Odzyskiwanie danych z dysku twardego - pierwsza pomoc

Z artykułu dowiesz się:

• jak powinna wyglądać pierwsza pomoc po utracie dostępu do danych,
• jakie są najczęstsze przyczyny awarii, skutkujące utratą dostępu do danych,
• jak ustalić źródło problemu,
• jak przeprowadzić wstępną analizę dysku,
• czego nam nie wolno robić po utracie dostępu do danych,
• co zrobić na przyszłość, aby ponownie nie utracić dostępu do danych.

Co powinieneś wiedzieć

• znać ogólne pojęcia z zakresu budowy komputera,
• znać podstawy obsługi systemu operacyjnego, w którym pracujesz,
• mieć ogólne pojęcie o systemie plików, na którym pracuje twój system operacyjny.

Wstęp

W dobie masowego rozwoju techniki cyfrowej podstawowym narzędziem codziennej pracy bądź rozrywki staje się komputer osobisty (PC). Niestety, korzystanie z cyfrowych dobrodziejstw wiąże się z pewnym ryzykiem, dotyczącym potencjalnego wystąpienia awarii, która w skuteczny sposób może sparaliżować nasz codzienny dzień.

W każdym przypadku utraty dostępu do danych pierwszą i podstawową kwestią, którą musimy ustalić jest przyczyna wystąpienia takiego stanu rzeczy. Ustalenie źródła problemu ma kluczowe znaczenie dla samego procesu odzyskiwania danych. Prawidłowa odpowiedź na to pytanie pozwoli nam na podjęcie prawidłowych działań, w konsekwencji których możemy odzyskać dostęp do danych bez niepotrzebnego ryzyka ich bezpowrotnej utraty. Dlatego pamiętajmy; zanim podejmiemy jakiekolwiek działania, musimy wiedzieć co mamy robić. Działania na oślep, często w panice, na ogół pogarszają sytuację lub wręcz definitywnie uniemożliwiają odzyskanie danych.

Okoliczności awarii - analiza

Ustalenie źródła problemu w znakomitej większości sytuacji nie powinno stwarzać większego problemu. Tak naprawdę występują dwa główne rodzaje awarii, jeżeli chodzi o ich naturę:

• uszkodzenia logiczne,
• uszkodzenia fizyczne.

Każde z nich możemy podzielić jeszcze na pewne podtypy, które posiadają pewną odmienną charakterystykę przyczynowo-skutkową. I tak - uszkodzenia logiczne dzielą się na:

• uszkodzenie systemu operacyjnego,
• uszkodzenie systemu plików,
• uszkodzenie logiczne powstałe wskutek błędu użytkownika.

Natomiast w ramach uszkodzeń fizycznych samego nośnika możemy wyróżnić:

• uszkodzenie mechaniczne (dekalibracja mechaniczna, dekalibracja termiczna, uszkodzenie łożyska silnika, wybicie stojana silnika),
• uszkodzenie elektroniczne (uszkodzenie modułu elektroniki zewnętrznej, uszkodzenie głowicowego przedwzmacniacza sygnału),
• uszkodzenie logiczne lub mechaniczne struktury serwisowej dysku (Service Area).

Oczywiście wszystkie wymienione wyżej rodzaje uszkodzeń mogą występować samodzielnie lub jednocześnie; często występuje implikacja przyczynowo-skutkowa. I tak, np. dekalibracja mechaniczna (np. dysk został uderzony) wpływa na uszkodzenia fizyczne części powierzchni roboczej dysku, przez co uszkodzony zostaje system plików (minimalne odkształcenia końcówek głowic mogą powodować rysowanie platerów dysku w obszarze konfiguracyjnym systemu plików).

W ramach identyfikacji niezbędnym jest przeanalizowanie wszystkich objawów i okoliczności mogących mieć wpływ na wystąpienie awarii. Jest to najlepsza wskazówka, dająca często bezpośrednią wiedzę co do genezy wystąpienia problemu utraty dostępu do danych.

Poniżej krótki opis objawów i okoliczności, które charakteryzują w sposób bezpośredni rodzaj usterki:

Działania wirusów, niedozwolone operacje na strukturach lub plikach systemu operacyjnego, błędne działanie lub niewłaściwe posługiwanie się narzędziami dyskowymi, pojawienie się błędnych sektorów na powierzchni dysku, błędna konfiguracja sprzętowa systemu operacyjnego, nagłe lub nieprawidłowe zamknięcie systemu operacyjnego, itp. - wszystkie tego typu czynności mogą wpłynąć na powstanie uszkodzeń systemu operacyjnego lub systemu plików.

Przypadkowe lub błędne usunięcie danych - tu sytuacja jest jasna.

Wszelkiego rodzaju anomalie napięciowe, mogące wystąpić, czyli: nagłe braki w dostawie prądu, przepięcia, zwarcia czy też wysadzenia lokalnej instalacji elektrycznej (bezpieczniki) skutkują najczęściej uszkodzeniem elektroniki komputera, a co za tym idzie elektroniki samego dysku. W tym miejscu należy zaznaczyć, że z tego punktu widzenia najbardziej krytycznym elementem w systemie jest zasilacz. Dobry zasilacz nie dopuści do uszkodzenia wewnętrznych komponentów komputera - w najgorszym razie sam ulegnie zniszczeniu, chroniąc jednocześnie pozostałe elementy. Słaby jakościowo zasilacz jest odpowiedzialny za ponad 90% przypadków awarii elektroniki twardych dysków.

Uderzenia i upadki - całych komputerów lub przenoszonych dysków - nawet niewinne, drobne puknięcia lub uderzenia mogą spowodować trwałe i poważne uszkodzenie mechaniczne twardego dysku (szczególnie podczas pracy nośnika). Dzieje się tak, ponieważ prawie wszystkie dzisiejsze dyski twarde (oprócz SSD) są urządzeniami złożonymi m.in. z wysoce precyzyjnej mechaniki, która jest bardzo wrażliwa na fizyczne działania zewnętrzne. Dochodzi wtedy do dekalibracji mechanicznej twardego dysku (zmiana geometrii końcówek pozycjonera z głowicami), nieprawidłowego zatrzymania głowic na platerach lub wybicia stojana silnika.

Przegrzanie twardego dysku - jeżeli twardy dysk, który pracuje przez dłuższy czas jest narażony na przegrzanie się (praca laptopa na miękkim kocu lub pościeli, umiejscowienie komputera przy kaloryferze, itp.) to dochodzi do mikroodkształceń termicznych na końcówkach głowic. Skutek - identyczny, jak w przypadku dekalibracji mechanicznej.

Pozostała najczęściej spotykana usterka, tj. uszkodzenie strefy serwisowej dysku, może mieć zgoła różne przyczyny - można ją zdiagnozować jedynie po objawach - ale o tym później.

Objawy - wstępne zalecenia diagnostyczne

Potwierdzeniem okoliczności powinny być objawy. Poniżej kilka uwag odnośnie ich występowania i charakterystyki. Ze względu na złożoność występujących objawów przeprowadzimy analizę pod kątem uszkodzeń.

Na początek coś miłego - po podłączeniu zasilania do dysku następuje natychmiastowe automatyczne wyłączenie komputera - innymi słowy - komputer się nie włącza z podpiętym do gniazda zasilania twardym dyskiem. W tym przypadku mamy do czynienia z dość prostym przypadkiem, polegającym na wymianie elementu zabezpieczającego twardy dysk. Istnieje możliwość samodzielnej naprawy dysku. Na ogół jest to wymiana bardzo szybkiej diody zabezpieczającej Transil (nazwa wprowadzona przez nomenklaturę STMicroelectonics), która jest podpięta w kierunku zaporowym. Pełni ona rolę bezpiecznika - w momencie nieprawidłowej polaryzacji zasilania lub zwarcia zostaje ona przebita (przewodzi w obydwu kierunkach), co powoduje zwarcie i uruchamia blokadę zasilania w zasilaczu komputera.

Po podłączeniu zasilania dysk jest całkowicie martwy, brak detekcji w biosie, nie wydaje jakichkolwiek dźwięków - w prawie 100% przypadków mamy do czynienia z uszkodzeniem modułu elektroniki zewnętrznej. Tego typu uszkodzeniom często towarzyszy swąd spalenizny wydobywający się z dysku lub widoczne nadpalenia układów na elektronice dysku. Wymagana naprawa lub rekonstrukcja modułu elektroniki zewnętrznej. Możliwość wystąpienia uszkodzenia elektroniki wewnętrznej.

Po podłączeniu zasilania dysk nie rozkręca się, brak detekcji w biosie, jednakże słychać mniej lub bardziej głośne próby startu samego silnika (takie cichutkie bzyt, bzyt, bzyt). Przy takich objawach możliwe uszkodzenia to: wybicie stojana, uszkodzenie łożyska lub zatrzymanie głowic na platerach dysku. Przy tego typu objawach stanowczo odradzamy samodzielne próby dotarcia do danych. Wymagana jest interwencja specjalisty w warunkach laboratoryjnych. Niektóre modele WD lub MAXTOR posiadają wbudowane multiwibratory generujące sygnały dźwiękowe typu trelemolo, które są uaktywniane w momencie blokady silnika.

Po podłączeniu zasilania dysk zaczyna się rozkręcać, jednak nie jest widoczny w biosie i wydaje nienaturalne odgłosy (najczęściej jest to cykliczne stukanie). W tego typu przypadkach najczęściej mamy do czynienia z uszkodzeniem mechanicznym (dekalibracja) lub uszkodzeniem elektroniki wewnętrznej, bądź samych głowic. Podobnie jak w przypadku powyżej - przy tego typu objawach stanowczo odradzamy samodzielne próby dotarcia do danych. Wymagana jest interwencja specjalisty w warunkach laboratoryjnych. Mało tego - w takim przypadku samodzielne, uporczywe próby odczytania danych z dysku mogą zaowocować nieodwracalnym uszkodzeniem powierzchni roboczej nośnika.

Po podłączeniu zasilania dysk zaczyna się rozkręcać, jest prawidłowo rozpoznawany w biosie, jest widziany przez system w sposób fizyczny (jako dysk), natomiast nie jest (najczęściej) widziany jako dysk logiczny - przy próbie odczytu danych przez jakąkolwiek aplikację narzędziową dysk zaczyna wydawać nienaturalne dźwięki (stukania). W tego typu przypadku mamy najprawdopodobniej do czynienia z uszkodzoną głowicą. W celu potwierdzenia diagnozy niezbędna jest analiza skanu powierzchni dysku, aby wykluczyć lub potwierdzić uszkodzenie jednej z głowic.

Kolejny przypadek to sytuacja identyczna do poprzedniej - jednakże z wykluczeniem uszkodzenia jednej z głowic. Po podłączeniu zasilania dysk zaczyna się rozkręcać, jest prawidłowo rozpoznawany w biosie, jest widziany przez system w sposób fizyczny (jako urządzenie) i najczęściej jest widziany jako dysk logiczny - przy próbie odczytu danych przez jakąkolwiek aplikację narzędziową dysk zaczyna wydawać nienaturalne dźwięki (stukania). W tego typu sytuacji doszło do powstania wielu uszkodzeń na powierzchni roboczej nośnika (Bad Sektory). Potwierdzenie skanem powierzchni dysku.

Następny objaw: po podłączeniu zasilania dysk zaczyna się rozkręcać, jest prawidłowo rozpoznawany w biosie, jest widziany przez system w sposób fizyczny i logiczny (jako dysk), nie wydaje nienaturalnych dźwięków - jednakże nie ma możliwości wejścia na dysk logiczny (komunikat o niesformatowanym dysku lub partycja nieznana). Objaw świadczący o uszkodzonym logicznie systemie plików lub powstaniu niewielkiej ilości złych sektorów w obszarze konfiguracyjnym systemu plików. Potwierdzenie skanem powierzchni dysku.

Po podłączeniu zasilania dysk zaczyna się rozkręcać, jest rozpoznawalny w biosie, wstępny brak objawów nieprawidłowej pracy; dysk widoczny jako wolumin logiczny, możliwość podejrzenia zawartości partycji, przy próbie kopiowania danych występują błędy odczytu. Objawy te świadczącą o powstaniu relatywnie niewielkiej ilości błędnych sektorów. Dane można skopiować za pomocą stosownych aplikacji narzędziowych typu Data Recovery.

Odrębnym problemem jest wystąpienie uszkodzeń w obszarze serwisowym dysku (ang. Service Area, potocznie SA). Jest to wydzielony obszar na platerach (talerzach) dysku, niedostępny dla przeciętnego użytkownika (SA mieści się na logicznie ujemnych cylindrach), w którym znajdują się wszystkie dane niezbędne dla prawidłowej pracy nośnika. Znajdują się tam takie informacje jak: translator logiczny, adaptywy, informacje na temat wielkości dysku, nazwa dysku, jego numer seryjny, hasło ATA, itp. Po podłączeniu zasilania główny procesor dysku zaczyna wykonywać procedury zawarte w swoim biosie. Większość z nich zawiera komendy odczytu wyżej wspomnianych danych mieszczących się w strefie serwisowej. Jeżeli wszystko jest w porządku, dysk zgłasza gotowość do pracy. Jeżeli nie ... No i tu zaczyna się problem... Wachlarz objawów uszkodzonego SA jest bardzo szeroki. Najczęstszymi objawami uszkodzenia SA jest błędna detekcja napędu w biosie komputera (nieprawidłowa lub niepełna nazwa dysku, nieprawidłowa pojemność, niewłaściwy numer seryjny), brak statusu ready nośnika, przy próbie skanu powierzchni nośnika wszystkie sektory są błędne, itp. Niestety w prawie wszystkich przypadkach uszkodzenia SA - aby dostać się do danych - wymagana jest spora wiedza na temat budowy i struktury SA w poszczególnych modelach oraz odpowiednie zaplecze techniczne i narzędziowe. Dlatego przy wystąpieniu objawów świadczących o uszkodzeniu SA stanowczo odradzamy podejmowanie jakichkolwiek samodzielnych prób.

Wszystkie powyższe objawy mają charakter czysto orientacyjny - po przeprowadzeniu analizy przyczynowo-skutkowej możemy na ich podstawie z dużą dozą dokładności (w praktyce jest to ok. 80 - 90% przypadków) określić źródło problemu i występujący rodzaj uszkodzenia.

Jak przeprowadzić wstępną diagnozę dysku

W sytuacji braku komunikacji z dyskiem (uszkodzenia mechaniczne, elektroniczne, uszkodzenie SA) - czyli w przypadkach, gdy nie mamy prawidłowej komunikacji z dyskiem (np. brak detekcji dysku w biosie) - jedyną diagnozę, którą możemy postawić - musimy przeprowadzić w oparciu o dane przyczynowo-skutkowe opisane powyżej. Niestety w większości tego typu przypadków, aby odzyskać dane będziemy zmuszeni do skorzystania z pomocy firm, które zajmują się w sposób profesjonalny odzyskiwaniem danych.

Natomiast w momencie, gdy komunikacja z dyskiem występuje, możemy pokusić się o przeprowadzenie wstępnej analizy dysku we własnym zakresie, w wyniku której możliwe będzie samodzielne odzyskanie danych bez potrzeby korzystania z pomocy osób trzecich.

Pierwszą czynnością, którą powinniśmy wykonać jest przygotowanie stanowiska pracy.

Oto co potrzebujemy:

• Komputer klasy PC z płytą główną wyprodukowaną od 2004 r. wzwyż (obsługa LBA 48).
• Zainstalowany system operacyjny typu Windows (najlepiej XP z ServicePack min.1).
• Zainstalowany napęd CD oraz FDD.

Do diagnostyki używamy komputera klasy PC z systemem Windows ze względu na największy występujący wybór aplikacji narzędziowych.

Jeżeli mamy prawidłową komunikację z dyskiem, pierwszą czynnością, którą powinniśmy zrobić jest przeskanowanie powierzchni roboczej dysku. Wyjątkiem jest sytuacja, gdy sam dysk jest sprawny, natomiast chcemy odzyskać utracone dane, które zostały wykasowane. W tym przypadku możemy przystąpić bezpośrednio do odzyskiwania danych.

Sprawdzenie powierzchni dysku najlepiej przeprowadzić dyskowymi programami narzędziowymi, działającymi w środowisku DOS, typu Data LifeGuard Diagnostics czy SeaTools. Godnymi polecenia są też komercyjne lub autorskie narzędzia dyskowe jak ByteBack czy MHDD. W każdym razie powinna to być aplikacja dosowa, obsługująca bezpośrednio INT 13 oraz mająca dostęp do dysku przez bios płyty. Skanowanie przeprowadzamy po uruchomieniu programu z bootowalnej dyskietki FDD lub płyty CD. W celu zwiększenia bezpieczeństwa należy odłączyć wszystkie dyski oprócz HDD problemowego.

UWAGA ! Przed przystąpieniem do skanowania w środowisku DOS należy upewnić się, że nasz źródłowy dysk pracuje w trybie read only - w przeciwnym razie może dojść do sytuacji przypadkowego nadpisania danych!

Wyniki skanowania możemy sklasyfikować następująco:

• Brak błędów na dysku - najprawdopodobniej mamy do czynienia z logicznym problemem utraty dostępu do danych (tak jak usunięcie danych). W celu odzyskania danych zaleca się wykonanie kopii binarnej nośnika i przystąpienia do czynności odzyskania danych (z tejże kopii).
• Pojawiające się pojedyncze błędy na dysku - w wyniku ich pojawienia się na dysku nastąpiła utrata dostępu do danych. W celu odzyskania danych zaleca się wykonanie kopii binarnej nośnika i przystąpienia do czynności odzyskania danych (z tejże kopii).
• Duża ilość błędów na dysku - należy stwierdzić, czy błędy pojawiają się w sposób uporządkowany. Np. pojawianie się błędów periodycznie (błędy występują non stop w większych grupach) w uporządkowanych odstępach może świadczyć o uszkodzeniu jednej z głowic. W takim przypadku odzyskanie danych w praktyce jest możliwe tylko w warunkach laboratoryjnych.

Pojawienie się wielu błędów, występujących w sposób chaotyczny (nieuporządkowany), świadczy o uszkodzeniu fizycznym wielu sektorów. Jeżeli jest to możliwe - zaleca się wykonanie kopii binarnej tych obszarów, które są pozbawione błędów - w następnej kolejności próbujemy skopiować obszary uszkodzone (na inny sprawny dysk). W przypadku wystąpienia bardzo dużej ilości błędów, zaleca się bezpośrednie użycie programu odzyskującego dane, bazującego na wstępnym skanowaniu tablicy alokacji (bez skanowania całego nośnika). UWAGA !!! W tym przypadku długotrwałe, bądź wielokrotne próby odzyskania danych, mogą w sposób fizyczny nieodwracalnie zniszczyć powierzchnię nośnika. Dlatego w przypadku wystąpienia potrzeby odzyskania ważnych danych (z punktu widzenia użytkownika), zaleca się przekazanie dysku do wyspecjalizowanej firmy.

Na koniec opisujemy przypadek związany z uszkodzoną strefą serwisową - przy prawidłowej detekcji najczęstszym objawem jest pojawienie się nieczytelnych sektorów praktycznie na całym obszarze dysku. Przy próbie odczytu jakichkolwiek sektorów (z początku, środka i końca dysku - kilkanaście prób pod różnymi adresami) otrzymujemy same błędy. W tej sytuacji mamy dwie możliwości: albo dysk jest chroniony hasłem albo posiada uszkodzony translator. Jeżeli nie znamy hasła (w przypadku jego uaktywnienia) lub uszkodzona jest część strefy serwisowej - wymagana jest interwencja specjalisty.

Po wykonaniu kopii binarnej uszkodzonego dysku możemy przejść do ostatniego procesu odzyskiwania danych. Polega on na zeskanowaniu programem typu Data Recovery wykonanej przez nas kopii i zapisaniu odzyskanych danych na inny nośnik. Nie będziemy podawać konkretnych nazw aplikacji typu Recovery ze względu na to, że każdy z nich posiada swoją specyfikę, która w jednych sytuacjach jest skuteczna, a w innych nie. Dlatego należy zacząć po kolei - od bezpłatnych aplikacji, poprzez komercyjne, na profesjonalnych kończąc. Większość aplikacji płatnych umożliwia próbne zeskanowanie dysku, tak aby użytkownik mógł się zorientować, czy dane są do odzyskania.

Czego nie wolno robić po utracie dostępu do danych

Istnieje pewien żelazny dekalog ograniczający margines działania, związany z czynnościami mającymi na celu odzyskiwanie danych. Podstawową zasadą jest niewpadanie w panikę oraz przeprowadzenie rzetelnej analizy sytuacji. Działania na oślep, bez zastanowienia oraz brak podstawowej wiedzy na temat procedur dotyczących postępowania w tego typu sytuacjach, skutkuje na ogół całkowitym zniszczeniem utraconych danych oraz późniejszym brakiem możliwości ich odzyskania, nawet przez profesjonalne firmy.

Do najczęstszych błędów należą:

• otwieranie twardego dysku w warunkach pozalaboratoryjnych (wymagana odpowiednia klasa czystości),
• wykonywanie jakichkolwiek czynności wewnątrz dysku,
• dokonywanie jakichkolwiek napraw w elektronice dysku (bez gruntownej wiedzy),
• zapisywanie jakichkolwiek informacji na dysku, z którego chcemy odzyskać dane,
• samodzielne próby naprawy dysku poprzez różnego rodzaju programy narzędziowe,
• przekazywanie dysku (w celu odzyskania danych) osobom lub firmom nieposiadającym stosownych kwalifikacji.

Jak zabezpieczyć się przed ponowną utratą dostępu do danych

Ktoś kiedyś powiedział, że użytkownicy komputerów dzielą się na tych, którzy robią kopie swoich danych oraz na tych którzy będą robić kopie... I w tym jednym zdaniu możemy chyba upatrywać puentę problemu pt. jak zabezpieczyć się przed utratą danych w przyszłości. Kopie, kopie, i jeszcze raz kopie. Nie ma niezawodnych systemów, każdy dysk, każdy serwer, każda macierz może ulec awarii.

Są dwa warunki skutecznego robienia kopii danych:

• Kopie danych muszą być wykonywane regularnie (bez wyjątku).
• W praktyce przyjmuje się, że trzy źródła danych całkowicie zabezpieczają nas przed ich utratą. Należy pamiętać, że muszą to być trzy, niezależne od siebie - w sposób fizyczny - lokalizacje zawierające cenne dane. I tak np. pierwsza kopia (a raczej oryginał) może być na dysku lub nośniku źródłowym (czyli na tym, na którym pracujemy). Pozostałe dwie kopie muszą być na innych nośnikach, takich jak dysk zewnętrzny, pendrive, bądź płyta CD/DVD.

Przestrzegając tych dwóch warunków możemy być pewni, że w wypadku awarii nie utracimy cennych danych. Sukcesywne wykonywanie kopii i dywersyfikacja nośników, zawierających nasze cenne dane, nam to gwarantuje.

Uwaga

Zarówno autor jak i redakcja nie ponoszą żadnej odpowiedzialności za jakiekolwiek szkody i straty powstałe w wyniku stosowanie się do wskazówek w niniejszym artykule. Nie zaleca się stosowania niniejszych metod w warunkach amatorskich, kiedy w grę wchodzi ryzyko utraty danych, mogące stanowić zagrożenie dla życia, zdrowia lub powodujące znaczne straty. W takiej sytuacji należy zwrócić się do wyspecjalizowanych firm typu Data Recovery.