Odzyskiwanie danych z Samsung SSD 850 EVO 250 GB po spaleniu komputera

Do laboratorium Ram-serwis Odzyskiwanie Danych trafił dysk Samsung SSD 850 EVO 250 GB, który znajdował się w komputerze podczas poważnej awarii elektrycznej. Uszkodzenia komputera były rozległe, a ślady działania wysokiej temperatury i zwarcia były widoczne również na samym nośniku jak i jego okablowaniu.

W chwili przyjęcia dysku do diagnozy złącze zasilania SSD wraz z fragmentem wiązki przewodów było silnie nadpalone i częściowo zwęglone. Mimo poważnego charakteru awarii pamięci zawierające dane nie zostały bezpośrednio zniszczone.

Przypadek wymagał wielu prac przy elektronice oraz niestandardowego podejścia do uzyskania stabilnego dostępu do nośnika. Ostatecznie udało się wykonać kopię i odzyskać 100% danych zapisanych na dysku.

Samsung SSD 850 EVO po poważnym uszkodzeniu komputera

Pierwsze oględziny jednoznacznie wskazywały na poważne uszkodzenie w obszarze zasilania. Złącze zasilania, przewody oraz część złącza sygnałowego dysku były zwęglone. W takiej sytuacji ponowne podłączanie SSD do zwykłego komputera wiązałoby się z ryzykiem powiększenia istniejących uszkodzeń.

Dysk został więc rozebrany, aby możliwe było dokładne sprawdzenie elektroniki i określenie, które elementy zostały uszkodzone podczas awarii.

Samo to, że nośnik wygląda na bardzo mocno spalony, nie oznacza jeszcze automatycznie utraty danych. Kluczowe było to, które fragmenty elektroniki uległy zniszczeniu i w jakim stanie pozostały układy odpowiedzialne za przechowywanie danych.

Dlaczego odzyskanie danych z tego dysku SSD było trudne?

W tym przypadku problem nie ograniczał się do wymiany jednego widocznie uszkodzonego elementu. Konieczne było ustalenie stanu całej elektroniki oraz przygotowanie nośnika do bezpiecznego odczytu.

Dodatkowym utrudnieniem był brak możliwości wykorzystania w tym przypadku standardowego trybu technologicznego, którym można posługiwać się przy wielu innych rodzinach dysków SSD. W dysku doszło do naruszenia złączy BGA kości pamięci NAND. Oznaczało to konieczność wykonania większej liczby prac bezpośrednio przy elektronice i znalezienia bezpiecznego sposobu uzyskania dostępu do danych.

Nie opisujemy na stronie szczegółowych procedur i rozwiązań technicznych stosowanych podczas takich prac. Są one dobierane indywidualnie do konkretnego nośnika i charakteru uszkodzenia.

Wykonanie kopii uszkodzonego Samsung SSD

Po wykonaniu niezbędnych prac udało się uzyskać stabilny dostęp do dysku. Kolejnym etapem było wykonanie kopii danych przy użyciu PC-3000 Express SSD czyli specjalistycznego stanowiska do odzyskiwania danych.

Najważniejsze na tym etapie było ograniczenie dalszej pracy na oryginalnym nośniku i przeniesienie jego zawartości na bezpieczny nośnik roboczy.
Nazywamy to wykonaniem kopii dysku na serwer PC-3000 i dalsza praca już na kopii wirtualnej.

Proces kopiowania przebiegał prawidłowo, a kolejne obszary dysku były odczytywane bez utraty danych.

Odzyskaliśmy 100% danych klienta

Mimo bardzo poważnie wyglądających uszkodzeń zewnętrznych i spalonego fragmentu elektroniki przypadek zakończył się pełnym sukcesem.

Z dysku Samsung SSD 850 EVO 250 GB odzyskaliśmy 100% danych klienta.

To dobry przykład pokazujący, że wygląd nośnika nie zawsze przesądza o możliwości odzyskania jego zawartości. W przypadku dysków SSD decydujące znaczenie ma lokalizacja uszkodzenia, stan elektroniki, kontrolera oraz pamięci przechowujących dane.

Jednocześnie podobnego wyniku nie można zagwarantować dla każdego spalonego dysku SSD. Jeżeli wysoka temperatura lub przepięcie doprowadzi bezpośrednio do zniszczenia pamięci NAND, możliwości odzysku mogą być znacznie ograniczone.

Co zrobić w przypadku takiej awarii dysku SSD?

Jeżeli komputer uległ spaleniu, przepięciu lub poważnej awarii zasilania, a znajdujący się w nim dysk zawiera ważne dane, nie należy próbować uruchamiać nośnika.

W przypadku uszkodzonej elektroniki ponowne podanie zasilania może spowodować kolejne zwarcia i zwiększyć zakres uszkodzeń.

Najbezpieczniej odłączyć nośnik i przekazać go do diagnostyki w takim stanie, w jakim znajduje się po awarii.
W przypadku komputerów przenośnych – laptopów konieczne jest również odłączenie zasilania baterii.

Odzyskiwanie danych z uszkodzonych dysków SSD

Ram-serwis Odzyskiwanie Danych zajmuje się również trudnymi przypadkami awarii dysków SSD, w tym uszkodzeniami elektroniki, kontrolera, problemami z inicjalizacją oraz nośnikami niewykrywanymi przez komputer.

Więcej informacji:

Odzyskiwanie danych z dysku SSD

FAQ – spalony dysk SSD

Czy ze spalonego dysku SSD można odzyskać dane?

Tak, w części przypadków jest to możliwe. Wszystko zależy od miejsca i rozległości uszkodzeń. Jeżeli awarii uległa przede wszystkim elektronika zasilająca, a pamięci zawierające dane pozostały sprawne, szanse na odzyskanie danych mogą być dobre.

Czy można podłączyć spalony SSD do innego komputera?

Nie jest to zalecane. Przy uszkodzonej elektronice kolejne próby zasilania mogą zwiększyć zakres awarii i utrudnić późniejsze odzyskanie danych.

Czy w tym przypadku odzyskano wszystkie dane?

Tak. W opisanym przypadku Samsung SSD 850 EVO 250 GB udało się wykonać prawidłową kopię nośnika i odzyskać 100% zapisanych danych.

Odzyskiwanie danych z SSD Toshiba KBG30ZMV256G – trudny przypadek monolitu NVMe

Do laboratorium Ram-serwis Odzyskiwanie Danych trafił dysk SSD Toshiba KBG30ZMV256G o pojemności 256 GB. To nietypowa konstrukcja M.2 NVMe, w której kontroler pamięci oraz 64-warstwowe kości BiCS3 3D TLC zostały zintegrowane w jednym układzie. Nośnik miał problemy z inicjalizacją i nie udostępniał poprawnej identyfikacji, a standardowe procedury odzyskiwania nie dawały dostępu do danych. Zlecenie realizowaliśmy w trybie przyspieszonym. W ciągu około jednej doby udało się doprowadzić dysk do stabilnej inicjalizacji, uzyskać pełne ID i Passport, wykonać kopię z pomijaniem uszkodzonych bloków oraz odtworzyć strukturę katalogów z danymi klienta.

Toshiba KBG30ZMV256G – nietypowa konstrukcja SSD

Toshiba KBG30ZMV256G jest nośnikiem M.2 NVMe o konstrukcji znacznie trudniejszej w obsłudze niż klasyczne dyski SSD z oddzielnym kontrolerem i osobnymi układami pamięci NAND.

W tym modelu kontroler oraz pamięć flash zostały zintegrowane w jednym wspólnym chipie. Na laminacie nie znajduje się oddzielny układ kontrolera, który można byłoby diagnozować lub stabilizować niezależnie od pamięci. Jeżeli dysk uległ awarii translatora (częste w tych modelach np. po nagłym odcięciu zasilania) i przechodzi w stan BUSY lub zgłasza się z błędnym ID/zerową pojemnością, jedyną opcją na PC-3000 Portable III jest próba stabilizacji sprzętowej.

Dodatkowym utrudnieniem jest brak standardowego wsparcia technologicznego dla zastosowanego rozwiązania w typowych procedurach odzyskiwania danych.

Problem z inicjalizacją i brak poprawnej identyfikacji

Po podłączeniu nośnik nie pracował w sposób umożliwiający bezpośredni dostęp do danych. Problem dotyczył przede wszystkim inicjalizacji oraz poprawnej identyfikacji urządzenia.

Kluczowym etapem było doprowadzenie dysku do stanu, w którym możliwe było uzyskanie pełnego ID oraz Passport. Ale pomimo prawidłowego zainicjowania dysku wystąpiły błędy odczytu bloków danych.

Dopiero po prawidłowym zainicjowaniu nośnika można było rozpocząć wykonywanie kopii danych.

Kopia sektorowa z pomijaniem uszkodzonych bloków

Po uzyskaniu dostępu rozpoczęliśmy wykonywanie kopii technologicznej w środowisku PC-3000 Portable III.

Podczas odczytu występowały liczne błędy typu Media and Data Integrity Errors oraz Unrecovered Read Error. Dlatego kopiowanie wymagało odpowiedniego sposobu prowadzenia odczytu i omijania problematycznych bloków.

Celem było jak najszybsze zabezpieczenie wszystkich dostępnych danych bez niepotrzebnego obciążania niestabilnego nośnika.

Od braku ID do pełnej struktury danych

Po przeprowadzeniu odpowiedniej procedury udało się uzyskać stabilny dostęp do nośnika oraz wykonać kopię danych.
W przypadku awarii takiego dysku, warto wiedzieć, że z powodu scalenia kontrolera i pamięci flash w jednym chipie, odzyskiwanie danych z tego modelu bywa bardzo skomplikowane i wymaga specjalistycznego sprzętu i autorskich rozwiązań

Końcowa analiza kopii pozwoliła odtworzyć logiczną strukturę systemu plików i katalogów użytkownika.

Na zrzutach z PC-3000 Portable III widoczna jest kompletna struktura katalogów odzyskanych z dysku Toshiba KBG30ZMV256G.

Realizacja w trybie przyspieszonym

Zlecenie zostało przyjęte w trybie przyspieszonym.

Nośnik trafił do laboratorium jednego dnia, a już następnego udało się przejść od problemów z inicjalizacją i braku poprawnej identyfikacji do wykonania kopii oraz uzyskania dostępu do odzyskanych danych.

Dlaczego ten przypadek był trudny?

Trudność tego zlecenia wynikała z kilku nakładających się czynników:

• nietypowej konstrukcji monolitycznej SSD
• zintegrowania kontrolera i pamięci NAND w jednym układzie
• problemów z inicjalizacją
• braku standardowego dostępu technologicznego
• niestabilnego odczytu
• licznych błędów uszkodzonych bloków danych

Takie przypadki wymagają indywidualnego podejścia i nie zawsze dają się obsłużyć standardowymi metodami stosowanymi przy typowych dyskach SSD.

Potrzebujesz odzyskać dane z uszkodzonego SSD lub NVMe?

Ram-serwis Odzyskiwanie Danych zajmuje się również trudnymi przypadkami awarii dysków SSD i NVMe, w których nośnik nie jest prawidłowo rozpoznawany, nie inicjalizuje się lub występują problemy z odczytem pamięci.

Skontaktuj się z Ram-serwis Odzyskiwanie Danych i opisz objawy awarii nośnika.

Sprawdź usługę odzyskiwania danych z dysków SSD

Sprawdź odzyskiwanie danych z dysków NVMe

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu

Odzyskiwanie danych z WD My Cloud EX4100 RAID 5 – uszkodzone dyski i niekontrolowana odbudowa macierzy

Do laboratorium Ram-serwis Odzyskiwanie Danych trafił serwer plików NAS WD My Cloud EX4100 wyposażony w cztery dyski WD Red WD40EFRX-68N32N0 o pojemności 4 TB, pracujące w macierzy RAID 5.

Awaria była złożona. Dwa dyski miały uszkodzenia mechaniczne związane z pracą głowic i powierzchnią magnetyczną, a dodatkowo przed przekazaniem serwera do laboratorium podejmowano wielokrotne próby jego uruchomienia. W pewnym momencie urządzenie rozpoczęło niekontrolowaną odbudowę macierzy.

W efekcie doszło nie tylko do dalszej degradacji dwóch uszkodzonych dysków, ale również do częściowego nadpisania danych na pozostałych nośnikach. Zniszczeniu uległa więc zarówno część danych fizycznych, jak i logiczna struktura RAID.

Konfiguracja serwera NAS

Serwer pracował w konfiguracji:

• WD My Cloud EX4100
• 4 × HDD SATA 3,5 cala
• WD Red WD40EFRX-68N32N0
• pojemność pojedynczego dysku: 4 TB
• macierz RAID 5

Dyski oznaczyliśmy zgodnie z ich pierwotnym położeniem w serwerze jako 1, 2, 3 i 4.

Dyski 1 i 2 wykazywały poważne problemy mechaniczne. Dyski 3 i 4 znajdowały się w znacznie lepszym stanie technicznym, jednak wcześniejsza próba odbudowy RAID spowodowała zmiany również w danych zapisanych na sprawnych nośnikach.

Wielokrotne próby uruchomienia pogorszyły stan macierzy

W przypadku macierzy RAID utrata jednego dysku nie zawsze oznacza utratę danych. RAID 5 wykorzystuje dane parzystości i w określonych warunkach może pracować po awarii pojedynczego nośnika.

Sytuacja zmienia się jednak, gdy problemy dotyczą więcej niż jednego dysku albo rozpocznie się odbudowa macierzy w niewłaściwym stanie zestawu.

W tym przypadku wielokrotne uruchamianie serwera doprowadziło do dalszej pracy dysków 1 i 2 mimo problemów z głowicami i powierzchnią magnetyczną. Zwiększyło to liczbę uszkodzonych obszarów i utrudniło późniejszy odczyt.

Dodatkowym problemem była rozpoczęta wcześniej odbudowa RAID. Proces ten częściowo zmienił zawartość dysków 2 i 3, przez co oryginalny stan logiczny macierzy został zaburzony.

Dopiero podczas późniejszej analizy udało się ustalić zakres tych zmian.

Pierwszy etap – zabezpieczenie dostępnych dysków

Pierwszym zadaniem było zabezpieczenie tych nośników, które można było jeszcze uruchomić bez ingerencji mechanicznej.

Wykonaliśmy kopie technologiczne dostępnych dysków, aby dalszą analizę prowadzić na kopiach, a nie na oryginalnych nośnikach.

Dopiero po zabezpieczeniu możliwych do odczytania danych rozpoczęliśmy prace nad dyskami wymagającymi ingerencji mechanicznej.

Wymiana głowic w dwóch dyskach WD Red

Stan dysków 1 i 2 wymagał wymiany zespołów głowic.

Dobór kompatybilnych podzespołów w dyskach pracujących wcześniej w jednej macierzy wymagał zachowania dużej ostrożności. Po wcześniejszym wykonaniu kopii możliwe było wykorzystanie odpowiednio dobranych dysków jako źródła kompatybilnych elementów potrzebnych do dalszych prac.

Po wymianie głowic oba uszkodzone dyski udało się ponownie uruchomić.

Nie oznaczało to jednak końca problemów.

Uszkodzenia powierzchni i problemy z oprogramowaniem układowym

Po uruchomieniu dysków ujawniły się liczne uszkodzenia powierzchni magnetycznej.

Odczyt nie mógł być prowadzony w sposób ciągły. Konieczne było wielokrotne omijanie problematycznych obszarów, zmiana kolejności odczytu oraz powracanie do części bloków w późniejszych etapach wykonywania kopii.

Dodatkowo w obu dyskach występowały problemy w obszarze oprogramowania układowego związane z modułami dostępnymi przez głowicę H0.

Diagnostyka w systemie PC-3000 Express potwierdziła błędy odczytu części modułów Service Area.

Naprawa dostępu do oprogramowania układowego wymagała dodatkowych prac, ale ostatecznie oba nośniki udało się ustabilizować na tyle, aby rozpocząć wykonywanie ich kopii technologicznych.

Prawie 90% sprawnych bloków w dwóch uszkodzonych dyskach

Oba dyski znajdowały się w bardzo złym stanie.

Mimo licznych błędów odczytu oraz uszkodzeń powierzchni w ciągu kilku dni udało się uzyskać prawie 90% bloków danych z każdego z problematycznych nośników.

Nie oznaczało to jednak automatycznie odzyskania 90% plików.

W macierzy RAID dane pojedynczego pliku mogą być rozłożone pomiędzy kilka dysków. Dlatego kolejnym etapem było ustalenie pierwotnej konfiguracji RAID oraz sprawdzenie, które fragmenty macierzy zostały zmienione podczas wcześniejszej odbudowy.

Ustalenie parametrów RAID 5

Mając kopie wszystkich czterech dysków, rozpoczęliśmy analizę konfiguracji macierzy.

Konieczne było ustalenie między innymi:

• właściwej kolejności dysków
• rozmiaru paska danych – stripe size
• sposobu rozmieszczenia danych
• algorytmu parzystości
• punktów rozpoczęcia struktur RAID
• zakresu zmian spowodowanych wcześniejszą odbudową

Po ustaleniu parametrów możliwe było przygotowanie wirtualnej rekonstrukcji macierzy w środowisku PC-3000 Express RAID.

Niekontrolowana odbudowa RAID jako dodatkowe uszkodzenie

Największym problemem nie były już same brakujące sektory.

Analiza wykazała, że wcześniejsza odbudowa RAID częściowo nadpisała zawartość dysków 2 i 3. Oznaczało to, że nie można było po prostu ustawić właściwej kolejności dysków i uruchomić standardowej rekonstrukcji RAID 5.

Część bloków reprezentowała stan macierzy sprzed awarii, część dane zapisane podczas odbudowy, a część była całkowicie niedostępna z powodu fizycznych uszkodzeń powierzchni.

Konieczne było więc wykorzystanie wielu etapów analizy i rekonstrukcji, aby możliwie dokładnie odtworzyć pierwotną strukturę logiczną danych.

Prace nad tym etapem trwały kilka kolejnych dni.

Odbudowa logicznej struktury danych

Po ustaleniu właściwych parametrów RAID i skorygowaniu skutków wcześniejszej odbudowy udało się odtworzyć logiczną strukturę serwera.

Widoczne stały się katalogi i pliki zapisane na macierzy przed awarią.

Ostatecznie możliwe było odzyskanie około 90% danych znajdujących się na serwerze przed wystąpieniem problemu.

Przy skali uszkodzeń mechanicznych dwóch dysków oraz częściowym nadpisaniu danych na kolejnych nośnikach był to bardzo dobry rezultat techniczny.

Dodatkowy problem – uszkodzona obudowa WD My Cloud EX4100

Po zakończeniu odzyskiwania danych przygotowaliśmy cztery nowe dyski przeznaczone do ponownego uruchomienia serwera.

Wtedy ujawnił się jeszcze jeden problem.

Obudowa WD My Cloud EX4100 nie pracowała prawidłowo również z nowymi, sprawnymi dyskami. Wszystko wskazywało na dodatkowe uszkodzenie samego urządzenia, prawdopodobnie w obszarze odpowiedzialnym za zasilanie dysków.

Oznaczało to, że awaria nie ograniczała się wyłącznie do nośników tworzących macierz RAID.

Dlaczego historia wcześniejszych działań ma znaczenie?

Podczas odzyskiwania danych z RAID bardzo ważna jest informacja o wszystkich działaniach wykonanych po wystąpieniu awarii.

W tym przypadku dopiero analiza kopii wykazała, że wcześniej podejmowano wielokrotne próby uruchomienia serwera i odbudowy macierzy.

Takie działania mogą zmienić zawartość sprawnych dysków, przez co późniejsza rekonstrukcja staje się znacznie trudniejsza.

Jeżeli serwer NAS zgłasza awarię więcej niż jednego dysku albo rozpoczyna nieoczekiwaną odbudowę macierzy, bezpieczniejszym rozwiązaniem jest jego wyłączenie i zabezpieczenie wszystkich nośników przed kolejnymi zapisami.

Wynik odzyskiwania danych

W ramach realizacji:

• wykonano kopie technologiczne czterech dysków
• wymieniono zespoły głowic w dwóch uszkodzonych nośnikach
• przywrócono możliwość pracy z dyskami mającymi problemy z firmware
• odczytano prawie 90% bloków z najbardziej uszkodzonych dysków
• ustalono konfigurację RAID 5
• odtworzono kolejność dysków, stripe size i algorytm parzystości
• zrekonstruowano macierz wirtualnie
• skorygowano część skutków wcześniejszej niekontrolowanej odbudowy
• odbudowano logiczną strukturę katalogów i plików

Ostatecznie odzyskano około 90% danych zapisanych na macierzy przed awarią.

Przypadek WD My Cloud EX4100 pokazuje, że przy awarii RAID problemem może być jednocześnie stan mechaniczny dysków, firmware, uszkodzenia powierzchni oraz zmiany logiczne powstałe podczas wcześniejszych prób odbudowy.

W takich sytuacjach kluczowe znaczenie ma wykonanie kopii poszczególnych nośników przed rozpoczęciem jakichkolwiek dalszych operacji na macierzy.

Odzyskiwanie danych z macierzy RAID
Odzyskiwanie danych z serwera NAS

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu

Odzyskiwanie danych z dysku po pożarze – Hitachi Deskstar

Odzyskiwanie danych z dysku po pożarze wymaga szczególnej ostrożności, ponieważ nośnik może być jednocześnie uszkodzony przez bardzo wysoką temperaturę, sadzę, stopione elementy oraz awarię elektroniki.

W tym przypadku do naszego laboratorium trafiły dwa dyski twarde 3,5 cala, które znajdowały się w domu podczas poważnego pożaru. Jeden z nośników był produkcji Hitachi, a drugi Western Digital. Oba miały wyraźne ślady działania ognia i wysokiej temperatury.

Na jednym z dysków zapisane były ważne prywatne zdjęcia oraz dokumenty, na których szczególnie zależało klientowi. Drugi nośnik przechowywał nagrania z kamer monitoringu.

Dwa uszkodzone dyski, ale tylko jeden zawierał ważne dane

Przed rozpoczęciem zaawansowanych prac przeprowadziliśmy dokładną rozmowę z klientem. Skonsultowaliśmy się również z technikiem, który wcześniej instalował system monitoringu.

Zleceniodawca miał wcześniejsze doświadczenie zawodowe w branży odzyskiwania danych, dlatego dobrze rozumiał, że nośniki w takim stanie wymagają niestandardowej procedury. Szczególnie zależało mu na prywatnych zdjęciach i dokumentach zapisanych na jednym z dysków.

Problem polegał na tym, że nie było wiadomo, który nośnik zawierał najważniejsze pliki. Etykiety obu dysków zostały spalone, dlatego nie można było od razu ustalić nawet ich dokładnych modeli.

Na podstawie rozmowy z klientem oraz konsultacji z instalatorem monitoringu przyjęliśmy, że zapis z kamer znajdował się najprawdopodobniej na dysku Western Digital. W pierwszej kolejności skupiliśmy się więc na drugim nośniku.

Decyzja okazała się trafna. Był to dysk Hitachi, na którym później odnaleźliśmy dwie partycje zawierające prywatne dane klienta.

Takie rozpoznanie przed rozpoczęciem prac pozwoliło ograniczyć zakres ingerencji i skoncentrować dostępne części oraz czas pracy na nośniku zawierającym najważniejsze pliki.

Spalone etykiety i identyfikacja modelu dysku Hitachi

Pożar praktycznie całkowicie zniszczył etykiety obu nośników. Nie można było odczytać z nich modelu, pojemności, numeru seryjnego ani pozostałych oznaczeń producenta.

Stanowiło to poważny problem, ponieważ bez prawidłowego określenia rodziny konstrukcyjnej i dokładnego modelu nie można było bezpiecznie dobrać kompatybilnego dawcy.

Identyfikację przeprowadziliśmy drogą dedukcji. Analizowaliśmy:

• konstrukcję mechaniki dysku
• budowę elektroniki PCB
• rozmieszczenie poszczególnych elementów
• zgodność z nośnikami znajdującymi się w naszej bazie dawców
• informacje możliwe do uzyskania z pamięci ROM

Oryginalna elektronika była bardzo poważnie uszkodzona, dlatego odczyt zawartości pamięci nie był prosty. Po wielu próbach udało się jednak odczytać zapis ROM-u przy użyciu programatora SVOD.

Zestawienie informacji uzyskanych z pamięci ROM z konstrukcją nośnika pozwoliło potwierdzić, że uszkodzonym dyskiem był Hitachi Deskstar 7K1000.C o oznaczeniu HDS721032CLA362.

Sam etap identyfikacji zajął sporo czasu, ale był niezbędny do prawidłowego zaplanowania dalszych prac oraz wyboru odpowiedniego dysku dawcy.

Pacjent: Hitachi Deskstar 7K1000.C

Parametry zidentyfikowanego nośnika:

• producent: Hitachi
• seria: Deskstar 7K1000.C
• model: HDS721032CLA362
• pojemność: 320 GB
• format: 3,5 cala
• liczba talerzy: 1
• liczba głowic: 2

Dysk znajdował się w części domu objętej pożarem. Ogień zniszczył około połowy budynku wraz z całym dachem, dlatego nośnik był przez dłuższy czas narażony na działanie bardzo wysokiej temperatury.

Zewnętrzne ślady pożaru były wyraźnie widoczne. Dopiero po otwarciu dysku w odpowiednich warunkach okazało się jednak, jak rozległe były uszkodzenia jego wnętrza.

Stopione elementy wewnątrz dysku

Wysoka temperatura doprowadziła do stopienia niemal wszystkich plastikowych elementów znajdujących się wewnątrz nośnika.

Szczególnie poważnym problemem była uszkodzona rampa parkingowa głowic. Jej fragmenty stopiły się, pozostawiając drobne osady na powierzchni magnetycznej talerza.

Nawet niewielkie zanieczyszczenie talerza może doprowadzić do kontaktu głowic z jego powierzchnią. Przy prędkości kilku tysięcy obrotów na minutę oznaczałoby to ryzyko natychmiastowego uszkodzenia nowych głowic oraz dalszej degradacji warstwy magnetycznej.

Dysku nie można więc było po prostu podłączyć do zasilania ani próbować uruchomić po wymianie samej elektroniki.

Uszkodzona elektronika PCB i zabezpieczenie pamięci ROM

Oryginalna elektronika PCB została poważnie uszkodzona przez wysoką temperaturę. Jej naprawa nie była możliwa.

Pamięć ROM zawierała jednak informacje potrzebne do prawidłowej współpracy elektroniki z głowicami i powierzchnią magnetyczną konkretnego egzemplarza dysku. Bez ich pozyskania zastosowanie elektroniki pochodzącej z innego nośnika nie pozwoliłoby na prawidłowe uruchomienie pacjenta.

Odczytaną przy użyciu programatora SVOD zawartość ROM-u zabezpieczyliśmy i wykorzystaliśmy podczas dalszych prac z przygotowanym dyskiem dawcą.

Dobór kompatybilnego dysku dawcy

W laboratorium Ram-Serwis posiadamy bazę dysków dawców różnych producentów, zarówno w formacie 2,5 cala, jak i 3,5 cala. Znalezienie odpowiednich kandydatów nie stanowiło więc problemu, ale wybór właściwego i w pełni kompatybilnego egzemplarza wymagał dokładnej selekcji.

Sam model dysku nie jest jedynym kryterium doboru dawcy. Konieczne było sprawdzenie między innymi zgodności:

• rodziny konstrukcyjnej
• zespołu głowic i jego mapowania
• parametrów mechanicznych
• wersji zastosowanych podzespołów
• charakterystyki mechaniki dysku dawcy

Po przeprowadzeniu selekcji wybraliśmy nośnik odpowiedni do dalszej procedury.

Wieloetapowe czyszczenie powierzchni talerza

Jednym z najtrudniejszych problemów był stan powierzchni magnetycznej talerza. Znajdowały się na niej drobne pozostałości stopionej rampy parkingowej głowic.

Talerz został poddany kilku kolejnym procedurom czyszczenia. Prace musiały być wykonywane bardzo ostrożnie, ponieważ zbyt intensywne czyszczenie mogłoby uszkodzić warstwę magnetyczną, na której zapisane były dane.

Po wielu próbach udało się usunąć zanieczyszczenia i przygotować powierzchnię do bezpiecznego kontaktu z głowicami pochodzącymi z dysku dawcy.

Przeniesienie talerza i kalibracja zespołu głowic

Oczyszczony talerz został przeniesiony do przygotowanego dysku dawcy. Następnie wykonaliśmy jego montaż oraz po zainstalowaniu zespołu głowic ich kalibrację.

W przypadku dysku jednotalerzowego operacja przeniesienia może wydawać się prostsza niż w modelach wielotalerzowych. Nadal jednak wymaga zachowania właściwego położenia podzespołów, idealnej czystości powierzchni oraz bardzo precyzyjnego montażu.

Po złożeniu nośnika rozpoczęliśmy serię kontrolowanych prób uruchomienia.

Odzyskiwanie danych z dysku po pożarze przy użyciu PC-3000 UDMA

Dalsze prace prowadziliśmy przy użyciu systemu PC-3000 UDMA. Narzędzie pozwala kontrolować zachowanie dysku na niskim poziomie, analizować jego odpowiedzi, pracować z obszarem serwisowym oraz ograniczać liczbę niepotrzebnych prób odczytu.

Po wielu próbach uruchomienia uzyskaliśmy prawidłowe parametry identyfikacyjne dysku — ID oraz Passport.

Uzyskanie ID i Passport było bardzo ważnym momentem, ale nie oznaczało jeszcze dostępu do danych. Początkowo nie mogliśmy uzyskać prawidłowego dostępu do obszaru serwisowego SA, w którym znajdują się moduły oprogramowania układowego potrzebne do prawidłowej pracy nośnika.

Po kolejnych działaniach udało się uzyskać dostęp do obszaru serwisowego i odczytać jego zawartość. Wykonaliśmy również kopię najważniejszych modułów, aby zabezpieczyć je przed ewentualnym pogorszeniem stanu dysku podczas dalszych prac.

Mapowanie głowic i odnalezienie dwóch partycji

Następnym celem było zmapowanie głowic, a następnie odczytanie początkowych sektorów nośnika. To właśnie w tym obszarze znajdują się informacje potrzebne do rozpoznania układu partycji i systemu plików.

Pierwsze próby nie dawały właściwych rezultatów. Konieczne było odpowiednie sterowanie kolejnością i parametrami odczytu oraz unikanie nadmiernego obciążania mechaniki.

Po wielu próbach udało się odczytać wystarczający zakres sektorów, aby uzyskać dostęp do pełnej logicznej struktury dwóch partycji zapisanych na dysku.

Potwierdziło to wcześniejsze przypuszczenia że wybraliśmy właściwy nośnik, zawierający prywatne zdjęcia i dokumenty klienta.

Odzyskaliśmy 66 GB, czyli około 95% danych klienta

Po ustabilizowaniu pracy dysku rozpoczęliśmy kontrolowane kopiowanie dostępnych sektorów. Proces prowadziliśmy tak, aby ograniczać obciążenie mechaniki i nie wykonywać niepotrzebnych, wielokrotnych prób w najbardziej uszkodzonych obszarach.

Łącznie udało się odzyskać 66 GB plików, co stanowiło około 95% danych użytkownika zapisanych na obu partycjach.

Biorąc pod uwagę:

• działanie ognia i bardzo wysokiej temperatury
• zniszczenie etykiety i konieczność identyfikacji modelu
• stopienie wewnętrznych elementów dysku
• zanieczyszczenie powierzchni talerza
• całkowite uszkodzenie elektroniki PCB
• konieczność wieloetapowego czyszczenia talerza
• przeniesienie talerza do mechaniki dawcy
• kalibrację zespołu głowic
• początkowy brak dostępu do obszaru serwisowego SA
• niestabilny odczyt początkowych sektorów

Rezultat końcowy uważamy za bardzo duży sukces.

Realizacja wymagała wielu etapów, kilku procedur czyszczenia talerza, właściwie dobranego dawcy, precyzyjnej pracy mechanicznej oraz diagnostyki przy użyciu PC-3000 UDMA.

Najważniejsze było jednak to, że z nośnika poważnie uszkodzonego podczas pożaru udało się odzyskać zdecydowaną większość ważnych zdjęć i dokumentów klienta.

Czy można odzyskać dane z dysku po pożarze?

Tak, w wielu przypadkach jest to możliwe. Widoczne ślady ognia, spalona etykieta, stopione elementy lub uszkodzona elektronika nie zawsze oznaczają, że zapisane dane zostały bezpowrotnie utracone.

Najważniejszy jest stan powierzchni magnetycznej talerzy. Dopóki warstwa zawierająca zapis nie została całkowicie zniszczona, może istnieć możliwość odczytania przynajmniej części danych.

Każde odzyskiwanie danych z dysku po pożarze wymaga jednak indywidualnej diagnostyki. Takiego nośnika nie należy:

• podłączać do zasilania
• samodzielnie otwierać
• czyścić wodą lub środkami chemicznymi
• przekładać elektroniki z przypadkowego dysku
• wielokrotnie próbować uruchamiać

Każda niekontrolowana próba uruchamiania takiego dysku może pogorszyć stan powierzchni magnetycznej albo uszkodzić elementy, które nadal można wykorzystać podczas profesjonalnej procedury odzyskania danych.

Jeżeli Twój dysk został uszkodzony przez pożar, wysoką temperaturę, wodę lub środki gaśnicze, pozostaw go w obecnym stanie i przekaż do specjalistycznej diagnostyki.

Zobacz – odzyskiwanie danych z dysku HDD

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu

Odzyskiwanie danych WD5000KMVW-11ZSMS5 po upadku dysku i zerwaniu głowic.

Krótkie podsumowanie realizacji zlecenia

Do laboratorium Ram-Serwis Odzyskiwanie Danych  trafił zewnętrzny dysk twardy Western Digital WD5000KMVW-11ZSMS5 o pojemności 500 GB. To 2,5-calowy dysk z rodziny Helios, ze zintegrowanym interfejsem USB.

Nośnik spadł. Po upadku doszło do bardzo poważnych uszkodzeń mechanicznych wewnątrz komory talerzy. Głowice przykleiły się do powierzchni magnetycznej, a dysk był później kilka razy uruchamiany. Niestety właśnie te kolejne próby najbardziej pogorszyły sytuację.

W czasie uruchamiania uszkodzone głowice zostały zerwane, a ich elementy zaczęły rysować powierzchnię talerzy. To zawsze jest bardzo niebezpieczny moment, bo właśnie na tej powierzchni zapisane są dane użytkownika nośnika.

Sprawa była trudna także z innego powodu. Ten model dysku ma elektronikę zewnętrzną PCB ze stałym złączem USB. W praktyce oznacza to, że przed właściwym odzyskiwaniem danych trzeba było przygotować dysk do pracy przez interfejs SATA. Sama podmiana elektroniki nie wystarcza. Konieczne było również jej przeprogramowanie.

Na dysku znajdowało się około 70 GB danych. Najważniejsze dla właściciela były zdjęcia.

Dane udało się odzyskać. Około 2 GB plików było jednak uszkodzonych, ponieważ część powierzchni magnetycznej została fizycznie zarysowana jeszcze przed rozpoczęciem prac laboratoryjnych.

Ten przypadek bardzo dobrze pokazuje jedno. Dysku po upadku nie powinno się uruchamiać „na próbę”. Nawet jeden dodatkowy start może mieć tu duże znaczenie.

Charakterystyka dysku

Dysk WD5000KMVW-11ZSMS5 należy do rodziny Helios produkowanej przez Western Digital. Jest to zewnętrzny dysk HDD 2,5 cala z wbudowanym interfejsem USB i pojemnością 500 GB.

Zgłoszone objawy uszkodzenia nośnika

Po upadku dysk przestał działać prawidłowo. Użytkownik próbował uruchomić go ponownie, licząc na to, że nośnik zostanie jeszcze wykryty i pozwoli skopiować zapisane tam dane.

To bardzo częsty odruch. I zupełnie zrozumiały. Ktoś ma na dysku zdjęcia, dokumenty albo firmowe pliki, więc chce szybko sprawdzić, czy „jeszcze ruszy”.

Problem polega na tym, że przy uszkodzeniach mechanicznych dysku twardego HDD takie próby mogą wyrządzić więcej szkody niż sam upadek.

Jeżeli głowice przykleiły się do talerzy, zatrzymały się w niewłaściwym miejscu albo zostały uszkodzone, ponowne uruchomienie dysku może doprowadzić do ich zerwania. A później do rysowania powierzchni magnetycznej.

W tym przypadku właśnie tak się stało. Kolejne próby uruchamiania dysku pogłębiły uszkodzenia i zniszczyły część powierzchni, na której zapisane były dane użytkownika.

Wyniki diagnozy dysku

Po otwarciu dysku w warunkach laboratoryjnych było już widać, że uszkodzenia są poważne. Wewnątrz komory talerzy znajdował się oderwany element głowicy leżący bezpośrednio na powierzchni talerza.

Diagnoza wykazała:

• sklejenie głowic z powierzchnią talerzy po upadku dysku,
• zerwanie elementów głowic podczas kolejnych prób uruchamiania,
• obecność oderwanego slidera głowicy na powierzchni talerza,
• liczne uszkodzenia powierzchni magnetycznej,
• zarysowania powstałe podczas pracy uszkodzonego nośnika,
• problemy z bezpiecznym odczytem danych z uszkodzonych obszarów,
• konieczność dobrania kompatybilnych głowic z dysku dawcy,
• konieczność zmiany elektroniki PCB USB na odpowiednią elektronikę PCB SATA,
• konieczność przeprogramowania elektroniki przed rozpoczęciem odczytu danych.

Największym problemem nie był sam upadek. Prawdziwe zniszczenia powstały później, gdy dysk był dalej uruchamiany mimo uszkodzenia mechanicznego.

Głowice nie mogły już pracować prawidłowo nad powierzchnią talerzy. Zamiast odczytywać dane, zaczęły niszczyć powierzchnię magnetyczną.

Dodatkowe wyzwania techniczne

WD5000KMVW-11ZSMS5 to dysk 2,5 cala ze stałym złączem USB zintegrowanym z elektroniką PCB. Dla użytkownika to wygodne rozwiązanie. Dla laboratorium odzyskiwania danych oznacza dodatkową pracę.

Przed rozpoczęciem właściwego odczytu trzeba było zastąpić oryginalną elektronikę USB kompatybilną elektroniką ze złączem SATA.

Ale to nie jest zwykła wymiana płytki.

Elektronika dysku zawiera dane adaptacyjne przypisane do konkretnego egzemplarza nośnika. Bez nich dysk nie będzie poprawnie współpracował z mechaniką. Dlatego konieczne było przeprogramowanie PCB i przygotowanie elektroniki do pracy z odzyskiwanym dyskiem.

Dopiero po tym etapie można było przejść do dalszych prac związanych z bezpiecznym odczytem danych.

Dobór kompatybilnych głowic z dysku dawcy

Kolejnym etapem był dobór dysku dawcy.

Przy uszkodzonych głowicach HDD nie można po prostu wziąć głowic z dowolnego podobnego dysku. To tak nie działa.

Zespół głowic musi być zgodny i kompatybilny z konstrukcją nośnika i jego parametrami pracy. Źle dobrany dawca może całkowicie uniemożliwić odczyt danych. Może też doprowadzić do kolejnych uszkodzeń talerzy.

W tym przypadku dobór głowic był szczególnie ważny, ponieważ oryginalne głowice zostały uszkodzone i zerwane po wcześniejszych próbach uruchamiania dysku.

Czyszczenie powierzchni talerzy po sklejeniu głowic

Po otwarciu dysku okazało się, że elementy głowic przykleiły się do powierzchni talerzy. To bardzo delikatna sytuacja.

Aby przygotować nośnik do dalszych prac, konieczne było wyjęcie talerzy z korpusu dysku. Dopiero wtedy można było bezpiecznie usunąć przyklejone slidery i oczyścić powierzchnie magnetyczne każdego talerza osobno.

Prace wykonano przy użyciu specjalistycznych ściągaczy i narzędzi przeznaczonych do obsługi talerzy oraz głowic dysków twardych.

Ten etap miał ogromne znaczenie. Gdyby oderwane albo przyklejone elementy głowic pozostały na powierzchni talerzy, mogłyby dalej rysować powierzchnię podczas kolejnych prób odczytu.

A każda taka rysa to potencjalnie utracone dane.

Dlaczego wielokrotne uruchamianie dysku po upadku jest tak niebezpieczne?

Dysk twardy zapisuje dane na powierzchni magnetycznej talerzy. Głowice odczytu i zapisu pracują bardzo blisko tej powierzchni, ale w sprawnym dysku nie powinny jej dotykać.

Po upadku sytuacja może się zmienić w jednej chwili. Głowice mogą zatrzymać się w złym miejscu, przykleić się do talerza albo ulec mechanicznemu uszkodzeniu.

I teraz najgorszy scenariusz: użytkownik podłącza dysk jeszcze raz.

Talerze zaczynają się obracać. Uszkodzone głowice nie pracują już poprawnie. Zaczynają rysować powierzchnię magnetyczną. Czyli miejsce, w którym zapisane są dane.

W opisywanym przypadku kolejne uruchomienia doprowadziły do zerwania głowic i powstania uszkodzeń powierzchni talerzy. Skutek? Część plików została uszkodzona jeszcze przed rozpoczęciem prac w laboratorium.

Dlatego po upadku dysku najlepiej od razu go odłączyć. Bez sprawdzania. Bez kolejnych prób. Bez programu do odzyskiwania danych.

Przebieg prac laboratoryjnych

Odzyskiwanie danych z dysku WD5000KMVW-11ZSMS5 wymagało wielu etapów przygotowawczych i laboratoryjnych. Praca była prowadzona na sprzęcie do odzyskiwania danych PC3000 Expres. Ten nośnik nie nadawał się do standardowego odczytu. Nie było też mowy o bezpiecznym użyciu zwykłych programów do odzyskiwania danych.

W ramach realizacji wykonano:

• diagnostykę mechaniczną i elektroniczną nośnika
• otwarcie dysku w warunkach laboratoryjnych
• analizę uszkodzeń głowic oraz powierzchni talerzy
• zmianę elektroniki PCB ze złączem USB na kompatybilną elektronikę SATA
• przeprogramowanie elektroniki i przeniesienie niezbędnych danych adaptacyjnych
• dobór kompatybilnego dysku dawcy
• przygotowanie zgodnego zespołu głowic odczytu-zapisu
• demontaż talerzy z korpusu dysku
• usunięcie przyklejonych sliderów głowic z powierzchni talerzy i komory talerzy
• oczyszczenie powierzchni magnetycznych każdego talerza osobno
• ponowny montaż zespołu talerzy
• przygotowanie dysku do kontrolowanego odczytu bloków danych
• odczytanie i naprawa oprogramowania układowego SA
• mapowanie głowic
• wykonanie odczytu danych z uszkodzonego nośnika
• odbudowa logicznej struktury danych
• weryfikację struktury odzyskanych plików
• przekazanie klientowi wszystkich możliwych do odczytania danych, także plików częściowo uszkodzonych

Przy takich uszkodzeniach liczy się ograniczenie pracy dysku do minimum. Dysk nie może „mielić” godzinami. Nie może być testowany raz za razem.

Najważniejsze jest jedno: odczytać dane możliwie bezpiecznie, zanim stan powierzchni magnetycznej jeszcze się pogorszy.

Efekt prac

Na dysku znajdowało się około 70 GB danych. Największe znaczenie dla właściciela miały fotografie.

Mimo bardzo poważnych uszkodzeń mechanicznych dane udało się odzyskać. Około 2 GB plików było jednak uszkodzonych. Powód był prosty: część powierzchni magnetycznej talerzy została fizycznie zniszczona podczas wcześniejszych prób uruchamiania dysku.

Wszystkie możliwe do odczytania dane zostały przekazane właścicielowi. Dotyczyło to również plików częściowo uszkodzonych.

Przy zdjęciach nawet częściowo uszkodzonych taki plik może mieć dla klienta duże znaczenie. Czasem da się z niego odzyskać fragment obrazu. Czasem sam plik jest pamiątką, której właściciel nie chce stracić. Dlatego w Ram-Serwis nie odrzucamy automatycznie plików tylko dlatego, że są częściowo uszkodzone.

Jeżeli uda się je odczytać, klient je otrzymuje.

Statystyka realizacji zlecenia odzyskania danych

Co pokazuje ten przypadek?

Ten przypadek pokazuje, jak groźne może być uruchamianie dysku po upadku.

Gdyby nośnik został odłączony od razu po awarii, uszkodzenia mogły być mniejsze. Niestety wielokrotne próby uruchamiania doprowadziły do zerwania głowic i zarysowania powierzchni talerzy.

To właśnie te zarysowania spowodowały uszkodzenie części plików.

Najważniejsza zasada jest prosta:

Jeżeli dysk spadł, stuka, klika, nie wykrywa się albo pracuje inaczej niż zwykle, nie uruchamiaj go ponownie.

Każda kolejna próba może pogorszyć stan nośnika i zmniejszyć szanse na odzyskanie danych.

Uwaga: nie uruchamiaj dysku po upadku

Jeżeli po upadku dysk stuka, klika, nie wykrywa się albo wydaje nietypowe dźwięki, natychmiast odłącz go od zasilania.

Wewnątrz dysku mogło dojść do uszkodzenia głowic. Kolejne uruchomienie może spowodować zarysowanie powierzchni talerzy. A to właśnie tam zapisane są Twoje dane.

Nie sprawdzaj kilka razy, czy dysk „jeszcze ruszy”.

W takich przypadkach każda próba może mieć znaczenie.

Co z tego wynika?

Odzyskiwanie danych z dysku WD5000KMVW-11ZSMS5 po upadku było możliwe, ale uszkodzenia były bardzo poważne. Głowice przykleiły się do powierzchni talerzy, a kolejne próby uruchamiania doprowadziły do ich zerwania oraz zarysowania powierzchni magnetycznej.

Dodatkowym utrudnieniem była konstrukcja interfejsu dysku jako stałe złącze USB. Przed rozpoczęciem właściwego odczytu trzeba było zmienić elektronikę zewnętrzną PCB na kompatybilną elektronikę SATA i ją przeprogramować.

Konieczne było również dobranie odpowiednich głowic z dysku dawcy, demontaż talerzy z korpusu dysku, usunięcie przyklejonych sliderów, odszukanie zerwanych głowic,  oczyszczenie powierzchni magnetycznych każdego talerza osobno.

Mimo tych trudności dane udało się odzyskać. Około 2 GB plików było uszkodzonych, ponieważ fragmenty powierzchni talerzy zostały fizycznie zniszczone jeszcze przed rozpoczęciem prac laboratoryjnych.

To dobry przykład tego, jak ważna jest szybka reakcja po upadku dysku. Najlepiej odłączyć nośnik i nie podejmować kolejnych prób.

Im mniej pracy uszkodzonego dysku, tym większa szansa na skuteczne odzyskanie danych.

FAQ – odzyskiwanie danych z dysku WD5000KMVW po upadku i zerwaniu głowic

Czy z dysku z zerwanymi głowicami można odzyskać dane?

Tak, w wielu przypadkach jest to możliwe ale nie w każdym. Wszystko zależy jednak od stanu powierzchni magnetycznej talerzy. Jeżeli talerze są mocno zarysowane, część danych może być trwale uszkodzona.

Co oznacza, że głowice przykleiły się do talerzy?

Oznacza to, że po upadku albo awarii głowice zatrzymały się na powierzchni talerzy i nie zostały zaparkowane na rampie parkingowej. Próba uruchomienia dysku w takim stanie może zerwać głowice i zarysować powierzchnię magnetyczną.

Dlaczego dysku po upadku nie wolno uruchamiać ponownie?

Ponieważ wewnątrz mogło dojść do uszkodzenia głowic albo ich kontaktu z talerzami. Po ponownym uruchomieniu talerze zaczynają się obracać, a uszkodzone głowice mogą niszczyć powierzchnię, na której zapisane są dane.

Czy program do odzyskiwania danych pomoże przy takim uszkodzeniu?

Nie. Program nie naprawi uszkodzonych głowic i nie zabezpieczy talerzy. Przy awarii mechanicznej uruchamianie takiego programu może zmusić dysk do długiej pracy i jeszcze bardziej pogłębić uszkodzenia.

Dlaczego w tym dysku trzeba było zmieniać elektronikę PCB?

Model WD5000KMVW-11ZSMS5 ma zintegrowany interfejs USB. W procesie odzyskiwania danych konieczne było zastosowanie kompatybilnej elektroniki ze złączem SATA oraz jej przeprogramowanie. Bez tego nie dało się przygotować dysku do w pełni kontrolowanego odczytu danych.

Dlaczego konieczny był dobór głowic z dysku dawcy?

Głowice w dyskach twardych muszą pasować do konkretnej rodziny i konstrukcji nośnika. Nie można zastosować przypadkowego zespołu głowic. Źle dobrane głowice mogą uniemożliwić odczyt danych albo dodatkowo uszkodzić powierzchnię talerzy.

Dlaczego talerze były wyjmowane z korpusu dysku?

Talerze zostały wyjęte, ponieważ do ich powierzchni przykleiły się elementy uszkodzonych głowic. Trzeba było usunąć slidery i oczyścić powierzchnie magnetyczne każdego talerza osobno.

Dlaczego część plików była uszkodzona?

Część plików była uszkodzona, ponieważ fragmenty powierzchni magnetycznej zostały zarysowane podczas wcześniejszych prób uruchamiania dysku. Jeżeli dane znajdowały się właśnie w tych miejscach, mogły zostać częściowo albo całkowicie uszkodzone.

Czy uszkodzone pliki też są przekazywane klientowi?

Tak. Jeżeli pliki uda się odczytać, przekazujemy je klientowi również wtedy, gdy są częściowo uszkodzone. Przy zdjęciach lub dokumentach nawet niepełny plik może mieć dla właściciela dużą wartość.

Co zrobić, gdy dysk spadł i zaczął stukać?

Najlepiej natychmiast odłączyć dysk od zasilania i nie uruchamiać go ponownie. Najbezpieczniej przekazać nośnik do diagnozy w laboratorium odzyskiwania danych.

Czy każde stuknięcie dysku oznacza uszkodzone głowice?

Nie zawsze. Ale stukanie albo klikanie dysku bardzo często wskazuje na poważny problem z głowicami, powierzchnią talerzy albo firmware. Taki objaw należy potraktować jako ostrzeżenie.

W zakres naszych usług wchodzi także:

• Odzyskiwanie danych z dysków HDD
• Odzyskiwanie danych z dysków SSD
• Odzyskiwanie danych z macierzy RAID
• Odzyskiwanie danych z dysków NVMe
• Odzyskiwanie danych MacOS

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu