În acest articol sunt descrise metodele de diagnosticare autonomă a diferitelor defecțiuni ale hard diskurilor, în funcție de simptomele manifestării lor, precum și modalitățile de clonare relativ sigură a hard diskurilor cu probleme minore.
Sunt discutate diverse cazuri de pierdere a datelor și un set optim de acțiuni care, fără cunoștințe profunde despre funcționarea sistemelor de fișiere, prin intermediul programelor de recuperare automată, vă pot ajuta să vă recuperați informațiile fără ajutor extern.
Dar înainte de a începe orice acțiuni autonome, este necesar să citiți cu atenție toate materialele articolului și abia apoi să analizați starea hard diskului dumneavoastră, pentru ca încercările dvs. să nu fie ultimele în viața unității, și pentru a nu vă privi de ultimele speranțe de recuperare a datelor necesare.
CUPRINS
Partea întâi: Diagnostica
Partea a doua: Recuperarea datelor.
Prin acceptarea instrucțiunilor ulterioare, recunoașteți că nimeni, în afară de dvs., nu deține responsabilitatea pentru o posibilă defectare a unității și pierderea ireversibilă a datelor. Setul de măsuri este destinat reducerii probabilității unui rezultat nefavorabil, dar nu asigură 100% protecție.
Diagnostica
1. Inspecția vizuală
Inspectați unitatea pentru deformări, absența sau arderea elementelor de pe placa de control, verificați integritatea conectorilor. Dacă se descoperă daune serioase sau elemente arse, este recomandat insistent să nu încercați să alimentați astfel de unități, pentru a evita înrăutățirea problemei.
Folosind șurubelnițe (de obicei, Torx – T5, T6, T9) desfăceți șuruburile care fixează placa de control și verificați starea contactelor de pe placa de control.
Fig. 2 există un film oxid asupra contactelor
Dacă apar oxidări, se poate încerca să le îndepărtați de pe suprafețele de contact cu o radieră obișnuită. Este permis să lucrați cu radiera doar pe suprafețe plate, așa cum se arată în ilustrație. În alte cazuri, o astfel de acțiune nu este aplicabilă.
Fig. 3 suprafețele de contact curățate.
Dacă au fost identificate anumite daune ale plăcii, nu ar trebui să încercați în cazul hard disk-urilor moderne să înlocuiți placa de control cu una de un dispozitiv similar, deoarece în dispozitivele moderne, în ROM-ul plăcii pot exista diferite parametri adaptivi, care se formează în timpul ciclului de producție și sunt unici pentru fiecare dispozitiv de stocare. În cazuri relativ rare, parametrii străini pot duce la deteriorarea hard disk-ului.
Dacă aveți o stație de lipit, trebuie să transferați MCU, EEPROM, NV-RAM, NAND (în funcție de ce există pe placa de control și ce trebuie transferat obligatoriu) și, după o astfel de adaptare, să utilizați controlerul donator. Merită menționat că pentru adaptarea multor controlere va fi suficient să transferați doar cipul EEPROM.
Atunci când selectați placa, verificați mai întâi numărul PCB gravat. Apoi evaluați corespondența marcajelor MCU și VCM&SM ale controlerului. Dacă marcajele MCU și VCM&SM ale controlerului sunt diferite între placa originală și placa donator, există o probabilitate mare ca placa potențialului donator să nu fie potrivită. În cadrul aceleași familii pot exista versiuni diferite ale plăcilor și, în unele cazuri, acestea pot fi compatibile cu anumite condiții, dar nu ar trebui să încercați să aflați acest lucru acasă.
Încercarea de a înlocui o placă de control necorespunzătoare (cu un număr diferit pe PCB) poate duce la arderea comutatorului amplificator.
Dacă aveți un multimetru, verificați circuitele de 5V și 12V pentru scurtcircuit. De asemenea, verificați rezistența bobinelor motorului. Dacă aveți un dispozitiv funcțional identic (același producător, gamă de model, revizia plăcii de control), puteți verifica dacă numărul de pini din conectorul comutatorului se va conecta la „pământ”, și de asemenea să comparați rezistențele. În cazul unor diferențe semnificative, puteți concluziona că comutatorul-preamplificator este defect și ar trebui să opriți orice încercări autonome de recuperare a datelor.
2. Pornire de test
Asigurați-vă că sistemul de testare este funcțional pentru a evita diagnosticele greșite și, dacă nu au fost depistate cauze externe care să împiedice încercarea de pornire, conectați cablul de interfață și cablul de alimentare la conectorii corespunzători și porniți sursa de alimentare.
Dacă știți sigur că dispozitivul a fost lovit sau lăsat pe jos în stare de funcționare, sau a început să emită sunete ciudate înainte de a ajunge la dumneavoastră, evitați să încercați să-l porniți.
În aceste cazuri, deschiderea hard disk-ului în condiții de boxă laminară (sau cameră curată) și examinarea minuțioasă cu ajutorul unui microscop sunt obligatorii.
Fig. 4 conectarea cablurilor la hard disk-uri.
După aplicarea alimentării, dispozitivul ar trebui să înceapă să rotească axa. În unele cazuri, acest lucru poate să nu se întâmple cu dispozitive complet funcționale, dacă din diverse motive s-a impus în setările dispozitivului cerința de a trimite comanda de spin up.
Când axa se rotește, apare un sunet ușor de curent de aer. În unele dispozitive, acesta este abia audibil, așa că puteți folosi un stetoscop (sau țineți dispozitivul aproape de ureche, respectând toate regulile de siguranță pentru a evita scurtcircuitele).
Dacă în loc de zgomotul aerului se aude o serie de bâzâituri ciclice, sunete slabe sau zgomote care seamănă vag cu tonurile telefonului, cel mai probabil dispozitivul nu poate începe să rotească axa motorului. Cauzele pot fi următoarele: blocajul BMG-ului în afara zonei de parcare (zonei), înfundarea axei motorului, defectarea cipului VCM&SM al controller-ului.
Dacă aveți un mediu de stocare donator adecvat, puteți verifica versiunea cu defecte ale controlerului VCM&SM, dacă sunteți pregătit să efectuați adaptările necesare ale plăcii donatoare, descrise la secțiunea „verificare vizuală”.
În cazurile în care BMG-ul se blochează în afara rampei de parcaj, acțiunile autonome bazate pe videoclipuri de pe youtube duc de obicei la formarea de zgârieturi suplimentare pe suprafețele plăcilor sau la ruperea sliderelor. Chiar dacă reușiți să aduceți BMG-ul relativ cu succes pe rampa de parcaj, defectele acoperirii polimerice create în locul în care s-au blocat slider-urile, microzgârieturile lăsate de slider-uri în timpul aducerii BMG-ului, împreună cu procedurile de scanare offline și praful din aerul necurățat, nu vor permite cu siguranță să reușiți să citiți o cantitate semnificativă de date în cele mai multe cazuri până la începutul dezvoltării unor procese degradante ireversibile. Cum se desfășoară procesul de recuperare a datelor în astfel de cazuri în cadrul unei companii de specialitate poate fi consultat în acest articol.
În caz de blocare a arborilor motorului, de obicei este necesară transplantarea pachetului de discuri în carcasa etanșă a unității donatoare. O astfel de acțiune, efectuată acasă fără pregătire adecvată și fără uneltele necesare, va eșua în 99,9% din cazuri.
Dacă nu se aude niciun zgomot când se aplică alimentarea și unitatea nu începe să rotească arborii, este posibil ca următoarele diagnostice să fie corecte: placa de control este defectă, comutatorul- preamplificator este defect, sau BMG-ul este defect.
După ce unitatea a început rotirea arborelui, trebuie să efectueze calibrarea, să citească microprograma și, după ce a inițializat sistemul de transmisie, să devină pregătită. Dacă în loc de calibrare se aud zgomote ciclice ciocnitoare, scrâșneți sau alte sunete ascuțite, deconectați imediat unitatea. Cauzele acestor fenomene pot fi: defectele BMG-ului sau ale comutatorului - preamplificator, defectul chip-ului controlerului VCM&SM.
Microprogramele unor unități de stocare efectuează interogarea comutatorului amplificator înainte de a porni motorul, iar în caz de răspuns incorect sau rezistență excesivă pe oricare dintre capete, se întrerupe procesul de inițializare. Din păcate, nu toate microprogramele controlează în mod adecvat funcționarea dispozitivului și permit încercările de a porni un hard disk cu probleme evidente. Se recomandă efectuarea transplantului BMG într-un mediu de box laminar cu flux de aer curat și unelte specializate. În plus, este necesar să știți cum să alegeți un donator pentru a selecta unul cu revizia corespunzătoare a comutatorului amplificator, harta capetelor și parametrii adaptativi apropiați. O simplă potrivire a producătorului și modelului nu garantează că unitatea este un donator potrivit. Chiar dacă reușiți să identificați un donator și să efectuați procedura de transplant, este puțin probabil să reușiți să citiți un volum semnificativ de date din cauza problemelor asociate.
Acțiunile care pot fi întreprinse în caz de defectare a plăcii de control sunt enumerate în secțiunea „Inspecție vizuală”.
Fig. 5 suprafața plăcii foarte zgâriată (multiple zgârieturi).
Este important să înțelegem că cu fiecare încercare de a activa unitatea de stocare cu BMG defect există riscuri suplimentare de distrugere a suprafețelor plăcilor, ceea ce poate duce la imposibilitatea totală de a recupera datele.
Dacă unitatea nu emite sunete suspecte, atunci după finalizarea tuturor procedurilor de inițializare, aceasta ar trebui să devină disponibilă. Din acest moment, unitatea ar trebui să fie pregătită pentru schimbul de date prin interfață, iar în cazul conectării la portul plăcii de bază a PC-ului, aceasta ar trebui să răspundă la cererea de pașaport din partea BIOS-ului. Dacă totul este în regulă cu conectările și setările BIOS-ului, dar discul rămâne invizibil pentru PC, atunci cel mai probabil există probleme în microprogramul unității, care nu permit activarea acesteia.
Dacă unitatea de stocare returnează date de identificare incorecte, de exemplu, doar numele modelului și capacitate nulă, sau numele modelului nu este exact așa cum ar trebui, iar numărul de serie lipsește, acest lucru indică că procedurile de inițializare nu au avut succes și există probleme în firmware. În astfel de cazuri, este de obicei imposibil să rezolvi problema fără utilizarea unor complexe software și hardware profesionale.
Un caz aparte poate fi reprezentat de Seagate 7200.11 (familia Moose), cu care unele probleme au putut fi rezolvate folosind un adaptor RS232-TTL și un terminal obișnuit, dar aici trebuie să înțelegem că, fără a te aprofunda în problema microcodului, există riscuri semnificative de a agrava situația.
Aplicarea acestei metode pe alte familii nu este recomandată, deoarece va duce la recalcularea translatoarelor, ceea ce, în majoritatea cazurilor, va fi incorect și accesul la zona utilizatorului va fi limitat până la primul punct de divergență. Restaurarea datelor în acest caz devine considerabil mai complicată.
Dacă toate câmpurile din documentul de identificare oferit de unitate sunt corecte, cu excepția capacității, este necesar să verificăm dacă aceasta nu este o consecință a unei erori BIOS pe unele plăci de bază, care, folosind comenzi de control HPA, în loc să taie un mic segment din intervalul LBA pentru a salva o copie BIOS, taie aproape 1TB.
Fig. 6 capacitatea nominală a discului de 1TB după prelucrarea incorectă a BIOS-ului plăcii de bază Gigabyte
Pentru a rezolva această problemă, se poate folosi HDAT2 sau un software diagnostic gratuit similar, cu ajutorul căruia se poate restabili capacitatea nominală originală a unității, precum și dezactiva controlul HPA în DCO pentru a evita recidiva problemei.
3. Pregătirea pentru testare
Atunci când testezi discuri în afara complexelor profesionale, este important să pregătești sistemul de operare în prealabil. Este necesar să interzici montarea automată a volumelor discului pentru a evita acțiunile necontrolate ale sistemului de operare.
În sistemul de operare Windows, pentru aceasta, cu drepturi de administrator, trebuie să lansezi diskpart și să execuți comanda automount disable. Dacă discul problematic a fost conectat anterior la acest sistem de operare, este necesar să ștergi parametrii de montare din registru cu comanda automount scrubPentru ca aceste setări să aibă efect, este recomandată o repornire.
De asemenea, este necesar să pregătiți software-ul de diagnosticare. Sub Windows, puteți folosi PC3000 DiskAnalyzer gratuit, care, pe lângă funcția de diagnosticare, oferă și posibilitatea de a crea o copie sectorială. Este, de asemenea, de dorit să aveți un dispozitiv USB flash bootabil cu HDAT2.
Nu este obligatoriu să folosiți doar acest software pentru diagnosticare. Puteți utiliza orice alte alternative, cu excepția anumitor programe plătite pentru utilizatori prea încrezători, ale căror reclame pot conține astfel de sloganuri: „… program unic pentru regenerarea hard disk-urilor fizic deteriorate. Acesta nu ascunde sectoarele defecte, le restaurează cu adevărat!”. De fapt, cu declarații atât de pompoase, astfel de software are capacități destul de modeste, care nu depășesc funcționalitățile software-ului gratuit, iar ideologia de lucru cu defectele este mai mult orientată spre distrugerea finală a dispozitivului, decât spre ajutarea în recuperarea ulterioară a datelor.
Dacă, la conectarea dispozitivului de stocare, timpul de pornire al sistemului de operare a crescut de câteva ori, chiar și cu montarea automată a volumelor dezactivată, se recomandă să se întrerupă orice activitate, pentru a evita agravarea problemei.
O creștere semnificativă a timpului de pornire al sistemului de operare la conectarea unui hard disk potențial problematic este un semn caracteristic că pe suprafețele discurilor magnetice există defecte. Întârzierile în încărcarea sistemului de operare apar din cauza accesărilor la sectoarele defecte și a încercărilor firmware-ului de a efectua proceduri de scanare offline, care îi depășesc capabilitățile.
După încărcarea cu succes a sistemului de operare, accesați Managerul de dispozitive și verificați dacă unitatea dvs. este prezentă în lista de dispozitive. Dacă nu este acolo, verificați dacă driverul pentru controlerul la care este conectată este instalat și dacă controlerul însuși nu este dezactivat în lista de dispozitive. Dacă driverul și setările sistemului de operare sunt în regulă, dar unitatea nu a apărut în OS sau a apărut și a dispărut după un timp, acest lucru indică de obicei o gamă largă de defecțiuni. Cele mai probabile sunt defecțiunile plăcii de control, blocarea firmware-ului unității sau intrarea unității în modul de urgență, în care aceasta nu mai răspunde corespunzător la majoritatea comenzilor.
Pentru a clarifica diagnosticul, puteți încerca să porniți DOS și cu ajutorul HDAT2 să verificați parametrii SMART. Dacă se descoperă semne de defectare (valori non-zero pentru 5 și 197(C5) atribute în câmpurile de valori nenormate), se poate concluziona că fără intervenții în setările firmware-ului în condiții de casă nu se va putea face nimic. Dacă nu există semne de defectare, atunci cauza blocărilor poate fi o funcționare incorectă a plăcii de control. În acest caz, puteți încerca să utilizați placa de control de la o unitate donor.
4. Testare
După parcurgerea etapelor anterioare și fără a observa motive întemeiate pentru a opri procesul, se poate trece la evaluarea suplimentară a stării unității. Majoritatea unităților produse în acest secol au implementată tehnologia S.M.A.R.T., care monitorizează starea unității și înregistrează diferite evenimente pe durata funcționării sale. Detalii despre implementarea acestei tehnologii în HDD și ce parametri ar trebui să fie urmăriți în timpul exploatării discului pot fi citite în articolul nostru .
Folosind software de diagnosticare, trebuie să cerați parametrii S.M.A.R.T.
Fig. 7 atributele SMART ale unui hard disk funcțional
Este important să evaluați valorile pentru atributele 5 și 197(C5). Dacă valorile din coloana RAW sunt zero sau indicatorii problemelor sunt unici, atunci trebuie să treceți la testarea suplimentară.
Fig. 8 atributele SMART ale unei unități cu defectare serioasă
Dacă numărul de candidați la defecte este un număr de trei sau patru cifre, în majoritatea cazurilor, încercările ulterioare de testare a suprafeței sau de scanare cu utilitare de recuperare automată a datelor vor agrava problema până la imposibilitatea totală de a obține datele.
Pentru a obține date în astfel de cazuri, este important să interveniți în setările firmware-ului dispozitivelor și să dezactivați procedurile de scanare offline, precum și înregistrarea jurnalelor S.M.A.R.T., pentru a elibera dispozitivul de procesele de fundal care pot reduce semnificativ durata de viață a dispozitivului problematic. Din păcate, acest lucru nu se poate face pe căi simple fără o cunoaștere profundă a arhitecturii firmware-ului dispozitivelor și fără seturi profesionale. Următoarea sarcină este de a evalua starea fiecărei capete în parte și de a localiza zonele principale defecte. Citirea liniară cu multiple repetări în zonele defecte este, în astfel de cazuri, contraindicată, deoarece este prea periculoasă.
Chiar dacă dispozitivul funcționează corect la prima vedere și, conform indicatorilor S.M.A.R.T., nu se observă semne de defecte, aceasta nu reprezintă o garanție că nu există defecte reale. Prin urmare, este necesară finalizarea etapei de testare și efectuarea verificării suprafeței.
Este important să monitorizăm continuu procesul de scanare. La apariția unor zgomote externe sau la detectarea unor zone mari cu erori de citire, trebuie să întrerupem imediat procesul și să deconectăm dispozitivul pentru a evita consecințe ireversibile.
Fig. 9 graficul scanării unui disc funcțional
Dacă rezultatul scanării discului arată un grafic monoton descrescător al vitezei și nu s-au înregistrat erori de citire, atunci dispozitivul poate fi considerat funcțional și se poate trece la următoarea secțiune.
În discurile cu un cache mare de medie și o translație diferită de cea clasică (de obicei în discurile cu înregistrare pe plăci (SMR),) graficul poate fi de o formă diferită. Pot apărea diverse tipuri de întreruperi.
Fig. 10 graficul scanării unui disc cu o capă problematică
Dacă în timpul verificării discului se descoperă zone ciclice „lente”, atunci acesta este un semn caracteristic al unei capete nu complet funcționale. Nu trebuie să așteptați până când se descoperă defecte și trebuie să opriți imediat testarea.
În această situație, nu se așteaptă nimic bun din încercările de extragere a datelor. Cu o mare probabilitate, suportul nu va supraviețui încercării de a crea o copie pe sector prin metodele disponibile utilizatorului.
În cazurile în care în atributele S.M.A.R.T. 5 și 197(C5) au fost descoperite semne de defecte sau în timpul verificării au fost găsite defecte punctuale, este necesar să se creeze o copie a discului.
5. Copie pe sector
Dacă rezultatul testării arată că suportul este în regulă și nu sunt identificate probleme, atunci nu este necesar să se creeze o copie pe sector și se poate lucra cu discul original. Dar pentru a evita diverse incidente, este recomandat cu insistență să nu săriți peste acest pas și să lucrați în continuare doar cu copia.
În cazul unui hard disk funcțional sau a unui disc cu un număr mic de defecte, nu există o diferență semnificativă în instrumentul pe care îl aplicați, este important să creați o copie completă. De asemenea, este important să nu încercați să folosiți opțiunile anumitor programe pentru a crea o imagine comprimată, deoarece ulterior veți putea lucra probabil doar în limitele posibilităților software-ului care a generat acea imagine.
În sistemul de operare Windows, se pot utiliza următoarele programe: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio și altele.
În sistemul de operare Linux, funcționalitatea comenzii standard dd este suficientă.
Nu toate programele sunt gratuite, dar în mare parte, funcționalitatea versiunii trial/demo va fi suficientă pentru a crea o copie a suportului.
Ca exemplu, folosim WinHex pentru clonarea discului.
Fig. 11 opțiuni în meniul WinHex pentru clonarea discului.
Pe tab-ul „Instrumente”, alegem opțiunea „Instrumente de disc”, în fereastra derulantă alegem „Clonează disc” sau pur și simplu apăsăm Ctrl+D.
Fig. 12 setările parametrilor de clonare.
Ca sursă, alegem discul care trebuie clonat.
Destinatia poate fi un disc de capacitate similară sau mai mare, de asemenea, este posibilă clonarea într-un fișier-imagine.
Asigurați-vă că pe discul destinație există suficient spațiu liber.
În setările de copiere, este recomandat să activați opțiunea „omite defectele, sectoare”.
Dacă suportul dvs. are un sector cu dimensiunea fizică a sectorului de 4096 byte, dar în sistem este tradus cu dimensiunea virtuală de 512 byte, atunci trebuie să setați valoarea 8 pentru a evita încercările inutile de citire a sectorului problematic.
„Șablon pentru înlocuirea defectelor sursei” — specificați un cuvânt sau o expresie ușor de găsit, care va umple secțiunea din copie în locul sectoarelor nelecturabile din sursă. Acest lucru va facilita ulterior găsirea fișierelor deteriorate.
Atunci când creați o copie, este esențial să controlați constant procesul. În cazul apariției sunetelor străine, a blocării unității sau a constatării unui număr mai mare de erori decât în timpul testării inițiale, opriți imediat procesul și deconectați unitatea pentru a evita consecințe ireversibile.
În instrumentele profesionale de recuperare a datelor, cum ar fi DataExtractor, există mult mai multe opțiuni de personalizare a scenariului de copiere a datelor, precum și monitorizarea stării unității, ceea ce crește semnificativ șansele de extragere reușită atunci când există un specialist calificat.
Fig. 13 setările reacțiilor complexului profesional în caz de probleme la citire
Recuperarea datelor
6. Metode de recuperare
În prezent, există o mulțime de programe automate de recuperare a datelor, care nu necesită cunoștințe specifice de la utilizatori și presupun obținerea datelor aproape cu un singur clic. Totuși, această abordare nu va oferi în multe cazuri rezultatul maxim posibil sau va pierde în mijlocul unei mase de variante inutile.
Pentru a asigura o funcționare eficientă a programului de recuperare a datelor, este de preferat să restrângeți cât mai mult zona de căutare. Prin urmare, este recomandat să specificați domeniul de scanare și tipul sistemului de fișiere căutat. Această precizare poate elimina o mulțime de variante de sisteme de fișiere anterioare și reduce probabilitatea unei interpretări greșite a metadatelor detectate ale sistemului de fișiere.
Fig. 14 Exemplu de configurare R-studio pentru căutarea metadatelor sistemului de fișiere dorit
Metadatele sistemului de fișiere sunt structuri care descriu localizarea fișierelor, numele acestora, atributele, permisiunile de acces, jurnalele etc.
Fig. 15 Exemplu de metadate. Fragment din înregistrarea MFT (Master File Table în NTFS)
În unele cazuri, programele de recuperare automată nu calculează cu exactitate punctul de referință inițial în legătură cu metadatele găsite și nu filtrează întotdeauna corect datele din diferite sisteme de fișiere, ceea ce poate duce la calcularea greșită a locației pentru toate fișierele. În plus, diferitele interpretări eronate cresc volumul estimat de date, de multe ori cu mult mai mult decât capacitatea reală a suportului de stocare.
În complexele profesionale există instrumente pentru crearea de volume virtuale din diferite sisteme de fișiere cu parametri specificați manual, precum și instrumente pentru căutarea metadatelor cu opțiunea de a filtra manual obiectele inutile.
În cazurile în care metadatele necesare ale sistemului de fișiere nu mai există sau sunt incorecte, este necesar să se aplice metoda de căutare bazată pe expresii regulate specifice anumitor tipuri de fișiere.
Fig. 16 0xFF 0xD8 0xFF, expresie regulată specifică fișierelor JPG
Programele de recuperare automată care folosesc această metodă au în general următoarele dezavantaje: lipsa structurii directoarelor și a numelui original al fișierelor, absența analizei structurii fișierelor și control insuficient asupra integrității fișierului găsit, ceea ce duce la găsirea unei cantități mari de date inutile, multe tipuri de fișiere având dimensiunea corect calculată.
Fig. 17 Setările R-Studio pentru căutarea expresiilor regulate ale fișierelor dorite
7. Cazuri tipice și acțiuni recomandate
Deteriorarea sistemului de fișiere
Ca urmare a defecțiunilor componentelor PC-ului, a funcționării necorespunzătoare a sistemului de operare, a lipsei bruște de energie în timpul scrierii pe disc, sau a defectelor pe hard disk, metadatele sistemului de fișiere pot fi deteriorate. În multe cazuri de deteriorare, sistemul de operare nu va putea monta volumul cu sistemul de fișiere deteriorat.
Fig. 18 metadate deteriorate ale sistemului de fișiere (sistem de fișiere RAW nerecunoscut)
În aceste cazuri, metoda de căutare a metadatelor sistemului de fișiere în cadrul unei partiții existente este destul de eficientă. În cazul deteriorărilor minore, se poate obține un rezultat aproape de 100%. Această recomandare este relevantă pentru majoritatea sistemelor de fișiere.
Desigur, există cazuri în care un volum mare de metadate al sistemului de fișiere curent este corupt din cauza defecțiunilor. Atunci, dacă prima opțiune nu a funcționat, trebuie să folosiți metoda analizei expresiilor regulate pentru a găsi fișierele necesare.
Activitatea specialistului se deosebește prin faptul că evaluează natura deteriorării metadatelor și, dacă acestea nu sunt distruse, ci doar distorsionate, este posibilă corecția manuală în editorul hexazecimal.
Ștergerea unui fișier sau a unui grup de fișiere.
Ștergerea accidentală a datelor este un caz destul de frecvent. Consecințele acestei acțiuni depind foarte mult de tipul sistemului de fișiere și, în cazul discurilor relativ noi, de ideologia de funcționare a firmware-ului dispozitivului în sine.
Dacă fișierele au fost șterse pe o partiție cu sistem de fișiere NTFS, metoda optimă de căutare va fi analiza rapidă cu diverse utilitare, în care se scanează rapid structurile cheie (MFT, Index, Logfile) fără a scana complet partiția. Dacă înregistrările de fișiere necesare și spațiul ocupat de aceste fișiere nu sunt suprascrise de alte date, este posibil să obțineți rapid fișierele de interes.
Fig. 19 după scanarea $MFT sunt evidențiate în violet înregistrările considerate șterse.
Dacă, în timpul scanării rapide, datele necesare nu au fost găsite sau sunt deteriorate, se poate efectua o scanare completă a partiției, dar cel mai probabil rezultatul nu se va schimba semnificativ și nu va rămâne altceva în afară de căutarea prin expresii regulate.
În arsenalul specialistului este disponibil un instrument de construire a unei hărți a spațiului liber și analiza ulterioară exclusiv în aceste zone, ceea ce elimină din rezultatul recuperării datele existente. Acest lucru economisește semnificativ timpul utilizatorului în căutarea ulterioară a fișierelor necesare printre numeroasele date fără nume.
Dacă fișierele sunt șterse de pe o partiție cu sistem de fișiere FAT16, FAT32, se poate folosi analiza metadata pentru a recupera o parte din datele cu numele originale. În cazul SFN, primul caracter din numele fișierului va lipsi, iar dacă fișierul avea un nume lung, numele său complet va fi în înregistrarea LFN. În cazul ștergerii fișierelor fragmentate, recuperarea datelor prin programe automate de recuperare nu va fi de succes, deoarece în timpul ștergerii în tabela FAT se șterge înregistrarea despre lanțul de clustere care aparțin fișierului. De asemenea, în FAT32, în unele cazuri, pe lângă ștergerea lanțului care indică locația fișierului în ambele copii ale tabelei, în director se șterge primul caracter SFN și cei doi byte superiori din numărul primului cluster ocupat de fișier. Majoritatea utilitarelor automate de recuperare care analizează metadata nu vor identifica poziția corectă a fișierului.
Recuperarea fișierelor fragmentate este, de regulă, o sarcină destul de complicată, care este foarte puțin automatizată. Metodele de automatizare pot fi dezvoltate pentru tipuri specifice de structuri. Cel mai adesea, sarcina se reduce la o analiză manuală de mică capacitate în căutarea fragmentelor necesare. Un exemplu de astfel de muncă poate fi evaluat în articolul
Dacă metodele de analiză metadata nu au condus la găsirea datelor necesare sau fișierele necesare nu pot fi deschise, atunci rămâne metoda căutării cu expresii regulate. Este posibil să reușească să se descopere o parte din fișiere.
Dacă fișierele sunt șterse de pe o partiție cu sistem de fișiere HFS+, Ext 2, Ext3, Ext4, din păcate, analiza metadata este inutilă. În afară de căutarea cu expresii regulate, nu mai rămâne nimic altceva.
Ștergerea unui volum de date
Dacă unul sau mai multe volume au fost șterse din greșeală în consola de gestionare a discurilor, utilizatorului doritor să recupereze datele i se va recomanda să ruleze utilitare automate de recuperare cu o scanare completă a întregului dispozitiv. De asemenea, este indicat să se ia în considerare poziția volumul existent pentru a exclude opțiuni evident greșite în cele găsite.
Fig. 20 volum șters
Un specialist poate efectua o astfel de muncă relativ rapid, prin căutarea sectoarelor de încărcare și a superblocurilor în locații așteptate. Pe baza celor găsite, se calculează pozițiile exacte ale începutului și lungimii partițiilor.
De asemenea, se poate încerca să se utilizeze DMDE sau utilitare similare, care pot permite găsirea relativ rapidă a semnelor de început ale partiției și să se încerce să se afișeze sistemul de fișiere al partiției găsite.
Fig. 21 rezultatul căutării rapide a partițiilor cu ajutorul DMDE.
Partiția a fost formatată cu date.
În astfel de cazuri, scenariul recomandat depinde foarte mult de tipul de sistem de fișiere care a fost înainte de formatizarea partiției și de sistemul de fișiere care a început să fie utilizat după formatare.
De exemplu, dacă o partiție FAT32 cu cluster de 8kb a fost formatată în FAT32 cu cluster de 64kb, atunci dimensiunea noilor tabele FAT a devenit de 8 ori mai mică și, prin urmare, ambele copii ale noilor tabele au deteriorat doar prima copie a vechilor tabele FAT. În această situație, căutarea metadatelor poate oferi un rezultat aproape de 100%. Dacă, pe de altă parte, partiția a fost formatată în FAT32 cu o dimensiune a clusterului mai mică sau egală cu cea anterioară formatării, atunci noile tabele curate vor suprascrie complet vechile și vor afecta parțial zona cu datele utilizatorului. În acest caz, căutarea metadatelor va oferi un rezultat semnificativ mai slab.
Dacă înainte de formatizare, pe partiție a fost utilizat sistemul de fișiere FAT32, iar partiția a fost formatată în NTFS, atunci noile structuri ($MFT, $Bitmap, $Logfile) se află, în general, nu chiar la începutul partiției și există o probabilitate mare ca, folosind metoda căutării metadatelor, să se obțină cea mai mare parte a datelor cu structură normală a directorului și cu daune minime ale datelor în sine.
De asemenea, un procent ridicat de recuperare va fi realizat atunci când o partiție cu sistem de fișiere NTFS este formatată în FAT32. În acest caz, tabelele FAT vor deteriora datele de la începutul partiției și, în general, nu vor afecta structurile cheie NTFS. Un rezultat nesatisfăcător va fi în cazul unui volum mic de date, al căror dimensiune este comparabilă cu dimensiunile celor două copii ale tabelelor FAT.
Dar dacă utilizatorul nu dorește să se implice în detaliile metadatelor diferitelor sisteme de fișiere, un pas logic ar fi să lanseze utilitarul de recuperare automată a datelor în modul de căutare a metadatelor. Și, în cazul în care volumul de date obținut este insuficient, se poate aplica metoda căutării prin expresii regulate.
Secțiunea cu datele a fost formatată și parțial suprascrisă cu alte date.
După cum se întâmplă adesea, utilizatorul poate formata o secțiune și începe să o umple cu alte date, pentru ca mai apoi să realizeze că informațiile importante erau pe vechea secțiune. În astfel de cazuri, nu poate exista o recomandare clară. Totul depinde foarte mult de cât de multe date (din punct de vedere cantitativ și al volumului) au fost scrise noi, precum și de locul în care s-au plasat aceste date. În funcție de condiții, rezultatul poate varia de la 0 până la aproape 100%. Este imposibil de prezis fără informații suplimentare.
În multe cazuri, având o mare suprapunere a zonei de date, are sens să începem cu metoda căutării prin expresii regulate pentru tipurile necesare de fișiere, pentru a înțelege dacă mai există semne ale existenței datelor necesare și, în cazul descoperirii acestora, să executăm căutarea metadatelor sistemului de fișiere.
În condițiile unui laborator de recuperare a datelor, specialistul va construi o hartă a spațiului neocupat și va realiza căutarea prin expresii regulate doar pe aceste porțiuni, pentru a exclude în rezultatele căutării existența deja a datelor. De asemenea, prin instrumentele de control al integrității, va reduce semnificativ numărul de recunoașteri false. Și în unele sarcini, cum ar fi recuperarea fișierelor jpg (de exemplu, albumul foto al cuiva), va putea efectua sortarea conform informațiilor conținute în etichetele Exif ale fișierelor jpeg, ceea ce va permite obținerea unui rezultat ordonat cronologic și sortat după modelele camerelor.
Fig. 22 rezultatul sortării fișierelor JPG, găsite prin căutarea prin expresii regulate
Finalizarea abruptă a procedurilor de redimensionare, mutare sau combinare a secțiunilor.
În cazurile în care procedurile de gestionare a discurilor pentru modificarea dimensiunii unei partiții, mutarea acesteia sau unirea mai multor partiții s-au încheiat abrupt, trebuie să analizăm pașii exacti care au fost realizați și în ce etapă a fost oprită operațiunea, pentru a obține rezultatul maxim posibil.
Având în vedere complexitatea și numărul de variații posibile, să examinăm doar varianta universală pentru utilizatorul care dorește un rezultat cu un minim de acțiuni. Obiectul analizei trebuie să fie întregul disc, pentru a asigura acoperirea tuturor locurilor unde sunt stocate datele. Folosiți metoda de căutare a metadatelor și copiați toate variantele de date pe bază de sisteme de fișiere detectate. Există o probabilitate mare ca în fiecare dintre variante să existe seturi diferite de fișiere corecte. Căutarea expresiilor regulate pe tipurile de fișiere specificate este de asemenea importantă, deoarece în astfel de cazuri, pierderea datelor poate determina o pierdere parțială a informațiilor despre numele și locația fișierelor.
8. Verificarea integrității datelor restaurate
Este important de înțeles că afișarea numelui fișierelor în programa de recuperare a datelor sau numărul de expresii regulate găsite nu garantează că tot ceea ce este găsit va fi utilizabil. Prin urmare, un pas la fel de important după recuperarea datelor printr-un program automat de recuperare este verificarea integrității datelor în sine.
Din păcate, nu există un instrument gratuit universal pentru a verifica integritatea unui număr mare de fișiere diferite. Totuși, pot fi găsite programe gratuite care pot controla tipuri separate de fișiere. De exemplu, multe arhivatoare permit verificarea integrității arhivelor, utilitarul MP3Diag poate verifica integritatea fișierelor mp3, iar ImageMagick poate fi utilizat pentru a testa fișiere jpg.
Principalul dezavantaj al multor utilitare gratuite pentru verificarea integrității fișierelor este că acestea nu garantează o verificare completă a fișierelor. Și pot apărea erori în masă.
Pentru multe tipuri de fișiere, utilizatorului nu îi rămân alte opțiuni decât să evalueze vizual integritatea datelor prin deschiderea secvențială a fișierelor în aplicațiile corespunzătoare.
În complexele profesionale există un set de instrumente care permit controlul parțial al integrității fișierelor, ceea ce scutește rezultatul recuperării datelor de un număr mare de fișiere inutile.
Pe lângă eliminarea gunoiului, este esențial să identifici fișierele deteriorate. Dacă ai creat o copie pe sectoare umplută cu un model de sectoare nelegate, problema identificării fișierelor deteriorate poate fi soluționată ușor căutând în fișiere șirul de text „BAD!BAD!BAD!BAD!” (în exemplul nostru a fost folosit umplutorul „BAD!”). Odată ce ai găsit, trebuie să verifici gradul de deteriorare, deoarece unele formate de fișiere pot să nu sufere mult de pe urma pierderii unei bucăți mici de date, iar altele pot deveni complet inutilizabile.
9. Erori frecvente ale utilizatorilor.
Diferitele încercări de „vindecare” a defectelor utilizând utilitare de diagnosticare populare în speranța că vor readuce accesul la date sunt una dintre principalele greșeli ale multor utilizatori. Încercările de a ascunde defectele pe un suport cu polymer deteriorat pe suprafața discurilor se finalizează de obicei cu șlefuirea discurilor, nu cu obținerea accesului la date. Din acest motiv, fără a cunoaște natura defectelor de pe suprafață, nu se recomandă sub nicio formă efectuarea unor operații de service pe disc până la recuperarea datelor. După recuperarea cu succes a informațiilor, poți încerca să întreții suportul, iar dacă ai noroc, poate că suportul va fi încă utilizabil pentru sarcini mai puțin critice.
Nu este rar ca defectele să afecteze metadatele sistemului de fișiere. În aceste cazuri, sistemul de operare se blochează mult timp când se încearcă montarea volumului deteriorat. La conectarea unui suport problematic, timpul de încărcare al sistemului de operare poate dura zeci de minute. Una dintre cele mai proaste idei pentru a rezolva această problemă este formatarea partiției problematice. Metadatele noi pot fi scrise corect, iar problema încărcării lungi a sistemului de operare va fi rezolvată, dar sarcina de recuperare a datelor va fi complicată, iar calitatea rezultatului recuperării poate suferi semnificativ.
Copierea datelor detectate de utilitar pe aceeași partiție din care se încearcă recuperarea fișierelor. În acest caz, de obicei, se termină cu faptul că, în loc de date, utilizatorul va obține gunoi, iar următoarea încercare de recuperare a datelor va avea deja un rezultat mult mai slab. Dacă urmați instrucțiunile din acest articol, veți fi protejat de o astfel de eroare.
Verificarea integrității datelor recuperate nu se efectuează și conținutul original al suportului este distrus împreună cu copia acestuia. În acest caz, există riscul de a rămâne cu o mulțime de foldere, pline cu un rezultat eronat al încercării de recuperare a datelor, fără posibilitatea de a obține un rezultat de calitate.
Alegerea greșită a instrumentului și metodelor de recuperare a datelor, din cauza căruia se obține un rezultat semnificativ mai slab decât ar fi putut fi.
Sper că acest set de măsuri vă va ajuta să decideți dacă situația cu suportul dumneavoastră permite încercări independente de recuperare a datelor și dacă sunteți pregătit să efectuați acest set de acțiuni relativ simple, enumerate în acest articol.
Sursa: habr.com
