Восстановление данных в случае логических ошибок

Логические ошибки – широкий спектр неисправностей, связанных с потерей данных с физически исправных устройств. Прежде всего, это неисправности, причиной которых являются ошибки пользователя: удаление данных (случайно или намеренно), форматирование разделов, удаление разделов и т.п. На втором месте стоят неисправности, связанные со сбоями работы файловой системы: неправильные записи в файловые таблицы («мусор» в FAT или MFT), смещения записей, ошибки в битмап и т.п. Такие типы неисправностей возникают тогда, когда операционная система производит вместо записи данных в один сектор – запись данных в другой; случается это потому, что диск время от времени не может скорректировать ошибки позиционирования (а они случаются более-менее регулярно), и вместо нужного сектора «подставляет под запись» случайный.

Довольно большой процент логических ошибок – установка новой операционной системы поверх старой без предварительного копирования данных.
Кроме того, к классу логических ошибок относят порчу файлов (например, возникновение дефектных секторов в теле файла на диске; изменение заголовка файла в результате сбоя при записи; неправильный расчет контрольной суммы; и т.п.). При этом файл читается и записывается, но не работает. Например, если это файл изображения, то вместо изображения на экране появляется черное или серое поле, или изображение выводится на экран, но имеет повреждения (смещения картинки, изменения цветопередачи, артефакты и т.п.). В большинстве случаев восстановление таких файлов возможно. Например, пакет MS Office предлагает восстанавливать любой открываемый файл (но при этом уточняет, из надежного ли источника он взят, чтобы не заразиться вирусом); по нашей статистике, до 30% файлов Office восстанавливает его внутренняя программа для их починки.

Для решения логических проблем существует три основных подхода, которые мы используем в зависимости от сложности проблемы, типа неисправности и времени, которым мы располагаем для восстановления данных.

Первый подход – создание полной посекторной копии накопителя и сканирование этой копии для поиска потерянных данных. Этот метод дает наилучшие результаты, однако требует много времени. Применяется в основном в случае удаления файлов или форматирования/удаления разделов.

Кроме того, используется в случае установки новой операционной системы поверх старой без копирования данных.

Второй подход – создание полной посекторной копии накопителя и ручная правка файловых таблиц для получения доступа к данным. Применяется в основном в случаях, когда происходит смещение записей в MFT или FAT.

Третий подход – восстановление отдельных файлов, если известно их местоположение или если они не запускаются (повреждены). При этом посекторная копия накопителя не делается, так как никаких изменений в накопитель мы не вносим.

Заметим, что полная копия накопителя – важный момент, без которого мы не будем работать с таким накопителем. Это связано с тем, что в случае, если мы вносим в накопитель какие-то изменения, эти изменения могут оказаться фатальными для данных; имея нетронутую оригинальную копию данных, мы всегда можем откатить все изменения назад и продолжить восстановление данных по другому пути.

Важно заметить, что довольно часто наши заказчики приносят накопители, на которых уже пытались восстановить данные самостоятельно. Как правило, это приводит к плачевным последствиям: восстанавливая данные на тот же накопитель, с которого восстанавливаются данные, часть восстанавливаемых данных оказывается нерабочей. Это легко объяснить следующим примером: скажем, вы отформатировали носитель. Теперь он у вас пустой. Хватившись данных, вы отсканировали накопитель какой-то программой, которую нашли в интернете, и нашли ваши данные; записали эти данные на ваш накопитель.

Что получилось? Программа построила виртуальную файловую систему, в которой она «знает», где и какие данные лежат на диске (удаленные данные). Однако для операционной системы диск продолжает быть пустым, и когда вы начинаете копирование данных, операционная система заполняет этот диск как пустой. Соответственно, по мере заполнения диска программа начинает вычитывать не удаленные, а свежие данные, записанные в те сектора, где до перезаписи находились старые данные. Эти данные в большинстве случаев не имеют ничего общего с теми, что находились там до перезаписи – например, если вы записали в область каталога с документами фильм, то программа начнет «выдергивать» из секторов фрагменты этого фильма с расширениями документов. Таким образом данные, которые можно было восстановить, окажутся почти полностью уничтоженными.