Восстановление данных с флеш-карт, microSD и других NAND-устройств, которые не определяются в системе

Ситуации, когда флеш-носители информации выходят из строя, случаются довольно часто. Едва ли не самая главная причина этого – перегрев. Наиболее распространенные в настоящее время карты памяти типа microSD устанавливаются в мобильные телефоны и видеорегистраторы, реже – в диктофоны, GPS-навигаторы и другие подобные устройства. Главный их враг при этом – перегрев. Не секрет, что видеорегистратор, установленный на лобовом стекле автомобиля, получает огромное количество солнечного света, и сильно греется. Это приводит к тому, что установленная в нем карта памяти работает в условиях постоянного перегрева; в среднем карты памяти из видеорегистраторов в нашем климате выходят из строя один раз в 3 месяца, иногда – чаще. Карты в телефонах выходят из строя пореже, но главная причина выхода их из строя – также перегрев. Телефоны часто «забывают» на солнце (на столе, в автомобиле на передней панели и т.п.), отчего они сильно нагреваются. Кстати, это же может оказаться в конечном итоге и причиной выхода из строя самого телефона – либо «умирают» находящиеся внутри аппарата микросхемы, либо «течет» дисплей.

Другая распространенная причина выхода из строя карт памяти – работа с ними в режиме удаления файлов на устройствах, которые для этого не предназначены, например – фотоаппараты. Конечно, в фотоаппарате предусмотрена функция удаления снимков по вашему выбору, однако ее реализация далека от той, какой она сделана в полноценном компьютере под управлением полноценной операционной системы. Давайте рассмотрим простой пример.

Любая камера пишет данные (будь то фотографии или видео) непрерывно, то есть файл за файлом, заполняя карту от начала до конца. Камеры используют файловую систему FAT32 или extFAT, имеющие массу ограничений на работу с файлами. Теперь представьте: вы отсняли большую фотосессию (скажем, 500 снимков, как в JPRG, так и в RAW форматах), и ваш заказчик решил посмотреть, что было отснято – законное желание, которому профессиональный фотограф не может сопротивляться. В процессе просмотра клиент указал на снимки, которые ему не нравятся, и вы их удалили. Соответственно, в сплошном потоке данных появились «дыры», на которых раньше были фотографии. Файловая система рапортует о свободном пространстве, вы продолжаете съемку. Но проблема в том, что это свободное место находится не в конце карты, а рандомно раскидано по всей ее поверхности, и когда вы делаете следующий снимок, он может просто не уместиться туда, где раньше был другой. Камера будет пытаться «впихнуть невпихуемое», как итог – перепишется заголовок следующего за свободным местом файла, и на поверхности карты образуется «каша» — в файловой системе запись о следующей фотографии (как о файле) имеется, но самого файла нет – точнее, имеется его тело, но нет заголовка. Файловая система дает сбой – перестают читаться все файлы, так как нарушена целостность данных. Но и это не самое интересное – после того, как «невпихуемое» будет записано, камера «поправит» файловую систему так, что следующий за переписанным заголовок файла тоже не будет читаться – образуется смещение записи файловой системы. Ну а теперь давайте представим, что это был не единичный кадр, а целая серия – вы ведь не просматриваете содержимое флешки после каждого снимка. Соответственно, вы получите серию смещений, которые превращают записи о файлах в нечитаемый вид: то есть в файловой системе запись о файле есть, но его координаты перенесены куда-то в другое место, и если вы будете просматривать фотографии или копировать их, то вместо работающих снимков вы получите картину Малевича «черный квадрат». Я ничего не имею против современного искусства, но вряд ли невеста или жених будут довольны таким сюрреализмом вместо фотографии на фоне Дворца бракосочетания или видео о их свадьбе.

И это лишь один из возможных сценариев. Наиболее неприятный – когда карта памяти «сходит с ума» — ее работа оптимизирована под FAT, и если в FAT случаются смещения, то может «окриветь» и транслятор самой карты. При этом она внезапно перестанет определяться компьютером, или, если будет определяться, то это будет название карты и объем в 0 байт.

При логических проблемах (см. соответствующий раздел нашего сайта) особых проблем с восстановлением данных не возникает – наши специалисты используют для таких типов восстановления информации лицензированные и сертифицированные ПАК РС-3000 известного российского производителя АСЕ Lab. Однако если карта перестала определяться в системе,Ж или определяется объемом 0 байт – простой логикой тут уже не отделаться. Необходима распайка карты памяти и восстановление данных непосредственно из кристалла.

Как это происходит? Карта памяти проходит углубленную диагностику на предмет выяснения того, что именно у карты отказало. Возможно три варианта: вышел из строя сам NAND-чип (микросхема, в которой хранятся данные) – это происходит очень редко, но иногда случается; вышел из строя контроллер карты (у каждой карты памяти имеется вспомогательная микросхема, которая распределяет по ней данные; собственно, в ней и хранится транслятор карты памяти); вышел из строя встроенный в карту кард-ридер. Последнее – весьма своеобразная неисправность; многие современные карты памяти (особенно – microSD) оборудованы встроенным кард-ридером, основная функция которого – ограничивать скорость карты до того класса, на который карта заявлена. Скажем, карты класса 4 читают и пишут информацию намного медленнее, чем карты класса 10; это реализуется только установленным кард-ридером; сами карты (точнее, NAND-чип и контроллер) в них одинакового типа и имеют примерно идентичные скорости работы. Все это напоминает искусственно ограниченные по тактовой частоте ядра отдельных интеловских процессоров или искусственно ограниченные по скорости обработки шейдеров графические процессоры отдельных видеокарт (бывали даже такие случаи, когда перепайкой одного резистора можно было из бюджетной видеокарты сделать дорогую карту класса Titanium).

После углубленной диагностики возможно три решения проблемы:

1. Если вышел из строя NAND-чип, то в этом случае, увы, сделать уже ничего нельзя. Но надо помнить, что отказ NAND-кристалла в картах памяти случается не более чем в 10% случаев, то есть «попасть» на мертвый кристалл довольно маловероятно.
2. Если вышел из строя контроллер, требуется распайка проводников на питание и шины данных (data in, data out) NAND-микросхемы, то есть придется паять не менее 12 проводников, для того, чтобы считать данные непосредственно из чипа. После такого чтения полученный дамп микросхемы (или несколько дампов, если микросхема состоит из нескольких банков данных) придется исследовать, выявлять закономерности распределения данных и производить реверс-инженеринг построения образа для того, чтобы в итоге получить доступ к данным.
3. Если вышел из строя кард-ридер, потребуется найти точки подключения флеш-карты до него. При этом при считывании образа мы получим нормальные данные, и проводить манипуляций с образом нам не придется.

Естественно, все эти неисправности могут комбинироваться (например, выходит из строя один банк микросхемы и кард-ридер, или кард ридер и контроллер, и т.п.). Все это выясняется в процессе углубленной диагностики.

После углубленной диагностики вам будет озвучена неисправность и стоимость работ по восстановлению данных. В случае логической неисправности, в зависимости от сложности, стоимость работ составит от 2 до 5 тысяч сом; наименьшая стоимость работ применяется к картам, на которых не требуется ручной обработки файловых таблиц , наибольшая – при необходимости поиска смещений и их ручной корректировки. К сожалению, автоматических систем корректировки смещений файловых систем типа FAT не существует, они всегда индивидуальны, поэтому всегда корректировка производится вручную.

Если же неисправности носят физический характер (контроллер или кард-ридер), то стоимость работ будет зависеть от количества банков NAND-микросхемы и алгоритмов работы контроллера – другими словами, от того, сколько итераций изменения данных при обратном инженеринге. Если в образе нужно только произвести ротацию байт, это будет стоить относительно немного, если же потребуется восстановление таблиц трансляции с исключением из нее байтовых вставок, обработка слов или двойных слов и операции с дампами (рассечение по блокам, соединение по блокам, и т.п.), то стоимость работ, естественно, увеличится. В любом случае, расчет стоимости работ в таких случаях индивидуален и зависит только от времени, которое будет необходимо потратить специалисту для того, чтобы получить ваши данные.

В нашей компании используются новейшие разработки компаний ACE Lab, Soft-Center и ЭПОС для восстановления данных с NAND-микросхем – это комплексы PC-3000 FLASH, Soft-Center Flash Extracor и ЭПОС SATA Flash reader. Комбинирование этих трех разных продуктов позволяет нам охватить максимально широкий спектр NAND-устройств; мы можем уверенно говорить о том, что сможем восстановить данные практически с любой карты памяти в Кыргызстане, за исключением тех у которых вышел из строя NAND-чип.