АРХИВ СТАТЕЙ ЖУРНАЛА «МОЙ КОМПЬЮТЕР» ЗА 2003 ГОД

Разыскиваются... файлы

• Все журналы \ Номер 52/275 `2003 от 29.12.2003 \ Разыскиваются... файлы

Роман АНДРЕЙЧУК, инженер по восстановлению информации компании K-Trade, Александр КОНДАУРОВ, руководитель отдела научно-технической информации компании K-Trade

Продолжение, начало в МК, №49 (272).

Что делать?!

Спасение утопающих — дело рук самих утопающих.

Владимир Савченко

Если у вас «полетела» система, или вы услышали странные звуки, доносящиеся из винчестера, и не знаете, что делать, то немедленно выключите компьютер и обратитесь к специалисту. Причем под «немедленно» подразумевается скорее даже не выключение средствами ОС, а выдергиванием кабеля питания из розетки. Дело в том, что современные операционные системы очень любят перед завершением работы записывать на диск массу полезных и не очень полезных данных, что при разрушенной файловой системе или физически неисправном носителе способно вызвать дополнительные, помимо уже существующих, разрушения. Описываемые далее действия при недостаточном понимании механизмов работы на всех уровнях — от операционной системы до физической записи на носитель — могут лишить вас не только уже потерянных данных, но и всех остальных, находящихся на пострадавшем носителе.

Если же ваша квалификация позволяет вам, как минимум, понять, что же именно произошло, то для начала стоит четко определить, чего делать не нужно. Итак, в любом случае не нужно что-либо записывать на пострадавший носитель. Если есть возможность перевести его в режим только чтение (read only), сделать это необходимо как можно скорее, причем, если это опять-таки возможно, аппаратно (на дискетах, zip-дисках и некоторых флэш-носителях для этого существуют специальные переключатели). В случае появления каких-либо необычных звуков не нужно пытаться включать носитель и что-либо с него читать. Чаще всего необычные звуки свидетельствуют о механической неисправности носителя, и при его повторном включении есть большая вероятность повредить поверхность дисков с самыми фатальными последствиями для данных, на ней находящихся. В случае разрушения файловой системы не нужно «лечить» ее программами типа Scandisk или Disk Doctor — они эффективны при минимальных «шероховатостях» файловой системы, а при серьезных разрушениях могут совершенно неверно проинтерпретировать поврежденные данные, уничтожив все то, что еще можно было бы восстановить. Проверка пострадавшего диска операционной системой перед загрузкой тоже может оказаться фатальной. Антивирусными программами в такой ситуации пользоваться уже тоже поздно и более того — опасно: при работе они пишут на диск свои временные файлы. И напоследок — если вы не представляете себе совершенно точно, что именно происходит при том или ином способе восстановления данных, не пытайтесь его применять, равно как и не стоит привлекать для этого знакомых, друзей и соседей, в чьей квалификации вы не уверены. Причем чем важнее информация, которую вам необходимо восстановить, тем строже надо оценивать как свои знания, так и квалификацию помощников.

Если же вы все-таки решились действовать самостоятельно, вспомните, что восстановление данных нередко зовут лечением, и постарайтесь следовать первой заповеди врача — не навреди. Прежде всего нужно понять, что стало причиной потери: от правильности вашего диагноза будет зависеть, не превратится ли потеря в утрату. Для начала убедитесь, что носитель аппаратно исправен: винчестер не должен издавать непривычных звуков и должен правильно определяться на этапе самотестирования системы (если на экране начальной загрузки, вместо Western Digital, вы видите нечто похожее на Wfsuesn Eihiuam, то есть название искажено, то нужно искать аппаратный сбой — работать с таким диском нельзя). Работа сменных носителей также не должна сопровождаться непривычными звуками, но окончательный диагноз в этом случае лучше ставить после полной загрузки системы. Флэш-накопители к тому же не должны сильно греться.

Если винчестер включается, не шумит, но не опознается системой или опознается неверно, то стоит попробовать заменить шлейф, которым он подсоединен к системной плате (владельцам сменных «карманов» — первым делом попробовать подключить диск не в кармане, а напрямую к шлейфу), и подключить его к другому каналу контроллера. Если диск остановился при включенном компьютере, то можно попытаться дать ему остыть и попробовать включить снова. Перед повторном включением желательно уже продумать, куда скопировать нужные данные с «забастовавшего» диска — такая неисправность обычно не дает много времени на размышления. На этом перечень того, что можно сделать дома или на неподготовленном рабочем месте с жестким диском в случае аппаратных проблем, заканчивается.

Если возникли трудности при чтении с оптических носителей (CD и DVD-дисков, не спрятанных в защитные картриджи), можно попытаться протереть их мягкой сухой тканью для удаления пыли. Возможностей самостоятельно справиться с физическими повреждениями носителей, спрятанных в защитные корпуса (дискеты, магнитооптические диски, zip-диски, флэш-накопители), у пользователя обычно нет совсем. Все остальные действия по восстановлению данных в случае аппаратных повреждений носителей целесообразнее предоставить специалистам, — разумеется, если ценность информации превышает стоимость ремонта.

Когда становится ясно, что с аппаратной точки зрения носитель цел, а данные утеряны из-за разрушения файловой системы, то первое, что необходимо сделать, — это сопоставить ценность потерянной информации и стоимость услуг по ее восстановлению специалистами (для Киева она составляет обычно 250–500 грн. в зависимости от объема данных и сложности работ). Если данные заведомо значительно ценнее, то экономия денег может быть оправдана только при высокой квалификации восстанавливающего и наличии у него как минимум второго такого же по объему носителя и большого количества времени на работу. Несмотря на расхожее мнение, конфиденциальность при обращении к организациям, официально специализирующимся на восстановлении данных, соблюдается значительно строже, чем при обращении к «самоделкиным». Во-первых, репутация серьезной фирмы стоит намного дороже даже самой «черной» бухгалтерии, и во-вторых, по ходу «лечения» в таких фирмах в качестве временных используют только винчестеры, предоставленные клиентом.

Для тех же, кто собрался восстанавливать данные с разрушенной файловой системы самостоятельно, следует в обязательном порядке позаботиться о временном хранилище реанимированной информации. Если есть такая возможность, то стоит сделать полную посекторную копию пострадавшего винчестера на другой точно такой же диск, например, с помощью программы Norton Disk Editor, и в дальнейшем работать с копией для минимизации риска повредить оригинал. Разумеется, если пострадал системный диск — необходим другой загрузочный диск с операционной системой.

Итак, процесс восстановления данных начинается с того, что к компьютеру подключается два винчестера и любое устройство, с которого можно загрузить DOS и запустить Diskedit. Текущим выбирается пострадавший диск (как физическое устройство), и все его содержимое копируется на второй рабочий винчестер такого же или большего объема. Для ускорения процесса желательно, чтобы диски были подключены к разным каналам контроллера, в итоге, копирование 40-гигабайтного диска вместо суток может занять всего лишь ночь. Использование UltraDMA режима тоже может сильно ускорить процесс. После окончания копирования пострадавший диск нужно отключить от компьютера и отложить в сторону — теперь он нам может понадобиться в трех случаях. Во-первых, если мы все-таки таки восстановим все необходимое с копии и решим записать обратно. Во-вторых, если мы испортим копию, тогда придется копировать диск снова. И в-третьих, если наши усилия ни к чему не приведут — нетронутый :-) пострадавший «винт» можно будет отнести к специалистам.

Разумеется, можно проводить восстановительные работы и на самом поврежденном диске, однако тут стоит ясно осознавать, что ситуация — нештатная. В итоге, любое, даже самое привычное и правильное в нормальных условиях действие может привести к записи на диск неверных данных, под которыми могут погибнуть ваши бесценные файлы. Да и дополнительное вмешательство в поврежденную структуру в случае дальнейшего обращения к специалистам только увеличивает сложность и, соответственно, стоимость работ.

К наиболее часто встречающимся фатальным ошибкам можно отнести разрешение автоматической проверки диска с разрушенной файловой системой встроенным Scandisk’ом перед загрузкой операционной системы. Не допустимы также сохранение файла подкачки (swap file) на пострадавшем диске, невнимательность или забывчивость при отключении стандартно работающих индексирующих и антивирусных сервисов операционной системы (они тоже имеют привычку писать свои данные на все доступные диски). Вообще, для восстановления данных полезно иметь отдельный загрузочный диск с операционной системой в минимальной конфигурации. Где должны быть отключены все ненужные для восстановления информации сервисы, запрещен файл подкачки, а каталоги для временных файлов настроены так, чтобы ни в коем случае ничего не пыталось писать данные на пострадавший диск.

Дальнейшие действия с самим восстанавливаемым диском или его копией зависят от типа файловой системы, характера ее повреждения и квалификации специалиста. Можно пользоваться специализированным программным обеспечением типа Final Data или Easy Recovery Pro (эти пакеты существуют как для FAT/FAT32, так и для NTFS) — в них многие часто встречающихся ситуации уже предусмотрены разработчиками и данные, возможно, удастся восстановить в автоматическом режиме. В случае, если квалификация позволяет, а разрушения носят локальный характер (не читается несколько каталогов или вторая копия таблицы размещения файлов «выжила») или вылечить нужно единичные файлы при низком уровне фрагментации диска, можно воспользоваться низкоуровневыми утилитами типа Norton Disk Editor. Она позволяет работать с диском, используя только одну копию FAT, и если одна из копий сохранилась лучше, шанс завершить успешно процедуру по восстановлению у вас возрастает. Для линуксовых файловых систем надежно работающих утилит пока не существует, поэтому в этом случае работа с копией пострадавшего диска — это обязательное условие. Вероятность что-либо фатально испортить здесь значительно выше, хотя справедливости ради нужно отметить, что «падают» такие системы значительно реже.

При ликвидации последствий вирусных атак тоже желательно работать с копией пострадавшего диска. Конечно, для большинства вирусов, портящих данные, но оставляющих возможность их реанимации, существуют утилиты, восстанавливающие первоначальный вид диска в автоматическом режиме. Но в любом случае, остается вероятность неверного определения типа атаковавшего вируса — тогда «обманутая» утилита может «завершить» начатое вирусом дело и окончательно испортить данные.

В случае отформатированного по ошибке диска можно обойтись и без полного копирования — достаточно просто удалить (естественно, предварительно скопировав на другой диск) загрузочный сектор пострадавшего диска — в таком виде операционная система его не увидит, и соответственно, риска записи на него не будет. А пакетам восстановления достаточно иметь доступ к диску на физическом, а не логическом уровне, так что они вполне смогут выполнять свою работу. Но в любом случае, вам понадобится второй винт для копирования на него восстановленных данных.

Наиболее простой оказывается ситуация случайного удаления данных — если это оплошность была вовремя замечена. Все пользовательские операционные системы сегодня имеют те или иные встроенные средства восстановления удаленных файлов (например, «корзина», впервые появившаяся в незапамятные времена на первых «Макинтошах», сегодня является стандартным атрибутом всех широко распространенных операционных систем, кроме разве что некоторых клонов UNIX). Не стоит забывать, однако, что в большинстве случаев эти средства или не работают, или отсутствуют в консольном режиме, что отчасти компенсируется несколько большей сложностью работы в этом режиме, из-за чего его используют значительно меньшее количество пользователей. В правильно настроенной графической оболочке любой удаляемый файл на самом деле не удаляется, а складывается в «мусорник», где лежит некоторое время. Если ошибка была замечена вовремя, то восстановление не представляет собой труда — достаточно заглянуть в «корзину» и выудить оттуда пропажу, переложив ее на прежнее место.

Трудности начинаются тогда, когда файл был удален пользователем не из графической оболочки, а какой-нибудь программой, работающей напрямую с файловой системой. Также затруднено восстановление информации, когда после удаления данных прошло значительное время, и они автоматически «самоликвидировались» из «корзины». Трудностей добавляют и оптимизаторы операционной системы, норовящие выключить функцию оболочки по сохранению удаленных файлов в «корзину». Несомненно, такая «оптимизация» позволяет освободить больше места на диске, однако цена за это — значительно возрастающий риск безвозвратной утраты ошибочно удаленных файлов. В этом случае на помощь приходят утилиты класса Norton Unerase, восстанавливающие еще не затертые новыми файлами удаленные данные на жестких дисках. Как ни странно, но и здесь самыми большими шансами на восстановление обладают данные, записанные на наиболее примитивных файловых системах —FAT/FAT32. Когда утилиты не сумели реанимировать данные, или для используемой файловой системы таковых программ просто не существует — остается некий шанс восстановить информацию или хотя бы «выковырять» значимые фрагменты с помощью низкоуровневых утилит класса Disk Editor. Разумеется, и в этом случае нужно помнить о мерах предосторожности, перечисленными в части, касающейся разрушенной файловой системы. И конечно, актуальным остается совет — при малейшей неуверенности в своих силах обращайтесь к специалистам.

Для данных на оптических носителях (CD- и DVD-диски), которые перестали читаться, есть, по сути, только один способ «спасения»: многократное чтение, желательно на разных приводах. Существует целый класс программ, предназначенных для такой работы: Bad Data Copy, Bad Copy Pro и т.д. Они пытаются прочесть сбойный диск, помногу раз читая секторы, подводя к ним головку с разных сторон, варьируя скорость вращения диска — в общем, делают все то, что позволяет механика. Вероятность восстановления данных с нечитаемого оптического диска достаточно низка, однако визит к специалистам может помочь и в этом случае тоже. Обычно в фирмах, специализирующихся на восстановлении данных, есть несколько разных типов устройств чтения, которые могут успешнее справиться с задачей, чем ваш домашний привод с гордым названием NoNaMe.

(Продолжение следует)

Идёт загрузка...

Данную страницу никто не комментировал. Вы можете стать первым.

Ваше имя:
Ваша почта:
Комментарий:
Введите символы или вычислите пример: * Обновить