Самостоятельная диагностика жестких дисков и восстановление данных / Хабр

2. Если цель — ремонт жесткого диска

Думаю, вы уже поняли, как я отношусь к ремонту жестких дисков. Никак не отношусь. Считаю это бессмысленным занятием, а именно напрасной тратой времени и денег с риском последующих еще больших затрат. Готов пояснить. Стоимость современных HDD настолько ничтожна, что ремонт просто нерентабелен. Жесткие диски, в отличие от автомобиля, изначально конструируются с целью более рентабельного производства без планов на последующее «обслуживание» или ремонт.

Их клепают на станках тысячами штук. В пересчете на один диск это очень дешево. А дальше будет все дешевле и дешевле. Что касается ремонта, то это должно быть работой высококлассного специалиста с временными затратами от нескольких минут до нескольких часов или дней, затратами процессорного времени, загрузкой оборудования стоимостью десятки или сотни тысяч рублей, с использованием дорогих или редких запасных частей.

Сколько может стоить такая работа? Та-а-ак, надо подумать… При этом нужно вписаться в 1800 рублей — стоимость нового диска — аналога ремонтируемого. И быть готовым повторить эту работу в случае гарантийного обращения. Нет, даже думать не хочется. Странно, что периодически приходится иметь дело с такими вот «ценителями» чужих умений и рабочего времени, которые удивляются, что все эти работы не выполняются за 1000 рублей, желательно на выезде. 🙂

Я согласен, что это доводы со стороны ремонтника. И что обычного пользователя — потенциального заказчика услуги — они совершенно не волнуют. Хотя понимать их стоило бы. Думаю, с этим согласятся многие специалисты в различных областях, знающие цену себе и своему рабочему времени.

Но есть и другие, более близкие пользователю, аргументы против ремонта HDD. Во-первых, всегда лучше получить новый диск по гарантии. Во-вторых, ваш жесткий диск — сложнейшее механическое устройство в компьютере. Предположим, он, сделанный на заводе, сломался, а обратиться по гарантии вы не можете. Нашелся умелец, который его починил, дал гарантию 2 недели, а на словах пообещал, что «теперь диск работать будет долго».

Но не всегда все так плохо. Ведь не во всех описанных выше случаях можно утверждать, что диск не исправен. И если неполадка исключительно софтовая, то проблема выбора между данными и ремонтом не стоит. Иногда может требоваться программный ремонт разделов, но при этом физическое состояние диска не меняется.

Типовые случаи и рекомендуемые действия

Повреждение файловой системы

В результате сбоев компонентов ПК, некорректной работы ОС, внезапного обесточивания во время записи на диск, неисправностей жесткого диска могут оказаться поврежденными метаданные файловой системы. При многих видах повреждений ОС не сможет монтировать том с поврежденной файловой системой.

Рис. 18 поврежденные метаданные файловой системы (нераспознанная файловая система RAW)

В этих случаях достаточно эффективен метод поиска метаданных файловой системы в границах существующего раздела. При незначительных повреждениях можно получить результат, близкий к 100%. Данная рекомендация актуальна для большинства различных файловых систем.

Разумеется, существуют случаи, когда в результате сбоев оказывается испорченным большой объем метаданных текущей файловой системы. Тогда, если не отработал первый вариант, необходимо воспользоваться методом анализа регулярных выражений для поиска нужных вам файлов.

Работа специалиста отличается тем, что он оценивает характер повреждения метаданных и если они не уничтожены, а пребывают в искаженном виде, то возможны ручные коррекции в шестнадцатеричном редакторе.

Удаление файла или группы файлов.

Ошибочное удаление данных — достаточно частый случай. Последствия этого действия сильно зависят от типа файловой системы, а также в относительно новых дисках от идеологии работы микропрограммы самого устройства.

Если файлы были удалены на разделе с файловой системой NTFS, то оптимальным методом поиска будет экспресс анализ в различных утилитах, при котором быстро сканируются ключевые структуры (MFT, Index, Logfile) без полного сканирования раздела. Если нужные файловые записи и место, занимаемое этими файлами не перезаписаны иными данными, то достаточно оперативно можно получить интересующие файлы.

Рис. 19 после сканирования $MFT фиолетовым выделены записи, числящиеся удаленными

Если при быстром сканировании нужные данные не обнаружены или повреждены, то можно выполнить полное сканирование раздела, но скорее всего серьезным образом результат не изменится и кроме поиска регулярных выражений ничего другого не останется.

В арсенале специалиста доступен инструмент построения карты незанятого пространства и дальнейший анализ исключительно в этих областях, что убирает из результата восстановления существующие данные. Это существенно экономит время пользователя при дальнейшем поиске необходимых файлов во множестве безымянных данных.

Если файлы удалены на разделе с файловой системой FAT16, FAT32, то можно использовать анализ метаданных и получить некоторую часть данных с оригинальными именами. В случае SFN будет отсутствовать первый символ в имени файла, если же файл был с длинным именем, то его полное имя будет в LFN записи.

В случае удаления фрагментированных файлов восстановление данных средствами программ автоматического восстановления не будет успешным, так как при удалении в FAT таблице удаляется запись о цепочке кластеров, принадлежащих файлу. Также в FAT32 в некоторых случаях кроме удаления цепочки расположения файла в обеих копиях таблицы, в директории удаляется первый символ SFN и старшие два байта в номере первого кластера, занимаемого файлом. Большинство утилит автоматического восстановления, анализирующих метаданные, не определят правильную позицию файла.

Восстановление фрагментированных файлов, как правило, достаточно сложная работа, которая весьма слабо автоматизирована. Методы автоматизации можно разрабатывать под конкретный тип структур. Чаще всего задача сводится к ручному низкопроизводительному анализу по поиску необходимых фрагментов. Пример подобной работы можно оценить в статье «Восстановление базы 1С Предприятие (DBF) после форматирования»

Если методы анализа метаданных не привели к нахождению нужных данных или нужные файлы не могут быть открыты, то остается метод поиска регулярных выражений. Возможно некоторую часть файлов удастся обнаружить.

Если файлы удалены на разделе с файловой системой HFS , Ext 2, Ext3, Ext4, то, к сожалению, анализировать метаданные бесполезно. Кроме поиска регулярных выражений ничего другого не остается.

Удаление раздела с данными

Если в оснастке управления дисками был удален один или несколько разделов ошибочно, то для пользователя, желающего восстановить данные, будет рекомендован запуск утилит автоматического восстановления с полным сканированием всего устройства. Также желательно учитывать положение существующих разделов, чтобы исключить заведомо неверные варианты в найденном.

Рис. 20 удаленный раздел

Специалистом подобная работа выполняется относительно быстро, посредством поиска загрузочных секторов, суперблоков в ожидаемых местах. На основании найденного рассчитываются точные позиции начала разделов и их протяженность.

Также можно попытаться использовать DMDE или аналогичные утилиты, которые относительно быстро могут позволить найти признаки начала раздела, и попытаться отобразить файловую систему найденного раздела.

Рис. 21 результат быстрого поиска разделов с помощью DMDE

Отформатирован раздел с данными.

В таких случаях рекомендуемый сценарий действий сильно зависит от типа файловой системы, которая была до форматирования раздела, и какая файловая система стала использоваться после форматирования.

Например, если раздел FAT32 c кластером 8кб, был отформатирован в FAT 32 с кластером 64кб, то размер новых таблиц FAT стал в 8 раз меньше и, следовательно, обе копии новых таблиц испортили только первую копию старых таблиц FAT. В такой ситуации поиск метаданных может дать результат близкий к 100%.

Если до форматирования на разделе использовалась файловая система FAT32, а раздел был отформатирован в NTFS, то новые структуры ($MFT, $Bitmap, $Logfile), как правило, располагаются не у самого начала раздела, и высока вероятность посредством метода поиска метаданных получить большинство данных с нормальной структурой каталогов и минимальными повреждениями самих данных.

Также высокий процент восстановления будет, когда раздел с файловой системой NTFS отформатирован в FAT32. В этом случае таблицы FAT испортят данные в начале раздела и как правило не затронут ключевые структуры NTFS. Неудовлетворительный результат будет в случае с малым объемом данных, размер которых сопоставим с размерами двух копий таблиц FAT.

Но если пользователь не желает вникать в нюансы расположения метаданных различных файловых систем, то логичным шагом будет запустить утилиту автоматического восстановления данных в режиме поиска метаданных. И в случае, если получен недостаточный объем данных, применить метод поиска регулярных выражений.

Отформатирован раздел с данными и частично перезаписан иными данными.

Как часто бывает, пользователь может отформатировать раздел и начать заполнять его иными данными, а только потом спохватиться, что на старом разделе была важная информации. В таких случаях не может быть однозначной рекомендации. Все очень сильно зависит от того, как много (количественно и по объему) было записано новых данных, а также где расположились эти данные. В зависимости от условий результат может быть от 0 до близкого к 100%. Заочно это непредсказуемо.

Во многих случаях с большим перекрытием области данных имеет смысл начать с метода поиска регулярных выражений для нужных типов файлов, чтобы понять, есть ли еще признаки существования нужных данных, и в случае их обнаружения выполнить поиск метаданных файловой системы.

В условиях лаборатории восстановления данных специалист построит карту незанятого пространства и проведет поиск регулярных выражений только по этим участкам, чтобы исключить в результатах поиска наличие уже существующих данных. Также с помощью инструментов контроля целостности значительно уменьшит количество ложных распознаваний.

А в некоторых задачах вроде восстановления jpg файлов (например, чьего-то домашнего фотоальбома) сможет произвести сортировку согласно информации, содержащейся в Exif тегах jpeg файлов, что позволит получить упорядоченный в хронологическом порядке результат и отсортированный по моделям камер.

Рис. 22 результат сортировки JPG файлов, найденных посредством поиска регулярных выражений

Аварийное завершение процедур изменения размера, перемещения или объединения разделов.

В случаях аварийного завершения процедур дисковых менеджеров по изменению размера раздела, его перемещению или слияния нескольких разделов предстоит разобраться, какие именно шаги были совершены и на каком этапе была остановлена операция, чтобы получить максимально возможный результат.

Учитывая сложность и количество возможных вариаций, рассмотрим только универсальный вариант для пользователя, которому нужен результат с минимальным количеством действий. Объектом для анализа нужно выбрать весь накопитель, чтобы гарантированно охватить все места расположения данных. Использовать метод поиска метаданных и копировать все варианты данных по найденным файловым системам.

Ремонт hdd: часто задаваемые вопросы