Este artigo descreve métodos de diagnóstico independente de várias falhas de discos rígidos com base nos sintomas de sua manifestação, bem como maneiras relativamente seguras de clonar discos rígidos com problemas menores.
São discutidos diversos casos de perda de dados e um conjunto de ações recomendadas que, mesmo sem um conhecimento profundo dos sistemas de arquivos, podem auxiliar na recuperação das suas informações sem a ajuda de terceiros.
Mas, antes de iniciar qualquer ação independente, é necessário ler atentamente todo o material do artigo e, só então, analisar o estado do seu disco rígido, para que suas tentativas não sejam as últimas no ciclo de vida do dispositivo, e para que você não se prive das últimas esperanças de recuperar os dados que precisa.
CONTEÚDO
Parte um: Diagnóstico
Parte dois: Recuperação de dados.
Ao concordar em seguir as instruções a seguir, você reconhece que ninguém além de você mesmo é responsável por qualquer falha do dispositivo e pela perda irreversível de dados. O conjunto de medidas é destinado a reduzir a probabilidade de um resultado desfavorável, mas não garante proteção de 100% contra isso.
Diagnóstico
1. Inspeção visual
Inspecione o dispositivo em busca de deformações, elementos ausentes ou queimados na placa do controlador, e verifique a integridade dos conectores. Se forem descobertos danos sérios ou elementos queimados, é fortemente desaconselhável tentar fornecer energia a tal dispositivo, para evitar agravar o problema.
Usando chaves de fenda (geralmente são Torx — T5, T6, T9), desaperte os parafusos que fixam a placa do controlador e verifique o estado das áreas de contato na placa do controlador.
A Fig. 2 mostra que nas áreas de contato há uma película de óxido.
Se houver oxidação, pode-se tentar removê-la das áreas de contato com uma borracha comum. A borracha deve ser utilizada somente sobre superfícies planas, como na figura. Em outros casos, essa ação não é aplicável.
Fig. 3 contatos limpos.
Se houver algum dano na placa, não tente substituir a placa do controlador por outra de um dispositivo semelhante, pois nos discos rígidos modernos, a EEPROM da placa pode conter parâmetros adaptativos que são gerados durante o ciclo de produção e são únicos para cada dispositivo. Em casos relativamente raros, parâmetros de terceiros podem causar danos ao disco rígido.
Com uma estação de solda, deve-se transferir o MCU, EEPROM, NV-RAM, NAND (dependendo do que está na placa do controlador e o que precisa ser transferido) e, após essa adaptação, usar o controlador doador. É importante notar que, para a adaptação de muitos controladores, basta transferir apenas o chip EEPROM.
Ao escolher a placa, observe primeiro o número PCB gravado. Depois, avalie a correspondência das marcações do MCU e do controlador VCM&SM. Se as marcações do MCU e do VCM&SM no controlador da placa original e na placa doadora forem diferentes, há uma alta probabilidade de que a placa doadora não seja adequada. Dentro de uma mesma família podem existir diferentes versões de placas, e em alguns casos podem ser compatíveis com certas ressalvas, mas não deve-se tentar descobrir isso em casa.
Tentar colocar uma placa de controlador inadequada (com um número diferente no PCB) pode resultar na queima do comutador pré-amplificador.
Com um multímetro, verifique os circuitos de 5V e 12V quanto a curtos-circuitos. Também verifique a resistência das bobinas do motor. Se houver um dispositivo exatamente igual e garantidamente funcional (mesmo fabricante, linha de modelo, revisão da placa de controlador), é possível verificar se a mesma quantidade de pinos na tomada do comutador se conecta à 'terra', além de comparar as resistências. Se houver diferenças significativas, pode-se concluir que o comutador pré-amplificador está com problemas, e então parar qualquer tentativa de recuperação de dados.
2. Teste de inicialização
Certifique-se de que o seu sistema de teste está funcionando corretamente para evitar diagnósticos incorretos. Se não houver causas externas que impeçam a tentativa de inicialização, conecte o cabo de interface e o cabo de alimentação às respectivas portas e ligue a fonte de alimentação.
Se você souber que o dispositivo foi golpeado ou caiu enquanto estava em funcionamento, ou se começou a emitir ruídos de batidas antes de chegar até você, evite tentar ligá-lo.
Nesses casos, é necessário abrir o disco rígido em um ambiente de fluxo laminar (ou sala limpa) e realizar um exame meticuloso usando um microscópio.
Fig. 4 conexão dos cabos aos discos rígidos.
Após a energização, o dispositivo deve começar a girar o eixo. Em alguns casos, isso pode não ocorrer com dispositivos completamente funcionais, se por algum motivo nas configurações do dispositivo houver um comando de spin up.
Quando o eixo gira, um leve ruído do fluxo de ar se torna audível. Em alguns dispositivos, esse ruído é quase inaudível, portanto, você pode usar um estetoscópio (ou manter o dispositivo perto do ouvido, respeitando todas as regras de segurança para evitar curto-circuitos).
Se, ao invés do som do ar, você ouvir uma série de zumbidos cíclicos, apitos suaves ou sons que lembram sinais de telefone, é muito provável que o dispositivo não consiga iniciar a rotação do eixo do motor. As razões para isso podem incluir: a cabeça de leitura/gravação presa fora da área de estacionamento, o eixo do motor preso ou uma falha no chip do controlador VCM&SM.
Se houver um dispositivo doador adequado, você pode verificar a versão com falha no controlador VCM&SM, se estiver disposto a fazer as adaptações necessárias na placa do doador, conforme descrito na seção 'inspeção visual'.
Nos casos de travamento do BMG fora da rampa de estacionamento, ações independentes baseadas em vídeos do YouTube geralmente levam à formação de arranhões adicionais nas superfícies das placas ou à ruptura dos sliders. Mesmo que você consiga relativamente bem colocar o BMG na rampa de estacionamento, os defeitos no revestimento polimérico gerados no local do travamento dos sliders, micro-arranhões dos sliders obtidos durante a colocação do BMG, junto com os procedimentos de escaneamento offline e poeira do ar não filtrado, dificilmente permitirão que você consiga ler uma quantidade significativa de dados na grande maioria dos casos antes do início do desenvolvimento de processos de degradação irreversíveis. O processo de recuperação de dados em tais casos em uma empresa especializada pode ser conhecido neste artigo.
Ao travar o eixo do motor, geralmente é necessário transplantar o pacote de discos para a câmara hermética do dispositivo doador. Tal atividade em casa, sem a preparação adequada e sem as ferramentas necessárias, em 99,9% dos casos estará condenada ao fracasso.
Se não houver som algum ao ligar e o dispositivo não começar a girar o eixo, as seguintes diagnósticos são possíveis: a placa do controlador está com defeito, o comutador pré-amplificador está com defeito, o BMG está com defeito.
Depois que o dispositivo começou a girar o eixo, ele deve executar a calibração, ler o microprograma e, após inicializar o sistema de transmissão, ficar pronto. Se em vez de calibração houver sons cíclicos de batidas, rangidos ou outros sons altos, desconecte o dispositivo imediatamente. A causa de tais fenômenos pode ser: falha no BMG ou no comutador pré-amplificador, falha no chip VCM&SM do controlador.
Microprograms of some drives perform a switch-controller query before the motor spindle starts spinning, and in cases of detecting incorrect response or excessive resistance from any of the heads, they initiate an emergency stop of the initial initialization process. Unfortunately, not all microprograms adequately monitor the device's integrity and allow attempts to start obviously problematic hard drives. It is recommended to perform BMG transplantations in a laminar flow box with clean air and specialized tools. In addition, it is necessary to know how to select a donor, in order to choose one with the appropriate revision of the switch-controller, head map, and closely related adaptive parameters. Just matching the manufacturer and model does not guarantee that the drive is a suitable donor. Even if you manage to find a donor and perform the transplantation procedure, it is unlikely that a significant amount of data can be read due to associated problems.
The actions that can be taken with a faulty controller board are described in the 'Visual Inspection' section.
Fig. 5 heavily scratched surface of the plate (multiple grooves).
It is important to understand that with each attempt to power on a drive with a faulty BMG, there are risks of further damage to the plate surfaces, which may lead to complete data recovery impossibility.
If the drive does not make any suspicious sounds, then after completing all the initialization procedures, it should be ready. From this point on, the drive should be ready for data exchange via the interface, and when connected to the motherboard port of the PC, it should respond to the BIOS passport request. If everything is fine with the connection and BIOS settings, but the disk remains invisible to the PC, then there are most likely issues in the drive's microprogram that prevent it from becoming ready.
Se o disco estiver fornecendo dados de identificação incorretos, como apenas o nome do modelo e capacidade zero, ou se o nome do modelo não estiver exatamente correto e faltar o número de série, isso indica que o processo de inicialização não foi bem-sucedido e há falhas no firmware. Nesses casos, geralmente não é possível resolver o problema sem o uso de programas e equipamentos profissionais.
Um caso que pode ser considerado uma exceção é o Seagate 7200.11 (da família Moose), para o qual alguns problemas puderam ser resolvidos usando um adaptador RS232-TTL e um terminal comum, mas é preciso entender que, sem uma compreensão do problema do microcódigo, existem riscos de agravar substancialmente a situação.
É categoricamente desaconselhável aplicar essa metodologia a outras famílias, pois isso levará a um recalculo do tradutor, que na esmagadora maioria dos casos será incorreto e o acesso à zona de usuário será interrompido na primeira divergência. A recuperação de dados, nesse caso, torna-se significativamente mais difícil.
Se todos os campos do disco emitido estiverem corretos, exceto a capacidade, é necessário verificar se isso é resultado de um erro de BIOS em algumas placas-mãe que, ao usar comandos de controle HPA, em vez de cortar um pequeno pedaço do intervalo LBA para preservar uma cópia da BIOS, cortam quase 1 TB.
Fig. 6 capacidade nominal do disco de 1 TB após processamento incorreto do BIOS da placa-mãe Gigabyte
Para resolver esse problema, você pode usar o HDAT2 ou um software de diagnóstico gratuito semelhante, com o qual é possível restaurar a capacidade nominal original do disco e desativar a capacidade de controle HPA no DCO para evitar a recorrência do problema.
3. Preparação para testes
Ao testar discos fora de sistemas profissionais, é importante preparar o sistema operacional com antecedência. É necessário desativar a montagem automática dos volumes do disco para evitar interferência do sistema operacional.
No sistema operacional Windows, para isso, você precisa iniciar com direitos de administrador diskpart e executar o comando automount disable. Se o disco potencialmente problemático já tiver sido conectado a este sistema operacional, é necessário remover os parâmetros de montagem do registro com o comando automount scrubPara que estas configurações tenham efeito, é recomendada a reinicialização.
Também é necessário preparar o software de diagnóstico. No Windows, pode-se usar o gratuito PC3000 DiskAnalyzer, que, além da função de diagnóstico, possui a capacidade de criar uma cópia setor a setor. Além disso, é desejável ter um pen drive USB inicializável com o HDAT2.
Não é obrigatório usar apenas este software para diagnóstico. Outros análogos podem ser utilizados, exceto alguns softwares pagos para usuários excessivamente confiantes, cujos anúncios podem conter slogans como "... programa único para regeneração de discos rígidos danificados fisicamente. Ele não oculta setores defeituosos, realmente os restaura!". Em casos de alegações muito chamativas, como fato, esse tipo de software possui capacidades bastante modestas, que não superam as do software gratuito, e a ideologia de lidar com defeitos está mais voltada para a destruição final do dispositivo do que para ajudar a recuperar dados posteriormente.
Se, ao conectar o dispositivo, o tempo de inicialização do sistema operacional aumentou várias vezes, mesmo com a montagem automática dos volumes desativada, é recomendável interromper qualquer atividade para evitar agravar o problema.
Um aumento significativo no tempo de inicialização do sistema operacional ao conectar um disco rígido potencialmente problemático é um sinal característico de que há defeitos na superfície dos discos do dispositivo. As atrasos na inicialização do sistema operacional ocorrem devido a acessos a setores defeituosos e tentativas do firmware de executar procedimentos de varredura offline que estão além de suas capacidades.
Após o carregamento bem-sucedido do sistema operacional, acesse o gerenciador de dispositivos e verifique se o seu armazenamento está presente na lista de dispositivos. Se não estiver lá, certifique-se de que o driver para o controlador ao qual ele está conectado esteja instalado e que o próprio controlador não esteja desativado na lista de dispositivos. Se o driver e as configurações do sistema operacional estiverem corretos, mas o armazenamento ainda não aparecer ou desaparecer após um tempo, isso geralmente indica uma ampla gama de falhas. As mais prováveis são falhas na placa do controlador, travamento do firmware do armazenamento ou ativação do modo de emergência, no qual ele deixa de responder normalmente à maioria dos comandos.
Para esclarecer o diagnóstico, você pode tentar carregar o DOS e usar o HDAT2 para verificar os parâmetros SMART. Se forem detectados sinais de formação de defeitos (valores não nulos para os atributos 5 e 197(C5) nos campos de valores não normalizados), pode-se concluir que, sem interferir nas configurações do firmware, nada poderá ser feito em casa. Se não houver sinais de formação de defeitos, a causa dos travamentos pode estar em um funcionamento incorreto da placa do controlador. Nesse caso, você pode tentar usar a placa do controlador de um armazenamento doador.
4. Testando
Após seguir as etapas anteriores e não encontrar razões válidas para interromper o processo, você pode prosseguir com a avaliação do estado do armazenamento. A grande maioria dos dispositivos lançados neste século possui tecnologia S.M.A.R.T., que monitora o estado do armazenamento e registra diversos eventos ao longo de sua operação. Para mais detalhes sobre a implementação dessa tecnologia em HDDs e quais parâmetros devem ser monitorados na operação dos discos, consulte nosso artigo .
Utilizando software de diagnóstico, você deve solicitar os parâmetros S.M.A.R.T.
Fig. 7 atributos SMART de um disco rígido funcional
É importante avaliar os indicadores dos atributos 5 e 197(C5). Se os valores na coluna RAW forem zero ou os indicadores de problemas forem únicos, então é necessário continuar com o teste.
Fig. 8 atributos SMART de um disco com sérios problemas de defeitos
Se a quantidade de candidatos a defeitos for um número de três a quatro dígitos, na maioria dos casos, tentativas adicionais de testar a superfície ou escanear com utilitários de recuperação de dados automáticos agravarão o problema, chegando a tornar a recuperação de dados totalmente impossível.
Para a recuperação de dados em tais casos, é importante intervir nas configurações de firmware dos discos e desabilitar procedimentos de escaneamento offline e o registro de logs S.M.A.R.T., a fim de liberar o dispositivo de processos em segundo plano que possam reduzir consideravelmente a vida útil do dispositivo problemático. Infelizmente, isso não pode ser feito por métodos simples sem um conhecimento profundo da arquitetura dos firmwares dos discos e sem dispositivos profissionais. O próximo passo é avaliar o estado de cada cabeçote individualmente e localizar as principais zonas defeituosas. A leitura linear com múltiplas repetições em áreas defeituosas é contraindicada, pois é considerada muito arriscada.
Mesmo que o disco pareça estar funcionando corretamente à primeira vista e que os dados S.M.A.R.T. não mostrem sinais de defeitos, isso não garante que não existam. Portanto, é necessário realizar a etapa final de testes e verificar a superfície.
É importante monitorar continuamente o processo de escaneamento. Ao ouvir sons estranhos ou ao detectar grandes áreas com erros de leitura, interrompa imediatamente o processo e desconecte o disco para evitar consequências irreversíveis.
Fig. 9 gráfico de escaneamento de um disco saudável
Se o resultado do escaneamento do disco apresentar um gráfico de velocidade monotonamente decrescente e nenhuma erro de leitura for registrado, o dispositivo pode ser considerado saudável e pode-se prosseguir para a próxima seção.
Em discos com maior cache de mídia e com transmissão diferente da clássica (geralmente em discos com gravação em ladrilho (SMR)), o gráfico pode ter uma forma diferente. Variações de diversos tipos são possíveis.
Fig. 10 gráfico de escaneamento de um disco com cabeçote problemático
Se durante a verificação do disco forem detectadas zonas cíclicas "lentas", isso é um sinal característico de um cabeçote não completamente funcional. Não é necessário esperar que defeitos sejam identificados; o teste deve ser imediatamente interrompido.
Nessa situação, não se pode esperar nada bom de tentativas pessoais de recuperação de dados. É altamente provável que o dispositivo não sobreviva à tentativa de criar uma cópia setorial com os meios disponíveis ao usuário.
Nos casos em que foram detectados sinais de formação de defeitos nos atributos S.M.A.R.T. 5 e 197 (C5), ou em que foram encontrados defeitos pontuais no processo de verificação, é necessário criar uma cópia do disco.
5. Cópia setorial
Se, com base nos resultados dos testes, o dispositivo estiver funcionando corretamente e nenhum problema for detectado, não há necessidade de criar uma cópia setorial e pode-se trabalhar com o disco original. No entanto, para evitar várias eventualidades, é altamente recomendável não pular essa etapa e trabalhar apenas com a cópia.
Com um disco rígido funcionando ou um disco com um pequeno número de defeitos, não há grande diferença quanto à ferramenta que você utilizará; o importante é que ela crie uma cópia completa. Também é essencial não tentar usar opções de alguns programas para criar uma imagem compactada, pois depois você provavelmente só poderá trabalhar dentro das limitações do software que criou essa imagem.
No sistema operacional Windows, é possível usar os seguintes programas: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio e outros.
No sistema operacional Linux, as funcionalidades do comando dd padrão são suficientes.
Nem todos os softwares são gratuitos, mas em muitos casos as capacidades da versão de teste/demo serão suficientes para criar uma cópia do dispositivo.
Como exemplo, usaremos o WinHex para clonar o disco.
Fig. 11 opções no menu WinHex para clonagem de disco.
Na aba "Ferramentas", selecionamos a opção "Ferramentas de Disco" no menu suspenso e escolhemos "Clonar Disco" ou simplesmente pressionamos Ctrl+D.
Fig. 12 configurações de parâmetros de clonagem.
Selecionamos como origem o disco que precisa ser clonado.
O destino pode ser um disco de volume igual ou maior, ou também é possível clonar para um arquivo-imagem.
Certifique-se de que há espaço livre suficiente no disco de destino.
Nas configurações de cópia, é desejável ativar a opção "pular setores defeituosos".
Se o seu dispositivo tiver um setor com um tamanho físico de 4096 bytes, mas no sistema operacional for apresentado com um tamanho virtual de 512 bytes, é necessário definir o valor como 8, para evitar tentativas de leitura desnecessárias do setor problemático.
«Modelo para substituição de defeitos da fonte» — indicar uma palavra ou expressão acessível para pesquisa, que será preenchida no setor na cópia nos locais dos setores ilegíveis da fonte. Isso facilitará encontrar arquivos danificados mais tarde.
Ao criar uma cópia, é imprescindível monitorar o processo sem interrupções. Se surgirem sons estranhos, se houver travamento do dispositivo ou se detectar um número maior do que o observado durante o teste inicial, interrompa imediatamente o processo e desconecte o dispositivo para evitar consequências irreversíveis.
Nos meios profissionais de recuperação de dados, como DataExtractor, há significativamente mais opções para personalizar o script de cópia de dados, além de um controle do estado do dispositivo, o que aumenta substancialmente as chances de extração bem-sucedida na presença de um especialista qualificado.
Fig. 13 configurações de respostas do complexo profissional em caso de problemas de leitura
Recuperação de dados
6. Métodos de recuperação
Hoje em dia, existem muitos programas automáticos de recuperação de dados que não exigem conhecimentos especializados do usuário e permitem a obtenção de dados com praticamente um clique do mouse. No entanto, essa abordagem em muitos casos não proporcionará o resultado máximo possível ou o resultado se perderá entre uma massa de opções inúteis.
Para um funcionamento eficaz do programa de recuperação de dados, é melhor restringir ao máximo a área de busca. Para isso, é recomendável indicar a área de varredura e o tipo do sistema de arquivos desejado. Essa especificação pode descartar muitas opções de sistemas de arquivos anteriores e também reduzir a probabilidade de uma interpretação incorreta dos metadados detectados do sistema de arquivos.
Fig. 14 Exemplo de configuração do R-studio para busca de metadados do sistema de arquivos desejado
Metadados do sistema de arquivos são estruturas que descrevem a localização dos arquivos, seus nomes, atributos, permissões de acesso, registros, etc.
Fig. 15 Exemplo de metadados. Fragmento da entrada MFT (Master File Table em NTFS)
Nem em todos os casos, os programas de recuperação automática calculam com precisão o ponto inicial em relação aos metadados encontrados e nem sempre filtram corretamente os dados de diferentes sistemas de arquivos, o que pode resultar em cálculos incorretos de localização para todos os arquivos. Além disso, várias interpretações incorretas aumentam o volume de dados previsto, às vezes muito mais do que a capacidade do próprio armazenamento.
Nas soluções profissionais, existem ferramentas para criar volumes virtuais de diferentes sistemas de arquivos com parâmetros configurados manualmente, bem como ferramentas para procurar metadados, permitindo a filtragem manual de objetos desnecessários.
Nos casos em que os metadados necessários do sistema de arquivos não existem mais ou são incorretos, é necessário aplicar o método de busca de expressões regulares característicos de determinados tipos de arquivos.
Fig. 16 0xFF 0xD8 0xFF expressão regular típica para arquivos JPG
Programas de recuperação automática que utilizam esse método apresentam as seguintes desvantagens: falta de estrutura de diretórios e nomes originais de arquivos, não analisam a estrutura dos arquivos e o controle de integridade do arquivo encontrado é insuficiente, o que resulta em muitos dados indesejados que não podem ser utilizados; para muitos tipos de arquivos, o tamanho correto não é calculado.
Fig. 17 Configurações do R-Studio para busca de expressões regulares dos arquivos que você precisa
7. Casos típicos e ações recomendadas
Dano ao sistema de arquivos
Como resultado de falhas nos componentes do PC, mau funcionamento do sistema operacional, perda repentina de energia durante a gravação no disco ou falhas no disco rígido, os metadados do sistema de arquivos podem ser danificados. Em muitos tipos de danos, o sistema operacional não conseguirá montar a partição com o sistema de arquivos danificado.
Fig. 18 metadados danificados do sistema de arquivos (sistema de arquivos RAW não reconhecido)
Nesses casos, o método de busca de metadados do sistema de arquivos dentro da partição existente é bastante eficaz. Com danos menores, é possível obter um resultado próximo a 100%. Esta recomendação é válida para a maioria dos diferentes sistemas de arquivos.
Certamente, existem casos em que, devido a falhas, uma grande quantidade de metadados do sistema de arquivos atual fica corrompida. Nesse caso, se a primeira abordagem não funcionou, é necessário usar o método de análise de expressões regulares para encontrar os arquivos desejados.
O trabalho do especialista se diferencia pelo fato de que ele avalia a natureza do dano aos metadados e, se eles não estiverem destruídos, mas sim distorcidos, correções manuais podem ser feitas em um editor hexadecimal.
Remoção de um arquivo ou grupo de arquivos.
A exclusão acidental de dados é um caso bastante comum. As consequências dessa ação dependem fortemente do tipo de sistema de arquivos e, em discos relativamente novos, da ideologia de funcionamento do firmware do próprio dispositivo.
Se os arquivos foram removidos em uma partição com sistema de arquivos NTFS, o método ideal de busca será a análise rápida em várias utilidades, nas quais as estruturas principais (MFT, Index, Logfile) são escaneadas rapidamente sem a necessidade de uma varredura completa da partição. Se os registros de arquivo necessários e o espaço ocupado por esses arquivos não forem sobrescritos por outros dados, é possível recuperar os arquivos de interesse de forma bastante rápida.
Fig. 19 após a varredura, as entradas consideradas deletadas estão destacadas em roxo no $MFT.
Caso dados necessários não sejam encontrados ou estejam corrompidos durante a varredura rápida, pode-se realizar uma varredura completa da partição, mas provavelmente o resultado não mudará significativamente e, além da busca por expressões regulares, não restará nada mais.
No arsenal do especialista, há uma ferramenta para construir um mapa do espaço não alocado e fazer uma análise exclusivamente nessas áreas, o que elimina os dados existentes do resultado da recuperação. Isso economiza significativamente o tempo do usuário na busca de arquivos necessários entre uma grande quantidade de dados anônimos.
Se os arquivos foram excluídos em uma partição com sistema de arquivos FAT16 ou FAT32, é possível usar a análise de metadados para recuperar uma parte dos dados com os nomes originais. No caso de SFN, o primeiro caractere do nome do arquivo estará ausente; se o arquivo tinha um nome longo, seu nome completo estará na entrada LFN. No caso de arquivos fragmentados excluídos, a recuperação de dados por meio de ferramentas automáticas de recuperação não será bem-sucedida, já que ao excluir um arquivo na tabela FAT, a entrada sobre a cadeia de clusters pertencentes ao arquivo é removida. Além disso, no FAT32, em alguns casos, além da exclusão da cadeia de localização do arquivo em ambas as cópias da tabela, o primeiro caractere SFN é removido e os dois bytes superiores do número do primeiro cluster ocupado pelo arquivo. A maioria das ferramentas automáticas de recuperação que analisam metadados não determinará a posição correta do arquivo.
A recuperação de arquivos fragmentados é, geralmente, um trabalho bastante complexo que é pouco automatizado. Métodos de automação podem ser desenvolvidos para tipos específicos de estruturas. Mais frequentemente, a tarefa se resume a uma análise manual de baixo desempenho na busca de fragmentos necessários. Um exemplo desse tipo de trabalho pode ser avaliado no artigo
Se os métodos de análise de metadados não resultarem na localização dos dados necessários ou se os arquivos necessários não puderem ser abertos, resta o método de busca por expressões regulares. Pode ser que uma parte dos arquivos seja descoberta.
Se os arquivos foram excluídos em uma partição com sistema de arquivos HFS+, Ext 2, Ext3, Ext4, então, infelizmente, analisar metadados é inútil. Além da busca por expressões regulares, não resta mais nada.
Exclusão da partição de dados
Se um ou mais partições foram excluídas equivocadamente na ferramenta de gerenciamento de discos, para o usuário que deseja recuperar dados, é recomendável iniciar ferramentas de recuperação automática com uma varredura completa de todo o dispositivo. Também é desejável considerar a posição das partições existentes, a fim de excluir opções claramente erradas nos resultados encontrados.
Fig. 20 partição excluída
Um especialista, este trabalho é realizado relativamente rápido, através da busca de setores de inicialização e superblocos em locais esperados. Com base nos encontrados, são calculadas as posições exatas do início das partições e sua extensão.
Também é possível tentar usar o DMDE ou utilitários semelhantes, que podem permitir relativamente rápido encontrar sinais de início de partição e tentar exibir o sistema de arquivos da partição encontrada.
Fig. 21 resultado da busca rápida de partições usando DMDE
Partição formatada com dados.
Nesses casos, o cenário de ações recomendado depende fortemente do tipo de sistema de arquivos que existia antes da formatação da partição, e qual sistema de arquivos passou a ser utilizado após a formatação.
Por exemplo, se uma partição FAT32 com cluster de 8kb foi formatada em FAT32 com cluster de 64kb, o tamanho das novas tabelas FAT ficou 8 vezes menor e, portanto, ambas as cópias das novas tabelas danificaram apenas a primeira cópia das antigas tabelas FAT. Nessa situação, a busca por metadados pode resultar em uma taxa de sucesso próxima a 100%. Se a partição foi formatada em FAT32 com um tamanho de cluster menor ou igual ao que tinha antes da formatação, as novas tabelas limpas irão sobrescrever completamente as antigas e afetar parcialmente a área com dados do usuário. Nesse caso, a busca por metadados resultará em uma taxa de sucesso significativamente pior.
Se antes da formatação a partição usava o sistema de arquivos FAT32 e a partição foi formatada em NTFS, as novas estruturas ($MFT, $Bitmap, $Logfile) geralmente não estão localizadas no início da partição, e há uma alta probabilidade de que, por meio do método de busca de metadados, a maioria dos dados com uma estrutura de diretórios normal e mínimas danos aos próprios dados sejam recuperados.
Além disso, a taxa de recuperação será alta quando a partição com o sistema de arquivos NTFS for formatada em FAT32. Nesse caso, as tabelas FAT danificam os dados no início da partição e geralmente não afetam as estruturas principais do NTFS. Um resultado insatisfatório ocorrerá em casos de pequenos volumes de dados, cujo tamanho é comparável ao tamanho das duas cópias das tabelas FAT.
Mas se o usuário não deseja se aprofundar nos detalhes da localização dos metadados de diferentes sistemas de arquivos, um passo lógico seria iniciar a ferramenta de recuperação automática de dados no modo de busca de metadados. E, caso a quantidade de dados obtidos seja insuficiente, aplicar o método de busca usando expressões regulares.
A partição foi formatada e parcialmente sobrescrita por outros dados.
Como muitas vezes ocorre, o usuário pode formatar uma partição e começar a preenchê-la com outros dados, e só depois perceber que informações importantes estavam na partição antiga. Nesses casos, não pode haver uma recomendação definitiva. Tudo depende muito de quão grande (em quantidade e volume) foi a gravação de novos dados, assim como onde esses dados foram localizados. Dependendo das condições, o resultado pode variar de 0 a quase 100%. É imprevisível à distância.
Em muitos casos, com uma grande sobreposição da área de dados, faz sentido começar com o método de busca usando expressões regulares para os tipos de arquivos necessários, a fim de entender se ainda há indícios da existência dos dados desejados e, em caso de sua descoberta, realizar a busca de metadados do sistema de arquivos.
Em um ambiente de laboratório de recuperação de dados, o especialista irá construir um mapa do espaço não utilizado e realizará a busca por expressões regulares somente nessas áreas, para excluir a presença de dados já existentes nos resultados da busca. Além disso, com o uso de ferramentas de controle de integridade, reduzirá significativamente o número de falsos reconhecimentos. Em algumas situações, como a recuperação de arquivos jpg (por exemplo, de um álbum de fotos caseiro), será capaz de categorizar de acordo com as informações contidas nas tags Exif dos arquivos jpeg, permitindo obter um resultado ordenado cronologicamente e classificado por modelos de câmeras.
Fig. 22 resultado da classificação de arquivos JPG encontrados através da busca por expressões regulares.
Interrupção de emergência dos procedimentos de alteração de tamanho, movimentação ou fusão de partições.
Em casos de encerramento inesperado de procedimentos de gerenciadores de disco para redimensionamento de partições, sua movimentação ou mesclagem de várias partições, será necessário entender quais passos foram realizados e em que etapa a operação foi interrompida, a fim de obter o melhor resultado possível.
Considerando a complexidade e a quantidade de variações possíveis, vamos examinar apenas a opção universal para o usuário que deseja um resultado com o mínimo de ações. O objeto da análise deve ser todo o dispositivo de armazenamento, para garantir a cobertura de todos os locais dos dados. Utilize o método de busca de metadados e copie todas as variações de dados encontradas nos sistemas de arquivos. É altamente provável que em cada uma das opções haja conjuntos de arquivos válidos diferentes. A busca por expressões regulares com base nos tipos de arquivos especificados também é importante, pois nesses casos de perda de dados, pode ocorrer a perda parcial de informações sobre nomes e localização dos arquivos.
8. Verificação da integridade dos dados recuperados
É importante entender que a exibição de nomes de arquivos no programa de recuperação de dados ou o número de expressões regulares encontradas não garante que tudo o que foi encontrado será utilizável. Assim, uma etapa igualmente importante após a recuperação de dados pelo software automático é a verificação da integridade dos próprios dados.
Infelizmente, não existe uma ferramenta gratuita universal para verificar a integridade de um grande número de arquivos diferentes. Mas, separadamente, é possível encontrar software gratuito que pode monitorar tipos específicos de arquivos. Por exemplo, muitos compactadores permitirão verificar a integridade de arquivos compactados, e a ferramenta MP3Diag pode verificar a integridade de arquivos mp3; o ImageMagick pode ser usado para testar arquivos jpg.
A principal desvantagem de muitas utilidades gratuitas para verificação da integridade de arquivos é que elas não garantem uma verificação completa dos arquivos. E é possível ocorrer erros em massa.
Para muitos tipos de arquivos, o usuário não tem outra opção a não ser avaliar visualmente a integridade dos dados abrindo os arquivos, um por um, nos aplicativos correspondentes.
Nos sistemas profissionais, existe um conjunto de ferramentas que permite controlar parcialmente a integridade dos arquivos, o que livra o resultado da recuperação de dados de uma quantidade significativa de arquivos indesejados.
Além de eliminar o lixo, é necessário identificar arquivos danificados por defeitos. Se você criou uma cópia setorial preenchida com um padrão de setores não lidos, a questão de encontrar arquivos danificados pode ser facilmente resolvida através da busca pela string de texto «BAD!BAD!BAD!BAD!» nos arquivos (neste exemplo, foi utilizado o preenchimento «BAD!»). Após a localização, é necessário verificar o grau de dano, pois alguns formatos de arquivos podem não sofrer muito com a perda de um pequeno pedaço de dados, enquanto outros podem ficar completamente inservíveis.
9. Erros Comuns dos Usuários.
Tentativas de ‘curar’ defeitos utilizando utilitários de diagnóstico populares na esperança de recuperar o acesso aos dados são um dos principais erros cometidos por muitos usuários. Tentativas de ocultar defeitos em um dispositivo de armazenamento com polímero danificado na superfície dos pratos geralmente resultam em lixar os pratos, e não em obter acesso aos dados. Por isso, sem conhecer a natureza dos defeitos na superfície, não é recomendável realizar qualquer operação de serviço no disco até que os dados sejam obtidos. Após a recuperação bem-sucedida da informação, pode-se tentar reparar o dispositivo e, se tiver sorte, é possível que o dispositivo ainda seja utilizável para tarefas menos críticas.
Frequentemente, os defeitos afetam os metadados do sistema de arquivos. Nesses casos, o sistema operacional pode ficar congelado ao tentar montar o volume danificado. Com o dispositivo problemático conectado, o tempo de inicialização do sistema operacional pode se estender por dezenas de minutos. Uma das ideias mais infelizes para resolver esse problema é formatar a partição problemática. Os novos metadados podem ser gravados corretamente, e o problema da longa inicialização do sistema operacional será resolvido, mas a tarefa de recuperação de dados se tornará mais complicada e a qualidade do resultado pode ser seriamente comprometida.
A cópia dos dados detectados pela ferramenta para a mesma partição de onde se tenta recuperar os arquivos. Neste caso, geralmente tudo termina com o usuário recebendo lixo em vez dos dados, e a próxima tentativa de recuperação de dados terá um resultado muito pior. Se seguir as instruções deste artigo, você estará protegido contra esse erro.
Não é realizada a verificação da integridade dos dados recuperados e o conteúdo do dispositivo original é destruído juntamente com sua cópia. Nesse caso, há o risco de ficar com um monte de pastas preenchidas com resultados errôneos da tentativa de recuperação de dados, sem possibilidade de obter um resultado de qualidade.
Escolha errada do instrumento e das metodologias de recuperação de dados, resultando em um resultado significativamente pior do que poderia ser.
Espero que este conjunto de medidas ajude você a decidir se a situação com seu dispositivo permite tentativas autônomas de recuperação de dados e se você está disposto a realizar este conjunto relativamente simples de ações listadas neste artigo.
Fonte: habr.com
