Odzyskiwanie danych z komputera

W komputerze stacjonarnym dysk da się wyjąć i odczytać na osobnym stanowisku — dlatego awaria samego komputera bardzo rzadko oznacza utratę plików. Trudniejsze przypadki dotyczą zestawów z kilkoma nośnikami i macierzy.

Sytuacja typowa i sytuacja trudna

Typowa: komputer nie startuje z powodu zasilacza, płyty albo systemu. Dysk jest sprawny, wystarczy go odczytać i przenieść dane.

Trudna: sam nośnik zaczyna zawodzić albo zestaw pracuje w macierzy RAID — konfiguracji, w której dane rozłożone są na kilka dysków. Wypadnięcie jednego bywa niezauważone, a problem ujawnia się dopiero przy awarii drugiego.

Dlaczego przy macierzach prosimy o wstrzymanie się z działaniem

Próba samodzielnej odbudowy macierzy potrafi nadpisać dane, które dałoby się jeszcze odczytać. Kolejność podłączania dysków i parametry konfiguracji mają tu znaczenie — a jedna nieudana próba zwykle zmniejsza szanse na odzysk.

Jak postępujemy

• Dyski wyjmujemy i podłączamy na osobnym stanowisku, bez uruchamiania z nich systemu.
• Odczytujemy parametry SMART i oceniamy stan każdego nośnika.
• Wykonujemy kopię sektor po sektorze, jeśli stan na to pozwala, i pracujemy na kopii.
• Przy macierzach ustalamy konfigurację na podstawie zawartości dysków, a nie domysłów.

Ile to trwa i czego nie obiecujemy

Ocena z wykonaniem kopii to zwykle jeden–dwa dni robocze. Przed rozpoczęciem właściwych prac podajemy realne szanse odzysku — bez obietnic, których nie da się sprawdzić przed otwarciem nośnika. Odczytane dane przekazujemy na nośniku wskazanym przez klienta.

Co zwiększa szanse

Wyłączenie komputera przy pierwszych objawach i nieuruchamianie go ponownie. Przy dysku wydającym dźwięki mechaniczne to jedyna decyzja, która realnie coś zmienia.

Brak plików może mieć kilka różnych przyczyn

Odzyskiwanie danych nie zawsze oznacza pracę z fizycznie uszkodzonym dyskiem. Pliki mogą zniknąć po przypadkowym usunięciu, sformatowaniu partycji, awarii systemu plików albo zmianie konfiguracji komputera. System plików to struktura, za pomocą której system operacyjny zapisuje informacje o nazwach, położeniu i układzie plików na nośniku. Jej uszkodzenie może sprawić, że dane przestaną być widoczne, mimo że część ich zawartości nadal znajduje się na dysku.

Inny wariant występuje wtedy, gdy komputer nie wykrywa nośnika albo wykrywa go nieregularnie. Przyczyną może być sam dysk, przewód, zasilanie, port na płycie głównej lub kontroler, czyli układ odpowiadający za komunikację z nośnikiem. Dlatego przed rozpoczęciem odzyskiwania trzeba oddzielić awarię komputera od awarii dysku. Podłączanie sprawnego nośnika do innego stanowiska może wystarczyć do bezpiecznego skopiowania plików, ale w przypadku niestabilnego dysku potrzebne jest ostrożniejsze postępowanie.

Osobną grupę stanowią przypadki, w których pliki są widoczne, lecz nie można ich otworzyć. Może to wskazywać na uszkodzenie zawartości pliku, błędy odczytu w konkretnym obszarze nośnika albo problem z programem używanym do otwierania dokumentu. Sam komunikat o błędzie nie rozstrzyga, czy konieczne jest odzyskiwanie danych. Najpierw sprawdza się stan nośnika oraz to, czy ten sam plik można odczytać w innym zgodnym programie.

Dysk HDD, dysk SSD i kilka nośników w jednym komputerze

Klasyczny dysk HDD jest nośnikiem magnetycznym z ruchomymi elementami. Nietypowe stukanie, cykanie, zatrzymywanie się lub problemy z rozpędzeniem mogą oznaczać awarię mechaniczną. W takim przypadku kolejne uruchomienia nie służą sprawdzeniu, czy problem ustąpił. Każda próba odczytu obciąża mechanizm i może pogłębić uszkodzenie. Nośnik należy wyłączyć i nie uruchamiać ponownie bez planu dalszego działania.

Dysk SSD zapisuje dane w pamięci elektronicznej i nie ma ruchomych części, dlatego zwykle nie ostrzega dźwiękami. Może przestać być wykrywany, zgłaszać błędy, przechodzić w tryb tylko do odczytu albo powodować zawieszanie systemu podczas otwierania plików. Brak odgłosów nie oznacza więc, że nośnik jest sprawny. W ocenie uwzględnia się zarówno zachowanie komputera, jak i możliwość stabilnego odczytu danych.

W komputerach z kilkoma dyskami ważne jest ustalenie, gdzie faktycznie zapisano potrzebne pliki. System może znajdować się na jednym nośniku, a dokumenty, zdjęcia lub katalogi programów na innym. Zdarza się również, że część danych została przeniesiona na dodatkowy dysk, ale skróty i biblioteki systemowe nadal wskazują poprzednią lokalizację. Przed wykonaniem zmian trzeba opisać układ dysków i zachować ich pierwotną kolejność.

Kiedy problem nie oznacza utraty danych

Czarny ekran, brak obrazu albo brak reakcji na przycisk zasilania nie przesądzają o uszkodzeniu plików. Takie objawy mogą wynikać z awarii zasilacza, karty graficznej, pamięci operacyjnej lub płyty głównej. Pamięć operacyjna to tymczasowa pamięć używana podczas pracy komputera; nie przechowuje dokumentów po wyłączeniu urządzenia. Jeżeli właściwy dysk pozostaje sprawny, dane można odczytać niezależnie od niedziałającego komputera.

Podobnie wygląda sytuacja po uszkodzeniu systemu Windows lub Linux. Komputer może zatrzymywać się podczas uruchamiania, wyświetlać komunikat o błędzie albo wracać do ekranu naprawy. Nie oznacza to automatycznie, że pliki zostały skasowane. Przed naprawą systemu warto jednak zabezpieczyć dane, ponieważ operacje wykonywane na partycjach mogą zmienić ich zawartość.

Brak plików na pulpicie może także wynikać z zalogowania do innego konta, uruchomienia profilu tymczasowego albo zmiany lokalizacji folderów użytkownika. Profil tymczasowy to zastępcze środowisko tworzone przez system, gdy właściwy profil nie może zostać wczytany. W takim przypadku dokumenty często nadal znajdują się w katalogu poprzedniego profilu. Nie należy od razu kopiować nowych danych w miejsce starych ani usuwać katalogów uznanych za zbędne.

Najczęstsze błędy podczas samodzielnych prób

Jednym z najpoważniejszych błędów jest instalowanie programu do odzyskiwania na tym samym dysku, z którego zniknęły pliki. Instalacja zapisuje nowe dane i może nadpisać obszary zawierające usuniętą zawartość. Z tego samego powodu odzyskanych plików nie zapisuje się na nośniku źródłowym. Potrzebny jest osobny, sprawny dysk o odpowiedniej dostępnej pojemności.

Ryzykowne jest również wielokrotne uruchamianie automatycznej naprawy systemu plików. Narzędzie naprawcze może uporządkować strukturę logiczną dysku, ale jego celem nie jest zachowanie każdego utraconego dokumentu. Wprowadzane zmiany mogą utrudnić późniejsze odtworzenie pierwotnego układu katalogów. Najpierw zabezpiecza się możliwy do odczytania obraz nośnika, a dopiero potem testuje operacje naprawcze na kopii.

Przy nośniku wydającym dźwięki mechaniczne nie należy nim potrząsać, uderzać, schładzać ani otwierać obudowy. Domowe metody nie usuwają uszkodzenia głowic ani innych elementów mechanicznych. Otwarcie dysku poza odpowiednimi warunkami może wprowadzić zanieczyszczenia do jego wnętrza. Równie niebezpieczna bywa przypadkowa zamiana elektroniki między dyskami, ponieważ zgodność obudowy lub oznaczenia modelu nie musi oznaczać zgodności wszystkich zapisanych parametrów.

W macierzy RAID błędem jest inicjalizacja dysków po komunikacie programu zarządzającego. Inicjalizacja oznacza utworzenie lub zapisanie informacji potrzebnych systemowi do obsługi nośnika. Może ona zmienić metadane, czyli techniczne informacje opisujące układ macierzy i położenie danych. Nie należy także zatwierdzać odbudowy, dopóki nie zostanie ustalone, który dysk przestał działać jako pierwszy i czy pozostałe nośniki są stabilne.

Co warto zabezpieczyć przed przekazaniem komputera

Jeżeli komputer jeszcze działa, ale zachowuje się niestabilnie, nie powinno się rozpoczynać porządkowania katalogów ani przenoszenia dużej liczby plików. Najważniejsze jest ograniczenie zapisu na zagrożonym nośniku. Można zanotować nazwy kluczowych folderów, rodzaje potrzebnych dokumentów oraz przybliżoną lokalizację danych. Pomaga też informacja o zdarzeniu poprzedzającym problem, na przykład zaniku zasilania, aktualizacji systemu, zmianie dysków albo przypadkowym formatowaniu.

Nie ma potrzeby podawania hasła do konta, jeżeli dane można zabezpieczyć przez bezpośredni odczyt nośnika. Prośba o hasło pojawia się tylko wtedy, gdy bez zalogowania nie da się wykonać uzgodnionej czynności, a jej powód powinien zostać wyjaśniony. W przypadku danych firmowych można bezpłatnie zawrzeć NDA, czyli umowę o zachowaniu poufności. Prace nie są przekazywane podwykonawcom.

Komputer lub same nośniki mogą zostać odebrane przez kierowcę i zwrócone po wykonaniu uzgodnionych czynności. Jest to obsługa door-to-door, czyli odbiór i zwrot sprzętu pod wskazany adres. Przy odzyskiwaniu danych wymagającym osobnego stanowiska ten tryb pozwala uniknąć dalszego uruchamiania niestabilnego komputera.

Dodatkowe pytania o odzyskiwanie danych

Czy można odzyskać pliki po sformatowaniu dysku?

Zależy to od rodzaju formatowania, późniejszego używania nośnika, zastosowanego systemu plików oraz tego, czy nowe dane nadpisały poprzednią zawartość. Sam fakt sformatowania nie pozwala określić wyniku. Najważniejsze jest zaprzestanie korzystania z dysku i niewykonywanie na nim kolejnych instalacji. Analizę przeprowadza się na kopii, jeżeli stan nośnika pozwala ją utworzyć.

Czy parametry SMART wystarczą do oceny dysku?

Nie. SMART to mechanizm zapisujący wybrane informacje o pracy i kondycji nośnika. Może wskazać niepokojące zdarzenia, ale brak ostrzeżenia nie gwarantuje sprawności. Wynik zestawia się z zachowaniem dysku, stabilnością połączenia i przebiegiem odczytu. Szczególnie przy SSD awaria może pojawić się bez wcześniejszego, jednoznacznego komunikatu.

Czy kopia sektor po sektorze jest zwykłą kopią plików?

Nie. Zwykłe kopiowanie korzysta z katalogów i nazw widocznych w systemie. Kopia sektor po sektorze odwzorowuje kolejne obszary nośnika, również wtedy, gdy struktura folderów jest uszkodzona. Pozwala to ograniczyć pracę na oryginalnym dysku i prowadzić dalszą analizę na jego obrazie. Jeżeli część obszarów jest nieczytelna, zakres możliwego odtworzenia zależy od ich położenia.

Czy po odzyskaniu wszystkie pliki będą miały pierwotne nazwy?

Nie zawsze. Jeżeli zachowała się struktura systemu plików, często można odtworzyć nazwy katalogów i plików. Przy poważnym uszkodzeniu struktury pozostaje wyszukiwanie zawartości według rozpoznawalnych cech poszczególnych formatów. Wtedy część dokumentów może zostać odzyskana bez pierwotnych nazw i lokalizacji. Sprawdzenie wyników obejmuje więc nie tylko liczbę znalezionych plików, lecz także możliwość ich poprawnego otwarcia.

Czy komputer można dalej włączać, jeśli pliki czasami są widoczne?

Nie jest to bezpieczne przy podejrzeniu awarii nośnika. Okresowe pojawianie się danych może wynikać z niestabilnego odczytu, a nie z ustąpienia problemu. Każde uruchomienie systemu powoduje dodatkowe operacje na dysku. Rozsądniejsze jest wyłączenie komputera, opisanie potrzebnych danych i wykonanie kontrolowanego odczytu bez startowania systemu z badanego nośnika.

Najpierw zabezpieczenie obrazu nośnika, potem poszukiwanie plików

W odzyskiwaniu danych kolejność działań ma bezpośrednie znaczenie. Najpierw ustala się, czy problem dotyczy komputera, pojedynczego nośnika, systemu plików czy całej macierzy. Następnie ogranicza się pracę na oryginale i, gdy jest to możliwe, tworzy kopię przeznaczoną do analizy. Dopiero na tej podstawie wyszukuje się katalogi, sprawdza dokumenty i ocenia kompletność wyniku. Taki sposób postępowania chroni to, co pozostało na dysku, i pozwala oddzielić bezpieczną diagnostykę od prób, które mogłyby bezpowrotnie zmienić zapisane dane.