Co to jest odzyskiwanie danych?

Pomimo stale rosnącej niezawodności urządzeń pamięci masowej, utrata informacji cyfrowych pozostaje dość powszechna. Częstymi przyczynami utraty plików są błędy ludzkie, awarie oprogramowania (takie jak wirusy komputerowe), przerwy w dostawie prądu oraz awarie sprzętu. Na szczęście informacje przechowywane na nośniku cyfrowym prawie zawsze można odzyskać. Poniższy artykuł wyjaśnia, czym jest odzyskiwanie danych, opisuje najczęstsze problemy związane z utratą danych oraz sposoby ich rozwiązywania.

Odzyskiwanie danych można zdefiniować jako proces uzyskiwania informacji znajdujących się na nośniku danych, do których dostęp w standardowy sposób nie jest możliwy z powodu ich wcześniejszego usunięcia lub pewnego uszkodzenia nośnika cyfrowego. Do odzyskania brakujących plików stosuje się różne podejścia, ale tylko pod warunkiem, że ich zawartość  znajduje się gdzieś w magazynie. Na przykład odzyskiwanie danych nie obejmuje sytuacji, w których plik nigdy nie został zapisany w pamięci trwałej, na przykład dokumentów, które zostały utworzone, ale ostatecznie nie mogły zostać zapisane na dysku twardym z powodu awarii zasilania. Ponadto żadna z istniejących metod przywracania nie jest w stanie poradzić sobie z przypadkami trwałego wymazania, które ma miejsce, gdy inne informacje zajmą miejsce na dysku – w takiej sytuacji utracone pliki można odzyskać tylko z zewnętrznej kopii zapasowej.

Ogólnie techniki odzyskiwania danych dzielą się na dwa rodzaje: oparte na oprogramowaniu i polegające na naprawie lub wymianie uszkodzonych elementów sprzętowych w warunkach laboratoryjnych. W większości przypadków stosowane jest podejście programowe, które polega na wykorzystaniu specjalistycznych narzędzi, które są w stanie zinterpretować logiczną strukturę pamięci problemu, odczytać wymagane dane i dostarczyć je użytkownikowi w formie nadającej się do dalszego kopiowania. Naprawy fizyczne przeprowadzane są przez specjalistów w najcięższych przypadkach, np. gdy niektóre części mechaniczne lub elektryczne dysku przestają działać prawidłowo – w tym przypadku wszystkie działania ukierunkowane są na jednorazowe wydobycie krytycznej zawartości, bez możliwość dalszego korzystania z wadliwego urządzenia.

Najbardziej typowe przypadki utraty danych

Ogólnie rzecz biorąc, ogólny sukces procedury ratowania danych zależy w dużej mierze od wyboru właściwej metody odzyskiwania i jej terminowego zastosowania. Dlatego bardzo ważne jest, aby zrozumieć naturę konkretnej straty i wiedzieć, co można zrobić w każdym konkretnym scenariuszu. Natomiast niewłaściwe działania mogą doprowadzić do nieodwracalnego zniszczenia informacji.

Do najczęstszych przyczyn utraty danych należą:

Przypadkowe usunięcie plików lub folderów

Każdy system plików zachowuje się inaczej podczas usuwania pliku. Na przykład w  systemie Windows  system  plików FAT  oznacza wpisy katalogu plików jako „nieużywane” i niszczy informacje o alokacji pliku (z wyjątkiem początku pliku), w NTFS tylko  wpis  pliku  jest  oznaczony jako  „nieużywany” , wpis jest usuwany z katalogu, a miejsce na dysku jest również oznaczane jako  „nieużywane” ; większość   systemów plików  Linux/Unix niszczy deskryptor pliku  (informacje o lokalizacji pliku, typie pliku, rozmiarze pliku itp.) i oznacza miejsce na dysku jako  „wolne” .
Głównym celem usunięcia pliku jest zwolnienie przestrzeni dyskowej używanej przez plik do przechowywania nowego pliku. Ze względu na wydajność przestrzeń dyskowa nie jest natychmiast czyszczona, co powoduje, że rzeczywista zawartość pliku pozostaje na dysku, dopóki ta przestrzeń dyskowa nie zostanie ponownie wykorzystana do zapisania nowego pliku.
Formatowanie systemu plików

Formatowanie systemu plików może zostać uruchomione przez pomyłkę, na przykład w wyniku podania niewłaściwej partycji dysku lub z powodu niewłaściwego obchodzenia się z pamięcią masową (np. urządzenia NAS zwykle formatują pamięć wewnętrzną po próbie rekonfiguracji RAID).

Procedura formatowania tworzy puste struktury systemu plików w pamięci masowej i nadpisuje później wszelkie informacje . Jeśli typy nowego i poprzedniego systemu plików pokrywają się, niszczy istniejące struktury systemu plików, zastępując je nowymi; jeśli typy systemów plików różnią się, struktury są zapisywane w różnych lokalizacjach i mogą wymazać zawartość użytkownika.

Logiczne uszkodzenie systemu plików

Nowoczesne systemy plików posiadają wysoki poziom ochrony przed błędami wewnętrznymi, jednak często pozostają bezradne wobec awarii sprzętu lub oprogramowania. Nawet niewielka część niewłaściwej treści zapisana w niewłaściwym miejscu w pamięci masowej może spowodować zniszczenie struktur systemu plików, zerwanie łączy obiektów systemu plików i uniemożliwienie odczytu systemu plików. Czasami ten problem może wystąpić z powodu  awarii zasilania  lub  sprzętu .

Utrata informacji o partycji

Ta awaria może wystąpić z powodu nieudanej operacji „fdisk” lub błędów użytkownika , które zwykle skutkują utratą informacji o lokalizacji i rozmiarze partycji.

Awaria pamięci masowej

Jeśli podejrzewasz jakiekolwiek  fizyczne problemy  z pamięcią (np. urządzenie nie uruchamia się, wydaje nietypowe dźwięki, przegrzewa się, ma problemy z odczytem itp.),  nie zaleca się samodzielnego podejmowania jakichkolwiek prób odzyskiwania danych . Przechowywanie należy oddać do  specjalistycznego serwisu .

Jeśli wystąpiła awaria  systemu RAID  (awaria jednego dysku w RAID 1 lub RAID 5, awaria maksymalnie dwóch dysków w RAID 6 itd.), przywrócenie jest możliwe bez brakującego dysku, ponieważ nadmiarowość RAID umożliwia odtworzenie zawartość uszkodzonego komponentu.
Jak działa oprogramowanie do odzyskiwania danych?
Informacje pozostające na nienaruszonym nośniku można zwykle odzyskać bez profesjonalnej pomocy za pomocą specjalistycznego oprogramowania do obsługi danych. Należy jednak pamiętać, że  po nadpisaniu nie można odzyskać żadnych informacji . Z tego powodu nic nie powinno być zapisywane  w pamięci, dopóki nie zostanie z niej uratowany ostatni plik.

Większość narzędzi do odzyskiwania danych działa z wykorzystaniem algorytmów analizy metadanych , metody odzyskiwania danych na podstawie znanej zawartości plików lub kombinacji obu podejść.

Metadane to ukryte informacje o usługach zawarte w systemie plików. Jego analiza pozwala oprogramowaniu zlokalizować główne struktury w pamięci masowej, które rejestrują rozmieszczenie zawartości plików, ich właściwości i hierarchię katalogów. Następnie informacje te są przetwarzane i wykorzystywane do przywrócenia uszkodzonego systemu plików. Ta metoda jest preferowana w stosunku do odzyskiwania pierwotnego, ponieważ umożliwia uzyskanie plików z ich oryginalnymi nazwami, folderami, znacznikami daty i godziny. Jeśli metadane nie zostały poważnie uszkodzone, być może uda się odtworzyć całą strukturę folderów, w zależności od specyfiki mechanizmów zastosowanych przez system plików do pozbycia się „niepotrzebnych” elementów. Jednak takiej analizy nie można przeprowadzić z powodzeniem, gdy brakuje kluczowych części metadanych.

Z reguły, gdy za pomocą analizy metadanych nie osiągnięto pożądanego rezultatu, dokonywało się wyszukiwanie plików według znanej im zawartości. W tym przypadku „znana zawartość” nie oznacza całej surowej zawartości pliku, a jedynie określone wzorce, które są typowe dla plików danego formatu i mogą oznaczać początek lub koniec pliku. Wzorce te nazywane są „sygnaturami plików” i mogą służyć do określenia, czy część danych w pamięci należy do pliku o rozpoznawalnym typie. Pliki odzyskane tą metodą otrzymują rozszerzenie na podstawie znalezionej sygnatury, nowe nazwy i zostają przypisane do nowych folderów, zwykle tworzonych dla plików różnych typów. Głównym ograniczeniem tego podejścia jest to, że niektóre pliki mogą nie mieć identyfikowalnych podpisów lub mieć tylko podpis oznaczający początek pliku,

Aby odzyskać utracone pliki z maksymalną wydajnością, oprogramowanie do odzyskiwania danych może wykorzystywać opisane techniki jednocześnie podczas pojedynczego skanowania uruchomionego na dysku. Pozostałe szczegóły zależą głównie od rodzaju nośnika cyfrowego.
Najczęściej usunięty plik jest wysyłany do magazynu tymczasowego, który przechowuje go przez określony czas i jest automatycznie opróżniany po jego wygaśnięciu. Jednak w niektórych przypadkach użytkownicy usuwają pliki za pomocą wiersza poleceń, skrótu Shift + Delete lub za pomocą aplikacji innych firm. Te metody mają na celu usunięcie ich z dysku twardego bez wysyłania do tymczasowej lokalizacji. Ale nawet jeśli nie można przywrócić plików przy użyciu standardowych środków systemu operacyjnego, nie oznacza to, że zostaną one trwale zniszczone
Z reguły po usunięciu pliku system operacyjny odnotowuje, że nie jest już potrzebny. Zajmowana przez nią przestrzeń staje się dostępna do użytku. Chociaż każdy system operacyjny ma pewne cechy charakterystyczne w odniesieniu do tego procesu opisanego w  części Osobliwości odzyskiwania danych w zależności od systemu operacyjnego , same dane zwykle pozostają na dysku. Dopóki nie zostaną nadpisane inne informacje, można przywrócić usunięty plik za pomocą specjalistycznego narzędzia.

Aby móc odzyskać usunięte pliki z dysku twardego, karty SD, dysku flash lub innego zewnętrznego nośnika pamięci, przede wszystkim przestań zapisywać dane na tym właśnie nośniku. W przypadku wewnętrznego dysku komputera PC lub Mac odzyskiwanie danych należy rozpocząć jak najszybciej. To dlatego, że nawet operacje takie jak uruchamianie systemu, instalacja oprogramowania, edycja dokumentów, strumieniowanie wideo itp. mogą spowodować nadpisanie plików.

Wśród innych czynników, które należy wziąć pod uwagę podczas próby przywrócenia plików, są:

Rodzaj przechowywania

Nowsze dyski półprzewodnikowe oparte na pamięci flash NAND obsługują funkcję TRIM. Jest to specjalne polecenie wywoływane przez system operacyjny za każdym razem, gdy użytkownik usuwa plik. Jego celem jest powiadomienie dysku SSD, że niektóre bloki danych nie są już używane. Zajęte przez nie komórki pamięci są czyszczone, aby przygotować się do późniejszego uzupełnienia. Większość systemów operacyjnych domyślnie włącza tę funkcję po wykryciu, że wolumin jest zamontowany na dysku SSD. TRIM znacznie przyspiesza dyski SSD i przyczynia się do ich dłuższej żywotności, ale jednocześnie praktycznie uniemożliwia przywrócenie usuniętych plików z dysku SSD z włączonym TRIM. Jedyną możliwością jest wykorzystanie tego krótkiego okresu, w którym operacja jest odroczona do momentu, gdy dysk stanie się bezczynny.

Rodzaj objętości

Jeżeli pliki do odzyskania znajdowały się w jakimś katalogu partycji systemowej komputera, na przykład na Pulpicie lub w Dokumentach użytkownika, należy jak najszybciej wyłączyć komputer. Dzieje się tak dlatego, że system operacyjny może wykorzystać „zwolnione” miejsce na dysku na własne potrzeby, nadpisując usunięte pliki, a tym samym trwale je niszcząc. Następnie dysk należy wyjąć z komputera i podłączyć do innego komputera jako magazyn dodatkowy. Alternatywnie ten sam komputer można uruchomić w bezpiecznym środowisku za pomocą urządzenia wymiennego z preinstalowanym bootowalnym systemem operacyjnym. Wyklucza to zapisywanie plików systemowych w tle na problematycznym woluminie.

Rodzaj usuniętych danych

Duże pliki, zwłaszcza te tworzone stopniowo, bardzo często są niespójnie przechowywane na dysku – ten problem jest określany jako fragmentacja. Fragmentacja znacznie zmniejsza szanse na całkowite odzyskanie usuniętych plików. Prawdopodobieństwo jest zwykle odwrotnie proporcjonalne do liczby fragmentów, na które plik jest podzielony. Pliki niektórych typów, takie jak obrazy lub filmy, w niektórych przypadkach można nadal otwierać i częściowo przeglądać, nawet jeśli brakuje fragmentu. Ale zazwyczaj większość plików ulega uszkodzeniu, a tym samym jest bezużyteczna.
Pomimo stale poprawiającej się niezawodności nowoczesnych systemów operacyjnych, wciąż nie są one zaprojektowane do absolutnej perfekcji. Prędzej czy później większość z nich ma problemy techniczne. Awaria systemu może być spowodowana awarią sprzętu lub awarią oprogramowania i powoduje niemożność normalnego uruchomienia systemu operacyjnego. Może ciągle się restartować i zawieszać z komunikatem o błędzie wyświetlanym na ekranie lub nawet całkowicie przestać działać bez żadnych powiadomień. Chociaż taki problem można zwykle rozwiązać poprzez ponowną instalację systemu operacyjnego od zera, nowa instalacja niszczy wszystko, co jest zapisane na partycji systemowej i powoduje masową utratę danych użytkownika z wewnętrznego dysku twardego. W związku z tym wszystkie krytyczne pliki muszą zostać skopiowane z pamięci, zanim nowo zainstalowany system operacyjny je zastąpi. Już, uszkodzony system operacyjny uniemożliwi bezpośredni dostęp do zawartości dysku. Na szczęście istnieje kilka sposobów na rozwiązanie problemu.

Aby określić najwłaściwszy sposób postępowania, należy przede wszystkim poznać charakter zaistniałego problemu.

1. Awaria dysku twardego

Nietypowe odgłosy dochodzące z dysku, takie jak klikanie lub zgrzytanie, komunikaty „Nieprawidłowy dysk systemowy” lub „Włóż nośnik startowy”, zwłaszcza gdy komputer nie wykrywa dysku, są oznaką awarii dysku, a nie problemu z systemem operacyjnym. W takim przypadku zdecydowanie zaleca się ostrożne wysunięcie dysku, zapakowanie go w antystatyczną torbę i zabranie do specjalisty ds. odzyskiwania danych w celu zbadania. Dalsze manipulacje przy napędzie bez odpowiedniego przeszkolenia i sprzętu mogą doprowadzić do jego dalszego uszkodzenia.

2. Wadliwy sprzęt

Problemy związane ze sprzętem często powodują awarie systemu operacyjnego, ponieważ komputer nie może normalnie funkcjonować. Uszkodzony zasilacz powoduje natychmiastowe wyłączenie systemu; zły procesor uniemożliwia komputerowi przetwarzanie żądań lub ogólnie działanie; wadliwy układ pamięci RAM może uniemożliwić systemowi operacyjnemu dostęp do krytycznych danych i spowodować „błąd wyjątku krytycznego”. Z reguły komputer informuje o tych problemach podczas uruchamiania za pomocą kodów błędów wyświetlanych na ekranie lub kodów dźwiękowych BIOS-u. Aby je rozszyfrować, możesz zajrzeć na stronę internetową producenta płyty głównej. Jeśli podejrzewasz jakiekolwiek uszkodzenie sprzętu komputerowego inne niż awaria dysku twardego, powinieneś wyjąć nośnik pamięci z komputera i użyć innego komputera do odzyskania utraconych plików zgodnie z instrukcją poniżej.

UFS Explorer  i  Recovery Explorer to niezawodne oprogramowanie, które służy do efektywnego odzyskiwania danych z dysków twardych z dowolnego systemu plików Windows, macOS, Linux lub UNIX/BSD, a także do szeregu innych zadań związanych z utratą danych. Dostępne są różne edycje dotyczące różnych technologii pamięci masowej dostępnych na nowoczesnych urządzeniach. Narzędzia dokładnie sprawdzają nośnik cyfrowy w bezpiecznym trybie tylko do odczytu, wydobywają utracone dane i umożliwiają ich skopiowanie do bezpiecznego magazynu lokalnego lub sieciowego.