大戰4天 東芝500G硬盤盤片碰傷“1個小點” 的數據恢復實戰

　　——硬盤開盤（第4期）

　　編者按

　　“技術實戰-硬盤開盤”系列第4期，效率源工程師講解第2個技術實戰案例——東芝500硬盤的二次開盤數據恢復。因本案例涉及的硬盤盤片被嚴重碰傷，盤片關鍵部位有小點，盤腔邊緣有變形，且在之前曾被其他機構做過開盤（開盤環境、流程、方法等是否規范不可預知，不清楚是否對盤體造成了其他硬件損傷），而需要提取的資料又全部為視頻，如此種種，難度非常大，極具典型性。

　　在“技術實戰”第3期中，曾詳細講解過盤片劃傷的情況，外部的猛烈撞擊容易引起盤片與磁頭或其他硬盤組件相碰撞，造成盤片劃傷。在電機未啟動的情況下，可能是一個小點、小劃痕，如果硬盤處于高速運轉，就可能出現大片區域劃傷，數據恢復難度就非常大。

　　實戰對象

　　東芝500G硬盤，如圖1所示（外觀完好，沒有明顯的摔傷痕跡）：

　　【圖1 東芝500G硬盤（案例盤）】

　　硬盤準備（3+N塊實體盤）1、恢復盤A

　　有故障、存儲有需要提取的大量視頻數據

　　2、鏡像盤B

　　鏡像拷貝數據，后期分析

　　3、配件盤C若干

　　更換磁頭（與A同型號、同批次）

　　故障現象

　　硬盤無法識別，其他機構開盤，數據恢復失敗。

　　故障檢測

　　因本案例的硬盤已在多家機構做過恢復（包括開盤）均失敗，硬盤本身故障應該不簡單，而多次操作造成的二次傷害程度也難以預估，效率源抽調了二次開盤實戰經驗最豐富的多名工程師，全面展開數據恢復工作。

　　1、觀察

　　360度查看恢復盤A，外觀上沒有摔傷痕跡，包括最易變形的硬盤四周和邊角（外形必須仔細觀察，如果有變形，盤體內部故障可能會更嚴重，后面的恢復操作需要更謹慎）。

　　2、開盤

　　在雙百級無塵工作室開盤檢測，盤片上有一個非常明顯的點（圖2），這個點肉眼就能看到，且恰巧在盤片運行的關鍵位置，數據恢復難度非常大。

　　【圖2 紅色箭頭處為碰傷的小點（實體盤直接可看到）】

　　3、分析

　　據此可判斷，硬盤是在沒通電的情況下遭受了劇烈撞擊，如果硬盤處于高速運轉狀態，那就可能又會出現一圈深深的“環形跑道”。值得慶幸，硬盤在故障之后沒有再被通電，否則后果會非常嚴重。綜合判定，硬盤具備數據恢復條件，但需要較多時間。

　　至此，東芝500G硬盤的故障檢測完成。

　　數據恢復

　　故障原因確定后，正式進入數據恢復環節。首先，需要“盤片處理和磁頭更換”，如果更換磁頭后可正常讀取，恢復工作圓滿結束。如果不行，則還需要采用其他解決方案，因為之前的數據恢復操作，不確定對盤體是否有其他二次傷害。

　　1、盤片處理與磁頭更換

　　在雙百級無塵工作室，處理盤片，并將配件盤C的磁頭組件更換到恢復盤A上（開盤需要的注意點，在《技術實戰》第1期就有講解，此處不贅述）；

　　2、通電檢測

　　將更換磁頭的恢復盤A接入DRS數據恢復系統（圖3），通電，出現不規則的敲盤聲音；

　　【圖3  DRS數據恢復系統可以預檢硬盤硬件健康狀況】

　　3、再開盤檢測

　　再次進入雙百級無塵工作室開盤檢測，把恢復盤A與配件盤C的盤腔比對后發現，恢復盤A的盤腔邊緣有些不規則的變形，此處極有可能就是之前的數據恢復機構開盤恢復失敗的地方。對恢復盤A的盤腔邊緣進行適當處理。

　　4、再通電檢測

　　再次將恢復盤A接入到DRS數據恢復系統通電，硬盤正常尋道識別型號，查看0號扇區只做了一個分區。利用DRS數據恢復系統嘗試讀取分區信息（圖4），不能正常獲取分區信息。

　　【圖4  DRS數據恢復系統可以快速掃描分區（界面圖為宣傳圖，非恢復盤A的真實信息，所以存在多個分區）】

　　5、鏡像拷貝數據

　　嘗試對恢復盤A進行鏡像處理，通過DRS連接恢復盤A與鏡像盤B，但鏡像過程中出現一段好一段壞，有可能硬盤固件也有故障；

　　6、修復固件

　　斷電，將USB接口轉換成SATA接口，接入HD Doctor東芝硬盤固件（圖5）。DRS數據恢復系統目前支持西數、希捷、日立品牌硬盤的固件修復，東芝硬盤暫時還需使用老產品HD Doctor東芝硬盤固件專修來修復，而該設備不支持USB接口。通過半天時間處理好硬盤鏡像一段好一段壞的情況，再次接入DRS數據恢復系統直接訪問分區信息，正確識別分區。

　　【圖5  HD Doctor可以全面修復7大品牌硬盤固件】

　　7、提取數據

　　與客戶溝通，優先導出最重要的數據。由于文件都是視頻類文件，數據量大，整個數據提取花費了3天時間。期間，磁頭損壞了8次，更換了近10個磁頭，最終將客戶最需要的數據成功導出，獲取重要數據近90%。

　　編后語：

　　本案例的硬盤故障現象是電子取證、司法鑒定、數據恢復中經常遇到的情況，與第1期的案例極為類似。但難點在于，盤腔有變形、屬于二次開盤、提取視頻數據，如果環境、設備、操作者職業素質不達標，都很難成功，這也是之前多家數據恢復機構恢復失敗的原因。而此次案例效率源工程師用到的主要方法有開盤檢測、更換磁頭、修復固件等，都對操作環境、操作者綜合素質有較高要求，如果不達標，很可能跟之前幾家機構一樣，最終失敗。

　　而需要強調的是，二次開盤的失敗率是非常高的，完全不能預測之前的操作者做過什么操作、對硬盤有沒有嚴重傷害。效率源工程師再次鄭重提醒，重要硬盤的數據恢復（尤其是牽涉到重大事件或重要線索），一定要交給專業的數據恢復機構操作，否則可能將硬盤直接“報廢”，重要線索完全丟失。

　　【 技術實戰】系列推薦：

　　1、【技術實戰】硬盤開盤第1期：wd硬盤盤片劃傷成“環形跑道”的數據恢復之開盤檢測

　　2、【技術實戰】硬盤開盤第2期：WD硬盤盤片劃傷成“環形跑道”的數據恢復之換磁頭

　　3、【技術實戰】硬盤開盤第3期:WD硬盤盤片劃傷成“環形跑道”的數據恢復之熱換板