აგონიაში გავლა ან მონაცემთა აღდგენის ერთი მცდელობის ხანგრძლივი ისტორია

2019 წელი იყო. ჩვენმა ლაბორატორიამ მიიღო QUANTUM FIREBALL Plus KA დისკი 9.1 GB ტევადობით, რაც არც თუ ისე გავრცელებულია ჩვენს დროში. დისკის მფლობელის თქმით, გაუმართაობა მოხდა ჯერ კიდევ 2004 წელს ელექტრომომარაგების გაუმართაობის გამო, რომელმაც თან წაიღო მყარი დისკი და კომპიუტერის სხვა კომპონენტები. შემდეგ იყო ვიზიტები სხვადასხვა სერვისებში დისკის შეკეთების და მონაცემების აღდგენის მცდელობებით, რომლებიც წარუმატებელი აღმოჩნდა. ზოგ შემთხვევაში გვპირდებოდნენ, რომ იაფი იქნებოდა, მაგრამ პრობლემას ვერასდროს მოაგვარებდნენ, ზოგ შემთხვევაში ძალიან ძვირი ღირდა და კლიენტს არ სურდა მონაცემების აღდგენა, მაგრამ საბოლოოდ დისკმა გაიარა მრავალი სერვის ცენტრი. ის რამდენჯერმე დაიკარგა, მაგრამ იმის წყალობით, რომ მფლობელმა წინასწარ იზრუნა დისკზე სხვადასხვა სტიკერებიდან ინფორმაციის ჩაწერაზე, მან მოახერხა იმის უზრუნველყოფა, რომ მისი მყარი დისკი დაბრუნებულიყო ზოგიერთი სერვის ცენტრიდან. გასეირნებამ უკვალოდ არ ჩაიარა, შედუღების მრავალი კვალი დარჩა თავდაპირველ კონტროლერის დაფაზე, ასევე ვიზუალურად იგრძნობოდა SMD ელემენტების ნაკლებობა (წინასდროს რომ ვუყურებ, ვიტყვი, რომ ეს ამ დისკის ყველაზე მცირე პრობლემაა).

ბრინჯი. 1 HDD Quantum Fireball Plus KA 9,1 GB

პირველი, რაც უნდა გაგვეკეთებინა, იყო დონორთა არქივში ამ დისკის ასეთი უძველესი ტყუპისცალი ძმის მოძიება სამუშაო კონტროლერის დაფით. როდესაც ეს ქვესტი დასრულდა, შესაძლებელი გახდა ფართო დიაგნოსტიკური ღონისძიებების ჩატარება. ძრავის გრაგნილების მოკლე ჩართვის შემოწმების შემდეგ და დავრწმუნდებით, რომ არ არის მოკლე ჩართვა, ვამონტაჟებთ დაფას დონორის დრაივიდან პაციენტის დისკზე. ჩვენ ვიყენებთ ძალას და გვესმის ლილვის მაღლა ტრიალების ნორმალური ხმა, ჩავაბარებთ კალიბრაციის ტესტს პროგრამული უზრუნველყოფის ჩატვირთვით და რამდენიმე წამის შემდეგ დისკი რეგისტრებით იტყობინება, რომ ის მზად არის უპასუხოს ბრძანებებს ინტერფეისიდან.

ბრინჯი. 2 DRD DSC ინდიკატორი მიუთითებს ბრძანებების მიღების მზადყოფნაზე.

ჩვენ ვქმნით firmware მოდულის ყველა ასლის სარეზერვო ასლს. ჩვენ ვამოწმებთ firmware მოდულების მთლიანობას. მოდულების კითხვის პრობლემა არ არის, მაგრამ ანგარიშების ანალიზი აჩვენებს, რომ არის უცნაურობები.

ბრინჯი. 3. ზონის ცხრილი.

ყურადღებას ვაქცევთ ზონალურ განაწილების ცხრილს და აღვნიშნავთ, რომ ცილინდრების რაოდენობაა 13845.

ბრინჯი. 4 P- სია (პირველადი სია – წარმოების ციკლის დროს დანერგილი დეფექტების ჩამონათვალი).

ჩვენ ყურადღებას ვაქცევთ დეფექტების ძალიან მცირე რაოდენობას და მათ ადგილმდებარეობას. ჩვენ ვუყურებთ ქარხნული დეფექტის დამალვის ჟურნალის მოდულს (60 სთ) და აღმოვაჩენთ, რომ ის ცარიელია და არ შეიცავს ერთ ჩანაწერს. ამის საფუძველზე შეგვიძლია ვივარაუდოთ, რომ ერთ-ერთ წინა სერვის ცენტრში შეიძლება გაკეთებულიყო გარკვეული მანიპულაციები დისკის სერვისის ზონასთან და შემთხვევით ან განზრახ დაიწერა უცხო მოდული, ან დეფექტების სია ორიგინალში. ერთი გასუფთავდა. ამ ვარაუდის შესამოწმებლად, ჩვენ ვქმნით დავალებას Data Extractor-ში, სადაც ჩართულია „სექტორის მიხედვით ასლის შექმნა“ და „ვირტუალური მთარგმნელის შექმნა“.

ბრინჯი. 5 დავალების პარამეტრი.

დავალების შექმნის შემდეგ, ჩვენ ვუყურებთ დანაყოფების ცხრილის ჩანაწერებს ნულოვანი სექტორში (LBA 0)

ბრინჯი. 6 ძირითადი ჩატვირთვის ჩანაწერი და დანაყოფის ცხრილი.

ოფსეტზე 0x1BE არის ერთი ჩანაწერი (16 ბაიტი). ფაილური სისტემის ტიპი დანაყოფზე არის NTFS, ოფსეტური 0x3F (63) სექტორების დასაწყისში, დანაყოფის ზომა 0x011309A3 (18) სექტორები.
სექტორის რედაქტორში გახსენით LBA 63.

ბრინჯი. 7 NTFS ჩატვირთვის სექტორი

NTFS დანაყოფის ჩატვირთვის სექტორში არსებული ინფორმაციის თანახმად, შეგვიძლია ვთქვათ შემდეგი: ტომში მიღებული სექტორის ზომა არის 512 ბაიტი (სიტყვა 0x0 (0) იწერება ოფსეტურით 0200x512B), კლასტერში სექტორების რაოდენობა არის 8 (ბაიტი 0x0 იწერება ოფსეტურით 0x08D), კლასტერის ზომაა 512x8=4096 ბაიტი, პირველი MFT ჩანაწერი მდებარეობს დისკის დასაწყისიდან 6 სექტორის ოფსეტურზე (291x519 ოთხმაგი სიტყვა 0x30 ოფსეტურით. 0 00C 00 00 (00) პირველი MFT კლასტერის ნომერი სექტორის ნომერი გამოითვლება ფორმულით: კლასტერის ნომერი * სექტორების რაოდენობა კლასტერში + ოფსეტური განყოფილების დასაწყისში 00* 0+00= 00).
გადავიდეთ 6 სექტორზე.

Fig. 8

მაგრამ ამ სექტორში არსებული მონაცემები სრულიად განსხვავდება MFT ჩანაწერისგან. მიუხედავად იმისა, რომ ეს მიუთითებს შესაძლო არასწორ თარგმანზე არასწორი დეფექტების სიის გამო, ეს არ ადასტურებს ამ ფაქტს. შემდგომი შესამოწმებლად, ჩვენ წავიკითხავთ დისკს 10 სექტორის მიხედვით ორივე მიმართულებით 000 სექტორთან შედარებით. შემდეგ კი ჩვენ ვეძებთ რეგულარულ გამონათქვამებს წაკითხულში.

ბრინჯი. 9 პირველი MFT ჩაწერა

6 სექტორში ვხვდებით პირველ MFT ჩანაწერს. მისი პოზიცია გამოთვლილიდან განსხვავდება 291 სექტორით, შემდეგ კი მუდმივად მიჰყვება 551 ჩანაწერის ჯგუფი (32-დან 16-მდე). მოდით შევიტანოთ 0 სექტორის პოზიცია ცვლის ცხრილში და გადავიდეთ წინ 15 სექტორით.

Fig. 10

მე-16 ჩანაწერის პოზიცია უნდა იყოს ოფსეტური 12, მაგრამ MFT ჩანაწერის ნაცვლად იქ ვპოულობთ ნულებს. ჩავატაროთ მსგავსი ძებნა მიმდებარე ტერიტორიაზე.

ბრინჯი. 11 MFT ჩანაწერი 0x00000011 (17)

აღმოჩენილია MFT-ის დიდი ფრაგმენტი, დაწყებული ჩანაწერის ნომრით 17, სიგრძით 53 ჩანაწერი) 646 სექტორის ცვლა. 17 პოზიციისთვის, ჩადეთ +12 სექტორის ცვლა ცვლის ცხრილში.
MFT ფრაგმენტების პოზიციის დადგენის შემდეგ სივრცეში, შეგვიძლია დავასკვნათ, რომ ეს არ ჰგავს შემთხვევით მარცხს და MFT ფრაგმენტების ჩაწერას არასწორი ოფსეტებით. არასწორი მთარგმნელის მქონე ვერსია შეიძლება დადასტურებულად ჩაითვალოს.
გადაადგილების წერტილების შემდგომი ლოკალიზაციისთვის, ჩვენ დავაყენებთ მაქსიმალურ შესაძლო გადაადგილებას. ამისათვის ჩვენ განვსაზღვრავთ რამდენად არის გადატანილი NTFS დანაყოფის ბოლო მარკერი (ჩატვირთვის სექტორის ასლი). ნახაზზე 7, ოფსეტურით 0x28, ოთხსიტყვა არის 0x00 00 00 00 01 13 09 A2 (18) სექტორების დანაყოფის ზომის მნიშვნელობა. მოდით დავამატოთ თავად დანაყოფის ოფსეტი დისკის დასაწყისიდან მის სიგრძეზე და მივიღებთ ბოლო NTFS მარკერის ოფსეტს 024 + 866= 18. როგორც მოსალოდნელი იყო, ჩატვირთვის სექტორის საჭირო ასლი არ იყო. მიმდებარე ტერიტორიის ძიებისას, იგი ნაპოვნი იქნა +024 სექტორის მზარდი ცვლასთან შედარებით ბოლო MFT ფრაგმენტთან.

ბრინჯი. 12 NTFS ჩატვირთვის სექტორის ასლი

ჩვენ უგულებელყოფთ ჩატვირთვის სექტორის სხვა ასლს ოფსეტურით 18, რადგან ის არ არის დაკავშირებული ჩვენს დანაყოფთან. წინა აქტივობებიდან გამომდინარე დადგინდა, რომ განყოფილებაში 041 სექტორის ჩართვაა გადაცემაში „გამოჩენილი“, რამაც გააფართოვა მონაცემები.
ჩვენ ვასრულებთ დისკის სრულ წაკითხვას, რომელიც ტოვებს 34 წაუკითხავ სექტორს. სამწუხაროდ, შეუძლებელია საიმედოდ გარანტია იმისა, რომ ყველა მათგანი არის P- სიიდან ამოღებული დეფექტები, მაგრამ შემდგომი ანალიზის დროს მიზანშეწონილია მათი პოზიციის გათვალისწინება, რადგან ზოგიერთ შემთხვევაში შესაძლებელი იქნება ცვლის წერტილების საიმედოდ განსაზღვრა. სექტორის სიზუსტე და არა ფაილი.

ბრინჯი. 13 დისკის წაკითხვის სტატისტიკა.

ჩვენი შემდეგი ამოცანა იქნება ცვლის სავარაუდო მდებარეობების დადგენა (ფაილის სიზუსტეზე, რომელშიც ისინი მოხდა). ამისათვის ჩვენ ყველა MFT ჩანაწერს სკანირებთ და ავაშენებთ ფაილების მდებარეობის ჯაჭვებს (ფაილის ფრაგმენტებს).

ბრინჯი. 14 ფაილების ან მათი ფრაგმენტების ადგილმდებარეობის ჯაჭვები.

შემდეგ, ფაილიდან ფაილში გადასვლისას, ჩვენ ვეძებთ მომენტს, როდესაც მოსალოდნელი ფაილის სათაურის ნაცვლად სხვა მონაცემები იქნება და სასურველი სათაური მოიძებნება გარკვეული დადებითი ცვლით. და როცა ვაზუსტებთ ცვლის წერტილებს, ვავსებთ ცხრილს. მისი შევსების შედეგი იქნება ფაილების 99%-ზე მეტი დაზიანების გარეშე.

ბრინჯი. 15 მომხმარებლის ფაილების სია (კლიენტისგან მიღებული იქნა თანხმობა ამ ეკრანის ანაბეჭდის გამოქვეყნებაზე)

ცალკეულ ფაილებში წერტილოვანი ცვლის დასადგენად, შეგიძლიათ განახორციელოთ დამატებითი სამუშაოები და, თუ იცით ფაილის სტრუქტურა, იპოვოთ მონაცემების ჩანართები, რომლებიც არ არის დაკავშირებული მასთან. მაგრამ ამ ამოცანაში ეს არ იყო ეკონომიკურად შესაძლებელი.

PS მინდა ასევე მივმართო ჩემს კოლეგებს, რომელთა ხელში იყო ადრე ეს დისკი. გთხოვთ, ფრთხილად იყოთ მოწყობილობის firmware-თან მუშაობისას და შექმენით სერვისის მონაცემების სარეზერვო ასლი, სანამ რამეს შეცვლით, და განზრახ ნუ გაამწვავებთ პრობლემას, თუ ვერ ეთანხმებით კლიენტს სამუშაოზე.

წინა პუბლიკაცია: მატჩების შენახვა ან მონაცემების აღდგენა დაფქვილი HDD Seagate ST3000NC002-1DY166

წყარო: www.habr.com