Jak odzyskać nieprzydzieloną partycję bez nadpisywania danych

Zacznij tutaj: Zabezpiecz źródło i przygotuj się do odzyskiwania danych

Wszystko, co zostało opisane poniżej, zależy od jednego warunku: żadne nowe dane nie mogą trafić na uszkodzone urządzenie fizyczne, dopóki niezbędne dane nie zostaną odzyskane i zweryfikowane. Należy wykonać te przygotowania przed rozpoczęciem diagnozy, przed porównaniem przyczyn oraz przed oceną jakiegokolwiek oprogramowania.

Należy wstrzymać wszelkie operacje zapisujące dane na urządzeniu:

• pobieranie plików, instalacje i aktualizacje aplikacji, które mogą dotyczyć danego dysku;
• kopiowanie plików na urządzenie lub na jakąkolwiek inną partycję na tym samym dysku fizycznym;
• zadania tworzenia kopii zapasowych, synchronizacji, indeksowania i skanowania antywirusowego, które skanują i zapisują;
• narzędzia dyskowe, które naprawiają, inicjują, konwertują lub przepisują metadane układu;
• wielokrotne restartowanie komputera w nadziei, że system Windows naprawi układ.

Przygotuj się przed rozpoczęciem diagnozy:

• inne urządzenie fizyczne z wystarczającą ilością wolnego miejsca na odzyskane pliki oraz, gdy konieczne jest utworzenie obrazu, na pełny obraz źródła;
• zapisz informacje dotyczące modelu urządzenia, pojemności, numeru dysku w narzędziu „Zarządzanie dyskami”, typu połączenia, kolejności partycji, przybliżonych rozmiarów oraz zdarzenia, które poprzedziło problem;
• zrzut początkowego stanu Zarządzania dyskami, wykonany bez ujawniania numerów seryjnych ani ścieżek do plików osobistych;
• hasła szyfrujące, klucze odzyskiwania oraz wszelkie poświadczenia potrzebne do późniejszego odblokowania woluminu.

Inna partycja na tym samym dysku fizycznym nie jest bezpiecznym miejscem docelowym. System Windows wyświetla ją jako oddzielną literę dysku, ale operacje zapisu trafiają na ten sam nośnik fizyczny, w zakresach sektorów, które oprogramowanie do odzyskiwania danych może nadal potrzebować odczytać. Granica partycji jest konwencją układu, a nie barierą zapisu.

Jeśli obszar nieprzydzielony znajduje się na dysku systemowym Windows, należy ograniczyć korzystanie z tego komputera do minimum. Każda sesja powoduje zapisywanie dzienników, aktualizacji, plików tymczasowych oraz danych pliku stronicowania. Jeśli to możliwe, należy wyłączyć system i podłączyć dysk do innego komputera jako urządzenie dodatkowe lub poprosić o to wykwalifikowanego technika.

Zatrzymaj się, jeśli urządzenie wykazuje objawy niestabilności sprzętowej

Oprogramowanie nie jest w stanie naprawić awarii fizycznej ani elektrycznej. W przypadku wystąpienia poniższych objawów należy przerwać pracę i rozważyć zlecenie profesjonalnej oceny zamiast kontynuowania działań.

• kliknięć, zgrzytania lub powtarzającego się uruchamiania i wyłączania;
• przegrzanie wyczuwalne w dotyku lub zgłaszane przez system;
• powtarzające się rozłączenia lub wykrywanie, które pojawia się i znika między sesjami;
• zgłoszona pojemność, która ulega zmianie lub nie odpowiada pojemności urządzenia;
• znaczne spowolnienie, zawieszanie się systemu lub skanowanie, które zatrzymuje się w tym samym obszarze;
• powtarzające się błędy odczytu, które nasilają się w miarę postępu prac.

Co oznacza przestrzeń nieprzydzielona w systemie Windows

System Windows zgłasza zakres sektorów jako nieprzydzielony, gdy aktualny układ dysku nie przypisuje tego zakresu do rozpoznanego wpisu partycji. Raport opisuje układ, a nie zawartość. Obszar rzeczywiście nieużywany oraz obszar, którego wpis partycji brakuje, mogą wyglądać identycznie w narzędziu „Zarządzanie dyskami”.

Etykieta nie potwierdza, czy zawartość, którą oznacza, jest nieobecna, nienaruszona, nadpisana, zaszyfrowana, przycięta czy fizycznie czytelna. Ustalenie tego wymaga odczytania danego obszaru, a nie tylko jego opisu.

Pięć terminów, które często są łączone w jeden:

01Dysk fizyczny

samego urządzenia sprzętowego, wymienionego w narzędziu „Zarządzanie dyskami” jako Dysk 0, Dysk 1 itd. Jest to jednostka, która ulega awarii, odłącza się i jest kopiowana

02Partycja

wpis w układzie dysku, który rezerwuje zakres sektorów do użytku. Gdy ten wpis brakuje, zakres ten jest zgłaszany jako nieprzydzielony

03Wolumin

użytkowa przestrzeń dyskowa utworzona na partycji, wyposażona w system plików i o rozmiarze umożliwiającym zamontowanie przez system Windows

04System plików

struktury, które rejestrują lokalizację plików i folderów wewnątrz woluminu, takie jak NTFS, FAT32 lub exFAT

05Litera dysku

zadanie, które sprawia, że zamontowany wolumin jest widoczny w Eksploratorze plików. Jego brak oznacza problem z montowaniem, a nie dowód na utratę danych

Przestrzeń nieprzydzielona nie jest tym samym, co następujące stany sąsiednie:

• RAW — wpis partycji istnieje, ale system Windows nie może zidentyfikować na niej systemu plików, który można zamontować;
• W dobrym stanie, bez litery dysku — wolumin jest rozpoznawany i można go zamontować, ale nie ma przypisanej litery;
• W trybie offline — dysk jest rozpoznawany, ale celowo nie jest przełączany w tryb online z powodu zasad, konfliktu sygnatur lub stanu połączenia;
• Nie zainicjowano — System Windows nie wykrywa na dysku żadnego nadającego się do użytku schematu partycjonowania i proponuje utworzenie nowego.

Traktowanie tych czterech terminów jako synonimów terminu „nieprzydzielone” prowadzi do podjęcia błędnego pierwszego działania, a kilka z tych działań powoduje zapis na nośniku źródłowym.

Zdiagnozuj stan dysku przed wyborem ścieżki odzyskiwania

Przed przyjęciem jakichkolwiek zaleceń, w tym tych zawartych w niniejszym przewodniku, należy zidentyfikować, z czym faktycznie mamy do czynienia. Ten sam ekran „Zarządzanie dyskami” może przedstawiać kilka różnych problemów wymagających różnych bezpiecznych działań.

Sprawdź zarządzanie dyskami bez wprowadzania zmian

Otwórz narzędzie „Zarządzanie dyskami” w trybie tylko do odczytu: obejrzyj, zapisz i zamknij. Nie akceptuj żadnych monitów, które zmieniają układ.

• sprawdź zgodność fizycznego urządzenia pod względem modelu, pojemności, numeru dysku i typu połączenia przed wyciągnięciem jakichkolwiek wniosków;
• należy odnotować, czy cały dysk jest nieprzydzielony, czy tylko jeden jego obszar;
• zapisz kolejność partycji, rozmiary, etykiety, systemy plików oraz dokładny tekst statusu wyświetlany przez system Windows;
• porównaj przybliżony rozmiar i położenie regionu z układem, który pamiętasz, traktując bliskie dopasowanie raczej jako hipotezę niż dowód;
• Anuluj monit o inicjalizację, jeśli dysk zawierał wcześniej dane lub jego historia jest niepewna;
• Nie należy zmieniać żadnych opcji menu kontekstowego, które służą do tworzenia, usuwania, rozszerzania, konwertowania lub formatowania.

Dopasuj zaobserwowany stan do najbezpieczniejszego kolejnego kroku

Znajdź wiersz odpowiadający temu, co zaobserwowałeś. Każdy stan wiąże się z własnym kolejnym krokiem i własną listą czynności, których należy unikać; sformułowanie opisu stanu ma większe znaczenie niż typ urządzenia.

Żaden z tych wierszy nie stanowi diagnozy. Każdy z nich to wstępna klasyfikacja, która wskazuje, jakie dowody należy zebrać w następnej kolejności oraz jakie działania mogłyby te dowody zniszczyć.

Wybierz opcję „Skanowanie bezpośrednie”, „Tworzenie obrazu” lub „Profesjonalna ocena”

Drugą decyzją jest sposób odczytu źródła, a nie to, co źródło przedstawia. Te trzy ścieżki mają różne warunki kwalifikacyjne.

Czysty raport SMART nie świadczy o tym, że urządzenie jest sprawne, a tworzenie obrazu nie jest zawsze bezpieczne. Oba te czynniki stanowią podstawę do podjęcia decyzji, a nie pozwolenie na kontynuowanie działań.

Dlaczego partycja może być wyświetlana jako nieprzydzielona

Przyczyny można podzielić na grupy, a każda z nich pozostawia inne ślady. Nie wyciągnij wniosków dotyczących przyczyny wyłącznie na podstawie etykiety w narzędziu „Zarządzanie dyskami”; poszukaj potwierdzających dowodów obok niej.

Usunięcie lub brakujący wpis partycji

Potwierdzone niedawną operacją partycjonowania, sesją zarządzania dyskami, instalatorem oferującym zarządzanie partycjami lub obszarem, którego rozmiar i położenie odpowiadają poprzedniemu woluminowi

Przerwana operacja tworzenia układu

Potwierdzone przez zadanie zmiany rozmiaru, klonowania, konwersji, instalacji lub partycjonowania, które zostało przerwane przedwcześnie, uległo utracie zasilania lub zgłosiło błąd przed zakończeniem

Uszkodzenie metadanych układu

Potwierdzone awarią oprogramowania, nieoczekiwanym wyłączeniem, nieprawidłowym odłączeniem lub problemem z kontrolerem lub kablem, które wystąpiły mniej więcej w momencie zniknięcia regionu

Nieobsługiwany lub niekompletnie zmontowany układ wielodyskowy

Potwierdzone w przypadku macierzy RAID, zestawu dysków dynamicznych lub puli przestrzeni dyskowej, których elementy nie są w całości obecne, lub dysku, który został przeniesiony z pierwotnego kontrolera lub obudowy

Szyfrowanie lub translacja kontrolera

Potwierdzone przez używane oprogramowanie szyfrujące, obudowę z szyfrowaniem sprzętowym, dysk samoszyfrujący lub adapter, który przedstawia sektory w sposób odmienny od oryginalnego hosta

Fizyczna niestabilność odczytu

Potwierdzone przez kliknięcia, rozłączenia, przerywane wykrywanie, rosnącą liczbę błędów odczytu lub pojemność, która jest nieprawdopodobna dla danego urządzenia

Obszar rzeczywiście nieużywany

Potwierdzone przez nowe urządzenie, udokumentowany układ, w którym celowo pozostawiono wolną przestrzeń, lub historię zakupu i konfiguracji uwzględniającą ten obszar

Może występować jednocześnie kilka przyczyn. Gdy dowody wskazują na dwa kierunki, należy przyjąć bardziej destrukcyjną interpretację jako hipotezę roboczą i odpowiednio zabezpieczyć źródło.

Wybierz wynik odzyskiwania, którego faktycznie potrzebujesz

Przed rozpoczęciem pracy zdecyduj, który z tych czterech celów chcesz osiągnąć. Każdy z nich wiąże się z innymi warunkami wstępnymi i innym ryzykiem, a samo znalezienie plików nie oznacza, że oryginalną partycję da się przywrócić.

Kolejność ma znaczenie. Wyniki trzeci i czwarty mają sens dopiero po zakończeniu i niezależnej weryfikacji wyniku pierwszego.

Jak bezpiecznie odzyskać dane z przestrzeni nieprzydzielonej

Jest to podstawowa procedura odzyskiwania danych z przestrzeni nieprzydzielonej, gdy usterka ma charakter logiczny, a urządzenie jest stabilne. Najpierw należy wykonać czynności opisane w sekcji przygotowawczej; poniższe kroki zakładają, że do źródła nie docierają żadne operacje zapisu.

Utwórz obraz, gdy konieczna jest ochrona źródła

Obraz to kopia źródła na poziomie sektorów, przechowywana na innym urządzeniu. Skanowanie obrazu zamiast oryginału ogranicza wielokrotne odczytywanie danych z nośnika, którego nie da się odczytać dwukrotnie, a także pozwala na powtórzenie analizy bez ponownego ingerowania w źródło.

Obraz należy utworzyć w następujących przypadkach:

• dane są na tyle ważne, że musi istnieć możliwość podjęcia drugiej próby;
• spodziewasz się przeprowadzić więcej niż jedno skanowanie, tryb lub porównanie;
• źródło odczytuje się obecnie poprawnie, ale nie można zakładać, że tak będzie zawsze;
• Dostępne jest oddzielne urządzenie fizyczne o pojemności wystarczającej do przechowywania pełnego obrazu.

Przed rozpoczęciem należy wyraźnie potwierdzić tożsamość obu elementów: źródła na podstawie modelu, pojemności i numeru dysku oraz miejsca docelowego jako innego urządzenia fizycznego z wystarczającą ilością wolnego miejsca. Zapisanie obrazu na niewłaściwym nośniku docelowym jest operacją niszczącą.

Przerwij tworzenie obrazu i ponownie oceń sytuację, jeśli wzrośnie liczba błędów, urządzenie rozłączy się podczas kopiowania, przepustowość spadnie lub zmieni się zgłaszana pojemność. Tworzenie obrazu polega na odczytywaniu każdego sektora, więc niestabilne urządzenie jest w tym procesie obciążane, a nie chronione.

Wykrywanie partycji lub skanowanie plików bez zapisywania danych w źródle

Dokładnie wybierz źródło. Zweryfikuj wybrany dysk lub obraz na podstawie modelu i pojemności, a nie litery dysku, ponieważ obszar, którego dotyczy problem, nie ma przypisanej litery do wyboru.

Często tym samym słowem opisuje się trzy różne operacje:

• wykrywanie partycji wyszukuje ślady dawnych granic partycji oraz identyfikator systemu plików;
• skanowanie systemu plików odczytuje rozpoznawalne struktury systemu plików w celu odtworzenia drzewa folderów;
• odzyskiwanie plików z plików surowych ignoruje strukturę i rozpoznaje pliki na podstawie ich wewnętrznych sygnatur, zazwyczaj bez oryginalnych nazw lub folderów.

Należy używać wyłącznie trybów skanowania, co do których zweryfikowano, że nie modyfikują źródła, a wynik należy traktować jako wirtualny do momentu jego oceny. Proces wykrywania często zwraca kilka potencjalnych wyników — stare układy, duplikaty i nakładające się zakresy — a ich obecność na liście nie stanowi dowodu, że którykolwiek z nich jest poprawny.

Gdy sprawa wydaje się logiczna, a urządzenie jest stabilne, DiskInternals Partition Recovery jest jedną z opcji wykrywania partycji i skanowania plików w systemie Windows. Bezpłatną wersję próbną można pobrać ze strony produktu, a zapisanie odzyskanych plików może wymagać licencji — przed rozpoczęciem korzystania z programu należy zapoznać się z aktualnymi warunkami użytkowania.

Podgląd wyników i sprawdzenie ich wiarygodności

Wyświetl podgląd reprezentatywnych plików różnych typów, dla których obsługiwany jest podgląd: dokumentu, zdjęcia, filmu oraz pliku z folderu, na którym najbardziej Ci zależy. Kandydat, który nie wyświetla podglądu żadnego pliku, niekoniecznie jest niewłaściwy, ale kandydat, który wyświetla podgląd znaczącej treści, jest znacznie bardziej wiarygodny.

Porównaj każdego kandydata z tym, co już wiesz:

• przybliżony rozmiar i położenie względem układu zapisanego wcześniej;
• typ systemu plików i etykieta woluminu, o ile są one podane;
• — nazwy folderów najwyższego poziomu, które rozpoznajesz, mają większe znaczenie niż liczba plików;
• znaczniki czasu mieszczące się w prawdopodobnym zakresie, a nie w domyślnych wartościach epoki.

Pojedynczy udany podgląd nie świadczy o pełnej integralności. Nakładające się kandydatury, nieprawdopodobne daty, drzewa folderów zawierające niepowiązane treści oraz powszechne błędy podczas podglądu należy traktować jako powody do dalszej analizy, a nie jako szum, który można pominąć.

Odzyskaj wybrane pliki na inne urządzenie fizyczne

Przed zapisaniem czegokolwiek należy jeszcze raz upewnić się, że miejscem docelowym jest inne urządzenie fizyczne — nie jest to inna partycja, nie jest to folder mapowany, który odsyła do tego samego dysku, ani dysk wirtualny przechowywany na nośniku źródłowym.

Gdy stabilność źródła, czas lub pojemność miejsca docelowego są ograniczone, odzyskiwanie należy przeprowadzać zgodnie z następującą kolejnością priorytetów:

• najpierw materiały niezastąpione — dokumenty, zdjęcia i zapisy, które nie istnieją nigdzie indziej;
• następnie dane, których odtworzenie byłoby kosztowne;
• a następnie wszystko, co można później pobrać, ponownie zainstalować lub odtworzyć.

Nie należy wprowadzać zmian w źródle ani obrazie do czasu zakończenia walidacji. Zakończona operacja kopiowania informuje jedynie o zapisaniu bajtów, a nie o tym, że pliki nadają się do użytku.

Sprawdź poprawność odzyskanych plików przed wprowadzeniem zmian na dysku

Weryfikacja jest odrębnym etapem i odbywa się przed jakąkolwiek zmianą dysku:

• otwierać reprezentatywne pliki za pomocą aplikacji, które zwykle je obsługują, a nie za pomocą okienka podglądu;
• sprawdź oczekiwaną zawartość, rozmiary plików, istotne daty oraz to, czy foldery zawierają to, co powinny;
• porównaj sumy kontrolne, jeśli istnieje zaufany oryginał lub wcześniejsza kopia zapasowa;
• należy niezależnie zweryfikować pliki krytyczne i zachować ich więcej niż jedną kopię;
• zapisz, co brakuje, jest uszkodzone, nie ma nazwy lub zostało odzyskane tylko częściowo.

Wyrywkowa kontrola próbki nie dowodzi, że każdy niesprawdzony plik jest nienaruszony. Traktuj rejestr niepowodzeń jako część wyniku: to właśnie on wskazuje, czy warto podjąć drugą próbę z obrazu przed wymianą dysku.

Zdecyduj, czy przywrócenie partycji jest uzasadnione

Przywracanie powoduje zapisanie wpisu partycji na nośniku źródłowym. Jest to zmiana układu, a nie etap odzyskiwania, i jest uzasadnione tylko wtedy, gdy spełnione są wszystkie poniższe warunki.

• ważne pliki zostały już odzyskane i niezależnie zweryfikowane;
• jeśli istnieje wysoka pewność co do granic i tożsamości systemu plików potencjalnego źródła;
• żaden inny kandydat nie pokrywa się z tym samym zakresem;
• dysk ma prostą strukturę jednodyskową bez nierozwiązanych szyfrowań.

Nieprawidłowy wpis może ukryć prawidłowe woluminy, spowodować nieprawidłowe wyrównanie systemu plików i skomplikować każdą późniejszą próbę odzyskania danych. Niejednoznaczne kandydaty, zaszyfrowane woluminy, nakładające się zakresy oraz układy wielodyskowe powinny być powierzone specjaliście. Niniejszy przewodnik nie zawiera procedury zapisu zwrotnego, ponieważ przywracanie danych nie jest operacją rutynową, a właśnie z ogólnych instrukcji wynika większość szkód, których można uniknąć.

Rozwiązywanie problemów związanych z niekompletnymi lub sprzecznymi wynikami

Niekompletne wyniki są normalne, a większość z nich wskazuje raczej na konkretną kolejną kontrolę niż na niepowodzenie. Zasady przygotowania obowiązują przez cały czas: żadnych zapisów na nośniku źródłowym i żadnego zapisywania na uszkodzonym urządzeniu.

Czynności ograniczające możliwości odzyskiwania danych

Są to operacje, które najczęściej sprawiają, że przypadek, w którym odzyskanie danych jest możliwe, staje się niemożliwy.

Inicjalizacja dysku

Zapisuje nowy schemat partycjonowania i może zastąpić informacje o układzie, które zostałyby wykorzystane podczas wykrywania

Formatowanie

Tworzy nowe struktury systemu plików w danym obszarze, co może spowodować przesunięcie struktur niezbędnych do odczytu podczas skanowania

Tworzenie nowego woluminu

Zapisuje wpis partycji i metadane systemu plików dokładnie w badanym zakresie

Rozszerzanie sąsiedniego woluminu

Wchłania zakres nieprzydzielony do innego woluminu i zapisuje na nim metadane dotyczące układu oraz systemu plików

Uruchamianie DiskPart clean

Usuwa informacje o układzie z dysku i nie jest poleceniem diagnostycznym

Konwersja dysku

Przepisuje schemat partycjonowania, w tym między MBR a GPT, oraz zmienia oczekiwane lokalizacje struktur

Powtarzanie skanowania na niestabilnym urządzeniu

Zwiększa obciążenie związane z odczytem bez dostarczania dodatkowych dowodów i może skrócić czas, w którym urządzenie jest w ogóle czytelne

Zapisywanie odzyskanych plików na nośniku źródłowym

Zapisuje nowe dane w zakresach sektorów, od których nadal zależy odzyskanie danych

Udostępnij przestrzeń dopiero po zweryfikowaniu poprawności odzyskania danych

Przydzielenie przestrzeni jest ostatnim krokiem i ma charakter drugorzędny w stosunku do wszystkich powyższych czynności. Polega ono na zapisaniu nowych struktur w danym obszarze i nie stanowi działania odzyskiwania danych.

Przystąp do działania tylko wtedy, gdy spełnione są wszystkie poniższe warunki:

• potrzebne pliki zostały odzyskane i niezależnie zweryfikowane;
• po potwierdzeniu prawidłowego urządzenia fizycznego i granic regionu;
• rekordy odzyskiwania oraz wszelkie obrazy źródłowe są zachowywane, a nie usuwane w celu zwolnienia miejsca;
• nie ma żadnych nierozwiązanych kandydatów, a żaden sąsiedni prawidłowy wolumin nie jest zagrożony.

Utwórz nowy wolumin wyłącznie w zweryfikowanej pustej przestrzeni

Utworzenie woluminu powoduje zapisanie wpisu partycji oraz nowego systemu plików w danym zakresie. Należy to zrobić tylko wtedy, gdy ustalono, że nie ma tam już żadnych potrzebnych danych, i wyłącznie na urządzeniu zidentyfikowanym na podstawie modelu i pojemności. Jeśli nadal istnieją wątpliwości co do poprawności wyboru urządzenia, należy zachować obraz i odłożyć decyzję — obszar ten będzie nadal dostępny jutro, a dowody nie przetrwają formatowania.

Rozszerz istniejący wolumin tylko wtedy, gdy pozwala na to jego układ

Rozszerzenie układu zapisów i metadanych systemu plików na wchłonięty zakres. Działa to tylko w przypadku kompatybilnego, zweryfikowanego układu, zazwyczaj gdy obszar nieprzydzielony sąsiaduje z woluminem, a system plików obsługuje rozszerzanie. Nie każdy obszar nieprzydzielony można połączyć z sąsiednim, a próba rozszerzenia w przypadku niewłaściwego układu oznacza zapisanie danych dokładnie w obszarze, który może być nadal potrzebny.