Blog

Odzyskiwanie danych z WD My Cloud EX4100 RAID 5 – uszkodzone dyski i niekontrolowana odbudowa macierzy

Do laboratorium Ram-serwis Odzyskiwanie Danych trafił serwer plików NAS WD My Cloud EX4100 wyposażony w cztery dyski WD Red WD40EFRX-68N32N0 o pojemności 4 TB, pracujące w macierzy RAID 5.

Awaria była złożona. Dwa dyski miały uszkodzenia mechaniczne związane z pracą głowic i powierzchnią magnetyczną, a dodatkowo przed przekazaniem serwera do laboratorium podejmowano wielokrotne próby jego uruchomienia. W pewnym momencie urządzenie rozpoczęło niekontrolowaną odbudowę macierzy.

W efekcie doszło nie tylko do dalszej degradacji dwóch uszkodzonych dysków, ale również do częściowego nadpisania danych na pozostałych nośnikach. Zniszczeniu uległa więc zarówno część danych fizycznych, jak i logiczna struktura RAID.

Konfiguracja serwera NAS

Serwer pracował w konfiguracji:

• WD My Cloud EX4100
• 4 × HDD SATA 3,5 cala
• WD Red WD40EFRX-68N32N0
• pojemność pojedynczego dysku: 4 TB
• macierz RAID 5

Dyski oznaczyliśmy zgodnie z ich pierwotnym położeniem w serwerze jako 1, 2, 3 i 4.

Dyski 1 i 2 wykazywały poważne problemy mechaniczne. Dyski 3 i 4 znajdowały się w znacznie lepszym stanie technicznym, jednak wcześniejsza próba odbudowy RAID spowodowała zmiany również w danych zapisanych na sprawnych nośnikach.

Wielokrotne próby uruchomienia pogorszyły stan macierzy

W przypadku macierzy RAID utrata jednego dysku nie zawsze oznacza utratę danych. RAID 5 wykorzystuje dane parzystości i w określonych warunkach może pracować po awarii pojedynczego nośnika.

Sytuacja zmienia się jednak, gdy problemy dotyczą więcej niż jednego dysku albo rozpocznie się odbudowa macierzy w niewłaściwym stanie zestawu.

W tym przypadku wielokrotne uruchamianie serwera doprowadziło do dalszej pracy dysków 1 i 2 mimo problemów z głowicami i powierzchnią magnetyczną. Zwiększyło to liczbę uszkodzonych obszarów i utrudniło późniejszy odczyt.

Dodatkowym problemem była rozpoczęta wcześniej odbudowa RAID. Proces ten częściowo zmienił zawartość dysków 2 i 3, przez co oryginalny stan logiczny macierzy został zaburzony.

Dopiero podczas późniejszej analizy udało się ustalić zakres tych zmian.

Pierwszy etap – zabezpieczenie dostępnych dysków

Pierwszym zadaniem było zabezpieczenie tych nośników, które można było jeszcze uruchomić bez ingerencji mechanicznej.

Wykonaliśmy kopie technologiczne dostępnych dysków, aby dalszą analizę prowadzić na kopiach, a nie na oryginalnych nośnikach.

Dopiero po zabezpieczeniu możliwych do odczytania danych rozpoczęliśmy prace nad dyskami wymagającymi ingerencji mechanicznej.

Wymiana głowic w dwóch dyskach WD Red

Stan dysków 1 i 2 wymagał wymiany zespołów głowic.

Dobór kompatybilnych podzespołów w dyskach pracujących wcześniej w jednej macierzy wymagał zachowania dużej ostrożności. Po wcześniejszym wykonaniu kopii możliwe było wykorzystanie odpowiednio dobranych dysków jako źródła kompatybilnych elementów potrzebnych do dalszych prac.

Po wymianie głowic oba uszkodzone dyski udało się ponownie uruchomić.

Nie oznaczało to jednak końca problemów.

Uszkodzenia powierzchni i problemy z oprogramowaniem układowym

Po uruchomieniu dysków ujawniły się liczne uszkodzenia powierzchni magnetycznej.

Odczyt nie mógł być prowadzony w sposób ciągły. Konieczne było wielokrotne omijanie problematycznych obszarów, zmiana kolejności odczytu oraz powracanie do części bloków w późniejszych etapach wykonywania kopii.

Dodatkowo w obu dyskach występowały problemy w obszarze oprogramowania układowego związane z modułami dostępnymi przez głowicę H0.

Diagnostyka w systemie PC-3000 Express potwierdziła błędy odczytu części modułów Service Area.

Naprawa dostępu do oprogramowania układowego wymagała dodatkowych prac, ale ostatecznie oba nośniki udało się ustabilizować na tyle, aby rozpocząć wykonywanie ich kopii technologicznych.

Prawie 90% sprawnych bloków w dwóch uszkodzonych dyskach

Oba dyski znajdowały się w bardzo złym stanie.

Mimo licznych błędów odczytu oraz uszkodzeń powierzchni w ciągu kilku dni udało się uzyskać prawie 90% bloków danych z każdego z problematycznych nośników.

Nie oznaczało to jednak automatycznie odzyskania 90% plików.

W macierzy RAID dane pojedynczego pliku mogą być rozłożone pomiędzy kilka dysków. Dlatego kolejnym etapem było ustalenie pierwotnej konfiguracji RAID oraz sprawdzenie, które fragmenty macierzy zostały zmienione podczas wcześniejszej odbudowy.

Ustalenie parametrów RAID 5

Mając kopie wszystkich czterech dysków, rozpoczęliśmy analizę konfiguracji macierzy.

Konieczne było ustalenie między innymi:

• właściwej kolejności dysków
• rozmiaru paska danych – stripe size
• sposobu rozmieszczenia danych
• algorytmu parzystości
• punktów rozpoczęcia struktur RAID
• zakresu zmian spowodowanych wcześniejszą odbudową

Po ustaleniu parametrów możliwe było przygotowanie wirtualnej rekonstrukcji macierzy w środowisku PC-3000 Express RAID.

Niekontrolowana odbudowa RAID jako dodatkowe uszkodzenie

Największym problemem nie były już same brakujące sektory.

Analiza wykazała, że wcześniejsza odbudowa RAID częściowo nadpisała zawartość dysków 2 i 3. Oznaczało to, że nie można było po prostu ustawić właściwej kolejności dysków i uruchomić standardowej rekonstrukcji RAID 5.

Część bloków reprezentowała stan macierzy sprzed awarii, część dane zapisane podczas odbudowy, a część była całkowicie niedostępna z powodu fizycznych uszkodzeń powierzchni.

Konieczne było więc wykorzystanie wielu etapów analizy i rekonstrukcji, aby możliwie dokładnie odtworzyć pierwotną strukturę logiczną danych.

Prace nad tym etapem trwały kilka kolejnych dni.

Odbudowa logicznej struktury danych

Po ustaleniu właściwych parametrów RAID i skorygowaniu skutków wcześniejszej odbudowy udało się odtworzyć logiczną strukturę serwera.

Widoczne stały się katalogi i pliki zapisane na macierzy przed awarią.

Ostatecznie możliwe było odzyskanie około 90% danych znajdujących się na serwerze przed wystąpieniem problemu.

Przy skali uszkodzeń mechanicznych dwóch dysków oraz częściowym nadpisaniu danych na kolejnych nośnikach był to bardzo dobry rezultat techniczny.

Dodatkowy problem – uszkodzona obudowa WD My Cloud EX4100

Po zakończeniu odzyskiwania danych przygotowaliśmy cztery nowe dyski przeznaczone do ponownego uruchomienia serwera.

Wtedy ujawnił się jeszcze jeden problem.

Obudowa WD My Cloud EX4100 nie pracowała prawidłowo również z nowymi, sprawnymi dyskami. Wszystko wskazywało na dodatkowe uszkodzenie samego urządzenia, prawdopodobnie w obszarze odpowiedzialnym za zasilanie dysków.

Oznaczało to, że awaria nie ograniczała się wyłącznie do nośników tworzących macierz RAID.

Dlaczego historia wcześniejszych działań ma znaczenie?

Podczas odzyskiwania danych z RAID bardzo ważna jest informacja o wszystkich działaniach wykonanych po wystąpieniu awarii.

W tym przypadku dopiero analiza kopii wykazała, że wcześniej podejmowano wielokrotne próby uruchomienia serwera i odbudowy macierzy.

Takie działania mogą zmienić zawartość sprawnych dysków, przez co późniejsza rekonstrukcja staje się znacznie trudniejsza.

Jeżeli serwer NAS zgłasza awarię więcej niż jednego dysku albo rozpoczyna nieoczekiwaną odbudowę macierzy, bezpieczniejszym rozwiązaniem jest jego wyłączenie i zabezpieczenie wszystkich nośników przed kolejnymi zapisami.

Wynik odzyskiwania danych

W ramach realizacji:

• wykonano kopie technologiczne czterech dysków
• wymieniono zespoły głowic w dwóch uszkodzonych nośnikach
• przywrócono możliwość pracy z dyskami mającymi problemy z firmware
• odczytano prawie 90% bloków z najbardziej uszkodzonych dysków
• ustalono konfigurację RAID 5
• odtworzono kolejność dysków, stripe size i algorytm parzystości
• zrekonstruowano macierz wirtualnie
• skorygowano część skutków wcześniejszej niekontrolowanej odbudowy
• odbudowano logiczną strukturę katalogów i plików

Ostatecznie odzyskano około 90% danych zapisanych na macierzy przed awarią.

Przypadek WD My Cloud EX4100 pokazuje, że przy awarii RAID problemem może być jednocześnie stan mechaniczny dysków, firmware, uszkodzenia powierzchni oraz zmiany logiczne powstałe podczas wcześniejszych prób odbudowy.

W takich sytuacjach kluczowe znaczenie ma wykonanie kopii poszczególnych nośników przed rozpoczęciem jakichkolwiek dalszych operacji na macierzy.

Odzyskiwanie danych z macierzy RAID
Odzyskiwanie danych z serwera NAS

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu

Odzyskiwanie danych z dysku po pożarze – Hitachi Deskstar

Odzyskiwanie danych z dysku po pożarze wymaga szczególnej ostrożności, ponieważ nośnik może być jednocześnie uszkodzony przez bardzo wysoką temperaturę, sadzę, stopione elementy oraz awarię elektroniki.

W tym przypadku do naszego laboratorium trafiły dwa dyski twarde 3,5 cala, które znajdowały się w domu podczas poważnego pożaru. Jeden z nośników był produkcji Hitachi, a drugi Western Digital. Oba miały wyraźne ślady działania ognia i wysokiej temperatury.

Na jednym z dysków zapisane były ważne prywatne zdjęcia oraz dokumenty, na których szczególnie zależało klientowi. Drugi nośnik przechowywał nagrania z kamer monitoringu.

Dwa uszkodzone dyski, ale tylko jeden zawierał ważne dane

Przed rozpoczęciem zaawansowanych prac przeprowadziliśmy dokładną rozmowę z klientem. Skonsultowaliśmy się również z technikiem, który wcześniej instalował system monitoringu.

Zleceniodawca miał wcześniejsze doświadczenie zawodowe w branży odzyskiwania danych, dlatego dobrze rozumiał, że nośniki w takim stanie wymagają niestandardowej procedury. Szczególnie zależało mu na prywatnych zdjęciach i dokumentach zapisanych na jednym z dysków.

Problem polegał na tym, że nie było wiadomo, który nośnik zawierał najważniejsze pliki. Etykiety obu dysków zostały spalone, dlatego nie można było od razu ustalić nawet ich dokładnych modeli.

Na podstawie rozmowy z klientem oraz konsultacji z instalatorem monitoringu przyjęliśmy, że zapis z kamer znajdował się najprawdopodobniej na dysku Western Digital. W pierwszej kolejności skupiliśmy się więc na drugim nośniku.

Decyzja okazała się trafna. Był to dysk Hitachi, na którym później odnaleźliśmy dwie partycje zawierające prywatne dane klienta.

Takie rozpoznanie przed rozpoczęciem prac pozwoliło ograniczyć zakres ingerencji i skoncentrować dostępne części oraz czas pracy na nośniku zawierającym najważniejsze pliki.

Spalone etykiety i identyfikacja modelu dysku Hitachi

Pożar praktycznie całkowicie zniszczył etykiety obu nośników. Nie można było odczytać z nich modelu, pojemności, numeru seryjnego ani pozostałych oznaczeń producenta.

Stanowiło to poważny problem, ponieważ bez prawidłowego określenia rodziny konstrukcyjnej i dokładnego modelu nie można było bezpiecznie dobrać kompatybilnego dawcy.

Identyfikację przeprowadziliśmy drogą dedukcji. Analizowaliśmy:

• konstrukcję mechaniki dysku
• budowę elektroniki PCB
• rozmieszczenie poszczególnych elementów
• zgodność z nośnikami znajdującymi się w naszej bazie dawców
• informacje możliwe do uzyskania z pamięci ROM

Oryginalna elektronika była bardzo poważnie uszkodzona, dlatego odczyt zawartości pamięci nie był prosty. Po wielu próbach udało się jednak odczytać zapis ROM-u przy użyciu programatora SVOD.

Zestawienie informacji uzyskanych z pamięci ROM z konstrukcją nośnika pozwoliło potwierdzić, że uszkodzonym dyskiem był Hitachi Deskstar 7K1000.C o oznaczeniu HDS721032CLA362.

Sam etap identyfikacji zajął sporo czasu, ale był niezbędny do prawidłowego zaplanowania dalszych prac oraz wyboru odpowiedniego dysku dawcy.

Pacjent: Hitachi Deskstar 7K1000.C

Parametry zidentyfikowanego nośnika:

• producent: Hitachi
• seria: Deskstar 7K1000.C
• model: HDS721032CLA362
• pojemność: 320 GB
• format: 3,5 cala
• liczba talerzy: 1
• liczba głowic: 2

Dysk znajdował się w części domu objętej pożarem. Ogień zniszczył około połowy budynku wraz z całym dachem, dlatego nośnik był przez dłuższy czas narażony na działanie bardzo wysokiej temperatury.

Zewnętrzne ślady pożaru były wyraźnie widoczne. Dopiero po otwarciu dysku w odpowiednich warunkach okazało się jednak, jak rozległe były uszkodzenia jego wnętrza.

Stopione elementy wewnątrz dysku

Wysoka temperatura doprowadziła do stopienia niemal wszystkich plastikowych elementów znajdujących się wewnątrz nośnika.

Szczególnie poważnym problemem była uszkodzona rampa parkingowa głowic. Jej fragmenty stopiły się, pozostawiając drobne osady na powierzchni magnetycznej talerza.

Nawet niewielkie zanieczyszczenie talerza może doprowadzić do kontaktu głowic z jego powierzchnią. Przy prędkości kilku tysięcy obrotów na minutę oznaczałoby to ryzyko natychmiastowego uszkodzenia nowych głowic oraz dalszej degradacji warstwy magnetycznej.

Dysku nie można więc było po prostu podłączyć do zasilania ani próbować uruchomić po wymianie samej elektroniki.

Uszkodzona elektronika PCB i zabezpieczenie pamięci ROM

Oryginalna elektronika PCB została poważnie uszkodzona przez wysoką temperaturę. Jej naprawa nie była możliwa.

Pamięć ROM zawierała jednak informacje potrzebne do prawidłowej współpracy elektroniki z głowicami i powierzchnią magnetyczną konkretnego egzemplarza dysku. Bez ich pozyskania zastosowanie elektroniki pochodzącej z innego nośnika nie pozwoliłoby na prawidłowe uruchomienie pacjenta.

Odczytaną przy użyciu programatora SVOD zawartość ROM-u zabezpieczyliśmy i wykorzystaliśmy podczas dalszych prac z przygotowanym dyskiem dawcą.

Dobór kompatybilnego dysku dawcy

W laboratorium Ram-Serwis posiadamy bazę dysków dawców różnych producentów, zarówno w formacie 2,5 cala, jak i 3,5 cala. Znalezienie odpowiednich kandydatów nie stanowiło więc problemu, ale wybór właściwego i w pełni kompatybilnego egzemplarza wymagał dokładnej selekcji.

Sam model dysku nie jest jedynym kryterium doboru dawcy. Konieczne było sprawdzenie między innymi zgodności:

• rodziny konstrukcyjnej
• zespołu głowic i jego mapowania
• parametrów mechanicznych
• wersji zastosowanych podzespołów
• charakterystyki mechaniki dysku dawcy

Po przeprowadzeniu selekcji wybraliśmy nośnik odpowiedni do dalszej procedury.

Wieloetapowe czyszczenie powierzchni talerza

Jednym z najtrudniejszych problemów był stan powierzchni magnetycznej talerza. Znajdowały się na niej drobne pozostałości stopionej rampy parkingowej głowic.

Talerz został poddany kilku kolejnym procedurom czyszczenia. Prace musiały być wykonywane bardzo ostrożnie, ponieważ zbyt intensywne czyszczenie mogłoby uszkodzić warstwę magnetyczną, na której zapisane były dane.

Po wielu próbach udało się usunąć zanieczyszczenia i przygotować powierzchnię do bezpiecznego kontaktu z głowicami pochodzącymi z dysku dawcy.

Przeniesienie talerza i kalibracja zespołu głowic

Oczyszczony talerz został przeniesiony do przygotowanego dysku dawcy. Następnie wykonaliśmy jego montaż oraz po zainstalowaniu zespołu głowic ich kalibrację.

W przypadku dysku jednotalerzowego operacja przeniesienia może wydawać się prostsza niż w modelach wielotalerzowych. Nadal jednak wymaga zachowania właściwego położenia podzespołów, idealnej czystości powierzchni oraz bardzo precyzyjnego montażu.

Po złożeniu nośnika rozpoczęliśmy serię kontrolowanych prób uruchomienia.

Odzyskiwanie danych z dysku po pożarze przy użyciu PC-3000 UDMA

Dalsze prace prowadziliśmy przy użyciu systemu PC-3000 UDMA. Narzędzie pozwala kontrolować zachowanie dysku na niskim poziomie, analizować jego odpowiedzi, pracować z obszarem serwisowym oraz ograniczać liczbę niepotrzebnych prób odczytu.

Po wielu próbach uruchomienia uzyskaliśmy prawidłowe parametry identyfikacyjne dysku — ID oraz Passport.

Uzyskanie ID i Passport było bardzo ważnym momentem, ale nie oznaczało jeszcze dostępu do danych. Początkowo nie mogliśmy uzyskać prawidłowego dostępu do obszaru serwisowego SA, w którym znajdują się moduły oprogramowania układowego potrzebne do prawidłowej pracy nośnika.

Po kolejnych działaniach udało się uzyskać dostęp do obszaru serwisowego i odczytać jego zawartość. Wykonaliśmy również kopię najważniejszych modułów, aby zabezpieczyć je przed ewentualnym pogorszeniem stanu dysku podczas dalszych prac.

Mapowanie głowic i odnalezienie dwóch partycji

Następnym celem było zmapowanie głowic, a następnie odczytanie początkowych sektorów nośnika. To właśnie w tym obszarze znajdują się informacje potrzebne do rozpoznania układu partycji i systemu plików.

Pierwsze próby nie dawały właściwych rezultatów. Konieczne było odpowiednie sterowanie kolejnością i parametrami odczytu oraz unikanie nadmiernego obciążania mechaniki.

Po wielu próbach udało się odczytać wystarczający zakres sektorów, aby uzyskać dostęp do pełnej logicznej struktury dwóch partycji zapisanych na dysku.

Potwierdziło to wcześniejsze przypuszczenia że wybraliśmy właściwy nośnik, zawierający prywatne zdjęcia i dokumenty klienta.

Odzyskaliśmy 66 GB, czyli około 95% danych klienta

Po ustabilizowaniu pracy dysku rozpoczęliśmy kontrolowane kopiowanie dostępnych sektorów. Proces prowadziliśmy tak, aby ograniczać obciążenie mechaniki i nie wykonywać niepotrzebnych, wielokrotnych prób w najbardziej uszkodzonych obszarach.

Łącznie udało się odzyskać 66 GB plików, co stanowiło około 95% danych użytkownika zapisanych na obu partycjach.

Biorąc pod uwagę:

• działanie ognia i bardzo wysokiej temperatury
• zniszczenie etykiety i konieczność identyfikacji modelu
• stopienie wewnętrznych elementów dysku
• zanieczyszczenie powierzchni talerza
• całkowite uszkodzenie elektroniki PCB
• konieczność wieloetapowego czyszczenia talerza
• przeniesienie talerza do mechaniki dawcy
• kalibrację zespołu głowic
• początkowy brak dostępu do obszaru serwisowego SA
• niestabilny odczyt początkowych sektorów

Rezultat końcowy uważamy za bardzo duży sukces.

Realizacja wymagała wielu etapów, kilku procedur czyszczenia talerza, właściwie dobranego dawcy, precyzyjnej pracy mechanicznej oraz diagnostyki przy użyciu PC-3000 UDMA.

Najważniejsze było jednak to, że z nośnika poważnie uszkodzonego podczas pożaru udało się odzyskać zdecydowaną większość ważnych zdjęć i dokumentów klienta.

Czy można odzyskać dane z dysku po pożarze?

Tak, w wielu przypadkach jest to możliwe. Widoczne ślady ognia, spalona etykieta, stopione elementy lub uszkodzona elektronika nie zawsze oznaczają, że zapisane dane zostały bezpowrotnie utracone.

Najważniejszy jest stan powierzchni magnetycznej talerzy. Dopóki warstwa zawierająca zapis nie została całkowicie zniszczona, może istnieć możliwość odczytania przynajmniej części danych.

Każde odzyskiwanie danych z dysku po pożarze wymaga jednak indywidualnej diagnostyki. Takiego nośnika nie należy:

• podłączać do zasilania
• samodzielnie otwierać
• czyścić wodą lub środkami chemicznymi
• przekładać elektroniki z przypadkowego dysku
• wielokrotnie próbować uruchamiać

Każda niekontrolowana próba uruchamiania takiego dysku może pogorszyć stan powierzchni magnetycznej albo uszkodzić elementy, które nadal można wykorzystać podczas profesjonalnej procedury odzyskania danych.

Jeżeli Twój dysk został uszkodzony przez pożar, wysoką temperaturę, wodę lub środki gaśnicze, pozostaw go w obecnym stanie i przekaż do specjalistycznej diagnostyki.

Zobacz – odzyskiwanie danych z dysku HDD

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu

Odzyskiwanie danych WD5000KMVW-11ZSMS5 po upadku dysku i zerwaniu głowic.

Krótkie podsumowanie realizacji zlecenia

Do laboratorium Ram-Serwis Odzyskiwanie Danych  trafił zewnętrzny dysk twardy Western Digital WD5000KMVW-11ZSMS5 o pojemności 500 GB. To 2,5-calowy dysk z rodziny Helios, ze zintegrowanym interfejsem USB.

Nośnik spadł. Po upadku doszło do bardzo poważnych uszkodzeń mechanicznych wewnątrz komory talerzy. Głowice przykleiły się do powierzchni magnetycznej, a dysk był później kilka razy uruchamiany. Niestety właśnie te kolejne próby najbardziej pogorszyły sytuację.

W czasie uruchamiania uszkodzone głowice zostały zerwane, a ich elementy zaczęły rysować powierzchnię talerzy. To zawsze jest bardzo niebezpieczny moment, bo właśnie na tej powierzchni zapisane są dane użytkownika nośnika.

Sprawa była trudna także z innego powodu. Ten model dysku ma elektronikę zewnętrzną PCB ze stałym złączem USB. W praktyce oznacza to, że przed właściwym odzyskiwaniem danych trzeba było przygotować dysk do pracy przez interfejs SATA. Sama podmiana elektroniki nie wystarcza. Konieczne było również jej przeprogramowanie.

Na dysku znajdowało się około 70 GB danych. Najważniejsze dla właściciela były zdjęcia.

Dane udało się odzyskać. Około 2 GB plików było jednak uszkodzonych, ponieważ część powierzchni magnetycznej została fizycznie zarysowana jeszcze przed rozpoczęciem prac laboratoryjnych.

Ten przypadek bardzo dobrze pokazuje jedno. Dysku po upadku nie powinno się uruchamiać „na próbę”. Nawet jeden dodatkowy start może mieć tu duże znaczenie.

Charakterystyka dysku

Dysk WD5000KMVW-11ZSMS5 należy do rodziny Helios produkowanej przez Western Digital. Jest to zewnętrzny dysk HDD 2,5 cala z wbudowanym interfejsem USB i pojemnością 500 GB.

Zgłoszone objawy uszkodzenia nośnika

Po upadku dysk przestał działać prawidłowo. Użytkownik próbował uruchomić go ponownie, licząc na to, że nośnik zostanie jeszcze wykryty i pozwoli skopiować zapisane tam dane.

To bardzo częsty odruch. I zupełnie zrozumiały. Ktoś ma na dysku zdjęcia, dokumenty albo firmowe pliki, więc chce szybko sprawdzić, czy „jeszcze ruszy”.

Problem polega na tym, że przy uszkodzeniach mechanicznych dysku twardego HDD takie próby mogą wyrządzić więcej szkody niż sam upadek.

Jeżeli głowice przykleiły się do talerzy, zatrzymały się w niewłaściwym miejscu albo zostały uszkodzone, ponowne uruchomienie dysku może doprowadzić do ich zerwania. A później do rysowania powierzchni magnetycznej.

W tym przypadku właśnie tak się stało. Kolejne próby uruchamiania dysku pogłębiły uszkodzenia i zniszczyły część powierzchni, na której zapisane były dane użytkownika.

Wyniki diagnozy dysku

Po otwarciu dysku w warunkach laboratoryjnych było już widać, że uszkodzenia są poważne. Wewnątrz komory talerzy znajdował się oderwany element głowicy leżący bezpośrednio na powierzchni talerza.

Diagnoza wykazała:

• sklejenie głowic z powierzchnią talerzy po upadku dysku,
• zerwanie elementów głowic podczas kolejnych prób uruchamiania,
• obecność oderwanego slidera głowicy na powierzchni talerza,
• liczne uszkodzenia powierzchni magnetycznej,
• zarysowania powstałe podczas pracy uszkodzonego nośnika,
• problemy z bezpiecznym odczytem danych z uszkodzonych obszarów,
• konieczność dobrania kompatybilnych głowic z dysku dawcy,
• konieczność zmiany elektroniki PCB USB na odpowiednią elektronikę PCB SATA,
• konieczność przeprogramowania elektroniki przed rozpoczęciem odczytu danych.

Największym problemem nie był sam upadek. Prawdziwe zniszczenia powstały później, gdy dysk był dalej uruchamiany mimo uszkodzenia mechanicznego.

Głowice nie mogły już pracować prawidłowo nad powierzchnią talerzy. Zamiast odczytywać dane, zaczęły niszczyć powierzchnię magnetyczną.

Dodatkowe wyzwania techniczne

WD5000KMVW-11ZSMS5 to dysk 2,5 cala ze stałym złączem USB zintegrowanym z elektroniką PCB. Dla użytkownika to wygodne rozwiązanie. Dla laboratorium odzyskiwania danych oznacza dodatkową pracę.

Przed rozpoczęciem właściwego odczytu trzeba było zastąpić oryginalną elektronikę USB kompatybilną elektroniką ze złączem SATA.

Ale to nie jest zwykła wymiana płytki.

Elektronika dysku zawiera dane adaptacyjne przypisane do konkretnego egzemplarza nośnika. Bez nich dysk nie będzie poprawnie współpracował z mechaniką. Dlatego konieczne było przeprogramowanie PCB i przygotowanie elektroniki do pracy z odzyskiwanym dyskiem.

Dopiero po tym etapie można było przejść do dalszych prac związanych z bezpiecznym odczytem danych.

Dobór kompatybilnych głowic z dysku dawcy

Kolejnym etapem był dobór dysku dawcy.

Przy uszkodzonych głowicach HDD nie można po prostu wziąć głowic z dowolnego podobnego dysku. To tak nie działa.

Zespół głowic musi być zgodny i kompatybilny z konstrukcją nośnika i jego parametrami pracy. Źle dobrany dawca może całkowicie uniemożliwić odczyt danych. Może też doprowadzić do kolejnych uszkodzeń talerzy.

W tym przypadku dobór głowic był szczególnie ważny, ponieważ oryginalne głowice zostały uszkodzone i zerwane po wcześniejszych próbach uruchamiania dysku.

Czyszczenie powierzchni talerzy po sklejeniu głowic

Po otwarciu dysku okazało się, że elementy głowic przykleiły się do powierzchni talerzy. To bardzo delikatna sytuacja.

Aby przygotować nośnik do dalszych prac, konieczne było wyjęcie talerzy z korpusu dysku. Dopiero wtedy można było bezpiecznie usunąć przyklejone slidery i oczyścić powierzchnie magnetyczne każdego talerza osobno.

Prace wykonano przy użyciu specjalistycznych ściągaczy i narzędzi przeznaczonych do obsługi talerzy oraz głowic dysków twardych.

Ten etap miał ogromne znaczenie. Gdyby oderwane albo przyklejone elementy głowic pozostały na powierzchni talerzy, mogłyby dalej rysować powierzchnię podczas kolejnych prób odczytu.

A każda taka rysa to potencjalnie utracone dane.

Dlaczego wielokrotne uruchamianie dysku po upadku jest tak niebezpieczne?

Dysk twardy zapisuje dane na powierzchni magnetycznej talerzy. Głowice odczytu i zapisu pracują bardzo blisko tej powierzchni, ale w sprawnym dysku nie powinny jej dotykać.

Po upadku sytuacja może się zmienić w jednej chwili. Głowice mogą zatrzymać się w złym miejscu, przykleić się do talerza albo ulec mechanicznemu uszkodzeniu.

I teraz najgorszy scenariusz: użytkownik podłącza dysk jeszcze raz.

Talerze zaczynają się obracać. Uszkodzone głowice nie pracują już poprawnie. Zaczynają rysować powierzchnię magnetyczną. Czyli miejsce, w którym zapisane są dane.

W opisywanym przypadku kolejne uruchomienia doprowadziły do zerwania głowic i powstania uszkodzeń powierzchni talerzy. Skutek? Część plików została uszkodzona jeszcze przed rozpoczęciem prac w laboratorium.

Dlatego po upadku dysku najlepiej od razu go odłączyć. Bez sprawdzania. Bez kolejnych prób. Bez programu do odzyskiwania danych.

Przebieg prac laboratoryjnych

Odzyskiwanie danych z dysku WD5000KMVW-11ZSMS5 wymagało wielu etapów przygotowawczych i laboratoryjnych. Praca była prowadzona na sprzęcie do odzyskiwania danych PC3000 Expres. Ten nośnik nie nadawał się do standardowego odczytu. Nie było też mowy o bezpiecznym użyciu zwykłych programów do odzyskiwania danych.

W ramach realizacji wykonano:

• diagnostykę mechaniczną i elektroniczną nośnika
• otwarcie dysku w warunkach laboratoryjnych
• analizę uszkodzeń głowic oraz powierzchni talerzy
• zmianę elektroniki PCB ze złączem USB na kompatybilną elektronikę SATA
• przeprogramowanie elektroniki i przeniesienie niezbędnych danych adaptacyjnych
• dobór kompatybilnego dysku dawcy
• przygotowanie zgodnego zespołu głowic odczytu-zapisu
• demontaż talerzy z korpusu dysku
• usunięcie przyklejonych sliderów głowic z powierzchni talerzy i komory talerzy
• oczyszczenie powierzchni magnetycznych każdego talerza osobno
• ponowny montaż zespołu talerzy
• przygotowanie dysku do kontrolowanego odczytu bloków danych
• odczytanie i naprawa oprogramowania układowego SA
• mapowanie głowic
• wykonanie odczytu danych z uszkodzonego nośnika
• odbudowa logicznej struktury danych
• weryfikację struktury odzyskanych plików
• przekazanie klientowi wszystkich możliwych do odczytania danych, także plików częściowo uszkodzonych

Przy takich uszkodzeniach liczy się ograniczenie pracy dysku do minimum. Dysk nie może „mielić” godzinami. Nie może być testowany raz za razem.

Najważniejsze jest jedno: odczytać dane możliwie bezpiecznie, zanim stan powierzchni magnetycznej jeszcze się pogorszy.

Efekt prac

Na dysku znajdowało się około 70 GB danych. Największe znaczenie dla właściciela miały fotografie.

Mimo bardzo poważnych uszkodzeń mechanicznych dane udało się odzyskać. Około 2 GB plików było jednak uszkodzonych. Powód był prosty: część powierzchni magnetycznej talerzy została fizycznie zniszczona podczas wcześniejszych prób uruchamiania dysku.

Wszystkie możliwe do odczytania dane zostały przekazane właścicielowi. Dotyczyło to również plików częściowo uszkodzonych.

Przy zdjęciach nawet częściowo uszkodzonych taki plik może mieć dla klienta duże znaczenie. Czasem da się z niego odzyskać fragment obrazu. Czasem sam plik jest pamiątką, której właściciel nie chce stracić. Dlatego w Ram-Serwis nie odrzucamy automatycznie plików tylko dlatego, że są częściowo uszkodzone.

Jeżeli uda się je odczytać, klient je otrzymuje.

Statystyka realizacji zlecenia odzyskania danych

Co pokazuje ten przypadek?

Ten przypadek pokazuje, jak groźne może być uruchamianie dysku po upadku.

Gdyby nośnik został odłączony od razu po awarii, uszkodzenia mogły być mniejsze. Niestety wielokrotne próby uruchamiania doprowadziły do zerwania głowic i zarysowania powierzchni talerzy.

To właśnie te zarysowania spowodowały uszkodzenie części plików.

Najważniejsza zasada jest prosta:

Jeżeli dysk spadł, stuka, klika, nie wykrywa się albo pracuje inaczej niż zwykle, nie uruchamiaj go ponownie.

Każda kolejna próba może pogorszyć stan nośnika i zmniejszyć szanse na odzyskanie danych.

Uwaga: nie uruchamiaj dysku po upadku

Jeżeli po upadku dysk stuka, klika, nie wykrywa się albo wydaje nietypowe dźwięki, natychmiast odłącz go od zasilania.

Wewnątrz dysku mogło dojść do uszkodzenia głowic. Kolejne uruchomienie może spowodować zarysowanie powierzchni talerzy. A to właśnie tam zapisane są Twoje dane.

Nie sprawdzaj kilka razy, czy dysk „jeszcze ruszy”.

W takich przypadkach każda próba może mieć znaczenie.

Co z tego wynika?

Odzyskiwanie danych z dysku WD5000KMVW-11ZSMS5 po upadku było możliwe, ale uszkodzenia były bardzo poważne. Głowice przykleiły się do powierzchni talerzy, a kolejne próby uruchamiania doprowadziły do ich zerwania oraz zarysowania powierzchni magnetycznej.

Dodatkowym utrudnieniem była konstrukcja interfejsu dysku jako stałe złącze USB. Przed rozpoczęciem właściwego odczytu trzeba było zmienić elektronikę zewnętrzną PCB na kompatybilną elektronikę SATA i ją przeprogramować.

Konieczne było również dobranie odpowiednich głowic z dysku dawcy, demontaż talerzy z korpusu dysku, usunięcie przyklejonych sliderów, odszukanie zerwanych głowic,  oczyszczenie powierzchni magnetycznych każdego talerza osobno.

Mimo tych trudności dane udało się odzyskać. Około 2 GB plików było uszkodzonych, ponieważ fragmenty powierzchni talerzy zostały fizycznie zniszczone jeszcze przed rozpoczęciem prac laboratoryjnych.

To dobry przykład tego, jak ważna jest szybka reakcja po upadku dysku. Najlepiej odłączyć nośnik i nie podejmować kolejnych prób.

Im mniej pracy uszkodzonego dysku, tym większa szansa na skuteczne odzyskanie danych.

FAQ – odzyskiwanie danych z dysku WD5000KMVW po upadku i zerwaniu głowic

Czy z dysku z zerwanymi głowicami można odzyskać dane?

Tak, w wielu przypadkach jest to możliwe ale nie w każdym. Wszystko zależy jednak od stanu powierzchni magnetycznej talerzy. Jeżeli talerze są mocno zarysowane, część danych może być trwale uszkodzona.

Co oznacza, że głowice przykleiły się do talerzy?

Oznacza to, że po upadku albo awarii głowice zatrzymały się na powierzchni talerzy i nie zostały zaparkowane na rampie parkingowej. Próba uruchomienia dysku w takim stanie może zerwać głowice i zarysować powierzchnię magnetyczną.

Dlaczego dysku po upadku nie wolno uruchamiać ponownie?

Ponieważ wewnątrz mogło dojść do uszkodzenia głowic albo ich kontaktu z talerzami. Po ponownym uruchomieniu talerze zaczynają się obracać, a uszkodzone głowice mogą niszczyć powierzchnię, na której zapisane są dane.

Czy program do odzyskiwania danych pomoże przy takim uszkodzeniu?

Nie. Program nie naprawi uszkodzonych głowic i nie zabezpieczy talerzy. Przy awarii mechanicznej uruchamianie takiego programu może zmusić dysk do długiej pracy i jeszcze bardziej pogłębić uszkodzenia.

Dlaczego w tym dysku trzeba było zmieniać elektronikę PCB?

Model WD5000KMVW-11ZSMS5 ma zintegrowany interfejs USB. W procesie odzyskiwania danych konieczne było zastosowanie kompatybilnej elektroniki ze złączem SATA oraz jej przeprogramowanie. Bez tego nie dało się przygotować dysku do w pełni kontrolowanego odczytu danych.

Dlaczego konieczny był dobór głowic z dysku dawcy?

Głowice w dyskach twardych muszą pasować do konkretnej rodziny i konstrukcji nośnika. Nie można zastosować przypadkowego zespołu głowic. Źle dobrane głowice mogą uniemożliwić odczyt danych albo dodatkowo uszkodzić powierzchnię talerzy.

Dlaczego talerze były wyjmowane z korpusu dysku?

Talerze zostały wyjęte, ponieważ do ich powierzchni przykleiły się elementy uszkodzonych głowic. Trzeba było usunąć slidery i oczyścić powierzchnie magnetyczne każdego talerza osobno.

Dlaczego część plików była uszkodzona?

Część plików była uszkodzona, ponieważ fragmenty powierzchni magnetycznej zostały zarysowane podczas wcześniejszych prób uruchamiania dysku. Jeżeli dane znajdowały się właśnie w tych miejscach, mogły zostać częściowo albo całkowicie uszkodzone.

Czy uszkodzone pliki też są przekazywane klientowi?

Tak. Jeżeli pliki uda się odczytać, przekazujemy je klientowi również wtedy, gdy są częściowo uszkodzone. Przy zdjęciach lub dokumentach nawet niepełny plik może mieć dla właściciela dużą wartość.

Co zrobić, gdy dysk spadł i zaczął stukać?

Najlepiej natychmiast odłączyć dysk od zasilania i nie uruchamiać go ponownie. Najbezpieczniej przekazać nośnik do diagnozy w laboratorium odzyskiwania danych.

Czy każde stuknięcie dysku oznacza uszkodzone głowice?

Nie zawsze. Ale stukanie albo klikanie dysku bardzo często wskazuje na poważny problem z głowicami, powierzchnią talerzy albo firmware. Taki objaw należy potraktować jako ostrzeżenie.

W zakres naszych usług wchodzi także:

• Odzyskiwanie danych z dysków HDD
• Odzyskiwanie danych z dysków SSD
• Odzyskiwanie danych z macierzy RAID
• Odzyskiwanie danych z dysków NVMe
• Odzyskiwanie danych MacOS

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu

Odzyskiwanie danych z macierzy RAID 1 po przepięciu – dwa uszkodzone dyski Toshiba DT01ACA100

To jeden z najrzadziej spotykanych przypadków uszkodzeń po przepięciu, w którym spaleniu uległy nie tylko elektroniki PCB, ale również elementy znajdujące się wewnątrz hermetycznych komór talerzy obu dysków.

Krótkie podsumowanie realizacji

Do laboratorium Ram-serwis trafiły dwa dyski twarde Toshiba DT01ACA100 o pojemności 1 TB pracujące wcześniej jako macierz RAID 1. Klient zgłosił utratę dostępu do danych po awarii obudowy dyskowej spowodowanej przepięciem elektrycznym.

Wstępna diagnoza wykazała bardzo poważne uszkodzenia obu nośników. Oprócz spalonych układów elektronicznych uszkodzeniu uległy również elementy znajdujące się wewnątrz hermetycznych komór talerzy. W jednym dysku doszło do spalenia taśmy sygnałowej głowic, natomiast w drugim uszkodzeniu uległa cewka pozycjonująca głowice.

Ze względu na charakter uszkodzeń oraz pilny charakter sprawy konieczne było przeprowadzenie szczegółowej analizy technicznej obu nośników przed rozpoczęciem procesu odzyskiwania danych.

Informacje o nośnikach

Zgłoszony problem

Po wystąpieniu przepięcia obudowa macierzy RAID przestała działać. Dane zapisane na wolumenie RAID 1 stały się niedostępne.

Klientowi szczególnie zależało na szybkim odzyskaniu danych, jednak już podczas pierwszych oględzin było wiadomo, że uszkodzenia wykraczają poza typową awarię elektroniki.

Odzyskiwanie danych z macierzy RAID 1 po przepięciu- wyniki diagnozy dysków Toshiba

Dysk nr 1

Podczas analizy stwierdzono:

• uszkodzenie elektroniki PCB,
• spalenie taśmy sygnałowej głowic (FPC),
• uszkodzenie zespołu głowic,
• zanieczyszczenie powierzchni magnetycznej talerza,
• uszkodzenie uszczelki komory talerzy.

W wyniku przegrzania elementów wewnątrz dysku produkty spalania zostały rozprowadzone po wnętrzu komory talerzy, osiadając na powierzchniach odpowiedzialnych za przechowywanie danych.

Dysk nr 2

W drugim nośniku stwierdzono:

• uszkodzenie elektroniki PCB,
• spalenie cewki pozycjonującej głowice (Voice Coil),
• uszkodzenie zespołu głowic,
• zanieczyszczenie powierzchni magnetycznej talerza.

Podobnie jak w pierwszym dysku, spaleniu elementów mechanicznych towarzyszyło rozprzestrzenienie się zanieczyszczeń wewnątrz komory talerzy.

Dlaczego była to szczególnie trudna realizacja?

W większości przypadków przepięcie uszkadza jedynie elektronikę znajdującą się na zewnątrz dysku. W tym przypadku energia przepięcia doprowadziła do uszkodzenia również elementów znajdujących się wewnątrz hermetycznych komór dysków.

Oznaczało to konieczność:

• wymiany elektroniki PCB,
• przeprogramowania danych adaptacyjnych,
• oczyszczenia komór talerzy,
• oczyszczenia powierzchni magnetycznych,
• wymiany zespołów głowic,
• wykorzystania kompatybilnych dysków dawców,
• wykonania kopii sektorowych obu nośników,
• równoczesnej analizy danych z obu członków macierzy RAID 1.

Strategia odzyskiwania danych

Ponieważ oba dyski były uszkodzone, odzyskiwanie danych nie mogło zostać oparte wyłącznie na jednym nośniku.

W przypadku macierzy RAID 1 teoretycznie oba dyski przechowują identyczne dane. W praktyce uszkodzenia powierzchni magnetycznych mogą powodować utratę różnych sektorów na każdym z nośników.

Z tego powodu plan odzyskiwania zakładał równoległą pracę z oboma dyskami. Brakujące lub uszkodzone sektory z jednego nośnika miały zostać uzupełnione danymi odczytanymi z drugiego dysku.

Takie podejście znacząco zwiększa szansę na odzyskanie kompletnego zestawu danych.

Zakres planowanych prac

W celu odzyskania danych konieczne było:

• wymienienie elektroniki zewnętrznej PCB w obu dyskach,
• przeniesienie i przeprogramowanie danych adaptacyjnych,
• oczyszczenie komór talerzy,
• oczyszczenie powierzchni magnetycznych talerzy,
• wymiana uszkodzonych zespołów głowic,
• kalibracja układów odczytu,
• analiza Service Area,
• wykonanie kopii sektorowych,
• analiza spójności danych,
• odbudowa logicznej struktury RAID 1.

Prace prowadzone były przy wykorzystaniu komory laminarnej oraz systemu PC-3000 Express RAID.

Dokumentacja fotograficzna

Zdjęcie 1 – spalona taśma sygnałowa głowic (dysk nr 1)

Zdjęcie 2 – spalona cewka pozycjonująca głowice (dysk nr 2)

Zdjęcie 3 – zanieczyszczona powierzchnia magnetyczna

Zdjęcie 4 – ślad po spaleniu elementów wewnątrz komory talerzy

Zdjęcie 5 – uszkodzona uszczelka komory talerzy

Efekt końcowy wykonanych prac

Pomimo bardzo poważnych uszkodzeń mechanicznych oraz licznych operacji serwisowych udało się odczytać wszystkie sektory zawierające dane użytkownika.

Łącznie odczytano:

1 953 525 168 sektorów logicznych

Podczas końcowej analizy stwierdzono obecność jedynie:

129 uszkodzonych sektorów

Końcowy rezultat prac:

119 GB danych danych użytkownika odzyskanych z drugiej partycji

Wszystkie zapisane pliki zostały skutecznie odzyskane i przekazane właścicielowi.

FAQ

Czy RAID 1 chroni przed przepięciem?

Nie. RAID 1 zabezpiecza przed awarią pojedynczego dysku, ale nie chroni przed przepięciem, pożarem, zalaniem czy uszkodzeniem całego urządzenia.

Czy przepięcie może uszkodzić wnętrze dysku?

Tak. W skrajnych przypadkach uszkodzeniu ulegają nie tylko układy elektroniczne PCB, ale również głowice, cewki pozycjonujące i inne elementy znajdujące się wewnątrz komory talerzy.

Czy dane można odzyskać z dwóch uszkodzonych dysków RAID 1?

W wielu przypadkach tak. Informacje utracone na jednym dysku mogą zostać odczytane z drugiego członka macierzy.

Dlaczego odzyskiwanie danych wymagało pracy na obu dyskach jednocześnie?

Oba nośniki posiadały uszkodzenia powierzchni magnetycznych. Analiza danych z obu dysków zwiększa szanse na odzyskanie kompletnej zawartości macierzy RAID 1.

Jakie urządzenia wykorzystano podczas diagnostyki?

Prace prowadzono przy użyciu komory laminarnej, programatora, zestawy ściągaczy do głowic i talerza dysku oraz profesjonalnego systemu PC-3000 Express RAID przeznaczonego do odzyskiwania danych z uszkodzonych nośników i macierzy dyskowych.

W zakres naszych usług wchodzi także:

Odzyskiwanie danych z dysków SSD
Odzysk danych z dysku HDD, 
Odzyskiwanie danych MacOS

Czy macierz RAID 1 chroni przed utratą danych??

Wielu użytkowników uważa, że macierz RAID 1 stanowi pełne zabezpieczenie danych. W rzeczywistości RAID 1 zwiększa dostępność danych w przypadku awarii jednego dysku, ale nie zastępuje regularnych kopii zapasowych.

W prezentowanym przypadku oba dyski pracowały w macierzy RAID 1, jednak przepięcie elektryczne uszkodziło jednocześnie oba nośniki. W efekcie dane stały się niedostępne pomimo zastosowania rozwiązania uznawanego powszechnie za bezpieczne.

RAID 1 nie chroni przed:

• przepięciami elektrycznymi,
• uszkodzeniem zasilacza,
• awarią kontrolera RAID,
• pożarem,
• zalaniem,
• kradzieżą sprzętu,
• uszkodzeniem obudowy dyskowej NAS lub DAS,
• błędami systemu operacyjnego,
• usunięciem plików przez użytkownika,
• działaniem wirusów i ransomware,
• przypadkowym formatowaniem danych.

Jeżeli plik zostanie usunięty lub zaszyfrowany przez złośliwe oprogramowanie, zmiana zostanie natychmiast zapisana na obu dyskach macierzy. Podobnie w przypadku przepięcia lub uszkodzenia urządzenia – awaria może objąć jednocześnie wszystkie nośniki znajdujące się w obudowie.

Macierz RAID 1 należy traktować jako rozwiązanie zwiększające ciągłość pracy systemu, a nie jako kopię zapasową. Najlepszą ochronę danych zapewnia dopiero połączenie RAID z regularnie wykonywanymi kopiami bezpieczeństwa przechowywanymi na niezależnym nośniku lub w chmurze.

W opisywanym przypadku, odzyskiwanie danych z macierzy RAID 1 po przepięciu, awaria jednego dysku nie stanowiła problemu – problemem było jednoczesne uszkodzenie obu nośników przez to samo przepięcie. To właśnie dlatego nawet przy zastosowaniu RAID 1 zalecamy regularne wykonywanie niezależnych kopii zapasowych.

•  Odzyskiwanie danych z dysków SSD

•  Odzyskiwanie danych z macierzy RAID

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu

Odzyskiwanie danych WD5000KMVW-11ZSMS5 z uszkodzonymi głowicami

Krótkie podsumowanie realizacji zlecenia.

Do laboratorium Ram-serwis trafił zewnętrzny dysk twardy Western Digital WD5000KMVW-11ZSMS5 o pojemności 500 GB, należący do rodziny Helios. Nośnik był całkowicie niedostępny, a zapisane na nim dane miały dużą wartość dla właściciela.

Już podczas wstępnej diagnostyki stwierdzono bardzo poważne uszkodzenia mechaniczne obejmujące zarówno zespół głowic odczytu-zapisu, jak również powierzchnię magnetyczną talerzy w obszarze Service Area (SA), odpowiedzialnym za przechowywanie oprogramowania układowego dysku.

Przypadek należał do grupy najtrudniejszych realizacji odzyskiwania danych, jakie trafiają do laboratorium. Do skutecznego zakończenia prac konieczne było wykorzystanie pięciu dysków dawców, pięciokrotna wymiana głowic oraz przeprowadzenie zaawansowanych operacji związanych z elektroniką dysku USB.

Informacje o nośniku

Zgłoszone objawy uszkodzenia nośnika

Przed przekazaniem nośnika do laboratorium użytkownik utracił dostęp do wszystkich zapisanych danych. Dysk nie pozwalał na prawidłowy odczyt informacji, a standardowe metody diagnostyczne nie umożliwiały uzyskania dostępu do zawartości nośnika.

Po otwarciu dysku stwierdzono obecność poważnych uszkodzeń mechanicznych wewnątrz komory talerzy.

Wyniki diagnozy dysku.

Szczegółowa analiza wykazała:

• całkowite zerwanie dwóch głowic odczytu-zapisu,
• przemieszczanie się uszkodzonych elementów wewnątrz komory dysku,
• uszkodzenia powierzchni magnetycznej talerzy,
• uszkodzenia w obszarze Service Area,
• problemy z dostępem do modułów firmware,
• uszkodzenie elektroniki wymagające zastosowania kompatybilnej płytki PCB.

Uszkodzenia powierzchni magnetycznej występowały w obszarach wykorzystywanych przez firmware dysku. Powodowało to bardzo szybkie zużywanie kolejnych zespołów głowic wykorzystywanych podczas prób odczytu danych.

Dodatkowe wyzwania techniczne

Model WD5000KMVW wyposażony jest w elektronikę ze zintegrowanym interfejsem USB. W odróżnieniu od standardowych dysków SATA nie było możliwości zastosowania typowej elektroniki serwisowej bez odpowiednich jej modyfikacji.

W trakcie realizacji konieczna była wymiana elektroniki PCB ze złączem USB na kompatybilny moduł ze złączem SATA pochodzący z dysku dawcy. Następnie przeprowadzono przeniesienie danych adaptacyjnych oraz przeprogramowanie elektroniki tak, aby mogła prawidłowo współpracować z zespołem talerzy i głowic odzyskiwanego nośnika.

Dopiero po przywróceniu poprawnej komunikacji możliwe było rozpoczęcie kolejnych etapów odzyskiwania danych.

Przebieg prac laboratoryjnych

Odzyskiwanie danych WD5000KMVW-11ZSMS5 z uszkodzonymi głowicami trwał niemal dwa tygodnie i wymagał przeprowadzenia wielu zaawansowanych operacji laboratoryjnych.

W ramach realizacji wykonano:

1. Diagnostykę mechaniczną i elektroniczną nośnika.
2. Otwarcie dysku w komorze laminarnej.
3. Analizę uszkodzeń zespołu głowic i powierzchni talerzy.
4. Wymianę elektroniki zewnętrznej PCB.
5. Odczyt i przeniesienie danych adaptacyjnych.
6. Przeprogramowanie elektroniki USB dawcy.
7. Oczyszczenie elementów wewnętrznych dysku.
8. Wielokrotne wymiany zespołów głowic.
9. Rekonstrukcję dostępu do Service Area.
10. Stopniowe wykonywanie kopii posektorowej.
11. Kontrolę stanu powierzchni podczas każdego etapu odczytu.
12. Weryfikację kompletności odzyskanych danych.

Prace wykonywano przy użyciu specjalistycznego wyposażenia laboratoryjnego:

• PC-3000 Portable III,
• komory laminarnej,
• profesjonalnych ściągaczy “grzebieni” do wymiany głowic,
• narzędzi do demontażu i stabilizacji zespołów talerzy,
• specjalistycznych przyrządów umożliwiających oczyszczanie powierzchni talerzy.

Ze względu na stopień uszkodzeń wykorzystano pięć kompatybilnych dysków dawców. Łącznie przeprowadzono pięć pełnych wymian zespołu głowic odczytu-zapisu.

Każdy kolejny komplet głowic umożliwiał odczyt kolejnych fragmentów danych do momentu uszkodzenia przez zdegradowane obszary powierzchni magnetycznej znajdujące się w strefie serwisowej dysku.

Efekt prac

Pomimo bardzo poważnych uszkodzeń mechanicznych oraz licznych operacji serwisowych udało się odczytać wszystkie sektory zawierające dane użytkownika.

Łącznie odczytano:

976 773 168 sektorów logicznych

Podczas końcowej analizy stwierdzono obecność jedynie:

32 uszkodzonych sektorów

Sektory te znajdowały się w niezapisanej części przestrzeni dyskowej i nie zawierały żadnych danych użytkownika.

Końcowy rezultat prac:

100% danych użytkownika odzyskanych

Wszystkie zapisane pliki zostały skutecznie odzyskane i przekazane właścicielowi.

Statystyka realizacji zlecenia odzyskania danych.

Wnioski

Uszkodzenia głowic odczytu-zapisu należą do najpoważniejszych awarii dysków twardych. W przypadku dalszej pracy uszkodzonego nośnika bardzo często dochodzi do niszczenia powierzchni magnetycznej oraz utraty dostępu do obszarów firmware.

W prezentowanym przypadku uszkodzenia objęły zarówno głowice, jak i powierzchnię Service Area, co znacząco zwiększyło stopień trudności odzyskiwania danych. Dzięki zastosowaniu specjalistycznych procedur laboratoryjnych oraz wykorzystaniu pięciu dysków dawców możliwe było odzyskanie wszystkich danych zapisanych na nośniku.

Przypadek odzyskiwania danych WD5000KMVW-11ZSMS5 z uszkodzonymi głowice i SA pokazuje, jak istotne jest natychmiastowe wyłączenie uszkodzonego dysku po pojawieniu się pierwszych objawów awarii i przekazanie go do specjalistycznego laboratorium odzyskiwania danych.

FAQ – odzyskiwanie danych z dysku WD5000KMVW po uszkodzeniu głowic

Czy z dysku z zerwanymi głowicami można odzyskać dane?

Tak, jednak skuteczność odzyskiwania zależy od stopnia uszkodzenia powierzchni magnetycznej talerzy. Im szybciej dysk zostanie wyłączony po wystąpieniu awarii, tym większa szansa na odzyskanie danych.

Co oznacza stukanie lub klikanie dysku?

Stukanie najczęściej świadczy o problemach z głowicami odczytu-zapisu lub uszkodzeniach firmware. Dalsze uruchamianie takiego nośnika może prowadzić do nieodwracalnych uszkodzeń powierzchni talerzy.

Dlaczego potrzebnych było aż pięć dysków dawców?

Uszkodzenia powierzchni magnetycznej występowały również w obszarze Service Area. Każdy komplet zamontowanych głowic ulegał stopniowemu uszkodzeniu podczas odczytu zdegradowanych obszarów. Aby uzyskać dostęp do wszystkich danych konieczne było wykorzystanie pięciu kompatybilnych zestawów głowic.

Czy można samodzielnie wymienić głowice w dysku twardym?

Nie. Wymiana głowic wymaga pracy w kontrolowanych warunkach laboratoryjnych oraz zastosowania specjalistycznych narzędzi (komora laminarna, ściągacze głowic, narzędzia do czyszczenia powierzchni magnetycznych talerzy, programator itp. ). Nawet niewielkie zanieczyszczenie wnętrza dysku może doprowadzić do trwałej utraty danych.

Co to jest Service Area (SA)?

Service Area to specjalny obszar powierzchni talerzy zawierający firmware dysku oraz informacje niezbędne do jego prawidłowego działania. Uszkodzenia tej strefy należą do najtrudniejszych awarii spotykanych podczas odzyskiwania danych.

Czy uszkodzenie Service Area oznacza utratę danych?

Niekoniecznie. W wielu przypadkach możliwe jest częściowe lub całkowite odzyskanie danych, jednak wymaga to zaawansowanych procedur laboratoryjnych oraz specjalistycznego sprzętu.

Dlaczego wymieniano elektronikę PCB?

Odzyskiwany dysk posiadał zintegrowany interfejs USB. W celu przywrócenia komunikacji z nośnikiem konieczne było zastosowanie kompatybilnej elektroniki ze złączem SATA oraz przeniesienie danych adaptacyjnych zapisanych dla konkretnego egzemplarza dysku.

Czy dane zostały odzyskane w całości?

Tak. Odczytano wszystkie sektory zawierające dane użytkownika. W trakcie końcowej analizy wykryto jedynie 32 uszkodzone i niemożliwe do odczytania sektory znajdujące się w niezapisanej części przestrzeni dyskowej.

Jak długo trwało odzyskiwanie danych?

Ze względu na konieczność wielokrotnej wymiany głowic, rekonstrukcji dostępu do Service Area oraz stopniowego wykonywania kopii posektorowej proces trwał około dwóch tygodni.

Co zrobić, gdy dysk zaczyna stukać?

Należy natychmiast wyłączyć urządzenie i odłączyć je od zasilania. Każda kolejna próba uruchomienia może zwiększać zakres uszkodzeń tak głowic jak i powierzchni magnetycznych talerzy i zmniejszać szanse na skuteczne odzyskanie danych.

W zakres naszych usług wchodzi także:

Odzyskiwanie danych z dysków SSD
Odzyskiwanie danych z macierzy RAID
Odzyskiwanie danych MacOS

Krzysztof Woźniak

Technik odzyskiwania danych

Od 1996 roku zajmuję się odzyskiwaniem danych z uszkodzonych dysków HDD, SSD, NVMe oraz macierzy RAID. Opisywane na stronie przypadki pochodzą z rzeczywistych zleceń wykonanych przeze mnie w laboratorium Ram-serwis Odzyskiwanie Danych.

Więcej o laboratorium i doświadczeniu