Odzyskiwanie danych z dysku po pożarze – Hitachi Deskstar

Odzyskiwanie danych z dysku po pożarze wymaga szczególnej ostrożności, ponieważ nośnik może być jednocześnie uszkodzony przez bardzo wysoką temperaturę, sadzę, stopione elementy oraz awarię elektroniki.

W tym przypadku do naszego laboratorium trafiły dwa dyski twarde 3,5 cala, które znajdowały się w domu podczas poważnego pożaru. Jeden z nośników był produkcji Hitachi, a drugi Western Digital. Oba miały wyraźne ślady działania ognia i wysokiej temperatury.

Na jednym z dysków zapisane były ważne prywatne zdjęcia oraz dokumenty, na których szczególnie zależało klientowi. Drugi nośnik przechowywał nagrania z kamer monitoringu.

Dwa uszkodzone dyski, ale tylko jeden zawierał ważne dane

Przed rozpoczęciem zaawansowanych prac przeprowadziliśmy dokładną rozmowę z klientem. Skonsultowaliśmy się również z technikiem, który wcześniej instalował system monitoringu.

Zleceniodawca miał wcześniejsze doświadczenie zawodowe w branży odzyskiwania danych, dlatego dobrze rozumiał, że nośniki w takim stanie wymagają niestandardowej procedury. Szczególnie zależało mu na prywatnych zdjęciach i dokumentach zapisanych na jednym z dysków.

Problem polegał na tym, że nie było wiadomo, który nośnik zawierał najważniejsze pliki. Etykiety obu dysków zostały spalone, dlatego nie można było od razu ustalić nawet ich dokładnych modeli.

Na podstawie rozmowy z klientem oraz konsultacji z instalatorem monitoringu przyjęliśmy, że zapis z kamer znajdował się najprawdopodobniej na dysku Western Digital. W pierwszej kolejności skupiliśmy się więc na drugim nośniku.

Decyzja okazała się trafna. Był to dysk Hitachi, na którym później odnaleźliśmy dwie partycje zawierające prywatne dane klienta.

Takie rozpoznanie przed rozpoczęciem prac pozwoliło ograniczyć zakres ingerencji i skoncentrować dostępne części oraz czas pracy na nośniku zawierającym najważniejsze pliki.

Spalone etykiety i identyfikacja modelu dysku Hitachi

Pożar praktycznie całkowicie zniszczył etykiety obu nośników. Nie można było odczytać z nich modelu, pojemności, numeru seryjnego ani pozostałych oznaczeń producenta.

Stanowiło to poważny problem, ponieważ bez prawidłowego określenia rodziny konstrukcyjnej i dokładnego modelu nie można było bezpiecznie dobrać kompatybilnego dawcy.

Identyfikację przeprowadziliśmy drogą dedukcji. Analizowaliśmy:

• konstrukcję mechaniki dysku
• budowę elektroniki PCB
• rozmieszczenie poszczególnych elementów
• zgodność z nośnikami znajdującymi się w naszej bazie dawców
• informacje możliwe do uzyskania z pamięci ROM

Oryginalna elektronika była bardzo poważnie uszkodzona, dlatego odczyt zawartości pamięci nie był prosty. Po wielu próbach udało się jednak odczytać zapis ROM-u przy użyciu programatora SVOD.

Zestawienie informacji uzyskanych z pamięci ROM z konstrukcją nośnika pozwoliło potwierdzić, że uszkodzonym dyskiem był Hitachi Deskstar 7K1000.C o oznaczeniu HDS721032CLA362.

Sam etap identyfikacji zajął sporo czasu, ale był niezbędny do prawidłowego zaplanowania dalszych prac oraz wyboru odpowiedniego dysku dawcy.

Pacjent: Hitachi Deskstar 7K1000.C

Parametry zidentyfikowanego nośnika:

• producent: Hitachi
• seria: Deskstar 7K1000.C
• model: HDS721032CLA362
• pojemność: 320 GB
• format: 3,5 cala
• liczba talerzy: 1
• liczba głowic: 2

Dysk znajdował się w części domu objętej pożarem. Ogień zniszczył około połowy budynku wraz z całym dachem, dlatego nośnik był przez dłuższy czas narażony na działanie bardzo wysokiej temperatury.

Zewnętrzne ślady pożaru były wyraźnie widoczne. Dopiero po otwarciu dysku w odpowiednich warunkach okazało się jednak, jak rozległe były uszkodzenia jego wnętrza.

Stopione elementy wewnątrz dysku

Wysoka temperatura doprowadziła do stopienia niemal wszystkich plastikowych elementów znajdujących się wewnątrz nośnika.

Szczególnie poważnym problemem była uszkodzona rampa parkingowa głowic. Jej fragmenty stopiły się, pozostawiając drobne osady na powierzchni magnetycznej talerza.

Nawet niewielkie zanieczyszczenie talerza może doprowadzić do kontaktu głowic z jego powierzchnią. Przy prędkości kilku tysięcy obrotów na minutę oznaczałoby to ryzyko natychmiastowego uszkodzenia nowych głowic oraz dalszej degradacji warstwy magnetycznej.

Dysku nie można więc było po prostu podłączyć do zasilania ani próbować uruchomić po wymianie samej elektroniki.

Uszkodzona elektronika PCB i zabezpieczenie pamięci ROM

Oryginalna elektronika PCB została poważnie uszkodzona przez wysoką temperaturę. Jej naprawa nie była możliwa.

Pamięć ROM zawierała jednak informacje potrzebne do prawidłowej współpracy elektroniki z głowicami i powierzchnią magnetyczną konkretnego egzemplarza dysku. Bez ich pozyskania zastosowanie elektroniki pochodzącej z innego nośnika nie pozwoliłoby na prawidłowe uruchomienie pacjenta.

Odczytaną przy użyciu programatora SVOD zawartość ROM-u zabezpieczyliśmy i wykorzystaliśmy podczas dalszych prac z przygotowanym dyskiem dawcą.

Dobór kompatybilnego dysku dawcy

W laboratorium Ram-Serwis posiadamy bazę dysków dawców różnych producentów, zarówno w formacie 2,5 cala, jak i 3,5 cala. Znalezienie odpowiednich kandydatów nie stanowiło więc problemu, ale wybór właściwego i w pełni kompatybilnego egzemplarza wymagał dokładnej selekcji.

Sam model dysku nie jest jedynym kryterium doboru dawcy. Konieczne było sprawdzenie między innymi zgodności:

• rodziny konstrukcyjnej
• zespołu głowic i jego mapowania
• parametrów mechanicznych
• wersji zastosowanych podzespołów
• charakterystyki mechaniki dysku dawcy

Po przeprowadzeniu selekcji wybraliśmy nośnik odpowiedni do dalszej procedury.

Wieloetapowe czyszczenie powierzchni talerza

Jednym z najtrudniejszych problemów był stan powierzchni magnetycznej talerza. Znajdowały się na niej drobne pozostałości stopionej rampy parkingowej głowic.

Talerz został poddany kilku kolejnym procedurom czyszczenia. Prace musiały być wykonywane bardzo ostrożnie, ponieważ zbyt intensywne czyszczenie mogłoby uszkodzić warstwę magnetyczną, na której zapisane były dane.

Po wielu próbach udało się usunąć zanieczyszczenia i przygotować powierzchnię do bezpiecznego kontaktu z głowicami pochodzącymi z dysku dawcy.

Przeniesienie talerza i kalibracja zespołu głowic

Oczyszczony talerz został przeniesiony do przygotowanego dysku dawcy. Następnie wykonaliśmy jego montaż oraz po zainstalowaniu zespołu głowic ich kalibrację.

W przypadku dysku jednotalerzowego operacja przeniesienia może wydawać się prostsza niż w modelach wielotalerzowych. Nadal jednak wymaga zachowania właściwego położenia podzespołów, idealnej czystości powierzchni oraz bardzo precyzyjnego montażu.

Po złożeniu nośnika rozpoczęliśmy serię kontrolowanych prób uruchomienia.

Odzyskiwanie danych z dysku po pożarze przy użyciu PC-3000 UDMA

Dalsze prace prowadziliśmy przy użyciu systemu PC-3000 UDMA. Narzędzie pozwala kontrolować zachowanie dysku na niskim poziomie, analizować jego odpowiedzi, pracować z obszarem serwisowym oraz ograniczać liczbę niepotrzebnych prób odczytu.

Po wielu próbach uruchomienia uzyskaliśmy prawidłowe parametry identyfikacyjne dysku — ID oraz Passport.

Uzyskanie ID i Passport było bardzo ważnym momentem, ale nie oznaczało jeszcze dostępu do danych. Początkowo nie mogliśmy uzyskać prawidłowego dostępu do obszaru serwisowego SA, w którym znajdują się moduły oprogramowania układowego potrzebne do prawidłowej pracy nośnika.

Po kolejnych działaniach udało się uzyskać dostęp do obszaru serwisowego i odczytać jego zawartość. Wykonaliśmy również kopię najważniejszych modułów, aby zabezpieczyć je przed ewentualnym pogorszeniem stanu dysku podczas dalszych prac.

Mapowanie głowic i odnalezienie dwóch partycji

Następnym celem było zmapowanie głowic, a następnie odczytanie początkowych sektorów nośnika. To właśnie w tym obszarze znajdują się informacje potrzebne do rozpoznania układu partycji i systemu plików.

Pierwsze próby nie dawały właściwych rezultatów. Konieczne było odpowiednie sterowanie kolejnością i parametrami odczytu oraz unikanie nadmiernego obciążania mechaniki.

Po wielu próbach udało się odczytać wystarczający zakres sektorów, aby uzyskać dostęp do pełnej logicznej struktury dwóch partycji zapisanych na dysku.

Potwierdziło to wcześniejsze przypuszczenia że wybraliśmy właściwy nośnik, zawierający prywatne zdjęcia i dokumenty klienta.

Odzyskaliśmy 66 GB, czyli około 95% danych klienta

Po ustabilizowaniu pracy dysku rozpoczęliśmy kontrolowane kopiowanie dostępnych sektorów. Proces prowadziliśmy tak, aby ograniczać obciążenie mechaniki i nie wykonywać niepotrzebnych, wielokrotnych prób w najbardziej uszkodzonych obszarach.

Łącznie udało się odzyskać 66 GB plików, co stanowiło około 95% danych użytkownika zapisanych na obu partycjach.

Biorąc pod uwagę:

• działanie ognia i bardzo wysokiej temperatury
• zniszczenie etykiety i konieczność identyfikacji modelu
• stopienie wewnętrznych elementów dysku
• zanieczyszczenie powierzchni talerza
• całkowite uszkodzenie elektroniki PCB
• konieczność wieloetapowego czyszczenia talerza
• przeniesienie talerza do mechaniki dawcy
• kalibrację zespołu głowic
• początkowy brak dostępu do obszaru serwisowego SA
• niestabilny odczyt początkowych sektorów

Rezultat końcowy uważamy za bardzo duży sukces.

Realizacja wymagała wielu etapów, kilku procedur czyszczenia talerza, właściwie dobranego dawcy, precyzyjnej pracy mechanicznej oraz diagnostyki przy użyciu PC-3000 UDMA.

Najważniejsze było jednak to, że z nośnika poważnie uszkodzonego podczas pożaru udało się odzyskać zdecydowaną większość ważnych zdjęć i dokumentów klienta.

Czy można odzyskać dane z dysku po pożarze?

Tak, w wielu przypadkach jest to możliwe. Widoczne ślady ognia, spalona etykieta, stopione elementy lub uszkodzona elektronika nie zawsze oznaczają, że zapisane dane zostały bezpowrotnie utracone.

Najważniejszy jest stan powierzchni magnetycznej talerzy. Dopóki warstwa zawierająca zapis nie została całkowicie zniszczona, może istnieć możliwość odczytania przynajmniej części danych.

Każde odzyskiwanie danych z dysku po pożarze wymaga jednak indywidualnej diagnostyki. Takiego nośnika nie należy:

• podłączać do zasilania
• samodzielnie otwierać
• czyścić wodą lub środkami chemicznymi
• przekładać elektroniki z przypadkowego dysku
• wielokrotnie próbować uruchamiać

Każda niekontrolowana próba uruchamiania takiego dysku może pogorszyć stan powierzchni magnetycznej albo uszkodzić elementy, które nadal można wykorzystać podczas profesjonalnej procedury odzyskania danych.

Jeżeli Twój dysk został uszkodzony przez pożar, wysoką temperaturę, wodę lub środki gaśnicze, pozostaw go w obecnym stanie i przekaż do specjalistycznej diagnostyki.

Zobacz – odzyskiwanie danych z dysku HDD