Логические неисправности

Логические неисправности

Логическими принято называть неисправности, при которых утрата информации произошла не по вине носителя информации, а из-за повреждений содержимого.
К логическим неисправностям относятся:
Удаление файлов, случайное или преднамеренное;
Удаление томов (логических дисков) или изменение "разметки" диска;
Форматирование диска или флешки;
Повреждения файловой системы (например, сообщения "файловая система RAW"), а также когда диск просит отформатировать его перед использованием.
Отличительной особенностью логических неисправностей является то, что носитель информации (флешка, жесткий диск или SSD) находится в абсолютно исправном состоянии и может быть использован в дельнейшем.

Одно из наиболее распространенных заблуждений: для восстановления данных с несиправного носителя его нужно сначала отформатировать, так как у него "слетел формат". На самом деле форматирование носителя ничего полезного для восстановления данных не сделает, а вот навредить может запросто.

Что необходимо сделать для успешного восстановления данных:

1. Немедленно прекратить работу с накопителем, с которого предполагается восстановление информации. В случае, когда удалены (или пропали) данные с системного раздела, нужно выключить питание компьютера. Ни в коем случае нельзя устанавливать (скачивать и устанавливать) программы для восстановления данных на "пострадавший" диск.

2. Для восстановления данных накопитель подключается к другой операционной системе, на которую заранее установлен соответствующее программное обеспечение. Лучшим вариантом будет создание условий, при которых восстанавливаемый носитель не будет смонтирован в систему (не присвоена буква в Windows), этого можно достичь модификацией содержимого MBR или подключением к программно-аппаратному комплексу.

3. Ни в коем случае не сохранять результаты восстановления на тот же накопитель, с которого они восстанавливаются. Заблуждение, что "отсканировать и восстановить файлы" означает "они вернутся на свои места" чревато безвозвратной потерей данных из-за перезаписи.

Восстановление данных с отформатированного диска

Операция "форматирование" применяется к тому (логическому диску) на носителе; данная операция не применима к носителю целиком, даже если на нем только один раздел. При форматировании тома создается чистая файловая система, в кторой в последствии будут размещены файлы. На сегодняшний день существует два типа форматирования: быстрое (по умолчанию), при котором только создатеся чистая файловая система и полное, при котором все свободное место записывается нулями (в ОС Windows до Vista производилась только процедура проверки исправности тома).

Важно помнить:
После полного форматирования носителя (с записью нулями всего свободного места) восстановить данные невозможно даже в лаборатории.

Для восстановления данных с отформатированного носителя мы производим анализ незанятого пространства для поиска метаданных фаловых систем: FAT_Folders для файловой системы FAT, FileRecords и INDX_Records для файловой системы NTFS. Для nix-подобных файловых систем (HFS/HFS+ от Apple, Linux Ext 2/3/4 и им подобных) не только форматирование, но и простое удаление файла может стать фатальным из-за удаления всех копий суперблока (SuperBlock) и файловых дескрипторов (Inode). При восстановлении данных с отформатированных томов (а также удаленных данных) могут быть следующие потери: отсутствие имен в корневом каталоге (из-за создания нового, пустого корневого каталога на месте старого); полное отсутствие имен файлов и названий папок (для файловых систем Ext и HFS).
Частный случай: форматирование карты памяти в некоторых фотокамерах также обнуляет ее содержимое, доступное для программ-восстановителей данных. В таком случае мы применяем те же подходы, что и при восстановлении данных с флешек с аппаратными неисправностями, так как содержимое микросхем памяти при этом может и не обнулиться.

Флешка просит отформатировать

Флешка просит отформатировать

Сообщение "перед использованием носителя его следует отформатировать" может появляться при подключении абсолютно исправной флешки, но с поврежденной файловой системой (например, после небезопасного извлечения носителя). Такое предупреждение показывается по той причине, что операционная система не способна отличить неисправность как самого носителя, так и файловой системы на нем и считает, что если не найдено валидных файловых записей, то подключено новое, не отформатированное устройство. Ни в коем случае форматировать носитель, на котором есть важная информация, нельзя!

Для восстановления данных с диска (флешки или другого носителя), который просит отформатировать, мы в первую очередь снимаем с него посекторную копию. Делается это во-первых, для того, чтобы определить, исправен ли носитель информации, а во-вторых - в случае неисправности накопителя мы все равно будем получать его копию на исправный. После этого производится его исследование: находим и применяем в виртуальной файловой системе заголовки раздела (boot), файловой системы, а также другие метаданные, необходимые для реконструкции содержимого. После получения полной виртуальной файловой системы сохраняем данные на исправный накопитель. Лишь после того, как заказчик убедился в полноте восстановленных данных, носитель может быть отформатирован и использован в дальнейшем (при условии его исправности).

Восстановление файлов после переустановки Windows

Справочно:
Без файловых записей получить структуру каталогов и файлы с названиями невозможно. Полезные записи (о пользовательских данных) и "служебные" (системные файлы новой ОС) могут занимать одни и те же сектора.

Одним из самых сложных и самых распространенных случаев потери данных по праву считается утрата пользовательских данных при переустановке Windows. Случается это по разны причинам: из-за невнимательности "мастера", который установил операционную систему, а пользовательские данные перд этим не сохранил; вследствие "отката" к заводским настройкам ноутбука или просто из-за невнимательности. Наибольшая сложность в этом случае заключается в том, что данные, подлежащие восстановлению частично перезаписаны, а файловые записи о них утрачены полностью. Стоит отметить, что частичная перезапись вовсе не означает, не получится восстановить только эти несколько гигабайт, которые занимает операционная сисетма: даже автоматическая запись одного файла размером в несколько килобайт в кэш браузера может безвозвратно уничтожить, к примеру, файл базы данных 1С размером в десятки гигабайт. Происходит это в первую очредь из-за того, что информация о размещении фрагментов большого файла расположена в его файловой записи, которые в свою очередь, занимают, как правило, один и тот же участок файловой системы.

Для восстановления данных после переустановки операционной системы мы применяем следующие алгоритмы.

Восстановление перезаписанных файлов

1. При помощи программы "Data Extractor" (входящей в состав комплекса PC-3000) строим карту незанятых секторов текущей файловой системы. Делается это для того, чтобы в результатах восстановления не было лишних (существующих) данных, которые восстанавливать не надо: системных файлов установленной Windows и вновь скопированных на диск после переустановки системы пользовательских данных.

2. Делаем полную посекторную копию того пространства, которое считается незанятым (используя карту незанятых секторов). Делается это еще и из-за того, что причиной переустановки Windows запросто могло стать плохое состояние жесткого диска, и чтобы не усугубить положение, мы работаем только с копией.

3. Анализируем содержимое посекторной копии для поиска уцелевших файловых записей и экспортируем их в виртуальную файловую систему.

4. Сканируем посекторную копию свободного пространства диска в поисках тел файлов (применяем метод "чернового восстановления") и экспортируем их в виртуальную файловую систему.

Полученный таким образом результат восстановления данных содержит в себе все, что уцелело при перезаписи, но не содержит в себе ничего лишнего (файлов вновь установленной операционной системы). То, что не вошло в результат - увы, потеряно навсегда.

Важно помнить:
Для успешного восстановления данных после переустановки операционной системы ни в коем случае нельзя устанавливать на нее же никакие программы. В том числе предназначенные для восстановления данных. Даже один файл, сохраненныйв кэше браузера, пока Вы читаете этот материал, может безвозвратно уничтожить нужные данные.

Вопреки довольно распространенному мнению о том, что после перезаписи данные восстанавливают "по остаточной намагниченности" или "с учетом информации, записанной между секторами", оба этих утверждения - абсолютный бред. Это невозможно по следующим причинам: во-первых, сектор любого накопителя не может хранить в себе более 512 байт информации, перезаписываемой целиком, информация эта защищена кодом ECC, и если по какой-либо причине там будут "фантомные данные из удаленного содержимого", то вместо информации из сектора мы получим лишь сообщение об ошибке; во-вторых, чтение накопителя для решения логических проблем (даже программами из категории "суперпрофессиональные" и с названием Recovery) производится только штатным способом - никаких "межсекторных анализов". Такие слухи распространяют как правило, люди впервые увидевшие результат восстановления данных, превзошедший их ожидания, либо "умельцы", желающие скрыть за непонятными словами использование пиратских программ (оставляющих, кстати, в компьютере заказчика и восстанавливаемых данных "сюрпризы").

Учитывая непредсказуемость результата, наш огромный опыт и возможности нашего оборудования, мы предоставляем гарантию восстановления данных. Мы не боимся поработать бесплтатно, но и не даем ничем не подкрепленных обещаний вроде "возможно восстановить 73% данных", не берем оплату за объем восстановленных данных (в том числе ненужных заказчику).

Главное условие оплаты: если в результатах восстановления данных заказчик не обнаружил искомые данные (в том числе если их невозможно восстановить), в нашей лаборатории оплата не взимается! Работы такого рода у нас занимают одни сутки: уже на следующий день Вы сможете проверить результат восстановления данных. Не рискуйте Вашими данными - обращайтесь к профессионалам.

Почему стоит обратиться именно к нам

      Фиксированные цены. Мы не заманиваем в лабораторию низкой ценой "от 1500 р.", чтобы потом сказать, что именно в Вашем случае стоимость больше. Точная цена известна заранее, как и верхний предел цен. Стоимость любых работ приведена на сайте в разделе "цены". Мы не обманываем клиентов!
      Работа без предоплаты. Мы не берём предоплату за запчасти, расходные материалы и "дополнительную расширенную диагностику" независимо от того, какая работа уже проделана. Исключение составляют только чужое неквалифицированное вмешательство (но такие случаи крайне редки). Мы дорожим своей репутацией!
      Бесплатная доставка. Наш курьер бесплатно заберёт и привезёт Ваш накопитель. Отправляя курьера, мы сразу сообщаем стоимость работ "от" и "до", но если заранее оговорённая цена не устроила заказчика после доставки в лабораторию, то обратная доставка будет платной. Все исполненные и оплаченные заказы мы доставляем бесплатно в пределах Москвы.

Заказать консультацию