Текст книги "Восстановление данных на 100%"

MHDD – небольшая, но мощная бесплатная программа, предназначенная для работы с винчестерами на самом низком уровне (в обход BIOS). Она может диагностировать накопители, выполнять чтение и запись произвольных секторов, управлять системой SMART и многое другое.

Дистрибутив программы можно найти на сайте разработчика http://www.ihdd.ru. Можно скачать MHDD в виде образа компакт-диска (файл mhdd32verx.x.iso) или самораспаковывающегося образа дискеты. На том же сайте находится новая версия документации к программе. По умолчанию программа работает с винчестером, подключенным к вторичному (Secondary) каналу IDE в качестве первого устройства (Master). Она способна работать и с дисками SATA или SCSI. Функций у программы MHDD много. Вот лишь несколько действий.

• Получение сведений о диске.

• Сканирование поверхности диска.

• Сохранение образа диска в файл.

Эти операции объединяет то, что они не связаны с записью данных на проверяемый диск, то есть являются неразрушающими. Делать что-либо еще с диском, с которого пользователь собирается восстанавливать информацию, не стоит. Основная задача – лишь оценить ситуацию, а не проверять диск, что является основным назначением программы MHDD.

1. Запишите программу на компакт-диск, а затем загрузите компьютер с него. На экране появится меню выбора накопителей (рис. 2.6). Выберите диск, который нужно исследовать, и введите его номер по списку. Можно вызвать это меню в любое время нажатием клавиш Shift+F3.

Рис. 2.6. Выбор диска

2. Указав диск (например, 3), нажмите клавишу Enter. Программа готова работать с этим винчестером. В верхней части экрана расположены регистры, или флаги. Любое IDE или SATA устройство должно выдать сообщение «DRIVE READY» и «DRIVE SEEK COMPLETE», то есть должны быть подсвечены флаги DRDY и DRSC. Флаг BUSY сигнализирует, что накопитель выполняет какую-либо операцию, например чтение или запись.

Получить справку о командах можно в любой момент, нажав клавишу F1. Тем не менее многие предпочитают заранее распечатать список команд и положить этот листок рядом с компьютером – так удобнее.

Все команды вводятся с клавиатуры, регистр роли не играет. Ввод любой команды завершается нажатием клавиши Enter. Для отмены или прерывания выполнения команды служит клавиша Esc.

3. Для получения информации о диске введите команду ID. Другая команда, EID, выводит более подробные сведения (рис. 2.7).

Рис. 2.7. Информация о диске

4. Для сканирования поверхности нажмите клавишу F4 или введите команду SCAN и нажмите клавишу Enter. Появится меню, в котором можно изменить некоторые настройки. По умолчанию номер начального сектора равен нулю (стартовый сектор). Номер конечного сектора равен максимально возможному (конец диска). Все функции, которые могут изменить или разрушить данные на диске (Remap, Erase Delays), по умолчанию выключены. Для начала сканирования вновь нажмите клавишу F4.

MHDD сканирует накопители блоками. Для накопителей IDE/SATA один блок равен 255 секторам (130 560 байт). По мере сканирования на экране строится карта блоков (рис. 2.8). Справа от нее приводится «легенда». Чем меньше промежуток времени доступа к блоку, тем лучше. Если при обращении к блоку возникают проблемы, то время увеличивается, если же возникает ошибка, то на карте отображается соответствующий символ.

Рис. 2.8. Сканирование поверхности

Все, что перечислено в легенде ниже вопросительного знака (превышения допустимого времени обращения), является разными вариантами нечитаемых блоков. Расшифровка этих ошибок следующая:

• UNC – Uncorrectable Error, неисправимая ошибка;

• ABRT – Abort, команда отвергнута;

• IDNF – Sector ID Not found, идентификатор сектора не найден;

• AMNF – Adress Mark Not Found, адресная метка не найдена;

• T0NF – Track 0 Not Found, невозможно найти нулевую дорожку;

• BBK – Bad BlocK, «плохой» блок без указания причины.

Главное здесь – понимать, что все это результаты физических дефектов внутри гермоблока. Важно решить, как сохранить данные, а не как ремонтировать винчестер. Осторожность при сканировании заключается в том, чтобы не увлекаться диагностикой. Впрочем, вид карты может подсказать некоторые выводы.

• Регулярно повторяющиеся блоки с увеличенным временем доступа – результат позиционирования головок на очередной цилиндр. Это совершенно нормально.

• Беспорядочно разбросанные блоки с разного рода дефектами – признак общей деградации привода. Пластины, подшипники или головки изношены. Возможно, винчестер был «побит» либо перегрет.

• «Пятно», в середине которого находятся абсолютно нечитаемые блоки, окруженные блоками с увеличенным временем доступа, – признак увеличивающегося дефекта на пластине. Надо срочно извлекать образ.

• Строго и регулярно повторяющиеся одинаковые группы недоступных блоков – признак неисправной головки. При желании можно даже вычислить эту головку исходя из физической геометрии диска. Если на поверхности пластины, обслуживаемой этой головкой, находятся самые важные данные, винчестер нужно ремонтировать в специальных условиях. Возможно, пластина еще не исцарапана окончательно.

Полезная функция – контроль акустического шума (Acoustic Management). Шум, разумеется, не волнует пользователя. Однако уровень шума, издаваемого при перемещении головок, уменьшается путем снижения скорости их перемещения. Для неисправного винчестера это может оказаться мерой, способной облегчить режим его работы.

1. Введите команду AAM и нажмите клавишу Enter. Здесь можно увидеть возможные значения параметра, поддерживаемые этим винчестером.

2. Введите значение, соответствующее самой тихой (silent) работе, и нажмите клавишу Enter. Это немного поможет винчестеру, особенно блоку головок, на время дальнейших манипуляций.

На этих действиях диагностика заканчивается и начинается восстановление данных. Программа MHDD способна копировать отдельные сектора или целый диск в файл или в набор файлов. Дефектные нечитаемые сектора программа пропускает.

Команда TOF копирует указанный диапазон секторов (по умолчанию от нулевого до последнего сектора этого диска) в один файл. Размер файла образа не может превышать 2 Гбайт. Если пользователь решил создать образ диска размером более 2 Гбайт, то лучше использовать команду ATOF, так как она умеет автоматически делить образы на отдельные файлы.

1. Введите команду TOF и нажмите клавишу Enter. Появится приглашение Fast Disk Image Creator (рис. 2.9).

2. Введите номер начального сектора и нажмите клавишу Enter.

3. Введите номер последнего сектора и нажмите клавишу Enter.

Рис. 2.9. Создание образа командой TOF

4. Введите путь и имя файла образа, который надо создать. Имя произвольное, а файл нужно создавать на другом физическом диске.

5. Для начала копирования нажмите клавишу Enter.

По завершении копирования можно отключить проблемный диск и заниматься уже не им, а файлом – его посекторной копией. Это защитит диск от дальнейших повреждений: если винчестер начал давать сбои, каждая лишняя минута работы способна добавить новые bad-блоки на пластины или окончательно испортить поврежденную головку. Свое общение с проблемным диском пользователю нужно начинать именно с копирования, а диагностику отложить.

Какой программой делать копию – вопрос открытый. Окончательного ответа на него нет. Программа MHDD и очень похожая на нее программа Victoria создают меньше проблем при чтении винчестеров с многочисленными физическими дефектами. Такими проблемами могут быть зависание самой программы либо всего компьютера при попытках чтения некоторых сбойных секторов. С другой стороны, программа R-Studio несколько удобнее, тем более что извлекать данные из образа все равно нужно с помощью этой программы. Вывод: можно пробовать использование нескольких программ.

Программа Victoria является альтернативой более старой и известной утилите MHDD и похожа на нее по интерфейсу и возможностям (рис. 2.10). На официальном сайте http://hdd-911.com можно найти дистрибутив и документацию. Отличительная черта программы Victoria – русскоязычный интерфейс. Помимо бесплатной, существует и платная версия с дополнительными функциями: например, режимом «длинного чтения», который иногда помогает извлечь информацию из поврежденных секторов винчестеров IBM.

Рис. 2.10. Окно программы Victoria

Обычно программа запускается со специально созданного загрузочного диска. Автор программы предусмотрел ее запуск и из среды Windows. При этом нужны дополнительные настройки операционной системы Windows.

1. Отключите в Диспетчере устройств тот канал IDE, к которому подключен тестируемый винчестер. Это нужно для того, чтобы программа могла обращаться к портам HDD напрямую.

2. Установите драйвер UserPort. Его дистрибутив можно скачать по адресу http://hdd-911.com/downloads/UserPort.zip. Подробные инструкции по установке и настройке приведены на сайте.

Создана также программа Victoria для Windows – это приложение с привычным графическим оконным интерфейсом (рис. 2.11). Пока проект находится на стадии бета-тестирования, но уже сейчас получил положительные отзывы.

Рис. 2.11. Окно программы Victoria для Windows

Как и DOS-версия, эта программа предназначена в основном для тестирования и программного ремонта дисков. Ее интересной особенностью является редактор двоичных данных с возможностью просмотра таблиц разделов (вкладка Advanced). Вместе с тем в бесплатной версии отключена функция сохранения посекторного образа диска в файл.

Тематика этого подраздела – инструментарий специалистов, которые регулярно восстанавливают данные с различных носителей. Если рассмотренные ранее программные средства можно сравнить с пистолетом, а паяльный фен – с ручным пулеметом, то оснащение для ремонта гермоблоков или аппаратно-программный комплекс скорее похожи на артиллерийское вооружение или танк. Эти средства позволяют решить почти любую проблему с винчестером, вплоть до рассыпавшейся головки или заклинившего сервопривода, но окупятся они лишь при систематическом использовании. Для такого мощного дорогостоящего оборудования нужны и достойные «групповые» цели – например, пять или десять жестких дисков, которые приносят на восстановление каждый день.

Непременное условие для вскрытия и любых манипуляций внутри гермоблока – наличие «чистой комнаты», помещения, в котором устранены любые источники взвешенных частиц (пыли), воздух многократно и непрерывно фильтруется, а работники носят спецодежду, напоминающую скафандр. Площадь комнаты вместе со шлюзами составляет не менее 5 м². Существуют и герметичные боксы с прозрачной крышкой и «рукавами». Бокс стоит около $1000. Он занимает немного места, однако работать в нем с винчестером довольно неудобно.

Второе важное условие – навыки. Инструмент для ремонта элементов гермоблока нужен примерно такой же, как для ремонта часов и сотовых телефонов и который применяется в стоматологии. Найти такой инструмент – не проблема. Но необходимую для замены блока головок точность движений и твердость руки можно выработать, лишь испортив перед этим немало опытных винчестеров.

• Основная операция – замена блока головок в сборе с предусилителем-коммутатором (Slider Assembly). Подробное описание процедуры можно найти в Интернете по адресу http://www.ihdd.ru/hdd-headstack-replacement.

• При заклинивании шпинделя или залипании головок можно, вскрыв гермоблок, осторожно сдвинуть эти элементы. Во многих случаях винчестер затем успешно стартует и может проработать длительное время.

Коллекция винчестеров есть в любом сервисном центре, где профессионально восстанавливают данные или ремонтируют диски. Как правило, поиск и покупка диска-донора, с которого будет взят контроллер или блок головок, возлагается на самого заказчика. И чем больше в распоряжении мастера разных запчастей, тем выше вероятность сразу найти нужную, не говоря уже о сокращении сроков ремонта.

Аппаратно-программные комплексы представляют собой специализированные контроллеры SATA или IDE с набором кабелей и переходников, а также ряд специализированных программ, созданных для работы через этот контроллер. В состав комплекса обычно входит и база данных с сервисными кодами, прошивками и другой информацией для программного ремонта определенных моделей винчестеров.

Главное отличие специализированных контроллеров от обычных состоит в том, что обращение через них к областям диска, способным давать сбои, не вызывает зависаний компьютера. Попытки чтения дефектных секторов могут повторяться многократно, возможно частичное считывание поврежденных областей. Кроме того, специализированные контроллеры позволяют обращаться к скрытой служебной информации на винчестерах. Это более актуально для ремонта и восстановления работоспособности диска, но может оказаться полезно и при извлечении информации.

В России широко известна продукция ростовской компании ACE Lab (http://www.acelab.ru). Компания создала первый программный комплекс еще в 1991 году, а в настоящее время выпускает целую линейку оригинальных комплексов для работы с жесткими дисками.

Комплекс PC-3000 for Windows (рис. 2.12) предназначен для диагностики и программного ремонта практически всех существующих винчестеров с интерфейсами IDE и SATA. В состав комплекса входят интерфейсные кабели и специализированные утилиты для работы с обычными винчестерами, а также накопителями для ноутбуков. Цена комплекса – около $1500.

Рис. 2.12. Контроллер ACE Lab PC-3000 UDMA

Программно-аппаратный комплекс для извлечения пользовательской информации Data Extractor UDMA работает в паре с комплексом PC-3000 for Windows. Он позволяет извлекать посекторные копии дисков с многократным обращением к дефектным блокам, анализировать и восстанавливать поврежденные записи MBR и MFT. Цена этого комплекта составляет около $1000.

Очевидно, что оснащение лаборатории для восстановления и ремонта винчестеров обойдется не менее чем в $3000. При этом типичный для России тариф на извлечение информации с одного носителя составляет около 5000 руб.

Восстановление данных при логических ошибках диска

Под логическими ошибками диска понимается повреждение таблицы разделов и/или файловых систем. Такие неприятности встречаются довольно часто и в «чистом виде», и как прямое следствие аппаратных проблем. Если на диске пропали разделы или файловая система, то можно использовать два принципиальных пути:

• восстановить (исправить, создать заново) поврежденную структуру. Путь логичный, но рискованный! Именно этим занимаются встроенные средства проверки и исправления ошибок диска операционной системы Windows и различные «диск-доктора». Как правило, то, что в файловой системе ошибочно или недоступно, они либо игнорируют, либо выбрасывают. Логическая структура в целом обычно восстанавливается, но за счет уничтожения части данных;

• ничего не исправляя, найти на диске файлы, основываясь на их формате, и скопировать их на другой носитель. Этот неразрушающий способ и является единственно правильным.

Идея неразрушающего восстановления данных совершенно не очевидна для большинства обычных пользователей. Они идут по прямому пути: есть ошибка – надо исправлять! После исправления ошибок данные восстановить гораздо труднее, поэтому существует железное правило: «Если на диске есть важные данные, категорически запрещается запускать программы исправления! Исправлять ошибки файловой системы можно лишь после успешного копирования данных средствами неразрушающего восстановления».

Средства такого восстановления широко известны. Это программы EasyRecovery, R-Studio и многие другие. Явным лидером по эффективности при восстановлении данных с самых распространенных файловых систем (FAT32, NTFS, EXT2, EXT3, UFS) является пакет R-Studio. Эта программа не только проста в использовании, но и выдает отличные результаты (даже исходную структуру папок). Когда файловая система повреждена серьезно, лучше использовать программу EasyRecovery в режиме RawRecovery. В результате такого восстановления образуется набор файлов без имен, рассортированных по типам.

Восстановление файловых систем вручную возможно и даже интересно. Для этого нужен дисковый редактор и четкое представление о структуре записей восстанавливаемой файловой системы. Дисковые редакторы в виде дополнительных функций встроены во многие программы восстановления данных.

После удачного восстановления пользователь получает исходную структуру файлов и папок, что для некоторых актуально. Можно исправить таблицу разделов вручную – ее устройство рассматривалось ранее. Процесс редактирования записей файловой системы – длительное и трудоемкое занятие. Практика показывает, что утилиты делают все гораздо быстрее и аккуратнее.

Одна из лучших программ в своей области предоставляет четыре основных метода для восстановления данных:

• создание файла-образа диска или раздела;

• восстановление удаленных файлов из существующих разделов с сохранными файловыми системами (Basic File Recovery);

• сканирование физических дисков, поиск на них данных, несмотря на повреждение или удаление разделов и файловых систем (Disk Scan и Advanced Data Recovery);

• восстановление данных из RAID-массивов.

Первые три метода будут рассмотрены в этом разделе, а восстановление данных с RAID-массивов выделено в особый раздел. Следуя логике, восстановление информации всегда следует начинать с копирования содержимого проблемного диска.

После запуска программы в ее главном окне на вкладке Drives (Приводы) перечисляются все обнаруженные в системе физические носители и существующие на них разделы или логические диски (рис. 2.13). Справа от списка дисков и разделов находится вкладка Properties (Свойства), где показываются свойства носителя или раздела, выбранного на вкладке Drives (Приводы).

Рис. 2.13. Выбор диска

1. На вкладке Drives (Приводы) выберите физический диск, с которого необходимо снять копию. На вкладке Properties (Свойства) будут показаны его свойства.

В группе Drive Control (Управление диском) настраиваются параметры доступа к диску. При нестабильном чтении диска может понадобиться их неоднократная регулировка до получения удовлетворительных результатов:

• Maximum transfer (Максимальный объем) – максимальный объем данных, передаваемых за одно обращение к диску, в килобайтах. Если возникают проблемы при доступе к диску, можно уменьшить это значение;

• I/O Unit (Единица чтения/записи) – размер единичной порции данных при обмене с диском, в байтах. При проблемах доступа к диску можно уменьшить это значение;

• Buffer Alignment (Выравнивание буфера) – размер порции данных, помещаемых в буфер. При проблемах с доступом можно увеличить это значение;

• I/O Tries (Число попыток чтения/записи) – число попыток обращения к нестабильно читаемым секторам. При наличии физических bad-блоков и зависании программы или компьютера при попытке прочитать эти блоки уменьшите значение параметра до нуля.

2. Нажмите кнопку

Create Image (Создать образ) или вызовите команду меню Drive → Create Image File (Диск → Создать файл образа). Откроется окно Create Image (Создать образ) – рис. 2.14.

Рис. 2.14. Окно создания образа

3. В поле Image name (Имя образа) укажите путь и имя для сохранения файла.

4. Определите тип сохраняемого файла. Byte to byte image (Бинарный файл) – стандартный бинарный файл, с которым могут работать любые программы подобного рода. Compressed image (Сжатый файл) – сжатый файл образа. Он меньше по размеру, но работать с таким файлом сможет лишь программа R-Studio текущей или последующей версии. Установите переключатель в одно из положений.

5. Переключатель в области Image split size (Размер разделения образа) задает разделение образа на несколько частей-файлов, например для последующей записи на DVD. Когда переключатель стоит в положении Automatic (Автоматически), программа постарается создать непрерывный файл максимально возможного размера.

6. Установите желаемые параметры (в большинстве случаев подойдут параметры по умолчанию) и нажмите кнопку OK. Создание образа может занять длительное время.

Как уже было сказано, после создания образа компьютер можно выключить, проблемный диск отсоединить и работать в дальнейшем только с файлом образа. Если диск работает нормально, а потеря данных была вызвана, например, вирусами или неосторожными действиями пользователя, то можно работать и с самим диском. Программа не вносит на него никаких изменений. Открывается файл образа командой меню Drive → Open Image File (Диск → Открыть файл образа). Открытый образ появляется на вкладке Drives (Приводы) в том же списке, что и физические диски. Работа с ним ничем не отличается от работы с реальным диском.

В описываемом выше примере на опытном винчестере есть один раздел (диск M:), в котором дисковым редактором серьезно испорчена файловая система, на втором разделе (диск N:) несколько раз были скопированы и удалены папки, а третий раздел удален вовсе. С точки зрения Проводника Windows на обоих дисках теперь пусто: нет ни папок, ни файлов. Можно попытаться извлечь данные! Нужно начать с того раздела, в котором файлы были удалены корректно, но мимо Корзины (то есть с использованием сочетания клавиш Shift+Delete).

1. На вкладке Drives (Приводы) щелкните правой кнопкой мыши на значок диска N: и в контекстном меню выберите команду Open Drive Files (Открыть файлы диска). Откроется вкладка Folders (Папки), где перечислены в виде дерева найденные на диске вхождения каталогов, а справа от нее – вкладка Contents (Содержимое), где показано содержимое папки, выбранной в дереве каталогов (рис. 2.15).

Рис. 2.15. Просмотр найденных папок и файлов

Построение дерева каталогов занимает определенное время, иногда несколько минут. Корневая файловая система находится в каталоге Root. В каталоге Metafiles находятся служебные файлы файловой системы NTFS, а в папках с названиями $$$Folder***** можно найти файлы, которые не удалось связать с корневым каталогом. Красными крестиками помечены папки и файлы, которые были удалены.

2. Просмотрите файлы и папки. Установите флажки напротив тех, которые вы хотите восстановить. Для поиска и выделения желаемой информации удобно пользоваться командами меню Tools → Find (Инструменты → Найти) и Tools → File Mask (Поиск по шаблону).

3. Пометив нужные файлы, вызовите команду меню FileRecover Marked (Файл → Восстановить помеченное) или нажмите кнопку

Recover Marked (Восстановить помеченное). Откроется окно Recover (Восстановить), где задаются параметры восстановления этих файлов и папок (рис. 2.16).

Рис. 2.16. Окно восстановления

4. В поле Output Folder (Папка выхода) укажите, куда надо поместить восстановленные файлы и папки. Флажки рекомендуется оставить по умолчанию. Нажмите кнопку OK. Через короткое время восстановленные элементы появятся там, где вы указали.

Это самый простой и легкий случай: файловая система не была повреждена. На такое восстановление способны многие программы. Если попробовать сделать то же самое с другим тестовым разделом, то появится сообщение, что файловая система на нем повреждена (corrupted) и простое восстановление с этого диска невозможно. Здесь придется применить тот инструмент, который составляет основу программы R-Studio, – технологию умного сканирования (IntelligentScan). Программа обнаруживает на диске обрывки записей файловых систем, а также сами тела файлов и по ним старается воссоздать утраченные данные.

1. На вкладке Drives (Приводы) щелкните правой кнопкой мыши на значок диска M: и в контекстном меню выберите команду Scan (Сканировать). Откроется окно Scan (Сканировать). В нем можно задать начальный сектор (Start) и объем диска, который нужно от него просканировать (Size), а также указать, какие файловые системы (File Systems) и типы файлов следует искать. Для выбора типов файлов, которые должна искать программа, нажмите кнопку Known File Types (Известные типы файлов) и в дочернем окне File Types (Типы файлов) установите флажки напротив нужных (рис. 2.17). По умолчанию программа ищет все известные ей файлы, а известны ей более сотни типов!

Рис. 2.17. Окно сканирования и выбор типов файлов

2. Нажмите кнопку Scan (Сканировать), и программа начнет исследовать диск. В правой части окна появится вкладка Scan Information (Информация о сканировании), на которой в виде карты показываются обнаруживаемые файлы (рис. 2.18).

Рис. 2.18. Процесс сканирования

Когда процесс сканирования завершится, на вкладке Drives (Приводы) под просканированным диском или разделом появится несколько записей: найденные сведения о разделах или файловых системах, данные из которых можно восстановить (рис. 2.19). По сути, каждая запись – набор файлов, обнаруженных на диске, который можно (или нельзя) «привязать» к обнаруженным там же таблицам файловых систем или их остаткам.

Рис. 2.19. Обнаруженные разделы и файловые системы для восстановления

В приведенном примере это Recognized1 – распознанная файловая система, прогноз на восстановление которой хороший, и Extra Found Files – набор файлов, которые не удалось отнести к какой-либо восстановимой файловой системе.

3. Чтобы начать восстановление данных из одного из этих наборов, дважды щелкните на нем кнопкой мыши. В обоих случаях появится картинка, подобная приведенной на рис. 2.15.

• При восстановлении файлов из обнаруженного набора Recognized1 на вкладке Folders (Папки) отобразится предположительная структура каталогов.

• При восстановлении файлов из обнаруженного набора Extra Found Files на вкладке Folders (Папки) файлы будут сгруппированы лишь по типам – сведения о структуре каталогов для этих файлов программе найти не удалось.

4. Пометьте флажками файлы, которые требуется восстановить, и далее действуйте, как при простом восстановлении.

Примечание

Вполне возможно, некоторые из извлеченных с диска файлов окажутся «битыми». В предыдущей главе описывалось, что можно с ними сделать.

Аналогично восстанавливаются данные с целого физического диска, на котором создавались, удалялись и пропадали разделы и файловые системы. В этом случае наборов может оказаться довольно много. Ведь сами тела файлов остаются на диске до тех пор, пока в занимаемые ими сектора не будет записана какая-то новая информация.

В списке возможных карт расположения информации зеленым цветом выделены хорошие наборы, желтым – сомнительные, красным – плохие. Если присутствуют только красные варианты, то рискнуть можно, но лучше сразу обратиться к другой программе, обладающей способностью восстанавливать из «руин» именно неструктурированные данные, – программе EasyRecovery. Но так как она обладает и многими другими характеристиками, то в этой главе ее возможности будут рассмотрены отдельно.