Интервью с инженером DataRecovery. Как восстановить данные SSD диска самостоятельно

Существует общепринятая точка зрения, что невозможно восстановить данные на твердотельном накопителе, что сделать это можно только на обычном жёстком диске. Но это касается только встроенных носителей. Файлы на USB-флеш-накопителях и внешних твердотельных накопителях (SSD) подлежат восстановлению, что зачастую воспринимается в качестве уязвимости в защите личной информации.

Но, с другой стороны, это хорошо. На таких устройствах можно восстановить случайно удалённые файлы, что, само собой, является полезным свойством. С другой стороны, этим могут воспользоваться посторонние люди для получения доступа к конфиденциальным сведениям.

Почему нельзя восстановить удалённые файлы со встроенного SSD

Причина, по которой файлы можно восстановить на обычном встроенном в компьютер жёстком диске, очень проста. Когда вы удаляете с такого диска файл, то он по большому счёту не удаляется. Эти данные остаются на жёстком диске, просто отмечаются системой как удалённые. Операционная система сохраняет информацию до того момента, пока ей не понадобится больше пространства на диске для сохранения других данных.

Для операционной системы нет смысла мгновенно очищать сектора, так как это сделает процесс удаления файлов более длительным. А запись информации в ранее использованный сектор занимает столько же времени, как и запись информации в пустой сектор. Из-за большого количества таких удалённых данных, программы для восстановления данных могут просканировать жёсткий диск на наличие незадействованного пространства и восстановить информацию, которая ещё не перезаписана.

SSD-диски работают по-другому. Прежде чем любые данные запишутся в ячейку флеш-памяти, такая ячейка предварительно очищается. Новые приводы изначально пусты, и запись на них происходит максимально быстро. На заполненном диске со множеством удалённых файлов процесс записи происходит медленнее, так как каждая ячейка должна быть очищена, прежде чем на неё будет производиться запись. Это значит, что со временем SSD-диск будет становиться медленнее. Для того, чтобы избежать этого, была введена TRIM .

TRIM (англ. to trim - подрезать) - команда интерфейса ATA , позволяющая операционной системе уведомить твердотельный накопитель о том, какие блоки данных уже не содержатся в файловой системе и могут быть использованы накопителем для физического удаления.

Когда операционная система удаляет файлы со встроенного SSD, она обращается к команде TRIM, и та мгновенно удаляет данные сектора. Это ускоряет процесс записи в будущем и делает восстановление данных на таком диске практически невозможным.

TRIM работает только со встроенными дисками

Итак, считается, что невозможно восстановить файлы на SSD-диске. Но это не так, потому что есть один очень важный нюанс: TRIM поддерживается только встроенными (внутренними) дисками. Она не поддерживается интерфейсами USB или FireWire. Другими словами, когда вы удаляете файл с флешки, внешнего SSD, SD-карты памяти или твердотельного накопителя другого типа, система просто отмечает его как удалённый и он может быть восстановлен.

Это значит, что на любых внешних дисках можно восстановить данные таким же образом, как и на обычном HDD-диске. Фактически такие носители ещё более уязвимы, чем обычный встроенный HDD, - их легче украсть. Их можно где-то оставить, одолжить или потерять.

Попробуйте сами

Можете попробовать сами. Возьмите флешку, подсоедините её к компьютеру и скопируйте на неё файлы. Удалите эти файлы и запустите программу для восстановления удалённых данных. Просканируйте с её помощью вашу флешку, и программа увидит все удалённые файлы и предложит их восстановить.

Программа нашла удалённые файлы с помощью быстрого сканирования

Быстрое форматирование не поможет

А как же форматирование? Отформатируем флешку, и ничего не восстановится! Ведь форматирование удаляет все файлы на носителе и создаёт новую файловую систему.

Чтобы проверить это, отформатируем нашу флешку с помощью установленного по умолчанию быстрого форматирования. Да, действительно, с помощью быстрого сканирования Hetman Partition Recovery не смогла обнаружить удалённые файлы. Но более глубокий полный анализ смог обнаружить большое количество удалённых файлов, которые были на флешке до её форматирования.

Быстрое форматирование не затирает диск

Убираем галочку с быстрого форматирования и форматируем заново. После этого программа затрудняется найти удалённые файлы.

Когда форматируете флешку, не забудьте убрать галочку с быстрого форматирования

Как убедиться в том, что удалённые файлы уже не могут быть восстановлены

Можно использовать такие решения для шифрования, как TrueCrypt , Microsoft BitLocker , встроенный инструмент Mac OS или Linux. Тогда никто не сможет восстановить удалённые файлы без ключа, и это защитит все файлы на носителе, в том числе и удалённые.

Но это важно только в том случае, если носитель используется для хранения важных данных. Если это флешка для прослушивания музыки в авто, то, понятное дело, шифровать её не обязательно.

TRIM - это функция, которая помогает получать максимальную производительность от встроенного SSD. Однако она не является средством безопасности. Многие думают, что она гарантирует безвозвратное удаление данных с любого твердотельного носителя. Это не так - можно восстановить данные на любом внешнем диске. Обязательно примите это во внимание, когда удаляете конфиденциальные или просто важные данные.

Несмотря на существенное отличие накопителей рассматриваемого типа от обычных жестких дисков и носителей информации иного типа, приложения для реанимации данных могут использоваться те же самые. Если же была повреждена аппаратная часть, то для реанимации потребуется специализированное оборудование и утилиты.

Неисправности, препятствующие чтению данных

На сегодняшний день все неисправности, не позволяющие прочитать присутствующие на носителе рассматриваемого типа данные, можно условно разделить на несколько основных категорий:

К повреждениям физического характера относится выход из строя основных компонентов:

разъемы для подсоединения интерфейса;
поломка микросхемы контролера физической памяти;
выход из строя компонентов платы;
выход из строя всей печатной платы.

Повреждения подобного рода могут быть нанесены в результате как механического, так и электрического воздействия. В таком случае ремонт для восстановления доступа к расположенной на накопителе информации достаточно сложен и требует наличия специализированных навыков. Порой при уничтожении контролера получить доступ к содержимому становится попросту невозможно.

Логическое повреждение носителя (его файловой системы) может являться следствием ошибочного стирания информации, форматирования. Также возникновение подобного рода ситуаций случается из-за неправильной работы каких-либо специализированных приложений. Разрешается подобного рода ситуация достаточно просто – при помощи специализированных утилит.

На дисковых накопителях рассматриваемого типа присутствуют разделы, используемые контролером для выполнения своих функций. Если по каким-то причинам они повреждены и стали неработоспособны, то для их реанимации необходимо передать устройство в специализированный авторизованный сервисный центр. Подобные повреждения не так сложны, как выход из строя контролера, но так же опасны.

Восстановление в случае повреждения контролера

Процесс рассматриваемого типа всегда состоит из двух основных этапов:

аппаратного;
программного.

Разборка устройства и последующие действия

Разборка устройства рассматриваемого типа осуществляется в несколько этапов:

корпус извлекается из персонального компьютера (ноутбука или стационарного – не важно);
при помощи подходящей отвертки (крестовой или шлицевой) откручиваются все соединительные болты;
специальным инструментом для вскрытия (или обычной пластиковой картой) осуществляется разъединение корпуса.

После вскрытия необходимо при помощи специализированного фена для пайки выпаять все микросхемы. Далее следует воспользоваться устройством, позволяющим осуществлять чтение непосредственно с этих электронных компонентов — NANDFlashReader. Данный программатор обычно снабжается специальными утилитами для осуществления чтения.

Чтение данных с микросхемы

Для работы с данными на выпаянной из печатной платы микросхеме можно использовать следующие приложения :

PC-3000 Flash;

Для восстановления данных при помощи PC -3000 Flash необходимо выполнить следующие действия:

после запуска в левом окне нажать правой кнопкой мыши на требуемую микросхему;
в открывшемся контекстном меню выбрать пункт «чтение микросхемы»;
задать параметры чтения в соответствующем окне и параметры автоанализа;
осуществляется сборка образа, все данные расположены в правой части окна;
выделяем все необходимое и нажимаем снова на правую кнопку мыши – выбираем «Сохранить» (или жмем «F2»).

В некоторых особенно сложных случаях применение функции автоанализа попросту невозможно. В таких ситуациях лучше всего обратиться к профессионалам, специализирующимся на проблемах подобного типа. Так как в противном случае велика вероятность повреждения содержимого микросхемы без последующей возможности получения доступа к данным.

Ещё одно довольно мощное приложения для работы с микросхемами памяти дисков SSD– FlashExtractor. Изначально оно разрабатывалось для работы со схемами обычных флэш-карт, но впоследствии стало применяться для работы с компонентами рассматриваемых дисков.

Процесс восстановления данных с SSD диска:

подсоединяем специальный ридер с установленной в него схемой к персональному компьютеру через USB;
запускаемфайл Flash Drive Information Extractor (\usbflashinfo\GetFlashInfo.exe);
на панели функций необходимо нажать на кнопку «Получить информацию»;
выбираем место назначения, куда будет сохранено все спасенное содержимое;
нажимаем на «Extract».

После завершения процесса все подлежащие восстановлению данные будут скопированы в соответствующую директорию. После чего пользователь может использовать их по собственному усмотрению.

При исправном контролере

Гораздо проще осуществляется реанимация данных, когда контролер полностью исправен, а необходимое содержимое было потеряно вследствие ошибочного стирания или же форматирования. В подобных ситуациях отсутствует необходимость осуществлять разборку самого диска, а также его пайки. Таким образом, необходимое количество времени и сложность работы существенно уменьшаются.

Для реанимации данных в рассматриваемом случае отлично подойдут следующие приложения:

DMDE;
Hetman Partition Recovery;

Все обозначенные выше приложения дают довольно высокий процент успеха. Их использование позволит восстановить данные даже в случае форматирования устройства.

DMDE

Чтобы запустить процесс восстановления приложением DMDE , необходимо сделать следующее:

запустить приложение из директории, куда оно проинсталлировано;
после пуска отобразится окно, в котором необходим будет осуществить выбор нужного устройства (выбираем SSD-накопитель);
нажимаем на кнопку «Пуск» (на ней нарисован зеленый треугольник).

Предварительно необходимо в настройках программы посмотреть место назначения, куда осуществляется сохранение всей информации. Важно убедиться, что количество свободного места в разделе, выбранном в качестве места назначения, достаточно для копирования всего необходимого объема.

Приложение под названием HetmanPartitionRecovery также отлично подходит для реанимации данных на SSD-диске.

Чтобы осуществить данный процесс, требуется сделать следующее:

запускаем приложение;
в левой части рабочей области выбираем диск, с которым необходимо осуществлять работу и выделяем его;
открываем меню «Файл», выбираем пункт «Сканировать».

После завершения сканирования все обнаруженные файлы будут обозначены в виде ярлыков или таблицей в правой части экрана. Для их восстановления следует выделить необходимые объекты, после чего нажать открыть контекстное меню правой кнопкой мыши и выбрать второй пункт сверху «Восстановить» . Процесс реанимации данных пройдет в автоматическом режиме.

AdvancedDiskRecovery

Интерфейс AdvancedDiskRecovery мало чем отличается от рабочей области аналогичных утилит. После запуска пользователь увидит на экране стандартную рабочую область.

Для начала процесса реанимации необходимо сделать следующее:

в левой части экрана выбрать устройство;
открыть меню «Options» и нажать на пункт «Scanning»;
в правой части экрана будут обозначены доступные объекты, подлежащие реанимации;
выделаем необходимые файлы и папки, нажимаем кнопку «Save» (в правой нижней части экрана).

Несмотря на всю свою надежность, носители типа SSD иногда выходят из строя. Также нередко пользователи сами являются основной причиной потери данных (случайно удаляют файлы или форматируют устройство). Хотя и существуют некоторые сложности, практически всегда есть шанс восстановить утерянную информацию.

Восстановление SSD-накопителей | Когда хорошая память попадает в неприятные ситуации

В этот раз мы связались с лабораторией Flashback Data, сотрудники которой занимаются всеми типами устройств для хранения данных, но имеют особый опыт работы с флэш-памятью. Представители Flashback Data согласились показать нам, какие усилия предпримет высококлассная лаборатория ради спасения нашей драгоценной флэш-памяти.

Восстановление SSD-накопителей | Диапазон чтения

В самом начале своего пути Flashback в основном производила замену неисправных чипов, но со временем продолжать это становилось всё тяжелее, поскольку производители стали использовать различные компоненты на различных стадиях производства в одной и той же модели. На некоторых устройствах появилось шифрование, которое ещё больше затрудняет процесс восстановления данных. В этом случае от Flashback требовалась возможность чтения памяти напрямую, что, в свою очередь, означало необходимость обладать невероятным количеством способов для чтения чипов из столь широкого разнообразия имеющейся флэш-памяти.

Заметим, что когда Flashback ссылается на "шифрование", это состояние, как правило, является неизвестным для пользователя. Например, где-то с 2006 года SanDisk начала шифровать данные на всех своих накопителях, как поведал нам один из основателей и вице-президент компании Flashback Рассел Чозик (Russell Chozick). Как и в случае с автоматическим шифрованием жёстких дисков, контроллер производит шифрование всех данных, хранящихся во флэш-памяти. Так как для блокировки шифрования не предусмотрен пароль, данные расшифровываются и извлекаются из носителя. Так что в случае повреждения печатной платы сотрудники Flashback стараются переместить контроллер и чипы памяти в новое устройство. "Если сгорел контроллер, то получить данные обратно практически нереально, поскольку именно на нём содержится информация о том, как именно нужно расшифровать данные. При отсутствии возможности работы с контроллером вы сталкиваетесь с большой проблемой".

Восстановление SSD-накопителей | Типы флэш-памяти

Эти тёмно-серые чипы стандарта TSOP48 в течение многих лет являлись типичными компонентами USB-накопителей, а также карт памяти SSD/SD/CF, но в последнее время они открыли дорогу и для других чипов. На самом нижнем образце на картинке видно заднюю часть чипа TLGA, и вы можете заметить, что сбоку нет контактов, а модули расположены на задней стороне. Такие чипы являются обычными для всех типов флэш-памяти и работают, например, в новейших смартфонах iPhone.

Во время процесса восстановления сотрудники Flashback вставляют чипы TSOP48 в считывающие устройства, но TLGA также должны быть припаяны. Очевидно, что при этом процессы анализа и восстановления информации происходят куда сложнее. Так что после внедрения в смартфоны более компактной флэш-памяти старые "монолитные" форматы кажутся более простыми в сравнении с ней.

Карты памяти формата SD и USB-устройства LaCie также имеют монолитные чипы. В то время как большинство карт памяти имеет отдельные чипы контроллера и памяти, в монолитном чипе оба компонента объединены в одном крошечном модуле. Очевидно, что нарушения в работе таких устройств могут произойти по любой из множества причин. Если перестаёт работать контроллер, то специалисты всё равно могут получить доступ к данным при помощи других средств вместо использования контактов для подключения к кардридеру, смартфону или камере. На фотографии заметно, как с устройства частично снят корпус, поскольку специалистам необходимо удалить некоторую часть припаянного чёрного покрытия, чтобы найти определённые точки для подключения к логическому анализатору. Как только все точки будут определены, карта будет подсоединена так, как это показано на следующих картинках.

Для удаления части покрытия сотрудниками Flashback используются удивительно незамысловатые инструменты: шлифовальная паста и полировальный круг. Для достижения этой цели можно использовать и химикаты, однако нам сказали, что лучше воспользоваться медленным и тщательным процессом полировки. В процессе шлифования можно легко повредить очень тонкие контакты. Сначала мы попросили подключить накопитель LaCie, но затем отказались от этой идеи, узнав, что такая работа может занять у специалиста целый день.

Восстановление SSD-накопителей | Типичные ошибки флэш-накопителей

Мы видели фотографии повреждённых жёстких дисков, большинство из которых пострадало из-за столкновения головки с треками в магнитном носителе. Практически все повреждения SSD-накопителей и флэш-памяти, которые обнаруживают сотрудники Flashback, незаметны. В редких случаях можно увидеть след ожога на печатной плате, но, в целом, сломанные контроллеры и сожжённые предохранители не оставляют видимых признаков. В итоге, специалистам приходится долго работать, тестируя каждый резистор. В сравнении с этим отсоединить коннектор, как это показано на фото, для специалистов по ремонту – пара пустяков.

Восстановление SSD-накопителей | Как насчёт изнашивания?

Ранее мы уже писали о постоянной гонке двух процессов – усовершенствованием чтения алгоритмов по мере увеличения ёмкости и сокращением литографии, что напоминает перетягивание каната. В частности, мы обеспокоены тем, что флэш- и SSD-накопители, проработавшие несколько лет, могут проявлять признаки износа.

К счастью, как нам говорят, большинству SSD-накопителей, которые поступают в лабораторию Flashback, нет ещё и года, так что и износа NAND-памяти не наблюдается. На самом деле, случаи фактического износа крайне редки. Хотя у USB-флэшек (особенно более старых моделей с менее совершенными алгоритмами выравнивания) износ распространён чуть больше. Считывание с чипов происходит отлично, но при проверке информации возникает множество ошибок ECC, и никакие данные извлечь не получается. Наличие четырёх красных точек (далее на картинках) говорит о проблемах с ECC. Напротив, основные проблемы износа будут отмечены четырьмя зелёными точками.

Были и такие случаи, когда специалисты проводили анализ, вынимали чип, чистили ламель и ставили всё на место, усугубляя проблему со считыванием данных, на что теперь требовалось больше времени. Так что износ и правда можно расценивать как реальную опасность, но здесь не идёт речи ни о каком кризисе, хотя многие могли бы о нём подумать.

Восстановление SSD-накопителей | Нагрей

Чипы должны быть удалены с печатной платы при помощи специального паяльного приспособления, и одним из главных инструментов на этом этапе является горячий воздух. На картинке видно, как специалисты удаляют TLGA-чип из USB-устройства. Они контролируют температуру и давление воздуха, нагревая устройство настолько, чтобы можно было расплавить спаянные точки. В таких паяльных станциях также имеются паяльники, сварочный флюс, омметры и другие приспособления для диагностики. Некоторые из этих станций занимают основную лабораторию Flashback, площадь которой составляет примерно 465 квадратных метров.

Восстановление SSD-накопителей | Удаление памяти

Контроллер этого SSD-накопителя является сгоревшим, так что специалисты Flashback проводят аккуратное снятие чипов памяти, каждый из которых пронумерован вручную для отслеживания и упрощения процесса сбора данных.

"Иногда мы так и не узнаем, какие именно компоненты вышли из строя, - рассказывает вице-президент компании. – Мы просто знаем, что в этом типе накопителя имеется сбой в прошивке, или такая ошибка наиболее типична для него, так что для работы нам требуется снять чипы. Наши клиенты постоянно спешат, поэтому во множестве случаев точную причину того, что и почему сгорело, установить не удаётся. Но зато мы знаем, что процесс считывания через контроллер здесь не пройдёт, но он и не зашифрован, так что мы должны отсоединить чипы, произвести считывание, а затем и восстановление.

Восстановление SSD-накопителей | Отсоединение чипов

Флэш-накопители и SSD-диски являются не единственными устройствами, которые подвергаются тепловому воздействию. Через сервис Flashback проходит постоянный поток сотовых телефонов, таких, как вот этот HTC Evo, который был утоплен в бассейне. Услуги по восстановлению информацию с флэш-памяти стоят сотни и тысячи долларов, так что становится очевидным, что этот телефон отдали не для восстановления детских мультиков. Говорят, что некоторые такие телефоны содержат последние фотографии покойных друзей или близких людей. Регулярно поступают устройства, связанные с расследованиями уголовных дел, и если преступник может уничтожить улики, грубо говоря, под ногами, то из неповреждённой флэш-памяти можно достать ценную информацию для проведения расследования.

Сейчас смартфону HTC Evo два года. Новые устройства, например, Samsung Galaxy и некоторые другие от компании HTC, часто поддерживают технологию eMMC, которая содержит встроенный в модуль памяти контроллер, как и на карте памяти формата SD. В этом случае процесс восстановления может стать ещё более простым.

Восстановление SSD-накопителей | Жёсткий диск против флэш-памяти

В так называемой зоне обслуживания жёсткого диска содержится информация, позволяющая ему "общаться" с самим собой. Для перевода данных в процессы чтения/записи необходимо сообщать информацию о том, где расположены сбойные сектора, сколько имеется магнитных головок, какие из них включены, а какие отключены, и так далее. Такая информация располагается на пластинах в специальной зоне, которая отделена от пространства диска, зарезервированного для записи пользовательских данных.

В случае с флэш-памятью производители также оставляют место для такой зоны, где содержится вся информация о кодах коррекции ошибок, наличии в секторах ошибок, местах расположения этих секторов, и так далее.

В то время как жёсткий диск состоит в основном из 512-байтовых секторов, флэш-память обычно использует 528-байтовые, где 512 байт относятся к памяти, а ещё 16 – к вышеупомянутой зоне обслуживания. В SSD-накопителях происходит преобразование в доступный пользователю размер сектора 512 байт. Но когда Flashback считывает исходные данные, специалисты получают информацию с обеих областей. Данные смешиваются, сваливаются в одну кучу и при этом чередуются. Когда специалистам нужно отобразить доступную информацию, все её элементы, извлечённые из зоны обслуживания, должны быть удалены.

Восстановление SSD-накопителей | Более внимательный осмотр

Иногда специалистам требуется провести очень тщательный визуальный осмотр чипов и их хрупких внутренностей. Лучшим инструментом для такой работы считается микроскоп Mantis от Vision Engineering, и хотя он стоит примерно $2000, зато помогает специалистам по восстановлению изучить схему в 3D (с помощью двух световых дорожек, проходящих через одну линзу) с двадцатикратным увеличением. Более естественная и комфортная работа с Mantis помогает обнаружить те проблемы, которые могли быть незаметны при использовании обычных микроскопов. Он также становится помощником при паяльной работе, при разборке и в ремонте.

Восстановление SSD-накопителей | Сканирующие станции

После того, как чипы соединены таким образом, что могут быть прочитаны внешними устройствами, сотрудники Flashback помещают их в самостоятельно собранные конфигурации для считывания данных. Они довольно просты, хотя в них имеются специальные системы, которые позволяют обозревать разные сектора, контролировать время работы и так далее. Если чтение происходит медленнее, чем обычно, существует возможность перехода на другие неиспорченные сектора, чтобы как можно быстрее получить доступную информацию.

"Мы можем двигаться и вперёд, и назад, - утверждает вице-президент компании. – Мы можем заставить прибор сканировать файловую таблицу MFT и отображать только лишь выделенные данные вместо получения свободного пространства, так что работа может быть выполнена очень быстро. Иногда приходится бороться c устройством, который даже в процессе восстановления продолжает сбоить, иногда есть клиенты, которым нужно как можно скорее вытащить один-два важных файла в сжатые сроки".

Восстановление SSD-накопителей | Выбор крепления

Для подключения чипов к системам считывания Flashback применяет поразительное множество специальных креплений. На картинке можно увидеть тип адаптера, который был использован для работы с чипами TSOP48 и считывающим устройством TLGA. Внутри этих адаптеров каждый из контактов разъёма касается контактов на чипе памяти. Адаптер вкручивается в плату для последующего соединения с TSOP-разъёмом. В нижней части имеется USB-интерфейс для связи с системами сканирования.

Восстановление SSD-накопителей | Микс данных

Помните тот чип памяти, который был снят с телефона HTC? Мы можем увидеть его снова, теперь уже с проводами для считывания. Печатные платы были сделаны на заказ для подключения к USB-устройству. Отверстия в каждом из углов помогают закрепить чип на плате. Вместе с TSOP-адаптером, который был показан выше, каждый из его контактов касается одного контакта на чипе памяти. Но в таком миксе все ламели чипов открыты, так что специалисты могут заниматься распайкой вместо подключения к разъёму. Поскольку здесь много монолитных чипов и разъёмов, Flashback требуется соединиться с конкретными точками и припаять их к чипу.

Это восьмибитный чип, о чём свидетельствуют восемь проводов, которые подсоединены к печатной плате. В 16-битном чипе их было бы вдвое больше.

Восстановление SSD-накопителей | Процесс чтения в течение нескольких часов

При подсоединении монолитных чипов используется аналогичный подход. Разным устройствам нужны разные провода, но подход остаётся тем же – каждое соединение выполняет свою функцию. Например, в правом верхнем углу через контакт поставляется 3,3 В питания. Глядя на этот процесс, вы начинаете понимать, насколько много времени занимает простое извлечение данных из чипов.

Восстановление SSD-накопителей | Добро пожаловать в мир хаоса

Посмотрим, с чем работают специалисты по восстановлению данных. Здесь видно содержимое необработанных исходных данных из главной загрузочной записи SSD-накопителя. Данные смешиваются при помощи алгоритмов, применяющихся контроллерами при оптимизации скорости чтения и записи, нивелировании износа и так далее.

"Считывая чипы, мы получали целую кучу необработанных данных, - рассказывает вице-президент компании. – Например, здесь чип памяти имеет 528-байтовый сектор, где 512 байт задействуются для данных, а ещё 16 – для хранения информации об этих данных и коррекции ошибок. Мы называем такую область зоной обслуживания. При первом просмотре этого массива данных в шестнадцатеричной системе счисления мы должны найти известные нам структуры данных, чтобы выяснить их расположение".

Восстановление SSD-накопителей | FAT под микроскопом

Здесь показаны файловая система FAT16 и загрузочный сектор

"Главная загрузочная запись (MBR) обычно отмечена в секторе 0, - рассказывает Чозик. – Теперь её там нет, но мы можем её найти и определить известную структуру данных. Мы знаем, где она располагается, как далеко находится от загрузочного сектора и так далее. Это можно увидеть на следующей картинке. Такой процесс напоминает сбор доказательств. Мы находим MBR, загрузочный сектор и FAT. Теперь мы видим знакомые нам структуры, и должны подумать над тем, как их вместе переместить обратно.

Чозик отмечает, что иногда специалистам не удаётся найти какую-либо из этих структур, как правило, из-за приложенного к устройству алгоритма. Некоторые алгоритмы инвертируют все биты данных. Если такой подход обнаружен, то специалистам известно, как провести обратный процесс. Некоторые алгоритмы будут касаться каждого байта вместо целого сектора, поэтому каждый байт будет располагаться на разном чипе памяти. Это требует воссоединения по каждому байту, а не по целому сектору. Некоторые алгоритмы будут использовать шифры, которые ещё больше усложняют процесс. Для процесса, выполняемого компьютером, восстановление довольно часто выполняется вручную.

Восстановление SSD-накопителей | Совместное возвращение

Давайте внимательнее посмотрим на данные в секторе, где информация рассеивается по нескольким чипам памяти. Вы можете увидеть, как выглядит первая часть каждого сектора.

В шестнадцатеричной системе счисления обозначения располагаются в таком порядке: 0, 1, 2, 3, 4, 5, 6, 7, 8, 9, A, B, C, D, E, F, 10, 11, 12, 13, 14, 15, 16, 17, 18, 19, 1A, 1B, 1C и так далее. На чипе #1 видно, что порядок нарушен дважды – сначала между значениями 09 и 0Е, а затем между 11 и 16. А что происходит с соответствующими данными? Ответ – на чипе #2.

Восстановление SSD-накопителей | По порядку

Специалистам требуется воссоединить эти разделённые 2112 байт (4 сектора по 528 байт), и когда это случится, результат будет выглядеть так же, как на картинке ниже.

А теперь представьте, что есть 64 дампа памяти, которые надо объединить. Почему 64? Потому что отдельный чип может иметь не один дамп, а, например, сразу четыре. Так что возьмите 16 чипов (к примеру, на SSD-накопителе), умножьте их количество на четыре – вот и выйдет общее число дампов (ровно 64).

Восстановление SSD-накопителей | До и после

Возможно, трудно себе представить, как на самом деле все эти колебания на уровне байтов выглядят на макроуровне. Пустая ячейка в таблице (или повреждённый файл) не может отразить всю ситуацию в полной мере.

Картинка от Flashback способна проиллюстрировать это. На некоторых примерах заголовок и часть данных нетронуты, так что они могут, по виду, располагаться близко, но быть перемешанными, что отражается в артефактах изображения.

Взяв поврежденный JPEG-файл, специалисты применяют ECC-коррекцию и перемещение блоков для упорядочивания данных и удаления битовых ошибок, которые были обработаны при помощи контроллера. Они также заново упорядочены и освобождают зону обслуживания от собранных данных для обеспечения чистого и непрерывного потока данных.

Восстановление SSD-накопителей | Конечный результат

После нескольких часов ремонта и различных манипуляций даже с использованием алгоритмов, помогающих автоматизировать сбор данных, сотрудники Flashback предоставляют данные в виде файлов и папок. Всё расположено по порядку. Насущным остаётся вопрос, восстановились ли данные полностью и соответствуют ли они своему первоначальному виду.

Частично это можно проверить при помощи файловых заголовков. Карты памяти SD и аналогичные накопители, как правило, содержат массу изображений, которые визуально легко проверить на наличие ошибок. Ошибки ECC в отдельных файлах обнаружить довольно легко - с остальными типами файлов может быть сложнее. Утилиты способны подсказать специалистам при помощи заголовка, что файл вылечен, но могут не отметить сбойный сектор, который хорошо виден наблюдателю.

"В отношении большинства клиентов мы делаем упор на практичность, - отмечает вице-президент компании. – Мы спрашиваем, что им необходимо получить, и тестируем файлы, если они об этом просят. Если выходит так, что мы не можем восстановить структуру директорий, нам приходится делать это при помощи заголовка файла. Это как "сырое" восстановление, где мы не получаем файловых имён. Мы будем вытаскивать данные, причём получим даже больше, чем рассчитывают люди, поскольку мы также можем восстановить и удалённую информацию. Иногда мы видим, что таблица FAT полностью повреждена, и тогда приходится приступать к именно такому виду восстановления".

Восстановление SSD-накопителей | Что важнее?

В одной из статей о восстановлении данных кто-то из читателей отметил в комментариях, что по существу любой мог бы заняться таким бизнесом и что действие Flashback происходит на другом уровне в сравнении с более известными сервисами. Доказательство этому факту можно найти в результатах работы и списке клиентов, где имеется широкий спектр коммерческих и государственных организаций.

Согласно информации от Чозика, ведущие специалисты Flashback имеют более чем 15-летний опыт работы в сфере восстановления данных. Компания вложила сотни и тысячи долларов в оборудование и запчасти для проведения этих процессов.

"Очень тяжело познать это дело самостоятельно, - говорит он. – R&D-отделам понадобились годы для того, чтобы достичь тех высот, которых достигли мы. Наша компания не так уж мала, как кажется: наша площадь составляет почти 465 квадратных метров, и у нас установлен высокий уровень безопасности. Также имеется четырёхуровневый биометрический контроль с круглосуточным наблюдением. В лаборатории в целях борьбы со статикой используется заземлённый пол с медными проводами, так что нет никакого риска электрического повреждения. У нас есть специальная защищённая решётками область для хранения тех данных, которые используются в качестве доказательства в расследованиях. Также для жёстких дисков предназначены специальные чистые рабочие станции с ламинарным воздухопотоком (уровней Class 10 и Class 100). Судебная лаборатория является единственной частной ASCLD-лабораторией с международной аккредитацией (ISO 17025)".

Восстановление SSD-накопителей | Не так уж и мала

Лаборатория Flashback для восстановления данных состоит из трёх комнат. Большое пространство первой заполнено компьютерами, паяльными станциями, аппаратами для восстановления, визуализации и прошивок. Также имеются серверы для хранения данных и подобных задач. В другой комнате хранятся тысячи жёстких дисков, различные версии прошивок и масса самых разных девайсов на случай, если понадобится печатная плата, внутренние головки чтения/записи или что-нибудь ещё. Стоит заметить, что здесь действительно чисто и выполняется принудительная циркуляция воздуха для работы с жёсткими дисками.

Ещё один уровень безопасности поддерживается в так называемой области судебной экспертизы, о которой уже шла речь, и клетка, в которой хранятся соответствующие накопители, прикреплена к полу и оснащена датчиками движения.

Но это не самое важное в статье: она знакомит вас с теми процессами, которые происходят за кулисами крупных компаний, занимающихся восстановлением информации. Восстановление – это не просто процесс "подключи и копируй", объём работы кажется просто запредельным. Конечно, мы все надеемся никогда не стать клиентами таких сервисов, но если вдруг придётся воспользоваться услугами, то именно через такой процесс восстановления данных будут вынуждены пройти ваши устройства.

Жесткий диск SSD (Solid State Disk) (с англ.) – твердотельный накопитель. Основное отличие от обычных жестких дисков – отсутствие механических элементов. В производстве можно встретить два вида твердотельных накопителей: с энергозависимой Flash SSD или NAND памятью, или энергозависимой RAM SSD.

Первым, кто показал данное запоминающее устройство, была компания M-System. После по ее примеру последовали Super Talent Technology и OCZ. История этих дисков начинается с 2009 года, когда были выпущены диски объемом 512 Гб, а немного позже и 1Тб. На сегодняшний день почти не осталось производителя, который бы не производил или разрабатывал SSD накопители. Основной рынок данного продукта находится у Samsung, OCZ, SanDisk.

Эти накопители появились совсем недавно, и сразу нашли своего покупателя на рынке компьютерной техники и периферии. По началу SSD накопители проигрывали в скорости чтения и записи стандартным жестким дискам, но сейчас уже есть модели, которые приблизились, и даже превосходят по показателям.

Основными преимуществами SSD накопителей перед жесткими дисками являются:

Достаточно высокая скорость доступа к памяти накопителя

Отсутствие подвижных элементов, что исключает шум от винчестера

Высока скорость чтения и записи (до 270 Мб/сек)

Высокая эргономичность

Достаточно маленький вес и габариты

Долголетие, что выражается в высокой сопротивляемости механических повреждениям и широкий диапазон рабочих температур

Но есть и недостатки:

Приличная цена за 1Гб данных

Сильная восприимчивость к потере питания в сети

Подвержены воздействию магнитных и электрических полей

Ограничение в количестве перезаписи данных (до 100 тысяч раз)

Твердотельные накопители SSD тоже подвержены поломкам и потере данных. Наиболее часто-встречаемые:

Логические ошибки (отформатировали, стерли нужную информацию, ошибки в загрузочных секторах)

Электрические неполадки и повреждения (скачок в электросети, неправильное подключение к питанию)

Механические повреждения частей и элементов (разломана плата, поврежден разъем)

Поломка контроллера (сгорел или поврежден иным способом)

Если система не может определить SSD накопитель, то, скорее всего, присутствует механическая неисправность или поврежден контроллер. Восстановление SSD отличается от процесса реанимации жестких дисков. В случае, если обнаружена поломка, вам не помогут сторонние программы и утилиты. Сразу стоит обратиться квалифицированному специалисту, чтобы не усугубить неполадку собственным вмешательством в оборудование.

Основной проблемой является контроллер на SSD накопителе и его прошивка. Очень велика вероятность его повреждения, так как он расположен между интерфейсом и микросхемами.

Сама задача по восстановлению SSD очень не простая и состоит из нескольких этапов, которые занимают достаточно много времени и сил, и требуют специальных знаний.

Прежде всего, нужно разобрать корпус накопителя и достать все микросхемы. Затем со всех микросхем считываются данные и сохраняются на компьютер. Тут не обойтись без специального устройства для считывания. В процессе важно соблюдать последовательность считывания, в соответствии с каждой моделью твердотельного накопителя. Это поможет мастеру по восстановлению SSD в поиске правильного решения и сэкономит кучу времени. И только после, обработав данные на специальном программном обеспечении, можно будет получить восстановленную пользовательскую информацию в виде образа диска.

Всю эту работу сделают за кратчайшие сроки опытные специалисты сервисных центров или инженеры компании.