巧夺天工科技的设备可广泛应用于各类数据恢复实验室、数据分析机构、教育平台、大数据机房、指挥调度中心、多媒体数据中心等诸多场景下,是数据恢复领军企业“效率源科技”指定的设备外观供应商。以下,就是“数据分析一体机ED-MD9200”在效率源科技数据恢复业务中的具体应用。
设备名称:DRS数据分析一体机ED-MD9200
功能简介:采用铝镁合金外壳,军工品质,汽车烤漆工艺设计而成的坚固型分析设备;产品采用21寸多点触摸显示屏,无需外接操控设备;多接口集成的一体式科技化设计,可保证设备连接更加方便、整体布局更显协调;支持I7/I5/I3处理器配置和SSD固态硬盘,可保证数据的高效处理;设备特置物理只读接口,可极大的提高数据分析流程的安全性和规范性。
设备图片:
【编者按:“技术实战-硬盘开盘”系列第4期,效率源工程师讲解第2个技术实战案例——东芝500硬盘的二次开盘数据恢复。因本案例涉及的硬盘盘片被严重碰伤,盘片关键部位有小点,盘腔边缘有变形,且在之前曾被其他机构做过开盘(开盘环境、流程、方法等是否规范不可预知,不清楚是否对盘体造成了其他硬件损伤),而需要提取的资料又全部为视频,如此种种,难度非常大,极具典型性。 】
在“技术实战”第3期中,曾详细讲解过盘片划伤的情况,外部的猛烈撞击容易引起盘片与磁头或其他硬盘组件相碰撞,造成盘片划伤。在电机未启动的情况下,可能是一个小点、小划痕,如果硬盘处于高速运转,就可能出现大片区域划伤,数据恢复难度就非常大。
1、实战对象:东芝500G硬盘,如图1所示(外观完好,没有明显的摔伤痕迹):
【图1 东芝500G硬盘(案例盘)】
2、硬盘准备(3 N块实体盘):
(1)恢复盘A:有故障、存储有需要提取的大量视频数据
(2)镜像盘B:镜像拷贝数据,后期分析
(3)配件盘C若干:更换磁头(与A同型号、同批次)
3、故障现象:硬盘无法识别,其他机构开盘,数据恢复失败。
4、故障检测:
因本案例的硬盘已在多家机构做过恢复(包括开盘)均失败,硬盘本身故障应该不简单,而多次操作造成的二次伤害程度也难以预估,效率源抽调了二次开盘实战经验最丰富的多名工程师,全面展开数据恢复工作。
(1)观察:360度查看恢复盘A,外观上没有摔伤痕迹,包括最易变形的硬盘四周和边角(外形必须仔细观察,如果有变形,盘体内部故障可能会更严重,后面的恢复操作需要更谨慎)。
(2)开盘:在双百级无尘工作室开盘检测,盘片上有一个非常明显的点(图2),这个点肉眼就能看到,且恰巧在盘片运行的关键位置,数据恢复难度非常大。
【图2 红色箭头处为碰伤的小点(实体盘直接可看到)】
(3)分析:据此可判断,硬盘是在没通电的情况下遭受了剧烈撞击,如果硬盘处于高速运转状态,那就可能又会出现一圈深深的“环形跑道”。值得庆幸,硬盘在故障之后没有再被通电,否则后果会非常严重。综合判定,硬盘具备数据恢复条件,但需要较多时间。
至此,东芝500G硬盘的故障检测完成。
5、数据恢复:
故障原因确定后,正式进入数据恢复环节。首先,需要“盘片处理和磁头更换”,如果更换磁头后可正常读取,恢复工作圆满结束。如果不行,则还需要采用其他解决方案,因为之前的数据恢复操作,不确定对盘体是否有其他二次伤害。
(1)盘片处理与磁头更换:在双百级无尘工作室,处理盘片,并将配件盘C的磁头组件更换到恢复盘A上(开盘需要的注意点,在《技术实战》第1期就有讲解,此处不赘述);
(2)通电检测:将更换磁头的恢复盘A接入DRS数据恢复系统(图3),通电,出现不规则的敲盘声音;
【图3 DRS数据恢复系统可以预检硬盘硬件健康状况】
(3)再开盘检测:再次进入双百级无尘工作室开盘检测,把恢复盘A与配件盘C的盘腔比对后发现,恢复盘A的盘腔边缘有些不规则的变形,此处极有可能就是之前的数据恢复机构开盘恢复失败的地方。对恢复盘A的盘腔边缘进行适当处理。
(4)再通电检测:再次将恢复盘A接入到DRS数据恢复系统通电,硬盘正常寻道识别型号,查看0号扇区只做了一个分区。利用DRS数据恢复系统尝试读取分区信息(图4),不能正常获取分区信息。
【图4 DRS数据恢复系统可以快速扫描分区(界面图为宣传图,非恢复盘A的真实信息,所以存在多个分区)】
(5)镜像拷贝数据:尝试对恢复盘A进行镜像处理,通过DRS连接恢复盘A与镜像盘B,但镜像过程中出现一段好一段坏,有可能硬盘固件也有故障;
(6)修复固件:断电,将USB接口转换成SATA接口,接入HD Doctor东芝硬盘固件(图5)。DRS数据恢复系统目前支持西数、希捷、日立品牌硬盘的固件修复,东芝硬盘暂时还需使用老产品HD Doctor东芝硬盘固件专修来修复,而该设备不支持USB接口。通过半天时间处理好硬盘镜像一段好一段坏的情况,再次接入DRS数据恢复系统直接访问分区信息,正确识别分区。
【图5 HD Doctor可以全面修复7大品牌硬盘固件】
(7)提取数据:与客户沟通,优先导出最重要的数据。由于文件都是视频类文件,数据量大,整个数据提取花费了3天时间。期间,磁头损坏了8次,更换了近10个磁头,最终将客户最需要的数据成功导出,获取重要数据近90%。
【编后语:本案例的硬盘故障现象是电子取证、司法鉴定、数据恢复中经常遇到的情况,与第1期的案例极为类似。但难点在于,盘腔有变形、属于二次开盘、提取视频数据,如果环境、设备、操作者职业素质不达标,都很难成功,这也是之前多家数据恢复机构恢复失败的原因。而此次案例效率源工程师用到的主要方法有开盘检测、更换磁头、修复固件等,都对操作环境、操作者综合素质有较高要求,如果不达标,很可能跟之前几家机构一样,最终失败。
而需要强调的是,二次开盘的失败率是非常高的,完全不能预测之前的操作者做过什么操作、对硬盘有没有严重伤害。效率源工程师再次郑重提醒,重要硬盘的数据恢复(尤其是牵涉到重大事件或重要线索),一定要交给专业的数据恢复机构操作,否则可能将硬盘直接“报废”,重要线索完全丢失。】