Funkcja TRIM w dysku SSD – czy można odzyskać usunięte dane?

Usunięcie plików lub sformatowanie dysku SSD nie zawsze oznacza natychmiastową i całkowitą utratę danych. W przypadku nośników półprzewodnikowych sytuację komplikuje jednak funkcja TRIM, która informuje kontroler SSD, że określone obszary pamięci nie są już potrzebne systemowi plików.

Od chwili usunięcia danych bardzo ważny jest czas oraz dalsze korzystanie z nośnika. Jeżeli na dysku SSD znajdują się potrzebne pliki, należy natychmiast przerwać jego używanie i odłączyć zasilanie.

Co to jest funkcja TRIM w dysku SSD?

TRIM to mechanizm komunikacji pomiędzy systemem operacyjnym a nośnikiem SSD. Gdy plik zostaje usunięty, system może przekazać dyskowi informację, że określone adresy logiczne nie muszą być już zachowywane.

Samo polecenie TRIM nie zawsze oznacza natychmiastowe fizyczne wyczyszczenie komórek pamięci. Informuje jednak kontroler, że dany zakres można oznaczyć jako nieużywany i przygotować do późniejszego usunięcia lub ponownego wykorzystania. Microsoft opisuje TRIM jako informację dla nośnika, że zawartość wskazanego zakresu nie musi być dalej utrzymywana.

Jak TRIM wpływa na odzyskiwanie danych?

W klasycznym dysku HDD usunięcie pliku najczęściej usuwa informacje o jego położeniu z systemu plików, ale sama zawartość sektorów może przez pewien czas pozostać niezmieniona.

W dysku SSD proces jest bardziej złożony. Po otrzymaniu informacji TRIM kontroler dysku może:

• oznaczyć określone strony pamięci jako nieaktualne
• usunąć ich powiązanie z adresami logicznymi
• przygotować bloki do czyszczenia
• wykorzystać je później podczas kolejnych zapisów
• zwrócić zera lub inne wartości przy próbie zwykłego odczytu

Dodatkowo kontroler SSD wykonuje własne procesy zarządzania pamięcią, takie jak garbage collection. Oznacza to, że stan danych może zmieniać się również wtedy, gdy użytkownik nie zapisuje nowych plików, ale nośnik pozostaje podłączony do zasilania.

Czy po wykonaniu TRIM dane są zawsze bezpowrotnie utracone?

Nie można odpowiedzieć na to pytanie jednakowo dla wszystkich dysków.

Możliwość odzyskania danych zależy między innymi od:

• modelu kontrolera
• rodzaju pamięci NAND
• sposobu implementacji TRIM
• czasu, jaki upłynął od usunięcia
• dalszego używania nośnika
• działania garbage collection
• szyfrowania wewnętrznego
• sposobu formatowania
• systemu plików
• stanu technicznego dysku

W niektórych przypadkach zwykły odczyt logiczny pokazuje wyłącznie puste obszary, ale specjalistyczna diagnostyka pozwala uzyskać dostęp do innego stanu translacji lub danych, które nie zostały jeszcze fizycznie wyczyszczone.

Nie ma jednak gwarancji odzysku. Każdy przypadek wymaga indywidualnej analizy.

Czy można odzyskać dane z dysku SSD po formacie?

Tak, w niektórych przypadkach jest to możliwe.

Samo sformatowanie nie zawsze oznacza natychmiastowe usunięcie całej zawartości pamięci NAND. Znaczenie ma jednak rodzaj formatowania oraz to, czy system przesłał do nośnika polecenia TRIM dla całej partycji.

Sytuacja może być korzystniejsza, gdy:

• dysk został szybko odłączony
• nośnik nie był ponownie używany
• nie zapisano nowych plików
• kontroler nie wykonał jeszcze pełnego czyszczenia bloków
• TRIM nie został poprawnie przekazany
• nośnik pracował przez interfejs, który nie obsłużył polecenia
• występują specyficzne możliwości pracy z danym kontrolerem

Sytuacja jest trudniejsza, gdy dysk długo pozostawał pod napięciem, system pracował dalej albo na nośniku zapisano nowe dane.

Jak sprawdzić, czy TRIM jest włączony w Windows?

W systemie Windows można sprawdzić stan obsługi TRIM poleceniem:
Aby uruchomić tę komendę, musisz otworzyć Wiersz polecenia jako administrator.

fsutil behavior query DisableDeleteNotify

Microsoft podaje to polecenie jako sposób sprawdzenia ustawienia TRIM dla systemów plików NTFS i ReFS.

Wynik:

NTFS DisableDeleteNotify = 0

zwykle oznacza, że system może wysyłać polecenia TRIM.

Wynik:

NTFS DisableDeleteNotify = 1

oznacza, że funkcja została wyłączona na poziomie systemu.

Samo ustawienie systemowe nie daje jednak pewności, że polecenie rzeczywiście dotarło do konkretnego nośnika. Znaczenie może mieć również kontroler, przejściówka, obudowa USB, sterownik i sposób podłączenia dysku.

Rola garbage collection

Garbage collection to wewnętrzny proces zarządzania pamięcią wykonywany przez kontroler SSD.

Kontroler grupuje aktualne dane, przenosi je pomiędzy blokami i przygotowuje nieużywane bloki do ponownego zapisu. Proces może działać niezależnie od systemu plików i jest sterowany przez firmware nośnika.

TRIM i garbage collection nie są tym samym:

• TRIM przekazuje informację, które adresy nie są już potrzebne
• garbage collection wykonuje porządkowanie i czyszczenie bloków wewnątrz pamięci

Dlatego dalsze zasilanie dysku po usunięciu danych może zmniejszać szanse na skuteczny odzysk.

Przykład odzyskiwania danych z SSD z aktywną funkcją TRIM

Do naszego laboratorium trafił dysk SSD SATA 2,5 cala Goodram CX400 o pojemności 512 GB, wyposażony w kontroler Phison PS3111-S11.

Dane zostały usunięte, a standardowy odczyt nie dawał dostępu do oczekiwanej zawartości. Konieczne było przeprowadzenie specjalistycznej diagnostyki oraz uruchomienie procedur serwisowych właściwych dla tego kontrolera.

W trakcie prac wykonaliśmy między innymi:

• identyfikację kontrolera i pamięci
• uruchomienie trybu serwisowego
• przygotowanie zadania diagnostycznego
• odbudowę translatora
• kontrolowany odczyt wszystkich sektorów
• analizę dostępnej struktury logicznej

W tym przypadku udało się uzyskać dostęp do pełnej pojemności logicznej nośnika i odzyskać część usuniętych danych.

Rezultat nie oznacza, że podobna procedura będzie skuteczna dla każdego dysku SSD. Pokazuje jednak, że niektóre przypadki wymagają metod wykraczających poza zwykłe programy do odzyskiwania plików.