I denna artikel beskrivs metoder för egen diagnostik av olika fel pÄ hÄrddiskar baserat pÄ symtom, samt sÀtt för relativt sÀker kloning av hÄrddiskar med mindre problem.
Olika fall av dataförlust och en uppsÀttning optimala ÄtgÀrder har diskuterats, som kan hjÀlpa dig att ÄterfÄ din information utan extern hjÀlp, Àven utan djup kunskap om filsystemets struktur, med hjÀlp av program för automatisk ÄterstÀllning.
Men innan du pÄbörjar nÄgra egna ÄtgÀrder Àr det viktigt att noggrant bekanta sig med allt material i artikeln, och först dÀrefter analysera tillstÄndet pÄ din hÄrddisk, sÄ att dina försök inte blir de sista i enhetens liv och sÄ att du inte berövar dig sjÀlv sista hoppet om ÄterstÀllning av nödvÀndig information.
INNEHĂ LL
Del ett: Diagnostik
Del tvÄ: à terstÀllning av data.
Genom att samtycka till följande instruktioner förstÄr du att ingen utom dig sjÀlv bÀr ansvar för eventuell funktionsstörning pÄ enheten och oÄterkallelig dataförlust. à tgÀrderna syftar till att minska risken för en ogynnsam utgÄng, men skyddar inte helt mot den.
Diagnostik
1. Visuell inspektion
Inspektera enheten för deformationer, saknade eller brÀnda komponenter pÄ kontrollerkortet och kontrollera integriteten hos anslutningarna. Om nÄgra allvarliga skador eller brÀnda komponenter upptÀcks, rekommenderas det starkt att inte försöka ge ström till en sÄdan enhet för att undvika att problemet förvÀrras.
AnvĂ€nd skruvmejslar (vanligtvis Torx â T5, T6, T9) för att ta bort skruvarna som hĂ„ller kontrollerkortet pĂ„ plats och kontrollera tillstĂ„ndet pĂ„ kontaktpunkterna pĂ„ kontrollerkortet.
Fig. 2 visar att kontaktpunkterna har en oxidfilm
Om oxid finns kan du anvÀnda ett vanligt suddgummi för att försöka ta bort dem frÄn kontaktpunkterna. Arbeta med suddgummit kan endast göras över platta ytor, som pÄ bilden. I andra fall Àr denna ÄtgÀrd olÀmplig.
Fig. 3 rengörda kontaktpunkter.
Om det upptÀckts nÄgra skador pÄ kortet, bör du inte försöka byta ut kontrollerkortet mot ett frÄn en liknande lagringsenhet, eftersom moderna enheter kan ha olika adaptiva parametrar lagrade i ROM-kretsen pÄ kortet, som genereras under tillverkningscykeln och Àr unika för varje enhet. I relativt sÀllsynta fall kan andra parametrar orsaka skador pÄ hÄrddisken.
Om du har en lödstation bör du överföra MCU, EEPROM, NV-RAM, NAND (beroende pÄ vad som finns pÄ kontrollerkortet och vad som mÄste överföras) och efter denna anpassning anvÀnda donorkontrollern. Det Àr vÀrt att notera att för anpassning av mÄnga kontroller rÀcker det att överföra endast EEPROM-kretsen.
Vid val av kort, börja med att titta pÄ det etsade PCB-numret. UtvÀrdera sedan överensstÀmmelsen av mÀrkningarna för MCU och VCM&SM-kontrollern. Om mÀrkningarna för MCU och VCM&SM-kontrollern skiljer sig mellan det ursprungliga kortet och donorkortet, Àr det hög sannolikhet att donorkortet inte Àr lÀmpligt. Inom samma familj kan det finnas olika versioner av kort, och i vissa fall kan de vara kompatibla med vissa förbehÄll, men det Àr inte bra att försöka ta reda pÄ det hemma.
Om du försöker anvÀnda ett olÀmpligt kontrollerkort (med ett annat nummer pÄ PCB) kan det leda till att vÀxelströmmen brinner ut.
Om du har en multimeter, kontrollera 5V och 12V-kretsarna för kortslutning. Kontrollera ocksÄ motstÄndet i motorvindningarna. Om du har en annan lagringsenhet som bevisligen fungerar (samma tillverkare, modell, revision av kontrollerkortet), kan du kontrollera om samma antal stift i vÀxelströmmen mÀts mot "jord", samt jÀmföra motstÄnden. Vid stora skillnader kan slutsatsen dras att vÀxelströmmen Àr defekt, och du bör dÄ avbryta eventuella egna försök till ytterligare datarÀddning.
2. Teststart
Se sÀker pÄ att ditt testsystem fungerar korrekt för att undvika felaktiga diagnoser. Om det inte finns nÄgra externa orsaker som hindrar uppstarten, anslut grÀnssnittskabeln och strömkabeln till respektive uttag och slÄ pÄ strömförsörjningen.
Om du vet att lagringsenheten har blivit slagen eller tappad nÀr den var i drift, eller om den började ge ifrÄn sig knackande ljud innan den kom till dig, avstÄ frÄn att försöka sÀtta pÄ den.
I dessa fall Àr det nödvÀndigt med en obligatorisk öppning av hÄrddisken under en laminebox (eller ren rum) och en noggrann inspektion med hjÀlp av ett mikroskop.
Fig. 4 anslutning av kablar till hÄrddiskar.
Efter att strömmen har kopplats pÄ ska lagringsenheten börja snurra. I vissa fall kan detta inte hÀnda Àven med helt fungerande enheter om det av nÄgon anledning Àr en instÀllning som krÀver att en spin up-kommando ges.
Vid snurrande axel hörs ett lÀtt oljud frÄn luftflödet. I vissa enheter Àr det knappt hörbart, sÄ det kan vara bra att anvÀnda ett stetoskop (eller hÄlla enheten nÀra örat, med alla sÀkerhetsÄtgÀrder sÄ att en kortslutning inte intrÀffar).
Om ljudet av luft istÀllet ersÀtts av en serie cykliska surrande ljud, tysta pip eller ljud som pÄminner om telefonens ton, Àr det troligt att lagringsenheten inte kan starta motorn. Orsakerna kan vara följande: fastkörning av HSA i vilopunkten (parkeringsomrÄde), motoraxelns blockering, eller fel pÄ VCM&SM-kontrollerens chip.
Om det finns en lÀmplig donors enhet kan du testa versionen med defekt VCM&SM-kontroller, om du Àr beredd att utföra de nödvÀndiga anpassningarna av donorstyrelsen som beskrivs i punkten "visuell inspektion".
Vid fall av att BMG fastnar utanför parkeringsramen leder egna Ă„tgĂ€rder baserade pĂ„ videor frĂ„n youtube vanligtvis till extra repor pĂ„ plattornas ytor eller lossning av slidarna. Ăven om du lyckas relativt bra fĂ„ ut BMG pĂ„ parkeringsramen, kommer defekter pĂ„ det polymera belĂ€ggningen som uppstĂ„tt vid fastklibbning av slidarna, mikroskrĂ„mor frĂ„n slidarna som erhĂ„llits vid uttaget av BMG, tillsammans med offline-skanningsprocedurer och damm frĂ„n icke-rensad luft, sĂ€llan tillĂ„ta dig att lĂ€sa en betydande mĂ€ngd data i de flesta fall innan utvecklingen av ytterligare oĂ„terkalleliga nedbrytningsprocesser inleds. Hur dataĂ„terstĂ€llningsprocessen gĂ„r till i sĂ„dana fall pĂ„ ett specialiserat företag kan du lĂ€sa om i denna artikel.
Vid fastkörning av motorns axel krÀvs det vanligtvis att diskpaketet flyttas till donorens hermetiska enhet. En sÄdan ÄtgÀrd i hemmet utan rÀtt förberedelse och utan nödvÀndiga verktyg kommer i 99,9% av fallen att misslyckas.
Om det inte hörs nÄgot ljud nÀr strömmen slÄs pÄ och enheten inte börjar snurra axeln, kan följande diagnoser vara möjliga: kretskortet Àr trasigt, förstÀrkaromkopplaren Àr trasig, BMG Àr trasig.
NÀr enheten börjar snurra axeln, ska den utföra en kalibrering, lÀsa firmware och, efter att ha initierat överföringssystemet, gÄ i beredskap. Om istÀllet för kalibrering ett cykliskt bankande ljud, skrapande eller andra höga ljud hörs, koppla omedelbart bort enheten. Orsaken till sÄdana fenomen kan vara: BMG:s eller förstÀrkaromkopparens fel, fel pÄ VCM&SM-kontrollerens chip.
Mikroprogrammer i vissa lagringsenheter gör en förfrĂ„gan till switch-förstĂ€rkaren innan motoraxeln börjar snurra, och i fall av felaktigt svar eller överdriven resistans frĂ„n nĂ„gon av huvuden görs en nödstopp av den initiala initieringsprocessen. TyvĂ€rr kontrollerar inte alla mikroprogram tillrĂ€ckligt enhetens integritet och tillĂ„ter försök att starta en uppenbart problematisk hĂ„rddisk. Flyttning av BMG rekommenderas att utföras i en laminarbĂ€nk med ren luftström och specialverktyg. Dessutom Ă€r det nödvĂ€ndigt att veta hur man vĂ€ljer en givare för att vĂ€lja rĂ€tt version av switch-förstĂ€rkaren, huvschema och liknande adaptiva parametrar. Enbart tillverkare och modell som matchar garanterar inte att lagringsenheten Ă€r en lĂ€mplig givare. Ăven om det lyckas att sjĂ€lv vĂ€lja en givare och genomföra flyttningsproceduren Ă€r det osannolikt att ett stort datavolym kan lĂ€sas pĂ„ grund av följande problem.
Vilka ÄtgÀrder man kan vidta vid en trasig kontrollerkort anges i avsnittet "Visuell inspektion".
Fig. 5 kraftigt repad yta pÄ plattan (flera skÀrskador).
Det Àr viktigt att förstÄ att med varje försök att slÄ pÄ lagringsenheten med defekt BMG finns det risker för ytterligare skador pÄ plattornas ytor, vilket kan leda till fullstÀndig oförmÄga att ÄterstÀlla data.
Om inga misstÀnkta ljud hörs frÄn lagringsenheten bör den efter att alla initialiseringsprocedurer har genomförts vara redo. FrÄn och med nu ska lagringsenheten vara klar för datutbyte via grÀnssnittet, och vid anslutning till en port pÄ moderkortet ska den svara pÄ begÀran om passinformation frÄn BIOS. Om allt Àr i ordning med anslutningen och BIOS-instÀllningarna, men disken fortfarande Àr osynlig för datorn, Àr det troligt att det finns problem med lagringsenhetens mikroprogram som inte tillÄter den att bli redo.
Om lagringsenheten ger felaktiga specifikationsdata, till exempel endast modellnamnet och noll kapacitet, eller om modellnamnet inte Àr helt korrekt, eller om serienumret saknas, tyder det pÄ att initieringsprocedurerna har misslyckats och att det finns problem med firmware. I sÄdana fall Àr det vanligtvis omöjligt att lösa problemet pÄ egen hand utan professionella programvaru- och hÄrdvarulösningar.
Ett sÀrskilt undantag kan göras för fallet med Seagate 7200.11 (Moose-serien), dÀr vissa problem kunde lösas med en RS232-TTL-adapter och en vanlig terminal, men hÀr mÄste man förstÄ att utan att sÀtta sig in i mikroprogrammet finns det risk för att situationen allvarligt förvÀrras.
Det rekommenderas starkt att inte anvÀnda denna metod för andra serier, eftersom det kommer att leda till en omrÀkning av översÀttaren, vilket i de flesta fall kommer att vara felaktigt och Ätkomst till anvÀndardatan kommer att upphöra vid den första avvikelsen. Datagenereringen blir i detta fall betydligt mer komplicerad.
Om alla fÀlt i den angivna specifikationen frÄn lagringsenheten Àr korrekta utom kapaciteten, bör man kontrollera om detta Àr en följd av ett BIOS-fel pÄ vissa moderkort som, genom att anvÀnda HPA-kontrollkommandon, istÀllet för att skÀra bort ett litet segment av LBA-omrÄdet för att spara en kopia av BIOS, skÀr bort nÀstan 1 TB.
Fig. 6 specifikationen för en 1 TB disk efter felaktig BIOS-hantering av Gigabyte moderkortet.
För att lösa detta problem kan man anvÀnda HDAT2 eller motsvarande gratis diagnostikprogramvara, vilket kan ÄterstÀlla den ursprungliga specifikationen för lagringsenheten samt inaktivera HPA-kontroll i DCO för att undvika att problemet Äterkommer.
3. Förberedelse för testning
NÀr man testar diskar utanför professionella lösningar Àr det viktigt att förbereda operativsystemet i förvÀg. Det Àr nödvÀndigt att förbjuda automatisk montering av diskvolymer för att undvika oönskade ÄtgÀrder frÄn operativsystemet.
I Windows-operativsystemet mÄste man med administratörsrÀttigheter köra diskpart och utföra kommandot automount disable. Om den potentiellt problematiska disken tidigare har kopplats till detta operativsystem, mÄste monteringsparametrarna tas bort frÄn registret med kommandot automount scrubFör att dessa instÀllningar ska trÀda i kraft rekommenderas en omstart.
Det Àr ocksÄ nödvÀndigt att förbereda diagnostikprogramvara. Under Windows kan man anvÀnda det gratis PC3000 DiskAnalyzer, som utöver diagnostikfunktioner ocksÄ har möjligheten att skapa en sektorspecifik kopia. Det Àr ocksÄ bra att ha en bootbar USB-flash-enhet med HDAT2 tillgÀnglig.
Det Àr inte nödvÀndigt att endast anvÀnda denna programvara för diagnos. Man kan anvÀnda andra liknande alternativ, med undantag för viss betald programvara för överdrivet förtroendefulla anvÀndare, vars reklam kan innehÄlla fraser som "... unik programvara för regenerering av fysiskt skadade hÄrddiskar. Den döljer inte dÄliga sektorer, den ÄterstÀller dem faktiskt!". Vid mycket höga pÄstÄenden har sÄdan programvara ofta ganska begrÀnsade möjligheter som inte överstiger gratis programvarors kapabiliteter, och idéerna kring att hantera defekter Àr mer inriktade pÄ att slutligt förstöra enheten snarare Àn att hjÀlpa till med att ÄterfÄ data.
Om starttiden för OS har ökat flera gÄnger vid anslutning av lagringsenheten, Àven vid avstÀngd automatisk montering av volymer, rekommenderas det att avbryta alla egna ÄtgÀrder för att undvika att förvÀrra problemet.
En vÀsentlig ökning av starttiden för OS vid anslutning av en potentiellt problematisk hÄrddisk Àr ett mycket typiskt tecken pÄ att det finns ytdefekter pÄ skivornas ytor. Fördröjningar i OS:s start orsakas av Ätkomst till defekta sektorer och försök frÄn firmware att utföra offline-skanning som den inte klarar av.
Efter att OS:et har laddats framgÄngsrikt, gÄ till enhetshanteraren och kontrollera att din enhet finns med i listan över enheter. Om den inte gör det, se till att enhetsdrivrutinen för kontrollern som den Àr ansluten till Àr installerad och att sjÀlva kontrollern inte Àr avstÀngd i listan över enheter. Om drivrutinen och OS:ets instÀllningar Àr i ordning men enheten fortfarande inte dyker upp i OS:et eller försvinner efter en tid, tyder det vanligtvis pÄ ett brett spektrum av fel. De mest troliga Àr problem med kontrollkortet, att enhetens firmware har fastnat, eller att enheten har gÄtt in i ett nödlÀge dÀr den slutar reagera pÄ de flesta kommandon.
För att precisera diagnosen kan du försöka ladda DOS och anvÀnda HDAT2 för att kontrollera SMART-parametrarna. Om tecken pÄ defektbildning upptÀcks (icke-nollvÀrden för 5 och 197(C5) attribut i fÀlten för icke-normerade vÀrden), kan du dra slutsatsen att det inte gÄr att göra nÄgot utan att justera firmwareinstÀllningarna i hemmet. Om det inte finns nÄgra tecken pÄ defektbildning kan orsaken till frysningar ligga i ett felaktigt fungerande kontrollkort. I detta fall kan du försöka anvÀnda ett kontrollkort frÄn en donorenhet.
4. Testning
Efter att ha genomgÄtt de föregÄende stegen och utan att ha mÀrkt nÄgra viktiga anledningar till att stoppa processen kan du gÄ vidare med att utvÀrdera tillstÄndet hos enheten. De flesta enheter som slÀppts under detta Ärhundrade har inbyggd S.M.A.R.T.-teknik som övervakar enhetens tillstÄnd och registrerar olika hÀndelser under dess drift. LÀs mer om implementationen av denna teknik i HDD och vilka parametrar som bör övervakas vid anvÀndning av diskar i vÄr artikel .
Genom att anvÀnda diagnostisk programvara, begÀr S.M.A.R.T.-parametrarna.
Fig. 7 SMART-attribut för en fungerande hÄrddisk
Det Àr viktigt att bedöma vÀrdena för attribut 5 och 197(C5). Om vÀrdena i RAW-kolumnen Àr noll eller om antalet problem Àr enstaka, bör du övergÄ till ytterligare testning.
Fig. 8 SMART-attribut för en enhet med allvarlig defektbildning
Om antalet kandidater för defekter Àr ett tresiffrigt eller fyrsiffrigt tal, sÄ Àr det i de flesta fall sÄ att ytterligare försök att testa ytan eller skanna med automatiska ÄterstÀllningsverktyg för data kommer att förvÀrra problemet, vilket kan leda till fullstÀndig oförmÄga att ÄterhÀmta data.
För att Äterskapa data i sÄdana fall Àr det viktigt att ingripa i instÀllningarna för lagringsenheternas firmware och stÀnga av offline-scanningsprocedurer och S.M.A.R.T.-loggning, för att befria lagringsenheten frÄn bakgrundsprocesser som kan kraftigt minska livslÀngden pÄ den problematiska enheten. TyvÀrr kan detta inte göras pÄ ett enkelt sÀtt utan djup kunskap om firmware-arkitekturen för lagringsenheterna och utan professionella verktyg. NÀsta uppgift Àr att bedöma tillstÄndet för varje huvud för sig och lokalisera de huvudsakliga defekta zonerna. LinjÀr lÀsning med mÄnga upprepningar pÄ defekta omrÄden Àr i sÄdana fall kontraindicerat, dÄ det Àr för farligt.
Ăven om lagringsenheten vid första anblicken fungerar korrekt och inga defekter registreras enligt S.M.A.R.T.-indikatorerna, Ă€r detta ingen garanti för att det faktiskt inte finns nĂ„gra defekter. DĂ€rför behövs en avslutande testfas och en ytkontroll.
Det Àr viktigt att kontinuerligt övervaka scanningsprocessen. Om det uppstÄr ovanliga ljud eller stora zoner med lÀsningsfel, bör processen omedelbart avbrytas och lagringsenheten kopplas frÄn för att undvika oÄterkalleliga konsekvenser.
Fig. 9 graf över skanning av en fungerande disk
Om resultatet av skanningen av disken visar en monotont minskande graf över hastighet och inga lÀsningsfel registreras, kan lagringsenheten anses vara korrekt och man kan gÄ vidare till nÀsta avsnitt.
I diskar med stor mediekapacitet och en översÀttning som skiljer sig frÄn den klassiska (vanligtvis i diskar med brickinspelning (SMR),) kan grafen ha en annan form. Olika typer av avbrott kan förekomma.
Fig. 10 graf över skanning av disk med problematiskt huvud
Om cykliska "lÄngsamma" zoner upptÀcktes vid verifieringen av disken, Àr detta ett typiskt tecken pÄ en inte helt fungerande huvud. Man bör inte vÀnta pÄ att defekter upptÀcks och omedelbart avbryta testningen.
I en sÄdan situation finns det ingen anledning att förvÀnta sig nÄgot positivt vid egna försök att ÄterstÀlla data. Med stor sannolikhet kommer lagringsenheten inte att överleva ett försök att skapa en sektorskopiering med de anvÀndarvÀnliga verktygen.
I fall dÀr det i S.M.A.R.T. attributen 5 och 197 (C5) har upptÀckts tecken pÄ defektbildning, eller dÀr punktdefekter har upptÀckts under verifieringen, Àr det nödvÀndigt att skapa en kopia av disken.
5. Sektorspecifik kopia
Om testen visar att lagringsenheten Àr i gott skick och inga problem upptÀcks, behöver du inte skapa en sektorskopiering och kan arbeta med den ursprungliga disken. Men för att undvika olika typer av olyckor rekommenderas starkt att inte hoppa över detta steg och fortsÀtta arbeta endast med kopian.
Med en fungerande hÄrddisk eller en disk med ett fÄtal defekter finns det ingen sÀrskild skillnad pÄ vilket verktyg du anvÀnder; det viktiga Àr att det skapar en fullstÀndig kopia. Det Àr ocksÄ viktigt att inte försöka anvÀnda vissa programalternativ för att skapa en komprimerad bild, eftersom du dÄ troligen bara kommer att kunna arbeta inom de begrÀnsningar som programvaran skapat bilden med.
I Windows kan följande program anvÀndas: WinHex, DMDE, PC3000 DiskAnalyzer, R-studio och andra.
I Linux rÀcker det med kapabiliteterna hos det inbyggda kommandot dd.
Inte all programvara Àr gratis, men i mÄnga fall Àr funktionerna i en prov-/demoversion tillrÀckliga för att skapa en kopia av lagringsenheten.
Som exempel anvÀnder vi WinHex för att klona disken.
Fig. 11 alternativ i menyn WinHex för att klona disken.
PÄ fliken 'Verktyg' vÀljer vi alternativet 'Diskverktyg'; i popup-fönstret vÀljer vi 'Klona disk' eller trycker bara pÄ Ctrl+D.
Fig. 12 instÀllningar för kloningparametrar.
Som kÀlla vÀljer vi disken som ska klonas.
Mottagaren kan vara en disk av samma eller större kapacitet, eller sÄ kan kloning ske till en filbild.
Se till att det finns tillrÀckligt med ledigt utrymme pÄ mottagardisken.
I kopieringsinstÀllningarna bör alternativet 'hoppa över defekta sektorer' aktiveras.
Om din lagringsenhet har en sektor med fysisk sektorstorlek pÄ 4096 byte, men i operativsystemet visas med en virtuell storlek pÄ 512 byte, mÄste vÀrdet sÀttas till 8 för att undvika onödiga lÀsförsök av den problematiska sektorn.
«Mall för att ersĂ€tta kĂ€lldefekter» â ange ett ord eller en fras som Ă€r lĂ€tt att hitta, som kommer att fylla sektorn i kopian pĂ„ platsen för de olĂ€sta sektorerna frĂ„n kĂ€llan. Det kommer att bli enklare att hitta skadade filer senare.
NÀr en kopia skapas Àr det viktigt att noggrant övervaka processen. Vid förekomst av frÀmmande ljud, hÀngningar av enheten eller upptÀckter av fler defekter Àn vid den första testningen, bör processen omedelbart avbrytas och enheten kopplas bort för att undvika oÄterkalleliga konsekvenser.
I professionella datarÀddningsverktyg, som DataExtractor, finns det betydligt större möjligheter att anpassa datakopieringsscenarierna, samt övervaka enhetens tillstÄnd, vilket avsevÀrt ökar chansen för en framgÄngsrik Ätervinning, förutsatt att en kompetent specialist Àr nÀrvarande.
Fig. 13 InstÀllningar för reaktioner i det professionella systemet vid lÀsningsproblem
à terstÀllning av data
6. à terstÀllningsmetoder
Idag finns det en mÀngd program för automatisk datarÀddning som inte krÀver nÄgra speciella kunskaper frÄn anvÀndaren och som innebÀr att data kan ÄterstÀllas med ett musklick. Men en sÄdan metod ger i mÄnga fall inte det maximalt möjliga resultatet, eller det försvinner bland en mÀngd skrÀpförslag.
För effektiv anvÀndning av datarÀddningsprogrammet Àr det bÀst att begrÀnsa sökomrÄdet sÄ mycket som möjligt. För detta syfte Àr det önskvÀrt att ange sökomrÄdet och typen av den filsystem som söks. En sÄdan specificering kan utesluta en massa alternativ frÄn tidigare filsystem och minska risken för felaktig tolkning av de upptÀckta metadata för filsystemet.
Fig. 14 Exempel pÄ instÀllning av R-studio för att söka metadata för det önskade filsystemet
Metadata för filsystemet Àr strukturer som beskriver var filerna finns, deras namn, attribut, ÄtkomstrÀttigheter, loggar etc.
Fig. 15 Exempel pÄ metadata. Utdrag av MFT (Master File Table i NTFS)
I alla fall berÀknar program för automatisk ÄterstÀllning sÀllan korrekt startpunkten i förhÄllande till de hittade metadata, och sorterar inte alltid korrekt data frÄn olika filsystem, vilket gör att det kan uppstÄ felaktiga berÀkningar av placeringen för alla filer. Dessutom ökar olika skrÀpinformationer den uppgivna datamÀngden, ibland flera gÄnger mer Àn lagringsenhetens kapacitet.
I professionella system finns verktyg för att skapa virtuella volymer av olika filsystem med sjÀlvvalda parametrar, samt verktyg för att söka metadata med möjlighet att manuellt filtrera bort onödiga objekt.
I de fall dÀr nödvÀndig metadata för filsystemet inte lÀngre finns eller Àr felaktig, mÄste man tillÀmpa metoden att söka med reguljÀra uttryck som kÀnnetecknar olika typer av filer.
Fig. 16 0xFF 0xD8 0xFF Àr ett reguljÀrt uttryck som kÀnnetecknar JPG-filer
De program för automatisk ÄterstÀllning som söker pÄ detta sÀtt har för det mesta följande nackdelar: det finns ingen katalogstruktur och inga originalfilnamn, filstrukturen analyseras inte och integriteten hos de hittade filerna kontrolleras inte tillrÀckligt, vilket gör att mÄnga skrÀpfiler hittas som inte kan anvÀndas. För mÄnga typer av filer berÀknas inte korrekt storlek.
Fig. 17 InstÀllningar för R-Studio för att söka efter reguljÀra uttryck för de filer du behöver
7. Typiska fall och rekommenderade ÄtgÀrder
Skada pÄ filsystemet
Som ett resultat av fel i PC-komponenter, felaktig drift av operativsystemet, plötslig strömavbrott under skrivning pÄ disken och defekter pÄ hÄrddisken kan metadata för filsystemet bli skadade. Vid mÄnga typer av skador kan operativsystemet inte montera volymen med det skadade filsystemet.
Fig. 18 skadade metadata för filsystemet (okÀnd filsystem RAW)
I dessa fall Àr metoden för att söka metadata för filsystemet inom nuvarande partition ganska effektiv. Vid mindre skador kan man fÄ ett resultat nÀra 100%. Denna rekommendation Àr gÀller de flesta olika filsystem.
SjÀlvklart finns det fall dÀr en stor mÀngd metadata i det aktuella filsystemet skadas som ett resultat av fel. DÄ, om den första metoden inte har fungerat, mÄste man anvÀnda metoden för analys av reguljÀra uttryck för att hitta de filer du behöver.
Arbetet som specialist skiljer sig Ät genom att hen bedömer karaktÀren av skadorna pÄ metadata och om de inte har förstörts utan finns i en förvrÀngd form, sÄ Àr manuella korrigeringar möjliga i hex-redigeraren.
Borttagning av en fil eller en grupp filer.
Felaktig borttagning av data Àr en ganska vanlig förekomst. Konsekvenserna av denna ÄtgÀrd beror starkt pÄ typen av filsystem samt, i relativt nya enheter, pÄ hur firmware i sjÀlva enheten fungerar.
Om filerna har tagits bort pÄ en partition med NTFS-filsystemet, sÄ Àr den optimala metoden för att söka en snabb analys i olika verktyg, dÀr nyckelstrukturer (MFT, Index, Logfile) snabbt genomsöks utan fullstÀndig skanning av partitionen. Om de nödvÀndiga filposterna och det utrymme som dessa filer upptar inte har skrivits över av annan data, kan du relativt snabbt fÄ tag pÄ de filer som intresserar dig.
Fig. 19 efter skanning av $MFT Àr de poster som Àr markerade i lila de som klassas som borttagna.
Om de nödvÀndiga datana inte upptÀcks eller Àr skadade vid en snabb skanning, kan en fullstÀndig skanning av partitionen utföras, men troligtvis förÀndras resultatet inte nÀmnvÀrt och det kommer inte att finnas nÄgot annat kvar Àn sökningen med reguljÀra uttryck.
I specialistens arsenal finns ett verktyg för att skapa en karta över ledigt utrymme och vidare analys enbart inom dessa omrÄden, vilket tar bort befintliga data frÄn resultatet av ÄterstÀllningen. Detta sparar avsevÀrt tid för anvÀndaren vid fortsatt sökning efter nödvÀndiga filer bland mÀngder av namnlösa data.
Om filer raderas pÄ en partition med FAT16 eller FAT32-filsystem, kan metadataanalys anvÀndas för att ÄterfÄ en del av data med ursprungliga namn. I fallet med SFN saknas den första tecknet i filnamnet; om filen hade ett lÄngt namn kommer det fullstÀndiga namnet att finnas i LFN-posten. Vid borttagning av fragmenterade filer kommer datarÀddning med hjÀlp av automatiska ÄterstÀllningsverktyg inte att lyckas, eftersom posten om klusterkedjan som tillhör filen tas bort i FAT-tabellen vid borttagning. I FAT32 tas dessutom vid borttagning av filens placering i bÄda kopiorna av tabellen den första tecknet i SFN och de tvÄ högsta byte i numret pÄ den första klustern som filen tar upp. De flesta automatiska ÄterstÀllningsverktyg som analyserar metadata kommer inte att definiera filens korrekta position.
à terstÀllning av fragmenterade filer Àr i allmÀnhet en ganska komplicerad uppgift som Àr ganska svagt automatiserad. Automatiseringsmetoder kan utvecklas för specifika typer av strukturer. Oftast handlar uppgiften om manuell lÄgproduktiv analys för att leta efter nödvÀndiga fragment. Ett exempel pÄ sÄdant arbete kan bedömas i artikeln
Om metoder för metadataanalys inte har lett till att nödvÀndig data hittas, eller om nödvÀndiga filer inte kan öppnas, ÄterstÄr metoden med reguljÀra uttryck. Det Àr möjligt att en del av filerna kan upptÀckas.
Om filer raderas pÄ en partition med HFS+, Ext 2, Ext3 eller Ext4-filsystem, Àr det tyvÀrr meningslöst att analysera metadata. Utöver reguljÀra uttryck finns det inget annat kvar.
Borttagning av datapartition
Om en eller flera partitioner av misstag har tagits bort i diskhanteringsverktyget, rekommenderas det att anvÀndaren startar automatiska ÄterstÀllningsverktyg med en fullstÀndig genomsökning av hela enheten. Det Àr ocksÄ önskvÀrt att ta hÀnsyn till placeringen av befintliga partitioner för att utesluta uppenbarligen felaktiga alternativ i det som hittas.
Fig. 20 borttagen partition
Som specialist utförs liknande arbete relativt snabbt genom att söka efter bootsektorer och superblock pÄ förvÀntade platser. Baserat pÄ dessa berÀknas exakta positioner för början av partitioner och deras lÀngd.
Man kan ocksÄ försöka anvÀnda DMDE eller liknande verktyg, som relativt snabbt kan upptÀcka tecken pÄ början av en partition, och försöka visa filsystemet för den upptÀckta partitionen.
Fig. 21 resultatet av snabb sökning av partitioner med hjÀlp av DMDE
Partitionen Àr formatterad med data.
I sÄdana fall beror det rekommenderade handlingsscenariot starkt pÄ typen av filsystem som anvÀndes innan partitionen formatterades och vilket filsystem som började anvÀndas efter formateringen.
Till exempel, om en FAT32-partition med en klusterstorlek pÄ 8kB formatterades till FAT32 med en klusterstorlek pÄ 64kB, sÄ blev storleken pÄ de nya FAT-tabellerna Ätta gÄnger mindre och dÀrför skadade bÄda kopiorna av de nya tabellerna endast den första kopian av de gamla FAT-tabellerna. I en sÄdan situation kan sökandet efter metadata ge ett resultat nÀra 100%. Om partitionen dÀremot formatterades till FAT32 med en klusterstorlek som Àr mindre Àn eller lika med den som anvÀndes före formateringen, kommer de nya tomma tabellerna helt att skrivs över de gamla och delvis pÄverka omrÄdet med anvÀndardata. I det fallet kommer sökandet efter metadata att ge ett betydligt sÀmre resultat.
Om en FAT32-filsystem anvÀndes pÄ partitionen innan formateringen och partitionen formatterades till NTFS, sÄ placeras de nya strukturerna ($MFT, $Bitmap, $Logfile) vanligtvis inte i början av partitionen, och det Àr stor sannolikhet att man genom metoden för att söka metadata kan ÄterfÄ de flesta data med normal katalogstruktur och minimala skador pÄ sjÀlva datan.
Det kommer ocksÄ att vara en hög procentuell ÄterstÀllning nÀr en NTFS-partition formatteras till FAT32. I detta fall förstör FAT-tabellerna data i början av partitionen och rör vanligtvis inte nyckelstrukturerna av NTFS. Ett otillfredsstÀllande resultat kommer att intrÀffa om mÀngden data Àr liten, storleken pÄ vilken Àr jÀmförbar med storlekarna av de tvÄ kopiorna av FAT-tabellerna.
Men om anvÀndaren inte vill bry sig om detaljerna kring metadata placeringen i olika filsystem, sÄ Àr det ett logiskt steg att köra verktyget för automatisk datarÀddning i metadata söklÀge. Och om det resulterar i en otillrÀcklig mÀngd data bör metoden för reguljÀra uttryck tillÀmpas.
Sektionen med data har formaterats och delvis skrivits över med annan data.
Som det ofta Àr fallet kan anvÀndaren formatera en sektion och börja fylla den med annan data, för att sedan först inse att viktig information lÄg pÄ den gamla sektionen. I sÄdana fall kan det inte ges en entydig rekommendation. Allt beror mycket pÄ hur mycket (kvantitativt och i volym) ny data som skrivits, samt vart i filsystemet den data placerades. Beroende pÄ omstÀndigheterna kan resultatet variera frÄn 0 till nÀra 100%. Det Àr oförutsÀgbart pÄ förhand.
I mÄnga fall med stor överlappning av datan Àr det meningsfullt att börja med metoden för reguljÀra uttryck för relevanta filtyper, för att avgöra om det finns nÄgra tecken pÄ att den önskade datan fortfarande existerar, och om den hittas, utföra en metadata sökning i filsystemet.
I en laboratorium för datarÀddning kommer specialisten att skapa en karta över den oanvÀnda platsen och komma att söka efter reguljÀra uttryck endast pÄ dessa omrÄden, för att utesluta att redan existerande data finns i sökresultaten. OcksÄ, med hjÀlp av verktyg för integritetskontroll kommer antalet falska positiva att minskas avsevÀrt. I vissa fall, som i ÄterstÀllning av jpg-filer (t.ex. en privat fotoalbum), kommer det att vara möjligt att sortera enligt informationen i Exif-taggarna i jpeg-filerna, vilket gör det möjligt att fÄ ett kronologiskt ordnat resultat och sorterat efter kameramodeller.
Fig. 22 resultatet av sortering av JPG-filer hittade genom metoden för reguljÀra uttryck.
Kraftig avbrott av procedurer för förÀndring av storlek, flyttning eller sammanfogning av sektioner.
Vid eventuella krascher av diskhanteringsprocedurer för att Àndra storlek pÄ partitioner, flytta dem eller slÄ samman flera partitioner, mÄste man ta reda pÄ vilka steg som har vidtagits och pÄ vilket stadium operationen stoppades för att uppnÄ det maximala möjliga resultatet.
Givet komplexiteten och antalet möjliga variationer, lÄt oss övervÀga ett universellt alternativ för anvÀndaren som behöver ett resultat med minimal insats. Objektet för analys bör vara hela lagringsenheten, för att garantera tÀckning av alla datalÀgen. AnvÀnd metoden för att söka metadata och kopiera alla datavariationer enligt de hittade filsystemen. Det Àr stor sannolikhet att olika uppsÀttningar filer Àr korrekta i varje variation. Sökning med reguljÀra uttryck efter specificerade filtyper Àr ocksÄ viktigt, eftersom delvis förlust av information om namn och placeringar av filer Àr möjlig i sÄdana fall.
8. Kontroll av integriteten hos ÄterstÀllda data
Det Ă€r viktigt att förstĂ„ att visningen av filnamn i datarĂ€ddningsprogrammet eller antalet hittade reguljĂ€ra uttryck inte garanterar att allt som har hittats Ă€r anvĂ€ndbart. DĂ€rför Ă€r det ett minst lika viktigt steg efter Ă„terstĂ€llningen av data med automatiska Ă„terstĂ€llningsprogram â att kontrollera integriteten hos sjĂ€lva data.
TyvÀrr finns det inget universellt gratis verktyg för att kontrollera integriteten hos ett stort antal olika filer. Men man kan hitta gratis programvara för att övervaka specifika filtyper enskilt. Till exempel kan mÄnga arkivverktyg kontrollera integriteten hos arkiv, medan MP3Diag kan anvÀndas för att kontrollera mp3-filer och ImageMagick kan anvÀndas för att testa jpg-filer.
Den största nackdelen med mÄnga gratis verktyg för att kontrollera filintegritet Àr att de inte garanterar en fullstÀndig kontroll av filer. Massiva fel kan uppstÄ.
För mÄnga filtyper har anvÀndaren ingen annan möjlighet Àn att visuellt bedöma integriteten hos data genom att öppna filerna en och en i motsvarande program.
I professionella system finns det ett verktygsset som delvis gör det möjligt att kontrollera integriteten hos filer, vilket avlÀgsnar ett stort antal skrÀpfiler frÄn resultatet av datarÀddningen.
Förutom att avskilja skrÀp Àr det nödvÀndigt att fÄnga filer som har skadats av defekter. Om du har skapat en sektorkopiering med en fyllning av mönstret för olÀsta sektorer, kan problemet med att hitta skadade filer lÀtt lösas genom att söka i filerna efter textstrÀngen «BAD!BAD!BAD!BAD!» (i vÄrt exempel anvÀndes fyllningen «BAD!»). Efter att ha funnit dem mÄste graden av skada kontrolleras, eftersom vissa filformat kanske inte lider mycket av förlusten av en liten del av data, medan andra kan bli helt obrukbara.
9. Vanliga anvÀndarfel.
Olika typer av försök att "bota" defekter med hjÀlp av populÀra diagnostiska verktyg i hopp om att ÄterfÄ tillgÄng till data Àr ett av de frÀmsta felen hos mÄnga anvÀndare. Försök att dölja defekter pÄ en lagringsenhet med skadad polymer pÄ plattornas yta slutar vanligtvis med slipning av plattorna, snarare Àn att fÄ tillgÄng till data. Av denna anledning rekommenderas det starkt att inte utföra nÄgra serviceoperationer pÄ disken innan data har ÄterhÀmtats, utan att kÀnna till karaktÀren hos defekterna pÄ ytan. Efter att informationen har ÄterstÀllts kan man försöka serva lagringsenheten och om man har tur kan den fortfarande vara anvÀndbar för mindre kritiska uppgifter.
Ofta pÄverkas defekter av metadata i filsystemet. I dessa fall hÀnger operativsystemet under lÄng tid nÀr man försöker montera den skadade volymen. Med den problematiska lagringsenheten ansluten kan OS:s laddningstid strÀcka sig över flera minuter. En av de sÀmsta idéerna för att lösa detta problem Àr att formatera den problematiska partitionen. Nya skapade metadata kan skrivas korrekt och problemet med lÄngsam uppstart av OS kommer att lösas, men uppgiften att ÄterstÀlla data blir mer komplicerad och kvaliteten pÄ ÄterstÀllningsresultatet kan allvarligt pÄverkas.
Ăverföring av data som upptĂ€ckts av verktyget till samma partition som försöker Ă„terstĂ€lla filer. I det hĂ€r fallet slutar det ofta med att anvĂ€ndaren fĂ„r skrĂ€p istĂ€llet för data, och nĂ€sta försök till datarĂ€ddning kommer att resultera i ett betydligt sĂ€mre resultat. Genom att följa instruktionerna i denna artikel kan du undvika denna typ av fel.
Det utförs ingen integritetskontroll av de ÄterstÀllda uppgifterna, och innehÄllet pÄ den ursprungliga enheten försvinner tillsammans med dess kopia. I detta fall finns det en risk att bli kvar med en massa mappar som Àr fyllda med felaktiga resultat frÄn försöket att ÄterstÀlla data utan möjlighet att fÄ ett kvalitetsresultat.
Felaktigt val av verktyg och metoder för datarÀddning, vilket gör att resultatet blir betydligt sÀmre Àn det skulle kunna vara.
Jag hoppas att denna uppsÀttning ÄtgÀrder hjÀlper dig att avgöra om situationen med din enhet tillÄter sjÀlvstÀndiga försök att ÄterstÀlla data och om du Àr redo att utföra denna relativt enkla uppsÀttning ÄtgÀrder som beskrivs i denna artikel.
KĂ€lla: habr.com
