In dit artikel worden methoden beschreven voor de zelfdiagnose van verschillende storingen van harde schijven op basis van symptomen, evenals manieren voor relatief veilig klonen van harde schijven met kleine problemen.
Verschillende gevallen van gegevensverlies worden besproken, evenals een set optimale acties die, zonder diepgaande kennis van bestandssystemen, u met behulp van automatische herstelprogramma's kunnen helpen uw informatie terug te krijgen zonder externe hulp.
Maar voordat u met enige zelfacties begint, is het noodzakelijk om alle materialen in het artikel zorgvuldig door te nemen, en pas daarna de staat van uw harde schijf te analyseren, zodat uw pogingen niet de laatste zijn in het leven van de schijf, en u niet uw laatste hoop op herstel van de benodigde gegevens verliest.
INHOUD
Deel één: Diagnostiek
Deel twee: Gegevensherstel.
Door akkoord te gaan met het opvolgen van verdere instructies, erkent u dat niemand anders dan uzelf verantwoordelijkheid draagt voor eventuele storing van de schijf en onherroepelijk gegevensverlies. De set maatregelen is bedoeld om de kans op een ongunstig resultaat te verkleinen, maar biedt geen 100% garantie.
Diagnostiek
1. Visuele inspectie
Controleer de schijf op vervormingen, ontbrekende of doorgebrande elementen op de controllerplaat, en controleer de integriteit van de connectoren. Als er ernstige schade of doorgebrande elementen worden aangetroffen, wordt het ten zeerste afgeraden om stroom op zo'n schijf aan te sluiten, om verdere schade te voorkomen.
Gebruik een schroevendraaier (meestal Torx - T5, T6, T9) om de schroeven los te draaien die de controllerplaat vastzetten, en controleer de staat van de contactpunten op de controllerplaat.
Figuur 2 toont een oxidelaag op de contactpunten
Als er oxidatie aanwezig is, kunt u proberen deze met een gewone gum van de contactoppervlakken te verwijderen. Het werken met de gum kan alleen bovenop vlakke oppervlakken, zoals in de afbeelding. In andere gevallen is dit soort actie niet toepasbaar.
Figuur 3 schoongemaakte contactoppervlakken.
Als er schade aan de printplaat is geconstateerd, is het niet aan te raden om bij moderne harde schijven een controllerplaat van een vergelijkbare opslag te proberen te vervangen, omdat in moderne apparaten in het geheugen op de printplaat verschillende adaptieve parameters kunnen zijn opgeslagen die tijdens de productiecyclus worden gevormd en uniek zijn voor elke opslag. In relatief zeldzame gevallen kan het gebruik van verkeerde parameters schade aan de harde schijf veroorzaken.
Als u een soldeerstation heeft, moet u de MCU, EEPROM, NV-RAM, NAND verplaatsen (afhankelijk van wat er op de controllerplaat aanwezig is en wat absoluut moet worden overgezet) en na een dergelijke aanpassing een donorcontroller gebruiken. Het is belangrijk op te merken dat voor de aanpassing van veel controllers het voldoende is om alleen de EEPROM-chip over te zetten.
Bij het selecteren van een printplaat moet u in de eerste plaats kijken naar het geëtste nummer van de PCB. Vervolgens beoordeelt u de overeenstemming van de markeringen van de MCU en VCM&SM van de controller. Als de markeringen van de MCU en VCM&SM-controller op de originele printplaat en de donorplaat verschillen, is de kans groot dat de potentiële donorprintplaat niet geschikt is. Binnen één familie kunnen verschillende versies van printplaten bestaan, en in sommige gevallen kunnen ze compatibel zijn met bepaalde beperkingen, maar het is niet aan te raden om dit thuis uit te zoeken.
Het proberen om een ongeschikte controllerplaat (met een ander nummer op de PCB) te gebruiken kan leiden tot het doorbranden van de versterker-schakelaar.
Controleer met een multimeter de 5V- en 12V-circuits op kortsluiting. Controleer ook de weerstand van de motorwikkelingen. Als er een gegarandeerd werkende, exact dezelfde schijf beschikbaar is (met dezelfde fabrikant, modelreeks, revisie van de controllerkaart), kunt u controleren of hetzelfde aantal aansluitingen op de schakelaardoos doorverbonden is met 'aarde', en de weerstanden vergelijken. Bij significante verschillen kan worden geconcludeerd dat de schakelaar-versterker defect is, en moet u stoppen met verdere pogingen om gegevens zelf te herstellen.
2. Teststart
Zorg ervoor dat uw testsysteem goed functioneert om verkeerde diagnoses te voorkomen. Als er geen externe oorzaken zijn die de opstartpoging verhinderen, sluit dan de interfacekabel en voedingskabel aan op de juiste aansluitingen en zet de voeding aan.
Als u zeker weet dat de schijf is gevallen of tijdens werking is geraakt, of als hij eerder stottergeluiden maakte voordat hij bij u kwam, probeer dan niet om hem in te schakelen.
In deze gevallen is het noodzakelijk om de harde schijf te openen in een laminaire box (of schone kamer) en grondig te onderzoeken met behulp van een microscoop.
Figuur 4 aansluitingen van de kabels op de harde schijven.
Na het inschakelen van de voeding moet de schijf beginnen met draaien. In sommige gevallen kan dit niet gebeuren met volkomen werkende schijven als om de een of andere reden in de instellingen van de schijf een commando voor spin-up vereist is.
Bij het draaien van de as klinkt er een licht geluid door de luchtstroom. In sommige schijven is dit nauwelijks hoorbaar, dus u kunt een stethoscoop gebruiken (of de schijf dicht bij uw oor houden, met inachtneming van alle veiligheidsvoorschriften om kortsluiting te voorkomen).
Als in plaats van het luchtgeluid een reeks cyclische zoemingen, stille piepjes of geluiden hoorbaar zijn die op telefoongeluiden lijken, kan de schijf waarschijnlijk de as van de motor niet laten draaien. Mogelijke oorzaken zijn: vastzitten van de BMG buiten het parkeergebied, blokkade van de motoras, defect van de VCM&SM-controllerchip.
Als er een geschikte donoropslag beschikbaar is, kan de versie met een defecte VCM&SM-controller worden gecontroleerd, mits u bereid bent de noodzakelijke aanpassingen aan de donorplaat uit te voeren zoals beschreven in het onderdeel 'visuele inspectie'.
In gevallen van vastlopen van de BMG buiten de parkeerplaats leiden zelfredzame acties op basis van video's op YouTube meestal tot extra krassen op de oppervlakken van de platen of het loskomen van sliders. Zelfs als het u lukt om de BMG relatief succesvol naar de parkeerplaats te krijgen, zullen de defecten in de polymeren coating op de plaats waar de sliders vastliepen, microkrassen van de sliders die zijn ontstaan tijdens het verplaatsen van de BMG, samen met de offline scanningsprocedures en stof uit niet-gezuiverde lucht, u waarschijnlijk niet in staat stellen om een aanzienlijke hoeveelheid gegevens in de overgrote meerderheid van de gevallen te lezen voordat zich verder onomkeerbare degradatieprocessen ontwikkelen. U kunt in dit artikel lezen hoe het dataverzamelingsproces in dergelijke gevallen in een gespecialiseerd bedrijf plaatsvindt.
Bij het vastlopen van de motoras is meestal een verplaatsing van het schijvenpakket naar de hermetische behuizing van de donoropslag vereist. Een dergelijke actie zal in huis zonder de juiste voorbereiding en zonder de benodigde gereedschappen in 99,9% van de gevallen falen.
Als er geen geluid is bij het inschakelen van de voeding en de opslag begint de as niet te draaien, zijn de volgende diagnoses mogelijk: de controllerplaat is defect, de voorversterker is defect, de BMG is defect.
Nadat de opslag de as heeft laten draaien, moet deze calibreren, de firmware lezen en, na het initialiseren van het transmissiesysteem, klaar zijn voor gebruik. Als er in plaats van calibratie cyclisch kloppende geluiden, krassende of andere heldere geluiden te horen zijn, moet u de opslag onmiddellijk uitschakelen. Oorzaken van dergelijke verschijnselen kunnen zijn: defect van de BMG of de voorversterker, defect van de VCM&SM-controllerchip.
Microprograms of certain drives perform a survey of the switch-amplifier before the spindle motor spins up, and in cases of incorrect response or exceeding resistance on any of the heads, an emergency stop of the initial initialization process is performed. Unfortunately, not all microprograms sufficiently control the integrity of the device itself and allow attempts to start a blatantly problematic hard drive. It is recommended to perform BMG swaps in a laminar flow clean box with specialized tools. Additionally, it is necessary to know how to select a donor to choose one with a suitable revision of the switch-amplifier, head card, and closely related adaptive parameters. Simply matching the manufacturer and model does not guarantee that the drive is a suitable donor. Even if one manages to independently select a donor and perform the transplant procedure, it is unlikely that serious data volumes can be read due to accompanying issues.
What actions can be taken in the event of a faulty controller board is outlined in the section "Visual Inspection."
Fig. 5 heavily scratched surface of the plate (multiple grooves).
It is important to understand that with each attempt to power on a drive with a faulty BMG, there are risks of further damage to the surfaces of the plates, which may lead to a complete inability to recover the data.
If the drive does not make any suspicious sounds, then after completing all initialization procedures, it should be ready. From this moment, the drive should be ready to exchange data through the interface, and if connected to the motherboard port of the PC, it should respond to the BIOS request for the passport. If everything is fine with the connection and BIOS settings, but the disk remains invisible to the PC, it is most likely due to issues in the drive's microprogram that prevent it from becoming ready.
Als de opslagapparaat onjuiste gegevens teruggeeft, bijvoorbeeld alleen de modelnaam en een nulpuntcapaciteit, of als de modelnaam niet helemaal klopt, en het serienummer ontbreekt, duidt dit erop dat de initialisatieprocedures onvoltooid zijn en er problemen zijn met de firmware. In dergelijke gevallen is het meestal onmogelijk om het probleem zelfstandig op te lossen zonder professionele software-hardwarecomplexen.
Een afzonderlijke uitzondering is het geval van de Seagate 7200.11 (van de Moose-familie), waarbij enkele problemen konden worden opgelost met behulp van een RS232-TTL-adapter en een gewone terminal, maar men moet zich realiseren dat zonder begrip van het microcodeprobleem de risico's zijn dat de situatie aanzienlijk verergert.
Het is ten zeerste af te raden om deze methode toe te passen op andere families, omdat dit zal leiden tot een incorrecte herschaling van de translator, die in de overgrote meerderheid van de gevallen niet correct zal zijn, en toegang tot de gebruikerszone zal slechts tot het eerste discrepantiepunt zijn. Dataherstel is in dit geval aanzienlijk gecompliceerd.
Als in het door de opslagapparaat gegeven rapport alle velden correct zijn behalve de capaciteit, dan moet worden gecontroleerd of dit het gevolg is van een BIOS-fout van bepaalde moederborden, die, door gebruik te maken van HPA-besturingscommando's, in plaats van een klein stuk van het LBA-bereik af te snijden om een kopie van het BIOS te bewaren, bijna 1TB afsnijden.
Figuur 6: rapportcapaciteit van de schijf van 1TB na onjuiste verwerking door de BIOS van het moederbord van Gigabyte.
Om dit probleem op te lossen, kan HDAT2 of een vergelijkbare gratis diagnostische software worden gebruikt, waarmee de originele rapportcapaciteit van de opslagapparaat kan worden hersteld, en ook de mogelijkheid van HPA-besturing in DCO kan worden uitgeschakeld om herhaling van het probleem te voorkomen.
3. Voorbereiding op testen
Bij het testen van schijven buiten professionele complexen is het belangrijk om het besturingssysteem van tevoren voor te bereiden. Het is nodig om automatische schijfvolume-montage te verbieden om te voorkomen dat het besturingssysteem zelf aan de slag gaat.
In Windows moet dit met administratorrechten worden uitgevoerd. diskpart en voer het commando uit. automount disable. Als de potentieel problematische schijf eerder is aangesloten op dit besturingssysteem, moeten de montageteparameters uit het register worden verwijderd met het commando. automount scrub. Om deze instellingen van kracht te laten worden, wordt een herstart aanbevolen.
Daarnaast is het noodzakelijk om diagnostische software voor te bereiden. Onder Windows kan gratis PC3000 DiskAnalyzer worden gebruikt, dat naast de diagnostische functie ook de mogelijkheid biedt om een sectoriële kopie te maken. Het is ook aan te raden om een opstartbare USB-flashdrive met HDAT2 bij de hand te hebben.
Het is niet verplicht om uitsluitend deze software voor diagnostiek te gebruiken. Er kunnen ook andere alternatieven worden gebruikt, behalve enkele niet-gratis software voor te vertrouwen gebruikers, waarin zulke slogans als «… unieke programma voor regeneratie van fysiek beschadigde harde schijven. Het verbergt geen slechte sectoren, het herstelt ze echt!». Bij zeer luidruchtige claims heeft dergelijke software in wezen bescheiden mogelijkheden die niet verder gaan dan die van gratis software, en de ideologie van werken met defecten is meer gericht op het definitief uitschakelen van de opslag, dan op hulp bij het later verkrijgen van gegevens.
Als de opstarttijd van het besturingssysteem aanzienlijk is toegenomen, zelfs bij het uitschakelen van de automatische montage van volumes, is het aanbevolen om enige zelfactiviteit te staken, om verergering van het probleem te voorkomen.
Een aanzienlijke toename van de opstarttijd van het besturingssysteem bij aansluiting van een potentieel problematische harde schijf is een kenmerkend signaal dat er defecten op het oppervlak van de schijven kunnen zijn. De vertragingen in het opstarten van het besturingssysteem ontstaan door toegang tot defecte sectoren en de pogingen van de firmware om offline scans uit te voeren, waarvoor het niet geschikt is.
Na succesvolle installatie van het besturingssysteem, ga naar het Apparaatbeheer en controleer of uw schijf aanwezig is in de lijst met apparaten. Als deze daar niet staat, controleer dan of de stuurprogramma's voor de controller waaraan deze is verbonden zijn geïnstalleerd en of de controller zelf niet is uitgeschakeld in de lijst met apparaten. Als de stuurprogramma's en de instellingen van het besturingssysteem in orde zijn, maar de schijf niet verschijnt of na enige tijd weer verdwijnt, duidt dit meestal op een breed scala aan defecten. De meest waarschijnlijke zijn defecten aan de controllerkaart, vastlopen van de firmware van de schijf, of de schijf die in een noodmodus gaat en niet meer normaal reageert op de meeste commando's.
Om de diagnose te verduidelijken, kunt u proberen DOS op te starten en met behulp van HDAT2 de S.M.A.R.T. parameters te bekijken. Als er tekenen van defectvorming worden aangetroffen (niet-nul waarden voor 5 en 197(C5) in de ongenormeerde waarden), dan kan worden geconcludeerd dat zonder ingrijpen in de instellingen van de firmware thuis er niets kan worden gedaan. Als er geen tekenen van defectvorming zijn, kan de oorzaak van de vastlopers liggen in de onjuiste werking van de controllerkaart. In dat geval kunt u proberen een controllerkaart van een donor-schijf te gebruiken.
4. Testen
Na de bovenstaande stappen te hebben doorlopen en geen goede reden te hebben gezien om het proces te stoppen, kunt u verder gaan met het beoordelen van de toestand van de schijf. De meeste schijven die in deze eeuw zijn uitgebracht, zijn uitgerust met S.M.A.R.T. technologie, die de toestand van de schijf controleert en verschillende gebeurtenissen tijdens het gebruik registreert. U kunt meer lezen over de implementatie van deze technologie in HDD's en welke parameters bij het gebruik van schijven in de gaten moeten worden gehouden in ons artikel .
Met behulp van diagnostische software moet u de S.M.A.R.T. parameters opvragen.
Figuur 7 S.M.A.R.T. attributen van een gezonde harde schijf
Het is belangrijk om de waarden van de attributen 5 en 197(C5) te evalueren. Als de waarden in de kolom RAW nul zijn of als er maar enkele probleemindicatoren zijn, dan moet u verdergaan met verdere tests.
Figuur 8 S.M.A.R.T. attributen van een schijf met ernstige defectvorming
Als het aantal defect kandidaten een drie- of viercijferig getal is, zullen verdere pogingen om het oppervlak te testen of te scannen met gegevensherstelhulpmiddelen in de meeste gevallen het probleem verergeren tot de volledige onmogelijkheid om gegevens te verkrijgen.
Om gegevens in dergelijke gevallen te verkrijgen, is het belangrijk om in te grijpen in de instellingen van de firmware van de schijven en offline scans, evenals S.M.A.R.T.-logging uit te schakelen, om de schijf te ontlasten van achtergrondprocessen die de levensduur van het probleemapparaat aanzienlijk kunnen verkorten. Helaas zijn er geen eenvoudige manieren om dit te doen zonder diepe kennis van de architectuur van schijffirmware en zonder professionele complexen. De volgende taak is om de toestand van elke kop afzonderlijk te beoordelen en de belangrijkste defecte zones te lokaliseren. Lineaire lezing met meerdere herhalingen in defecte gebieden is in dergelijke gevallen niet aan te raden, aangezien dit te riskant is.
Zelfs als de schijf op het eerste gezicht goed functioneert en volgens de S.M.A.R.T.-gegevens geen defecten vertoont, is dat geen garantie dat ze er niet zijn. Daarom is het noodzakelijk om de laatste testfase uit te voeren en het oppervlak te verifiëren.
Het is belangrijk om het scanproces continu te controleren. Bij het verschijnen van vreemde geluiden of bij het aantreffen van grote zones met leesfouten, moet het proces onmiddellijk worden onderbroken en de schijf worden losgekoppeld om onomkeerbare gevolgen te voorkomen.
Figuur 9 Scanverloop van een goede schijf
Als het resultaat van het scannen van de schijf een monotoon dalend snelheidsverloop weergeeft en er geen leesfouten zijn geregistreerd, kan de schijf als goed worden beschouwd en kan worden overgegaan naar het volgende gedeelte.
Bij schijven met een grote media-cache en een overdracht die verschilt van de klassieke (meestal bij schijven met tegelopname (SMR)) kan het verloop een andere vorm hebben. Verschillende soorten uitval zijn mogelijk.
Figuur 10 Scanverloop van de schijf met een probleemkop
Als bij de verificatie van de schijf cyclische 'langzame' zones worden ontdekt, is dit een kenmerkend teken van een niet helemaal goed functionerende kop. Wacht niet tot defecten worden gevonden, maar stop onmiddellijk met testen.
In deze situatie is er weinig hoop op goede resultaten bij pogingen om gegevens zelf te herstellen. Met een hoge waarschijnlijkheid zal de schijf de poging om een sector-gebaseerde kopie te maken met behulp van beschikbare middelen niet overleven.
In gevallen waar in de S.M.A.R.T.-attributen 5 en 197 (C5) tekenen van defectvorming zijn gevonden, of waar tijdens de verificatie puntdefecten zijn ontdekt, is het noodzakelijk om een duplicaat van de schijf te maken.
5. Sectoriële kopie
Als uit de testresultaten blijkt dat de schijf in goede staat is en er geen problemen worden ontdekt, is het niet nodig om een sector-gebaseerde kopie te maken en kan er met de originele schijf worden gewerkt. Maar om verschillende soorten ongelukken te voorkomen, wordt ten zeerste aanbevolen deze stap niet over te slaan en verder alleen met de kopie te werken.
Bij een goed functionerende harde schijf of een schijf met een beperkt aantal defecten maakt het niet veel uit welke tool je gebruikt, zolang deze maar een volledige kopie maakt. Het is ook belangrijk om niet te proberen de opties van bepaalde programma's voor het maken van een gecomprimeerd beeld te gebruiken, omdat je later waarschijnlijk alleen met de mogelijkheden van de software kunt werken die zo'n afbeelding heeft gemaakt.
In Windows kunnen de volgende programma's worden gebruikt: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio en anderen.
In Linux is de standaard dd-opdracht voldoende.
Niet alle software is gratis, maar in veel gevallen zijn de mogelijkheden van de trial/demo-versie voldoende om een kopie van de schijf te maken.
Als voorbeeld gebruiken we WinHex voor het klonen van een schijf.
Figuur 11 opties in het menu WinHex voor het klonen van een schijf.
Op het tabblad 'Hulpmiddelen' kiezen we de optie 'Schijfhulpmiddelen' in het dropdownmenu en kiezen we 'Kloon schijf' of drukken we gewoon op Ctrl+D.
Figuur 12 instellingen voor kloningsparameters.
Als bron kiezen we de schijf die gekloond moet worden.
Als ontvanger kan een schijf met een gelijke of grotere capaciteit dienen, en het is ook mogelijk om naar een afbeeldingsbestand te klonen.
Zorg ervoor dat er voldoende vrije ruimte op de ontvangerschijf is.
In de kopieerinstellingen is het raadzaam om de optie 'fouten over te slaan' te gebruiken.
Als je opslagapparaat een fysiek sectorgrootte van 4096 byte heeft, maar in het besturingssysteem als een virtuele grootte van 512 byte wordt weergegeven, moet je de waarde op 8 instellen om onnodige leespogingen van de probleemsector te voorkomen.
«Sjabloon voor het vervangen van defecten in de bron» — geef een zoekwoord of zinsnede op die de sector in de kopie op de plaats van de onleesbare sectoren uit de bron zal invullen. Dit maakt het in de toekomst gemakkelijker om beschadigde bestanden te vinden.
Bij het maken van een kopie is het absoluut noodzakelijk om het proces voortdurend in de gaten te houden. Bij het verschijnen van vreemde geluiden, het vastlopen van het opslagapparaat of het ontdekken van meer defecten dan tijdens de eerste test, moet het proces onmiddellijk worden stopgezet en het apparaat worden losgekoppeld om onomkeerbare gevolgen te voorkomen.
Professionele datahersteltools, zoals DataExtractor, bieden veel grotere mogelijkheden voor het aanpassen van het kopieerscript en hebben ook controle over de status van het opslagapparaat, wat de kans op een succesvol herstel aanzienlijk vergroot wanneer er een competente specialist beschikbaar is.
Figuur 13 instellingen van reacties van de professionele suite bij leesproblemen
Gegevensherstel
6. Herstelmethoden
Tegenwoordig bestaan er veel automatische gegevensherstelprogramma's die geen specifieke kennis van de gebruiker vereisen en die gegevens met vrijwel één muisklik kunnen terughalen. Maar een dergelijke aanpak zal in veel gevallen niet het maximaal mogelijke resultaat opleveren of het resultaat zal verloren gaan tussen een overvloed aan onbruikbare opties.
Voor een effectieve werking van het gegevensherstelprogramma is het beter om het zoekgebied zo veel mogelijk te verkleinen. Het is wenselijk om het scangebied en het type van het gewenste bestandssysteem op te geven. Een dergelijke precisering kan een groot aantal eerdere bestandssystemen uitsluiten en de kans op een foutieve interpretatie van de ontdekte metadata van het bestandssysteem verkleinen.
Figuur 14 Voorbeeld van het instellen van R-studio voor het zoeken naar metadata van het benodigde bestandssysteem
Metadata van het bestandssysteem zijn structuren die de locatie van bestanden, hun namen, attributen, toegangsrechten, logboeken, enz. beschrijven.
Figuur 15 Voorbeeld van metadata. Fragment van MFT (Master File Table in NTFS)
In veel gevallen berekenen de automatische herstelprogramma's de startpunt voor de gevonden metadata niet precies en filteren ze ook niet altijd correct de gegevens van verschillende bestandssystemen, waardoor een foutieve berekening van de locatie voor alle bestanden mogelijk is. Bovendien verhogen verschillende junk-interpretaties het geschatte datavolume, soms vele malen groter dan de capaciteit van de opslag zelf.
Professionele systemen bevatten tools voor het aanmaken van virtuele volumes van verschillende bestandssystemen met handmatig ingestelde parameters, evenals tools voor het zoeken naar metadata met de mogelijkheid om onnodige objecten handmatig uit te sluiten.
In gevallen waar de benodigde metadata van het bestandssysteem al niet meer bestaat of incorrect is, moet de methode van het zoeken met reguliere expressies, kenmerkend voor bepaalde bestandstypen, worden toegepast.
Afbeelding 16 0xFF 0xD8 0xFF reguliere expressie kenmerkend voor JPG-bestanden
Automatische herstelprogramma's die op deze manier zoeken, hebben in de meeste gevallen de volgende nadelen: er ontbreekt een directorystructuur en originele bestandsnamen, de structuur van de bestanden wordt niet geanalyseerd en de integriteit van het gevonden bestand wordt onvoldoende gecontroleerd, waardoor veel junkdata wordt gevonden die niet bruikbaar zijn, en voor veel bestandstypen wordt de grootte niet correct berekend.
Afbeelding 17 R-Studio-instellingen voor het zoeken naar reguliere expressies van de bestanden die u nodig heeft
7. Typische gevallen en aanbevolen acties
Schade aan het bestandssysteem
Als gevolg van storingen in PC-componenten, onjuiste werking van het besturingssysteem, onverwachte stroomonderbrekingen tijdens het schrijven naar de schijf, of defecten van de harde schijf kunnen de metadata van het bestandssysteem beschadigd raken. Bij veel soorten beschadigingen kan het besturingssysteem de partitie met het beschadigde bestandssysteem niet monteren.
Afbeelding 18 beschadigde metadata van het bestandssysteem (onherkenbaar bestandssysteem RAW)
In deze gevallen is de methode van het zoeken naar metadata van het bestandssysteem binnen de bestaande partitie vrij effectief. Bij minimale beschadigingen kan een resultaat van bijna 100% worden behaald. Deze aanbeveling is relevant voor de meeste verschillende bestandssystemen.
Natuurlijk zijn er gevallen waarbij als gevolg van storingen een groot volume van metadata van het huidige bestandssysteem beschadigd raakt. In dat geval, als de eerste optie niet heeft gewerkt, moet de methode van reguliere expressies worden gebruikt om de gewenste bestanden te vinden.
Het werk van een specialist is anders omdat hij de aard van de schade aan de metadata bepaalt en, als ze niet vernietigd zijn, maar in vertekende vorm aanwezig zijn, handmatige correcties mogelijk zijn in een hex-editor.
Verwijdering van een bestand of een groep bestanden.
Per ongeluk verwijdering van gegevens is een vrij veel voorkomend geval. De gevolgen van deze actie hangen sterk af van het type bestandssysteem, evenals van de werkprincipes van de firmware van het apparaat, vooral bij relatief nieuwe schijven.
Als bestanden zijn verwijderd van een partitie met het NTFS-bestandssysteem, dan is de optimale methode van zoeken een snelle analyse met verschillende hulpprogramma's, waarbij de sleutelstructuren (MFT, Index, Logfile) snel worden doorgescand zonder de gehele partitie te scannen. Als de benodigde bestandseisen en de ruimte die door deze bestanden wordt ingenomen niet door andere gegevens zijn overschreven, kan men relatief snel de gewenste bestanden terugkrijgen.
Figuur 19 toont na het scannen van $MFT in paars gemarkeerde records die als verwijderd staan geregistreerd.
Als de benodigde gegevens niet worden gevonden of beschadigd zijn bij een snelle scan, kan een volledige scan van de partitie worden uitgevoerd, maar de kans is groot dat het resultaat niet substantieel zal veranderen en er niets anders overblijft dan het zoeken met reguliere expressies.
In het arsenaal van de specialist is er een hulpmiddel beschikbaar voor het maken van een kaart van de ongebruikte ruimte en verdere analyse uitsluitend in deze gebieden, waardoor bestaande gegevens uit de herstelde resultaten worden verwijderd. Dit bespaart aanzienlijk tijd voor de gebruiker bij het verdere zoeken naar de benodigde bestanden te midden van talloze naamloze gegevens.
Als bestanden zijn verwijderd op een schijf met het bestandssysteem FAT16 of FAT32, kan metadata-analyse worden gebruikt om een deel van de gegevens met originele namen te herstellen. In het geval van SFN ontbreekt het eerste teken van de bestandsnaam; als het bestand een lange naam had, is de volledige naam te vinden in de LFN-invoer. Bij het verwijderen van gefragmenteerde bestanden zal gegevensherstel met behulp van automatische herstelprogramma's niet succesvol zijn, omdat bij het verwijderen de record van de keten van clusters die aan het bestand toebehoren, in de FAT-tabel wordt verwijderd. Bovendien worden in sommige gevallen, naast het verwijderen van de keten van de bestandslocatie in beide kopieën van de tabel, het eerste teken van de SFN en de hogere twee bytes in het nummer van de eerste cluster die door het bestand wordt ingenomen, in FAT32 verwijderd. De meeste automatische herstelhulpmiddelen die metadata analyseren, zullen de juiste locatie van het bestand niet bepalen.
Herstel van gefragmenteerde bestanden is doorgaans vrij complex en is slecht geautomatiseerd. Automatiseringsmethoden kunnen worden ontwikkeld voor specifieke type structuren. Vaak bestaat de taak uit handmatige, weinig efficiënte analyses om de benodigde fragmenten te vinden. Een voorbeeld van zo'n werk kan worden beoordeeld in het artikel
Als de methoden voor metadata-analyse niet hebben geleid tot het vinden van de benodigde gegevens of de benodigde bestanden niet kunnen worden geopend, blijft de methode van reguliere expressies zoeken over. Het is mogelijk om een deel van de bestanden te vinden.
Als bestanden zijn verwijderd op een schijf met het bestandssysteem HFS+, Ext 2, Ext3, Ext4, is het helaas nutteloos om metadata te analyseren. Behalve het zoeken met reguliere expressies is er niets anders over.
Verwijdering van de partitie met gegevens
Als per ongeluk één of meer partities in het schijfbeheer zijn verwijderd, wordt aan de gebruiker die gegevens wil herstellen aangeraden om automatische herstelprogramma's te starten met een volledige scan van het hele apparaat. Het is ook wenselijk om rekening te houden met de positie van bestaande partities om duidelijk onjuiste opties in de gevonden resultaten uit te sluiten.
Figuur 20 verwijderde partitie
Een specialist kan deze taak relatief snel uitvoeren door op zoek te gaan naar opstartsectoren en superblocks op verwachte locaties. Op basis van de gevonden gegevens worden de exacte posities van de sectie-starten en hun lengtes berekend.
Het is ook mogelijk om DMDE of vergelijkbare tools te gebruiken, die relatief snel kunnen helpen bij het vinden van aanwijzingen voor het begin van een sectie en proberen de bestandenystemen van de gevonden sectie weer te geven.
Figuur 21 toont het resultaat van een snelle zoektocht naar secties met behulp van DMDE.
De sectie met gegevens is geformatteerd.
In dergelijke gevallen hangt het aanbevolen actieplan sterk af van het type bestanden systeem dat vóór de formattering van de sectie werd gebruikt, en welk bestanden systeem na de formattering is gaan gebruiken.
Bijvoorbeeld, als een FAT32-sectie met een cluster van 8 kb is geformatteerd naar FAT32 met een cluster van 64 kb, dan is de grootte van de nieuwe FAT-tabellen 8 keer kleiner geworden en hebben beide kopieën van de nieuwe tabellen alleen de eerste kopie van de oude FAT-tabellen aangetast. In deze situatie kan het zoeken naar metadata resulteren in een resultaat dat dicht bij de 100% ligt. Als de sectie echter is geformatteerd naar FAT32 met een cluster die gelijk is aan of kleiner is dan deze die vóór de formattering bestond, dan zullen de nieuwe, schone tabellen de oude volledig overschrijven en gedeeltelijk het gedeelte met gebruikersgegevens beïnvloeden. In dit geval zal de zoektocht naar metadata een significant slechter resultaat opleveren.
Als voor de formattering een FAT32-bestandssysteem op de sectie werd gebruikt, en de sectie is geformatteerd naar NTFS, dan bevinden de nieuwe structuren ($MFT, $Bitmap, $Logfile) zich doorgaans niet aan het begin van de sectie, en is de kans groot dat men met de metadatazoekmethode de meeste gegevens met een normale mapstructuur en minimale beschadigingen van de gegevens kan verkrijgen.
Ook zal het percentage herstel hoog zijn wanneer een sectie met het NTFS-bestandssysteem is geformatteerd naar FAT32. In dit geval zullen de FAT-tabellen de gegevens aan het begin van de sectie beschadigen en doorgaans de sleutelstructuren van NTFS niet raken. Het resultaat zal ontevredend zijn in het geval van een klein gegevensvolume, waarvan de grootte vergelijkbaar is met de grootte van twee kopieën van de FAT-tabellen.
Als een gebruiker echter niet wil verdiepen in de details van metadata van verschillende bestandssystemen, is het een logische stap om de tool voor automatische gegevensherstel in de modus voor metadata-zoekopdracht te starten. En als er onvoldoende gegevens zijn verkregen, kan de methode van reguliere expressies worden toegepast.
De partitie is geformatteerd en gedeeltelijk overschreven met andere gegevens.
Zoals zo vaak het geval is, kan de gebruiker een partitie formatteren en deze beginnen te vullen met andere gegevens, en pas later realiseren dat er belangrijke informatie op de oude partitie stond. In dergelijke gevallen kan er geen eenduidig advies worden gegeven. Dit hangt sterk af van hoeveel (in kwantiteit en volume) nieuwe gegevens zijn geschreven en waar deze gegevens zich bevinden. Afhankelijk van de omstandigheden kan het resultaat variëren van 0 tot bijna 100%. Dit is van tevoren onvoorspelbaar.
In veel gevallen met een grote overlap van datagebieden kan het zinnig zijn om te beginnen met de methode van reguliere expressies voor de benodigde bestandstypen, om te begrijpen of er nog andere aanwijzingen zijn voor het bestaan van de gewenste gegevens, en in het geval van ontdekking, de metadata van het bestandssysteem op te zoeken.
In een laboratorium voor gegevensherstel zal de specialist een kaart van de niet-gebruikte ruimte opstellen en reguliere expressies alleen op deze gebieden doorzoeken om te voorkomen dat al bestaande gegevens in de zoekresultaten verschijnen. Ook zal hij met behulp van integriteitscontrole-instrumenten het aantal valse positieven aanzienlijk verminderen. In sommige gevallen, zoals het herstellen van jpg-bestanden (bijvoorbeeld van iemands thuisfotoalbum), kan hij sorteren op basis van informatie in de Exif-tags van jpeg-bestanden, wat zal helpen om een chronologisch gesorteerd resultaat en een sortering op cameramodel te verkrijgen.
Figuur 22 het resultaat van het sorteren van JPG-bestanden, gevonden via reguliere expressie-zoekopdrachten.
Onverwachte beëindiging van procedures voor het wijzigen van de grootte, verplaatsen of samenvoegen van partities.
In het geval van een ongewone beëindiging van de schijfbeheerprocedures voor het wijzigen van de partitie, het verplaatsen ervan of het samenvoegen van meerdere partities, is het belangrijk om te begrijpen welke specifieke stappen zijn ondernomen en op welk punt de operatie is stopgezet, om het best mogelijke resultaat te behalen.
Gezien de complexiteit en het aantal mogelijke variaties, beschouwen we alleen de universele optie voor de gebruiker die een resultaat wil met minimale handelingen. Het te analyseren object moet de volledige schijf zijn, zodat alle locaties van gegevens gegarandeerd worden omvat. Gebruik de metadata-zoekmethode en kopieer alle gegevensvarianten op basis van de gevonden bestandssystemen. De kans is groot dat in elk van de varianten verschillende sets bestanden correct zijn. Het zoeken met reguliere expressies naar specifieke bestandstypen is ook belangrijk, omdat in dergelijke gevallen de kans op gegevensverlies kan leiden tot gedeeltelijk verlies van informatie over bestandsnamen en locaties.
8. Controle van de integriteit van de herstelde gegevens
Het is belangrijk te begrijpen dat de weergave van bestandsnamen in de gegevensherstelsoftware of het aantal gevonden reguliere expressies niet garandeert dat alles wat is gevonden bruikbaar is. Daarom is een niet minder belangrijke fase na het herstellen van gegevens met automatische herstelsoftware de controle van de integriteit van de gegevens zelf.
Helaas bestaat er geen universele gratis tool voor het controleren van de integriteit van een groot aantal verschillende bestanden. Maar apart kan je gratis software vinden die specifieke bestandstypen kan controleren. Veel archiveringsprogramma's stellen je in staat om de integriteit van archieven te controleren, met de MP3Diag-tool kun je de integriteit van mp3-bestanden controleren, en ImageMagick kan gebruikt worden om jpg-bestanden te testen.
Het grootste nadeel van veel gratis tools voor het controleren van de integriteit van bestanden is dat ze geen volledige controle van bestanden garanderen. Dit kan leiden tot massale fouten.
Voor veel bestandstypen heeft de gebruiker geen andere optie dan de integriteit van de gegevens visueel te beoordelen door bestanden een voor een te openen in de bijbehorende applicaties.
In professionele systemen is een set tools aanwezig die gedeeltelijke controle over de integriteit van bestanden mogelijk maakt, waardoor het herstel van gegevens wordt ontdaan van een groot aantal onnodige bestanden.
Naast het verwijderen van ongewenste bestanden, is het noodzakelijk om beschadigde bestanden te identificeren. Als je een sectoriële kopie hebt gemaakt waarbij ongelezen sectoren zijn gevuld met een patroon, dan kun je het probleem van het vinden van beschadigde bestanden eenvoudig oplossen door in de bestanden te zoeken naar de tekstlijn "BAD!BAD!BAD!BAD!" (in ons voorbeeld werd het plaatsingspatroon "BAD!" gebruikt). Na het vinden moet de mate van beschadiging worden gecontroleerd, aangezien sommige bestandsformaten niet veel hinder ondervinden van het verlies van een klein stuk gegevens, terwijl andere volledig onbruikbaar kunnen zijn.
9. Veelvoorkomende gebruikersfouten.
Verschillende soorten pogingen om defecten te "genezen" met behulp van populaire diagnostische tools in de hoop toegang tot gegevens te herstellen, zijn een van de grootste fouten die veel gebruikers maken. Pogingen om defecten op een schijf met beschadigd polymeer op de schijven te verdoezelen eindigen meestal met het slijpen van de schijven in plaats van toegang tot de gegevens te krijgen. Om deze reden wordt ten zeerste afgeraden om servicehandelingen aan de schijf uit te voeren voordat je de gegevens hebt verkregen, zonder de aard van de defecten op het oppervlak te kennen. Na succesvol gegevensherstel kan geprobeerd worden om de schijf te onderhouden, en als je geluk hebt, zou de schijf nog steeds geschikt kunnen zijn voor gebruik in minder kritieke taken.
Vaak raken defecten metadatas van het bestandssysteem. In deze gevallen blijft het besturingssysteem bij pogingen om het beschadigde volume te mounten langdurig haperen. Bij een aangesloten problematische schijf kan de opstarttijd van het besturingssysteem zich uitstrekken tot tientallen minuten. Een van de slechtste ideeën om dit probleem op te lossen is het formatteren van de probleemschijf. De nieuw aangemaakte metadata kunnen correct worden geschreven, en het probleem van de lange opstarttijd van het besturingssysteem kan worden opgelost, maar de taak van gegevensherstel wordt bemoeilijkt en de kwaliteit van het resultaat kan aanzienlijk lijden.
Het kopiëren van gegevens die door de tool zijn gedetecteerd naar dezelfde schijf waarvan geprobeerd wordt gegevens te herstellen. In dit geval eindigt het meestal zo dat de gebruiker in plaats van gegevens rommel ontvangt, en de volgende poging om gegevens te herstellen zal al met een veel slechter resultaat zijn. Als je de instructies in dit artikel volgt, ben je beschermd tegen deze fout.
Er wordt geen integriteitscontrole van de herstelde gegevens uitgevoerd en de inhoud van het originele opslagapparaat wordt vernietigd samen met de kopie. In dit geval loop je het risico om achter te blijven met een hoop mappen vol foutieve resultaten van de herstelpoging zonder de mogelijkheid om een kwalitatief resultaat te behalen.
Een verkeerde keuze van hulpmiddel en methoden voor gegevensherstel, waardoor het resultaat aanzienlijk slechter is dan het had kunnen zijn.
Ik hoop dat deze reeks maatregelen je helpt om te beoordelen of de situatie met je opslagapparaat zelfstandige pogingen tot gegevensherstel toelaat en of je bereid bent deze relatief eenvoudige acties uit te voeren die in dit artikel zijn opgesomd.
Bron: habr.com
