Odzyskiwanie danych z kart pamięci

Jak zbudowana jest karta pamięci?

Karta pamięci skonstruowana jest z następujących elementów:

1. Interfejsu
2. Kontrolera pamięci
3. Pamięci wewnętrznej NAND Flash

Interfejs służy do komunikacji pomiędzy wbudowanym w kartę kontrolerem pamięci a urządzeniem, w którym jest ona wykorzystywana.

Kontroler pamięci zarządza przesyłaniem danych pomiędzy wewnętrzną pamięcią NAND Flash a urządzeniem ją obsługującym oraz zapisywaniem danych w pamięci NAND Flash.

Pamięć wewnętrzna NAND Flash podobnie jak w dyskach SSD przechowuje dane.

Różnica pomiędzy dyskiem SSD a kartą pamięci jest w zastosowanym kontrolerze. Średniej klasy dyski SSD osiągają prędkości zapisu i odczytu na poziomie 460-520 MB/s, najszybsze karty pamięci zapisują dane z szybkością do 90MB/s a odczytują do 160MB/s.

Starsze konstrukcje kart w formacie SD były budowane z elementów dyskretnych, czyli prościej mówiąc były osobno układ kontrolera, pamięć NAND Flash, elementy dodatkowe jak rezystory czy kondensatory. Obecnie większość kart SD oraz wszystkie w formacie mikroSD są to karty skonstruowane w technologii monolitycznej, czyli wszystkie układy są w jednej kostce a jedynie złącze jest czasem (i to już coraz rzadziej) dolutowane.

Na poniższym zdjęciu schemat blokowy karty pamięci SD:

Utrata danych z karty pamięci

Urządzenia zbudowane z układów flash nie należą do nośników, z którymi nic złego nie może się stać, również istnieje prawdopodobieństwu utraty danych.

W przypadku uszkodzonej kart pamięci możemy wydzielić dwa rodzaje braku dostępu do danych:

1.Logiczne, związane z przypadkowym lub celowym usunięciem danych prze osobę fizyczną lub przez urządzenie, w którym karta była wykorzystywana

Komputer widzi oryginalną pojemność karty. Przyczyną uszkodzenia może być:

• Usunięcie danych przez użytkownika lub oprogramowanie
• Sformatowanie karty pamięci
• Brak przyczyny, dla której nie widzimy danych

2.Fizyczne, gdzie możemy mieć uszkodzony interfejs po stronie wejścia/wyjścia karty, uszkodzony kontroler pamięci lub uszkodzenie pamięci NAND Flash.

Komputer nie widzi oryginalnej pojemności karty lub wcale jej nie wykrywa.

Uszkodzenia interfejsu następują najczęściej podczas wkładania i wyciągania karty ze slotu w urządzeniu ją obsługującym. Jeżeli jest to możliwe to kartę powinno się wkładać, gdy jest odłączone zasilanie portu lub jeżeli można poprzez wcześniejsze zaznaczenie odłączenia portu (w komputerach bezpieczne odłączenie).

Proces odzyskiwania danych z kart pamięci

Przypadki logiczne

W przypadkach logicznych mamy do czynienia ze sprawną fizycznie kartą pamięci. Odzyskiwanie danych sprowadza się do przeszukiwania pamięci, aby znaleźć zaginione dane. Pliki giną z różnych powodów, które są w ogromnej większości przypadków spowodowane przez użytkownika. Najczęściej są to działania niezamierzone, gdy ktoś przypadkowo usuwa pliki lub formatuje kartę.

Formatowanie karty

Formatowanie karty w komputerze najczęściej nie jest w 100% destrukcyjne, natomiast ta sama operacja w nowych aparatach fotograficznych powoduje całkowite wyczyszczenie pamięci karty. Spowodowane jest to konstrukcją stosowanej pamięci NAND, która aby móc zapisać w niej nowe dane musi być uprzednio wyczyszczona. Ponieważ operacja kasowania komórek pamięci jest około 10 krotnie dłuższa niż operacja zapisu, to by móc wykorzystywać w pełni możliwości karty jak i aparatów ta musi być uprzednio poprawnie i w pełni wyczyszczona.

Czasami w usuwaniu lub formatowaniu karty „wyręczają” nas czynniki zewnętrzne. Mogą to być nie do końca przeczytane pytania ze strony systemu operacyjnego czy usunąć lub sformatować kartę.  Nie czytając od razu zgadzamy się na to co jest w pytaniu, naciskamy „Tak” i dane znikają.

Tryby odzyskiwania:

Tryb katalogowy

Przeszukiwanie może być w trybie katalogowym. Wtedy w wyniku otrzymujemy zestawienie struktury katalogowej wraz z oryginalnymi nazwami katalogów i plików w nich występujących. Aby odzyskać utracone dane w trybie katalogowym musi istnieć MFT. Jest to ukryty plik o nazwie MFT, w którym są zawarte wszystkie informacje dotyczące każdego katalogu (data utworzenia, nazwa pliku, ścieżka dostępu) i pliku umieszczonego na partycji. Każda partycja ma swoje własne pliki MFT.

Jeżeli nie można odnaleźć MFT i tym samym odzyskać danych w trybie katalogowym to przechodzimy do trybu sygnaturowego.

Tryb sygnaturowy

Odzyskiwanie w trybie sygnaturowym wiąże się z utratą struktury katalogowej a dane odzyskiwane są po nagłówkach (sygnaturach) poszczególnych rodzajów plików. Wtedy otrzymujemy katalogi, w których są pogrupowane pliki wg ich rodzajów, osobno zdjęcia w formacie jpg, osobno pliki dokumentów pdf, osobno arkusze kalkulacyjne Excela i osobno Libre Calc. W trakcie takiego odzyskiwania oryginalne nazwy plików najczęściej giną, chociaż jeżeli w strukturze pliku jest zapisana jego nazwa to może być ona odzyskana. Wynik wyszukiwania w trybie sygnaturowym jest obarczony większym błędem niż w trybie katalogowym, ponieważ w przypadku dużej ilości kasowanych wcześniej danych może trafić się sporo nagłówków nieistniejących plików (czyli mamy początek pliku, ale nie ma jego końca, co sprawia, że jest nieczytelny, ale w wyniku się pokazuje).

Przypadki fizyczne

W przypadku, gdy komputer lub urządzenie nie widzi karty pamięci wcale lub widzi zaniżoną pojemność, to mamy najczęściej do czynienia z uszkodzeniem technicznym. W 99% przypadków jest to uszkodzony kontroler pamięci karty. Jeżeli dojdzie do awarii interfejsu lub kontrolera pamięci to wtedy, aby odzyskać dane musimy odczytać bezpośrednio pamięć NAND Flash, jest to metoda “chip off”. W kartach z SD lub CF z elementami dyskretnymi pamięć możemy odlutować i odczytać w czytniku. Jeżeli urządzenie jest skonstruowane w technologii monolitycznej należy dostać się do tzw. pinów technicznych. W zależności od producenta, karty, modelu a czasem i daty produkcji lub fabryki, w której został dany element wyprodukowany piny mogą mieć mają różne wyprowadzenia. Należy się do nich podłączyć a następnie zgrać całą zawartość pamięci. Po zgraniu należy odwrócić procesy jakie zostały wykonane przez kontroler i złożyć otrzymane dane w taki sposób, aby oprogramowanie użytkowe mogło je poprawnie odczytać. Tak naprawdę musimy odwrócić to, co kontroler pamięci stworzył zapisując dane. Ponieważ pamięci NAND mają prędkości odczytu na poziomie około 5-10MB a karty SD mają prędkości 30MB do nawet 90MB to kontroler stosuje różnego rodzaju sztuczki matematyczne, które mają móc tą szybkość zwiększyć. Oprogramowanie wspomagające w tych czynnościach nie działa automatycznie, to nasz inżynier musi w taki sposób dobierać działania, aby dane można było w końcu prawidłowo odczytać.

Pamięci NAND Flash użyte w kartach pamięci są to te same pamięci co w dyskach SSD, z tymi samymi problemami, tylko umieszczone w innych obudowach. I tu również wielkość pamięci NAND jest o około 30% większa niż pamięci dostępnej dla użytkownika.

Pracownicy firmy DATA Lab dysponują doświadczeniem i wykwalifikowaną wiedzą, pracują na wysokiej jakości sprzętach i technologii pozwalającej na odzyskiwanie danych z nośników zbudowanych z układów NAND (flash).

Odzyskiwanie danych z kart pamięci:

Typy kart pamięci - compact flash (CF), Smart Media (SM), PC Cart, Memory Stick (MS), Multi Media Cart (MMC), Reduced Size Multimedia Card, MMCmicro Card, Secure Digital Card (SD), Secure Digital eXtended Capacity Card (SDXC), miniSD Card (mini SD), microSD Card (micro SD), xD-Picture Card (xD), xD-Picture Card typu M (xDM), xD-Picture Card typu H (xDH)