Odzyskiwanie danych z dysków HDD

Budowa dysku HDD:

1. Talerz dysku - Dysk składa się z jednego lub wielu talerzy zamocowanych jeden nad drugim na obracającej się osi. Są one wykonane najczęściej z warstwy szkła lub aluminium na podłożu ceramicznym , pokryte cienką warstwą (kilka mikrometrów) materiału ferromagnetycznego, o wypolerowanej powierzchni. Dzięki temu głowice mogą odczytywać i zapisywać ładunki magnetyczne. Talerze to podstawowy element dysku- na nich zapisywane są informacje. Standardowa prędkość obrotu talerza wynosi 5400 i 7200 obr/min czyli 90-120 obr/sek! Prędkość obrotu ma wpływ na właściwą pracę urządzenia.

2. Pozycjoner wraz z głowicą - Po obu stronach talerza na specjalnym ramieniu zwanym "grzebieniem" zamocowane są głowice do odczytu i zapisu. W czasie, kiedy talerze nie pracują głowice pozostają w stanie spoczynku i są oparte o oś talerza bądź zatrzymują się za zewnątrz talerzy na tzw. rampie (2a). W czasie obrotów talerza głowice unoszą się nad nim dzięki powstałej poduszce powietrznej i nie stykają się z powierzchnią magnetyczną nie powodując jej uszkodzeń. Głowice dysku twardego mogą poruszać się tam i z powrotem nad powierzchnią talerzy z bardzo dużą prędkością w celu wyszukania/zapisania określonych sektorów danych. Ponieważ głowice dysku twardego są tak wrażliwe, ważne jest, aby dyski twarde nie były poddawane dużym wstrząsom fizycznym, które mogą spowodować ich uszkodzenie lub nieprawidłowe ustawienie.

Ruchome ramię, umożliwiające pracę głowic to pozycjoner. Pozycjoner odgrywa bardzo ważną rolę w kwestii prawidłowego ułożenia głowic względem talerzy. Nawet niewielkie przesunięcie w efekcie nie da nam prawidłowego zapisu danych tylko niemożliwe do odczytu znaki.

3. Magnes neodymowy (góra, dół) - Magnesy te wytwarzają bardzo silne pole magnetyczne, co przekłada się na dużą siłę przyciągania.

4. Filtr recyrkulacyjny - to element filtrujący znajdujący się wewnątrz napędu, którego głównym zadaniem jest usuwanie cząstek zanieczyszczeń z powietrza wewnętrznego, które mogłyby wpływać na działanie mechanizmu napędu.

5. Silnik dysku

6. Połączenie głowicy z elektroniką

najważniejsze części podzespołu PCB, czyli płyty z połączeniami podzespołów elektronicznych (zawiera krytyczne informacje, które są potrzebne do prawidłowego działania dysku, w postaci wyspecjalizowanego mikrokodu):

• układ scalony z pamięcią ROM – Pamięć ta zawiera część firmware (oprogramowania układowego) - podstawowe parametry dysku,
• kontroler silnika SM i VCM- Kontroluje obroty silnika talerzy i ruchy pozycjonera głowic,
• Pamięć podręczna RAM – Przetrzymuje chwilowe dane zapisu i odczytu,
• Procesor sygnałowy MCU – podczas operacji odczytu informacji przez głowice przetwarza sygnały analogowe na cyfrowe i koduje informacje cyfrowe na sygnały analogowe podczas zapisu danych przez głowice.  MCU kontroluje wszystkie procesy dysku twardego łącznie z obsługą interfejsu,
• diody zabezpieczające przez przepięciem- ochrona płyty elektroniki i innych podzespołów nośnika przed skokami napięcia z zewnątrz,
• czujnik przeciążeń - (ang. Shock sensor, G-sensor) – czujnik, który wykrywa nadmierne wstrząsy (przeciążenia) nośnika. Rejestruje je i w razie dużych wstrząsów, potrafi wysyłać sygnał do kontrolera pozycjonera, który z kolei parkuje głowice w strefie parkowania lub nawet zatrzyma talerze dysku.
• Interfejs sygnałowy - np. ATA, SATA, USB, SCSI, SAS

Przyczyny utraty danych z dysku HDD

Uszkodzenia logiczne

Współczesne dyski twarde są dość niezawodne, zwłaszcza w porównaniu ze starszymi modelami, ale nadal są to urządzenia mechaniczne, a takie nie mogą działać w nieskończoność.

Utrata danych na dyskach twardych może nastąpić z powodów wynikających z błędów użytkownika np. skasowanie danych, usuniecie danych z kosza, anomalii działania oprogramowania, sabotażu itp.  W przypadku utraty danych z powyższych przyczyn, ale w sytuacji, kiedy urządzenie/nośnik jest cały czas sprawny technicznie – mamy do czynienia z uszkodzeniami tzw. logicznymi.

To pierwsza grupa uszkodzeń.

Uszkodzenia fizyczne

Do drugiej grupy przynależą wszystkie przypadki, w których to nośnik danych, dysk twardy ulega uszkodzeniu i to jest bezpośrednią przyczyną utraty danych.

Taki typ uszkodzeń nazywamy potocznie fizycznymi, ale w naszej firmowej terminologii to uszkodzenia techniczne, o czym przeczytacie dalej.

Najczęściej dyski twarde ulegają uszkodzeniu podczas uderzeń, upadków, wstrząsów występujących w trakcie pracy tego urządzenia. Dyski twarde są tak zaprojektowane, że w trakcie wyłączenia ich podatność na wstrząsy jest mniejsza, natomiast w momencie pracy drastycznie wzrasta i nawet małe wstrząsy potrafią doprowadzić do uszkodzenia dysku. Głowica odczytująco-zapisująca dysku w trakcie pracy unosi się na „poduszce powietrznej” na wysokości kilku mikronów nad talerzem dysku. Wstrząs może doprowadzić do uderzenia głowicy o talerz, a co za tym idzie do jej zniszczenia, ale też odwrotnie do fizycznego zniszczenia miejsca uderzenia, a w przypadkach katastrofalnych, do opuszczenia się ramienia głowicy na rozpędzony talerz i wyszlifowania powierzchni talerza. Unoszący się w komorze dysku pył, przedostaje się na inne powierzchnie kolejnych talerzy i najczęściej doprowadza do kolejnych zapiłów i nieodzyskiwalnego zniszczenia danych na dysku. To przypadki ostateczne, ale trzeba przyznać ze zdarzają się dosyć często. Tym bardziej, że nagminne są próby doraźnego odczytu już uszkodzonego dysku, co nierzadko prowadzi do pogłębiania się początkowych, niewielkich uszkodzeń na krytyczne.

Przypadki tego typu uszkodzeń są dosyć proste do wstępnej oceny możliwości odzyskania utraconych danych. Jeżeli dysk twardy wydaje - z delikatnego szelestu pracy - odgłosy piszczenia, skrobania, chrobotania to znak ze jest fatalnie. W tym momencie należy natychmiast wyłączyć urządzenie i bezzwłocznie udać się do profesjonalnej firmy odzyskującej dane (branża data recovery). Może nie wszystko stracone.

Mniej krytycznym uszkodzeniem są sytuacje tzw. postępującej degradacji głowic, mogącej być następstwem znacznie wcześniejszego wstrząsu dysku i w konsekwencji powolnego zużywania się głowicy/głowic.

Bywają również przypadki gwałtownego odłączenia się zasilania od dysku powodującego w niektórych przypadkach brak możliwości powrotu ramienia głowicy na rampę lub do tzw. landing zone. W konsekwencji głowice osiadają na talerzach i przyklejają się do nich.

Powyżej opisane uszkodzenie to typowe uszkodzenie fizyczne i w naszej wewnętrznej nomenklaturze będzie predysponowane do wykonania na nim analizy technicznej, inwazyjnej.

Lista uszkodzeń dysków twardych nie otwiera się oczywiście i nie zamyka na tak drastycznych sytuacjach.

Mamy też do czynienia z uszkodzeniami spowodowanymi uszkodzeniem PCB (elektroniki) dysku (po przepięciach, burzach, uszkodzeniach zasilacza komputerowego itp.). Są to uszkodzenia układów elektroniki wewnętrznej dysku (preamplifier/przedwzmacniacz przy głowicach). W katalogu uszkodzeń są też takie, gdzie w trakcie pracy urządzenia zachodzą modyfikacje oprogramowania dysku i mają wpływ na modyfikacje mikroprogramowania układowego (firmware) lub modyfikacje i uszkodzenie modułów oprogramowania niezbędnych do jego poprawnego działania.

Na tej liście nie może zabraknąć też uszkodzeń spowodowanych tzw. bad sektorami.

Wszystkie powyższe to też uszkodzenia techniczne i będą one przez nas analizowane w procedurach technicznych, ale nieinwazyjnych.

Co dalej?

Jak wygląda proces odzyskiwania danych z dysku HDD?

Kiedy trafia do nas dysk twardy o przesłankach do uszkodzeń technicznych, na początku najważniejszy jest wywiad z jego użytkownikiem. Im więcej dowiemy się o zaobserwowanych objawach, o wykonywanych kolejnych czynnościach, tym dla danych tego dysku lepiej. Liczymy wtedy na uczciwość ze strony Klienta i pełne przedstawienie sytuacji. Niedopuszczalnym jest wprowadzanie nas w błąd, że dysk był inaczej traktowany niż był w rzeczywistości. Część informacji daje się zdiagnozować w trakcie rozmowy, inspekcji wizualnej dysku. Widać wtedy od razu czy nie było np.(niepotrzebnej) ingerencji do wewnątrz dysku (wszak każdy z nas posiada gdzieś tam w domu komorę laminarną – nieprawdaż :). Na poniższym zdjęciu odcisk palców na talerzu po nieprofesjonalnej ingerencji . Jednak większość przypadków jest zgodna z opisem, więc po skatalogowaniu informacji i potrzeb Klienta trafiają do laboratorium.

A co w trybach technicznych inwazyjnych?

Po kolei.      

Przyklejone głowice tzw. sklejka. Czyli słyszymy charakterystyczne dźwięki dochodzące z wewnątrz podłączonego dysku. Rozkręcamy dysk w komorze bezpyłowej i ...odklejamy głowice.

Hola hola. Brzmi prosto, na YT też wygląda to trywialnie, tylko… nie zawsze są to powtarzalne przypadki. Czasami głowice są zerwane po przyklejeniu, czasami zerwą się w trakcie próby odklejenia. Jest wiele procedur powodowania umieszczenia ramienia pozycjonera z głowicami na właściwym miejscu. Jeżeli posiadamy, (my posiadamy) narzędzia do takich operacji to z nich korzystamy. Po takiej operacji skręcamy dysk i chwila prawdy.

Podłączamy do analizatora i uruchomienie. Jeżeli dysk wchodzi na obroty i oddaje pełen passport (ID, numer seryjny, FW, pojemność), odczytuje poprawnie moduły, to jest szansa, że będzie dobrze. Czy będzie, będziemy wiedzieli w trakcie kolejnej procedury, czyli idziemy tam, gdzie był przystanek i jedziemy dalej z indeksacja sektorową itp.

A jeżeli po odpaleniu dysku mamy klikanie i brak kalibracji, to znak ze mamy niestety uszkodzone głowice.

Odzysk danych a uszkodzone głowice

Procedura dla uszkodzonych głowic jest jednakowa dla każdego takiego przypadku.

Co najpierw (zakładamy, że mamy nienaruszone talerze, bez rys, bez uszkodzeń). Musimy dopasować odpowiedni, zastępczy zestaw głowic. Każdy producent, każdy dysk ma swoje indywidualne „zachcianki”. Trzeba je dokładnie znać, aby dobrać taki zestaw głowic, który da nam gwarancje na skalibrowanie dysku do pracy. Informacja o fakcie do klienta i po akceptacji zakup lub dobranie odpowiedniego donora (posiadamy we własnych magazynach kilka tysięcy dysków z głowicami oczekującymi na ratowanie danych. Przydają się szczególnie wtedy, kiedy czas odzyskania jest znaczący i ujawnia się wtedy przewaga profesjonalnego laboratorium, które posiada natychmiast niezbędne podzespoły do rozpoczęcia procedury odzyskania danych. Może warto o tym pamiętać szukając tylko dobrej ceny:).

Następuje więc wymiana głowic (poniższe zdjęcie) . Aby dokonać tego w sposób bezpieczny i dla głowic, i dla dysku warto być uzbrojonym w profesjonalne „grzebienie” do wymiany głowic. Najlepiej wykonane precyzyjnie z materiałów o neutralnych właściwościach elektrycznych. No i oczywiście dopasowanych do konkretnego rozmiaru głowic. Tak, tak. Posiadamy grzebienie do większości dysków występujących na rynku. A do tych które są nietypowe? Mamy patenty też i na nie. I to działa!!!

Głowice wymienione, dysk „zagadał” więc indeksacja sektorowa…

Na zdjęciu uszkodzone - wygięte głowice

Kolejne wyzwanie w odzyskiwaniu danych – zatarte łożysko

A jakże – zdarza się, szczególnie w starszych dyskach, ale też i w dyskach SCSI i SAS. Dla nas dość częste przypadki. Co wtedy?

Albo przełożenie/wymiana łożyska, albo przeniesienie talerzy. Oba przypadki możliwe do wykonania w naszym laboratorium. Najczęściej wykonujemy procedurę przeniesienia talerzy do nowej komory dysku. Oczywiście potrzebny jest donor (był opis) oraz tzw. kieliszki do spięcia i utrzymania talerzy w jednym ustawieniu (nie w każdym dysku działa ręczne przekładanie talerzy, a w których działa...21 lat praktyki i też będziecie wiedzieli). Wraz z przeniesieniem, osadzeniem talerzy przenosimy głowice (tutaj z doświadczenia wychodzi nam, że najczęściej bywają sprawne) oraz PCB. Podłączmy. Jeżeli działa to indeksacja sektorów… Jeżeli nie, to np. wymiana głowic.

A teraz hardcore – uszkodzone talerze:

No ale przecież nie można odzyskiwać danych, kiedy talerze noszą ślady „zapiłowań” , uszkodzeń?!

I tak i nie.

Zależy, gdzie te uszkodzenia, ile mamy talerzy w dysku (no bo jeżeli dysk ma 4 talerze i 8 głowic, a jeden jest uszkodzony, to może jednak z tych 7 powierzchni można coś odtworzyć :).

W pierwszym kroku dokładna inspekcja talerzy (niekiedy można, niekiedy nie). Sprawdzenie w odpowiednim świetle stanu talerzy, określenie czy powierzchnie odpowiedzialne za kalibracje dysku są poprawne oraz których głowic nie używać. Posiadamy tez specjalne separatory, które pozwalają głowicom ominąć strefy uszkodzeń, jeżeli mogą być zastosowane to stosujemy.

W sytuacji uszkodzeń talerzy w 99% przypadków uszkodzeniu ulegają też głowice, więc dochodzi procedura ich wymiany (opisana powyżej tego przypadku). Po wykonaniu wszystkich działań przechodzimy do indeksacji sektorowej.

Indeksacja sektorowa dysku, wyodrębnienie uszkodzeń, określenie struktury logicznej danych na dysku, przeniesienie adresów zaindeksowanych błędnych sektorów na możliwe do odzyskania dane, wygenerowanie raportu danych możliwych do odzyskania i tych z błędami oraz przedstawienie ich Klientowi. Po akceptacji – odzysk. Proste?! Pewnie, tylko okraszone latami zdobywania doświadczeń (my działamy już ponad 21 lat) oraz posiadania odpowiedniego zaplecza laboratoryjnego.

Opisane powyżej i ogólnikowo procedury są stosowane przez nas w codziennej pracy. Procedury te miksują się niejednokrotnie ze sobą, nie są tak jednoznaczne jak w powyższych opisach. Wielokrotnie spotykaliśmy się z sytuacjami, kiedy potencjalnie te same warunki początkowe generowały zupełnie odmienne sposoby odtworzenia danych. Nie ma jednej reguły, jest kompilacja wiedzy, doświadczenia, zasobów, oprogramowania, sprzętu i niejednokrotnie tego ...palca Bożego, aby wynik końcowy satysfakcjonował Klienta.

Ale działamy z sukcesem już ponad 24 lata więc chyba "coś" potrafimy.

Firma DATA Lab zatrudnia kwalifikowanych specjalistów, posiada urządzenia i technologie pozwalające na odzyskiwanie danych z dysków twardych niezależnie od przyczyny i stopnia skomplikowania przypadku. Usługi wykonujemy we własnym, specjalistycznym laboratorium, w którym znajduje się obszar (komora laminarna) o podwyższonej klasie czystości powietrza umożliwiając otwieranie dysków twardych w warunkach sterylnej czystości.

Pamiętajmy aby nie robić niczego na własną rękę. Próba nieumiejętnego otwarcia obudowy dysku może bowiem zwiększyć rozmiar szkód i uniemożliwić dostęp do pełnej zawartości pamięci. Otwarcie korpusu samego dysku w warunkach innych niż komora laminarna powoduje zazwyczaj nieodwracalne szkody. Dotyczy to również prób "domowego" odzyskiwania danych za pomocą np nieprofesjonalnych programów do odzyskiwania danych.

Odzyskiwanie danych z dysków twardych HDD:
rozmiar: 1,8", 2,5", 3,5"
typ interfejsu: ATA, S-ATA, USB, SCSI, SAS, FIBER CHANNEL