大戰(zhàn)4天 東芝500G硬盤(pán)盤(pán)片碰傷“1個(gè)小點(diǎn)” 的數(shù)據(jù)恢復(fù)實(shí)戰(zhàn)

　　——硬盤(pán)開(kāi)盤(pán)（第4期）

　　編者按

　　“技術(shù)實(shí)戰(zhàn)-硬盤(pán)開(kāi)盤(pán)”系列第4期，效率源工程師講解第2個(gè)技術(shù)實(shí)戰(zhàn)案例——東芝500硬盤(pán)的二次開(kāi)盤(pán)數(shù)據(jù)恢復(fù)。因本案例涉及的硬盤(pán)盤(pán)片被嚴(yán)重碰傷，盤(pán)片關(guān)鍵部位有小點(diǎn)，盤(pán)腔邊緣有變形，且在之前曾被其他機(jī)構(gòu)做過(guò)開(kāi)盤(pán)（開(kāi)盤(pán)環(huán)境、流程、方法等是否規(guī)范不可預(yù)知，不清楚是否對(duì)盤(pán)體造成了其他硬件損傷），而需要提取的資料又全部為視頻，如此種種，難度非常大，極具典型性。

　　在“技術(shù)實(shí)戰(zhàn)”第3期中，曾詳細(xì)講解過(guò)盤(pán)片劃傷的情況，外部的猛烈撞擊容易引起盤(pán)片與磁頭或其他硬盤(pán)組件相碰撞，造成盤(pán)片劃傷。在電機(jī)未啟動(dòng)的情況下，可能是一個(gè)小點(diǎn)、小劃痕，如果硬盤(pán)處于高速運(yùn)轉(zhuǎn)，就可能出現(xiàn)大片區(qū)域劃傷，數(shù)據(jù)恢復(fù)難度就非常大。

　　實(shí)戰(zhàn)對(duì)象

　　東芝500G硬盤(pán)，如圖1所示（外觀完好，沒(méi)有明顯的摔傷痕跡）：

　　【圖1 東芝500G硬盤(pán)（案例盤(pán)）】

　　硬盤(pán)準(zhǔn)備（3+N塊實(shí)體盤(pán)）1、恢復(fù)盤(pán)A

　　有故障、存儲(chǔ)有需要提取的大量視頻數(shù)據(jù)

　　2、鏡像盤(pán)B

　　鏡像拷貝數(shù)據(jù)，后期分析

　　3、配件盤(pán)C若干

　　更換磁頭（與A同型號(hào)、同批次）

　　故障現(xiàn)象

　　硬盤(pán)無(wú)法識(shí)別，其他機(jī)構(gòu)開(kāi)盤(pán)，數(shù)據(jù)恢復(fù)失敗。

　　故障檢測(cè)

　　因本案例的硬盤(pán)已在多家機(jī)構(gòu)做過(guò)恢復(fù)（包括開(kāi)盤(pán)）均失敗，硬盤(pán)本身故障應(yīng)該不簡(jiǎn)單，而多次操作造成的二次傷害程度也難以預(yù)估，效率源抽調(diào)了二次開(kāi)盤(pán)實(shí)戰(zhàn)經(jīng)驗(yàn)最豐富的多名工程師，全面展開(kāi)數(shù)據(jù)恢復(fù)工作。

　　1、觀察

　　360度查看恢復(fù)盤(pán)A，外觀上沒(méi)有摔傷痕跡，包括最易變形的硬盤(pán)四周和邊角（外形必須仔細(xì)觀察，如果有變形，盤(pán)體內(nèi)部故障可能會(huì)更嚴(yán)重，后面的恢復(fù)操作需要更謹(jǐn)慎）。

　　2、開(kāi)盤(pán)

　　在雙百級(jí)無(wú)塵工作室開(kāi)盤(pán)檢測(cè)，盤(pán)片上有一個(gè)非常明顯的點(diǎn)（圖2），這個(gè)點(diǎn)肉眼就能看到，且恰巧在盤(pán)片運(yùn)行的關(guān)鍵位置，數(shù)據(jù)恢復(fù)難度非常大。

　　【圖2 紅色箭頭處為碰傷的小點(diǎn)（實(shí)體盤(pán)直接可看到）】

　　3、分析

　　據(jù)此可判斷，硬盤(pán)是在沒(méi)通電的情況下遭受了劇烈撞擊，如果硬盤(pán)處于高速運(yùn)轉(zhuǎn)狀態(tài)，那就可能又會(huì)出現(xiàn)一圈深深的“環(huán)形跑道”。值得慶幸，硬盤(pán)在故障之后沒(méi)有再被通電，否則后果會(huì)非常嚴(yán)重。綜合判定，硬盤(pán)具備數(shù)據(jù)恢復(fù)條件，但需要較多時(shí)間。

　　至此，東芝500G硬盤(pán)的故障檢測(cè)完成。

　　數(shù)據(jù)恢復(fù)

　　故障原因確定后，正式進(jìn)入數(shù)據(jù)恢復(fù)環(huán)節(jié)。首先，需要“盤(pán)片處理和磁頭更換”，如果更換磁頭后可正常讀取，恢復(fù)工作圓滿結(jié)束。如果不行，則還需要采用其他解決方案，因?yàn)橹暗臄?shù)據(jù)恢復(fù)操作，不確定對(duì)盤(pán)體是否有其他二次傷害。

　　1、盤(pán)片處理與磁頭更換

　　在雙百級(jí)無(wú)塵工作室，處理盤(pán)片，并將配件盤(pán)C的磁頭組件更換到恢復(fù)盤(pán)A上（開(kāi)盤(pán)需要的注意點(diǎn)，在《技術(shù)實(shí)戰(zhàn)》第1期就有講解，此處不贅述）；

　　2、通電檢測(cè)

　　將更換磁頭的恢復(fù)盤(pán)A接入DRS數(shù)據(jù)恢復(fù)系統(tǒng)（圖3），通電，出現(xiàn)不規(guī)則的敲盤(pán)聲音；

　　【圖3  DRS數(shù)據(jù)恢復(fù)系統(tǒng)可以預(yù)檢硬盤(pán)硬件健康狀況】

　　3、再開(kāi)盤(pán)檢測(cè)

　　再次進(jìn)入雙百級(jí)無(wú)塵工作室開(kāi)盤(pán)檢測(cè)，把恢復(fù)盤(pán)A與配件盤(pán)C的盤(pán)腔比對(duì)后發(fā)現(xiàn)，恢復(fù)盤(pán)A的盤(pán)腔邊緣有些不規(guī)則的變形，此處極有可能就是之前的數(shù)據(jù)恢復(fù)機(jī)構(gòu)開(kāi)盤(pán)恢復(fù)失敗的地方。對(duì)恢復(fù)盤(pán)A的盤(pán)腔邊緣進(jìn)行適當(dāng)處理。

　　4、再通電檢測(cè)

　　再次將恢復(fù)盤(pán)A接入到DRS數(shù)據(jù)恢復(fù)系統(tǒng)通電，硬盤(pán)正常尋道識(shí)別型號(hào)，查看0號(hào)扇區(qū)只做了一個(gè)分區(qū)。利用DRS數(shù)據(jù)恢復(fù)系統(tǒng)嘗試讀取分區(qū)信息（圖4），不能正常獲取分區(qū)信息。

　　【圖4  DRS數(shù)據(jù)恢復(fù)系統(tǒng)可以快速掃描分區(qū)（界面圖為宣傳圖，非恢復(fù)盤(pán)A的真實(shí)信息，所以存在多個(gè)分區(qū)）】

　　5、鏡像拷貝數(shù)據(jù)

　　嘗試對(duì)恢復(fù)盤(pán)A進(jìn)行鏡像處理，通過(guò)DRS連接恢復(fù)盤(pán)A與鏡像盤(pán)B，但鏡像過(guò)程中出現(xiàn)一段好一段壞，有可能硬盤(pán)固件也有故障；

　　6、修復(fù)固件

　　斷電，將USB接口轉(zhuǎn)換成SATA接口，接入HD Doctor東芝硬盤(pán)固件（圖5）。DRS數(shù)據(jù)恢復(fù)系統(tǒng)目前支持西數(shù)、希捷、日立品牌硬盤(pán)的固件修復(fù)，東芝硬盤(pán)暫時(shí)還需使用老產(chǎn)品HD Doctor東芝硬盤(pán)固件專修來(lái)修復(fù)，而該設(shè)備不支持USB接口。通過(guò)半天時(shí)間處理好硬盤(pán)鏡像一段好一段壞的情況，再次接入DRS數(shù)據(jù)恢復(fù)系統(tǒng)直接訪問(wèn)分區(qū)信息，正確識(shí)別分區(qū)。

　　【圖5  HD Doctor可以全面修復(fù)7大品牌硬盤(pán)固件】

　　7、提取數(shù)據(jù)

　　與客戶溝通，優(yōu)先導(dǎo)出最重要的數(shù)據(jù)。由于文件都是視頻類文件，數(shù)據(jù)量大，整個(gè)數(shù)據(jù)提取花費(fèi)了3天時(shí)間。期間，磁頭損壞了8次，更換了近10個(gè)磁頭，最終將客戶最需要的數(shù)據(jù)成功導(dǎo)出，獲取重要數(shù)據(jù)近90%。

　　編后語(yǔ)：

　　本案例的硬盤(pán)故障現(xiàn)象是電子取證、司法鑒定、數(shù)據(jù)恢復(fù)中經(jīng)常遇到的情況，與第1期的案例極為類似。但難點(diǎn)在于，盤(pán)腔有變形、屬于二次開(kāi)盤(pán)、提取視頻數(shù)據(jù)，如果環(huán)境、設(shè)備、操作者職業(yè)素質(zhì)不達(dá)標(biāo)，都很難成功，這也是之前多家數(shù)據(jù)恢復(fù)機(jī)構(gòu)恢復(fù)失敗的原因。而此次案例效率源工程師用到的主要方法有開(kāi)盤(pán)檢測(cè)、更換磁頭、修復(fù)固件等，都對(duì)操作環(huán)境、操作者綜合素質(zhì)有較高要求，如果不達(dá)標(biāo)，很可能跟之前幾家機(jī)構(gòu)一樣，最終失敗。

　　而需要強(qiáng)調(diào)的是，二次開(kāi)盤(pán)的失敗率是非常高的，完全不能預(yù)測(cè)之前的操作者做過(guò)什么操作、對(duì)硬盤(pán)有沒(méi)有嚴(yán)重傷害。效率源工程師再次鄭重提醒，重要硬盤(pán)的數(shù)據(jù)恢復(fù)（尤其是牽涉到重大事件或重要線索），一定要交給專業(yè)的數(shù)據(jù)恢復(fù)機(jī)構(gòu)操作，否則可能將硬盤(pán)直接“報(bào)廢”，重要線索完全丟失。

　　【 技術(shù)實(shí)戰(zhàn)】系列推薦：

　　1、【技術(shù)實(shí)戰(zhàn)】硬盤(pán)開(kāi)盤(pán)第1期：wd硬盤(pán)盤(pán)片劃傷成“環(huán)形跑道”的數(shù)據(jù)恢復(fù)之開(kāi)盤(pán)檢測(cè)

　　2、【技術(shù)實(shí)戰(zhàn)】硬盤(pán)開(kāi)盤(pán)第2期：WD硬盤(pán)盤(pán)片劃傷成“環(huán)形跑道”的數(shù)據(jù)恢復(fù)之換磁頭

　　3、【技術(shù)實(shí)戰(zhàn)】硬盤(pán)開(kāi)盤(pán)第3期:WD硬盤(pán)盤(pán)片劃傷成“環(huán)形跑道”的數(shù)據(jù)恢復(fù)之熱換板