Восстановление «невосстановимых» данных

Представляем читателям обзор ("white paper" в формате PDF), посвящённый проблемам восстановления данных с неисправных HDD, подготовленный исследователями компании Action Front data recovery labs. Обзор называется "Recovering unrecoverable data".

Для начала, пару слов о самой компании. Она была образована в 1989 году в Чикаго, а её специалисты долгое время изучали самые различные устройства хранения данных. Позже, Action Front стала специализироваться на восстановлении данных в сложных случаях и начала разработку различных оригинальных технологий. 24 апреля 2006 года компания вошла в состав всемирно известного лидера по производству жёстких дисков — Seagate Technology.

Из интересных моментов нам хочется отметить два актуальных развивающихся направления в технологии восстановления данных для случаев, считающихся крайне тяжелыми или «невозможными» для абсолютного большинства Recovery-компаний (и мы здесь, кстати, не исключение). Речь идет про механические повреждения поверхности диска (запилы, царапины). К несчастью, подобные повреждения, по статистике, периодически случаются, и когда это совпадает с крайней актуальностью данных для пользователя, то возникает вполне конкретная проблема, которая, на настоящий момент, не разрешима хотя бы по причине финансовых соображений и рентабельности (про трудоёмкость мы скромно умолчим).

Сама проблема заключается в том, что исправные MR-головки чтения от диска-донора, будучи «имплантированными» в диск-пациент, у которого на поверхности есть повреждения, т. e. хотя бы минимальный рельеф (напоминаем, что слайдер головки при работе летит над поверхностью на высоте менее, чем 20 нанометров) — мгновенно выходят из строя от перегрева или локальных микроразрушений MR-элемента вследствие физического контакта с диском на высокой скорости; также стачивается и засоряется микропылью сам слайдер, уже не обеспечивая нужную аэродинамику полёта.

Теоретически, решить проблему можно, модифицировав стартовую микропрограмму HDD на предмет внешнего (электронного или программного) независимого управления позиционированием головок на нужный трэк, тем самым, обходя «запиленные» участки (если это возможно, т. e. зависит от положения дефекта на поверхности), и последующего считывания физического трэка со «сборкой» логического образа диска. Но такой вариант имеет три недостатка, которые сводят «на нет» всю рентабельность разработки. И это не столько недостатки, сколько серьёзные проблемы, которые практически не позволяют данный вариант реализовать. Первая проблема — понадобится очень большое время на изучение микропрограммы и сервосистемы конкретного накопителя (как минимум — год, но скорее всего, больше), к тому же, эта работа настолько трудоёмка, что уровень знаний даже высококлассных datarecovery-специалистов не позволит это сделать без привлечения ведущих инженеров-разработчиков из фирмы-производителя диска. Кстати, подобное привлечение почти невозможно осуществить даже за огромные деньги, так как эти сотрудники подписывают специальное «соглашение о нераспространении» (NDA, что расшифровывается как "Not Disclose Agreement"), нарушение которого сулит серьёзные санкции вплоть до уголовных. Вторая проблема — полученные результаты можно будет применять только для одного конкретного семейства накопителей — а их сотни, причём ввиду стремительного развития данной отрасли постоянно появляются всё новые и новые семейства и архитектуры. Третья проблема — работа предлагаемого метода возможна только в том случае, если уникальные настройки конкретного накопителя не повреждены и накопитель удастся корректно проинициализировать, поэтому в случае серьёзного повреждения всех копий критичных модулей в служебной зоне диска метод вообще не будет работать.

Практическое решение проблемы разработала и впервые публично продемонстрировала компания Action Front (см. обзор). Суть решения, которое назвали SignalTrace™ technology, заключается в том, что было продемонстрировано чтение данных с жёсткого диска SCSI WD 4.3 GB (правда, диск был исправен, с родными головками, но дело не в этом) вообще без его родной платы электроники, т. e. с помощью специального внешнего электронного стенда, который управлял вращением ШД, позиционированием головок и считыванием оригинального сигнала, а также специализированного ПО для обработки сигнала и его декодирования для удобоваримого вида. Произошло это событие в начале 2004 года на IEEE NASA Mass Storage Systems and Technologies Conference (Adelphi, Maryland).

Но до практической реализации подобного метода пока всё равно далековато, причём это подтверждают даже авторы методики. Во-первых, стоимость подобного устройства, а также, затраты на его раработку и модификацию (в том числе написание ПО) пока очень высоки, что делает восстановление данных подобным методом не рентабельным для клиента. Также нужно учитывать и малую плотность записи HDD, на котором проводился эксперимент. Пока остаётся только ждать развития этой технологии в будущем.

Дополнение от 01.06.2006. В настоящее время в компании Action Front работают наши русские коллеги, с которыми мы тесно сотрудничаем уже более пяти лет. Таким образом, мы располагаем достоверной информацией о состоянии и продвижении проекта SignalTrace™ technology. В настоящий момент в компании разработано ПО и модифицированы электронные средства аппаратного комплекса для работы с дисками WD объёмом до 120 GB (плотность записи — 20 GB на поверхность/головку и, соответственно, 40 GB на пластину), что говорит о том, что проект успешно развивается и приближается к рамкам рентабельности для практического применения (пока, правда, только для работы в условиях компании-разработчика). Установка существует пока только в единственном экземпляре и на ней уже произведены десятки успешных восстановлений данных для заказчиков из разных стран мира, в том числе произведены успешные восстановления с механически разрушенных магнитных пластин (кольцевые запилы), а это, своего рода революция в области Data Recovery. Можно считать, что начало положено, и мы уже можем порадоваться за наших коллег и поздравить их с первыми реальными практическими результатами. Диск объёмом 80 GB читается на комплексе около пяти суток.

Второе направление в этой области, о котором мы упоминали выше — извлечение диска и помещение его в специальное внешнее считывающее устройство, называемое SpinStand tester. Это внешний электронно-механический прецизионный стенд, по принципу действия (а, заодно, и ценой) чем-то похожий на серворайтер, но отличающийся от него рядом дополнительных возможностей — независимым механическим приводом (двигателем и специальным крепежом) для вращения диска с любой выбранной оптимальной скоростью (в серворайтере этого нет, так как диск вращается средствами самого размечаемого HDD, т. e. собственным ШД и электроникой) и пьезомеханикой для компенсации (подстройки) нарушенной центровки диска. Также SpinStand tester имеет свои, специально разработанные универсальные читающие головки и систему их прецизионного перемещения. Теоретически, в комплекте с внешним электронным декодером и специальным ПО подобное оборудование также позволяет считать данные с любого неповреждённого участка диска — причём для этого, в отличие от предыдущей технологии, не нужен даже диск-донор. Фотография одного из таких устройств представлена ниже.

Подробное описание и технические характеристики прибора можно посмотреть здесь.

Однако с практической реализацией такой технологии на данный момент тоже есть проблемы. Стоит отметить такой интересный факт, что сам прибор изначально предназначен не для восстановления данных, а для тестирования головок, слайдеров, различных модификаций media а также обкатки новых алгоритмов кодирования и позиционирования. Кстати, подобный прибор, как и любой серворайтер, должен работать в чистой зоне с 10 классом чистоты (10 частиц, диаметром 0.03 мкм на 1 кубометр воздуха). Поэтому, можно сказать, что эта аппаратура используется для внутренних нужд производителей HDD или их компонетнов, и провести полноценное практическое восстановление данных произвольного диска на ней, опять же, крайне проблематично. Подробнее, см. выдержку из обзора ниже:

Spin-stands are very accurate and flexible for analyzing raw disks. Virtually any data pattern can be written and the positioning accuracy and repeatability are in the nanometer range. However, this typically requires that the tester write its own servo pattern. Reading a disk that has been written by a drive is more problematic.

First the disk and head must be aligned as close to their relationship in the disk drive as possible. Then the electronics and software must be programmed to utilize the servo pattern written on the disk. If the servo can be followed, the parameters for the head and channel still need to be optimized. Assuming that is possible, the data written to the disk should be readable.

However, unless the exact read channel and its coding options are available for the tester, all that will be delivered is scrambled, RLL encoded, ECC codewords at best. These must still be decoded and then assembled into useful files. Note also that the head will be flying over the disk surface, so the disk must not be significantly damaged.

In reality, the scenario above is very difficult to successfully implement even for a drive manufacturer. It takes a great deal of trial-and-error investigation by a very knowledgeable operator. It would be much more difficult for a data recovery company to implement this technique successfully across virtually all manufacturer's drives cost-effectively.

В заключение сообщим о ситуации с вышеобозначенными проблемами по состоянию на 2016 год. На сколько продвинулись разработки у специалистов из бывшей Action Front data recovery labs (которая, как указано в начале обзора, стала подразделением Seagate), нам неизвестно. Также нам неизвестно, действует ли этот проект вообще. Некоторые наши коллеги оттуда уволились и, совместно с русскими коллегами из других американских компаний, основали свою фирму под названием The DIGILab (IL). Своего сайта у них пока нет — есть только логотип. Нам известно, что главные специалисты этой компании — Артём Рубцов (ник на форумах — Doomer, автор популярной утилиты HDDScan), Александр Шашков и Андрей Петров (двух последних я знаю лично. — Прим. авт.).

Дополнение от 2020 г. Сайт у DIGILab, конечно же, появился. По составу произошли изменения: вместо Александра Шашкова там трудится наш коллега из Санкт-Петербурга — Leo Taranovsky (именно так он подписывался в сети FidoNet в 2000-х годах; Леонид Тарановский в то время работал в питерской компании Q-Lab).

Ну а мы тоже всё это время не сидели, сложа руки, и разработали ряд программных и аппаратных методик по модификации ПО, настроек и конструкции накопителя, которые, в целом, конечно же не гарантируют восстановление данных с диска с запиленными поверхностями, но, хотя бы, уже дают вполне определённый шанс успеха этой операции. Обязательным условием для этого является целостность критичных модулей в служебной зоне накопителя. Правда, в случае сильных повреждений на какой-то одной поверхности придётся исключать соответствующую ей физическую головку из обработки целиком. Это возможно почти на всех семействах дисков (технологии постоянно адаптируются и дорабатываются), и некоторая успешная статистика нами уже накоплена.

Несмотря на то, что при таком вычитывании результат получается далеко не стопроцентный (ввиду наличия нулевых зон, циклически повторяющихся по всему логическому образу, снятому с повреждённого диска) и правильно считывается только часть данных — клиента часто это устраивает, хотя бы потому, что часть данных определённо лучше, чем вообще ничего. Например, в случае фотоархива клиент теряет только часть фотографий в определённых папках. Разумеется, если речь идёт об относительно больших файлах, например, базах данных, то, в таком случае, успех зависит только от размера зоны пропуска. А, так как эти зоны, обычно, не очень большие (зависит от семейства диска, но, как правило, порядка 100 Мегабайт), то результат часто неприемлем для клиента (но это, хотя бы, можно спрогнозировать заранее, перед началом работ по восстановлению). Впрочем, существуют некоторые серии накопителей, у которых непрерывная зона по одной головке, до переключения на следующую, может простираться на значительные расстояния — от 1.5 до 20 Гигабайт, а на некоторых моделях даже на 100 Гигабайт (да и цикличность переключения головок может быть не обязательно линейной — она может меняться произвольным образом). Так, при наличии определённого фактора везения, возможно восстановить до 100 % данных даже в случаях, когда одна из поверхностей повреждена полностью и в считывании вообще не участвовала.

Есть у нас и некоторые успехи в вычитывании данных непосредственно с повреждённой поверхности. Успешных случаев пока мало (десятки), и это сильно зависит от характера повреждения и его локализации — успех тем вероятнее, чем менее обширна царапина. К тому же, пробовать вычитывать такие поверхности имеет смысл только в том случае, если считана остальная часть данных, либо, как минимум, файловая система — в общем, любые ориентиры, позволяющие работать не «вслепую». Другими словами, такое вычитывание можно делать только по заранее составленной карте нужных цепочек секторов в порядке приоритета «от важного ко всему остальному», и, если подобной карты нет, попытка чтения только выведет из строя очередной донорский блок магнитных головок и приведёт к растратам (или нашим, или возложенным на клиента), но к успеху — вряд ли. Работы подобного уровня — пожалуй, единственные, которые классифицируются эксклюзивным уровнем сложности и требуют, кроме профессионализма инженера, ещё и незаурядную интуицию и, как ни странно, — отменный слух.