Czy da się odzyskać dane z uszkodzonego dysku?

W wielu przypadkach tak

Szanse zależą przede wszystkim od rodzaju uszkodzenia i od tego, co działo się z nośnikiem po awarii. Każde kolejne uruchomienie sypiącego się dysku pogarsza sytuację — czasem nieodwracalnie.

Co zrobić od razu

Przestać używać nośnika. Nie instalować na nim programów do odzyskiwania danych, nie kopiować na niego niczego i nie próbować „naprawiać" go narzędziami systemowymi — te operacje zapisują dane w miejscach, w których mogą leżeć pliki do odzyskania.

Uszkodzenie logiczne

Skasowane pliki, sformatowany nośnik, uszkodzona tablica partycji, awaria systemu plików. Tu szanse są wysokie, o ile dysk jest sprawny mechanicznie i nie został nadpisany.

Uszkodzenie mechaniczne

Stukanie, piszczenie, brak rozpędzania talerzy, dysk niewidoczny w systemie. Tu sprawa jest poważniejsza, a każda próba uruchomienia potrafi uszkodzić powierzchnię trwale. Sprzęt należy odłożyć i zgłosić — nie testować kolejnymi włączeniami.

Nośniki SSD

Odzysk bywa trudniejszy niż z dysku talerzowego, bo dane są rozproszone i szyfrowane przez kontroler. Objawem zbliżającej się awarii jest zwykle nagłe przejście w tryb tylko do odczytu albo zniknięcie nośnika z systemu — wtedy trzeba działać od razu.

Jak wygląda praca

Zaczynamy od oceny stanu nośnika i wykonania jego kopii, jeśli tylko jest to możliwe. Dalsze prace prowadzimy na kopii, żeby nie obciążać uszkodzonego dysku. Po odzyskaniu przekazujemy dane na nowym nośniku i usuwamy kopię roboczą.

Uczciwie o szansach

Mówimy o nich przed rozpoczęciem pracy. Nie każdy przypadek kończy się powodzeniem i lepiej wiedzieć to od razu.

Nie każdy brak plików oznacza fizyczną awarię dysku

Dane mogą zniknąć z widoku z kilku różnych powodów. Czasem usunięto jedynie wpis wskazujący, gdzie znajduje się plik, a sama zawartość nadal pozostaje na nośniku. Innym razem uszkodzona jest partycja, czyli wydzielony obszar dysku widoczny w systemie jako osobny wolumin. Możliwa jest też awaria systemu plików, czyli struktury odpowiedzialnej za nazwy, katalogi i położenie danych.

Inaczej wygląda sytuacja, gdy komputer nie uruchamia systemu, ale dysk nadal jest poprawnie wykrywany. Przyczyną może być uszkodzony program rozruchowy, czyli składnik potrzebny do rozpoczęcia ładowania systemu. Dane użytkownika mogą wówczas pozostać nienaruszone. Sam komunikat o braku systemu operacyjnego nie przesądza więc o utracie dokumentów, zdjęć ani baz danych.

Osobną grupę stanowią problemy z połączeniem. Luźne złącze, uszkodzony przewód, niesprawna obudowa dysku zewnętrznego albo problem z portem może sprawić, że sprawny nośnik nie będzie widoczny. Takie możliwości trzeba sprawdzać ostrożnie. Jeżeli jednak dysk wydaje nietypowe dźwięki, wielokrotnie znika albo powoduje zawieszanie komputera, dalsze próby należy przerwać.

Jak różnią się najczęstsze warianty utraty danych

Przypadkowe usunięcie plików jest zwykle problemem logicznym. Po opróżnieniu kosza system może uznać zajmowane miejsce za dostępne do ponownego użycia. Każdy zapis, instalacja aktualizacji, pobieranie plików lub zwykła praca programu może wtedy nadpisać potrzebną zawartość. Z tego powodu komputer należy wyłączyć, zamiast korzystać z niego do czasu odzyskania danych.

Formatowanie również nie zawsze oznacza natychmiastowe zniszczenie całej zawartości. Znaczenie ma sposób wykonania operacji, późniejsze używanie nośnika i jego stan techniczny. Nie należy jednak tworzyć nowej partycji ani ponownie formatować dysku w nadziei, że stanie się czytelny. Każda taka zmiana może utrudnić odtworzenie wcześniejszej struktury katalogów.

Po awarii zasilania może dojść do uszkodzenia otwartych plików, systemu plików albo elektroniki nośnika. Gdy komputer uruchamia automatyczną kontrolę dysku, nie zawsze jest to bezpieczny pierwszy krok. Narzędzie naprawcze dąży do przywrócenia spójności struktury, a nie do zachowania każdego możliwego fragmentu danych. W ważnym przypadku najpierw wykonuje się kopię sektorową, czyli możliwie dokładne odwzorowanie zawartości nośnika.

Infekcja złośliwym oprogramowaniem może natomiast zaszyfrować pliki, zmienić ich nazwy albo usunąć część zawartości. Wtedy trzeba ograniczyć dalsze zapisy i odłączyć komputer od sieci, aby zmniejszyć ryzyko rozprzestrzenienia problemu. Nie należy usuwać zaszyfrowanych plików ani podejmować przypadkowych prób ich modyfikacji, ponieważ mogą być potrzebne do późniejszej analizy.

Dysk talerzowy i SSD wymagają innego podejścia

Dysk HDD zapisuje dane na obracających się talerzach, a odczyt odbywa się za pomocą zespołu głowic. Upadek pracującego urządzenia może spowodować kontakt głowicy z powierzchnią talerza. Objawem bywają powtarzalne stuki, problemy z rozpędzeniem albo nagłe spowolnienie odczytu. W takim stanie wielokrotne podłączanie dysku może powiększać uszkodzony obszar.

Nośnik SSD nie ma ruchomych elementów. Dane znajdują się w kościach pamięci, a ich rozmieszczeniem zarządza kontroler, czyli układ pośredniczący między pamięcią a komputerem. Awaria może nastąpić bez dźwięków i bez długiego okresu ostrzegawczego. Nośnik może działać niestabilnie, zgłaszać niewłaściwą pojemność, przejść w tryb tylko do odczytu lub przestać być wykrywany.

W obu przypadkach ważna jest kolejność działań. Najpierw ocenia się, czy odczyt jest bezpieczny, a dopiero później analizuje pliki. Próba zwykłego kopiowania katalogów nie zawsze wystarcza. System może wielokrotnie wracać do trudnego obszaru, zawieszać się i dodatkowo obciążać nośnik. Kopia sektorowa pozwala prowadzić dalszą analizę bez ciągłego korzystania z oryginału, o ile stan urządzenia umożliwia jej wykonanie.

Błędy popełniane podczas samodzielnych prób odzysku

Najczęstszym błędem jest instalowanie programu do odzyskiwania na tym samym dysku, z którego zniknęły pliki. Instalator, pliki tymczasowe i aktualizacje mogą trafić dokładnie w miejsce po usuniętych danych. Odzyskanych materiałów także nie wolno zapisywać na źródłowym nośniku. Potrzebny jest inny, sprawny dysk o odpowiedniej wolnej przestrzeni.

Ryzykowne jest również wielokrotne uruchamianie komputera w celu sprawdzenia, czy problem ustąpił. Podczas startu system zapisuje dzienniki, pamięć podręczną i inne dane robocze. Jeżeli nośnik ma uszkodzenie mechaniczne, każda kolejna próba może dodatkowo pogorszyć jego stan.

Nie należy otwierać obudowy dysku talerzowego. Wnętrze wymaga odpowiednich warunków i ochrony przed zanieczyszczeniami. Kurz niewidoczny podczas domowej próby może zakłócić pracę głowic nad powierzchnią talerzy. Nie pomagają również popularne metody polegające na chłodzeniu, potrząsaniu albo uderzaniu dysku. Mogą one zmienić usterkę możliwą do zdiagnozowania w trwałe uszkodzenie.

Kolejnym błędem jest zatwierdzanie wszystkich komunikatów systemowych. Propozycja inicjalizacji, czyli utworzenia informacji potrzebnych systemowi do obsługi dysku, nie jest naprawą danych. Podobnie formatowanie nie przywraca dostępu do istniejących plików. Jeżeli zawartość jest ważna, okna proponujące zapis zmian należy zamknąć i przerwać dalsze próby.

Kiedy problem może dotyczyć szyfrowania, a nie samego nośnika

Dysk może być sprawny, lecz dane pozostaną niedostępne z powodu szyfrowania. Szyfrowanie zmienia zawartość w sposób, który wymaga właściwego klucza lub danych uwierzytelniających. W takim przypadku odzyskanie samych sektorów nie wystarcza do odczytania plików. Potrzebny może być klucz odzyskiwania, kopia konfiguracji albo dostęp do konta, z którym zabezpieczenie zostało powiązane.

Nie należy pochopnie usuwać modułu zabezpieczeń, zmieniać ustawień rozruchu ani przywracać ustawień fabrycznych komputera. Takie działania mogą utrudnić dostęp do klucza. Hasło jest potrzebne tylko wtedy, gdy bez niego nie można przeprowadzić niezbędnej analizy. Prośba o jego podanie powinna mieć konkretne uzasadnienie. W części przypadków wystarczy sam klucz odzyskiwania lub obecność osoby uprawnionej podczas wybranej czynności.

Co przygotować przed przekazaniem sprzętu

Warto zapisać, co wydarzyło się bezpośrednio przed awarią. Znaczenie mają upadek, zalanie, przepięcie, przerwana aktualizacja, przypadkowe usunięcie, formatowanie oraz komunikaty widoczne na ekranie. Pomocna jest także informacja, czy po zdarzeniu komputer lub dysk był ponownie uruchamiany i jakie operacje wykonano.

Należy wskazać, które dane są najważniejsze. Mogą to być konkretne katalogi, dokumenty księgowe, zdjęcia, poczta, projekty albo baza programu. Ustalenie priorytetów ułatwia ocenę wyników, zwłaszcza gdy nie wszystkie fragmenty nośnika są czytelne. Dobrze podać również przybliżone nazwy katalogów i rodzaje plików, bez wymyślania pełnej listy z pamięci.

Sprzęt może zostać odebrany przez kierowcę w usłudze door-to-door. Nie ma potrzeby szukania punktu przyjęć ani ponownego uruchamiania urządzenia przed odbiorem. Jeżeli potrzebna jest ocena całego komputera na miejscu, możliwa jest wizyta serwisanta. Są to dwa różne tryby obsługi: wizyta obejmuje zawsze płatną pracę, natomiast zasady diagnozy w door-to-door zależą od rodzaju sprzętu.

Dodatkowe pytania o odzyskiwanie danych

Czy można odzyskać pliki po opróżnieniu kosza?

Często jest to możliwe, jeżeli obszar zajmowany przez pliki nie został nadpisany. Szanse maleją podczas dalszego korzystania z komputera. Najbezpieczniej wyłączyć urządzenie i nie uruchamiać z niego programów odzyskujących.

Czy podłączenie dysku do innego komputera jest bezpieczne?

Nie zawsze. Przy problemie z przewodem lub systemem operacyjnym taka próba może pomóc w diagnozie, ale uszkodzony nośnik może być automatycznie skanowany albo modyfikowany przez drugi system. Jeżeli słychać stuki, dysk zanika lub znacznie spowalnia komputer, nie należy go ponownie podłączać.

Czy odzyskane pliki zachowają nazwy i katalogi?

Zależy to od stanu metadanych, czyli informacji opisujących nazwy, położenie i właściwości plików. Gdy struktura systemu plików jest czytelna, można zachować pierwotny układ. Przy poważnym uszkodzeniu część materiałów może zostać odnaleziona według ich zawartości, ale bez dawnych nazw i folderów.

Czy dane da się odzyskać po zalaniu laptopa?

Jest to możliwe, jeżeli sam nośnik nie został trwale uszkodzony. Laptopa nie należy włączać ani podłączać do zasilacza. Woda i inne płyny mogą powodować zwarcia oraz korozję, czyli stopniowe niszczenie metalowych połączeń. Najpierw trzeba bezpiecznie ocenić stan urządzenia i nośnika.

Czy warto próbować odzysku, gdy potrzebny jest tylko jeden plik?

Tak, ale nie wolno zakładać, że pojedynczy plik będzie łatwiejszy do odzyskania. Jego fragmenty mogą znajdować się w kilku miejscach nośnika. Znaczenie ma stan tych obszarów, a nie tylko rozmiar dokumentu. Wskazanie dokładnej nazwy i katalogu pomaga ustalić priorytet poszukiwań.

Najważniejsza decyzja zapada przed kolejnym uruchomieniem

Po utracie danych liczy się ograniczenie dalszych zmian na nośniku. Wyłączenie komputera, rezygnacja z przypadkowych narzędzi i zachowanie informacji o przebiegu awarii zwiększają możliwość rzetelnej oceny. Nie da się obiecać wyniku bez sprawdzenia konkretnego przypadku, ale można uniknąć działań, które bezpowrotnie zmniejszają szanse. Gdy pliki mają znaczenie, bezpieczniej zatrzymać pracę urządzenia i rozpocząć od diagnozy zamiast od kolejnego testowego uruchomienia.