Pendrive i karta pamięci mogą wyglądać prosto. Wewnątrz dzieje się znacznie więcej.
Nośniki flash korzystają z pamięci NAND, kontrolera, korekcji błędów i translacji adresów logicznych na fizyczne. To sprawia, że awaria kontrolera lub degradacja pamięci wymaga innego podejścia niż typowe odzyskiwanie z dysku HDD.
Od prostego usunięcia plików po awarię kontrolera.
- przypadkowe usunięcie zdjęć lub dokumentów;
- formatowanie karty lub pendrive’a;
- uszkodzenie systemu plików po nieprawidłowym odłączeniu;
- złamane lub wyrwane złącze USB;
- brak identyfikacji urządzenia albo pojemność 0 MB;
- niestabilny odczyt i liczne błędy;
- uszkodzenie kontrolera lub układów NAND;
- zalanie, przegrzanie albo uszkodzenie mechaniczne.
Odzyskiwanie logiczne
Gdy nośnik jest stabilnie wykrywany, możliwe jest wykonanie obrazu i analiza systemu plików bez ingerowania w elektronikę urządzenia.
Naprawa połączenia
Przy uszkodzonym złączu lub ścieżkach PCB czasem możliwe jest przywrócenie kontrolowanego dostępu do urządzenia tylko na potrzeby wykonania kopii.
Bezpośredni odczyt pamięci
W wybranych przypadkach wymagany jest odczyt układów NAND i późniejsza rekonstrukcja danych z uwzględnieniem sposobu ich rozmieszczenia przez kontroler.
Nie zapisuj niczego na nośniku po utracie danych.
W pamięciach flash nowe zapisy oraz procesy wewnętrzne kontrolera mogą zmieniać fizyczne rozmieszczenie danych. Jeżeli pliki są ważne, przerwij korzystanie z urządzenia możliwie szybko.
Od obrazu logicznego do rekonstrukcji NAND
Diagnoza
Sprawdzamy, czy problem ma charakter logiczny, elektryczny czy dotyczy kontrolera/pamięci.
Pozyskanie danych
Priorytetem jest stabilny odczyt: logiczny, przez kontroler lub — jeśli to konieczne — bezpośrednio z układów pamięci.
Rekonstrukcja
Składanie struktury danych, korekcja błędów i odtworzenie systemu plików z uzyskanego obrazu.
Weryfikacja
Ocena poprawności plików i przygotowanie danych do wydania na innym nośniku.
Kontroler ukrywa złożoność pamięci NAND.
System operacyjny widzi logiczne sektory, natomiast kontroler pamięci rozkłada dane po fizycznych blokach NAND, omija uszkodzone komórki, korzysta z korekcji błędów i równoważy zużycie. Przy bezpośrednim odczycie układów pamięci trzeba odtworzyć część tej logiki programowo.
W urządzeniach monolitycznych, np. części kart microSD, pamięć i kontroler mogą znajdować się w jednym układzie. Wtedy dostęp do sygnałów wymaga innych metod niż klasyczne wylutowanie pamięci.
- wyjmij kartę z aparatu lub telefonu i nie wykonuj kolejnych zdjęć;
- nie formatuj jej ponownie „żeby system ją zobaczył”;
- nie uruchamiaj narzędzi naprawczych zapisujących zmiany na nośniku;
- jeżeli złącze jest uszkodzone, nie wyginaj go wielokrotnie i nie próbuj prowizorycznego dociskania;
- zapisz model urządzenia, w którym nośnik był używany — czasem pomaga to w interpretacji systemu plików.
Program do odzyskiwania działa tylko wtedy, gdy system ma stabilny dostęp do nośnika.
Jeżeli urządzenie znika, zgłasza zerową lub nieprawidłową pojemność, przegrzewa się albo w ogóle nie jest identyfikowane, problem zwykle leży poniżej warstwy systemu plików. Wielokrotne skanowanie takiego nośnika może dodatkowo obciążać kontroler lub pamięć.
Stabilny odczyt
Gdy nośnik jest widoczny i czytelny, pierwszym krokiem powinno być wykonanie obrazu zamiast wielokrotnego skanowania oryginału.
Niestabilny odczyt
Priorytetem staje się pozyskanie maksymalnej ilości danych przy ograniczeniu powtarzanych prób na problematycznych obszarach.
Brak identyfikacji
Wymaga diagnostyki elektroniki, kontrolera i pamięci. Narzędzia działające wyłącznie na poziomie systemu operacyjnego nie mają wtedy dostępu do danych.