 Сохранность и восстановление компьютерных данных: теория и практика
Истории со счастливым концом
Конечно, не каждая работа по восстановлению данных заканчивается успехом. Например, в нашей работе был случай, когда диск вначале отформатировали, затем
загрузили на него старую резервную копию с магнитной ленты, а лишь затем обратились к нам, … но было уже поздно. Если бы администратор ограничился только
форматированием диска, мы бы восстановили данные полностью, но загрузка файлов с магнитной ленты не оставила для этого ни одного шанса.
Тем не менее, в целом удачных случаев больше, чем неудачных. Мы расскажем только о некоторых из них.
Восстановление файлов из раздела NTFS
Некая компания использовала сервер с ОС Microsoft Windows NT Server 4.0 и двумя жесткими дисками SCSI. Диски отображались друг на друга зеркально средствами ОС. И
никаких резервных копий на магнитные ленты или как-либо еще ни разу не делалось.
Как-то раз этот сервер переставили с одного места на другое (в другую стойку), после чего оказалось, что ОС наотрез отказывается загружаться.
Когда открыли корпус сервера, оказалось, что он полон пыли. Вероятно, при переносе компьютера пыль попала на контроллер диска или системную плату, что
вызвало сбой при загрузке ОС. В результате системные области NTFS оказались частично разрушены, причем как на основном диске, так и на зеркальном. При этом
зеркало точно отразило все искажения, появившиеся на основном диске.
Для восстановления файлов нам понадобилось знание внутренних структур файловой системы NTFS, описание которых отсутствует в документации компании Microsoft.
Так как работы выполнялись при помощи примитивного редактора диска Microsoft DiskProbe, на восстановление нескольких десятков файлов ушло примерно трое суток
чрезвычайно интенсивной работы.
Опыт, полученный в результате этих мучений, привел нас к мысли о необходимости создания программной утилиты, способной в некоторых случаях
автоматизировать самые рутинные операции. Приблизительно через полгода была готова первая версия такой утилиты, получившей название CrashUndo for NTFS ("Отмена
краха NTFS"). Мы также создали упрощенный вариант этой утилиты, способный восстанавливать только стертые файлы в исправных разделах NTFS. Утилита получила
название EraseUndo for NTFS.
Восстановление данных с массива RAID
В системный блок "серой" сборки был вставлен довольно старый контроллер Malex., подключенный к диску SCSI объемом 4 Гбайт. Этот диск был заполнен файлами
документов, баз данных и архивами.
В результате сбоев в контроллере системные области NTFS оказались разрушенными в такой степени, что ОС отказывалась монтировать диск и запускать "штатную"
утилиту восстановления chkdsk.exe.
При помощи одной из первых версий программы CrashUndo for NTFS нам удалось восстановить по одному около 1000 файлов, на что ушла примерно неделя. Работы сильно
осложнялись тем обстоятельством, что дисковый контроллер работал очень нестабильно, а купить такой же, но исправный, было негде (попалась очень старая
модель контроллера). Примерно каждые два-три часа контроллер приходилось вынимать из системного блока и подвергать "мануальной терапии" - мы
шевелили микросхемы, установленные на панельках, чистили разъемы и выполняли другие "шаманские" действия. Тем не менее практически все необходимые
файлы были восстановлены.
Еще один массив RAID
Информация на массиве RAID оказалась разрушена в результате экспериментов, проведенных системным администратором с ОС Microsoft Windows 2000: перед тем как
обновить версию ОС, он выполнил резервное копирование данных… на тот же самый диск, где находилась обновляемая ОС.
В результате после установки два из трех разделов диска оказались недоступны. Утилиты восстановления Tiramisu и Easy Recovery оказались бессильными перед этими
разделами, конвертированными Windows 2000 в новый формат.
Получив у "потерпевшего" дисковый массив вместе с контроллером, мы установили его в свой стенд и воспользовались программой CrashUndo for NTFS новой версии.
Программа смогла восстановить все файлы, разложив их по каталогам в том порядке, в котором они находились до краха файловой системы.
И снова сбой контроллера массива RAID
И снова этот сбой произошел в контроллере Malex. К контроллеру было подключено несколько дисков для образования массива RAID уровня 5.
После возникновения сбоя в контроллере полностью пропал доступ к разделам NTFS. Общий объем данных, записанных на этих разделах, достигал нескольких
десятков гигабайт. И конечно, никаких резервных копий не делалось…
Контроллер был отремонтирован, но доступ к разделам так и не появился. Как нам рассказал заказчик, вслед за этим на сервер была установлена ОС Windows 2000,
после чего появилась возможность прочитать только некоторые файлы.
В результате сложной многодневной работы нам удалось восстановить примерно 50 Гбайт данных, причем некоторые файлы пришлось "собирать" вручную.
Решение проблем в разделе FAT
Нам приходилось восстанавливать и диски FAT, созданные в ОС MS-DOS или Windows 95/98. Один из таких случаев был связан с перестановкой диска IDE из одного компьютера
в другой. В результате сбоя питания, который произошел в самый неподходящий момент, оказались частично разрушены обе таблицы размещения файлов FAT,
расположенные в системной области диска. Попытки восстановить информацию утилитой Norton Disk Doctor к успеху не привели.
Зная имена файлов, подлежащих восстановлению, нам удалось "собрать" некоторые файлы буквально по секторам, достраивая вручную таблицу FAT.
Восстановление тома Volume Set
Как известно, Windows NT позволяет объединять несколько разделов диска в один логический том, или набор томов (Volume Set). Эта особенность очень полезна, если вам
нужно хранить на сервере файлы огромного размера, не помещающиеся на одном диске. Заметим, что современные накопители большого объема во многих случаях
позволяют обойтись без создания набора томов.
В данном случае пользователь создал набор томов на своем портативном компьютере, и потерял доступ к нему после переустановки ОС. Выяснилось, что
созданный набор объединял два фрагмента диска, один из которых имел размер 2 Гбайт, а другой - 4 Мбайт (!). На вопрос, зачем это было нужно, заказчик ответил,
что хотел использовать незадействованный фрагмент диска размером 4 Мбайт. Можно поспорить, стоило ли поступать подобным образом, но, строго говоря, этот
набор томов был создан по всем правилам.
Проблемы начались, когда заказчик попытался полностью переустановить ОС Windows NT. При этом он забыл (или не знал), что информация о расположении фрагментов
набора томов хранится в базе данных реестра Windows NT. Переустановив ОС, заказчик уничтожил старую базу данных реестра и вместе с ней сведения о наборе. В
результате он потерял доступ к данным, накопленным в течение примерно трех лет.
Нам удалось восстановить информацию о размещении набора томов при помощи стандартной утилиты FTEdit, входящей в комплект Resource Kit for Windows NT, и сделать
несколько резервных копий важнейших каталогов.
Восстановление удаленного файла в разделе NTFS
Один из инцидентов был связан со случайным удалением файла, который должен был быть отправлен как вложение в сообщение электронной почты при помощи
программы Microsoft Outlook Express 5.0.
Отправляемый файл вначале положили на "рабочий стол" Windows NT, а затем вставили в текст подготовленного, но еще не отправленного почтового сообщения.
Полагая, что файл, вставленный в сообщение, был скопирован, исходный файл удалили в "мусорную корзину". После этого корзина была очищена.
Далее события развивались следующим образом. При попытке отправить электронное письмо было получено сообщение о том, что файл приложения не найден. И
действительно, этот файл, находившийся ранее на "рабочем столе", был удален. Как оказалось, другой копии файла на диске не было. Чтобы "достать"
файл из опустошенной мусорной корзины, нам пришлось использовать утилиту восстановления удаленных файлов.
Автор: Александр Фролов, Григорий Фролов
|
