W artykule opisano metody samodzielnej diagnostyki różnych usterek dysków twardych na podstawie objawów ich występowania, a także sposoby względnie bezpiecznego klonowania dysków twardych z niewielkimi problemami.
Omówiono różne przypadki utraty danych oraz zestaw optymalnych działań, które bez głębokiej wiedzy o strukturach systemów plików z pomocą programów automatycznego odzyskiwania pomogą Ci przywrócić Twoje informacje bez pomocy osób trzecich.
Jednak przed przystąpieniem do jakichkolwiek działań samodzielnych, należy dokładnie zapoznać się ze wszystkimi materiałami artykułu, a dopiero potem analizować stan swojego dysku twardego, aby Twoje próby nie były ostatnimi w życiu nośnika i abyś nie pozbawił się ostatnich nadziei na odzyskanie potrzebnych danych.
SPIS TREŚCI
Część pierwsza: Diagnostyka
Część druga: Odzyskiwanie danych.
Zgadzając się na postępowanie zgodnie z dalszymi instrukcjami, zdajesz sobie sprawę, że nikt poza Tobą samym nie ponosi odpowiedzialności za ewentualne uszkodzenie nośnika i nieodwracalną utratę danych. Zestaw działań ma na celu zmniejszenie prawdopodobieństwa wystąpienia niekorzystnego wyniku, ale nie zapewnia ochrony na 100%.
Diagnostyka
1. Wzrokowa inspekcja
Sprawdź nośnik pod kątem deformacji, braku lub przypalonych elementów na płycie kontrolera, oraz sprawdź integralność złącz. Jeśli zostaną stwierdzone jakieś poważne uszkodzenia lub przypalone elementy, zdecydowanie nie zaleca się próby zasilania takiego nośnika, aby uniknąć pogorszenia problemu.
Używając wkrętaków (zwykle są to Torx — T5, T6, T9) odkręć śruby mocujące płytę kontrolera i sprawdź stan kontaktów na płycie kontrolera.
Na rycinie 2 na kontaktach widoczna jest warstwa oksydacyjna.
W przypadku obecności nalotu oksydacyjnego można spróbować usunąć go z kontaktów zwykłą gumką. Pracować z gumką można tylko nad płaskimi powierzchniami, jak na rysunku. W innych przypadkach takie działanie jest nieodpowiednie.
Rys. 3 oczyszczone styki kontaktowe.
Jeśli zauważysz jakiekolwiek uszkodzenia płyty, nie próbuj w nowoczesnych dyskach twardych podmieniać płyty kontrolera na podobną, ponieważ w nowoczesnych urządzeniach w pamięci ROM na płycie mogą znajdować się różne parametry adaptacyjne, które powstają w czasie cyklu produkcyjnego i są unikalne dla każdego nośnika. W stosunkowo rzadkich przypadkach obce parametry mogą grozić uszkodzeniem dysku twardego.
Jeśli posiadasz stację lutowniczą, powinieneś przenieść MCU, EEPROM, NV-RAM, NAND (zależnie od tego, co jest na płycie kontrolera i co z tych elementów jest konieczne do przeniesienia) i po takiej adaptacji użyć kontrolera dawcy. Warto zauważyć, że dla wielu kontrolerów wystarczy przenieść jedynie układ EEPROM.
Podczas wyboru płyty w pierwszej kolejności zwróć uwagę na wytrawiony numer PCB. Następnie oceniaj zgodność oznaczeń MCU i VCM&SM kontrolera. Jeśli na oryginalnej płycie i płycie dawcy oznaczenia MCU i VCM&SM kontrolera różnią się, to jest duża szansa, że płyta potencjalnego dawcy nie jest odpowiednia. W ramach jednej rodziny mogą istnieć różne wersje płyt, a w niektórych przypadkach mogą być one zgodne z pewnymi zastrzeżeniami, ale nie należy próbować ustalać tego samodzielnie.
Próba podmianki nieodpowiedniej płyty kontrolera (z innym numerem na PCB) może prowadzić do przepalenia przełącznika wzmocnienia.
Jeśli masz multimetr, sprawdź obwody 5V i 12V pod kątem zwarcia. Sprawdź również oporność uzwojeń silnika. Jeśli masz pewny, działający dokładnie taki sam nośnik (zgadzają się producent, seria modelowa, rewizja płyty kontrolera), możesz sprawdzić, czy ta sama liczba pinów w złączu przełącznika będzie oznaczona jako 'ziemia', oraz porównać oporności. Przy poważnych różnicach można stwierdzić, że przełącznik wzmocnienia jest uszkodzony, i w tym momencie zakończyć wszelkie próby samodzielnego odzyskiwania danych.
2. Uruchomienie testowe
Upewnij się, że twoje testowe urządzenie działa prawidłowo, aby uniknąć postawienia błędnych diagnoz. Jeśli nie wykryto żadnych zewnętrznych przyczyn blokujących uruchomienie, podłącz kabel interfejsowy oraz kabel zasilający do odpowiednich gniazd i włącz zasilacz.
Jeśli wiesz, że nośnik był uderzony lub upuszczony podczas pracy, lub zanim trafił do ciebie, zaczął wydawać stukanie, powstrzymaj się od prób jego włączenia.
W takich przypadkach konieczne jest otwarcie twardego dysku w warunkach laminarnego przepływu (lub w pomieszczeniu czystym) oraz szczegółowe badanie przy użyciu mikroskopu.
Rys. 4 podłączenie kabli do twardych dysków.
Po podłączeniu zasilania nośnik powinien rozpocząć obracanie wału. W niektórych przypadkach może to nie nastąpić w całkowicie sprawnych nośnikach, jeśli z jakichś powodów w ustawieniach nośnika wprowadzono wymóg podania polecenia spin up.
Podczas obracania wału słychać lekki dźwięk przepływu powietrza. W niektórych nośnikach jest on ledwo słyszalny, dlatego warto użyć stetoskopu (lub trzymać nośnik blisko ucha, przestrzegając zasad bezpieczeństwa, aby uniknąć zwarcia).
Jeżeli zamiast dźwięku powietrza słychać szereg cyklicznych brzęków, cichych piszczeń lub dźwięków przypominających odległe dzwonki telefonów, to najprawdopodobniej nośnik nie może rozpocząć obrotu wału silnika. Przyczyny mogą być następujące: zablokowanie głowicy poza pasem parkowania, zablokowanie wału silnika, uszkodzenie układu VCM&SM kontrolera.
Jeśli masz odpowiedni nośnik-donor, możesz sprawdzić wersję z uszkodzonym kontrolerem VCM&SM, jeśli jesteś gotów wykonać niezbędne modyfikacje na płycie donora, opisane w punkcie "wizualna inspekcja".
W przypadku zablokowania BMG poza ramką parkingową, samodzielne działania inspirowane filmami na YouTube zazwyczaj prowadzą do powstania dodatkowych zarysowań na powierzchniach płytek lub odrywania sliderów. Nawet jeśli uda się względnie skutecznie wyprowadzić BMG na ramkę parkingową, defekty powłoki polimerowej, które powstały w miejscu zablokowania sliderów, mikro zarysowania od sliderów uzyskane podczas wyciągania BMG, w połączeniu z procedurami offline skanowania oraz kurzem z nieoczyszczonego powietrza, raczej nie pozwolą na przeczytanie istotnej ilości danych w przytłaczającej większości przypadków, zanim rozpoczną się dalsze nieodwracalne procesy degradacyjne. Jak przebiega proces odzyskiwania danych w takich przypadkach w wyspecjalizowanej firmie, można zapoznać się w tym artykule
W przypadku zacięcia wału silnika zwykle konieczne jest przeniesienie zestawu dysków do hermetycznej obudowy dysku-donora. Tego rodzaju działania w warunkach domowych bez odpowiedniego przygotowania oraz braków niezbędnych narzędzi w 99,9% przypadków zakończą się niepowodzeniem.
Jeśli nie słychać żadnego dźwięku po włączeniu zasilania i dysk nie zaczyna obracać wału, możliwe są następujące diagnozy: uszkodzona płyta kontrolera, uszkodzony przełącznik przedwzmacniacza, uszkodzone BMG.
Po uruchomieniu dysku i rozpoczęciu obracania wału powinien on przeprowadzić kalibrację, odczytać mikroprogram i, inicjalizując system transmisji, wejść w gotowość. Jeśli zamiast kalibracji słychać cykliczne stukanie, zgrzyt lub inne dźwięki, natychmiast odłącz dysk. Przyczyną takich zjawisk mogą być: uszkodzenie BMG lub przełącznika przedwzmacniacza, uszkodzenie układu VCM&SM kontrolera.
Mikroprogramy niektórych nośników wykonują odpytywanie przełącznika wzmocnienia przed obrotem wału silnika, a w przypadku wykrycia nieprawidłowej reakcji lub przekroczenia oporu w którymkolwiek z głowic przeprowadzają awaryjne zatrzymanie procesu wstępnej inicjalizacji. Niestety, nie wszystkie mikroprogramy w wystarczającym stopniu kontrolują poprawność samego urządzenia i pozwalają na próby uruchomienia wyraźnie problematycznego dysku twardego. Przesadzenie BMG zaleca się przeprowadzać w warunkach laminarnego boksa z czystym przepływem powietrza i specjalistycznymi narzędziami. Ponadto trzeba wiedzieć, jak dobierać dawcę, aby wybrać go z odpowiednią rewizją przełącznika wzmocnienia, kartą głowic i zbliżonymi parametrami adaptacyjnymi. Samo dopasowanie producenta i modelu wcale nie gwarantuje, że nośnik jest odpowiednim dawcą. Nawet jeśli uda się samodzielnie dobrać dawcę i przeprowadzić procedurę przesadzenia, prawdopodobnie nie uda się odczytać poważnej ilości danych z powodu związanych problemów.
Jakie działania można podjąć w przypadku uszkodzonej płyty kontrolera, opisano w sekcji „Wizualna inspekcja”.
Rys. 5 mocno zarysowana powierzchnia płyty (liczne zacięcia).
Ważne jest zrozumienie, że z każdą próbą włączenia nośnika z uszkodzonym BMG istnieją ryzyka dalszego zniszczenia powierzchni płyt, co może prowadzić do całkowitej niemożności odzyskania danych.
Jeśli nośnik nie wydaje żadnych podejrzanych dźwięków, to po wykonaniu wszystkich procedur inicjalizacji powinien przejść w stan gotowości. Od tego momentu nośnik powinien być gotowy do wymiany danych przez interfejs, a w przypadku podłączenia do portu płyty głównej PC powinien odpowiedzieć na zapytanie o paszport ze strony BIOS. Jeśli wszystko jest w porządku z połączeniami i ustawieniami BIOS, a dysk pozostaje niewidoczny dla PC, to najprawdopodobniej występują problemy w mikroprogramie nośnika, które nie pozwalają mu przejść w stan gotowości.
Jeśli nośnik podaje niepoprawne dane parametryczne, na przykład tylko nazwę modelu i zerową pojemność, lub nazwa modelu nie do końca odpowiada rzeczywistości, brak seryjnego numeru, oznacza to, że procedura inicjalizacji zakończyła się niepowodzeniem i występują usterki w mikrokodzie. W takich przypadkach samodzielne rozwiązanie problemu bez użycia profesjonalnych programów i sprzętu zazwyczaj nie jest możliwe.
Wyjątkowym przypadkiem można rozważyć sytuację z Seagate 7200.11 (rodzina Moose), w której niektóre problemy można było rozwiązać za pomocą adaptera RS232-TTL i zwykłego terminala, ale tutaj należy zrozumieć, że bez głębszej analizy mikrokodu istnieje ryzyko znacznego pogorszenia sytuacji.
Zdecydowanie nie zaleca się stosowania tej metody w odniesieniu do innych rodzin, ponieważ doprowadzi ona do przeliczenia translatora, co w przytłaczającej większości przypadków będzie błędne i dostęp do strefy użytkownika zostanie utracony do pierwszego punktu rozbieżności. Odtwarzanie danych w takim przypadku jest znacznie utrudnione.
Jeśli w przekazanym dokumencie nośnika wszystkie pola są poprawne oprócz pojemności, należy sprawdzić, czy nie jest to konsekwencją błędu BIOS-u niektórych płyt głównych, które, używając poleceń zarządzania HPA, zamiast odciąć mały fragment zakresu LBA na kopię BIOS-u, odcinają prawie 1TB.
Rys. 6 pojemność nominalna dysku 1TB po niepoprawnej pracy BIOS-u płyty głównej Gigabyte.
Aby rozwiązać ten problem, można użyć HDAT2 lub podobnego bezpłatnego oprogramowania diagnostycznego, które pozwala przywrócić oryginalną pojemność nominalną nośnika oraz dezaktywować możliwość zarządzania HPA w DCO, aby zapobiec nawrotowi problemu.
3. Przygotowanie do testowania
Podczas testowania dysków poza profesjonalnymi zestawami ważne jest wcześniejsze przygotowanie systemu operacyjnego. Należy zabronić automatycznego montowania woluminów dysku, aby uniknąć samodzielnego działania systemu operacyjnego.
W systemie Windows w tym celu z uprawnieniami administratora należy uruchomić diskpart i wykonać polecenie automount disable. Jeśli potencjalnie problemowy dysk był wcześniej podłączany do tego systemu operacyjnego, należy usunąć parametry montowania z rejestru poleceniem automount scrubAby te ustawienia weszły w życie, zaleca się ponowne uruchomienie.
Należy również przygotować oprogramowanie diagnostyczne. W systemie Windows można skorzystać z bezpłatnego PC3000 DiskAnalyzer, które oprócz funkcji diagnostycznej umożliwia tworzenie kopi sektorowych. Wskazane jest również posiadanie bootowalnego nośnika USB z HDAT2.
Nie ma obowiązku korzystania wyłącznie z tego oprogramowania do diagnostyki. Można używać wszelkich innych odpowiedników, z wyjątkiem pewnych płatnych programów dla zbyt łatwowiernych użytkowników, których reklamy mogą zawierać takie hasła jak „… unikalny program do regeneracji fizycznie uszkodzonych dysków twardych. Nie ukrywa uszkodzonych sektorów, naprawdę je naprawia!”. Przy bardzo głośnych deklaracjach takie oprogramowanie ma bardzo skromne możliwości, które nie przewyższają funkcji bezpłatnych programów, a ideologia pracy z defektami bardziej skupia się na ostatecznym zniszczeniu nośnika, a nie na pomocy w dalszym pozyskiwaniu danych.
Jeśli czas ładowania systemu operacyjnego wzrósł kilkukrotnie nawet przy wyłączonym automatycznym montowaniu woluminów, zaleca się zaprzestanie jakiejkolwiek samodzielnej działalności, aby nie pogorszyć problemu.
Znaczne wydłużenie czasu ładowania systemu operacyjnego przy podłączeniu potencjalnie problemowego dysku twardego to wyraźny sygnał, że na powierzchniach talerzy nośnika występują uszkodzenia. Opóźnienia ładowania systemu operacyjnego występują w wyniku odwołań do uszkodzonych sektorów i prób mikroprogramu do wykonywania procedur offline skanowania, które nie są w stanie zrealizować.
Po pomyślnym załadowaniu systemu operacyjnego wejdź do menedżera urządzeń i upewnij się, że twój dysk znajduje się na liście urządzeń. Jeśli go tam nie ma, sprawdź, czy sterownik kontrolera, do którego jest podłączony, jest zainstalowany, oraz czy sam kontroler nie jest wyłączony na liście urządzeń. Jeżeli ze sterownikiem i konfiguracją systemu operacyjnego wszystko jest w porządku, a dysk wciąż nie pojawia się w systemie lub znika po pewnym czasie, zwykle oznacza to szeroki zakres usterek. Najbardziej prawdopodobne to uszkodzenie płyty kontrolera, zawieszenie firmware'u dysku lub przejście dysku w tryb awaryjny, w którym przestaje normalnie reagować na większość poleceń.
Aby precyzyjniej zdiagnozować problem, można spróbować załadować DOS i za pomocą HDAT2 sprawdzić parametry SMART. Jeśli pojawią się oznaki powstawania defektów (niezerowe wartości w polach 5 i 197 (C5) atrybutu w polach z nienormowanymi wartościami), można stwierdzić, że bez ingerencji w ustawienia pracy firmware'u w warunkach domowych nic nie będzie można zrobić. Jeśli signały do powstawania defektów nie występują, przyczyną zawieszeń może być nieprawidłowe działanie płyty kontrolera. W takim przypadku możesz spróbować użyć płyty kontrolera z dysku-dawcy.
4. Testowanie
Po przejściu przez poprzednie etapy i nie zauważeniu znaczących powodów do zatrzymania procesu, można przystąpić do dalszej oceny stanu dysku. Większość dysków wydanych w tym stuleciu posiada technologię S.M.A.R.T., która monitoruje stan dysku i rejestruje różne wydarzenia w czasie jego pracy. O tym, jak ta technologia jest wdrażana w HDD i jakie parametry warto monitorować podczas eksploatacji dysków, można przeczytać w naszym artykule .
Używając oprogramowania diagnostycznego, należy zażądać parametrów S.M.A.R.T.
Rys. 7 atrybuty SMART sprawnego dysku twardego
Ważne jest, aby ocenić wskaźniki dla atrybutów 5 i 197 (C5). Jeśli wartości w kolumnie RAW są zerowe lub wskaźniki problemów są pojedyncze, wtedy należy przejść do dalszego testowania.
Rys. 8 atrybuty SMART dysku z poważnymi defektami
Jeśli liczba defektów to liczba trzy- lub czterocyfrowa, w większości przypadków dalsze próby testowania powierzchni lub skanowania za pomocą narzędzi do automatycznego odzyskiwania danych pogorszą problem, do tego stopnia, że niemożliwe będzie odzyskanie danych.
Aby odzyskać dane w takich przypadkach, ważne jest, aby ingerować w ustawienia firmware'u dysków i wyłączać procedury skanowania offline oraz rejestrowania S.M.A.R.T., aby uwolnić dysk od procesów w tle, które mogą znacznie skrócić żywotność uszkodzonego urządzenia. Niestety, nie da się tego zrobić prostymi metodami bez głębokiej wiedzy o architekturze firmware'u dysków i profesjonalnych narzędzi. Następnym zadaniem jest ocena stanu każdej głowicy z osobna i zlokalizowanie głównych obszarów defektów. Liniowe czytanie z wielokrotnymi powtórzeniami w uszkodzonych obszarach w takich przypadkach jest niewskazane, ponieważ jest zbyt niebezpieczne.
Nawet jeśli dysk na pierwszy rzut oka działa poprawnie i według odczytów S.M.A.R.T. nie wykazuje oznak defektów, nie jest to gwarancją, że ich naprawdę nie ma. Dlatego konieczne jest przeprowadzenie ostatecznego etapu testowania i wykonanie weryfikacji powierzchni.
Ważne jest nieprzerwane monitorowanie procesu skanowania. W przypadku pojawienia się obcych dźwięków lub stwierdzenia dużych obszarów z błędami odczytu, należy natychmiast przerwać proces i odłączyć dysk, aby uniknąć nieodwracalnych konsekwencji.
Rys. 9 wykres skanowania sprawnego dysku
Jeśli wyniki skanowania dysku pokazują monotonicznie malejący wykres prędkości i nie zarejestrowano błędów odczytu, dysk można uznać za sprawny i przejść do następnej sekcji.
W dyskach z dużym cache'm mediów i przekładnią różniącą się od klasycznej (z reguły w dyskach z nagrywaniem SMR) wykres może mieć inną formę. Mogą występować różnego rodzaju uszkodzenia.
Rys. 10 wykres skanowania dysku z problematyczną głowicą
Jeśli podczas weryfikacji dysku zostaną wykryte cykliczne „wolne” obszary, jest to charakterystyczny objaw niezbyt sprawnej głowicy. Nie należy czekać na wykrycie defektów i natychmiast przerwać testowanie.
W takiej sytuacji nie ma co oczekiwać niczego dobrego przy samodzielnych próbach odzyskiwania danych. Z wysokim prawdopodobieństwem nośnik nie przetrwa próby wykonania kopii sektorowej dostępnymi dla użytkownika środkami.
W przypadku, gdy w atrybutach S.M.A.R.T. 5 i 197 (C5) wykryto oznaki uszkodzeń, lub w trakcie weryfikacji znaleziono punkty defektów, należy stworzyć kopię dysku.
5. Kopia sektorowa
Jeżeli wyniki testów pokazują, że nośnik jest sprawny i nie wykryto żadnych problemów, można nie wykonywać kopii sektorowej i pracować z oryginalnym dyskiem. Jednak, aby uniknąć różnych nieprzewidzianych sytuacji, zdecydowanie zaleca się nie pomijać tego kroku i następnie pracować tylko z kopią.
Przy sprawnym dysku twardym lub dysku z niewielką ilością defektów nie ma większej różnicy, jakiego narzędzia użyjesz, ważne, aby tworzyło pełną kopię. Również ważne jest, aby nie próbować używać opcji niektórych programów do tworzenia skompresowanego obrazu, ponieważ później prawdopodobnie będziesz mógł pracować tylko w ramach możliwości oprogramowania, które stworzyło taki obraz.
W systemie Windows można użyć następujących programów: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio i inne.
W systemie Linux wystarczy użyć wbudowanego narzędzia dd.
Nie wszystkie oprogramowania są bezpłatne, ale w wielu przypadkach możliwości wersji trial/demo będą wystarczające do stworzenia kopii nośnika.
Jako przykład użyjemy WinHex do klonowania dysku.
Rys. 11 opcje w menu WinHex do klonowania dysku.
Na zakładce „Narzędzia” wybieramy opcję „Narzędzia dyskowe”, w rozwijanym oknie wybieramy „Klonuj dysk” lub po prostu naciskamy Ctrl+D.
Rys. 12 ustawienia parametrów klonowania.
Za źródło wybieramy dysk, który należy sklonować.
Odbiornik może być dyskiem o równym lub większym rozmiarze, a także możliwe jest klonowanie do obrazu pliku.
Upewnij się, że na dysku odbiorczym jest wystarczająco dużo wolnego miejsca.
W ustawieniach kopiowania zaleca się użycie opcji „pomijania defektów, sektorów”.
Jeżeli Twój nośnik ma sektor o fizycznym rozmiarze sektora 4096 bajtów, ale w systemie operacyjnym jest przekazywany z wirtualnym rozmiarem 512 bajtów, należy ustawić wartość 8, aby uniknąć zbędnych prób odczytu problematycznego sektora.
„Szablon do zastępowania wad źródła” – podaj słowo lub frazę, które będą wygodne do wyszukiwania, a które wypełni sektor w kopii w miejscu nieczytelnych sektorów z źródła. Dzięki temu łatwiej będzie znaleźć uszkodzone pliki w przyszłości.
Podczas tworzenia kopii należy nieprzerwanie kontrolować proces. W przypadku pojawienia się obcych dźwięków, zawieszania się nośnika lub wykrycia większej ilości błędów niż podczas wstępnego testowania, należy natychmiast przerwać proces i odłączyć nośnik, aby uniknąć nieodwracalnych skutków.
Profesjonalne narzędzia do odzyskiwania danych, takie jak DataExtractor, mają znacznie większe możliwości konfigurowania scenariusza kopiowania danych, a także oferują kontrolę stanu nośnika, co znacznie zwiększa szanse na udane odzyskiwanie przy obecności kompetentnego specjalisty.
Rys. 13 ustawienia reakcji profesjonalnego kompleksu w przypadku problemów z odczytem
Odzyskiwanie danych
6. Metody odzyskiwania
Obecnie istnieje wiele programów do automatycznego odzyskiwania danych, które nie wymagają od użytkownika żadnej specjalistycznej wiedzy i umożliwiają pozyskanie danych niemal za pomocą jednego kliknięcia myszy. Jednak takie podejście w wielu przypadkach nie da maksymalnie możliwego wyniku lub wynik ten zostanie zagubiony w masie nieprzydatnych opcji.
Aby program do odzyskiwania danych działał skutecznie, najlepiej maksymalnie zawęzić obszar wyszukiwania. W tym celu warto wskazać obszar skanowania oraz typ poszukiwanej systemu plików. Takie podejście może odrzucić wiele możliwości wcześniejszych systemów plików i zmniejszyć ryzyko błędnej interpretacji odnalezionych metadanych systemu plików.
Rys. 14 Przykład ustawienia R-studio do wyszukiwania metadanych właściwego systemu plików
Metadane systemu plików to struktury opisujące lokalizację plików, ich nazwy, atrybuty, prawa dostępu do nich, logi itp.
Rys. 15 Przykład metadanych. Fragment zapisu MFT (Master File Table w NTFS)
Nie w każdym przypadku programy do automatycznego odzyskiwania dokładnie określają punkt odniesienia dla znalezionych metadanych, a także nie zawsze poprawnie odfiltrowują dane różnych systemów plików, co może prowadzić do błędnej oceny lokalizacji dla wszystkich plików. Dodatkowo różne śmieciowe interpretacje zwiększają zakładany rozmiar danych, czasami wielokrotnie przekraczając pojemność samego nośnika.
W profesjonalnych rozwiązaniach dostępne są narzędzia do tworzenia wirtualnych wolumenów różnych systemów plików z ręcznie określonymi parametrami, a także narzędzia do wyszukiwania metadanych z możliwością ręcznego odrzucania zbędnych obiektów.
W przypadkach, gdy potrzebne metadane systemu plików już nie istnieją lub są nieprawidłowe, należy zastosować metodę wyszukiwania wyrażeń regularnych charakterystycznych dla określonych typów plików.
Rys. 16 0xFF 0xD8 0xFF wyrażenie regularne charakterystyczne dla plików JPG
Programy do automatycznego odzyskiwania, które stosują tę metodę wyszukiwania, mają wiele wad: brak struktury katalogów i oryginalnych nazw plików, nieanalizowanie struktury plików oraz niewystarczająca kontrola integralności znalezionego pliku, co prowadzi do wielu śmieciowych danych, które są bezużyteczne, a dla wielu typów plików nie oblicza się poprawnego rozmiaru.
Rys. 17 Ustawienia R-Studio do wyszukiwania wyrażeń regularnych potrzebnych plików
7. Typowe przypadki i zalecane działania
Uszkodzenie systemu plików
W wyniku awarii komponentów PC, nieprawidłowego działania systemu operacyjnego, nagłego odcięcia zasilania podczas zapisu na dysk, uszkodzeń dysku twardego mogą być uszkodzone metadane systemu plików. W wielu przypadkach uszkodzeń system operacyjny nie będzie w stanie zamontować woluminu z uszkodzonym systemem plików.
Rys. 18 uszkodzone metadane systemu plików (niezidentyfikowany system plików RAW)
W tych przypadkach skuteczna jest metoda wyszukiwania metadanych systemu plików w granicach istniejącej partycji. Przy niewielkich uszkodzeniach można uzyskać wynik bliski 100%. Ta rekomendacja jest aktualna dla większości różnych systemów plików.
Oczywiście, zdarzają się przypadki, gdy na skutek awarii zostaje uszkodzona duża ilość metadanych obecnego systemu plików. Wtedy, jeśli pierwszy wariant nie zadziałał, konieczne jest skorzystanie z metody analizy wyrażeń regularnych w celu odnalezienia potrzebnych plików.
Praca specjalisty polega na ocenie charakteru uszkodzenia metadanych, a jeśli nie zostały one zniszczone, lecz są w zniekształconej postaci, to możliwe są ręczne korekty w edytorze szesnastkowym.
Usunięcie pliku lub grupy plików.
Błędne usunięcie danych to dość powszechny przypadek. Skutki tego działania w dużym stopniu zależą od rodzaju systemu plików, a także w stosunkowo nowych dyskach od ideologii działania mikrokodów samego urządzenia.
Jeśli pliki zostały usunięte z partycji z systemem plików NTFS, to optymalną metodą poszukiwania będzie ekspresowa analiza w różnych narzędziach, w której szybko skanowane są kluczowe struktury (MFT, Index, Logfile) bez pełnego skanowania partycji. Jeżeli poszukiwane wpisy plików i miejsce zajmowane przez te pliki nie zostały nadpisane innymi danymi, to stosunkowo szybko można odzyskać interesujące pliki.
Rys. 19 po przeskanowaniu $MFT fioletowym kolorem zaznaczone są wpisy, które są uważane za usunięte.
Jeśli podczas szybkiego skanowania potrzebne dane nie zostały znalezione lub są uszkodzone, to można wykonać pełne skanowanie partycji, ale prawdopodobnie wyniki się nie zmienią i poza wyszukiwaniem wyrażeń regularnych nic innego nie pozostanie.
W arsenale specjalisty dostępne jest narzędzie do budowy mapy nieużytków oraz dalsza analiza wyłącznie w tych obszarach, co eliminuje istniejące dane z wyniku odzyskiwania. To znacznie oszczędza czas użytkownika w dalszym poszukiwaniu potrzebnych plików w dużej ilości anonimowych danych.
Jeśli pliki zostały usunięte z partycji z systemem plików FAT16, FAT32, można skorzystać z analizy metadanych i odzyskać część danych z oryginalnymi nazwami. W przypadku SFN pierwszy znak nazwy pliku będzie brakował, a jeśli plik miał długą nazwę, to jego pełna nazwa będzie w zapisie LFN. W przypadku usunięcia fragmentowanych plików, odzyskiwanie danych za pomocą programów automatycznego przywracania nie będzie skuteczne, ponieważ przy usuwaniu w tabeli FAT usuwany jest zapis o łańcuchu klastrów przynależących do pliku. Ponadto w FAT32 w pewnych sytuacjach oprócz usunięcia łańcucha lokalizacji pliku w obu kopiach tabeli, w katalogu usuwany jest pierwszy znak SFN i dwa wyższe bajty numeru pierwszego klastra zajmowanego przez plik. Większość narzędzi automatycznego przywracania, analizujących metadane, nie określi prawidłowej pozycji pliku.
Odzyskiwanie fragmentowanych plików to zazwyczaj dość skomplikowane zadanie, które jest w dużym stopniu zautomatyzowane. Metody automatyzacji można rozwijać dla konkretnego typu struktur. Najczęściej zadanie polega na ręcznym, nisko wydajnym analizowaniu w poszukiwaniu potrzebnych fragmentów. Przykład podobnej pracy można ocenić w artykule
Jeśli metody analizy metadanych nie doprowadziły do znalezienia potrzebnych danych lub wymagane pliki nie mogą być otwarte, pozostaje metoda wyszukiwania wyrażeń regularnych. Możliwe, że część plików da się odnaleźć.
Jeśli pliki zostały usunięte z partycji z systemem plików HFS+, Ext 2, Ext3, Ext4, to, niestety, analiza metadanych jest bezcelowa. Oprócz wyszukiwania wyrażeń regularnych nie pozostaje nic innego.
Usunięcie partycji z danymi
Jeśli w narzędziu do zarządzania dyskami usunięto jedną lub więcej partycji przez pomyłkę, użytkownikowi chcącemu odzyskać dane zaleca się uruchomienie narzędzi automatycznego przywracania z pełnym skanowaniem całego urządzenia. Warto również uwzględnić położenie istniejących partycji, aby wykluczyć z góry błędne opcje w znalezionych wynikach.
Rys. 20 usunięta partycja
Tego typu prace są wykonywane stosunkowo szybko przez specjalistów, polegając na poszukiwaniu sektorów rozruchowych i superbloków w oczekiwanych miejscach. Na podstawie znalezionych danych obliczane są dokładne pozycje początkowe sekcji oraz ich długość.
Można również spróbować użyć DMDE lub podobnych narzędzi, które mogą stosunkowo szybko pomóc w znalezieniu oznak początku sekcji i spróbować zrekonstruować system plików znalezionej sekcji.
Rys. 21 wynik szybkiego wyszukiwania sekcji za pomocą DMDE
Sekcja sformatowana z danymi.
W takich przypadkach zalecany scenariusz działań w dużym stopniu zależy od typu systemu plików, który był używany przed sformatowaniem sekcji, oraz od systemu plików, który będzie używany po sformatowaniu.
Na przykład, jeśli sekcja FAT32 z klastrem 8 kB została sformatowana w FAT32 z klastrem 64 kB, to rozmiar nowych tabel FAT stał się 8 razy mniejszy i w związku z tym obie kopie nowych tabel uszkodziły tylko pierwszą kopię starych tabel FAT. W takiej sytuacji wyszukiwanie metadanych może dać wynik bliski 100%. Jeśli jednak sekcja została sformatowana w FAT32 z mniejszym lub równym rozmiarem klastra niż przed sformatowaniem, nowe czyste tabele całkowicie nadpiszą stare i częściowo wpłyną na obszar z danymi użytkowników. W takim przypadku wyszukiwanie metadanych przyniesie znacznie gorszy wynik.
Jeśli przed sformatowaniem na sekcji używany był system plików FAT32, a sekcja została sformatowana w NTFS, to nowe struktury ($MFT, $Bitmap, $Logfile) zwykle znajdują się nie na samym początku sekcji i istnieje wysoka prawdopodobieństwo, że metodą wyszukiwania metadanych uzyskamy większość danych z normalną strukturą katalogów i minimalnymi uszkodzeniami danych.
Również wysoki procent odzyskiwania będzie miał miejsce, gdy sekcja z systemem plików NTFS zostanie sformatowana w FAT32. W takim przypadku tabele FAT uszkodzą dane na początku sekcji i zazwyczaj nie wpłyną na kluczowe struktury NTFS. Niezadowalający wynik wystąpi w przypadku małej ilości danych, których rozmiary są porównywalne z rozmiarami dwóch kopii tabel FAT.
Jednak jeśli użytkownik nie chce wgłębiać się w szczegóły dotyczące umiejscowienia metadanych różnych systemów plików, logicznym krokiem będzie uruchomienie narzędzia do automatycznego odzyskiwania danych w trybie wyszukiwania metadanych. W przypadku, gdy uzyskana ilość danych jest niewystarczająca, warto zastosować metodę wyszukiwania za pomocą wyrażeń regularnych.
Partycja z danymi została sformatowana i częściowo nadpisana innymi danymi.
Jak to często bywa, użytkownik może sformatować partycję i zacząć ją wypełniać innymi danymi, a dopiero później zorientować się, że na starej partycji znajdowały się ważne informacje. W takich przypadkach nie może być jednoznacznej rekomendacji. Wszystko bardzo mocno zależy od tego, ile (ilościowo i objętościowo) nowych danych zostało zapisanych oraz gdzie się one znajdują. W zależności od okoliczności wynik może wynosić od 0 do bliskiego 100%. Zdalnie jest to nieprzewidywalne.
W wielu przypadkach z dużym pokryciem obszaru danych sensowne jest rozpoczęcie od metody wyszukiwania za pomocą wyrażeń regularnych dla potrzebnych typów plików, aby zrozumieć, czy istnieją jeszcze oznaki obecności potrzebnych danych, a w przypadku ich wykrycia przeprowadzić wyszukiwanie metadanych systemu plików.
W warunkach laboratorium odzyskiwania danych specjalista stworzy mapę nieużywanego miejsca i przeprowadzi wyszukiwanie wyrażeń regularnych tylko po tych obszarach, aby wykluczyć w wynikach wyszukiwania obecność już istniejących danych. Ponadto za pomocą narzędzi do kontroli integralności znacznie zminimalizuje liczbę fałszywych pozytywów. A w niektórych przypadkach, takich jak odzyskiwanie plików JPG (na przykład domowego albumu zdjęć), będzie mógł sortować wyniki zgodnie z informacjami zawartymi w tagach Exif plików JPEG, co pozwoli uzyskać uporządkowany chronologicznie wynik i posortowany według modeli aparatów.
Rys. 22 wynik sortowania plików JPG, znalezionych za pomocą wyszukiwania wyrażeń regularnych.
Nagłe zakończenie procedur zmiany rozmiaru, przenoszenia lub łączenia partycji.
W przypadku awaryjnego zakończenia procedur menedżerów dysków związanych ze zmianą rozmiaru partycji, ich przenoszeniem lub łączeniem kilku partycji, należy zrozumieć, jakie kroki zostały podjęte i na jakim etapie operacja została przerwana, aby uzyskać maksymalny możliwy rezultat.
Biorąc pod uwagę złożoność i liczbę możliwych wariantów, rozważmy tylko uniwersalną opcję dla użytkownika, który potrzebuje rezultatu przy minimalnej liczbie działań. Obiektem analizy powinien być cały nośnik, aby zapewnić uwzględnienie wszystkich miejsc przechowywania danych. Należy użyć metody wyszukiwania metadanych i skopiować wszystkie warianty danych w znalezionych systemach plików. Jest duże prawdopodobieństwo, że w każdym z wariantów będą poprawne różne zestawy plików. Wyszukiwanie wyrażeń regularnych w określonych typach plików jest również istotne, ponieważ w takich przypadkach utraty danych możliwa jest częściowa utrata informacji o nazwach i lokalizacji plików.
8. Sprawdzenie integralności odzyskanych danych
Ważne jest, aby zrozumieć, że wyświetlanie nazw plików w programie do odzyskiwania danych lub liczba znalezionych wyrażeń regularnych nie gwarantuje, że wszystko, co zostało znalezione, będzie nadające się do użytku. Dlatego równie ważnym etapem po odzyskaniu danych przez program automatycznego odzyskiwania jest sprawdzenie integralności samych danych.
Niestety, nie istnieje uniwersalne, darmowe narzędzie do sprawdzenia integralności dużej liczby różnych plików. Ale osobno można znaleźć darmowe oprogramowanie, które może monitorować poszczególne typy plików. Na przykład wiele archiwizatorów pozwoli sprawdzić poprawność archiwów, narzędzie MP3Diag można wykorzystać do sprawdzenia poprawności plików mp3, a ImageMagick można użyć do testowania plików jpg.
Główną wadą wielu darmowych narzędzi do sprawdzania integralności plików jest to, że nie gwarantują one pełnej kontroli plików. Mogą wystąpić masowe błędy.
Dla wielu typów plików użytkownik nie ma innej opcji, jak tylko wizualna ocena integralności danych poprzez kolejno otwieranie plików w odpowiednich aplikacjach.
W profesjonalnych zestawach narzędzi znajduje się zestaw umożliwiający częściową kontrolę nad integralnością plików, co eliminuje z wyników odzyskiwania danych dużą liczbę niepotrzebnych plików.
Oprócz eliminacji niepotrzebnych plików, konieczne jest wykrycie plików uszkodzonych przez defekty. Jeśli wykonałeś kopię sektorową z wypełnieniem wzorem nieczytelnych sektorów, problem z odnalezieniem uszkodzonych plików można łatwo rozwiązać, przeprowadzając wyszukiwanie w plikach ciągu tekstowego „BAD!BAD!BAD!BAD!” (w naszym przykładzie użyto wzorca „BAD!”). Po znalezieniu należy sprawdzić stopień uszkodzenia, ponieważ niektóre formaty plików mogą nie być znacznie dotknięte utratą niewielkiej ilości danych, podczas gdy inne mogą być całkowicie nienadające się do użycia.
9. Częste błędy użytkowników.
Różnorodne próby "leczenia" defektów przy użyciu popularnych narzędzi diagnostycznych w nadziei, że przywrócą dostęp do danych, są jednym z głównych błędów wielu użytkowników. Próby ukrycia defektów na nośniku z uszkodzoną powłoką na powierzchni talerzy zazwyczaj kończą się szlifowaniem talerzy, a nie uzyskaniem dostępu do danych. Z tego powodu, bez znajomości charakteru defektów na powierzchni zdecydowanie nie zaleca się przeprowadzania jakichkolwiek operacji serwisowych na dysku przed odzyskaniem danych. Po skutecznym odzyskaniu informacji można spróbować zserwisować nośnik, a jeśli będziesz miał szczęście, być może nośnik będzie jeszcze przydatny do dalszego użytkowania w mniej odpowiedzialnych zadaniach.
Często defekty dotyczą metadanych systemu plików. W takich przypadkach system operacyjny podczas próby zamontowania uszkodzonego woluminu długo zastyga. Przy podłączonym problematycznym nośniku czas uruchamiania systemu operacyjnego może się wydłużyć do wielu minut. Jednym z najgorszych pomysłów na rozwiązanie tego problemu jest sformatowanie problematycznej partycji. Nowo utworzone metadane mogą zapisać się prawidłowo, a problem długiego uruchamiania systemu operacyjnego zostanie rozwiązany, ale zadanie odzyskiwania danych ulegnie skomplikowaniu, a jakość wyniku odzyskiwania może znacznie ucierpieć.
Kopiowanie danych wykrytych przez narzędzie na ten sam dysk, z którego próbujesz odzyskać pliki. W takim przypadku zazwyczaj kończy się to tym, że zamiast danych użytkownik otrzymuje śmieci i kolejna próba odzyskania danych przyniesie znacznie gorsze rezultaty. Jeśli postąpisz zgodnie z instrukcjami zawartymi w tym artykule, będziesz chroniony przed takim błędem.
Nie wykonuje się weryfikacji integralności odzyskanych danych i zawartość oryginalnego nośnika jest niszczona razem z jego kopią. W takim przypadku istnieje ryzyko pozostania z wieloma folderami wypełnionymi błędnymi wynikami próby odzyskania danych bez możliwości uzyskania wysokiej jakości rezultatu.
Niewłaściwy wybór narzędzia i metod odzyskiwania danych, przez co uzyskuje się wynik znacznie gorszy, niż mógłby być.
Mam nadzieję, że ten zestaw działań pomoże Ci podjąć decyzję, czy Twoja sytuacja z nośnikiem pozwala na samodzielne próby odzyskiwania danych i czy jesteś gotowy wykonać ten stosunkowo prosty zestaw działań wymienionych w tym artykule.
Źródło: habr.com
