שאלות ותשובות
פתחתי את הדיסק הקשיח בבית כדי להסתכל בפנים. הרסתי את המידע?
לא בהכרח, אבל הפכת בעיה אחת לשתיים. ברגע שהמכסה הוסר מחוץ לסביבה מבוקרת נכנסו פנימה חלקיקים מהאוויר, ומאותו רגע לא מספיק לטפל בתקלה המקורית: צריך קודם לנקות את המשטח ואת מכלול הראשים ורק אחר כך לגשת למידע. הדבר הקריטי עכשיו הוא לא לחבר את הכונן לחשמל. סיבוב של הצלחות עם חלקיקים שיושבים עליהן הוא מה שהופך זיהום לשריטה, ושריטה לאובדן קבוע של האזור שנשרט.
הדיסק משמיע נקישות קצובות. מה זה אומר?
נקישה חוזרת מצביעה לרוב על מכלול ראשים שאינו מצליח לבצע קריאה תקינה וחוזר שוב ושוב לנקודת ההתחלה, מצב שדורש בדרך כלל החלפת ראשים בסביבה מבוקרת. אבל שקט אינו סימן טוב: יש תקלות ראשים שאינן משמיעות דבר, וכונן שנשמע רגיל לחלוטין ואינו עולה יכול להיות באותו מצב בדיוק. הרעש עוזר לכוון את הבדיקה, הוא לא מחליף אותה.
המערכת מבקשת לפרמט את הכונן החיצוני. ללחוץ אישור?
לא. בקשת פרמוט אינה תקלה בפני עצמה, היא מערכת ההפעלה שאומרת שהיא לא מזהה טבלת קבצים תקינה. המידע עצמו יכול להיות שלם לחלוטין באותו רגע. אישור פרמוט כותב מבנה חדש על אזורים שהיו עדיין קריאים, ובדיסקים מסוימים גם מתחיל פעולות רקע שממשיכות לכתוב אחרי שהחלון נסגר. התשובה הנכונה היא לבטל, לנתק, ולא לחבר שוב עד שמישהו בדק מה קרה.
מחקתי קבצים מכונן SSD. אפשר להחזיר אותם?
הסיכוי נמוך מאוד, ובניגוד לדיסק מכני הוא ממשיך לרדת גם כשלא נוגעים בכלום. מנגנון ה-TRIM מודיע לבקר של הכונן אילו תאים כבר אינם בשימוש, והבקר מוחק אותם ברקע כדי להיות מוכן לכתיבה הבאה. זה קורה בלי קשר לשאלה אם המשתמש עושה משהו. בכונן מכני קובץ שנמחק ממשיך להתקיים פיזית עד שמשהו נכתב עליו, ובכונן SSD ההנחה הזאת פשוט לא תקפה.
מה קובע כמה מורכב יהיה השחזור?
סוג התקלה, סוג הכונן, נפחו וזמינות חלפים תואמים. כמות המידע שצריך להחזיר כמעט לא משפיעה, וזו ההנחה השגויה הנפוצה ביותר: תיקייה אחת של מסמכים מדיסק עם כשל מכני היא עבודה שלמה בדיוק כמו כונן מלא, כי בשני המקרים צריך להגיע למצב שבו אפשר לקרוא מהמשטח. מה שכן משנה מאוד הוא מה נעשה בכונן אחרי שהתקלה התגלתה.
אבק על הצלחות: למה פתיחת כונן תקול בבית הופכת תקלה מכנית פשוטה לעבודת ניקוי
מה קורה בשנייה שבה מסירים את המכסה של כונן קשיח
הסרת המכסה מחוץ לסביבה מבוקרת מכניסה אל תוך הכונן חלקיקים מהאוויר של החדר, והם מתיישבים על המשטח המגנטי ועל מכלול הראשים. חדר רגיל, גם חדר נקי למראה, מלא בחלקיקי אבק, סיבי בד, שיער ותאי עור. הכונן עצמו אינו אטום הרמטית באופן מוחלט, אבל האוויר שנכנס אליו בשימוש רגיל עובר דרך מסנן, והמסנן הזה בנוי לחלקיקים בודדים שנוצרים בפנים ולא לכמות שנכנסת בבת אחת דרך מכסה פתוח. מרגע שהחלקיקים בפנים אין דרך להוציא אותם בהפעלה, כי הכונן לא מנקה את עצמו.
למה חלקיק שלא רואים בעין מספיק כדי לגרום נזק
ראש הקריאה של כונן מכני מרחף מעל הצלחת במרווח קטן בסדרי גודל מקוטרו של חלקיק אבק ביתי. זה לא מרווח שאפשר להמחיש בקנה מידה יומיומי: החלקיק אינו לכלוך על המשטח, הוא מכשול בגובה שאין לראש דרך לעבור מעליו. כשהצלחות מתחילות להסתובב, החלקיק נגרר בין הראש לבין המשטח. התוצאה היא אחד משניים: הראש נהרס, או שהמשטח נשרט. שריטה במשטח המגנטי אינה ניתנת לתיקון, והמידע שהיה באזור שנשרט לא קיים יותר בשום צורה.
למה ההפעלה שאחרי הפתיחה גרועה יותר מהפתיחה עצמה
כונן שנפתח ולא הופעל הוא כונן מזוהם, וכונן שנפתח והופעל הוא כונן שהזיהום שלו כבר עבר תחת הראשים במהירות מלאה. ההבדל בין שני המצבים האלה הוא לרוב ההבדל בין שחזור מלא לשחזור חלקי. זה הרצף שחוזר על עצמו שוב ושוב: אדם פותח, מסתכל, לא רואה שום דבר חריג, סוגר, ומחבר לחשמל כדי לבדוק אם עכשיו זה עובד. הבדיקה הזאת היא הפעולה שגורמת את הנזק, לא הפתיחה. מי שכבר פתח ומבין את זה באיחור עדיין נמצא במצב טוב יותר ממי שפתח והפעיל.
מה מוסיף הזיהום לטיפול שהיה נדרש ממילא
תקלה מכנית רגילה, כמו ראשים שנשחקו או מנוע שנתקע, מטופלת בפירוק ובהחלפה של הרכיב הפגום בסביבה נקייה. כשנכנס אבק, נוסף לפני כן שלב שלם: פירוק מלא, בדיקה של כל אחת מהצלחות תחת תאורה מתאימה, ניקוי המשטחים, וניקוי או החלפה של הראשים שנגעו בחלקיקים. אחרי הניקוי צריך להעריך מה קרה למשטח עצמו, וההערכה הזאת היא זו שקובעת אם השחזור יהיה מלא. חלק מהמקרים נגמרים בכך שהמידע חוזר במלואו, וחלק נגמרים בכך שמה שהיה במסלולים שנשרטו לא חוזר.
מתי הגיוני להעביר את המדיה למעבדה במקום לנסות עוד דבר אחד
הרגע הנכון הוא הרגע שבו הכונן מתנהג לא כרגיל ולא ידוע למה. כל ניסיון עצמאי נוסף מאותה נקודה הוא הימור על השערה שלא נבדקה, ומעבדה לשחזור מידע מתחילה דווקא מהצד השני: אבחון שקובע אם מדובר בכשל לוגי, קושחתי או מכני, לפני שנוגעים במשהו. מי שרוצה להבין איך נראה תהליך כזה מהצד של מי שמבצע אותו יכול לקרוא על WIMD שחזור מידע ועל האופן שבו נבנה תהליך אבחון לפני טיפול. ההבחנה בין סוגי הכשל היא מה שקובע את כל ההמשך, והיא לא תמיד ברורה בבדיקה ראשונית גם למי שעושה את זה שנים.
שלושת סוגי הכשל, ומה מבדיל ביניהם בפועל
כשל לוגי הוא מצב שבו החומרה תקינה לחלוטין והמבנה הלוגי אינו נקרא: מחיצה שנעלמה, טבלת קבצים פגומה, מחיקה, פרמוט. כשל קושחתי הוא פגיעה במיקרוקוד הפנימי של הכונן, באזור שהיצרן שומר על המשטח ולא במקום שהמשתמש רואה, והוא נראה מבחוץ בדיוק כמו כשל חומרה: הכונן לא מזוהה, מזוהה בנפח שגוי, או תקוע. כשל מכני הוא פגיעה ברכיב פיזי ומחייב פתיחה בסביבה מבוקרת. שלושתם יכולים להיראות למשתמש כאותו סימפטום בדיוק, ולכן ההנחה של המשתמש לגבי סוג התקלה היא לא בסיס לפעולה.
למה כשל קושחתי הוא המקרה שהכי מטעה
כונן עם כשל קושחתי מרגיש שבור לגמרי, ולעיתים קרובות הוא שלם מבחינה מכנית. אין רעש, אין ריח, אין שום דבר שנראה או נשמע חריג, והמערכת פשוט לא מציגה אותו. זה גם המקרה שבו המשתמש הכי נוטה לנסות דברים: להחליף כבל, להחליף מארז, לחבר למחשב אחר, ובסוף לפתוח. אף אחת מהפעולות האלה לא נוגעת בבעיה, כי היא יושבת בתוך הכונן ולא בדרך אליו, והאחרונה שבהן מוסיפה בעיה חדשה. הטיפול בכשל קושחתי נעשה בגישה לאזור השירות של הכונן ולא בפתיחה שלו.
מה נשמע ומה זה בעצם אומר
רעש נותן כיוון ולא אבחנה. נקישה או תקתוק קצוב מצביעים לרוב על ראשי קריאה שדורשים החלפה. צפצוף או ניסיון סיבוב שנעצר מצביעים לרוב על כך שהמנוע אינו מצליח להתחיל להסתובב. ריח שרוף מצביע על לוח אלקטרוני שנשרף, ובמקרים של מכת חשמל הפגיעה יכולה להימשך גם אל רכיבים בתוך הכונן עצמו, כך שהחלפת הלוח לבדה לא תמיד פותרת. ומה שחשוב יותר מכל אלה: היעדר רעש אינו אומר שאין תקלה מכנית. יש כשלי ראשים שקטים לחלוטין.
למה החלפת לוח האלקטרוניקה לבדה לרוב לא עובדת
לוח האלקטרוניקה של כונן מודרני מכיל נתוני כיול ייחודיים לאותה יחידה, ולכן לוח מכונן זהה לחלוטין מבחינת הדגם אינו תחליף ישיר. חיבור לוח לא מותאם יכול להשאיר את הכונן במצב שבו הוא לא מזוהה, ובחלק מהמקרים גם לגרום לכתיבה שגויה לאזור השירות ולהוסיף כשל קושחתי מעל הכשל החשמלי. זו עוד פעולה שנראית פשוטה ביוטיוב ומוסיפה שכבה שלמה של עבודה. אם היה כאן ריח שרוף, ההנחה צריכה להיות שהנזק לא נעצר בלוח.
מה מאריך את התהליך יותר מכל דבר אחר
מה שמאריך את התהליך הוא המצב שבו המדיה מגיעה, ולא כמות המידע שמבקשים ממנה. כונן שנותק מיד כשהתגלתה התקלה נכנס ישר לאבחון. כונן שהופעל עשרות פעמים, הורצה עליו תוכנת שחזור, אושר בו פרמוט ולבסוף נפתח, מגיע עם מספר בעיות שנוצרו זו על גבי זו, וכל אחת מהן צריכה להיפתר לפי הסדר שבו נוצרה. במקרים מסוימים השכבות האלה כבר לא הפיכות, כלומר יש חלק מהמידע שאין לאן לחזור אליו כי הוא נכתב מעליו או נשרט.
למה הרצת תוכנת שחזור על מדיה פגועה עושה נזק
תוכנות שחזור נכתבו למדיה שהחומרה שלה תקינה. הן סורקות את הכונן מקצה לקצה, חוזרות שוב ושוב לאזורים שלא נקראו, ומנסות לקרוא כל סקטור. על כונן עם ראשים במצב גבולי הסריקה הזאת היא בדיוק הפעולה שמסיימת אותם. חמור מכך, חלק מהתוכנות מציעות לכתוב את התוצאה או את קובץ העבודה שלהן על אותו כונן, ואז המידע שאמור להישמר נכתב מעל המידע שמחפשים. הכלל הפשוט הוא שלא מריצים כלום על המדיה המקורית, אלא על העתק ברמת הסקטור, וההעתק הזה נעשה בציוד שיודע להתמודד עם כונן שאינו קורא כרגיל.
למה כונן חיצוני שנפל הוא מקרה בפני עצמו
כונן חיצוני שנפל בזמן שהוא היה מחובר ופעיל הוא המקרה שבו הסיכוי לפגיעה במשטח הגבוה ביותר, כי הראשים היו מעל הצלחות ולא במנוחה. אותה נפילה בדיוק, כשהכונן מנותק, לרוב פחות חמורה. יש כאן גם שכבה שלא קיימת בכונן פנימי: המארז החיצוני מכיל בקר שממיר בין החיבור לבין הכונן שבתוכו, ובחלק מהדגמים הבקר הזה מבצע גם הצפנה או מיפוי משלו. המשמעות המעשית היא שהוצאת הכונן מהמארז וחיבורו ישירות ללוח האם אינה תמיד נותנת גישה למידע, ולפעמים דווקא מסבכת. לכן שחזור דיסק קשיח חיצוני מתחיל בזיהוי המארז עצמו ולא רק הכונן שבפנים, ובמקרים מסוימים המארז המקורי נדרש להמשך העבודה.
מה קורה בפועל בשלב הראשון של טיפול בכונן מכני
הצעד הראשון הוא לא ניסיון לקרוא מידע, אלא לקבוע אם הכונן יכול בכלל להסתובב ולבצע קריאה בלי להזיק לעצמו. אחרי זה נבנה העתק ברמת הסקטור, בקצב ובסדר שנקבעים לפי מצב הכונן, כשאזורים בעייתיים נדחים לסוף במקום לתקוע את התהליך בהתחלה. רק מההעתק הזה מתחילה עבודת המידע עצמה. תהליך שחזור דיסק קשיח מכני שנעשה נכון בונה את ההעתק לפני שנוגעים בטבלת הקבצים, כי כל דקה שהכונן פועל היא משאב מתכלה. כונן במצב גבולי לא תמיד שורד סבב שני.
מה לא תמיד עובד, וכדאי לדעת את זה מראש
קבצים שנמחקו מכונן SSD הם המקרה שבו התשובה לרוב שלילית, בגלל ה-TRIM שמשחרר את התאים ברקע בלי קשר למה שהמשתמש עושה. כרטיס מיקרו SD שהגיע עם שבר או סדק בגוף הכרטיס עצמו אינו ניתן לשחזור, כי הזיכרון והבקר יושבים על אותו רכיב פיזי שנשבר. משטח מגנטי שנשרט לא מחזיר את מה שהיה בו. ומדיה שעברה כתיבה מסיבית אחרי המחיקה, למשל התקנה מחדש של מערכת הפעלה על אותו כונן, מחזירה חלק ולא הכל. אלה לא מקרים נדירים, והם ראויים להיאמר לפני ולא אחרי.
מה עושים בדקה שבה מגלים שיש תקלה
מנתקים את המדיה ומפסיקים להשתמש בה. זו הפעולה שמשנה את התוצאה יותר מכל דבר אחר שאפשר לעשות בשלב הזה. אחרי הניתוק יש זמן, והמצב לא מחמיר מעצמו: כונן שיושב במגירה מנותק היום נמצא באותו מצב בעוד חודש. לפני הניתוק כל דקה של שימוש היא כתיבה נוספת, סיבוב נוסף של הצלחות, וניסיון קריאה נוסף של ראשים שאולי כבר לא במצב טוב. זה גם נכון לכונן חיצוני שנפל, לכרטיס זיכרון שהמצלמה לא מזהה, ולכונן פנימי שהמערכת לא עולה ממנו.
איך מעבירים מדיה פגועה בלי להוסיף נזק
מדיה פגועה שעוברת ממקום למקום דורשת ריפוד מלא מכל הכיוונים בתוך אריזה קשיחה, ולא מעטפה מרופדת. כונן קשיח הוא רכיב מכני, וכשמכלול הראשים כבר לא יושב במקומו התקין, מכה בהעברה יכולה להזיז אותו על המשטח. נזק בהעברה מצטרף אל הנזק הקיים, ולא פעם הוא זה שהופך שחזור אפשרי לשחזור חלקי. אם הכונן כבר נפתח, ראוי לסגור אותו כמה שאפשר לפני ההעברה ולא להשאיר את הפנים חשוף, ובכל מקרה לא לנסות לנקות שום דבר בפנים.
מה אפשר לעשות לבד בלי סיכון
יש דברים שאין בהם נזק: לוודא שהתקלה אינה בכבל או במארז החיצוני על ידי בדיקה של אותו כבל עם מדיה אחרת, לרשום מה בדיוק קרה לפני שהתקלה התגלתה, ולבדוק אם קיים גיבוי שכבר נשכח, בשירות ענן או במחשב אחר. מה שאין לעשות: לחבר ולנתק שוב ושוב בתקווה שהפעם זה יעלה, להריץ כלי בדיקה ותיקון של מערכת ההפעלה על מדיה שמתנהגת לא כרגיל, ולפתוח. חיבור וניתוק חוזרים הוא כנראה הפעולה הכי נפוצה מכולן, והיא בדיוק מה שמסיים ראשים במצב גבולי.
למה כדאי לומר את האמת על מה שכבר נעשה
מי שמקבל את המדיה צריך לדעת אם היא נפתחה, אם הורצה עליה תוכנה, אם אושר פרמוט ואם הוחלף לוח, כי כל אחת מהפעולות האלה משנה את סדר הבדיקה. אדם שאומר שלא נגע בכלום ובפועל פתח את הכונן גורם לכך שהבדיקה הראשונה תיעשה בהנחה שגויה, וזה עולה זמן ולעיתים גם מידע. אין בזה שיפוט: רוב האנשים שפותחים כונן עושים את זה מתוך ניסיון סביר לפתור בעיה. אבל מרגע שזה נעשה, זו עובדה שצריכה להיאמר, כמו כל פרט אחר על מה שקרה למדיה.
מה שנשאר בסוף
הפער בין מקרה פשוט למקרה מורכב נקבע כמעט תמיד לפני שהמדיה הגיעה לטיפול, ולא אחריה. כונן עם ראשים שנשחקו הוא עבודה מוכרת; אותו כונן אחרי שנפתח בחדר רגיל, הופעל, נסרק בתוכנה ואושר בו פרמוט, הוא כבר משהו אחר לגמרי, ובחלק מהמקרים חלק מהמידע שלו אינו קיים יותר. הדרך להישאר בצד הראשון של הפער הזאת פשוטה ולא אינטואיטיבית: לעצור מוקדם, לנתק, ולא לבדוק עוד דבר אחד.
עידו ירושלמי, מומחה שחזור מידע ופורנזיקה דיגיטלית, עוסק מאז 2006 בשחזור ממדיות עם כשל מכני, לוגי וקושחתי. משמש עד מומחה ומגיש חוות דעת בבתי משפט בתחומי פורנזיקה דיגיטלית ועבירות מחשב.