Логические неисправности

Логическими принято называть неисправности, при которых утрата информации произошла не по вине носителя информации, а из-за повреждений содержимого.
К логическим неисправностям относятся:
Удаление файлов, случайное или преднамеренное;
Удаление томов (логических дисков) или изменение "разметки" диска;
Форматирование диска или флешки;
Повреждения файловой системы (например, сообщения "файловая система RAW"), а также когда диск просит отформатировать его перед использованием.
Отличительной особенностью логических неисправностей является то, что носитель информации (флешка, жесткий диск или SSD) находится в абсолютно исправном состоянии и может быть использован в дельнейшем.

Восстановление данных с отформатированного диска

Операция "форматирование" применяется к тому (логическому диску) на носителе; данная операция не применима к носителю целиком, даже если на нем только один раздел. При форматировании тома создается чистая файловая система, в кторой в последствии будут размещены файлы. На сегодняшний день существует два типа форматирования: быстрое (по умолчанию), при котором только создатеся чистая файловая система и полное, при котором все свободное место записывается нулями (в ОС Windows до Vista производилась только процедура проверки исправности тома).

Для восстановления данных с отформатированного носителя мы производим анализ незанятого пространства для поиска метаданных фаловых систем: FAT_Folders для файловой системы FAT, FileRecords и INDX_Records для файловой системы NTFS. Для nix-подобных файловых систем (HFS/HFS+ от Apple, Linux Ext 2/3/4 и им подобных) не только форматирование, но и простое удаление файла может стать фатальным из-за удаления всех копий суперблока (SuperBlock) и файловых дескрипторов (Inode). При восстановлении данных с отформатированных томов (а также удаленных данных) могут быть следующие потери: отсутствие имен в корневом каталоге (из-за создания нового, пустого корневого каталога на месте старого); полное отсутствие имен файлов и названий папок (для файловых систем Ext и HFS).
Частный случай: форматирование карты памяти в некоторых фотокамерах также обнуляет ее содержимое, доступное для программ-восстановителей данных. В таком случае мы применяем те же подходы, что и при восстановлении данных с флешек с аппаратными неисправностями, так как содержимое микросхем памяти при этом может и не обнулиться.

Флешка просит отформатировать

Сообщение "перед использованием носителя его следует отформатировать" может появляться при подключении абсолютно исправной флешки, но с поврежденной файловой системой (например, после небезопасного извлечения носителя). Такое предупреждение показывается по той причине, что операционная система не способна отличить неисправность как самого носителя, так и файловой системы на нем и считает, что если не найдено валидных файловых записей, то подключено новое, не отформатированное устройство. Ни в коем случае форматировать носитель, на котором есть важная информация, нельзя!

Для восстановления данных с диска (флешки или другого носителя), который просит отформатировать, мы в первую очередь снимаем с него посекторную копию. Делается это во-первых, для того, чтобы определить, исправен ли носитель информации, а во-вторых - в случае неисправности накопителя мы все равно будем получать его копию на исправный. После этого производится его исследование: находим и применяем в виртуальной файловой системе заголовки раздела (boot), файловой системы, а также другие метаданные, необходимые для реконструкции содержимого. После получения полной виртуальной файловой системы сохраняем данные на исправный накопитель. Лишь после того, как заказчик убедился в полноте восстановленных данных, носитель может быть отформатирован и использован в дальнейшем (при условии его исправности).

Восстановление файлов после переустановки Windows

Одним из самых сложных и самых распространенных случаев потери данных по праву считается утрата пользовательских данных при переустановке Windows. Случается это по разны причинам: из-за невнимательности "мастера", который установил операционную систему, а пользовательские данные перд этим не сохранил; вследствие "отката" к заводским настройкам ноутбука или просто из-за невнимательности. Наибольшая сложность в этом случае заключается в том, что данные, подлежащие восстановлению частично перезаписаны, а файловые записи о них утрачены полностью. Стоит отметить, что частичная перезапись вовсе не означает, не получится восстановить только эти несколько гигабайт, которые занимает операционная сисетма: даже автоматическая запись одного файла размером в несколько килобайт в кэш браузера может безвозвратно уничтожить, к примеру, файл базы данных 1С размером в десятки гигабайт. Происходит это в первую очредь из-за того, что информация о размещении фрагментов большого файла расположена в его файловой записи, которые в свою очередь, занимают, как правило, один и тот же участок файловой системы.

Для восстановления данных после переустановки операционной системы мы применяем следующие алгоритмы.

1. При помощи программы "Data Extractor" (входящей в состав комплекса PC-3000) строим карту незанятых секторов текущей файловой системы. Делается это для того, чтобы в результатах восстановления не было лишних (существующих) данных, которые восстанавливать не надо: системных файлов установленной Windows и вновь скопированных на диск после переустановки системы пользовательских данных.

2. Делаем полную посекторную копию того пространства, которое считается незанятым (используя карту незанятых секторов). Делается это еще и из-за того, что причиной переустановки Windows запросто могло стать плохое состояние жесткого диска, и чтобы не усугубить положение, мы работаем только с копией.

3. Анализируем содержимое посекторной копии для поиска уцелевших файловых записей и экспортируем их в виртуальную файловую систему.

4. Сканируем посекторную копию свободного пространства диска в поисках тел файлов (применяем метод "чернового восстановления") и экспортируем их в виртуальную файловую систему.

Полученный таким образом результат восстановления данных содержит в себе все, что уцелело при перезаписи, но не содержит в себе ничего лишнего (файлов вновь установленной операционной системы). То, что не вошло в результат - увы, потеряно навсегда.

Вопреки довольно распространенному мнению о том, что после перезаписи данные восстанавливают "по остаточной намагниченности" или "с учетом информации, записанной между секторами", оба этих утверждения - абсолютный бред. Это невозможно по следующим причинам: во-первых, сектор любого накопителя не может хранить в себе более 512 байт информации, перезаписываемой целиком, информация эта защищена кодом ECC, и если по какой-либо причине там будут "фантомные данные из удаленного содержимого", то вместо информации из сектора мы получим лишь сообщение об ошибке; во-вторых, чтение накопителя для решения логических проблем (даже программами из категории "суперпрофессиональные" и с названием Recovery) производится только штатным способом - никаких "межсекторных анализов". Такие слухи распространяют как правило, люди впервые увидевшие результат восстановления данных, превзошедший их ожидания, либо "умельцы", желающие скрыть за непонятными словами использование пиратских программ (оставляющих, кстати, в компьютере заказчика и восстанавливаемых данных "сюрпризы").

Учитывая непредсказуемость результата, наш огромный опыт и возможности нашего оборудования, мы предоставляем гарантию восстановления данных. Мы не боимся поработать бесплтатно, но и не даем ничем не подкрепленных обещаний вроде "возможно восстановить 73% данных", не берем оплату за объем восстановленных данных (в том числе ненужных заказчику).