი ნაბიჯი იყო დონორის არქივში ამ დისკის უძველესი ტყუპისცალის ძიება მოქმედი კონტროლერის დაფით. ამ სამუშაოს დასრულების შემდეგ შესაძლებელი გახდა ვრცელი დიაგნოსტიკის ჩატარება. ძრავის გრაგნილების მოკლე ჩართვის შემოწმებისა და მათი არარსებობის დადასტურების შემდეგ, დონორი დისკიდან დაფა პაციენტის დისკზე დავამონტაჟეთ. დენს მივუერთეთ და ლილვის ბრუნვის ნორმალური ხმა გავიგეთ, ჩავაბარეთ კალიბრაციის ტესტი პროგრამული უზრუნველყოფის ჩატვირთვით და რამდენიმე წამის შემდეგ, დისკმა თავისი რეგისტრების მეშვეობით განაცხადა, რომ მზად იყო ინტერფეისიდან გამომავალ ბრძანებებზე რეაგირებისთვის.

ნახ. 2 DRD DSC ინდიკატორები მიუთითებენ ბრძანებების მიღების მზადყოფნაზე.

ჩვენ ვახდენთ firmware მოდულების ყველა ასლის სარეზერვო ასლის შექმნას. ვამოწმებთ firmware მოდულის მთლიანობას. მოდულების წაკითხვისას პრობლემები არ არსებობს, თუმცა ანგარიშების ანალიზი გარკვეულ უცნაურობებს ავლენს.

სურ. 3. ზონების ცხრილი.

ყურადღებას ვაქცევთ ზონების განაწილების ცხრილს და ვამჩნევთ, რომ ცილინდრების რაოდენობაა 13845.

სურ. 4 P-სია (ძირითადი სია - წარმოების ციკლის დროს წარმოქმნილი დეფექტების სია).

ჩვენ აღვნიშნავთ დეფექტების უკიდურესად დაბალ რაოდენობას და მათ ადგილმდებარეობას. ჩვენ გადავხედეთ ქარხნული დეფექტების დამალვის ჟურნალს (60 სთ) და აღმოვაჩინეთ, რომ ის ცარიელია, არ შეიცავს ჩანაწერებს. ეს იმაზე მიუთითებს, რომ შესაძლოა რომელიმე წინა სერვის ცენტრმა შეცვალა დისკის მომსახურების არეალი, შემთხვევით ან განზრახ გადაწერა სხვა მოდული ან წაშალა დეფექტების სია ორიგინალიდან. ამის დასადასტურებლად, ჩვენ ვქმნით დავალებას Data Extractor-ში ჩართული „სექტორების მიხედვით ასლის შექმნის“ და „ვირტუალური თარჯიმნის შექმნის“ ოფციებით.

სურ. 5 დავალების პარამეტრები.

დავალების შექმნის შემდეგ, ჩვენ ვუყურებთ ნულოვანი სექტორის (LBA 0) დანაყოფების ცხრილში არსებულ ჩანაწერებს.

სურ. 6. მთავარი ჩატვირთვის ჩანაწერი და დანაყოფების ცხრილი.

0x1BE ოფსეტში არის ერთი ჩანაწერი (16 ბაიტი). დანაყოფზე ფაილური სისტემის ტიპია NTFS, დასაწყისთან ოფსეტი არის სექტორის 0x3F (63), ხოლო დანაყოფის ზომაა 0x011309A3 (18,024,867) სექტორი.
სექტორის რედაქტორში გახსენით LBA 63.

სურ. 7 NTFS ჩატვირთვის სექტორი

NTFS დანაყოფის ჩატვირთვის სექტორში არსებული ინფორმაციის მიხედვით, შეიძლება ითქვას შემდეგი: ტომში მიღებული სექტორის ზომაა 512 ბაიტი (სიტყვა 0x0200 (512) იწერება 0x0B ოფსეტზე), კლასტერში სექტორების რაოდენობაა 8 (ბაიტი 0x08 იწერება 0x0D ოფსეტზე), კლასტერის ზომაა 512x8=4096 ბაიტი, პირველი MFT ჩანაწერი მდებარეობს დისკის დასაწყისიდან 6,291,519 სექტორის ოფსეტზე (0x30 ოფსეტზე ოთხმაგი სიტყვა 0x00 00 00 00 00 0C 00 00 (786,432) არის პირველი MFT კლასტერის ნომერი. სექტორის ნომერი გამოითვლება ფორმულით: კლასტერის ნომერი * სექტორების რაოდენობა კლასტერში + ოფსეტი დანაყოფის დასაწყისამდე 786,432* 8+63= 6,291,519).
გადავიდეთ 6 291 519 სექტორზე.

Fig. 8

თუმცა, ამ სექტორში შემავალი მონაცემები სრულიად განსხვავდება MFT ჩანაწერისგან. მიუხედავად იმისა, რომ ეს მიუთითებს შესაძლო არასწორ თარგმანზე არასწორი დეფექტების სიის გამო, ეს ამას არ ადასტურებს. ამის შემდგომი დასადასტურებლად, ჩვენ წავიკითხავთ დისკს ერთდროულად 10,000 სექტორს ორივე მიმართულებით, 6,291,519 სექტორთან მიმართებაში. შემდეგ, ჩვენ მოვძებნით რეგულარულ გამოსახულებებს წაკითხულ მონაცემებში.

სურ. 9 პირველი MFT ჩანაწერი

სექტორ 6,291,551-ში ვპოულობთ პირველ MFT ჩანაწერს. მისი პოზიცია გამოთვლილისგან 32 სექტორით განსხვავდება და შემდეგ მოდის 16 ჩანაწერისგან შემდგარი უწყვეტი ჯგუფი (0-დან 15-მდე). სექტორ 6,291,519-ის პოზიციას შეგვყავს ცვლის ცხრილში და მას 32 სექტორით წინ გადავიწევთ.

Fig. 10

ჩანაწერი #16 უნდა იყოს 12,551,431 ოფსეტში, მაგრამ MFT ჩანაწერის ნაცვლად იქ ნულებს ვპოულობთ. მოდით, მსგავსი ძიება ჩავატაროთ მიმდებარე ტერიტორიაზე.

სურ. 11 MFT ჩანაწერი 0x00000011 (17)

აღმოჩენილია დიდი MFT ფრაგმენტი, რომელიც იწყება ჩანაწერის ნომრით 17 (53,646 ჩანაწერის სიგრძის) და 17 სექტორის ოფსეტითაა დაფიქსირებული. 12,155,431 პოზიციისთვის, ოფსეტების ცხრილში შეგვყავს +17 სექტორის ოფსეტი.
MFT ფრაგმენტების სივრცითი პოზიციების განსაზღვრის შემდეგ, შეგვიძლია დავასკვნათ, რომ ეს არ არის შემთხვევითი შეცდომა ან MFT ფრაგმენტების არასწორი ოფსეტებით ჩაწერა. არასწორი თარჯიმნის თეორია შეიძლება დადასტურებულად ჩაითვალოს.
ცვლის წერტილების უფრო ლოკალიზაციისთვის, ჩვენ დავადგენთ მაქსიმალურ შესაძლო ოფსეტს. ამისათვის ჩვენ განვსაზღვრავთ NTFS დანაყოფის ბოლო მარკერის (ჩატვირთვის სექტორის ასლის) ცვლას. ნახაზ 7-ში, 0x28 ოფსეტზე, ოთხსიტყვა არის დანაყოფის ზომის მნიშვნელობა: 0x00 00 00 00 01 13 09 A2 (18,024,866) სექტორები. დისკის დასაწყისიდან დანაყოფის ოფსეტის მის სიგრძეზე დამატება იძლევა NTFS ბოლო მარკერის ოფსეტს 18,024,866 + 63 = 18,024,929. როგორც მოსალოდნელი იყო, საჭირო ჩატვირთვის სექტორის ასლი იქ ვერ მოიძებნა. მიმდებარე ტერიტორიაზე ძიებისას გამოვლინდა, რომ ის ბოლო MFT ფრაგმენტთან შედარებით +12 სექტორით მზარდი ცვლით იყო.

სურ. 12 NTFS ჩატვირთვის სექტორის ასლი

ჩვენ უგულებელვყოფთ ჩატვირთვის სექტორის სხვა ასლს 18,041,006 ოფსეტზე, რადგან ის არარელევანტურია ჩვენი დანაყოფისთვის. წინა კვლევების საფუძველზე დადგინდა, რომ დანაყოფი შეიცავს ტრანსლაციის დროს „გამოჩენილ“ 61 სექტორების ჩანართებს, რომლებმაც მონაცემები ჩაანაცვლა.
ჩვენ ვასრულებთ დისკის სრულ წაკითხვას, რის შედეგადაც 34 წაუკითხავი სექტორი რჩება. სამწუხაროდ, შეუძლებელია საიმედოდ იმის გარანტირება, რომ ყველა მათგანი P-სიიდან ამოღებული დეფექტია, მაგრამ მიზანშეწონილია მათი პოზიციების გათვალისწინება შემდგომი ანალიზის დროს, რადგან ზოგიერთ შემთხვევაში შესაძლებელი იქნება გადახრის წერტილების საიმედოდ განსაზღვრა სექტორის დონის სიზუსტით და არა ფაილის დონის სიზუსტით.

სურ. 13 დისკის წაკითხვის სტატისტიკა.

ჩვენი შემდეგი ამოცანაა გადაადგილებების სავარაუდო მდებარეობის დადგენა (ფაილამდე, რომელშიც ისინი მოხდა). ამისათვის ჩვენ დავასკანირებთ ყველა MFT ჩანაწერს და შევქმნით ფაილის (ფაილის ფრაგმენტის) მდებარეობის ჯაჭვებს.

სურ. 14. ფაილების მდებარეობის ჯაჭვები ან მათი ფრაგმენტები.

შემდეგ, ფაილიდან ფაილზე გადასვლისას, ჩვენ ვეძებთ წერტილს, სადაც მოსალოდნელი ფაილის სათაური იცვლება სხვა რამით და სასურველი სათაური ჩნდება დადებითი ოფსეტით. ამ ოფსეტების დახვეწასთან ერთად, ჩვენ ვავსებთ ცხრილს. შევსების შემდეგ, ფაილების 99%-ზე მეტი დაუზიანებელი დარჩება.

სურ. 15. მომხმარებლის ფაილების სია (კლიენტმა თანხმობა განაცხადა ამ ეკრანის ანაბეჭდის გამოქვეყნებაზე)

ცალკეულ ფაილებში კონკრეტული ცვლილებების იდენტიფიცირებისთვის, შესაძლებელი იყო დამატებითი სამუშაოს შესრულება და, ფაილის სტრუქტურის გათვალისწინებით, ფაილთან დაუკავშირებელი მონაცემების ჩართულობის პოვნა. თუმცა, ამ ამოცანისთვის ეს არ იყო ეკონომიურად ეფექტური.

P.S. ასევე მინდა მივმართო ჩემს კოლეგებს, რომლებსაც ადრე უმუშავიათ ამ დისკზე. გთხოვთ, ფრთხილად იყოთ მოწყობილობის ფირმვერთან მუშაობისას და ნებისმიერი ცვლილების შეტანამდე შექმნათ სერვისის მონაცემების სარეზერვო ასლი. ასევე, გთხოვთ, თავი აარიდოთ პრობლემის განზრახ გამწვავებას, თუ ვერ შეძელით კლიენტთან შეთანხმებას შესასრულებელი სამუშაოს შესახებ.

წინა პუბლიკაცია: მატჩებზე დაზოგვა ან მონაცემების აღდგენა Seagate ST3000NC002-1DY166 მყარი დისკიდან

წყარო: www.habr.com