Аналіз та відновлення таблиці розділів диска

Відновлення даних з пошкоджених жорстких дисків – це не легка і не швидка справа. Для цього потрібно розбиратись в жорстких дисках, файлових системах, їх структурах і принципах роботи. Крім того, потрібно знати ступінь пошкодження. Від вас знадобиться повна концентрація сил і уваги, самовідданість і навички програмування. Ми надамо всю потрібну інформацію для того, щоб відновити цінні дані без спеціального програмного забезпечення.

Основні поняття

• Жорсткі диски складаються з декількох магнітних дисків, що нагадують CD/DVD-диски. Кожен диск може зберігати дані на обох сторонах і має головки для читання і запису. Дані зберігаються на концентричних кільцях, так званих циліндрах. Циліндри можуть бути розділені на сектори або блоки.

• Master Boot Record (далі MBR). Це те, з чого все починається. MBR завжди розміщується в першому секторі на диску. Якщо такий запис є, то диск є завантажувальним, а якщо немає – то не завантажувальний. Диск, який містить операційну систему, повинен бути завантажувальним.
• Volume Boot Record (далі VBR). Сектор, який також відомий як завантажувальний сектор або завантажувальний запис розділу. Це поняття розроблено IBM і використовується для створення розділів на жорсткому диску (наприклад: «C:\», «D:\», «E:\» і т.д.). Кожен логічний диск має свій власний VBR.
• File Systems (файлові системи). Це набір алгоритмів, що визначають спосіб організації, зберігання та іменування даних, а також структуру інформації. Якщо ви хочете відновити файли, ви повинні знати який тип файлової системи на вашому диску (NTFS чи FAT32).

Що таке логічне пошкодження даних?

Пошкодження даних або жорсткого диска – це ситуація, при якій ваша операційна система (далі ОС) не може отримати інформацію про файли або їх властивості. Це може статися в результаті пошкодження елементів файлової системи, MBR або VBR, чи фізичного пошкодження жорсткого диска або флеш-накопичувача. Ви зможете легко відновити дані, якщо пошкоджений диск відповідає кільком вимогам:

• Диск та його сектори розпізнаються операційною системою.
• ОС має доступ до жорсткого диска та його секторів.

Основна мета відновлення – зібрати залишки даних після того, як сталося пошкодження. Ви повинні проаналізувати кожен сектор в пошуках файлів, так як ваша ОС не може цього зробити.

Рівень пошкодження

Пошкодження жорсткого диска можна умовно розділити на три рівні. Рівень визначає, наскільки пошкодження є оборотними та чи піддається інформація відновленню.

• Рівень 1: Це простий рівень, коли пошкоджена тільки таблиця розділу вашого MBR. В даному випадку необхідно знайти VBR. Як тільки буде знайдений VBR, ви зможете відновити дані.
• Рівень 2: В цьому рівні деякі поля вашого VBR пошкоджені, через що ОС не в змозі розпізнати свою файлову систему. В даному випадку ви повинні проаналізувати VBR, щоб отримати адресне поле вашого кореневого каталогу в FAT32, і MFT в NTFS. Якщо це вийде, то ви зможете знайти і відновити ваші файли. В іншому випадку – вам доведеться здійснити пошук сигнатур файлів по всьому диску.
• Рівень 3: У цьому випадку немає гарантії, що ви зможете відновити дані, оскільки може мати місце фізичне пошкодження вашого обладнання: диск пошкоджено вогнем, зіпсовано в результаті падіння, в нього потрапила вода і т.д. Для початку потрібно замінити пошкоджені деталі диска і відновити працездатність пристрою.

Архітектура

Розглянемо, наприклад, комп’ютер з одним жорстким диском і двома розділами на ньому: «C:\» і «D:\». ОС встановлена на диску «C:\». MBR завжди знаходиться в першому секторі, цей запис повністю відповідає за завантаження операційної системи комп’ютера на базі BIOS. Розглянемо структуру цього запису докладніше:

• Код початкового завантаження . При завантаженні комп’ютера необхідно виконати код завантаження операційної системи або будь-якого іншого програмного забезпечення. Такий первинний набір кодів знаходиться в BIOS. Цей код перевіряє наявність апаратного забезпечення і проводить декілька перевірочних тестів на можливість завантаження. Потім, відповідно до зазначеного порядку завантаження, він почне завантажувати перші сектори дисків. Коли він знаходить той, який зазначений як MBR, він починає його запускати. Цей код називається кодом початкового завантаження (зазвичай 440 байт). Робота коду полягає в перегляді таблиці розділу в пошуках активного розділу (наприклад, на якому диску знаходяться завантажувальні файли операційної системи), щоб знайти початковий сектор активного розділу. Завантажує копію завантажувальних файлів з розділу в пам’ять, контролює їх і те, як завантажується ОС. Ми не будемо заглиблюватися в цьому напрямку, так як це не потребується для відновлення файлів.
• Таблиця разділів. Розмір таблиці складає 64 байта. Розділ – це логічно виділена частина жорсткого диска, для того, щоб працювати як окремий диск настільки, наскільки визначить операційна система. Може мати незалежну структуру файлової системи. Незалежно від того, який розділ є активним, тобто містить ОС, початкова адреса сектора, що включає VBR розділу, містить його розмір і інформацію про те, в якій системі він відформатований: NTFS чи FAT. Для відновлення файлів, пошук та інтерпретація таблиці розділів відіграють важливу роль.
• Підпис диска. MBR і VBR завжди містять сукупність електронних даних 0x55AA. Ця сигнатура визначає, чи містить даний сектор MBR або VBR чи ні.

Таблиця розділів містить від 1 до 4 записів розміром 16 байт кожна. Давайте розглянемо, як їх інтерпретувати:

• Індикатор завантаження. Це перший байт в таблиці розділів, який вказує на те, активний розділ чи ні. Наприклад: знаходиться на ньому операційна система (файли і драйвера) чи ні. Якщо це поле містить 0x80H (це в шістнадцятковому вигляді, а в десятковому = 128), то це активний розділ. Для неактивних розділів це поле дорівнює 0x00h.
• Стартове значення CHS. Ігноруйте його.
• Дескриптор типу розділу. Це однобайтовое поле, але дуже важливе, так як дає інформацію про те, який тип файлової системи реалізований на диску. Оскільки кожна файлова система має свій алгоритм, дуже важливо знати, яка файлова система реалізована на вашому диску. У цьому полі ви можете зустріти декілька шістнадцятирічних показників. Вони наведені нижче:

Встановивши розмір розділу і адресe його початку, ви можете приступити до ручного режиму відновлення файлів.

Автор: Valery Martyshko, Технічний письменник

Автор, перекладач та технічний спеціаліст компанії Hetman Software. Має майже десятирічний досвід роботи в IT сфері, який охоплює різні галузі: від ПК з Windows та мобільних пристроїв, до фото та відео обладнання, сигналізацій та систем відеоспостереження, і т.д. Окрім іншого, є також спеціалістом по Android, Windows та Microsoft Office. Є експертом в області відновлення даних, файлових систем, пристроїв зберігання даних, RAID масивів.

Редактор: Vladyslav Kupriyenko, Технічний письменник

Редактор статей блогу, автор та ведучий рубрики на YouTube каналі компанії Hetman Software. За освітою: спеціаліст з обслуговування комп’ютерних систем та мереж, вивчав розробку програмного забезпечення. Має досвід роботи в IT сфері, який охоплює різні галузі: адміністрування комп’ютерної мережі та обладнання, контроль та підтримка роботи Інтернет, офісних та спеціалізованих програм. Є фахівцем в області відновлення даних, файлових систем та пристроїв зберігання даних.

Чому на жорсткому диску з’являються биті сектори і що з ними робити

Битий сектор жорсткого диска – це крихітний шматочок дискового простору, який дає збої під час роботи. Такий сектор не відповідає на запити читання або запису.

Биті сектори можуть виникати як на традиційних магнітних жорстких дисках, так і на сучасних твердотільних SSD накопичувачах. Розрізняють два типи пошкоджених секторів – одні виникають в результаті фізичного пошкодження диска і не можуть бути виправлені, інші – в результаті помилок програмного забезпечення і піддаються виправленню.

Типи битих секторів

Існує два типи битих секторів. Їх часто називають «фізичні» або «логічні» биті сектори.

Фізичні биті сектори – це простір жорсткого диска, який фізично пошкоджено. Головка жорсткого диска могла зіткнутися з рухомою пластиною і пошкодити її. Або ж в диск потрапила волога чи пил, і забруднила його. У випадку з SSD дисками биті сектори можуть виникати в результаті зносу або перегрівання мікросхем, або потрапляння всередину вологи. Биті сектори такого типу не мона виправити.

Логічні биті сектори – це простір жорсткого диска який не працює належним чином. Операційна система намагаючись прочитати дані з такого битого сектора отримує код помилки коригування, який не збігається з вмістом сектора. Це означає, що щось пішло не так. Такі сектори відзначаються як пошкоджені і Windows більше не використовує їх для зберігання інформації. Однак такі ділянки можуть бути відновлені за допомогою перезапису диска нулями (так званого низькорівневого форматування). Вбудована в Windows утиліта перевірки дисків також може виправити биті сектори.

Причини появи фізичних битих секторів

Ваш жорсткий диск може мати биті сектори прямо з заводу, особливо це стосується дешевих моделей китайського виробництва. Сучасні виробники техніки не ідеальні, тому у всьому може бути похибка. Саме тому SSD часто доставляються з декількома пошкодженими блоками. Такі блоки відзначаються як дефектні і дані переміщуються в додаткові комірки пам’яті твердотільного накопичувача.

У твердотільних накопичувачах биті сектора з’являються природним шляхом в результаті великої кількості спроб запису. Вміст таких секторів переміщається в додаткові комірки пам’яті SSD до тих пір, поки пам’ять не вичерпається. Після цього з появою нових збоїв ємність накопичувача починає зменшуватись.

У традиційних магнітних жорстких дисках биті сектори часто з’являються в результаті фізичного пошкодження. Жорсткі диски можуть мати помилки виробництва, рухомі частини диска схильні до природного зносу, диск може впасти, що призведе до дряпання головкою магнітних дисків, повітря з пилом і вологою може потрапити всередину і пошкодити диск.

Причини появи програмних (логічних) збійних секторів

Логічні биті сектори з’являються в результаті програмних помилок. Наприклад, якщо вимикається електроживлення в момент запису на жорсткий диск комп’ютера, запис даних в сектор переривається на середині операції. У більшості випадків це призводить до появи секторів з даними, які не проходять перевірку запису даних. Такі сектора відзначаються як збійні. Віруси чи інше шкідливе програмне забезпечення також може послужити причиною системних помилок і появи битих секторів.

Втрата даних в результаті помилки жорсткого диска

Навіть якщо ваш жорсткий диск продовжує справно працювати, ваші дані можуть бути серйозно пошкоджені, що призведе до втрати важливої ​​інформації. Чи будуть то документи для роботи або сімейні фотографії, всі збережені на комп’ютері дані цінні для нас. Це ще одна причина по якій ви повинні завжди робити резервні копії ваших даних. Тільки наявність декількох резервних копій на різних носіях інформації можуть захистити вас від втрати даних в результаті появи битих секторів або інших збоїв з диском.

Коли комп’ютер виявляє битий сектор він ігнорує його в подальшій роботі. Дані які перебували в цьому секторі буде переміщено, тому система не буде проводити читання і запис цього сектора. Сучасні жорсткі диски підтримують технологію S.M.A.R.T. і ведуть облік кількості переміщених секторів. Змінна для обліку називається “Reallocated Sectors”, її значення можна подивитись в безкоштовній утиліті CrystalDiskInfo. Можлива ситуація, при якій вміст битого сектора не зможе бути прочитано і переміщено. Це призведе до пошкодження файлу, і ви не зможете більше його відкрити.

Кілька битих секторів не є індикатором того що жорсткий диск скоро вийде з ладу. Однак якщо кількість битих секторів диска регулярно збільшується і комп’ютер попереджає про це S.M.A.R.T. помилкою, слід замінити ваш диск якомога швидше.

Як перевірити і виправити биті сектори

Windows має вбудовану утиліту для перевірки дисків, відому як chkdsk. Програма перевіряє ваш жорсткий диск на наявність битих секторів, відзначаючи сектора з фізичними ушкодженнями як погані, і виправляє сектора з логічними помилками роблячи їх доступними для подальшого використання.

Якщо Windows вважає, що на жорсткому диску з’явилася пов’язана з битими секторами проблема, утиліту Сhkdsk буде запущено автоматично при старті системи. Але ви також можете запустити цю утиліту в будь-який момент вручну.

Інші операційні системи, включаючи Linux і OS X, також мають свої власні вбудовані дискові утиліти для виявлення битих секторів.

Биті сектори – це жорстока реальність жорстких дисків, і не варто панікувати коли ви стикаєтеся з ними. Однак ви повинні завжди робити резервні копії важливих файлів на випадок різкого зростання кількості битих секторів. Слід пам’ятати, що наявність великої кількості збійних секторів сигналізує про швидкий вихід з ладу жорсткого диска.