הודעת "יש לפרמט את הכונן": למה אסור לאשר, ומה כן עושים

הופיעה הודעה שיש לפרמט את הכונן, מה עושים עכשיו

לא לאשר, ולנתק את הכונן מהמחשב. ההודעה אינה בקשה לתיקון והיא לא תפתור שום דבר: היא אומרת שמערכת ההפעלה ניגשה למדיה ולא זיהתה מבנה קבצים תקין, בזמן שהמידע עצמו עדיין יושב במקומו. פרמוט בשלב הזה כותב מבנה חדש על אזורים שהיו קריאים לפני רגע, ולכן הוא לא רק לא עוזר אלא מקטין את מה שאפשר להוציא אחר כך.

שאלות ותשובות

אישרתי פרמוט בטעות, המידע אבד

לא בהכרח, אבל התמונה השתנתה לרעה. פרמוט מהיר כותב טבלת קבצים ריקה ומשאיר את רוב תוכן הקבצים על המדיה, ולכן במקרים רבים עדיין אפשר לאתר אותם לפי חתימות התוכן. מה שקובע הוא מה קרה אחרי: כל העתקה, התקנה או שימוש בכונן אחרי הפרמוט כותבים בדיוק על השטח שממנו צריך היה למשוך. הפעולה הנכונה היא לנתק אותו מיד ולא להשתמש בו יותר.

למה דיסק חיצוני מבקש פרמוט פתאום בלי סיבה

ברוב המקרים בגלל נזק למבנה הלוגי, ולא בגלל שהמידע נמחק. ניתוק בזמן כתיבה, נפילה של הכונן, סקטורים פגומים באזור שבו יושבת טבלת הקבצים או תקלה בבקר שבתוך המארז החיצוני מביאים כולם לאותה הודעה בדיוק. יש גם מקרים שבהם התקלה מכנית או קושחתית והכונן מציג את עצמו כלא מאותחל, ואז כל ניסיון תיקון תוכנתי רק מוסיף שעות עבודה לכונן שכבר פגוע.

אפשר להריץ תוכנת שחזור בעצמי לפני שפונים למעבדה

על מדיה שנחשדת כפגועה פיזית, לא. תוכנות שחזור סורקות את כל המדיה מקצה לקצה, וסריקה כזאת על כונן עם ראשים חלשים או עם סקטורים מתדרדרים מכניסה אותו לסבבי ניסיון חוזר ומאיצה את ההידרדרות. חלק מהכלים גם כותבים תיקונים לטבלת הקבצים, ובכך דורסים מבנה שהיה עדיין שמיש. כשהמדיה תקינה מכנית והמחיקה הייתה לוגית בלבד הסיכון קטן יותר, אבל את ההבחנה הזאת קשה לעשות מהצד השני של המסך.

הכונן מקתקש וגם מבקש פרמוט, זו אותה תקלה

לא, וזה שילוב שמחייב לכבות מיד. קול נקישה או תקתוק חוזר מצביע לרוב על ראשי קריאה שאינם ממקמים את עצמם כראוי, כלומר תקלה מכנית שדורשת פתיחה בסביבה מבוקרת והחלפת חלקים. הודעת הפרמוט במקרה כזה היא רק התסמין שמערכת ההפעלה מציגה, ולא הבעיה. כל הדלקה נוספת של כונן במצב הזה עלולה לגרום לראשים לפגוע במשטח, וזה סוג הנזק היחיד שבאמת אינו הפיך.

הודעת "יש לפרמט את הכונן": למה אסור לאשר, ומה כן עושים

מה לעשות בדקה הראשונה, לפי הסדר

נתק את המדיה, ואל תחבר אותה שוב עד שיש החלטה מה עושים איתה. זה הצעד היחיד שכל שאר האפשרויות תלויות בו, כי כל דקה של שימוש במדיה תקולה יכולה לדרוס מידע שהיה עדיין קריא. אחרי הניתוק יש זמן, והמצב לא ממשיך להתדרדר מעצמו; לפני הניתוק, המצב מתדרדר בכל שנייה שהכונן מחובר ומערכת ההפעלה ניגשת אליו ברקע. הסדר בפועל פשוט:

1. לא לאשר את בקשת הפרמוט, ולא ללחוץ על הצעות מסוג "סריקה ותיקון" או "תיקון כונן" שמערכת ההפעלה מציגה מיד אחריה.
2. לנתק את הכונן. אם מדובר בדיסק פנימי, לכבות את המחשב במקום להשאיר אותו דולק ולחשוב מה עושים.
3. לא להריץ עליו תוכנות שחזור, כלי בדיקת דיסק או פקודות תיקון של מערכת הקבצים.
4. לא לפתוח את הכונן, ולא להחליף לו כבל, מארז או ספק כוח כדי לבדוק אם זה יעזור.
5. לרשום מה קרה בדיוק לפני התקלה: נפילה, הפסקת חשמל, ניתוק בזמן העתקה, שדרוג מערכת הפעלה. הפרט הזה מקצר אבחון יותר מכל דבר אחר שהמשתמש יכול לספק.

מה ההודעה הזאת בעצם אומרת

ההודעה אומרת שמערכת ההפעלה קראה את תחילת המדיה, לא הצליחה לפרש שם מבנה קבצים תקין, והציעה את הפעולה היחידה שהיא יודעת להציע במצב כזה. זו אינה אבחנה, וזו בהחלט אינה הודעה על מחיקה. במרבית המקרים תוכן הקבצים יושב במקומו במלואו, ומה שנפגע הוא השכבה הדקה שמתארת איפה כל קובץ מתחיל, איפה הוא נגמר ובאיזו תיקייה הוא שייך.

אותה הודעה בדיוק מופיעה בשלוש סיטואציות שונות לחלוטין: פגיעה לוגית בטבלת הקבצים, כשל בקריאת האזור הפיזי שבו הטבלה יושבת בגלל סקטורים פגומים, וכונן שכלל לא מציג את עצמו נכון בגלל בעיה קושחתית או מכנית. מבחוץ שלושתן נראות זהות, וזו הסיבה שהתגובה הנכונה זהה בכולן: לעצור, ולא לתת למערכת ההפעלה או לכלי כלשהו לכתוב על המדיה.

למה אישור הפרמוט הוא הצעד שהכי קשה לחזור ממנו

פרמוט אינו מתקן דבר במצב הזה, הוא כותב. הוא יוצר מבנה קבצים חדש וריק על אותה מדיה, ובכך מכסה בדיוק את האזורים שמהם כל שחזור מתחיל. גם כשהכתיבה קטנה בהיקפה היא נוחתת על השטח הרגיש ביותר: המיפוי בין שמות הקבצים והתיקיות לבין המיקומים הפיזיים שבהם התוכן יושב. אחרי שהמיפוי נדרס, מה שנשאר הוא לאתר קבצים לפי חתימות התוכן שלהם, וזה שחזור פחות מדויק שמחזיר לעיתים קרובות קבצים בלי שמות ובלי מבנה תיקיות.

ההבדל בין פרמוט מהיר לפרמוט מלא הוא הבדל של ממש. פרמוט מהיר נוגע בעיקר במבנה הניהולי ומשאיר את הגושים עצמם, ולכן הרבה ממנו בר שחזור. פרמוט מלא, במיוחד בגרסאות מערכת הפעלה שכותבות אפסים לאורך כל השטח, משאיר הרבה פחות ולעיתים לא משאיר כלום. וכשמדובר בכונן SSD, כל פרמוט חמור יותר מהמקביל שלו בכונן מכני, כי הבקר משחרר את התאים ברקע והמידע נעלם בלי קשר לכלי שמנסים להפעיל.

מה נעשה במעבדה לפני שנוגעים בכלל בקבצים

העבודה מתחילה בהעתקה של המדיה, לא בשחזור. הצעד הראשון הוא לייצר עותק סקטור אחר סקטור לכונן יעד תקין, בכלי שיודע לדלג על אזורים בעייתיים, לחזור אליהם בסוף בקריאות ממוקדות, ולנהל את קצב הגישה כדי לא להעמיס על מדיה חלשה. כל הניסיונות הלוגיים נעשים על העותק בלבד. המקור נשאר כפי שהגיע, כי אם ניסיון מסוים הרס מבנה, אפשר לחזור לנקודת ההתחלה במקום לגלות שאיבדנו אותה.

הסדר הזה הוא ההבדל המרכזי בין העבודה שנעשית בWIMD שחזור מידע לבין הרצה של תוכנה על הכונן המקורי בבית. תוכנה ביתית סורקת ישירות את המדיה הפגועה, אין לה מושג מתי לעצור, והיא אינה מבחינה בין סקטור בודד שמסרב להיקרא לבין כונן שנמצא באמצע התדרדרות. בכונן עם ראשים חלשים, סריקה מלאה אחת יכולה להספיק כדי להפוך מצב שהיה בר שחזור למצב שכבר אינו.

למה חיבור וניתוק חוזרים מחמירים כל מצב

כל הדלקה של כונן מכני מפעילה מחדש את רצף האתחול שלו: המנוע מגיע למהירות, הראשים יוצאים מאזור החניה, והכונן מנסה לקרוא לעצמו את נתוני ההתאמה מאזור השירות. בכונן שהתקלה בו מכנית או קושחתית, הרצף הזה הוא בדיוק הרגע המסוכן. ראש שאינו במצב תקין נוגע במשטח שוב בכל הדלקה, וחלקיקים שנוצרו בהדלקה אחת הם אלה שגורמים לשריטה בהדלקה הבאה. אנשים מחברים ומנתקים כי לפעמים זה עובד בפעם השלישית, וזה נכון: זה עובד עד שהוא מפסיק לעבוד לתמיד.

איך מבדילים בין כשל לוגי, כשל קושחתי וכשל מכני

ההבחנה נעשית לפי איך הכונן מציג את עצמו עוד לפני שקוראים ממנו נתונים: האם הוא מזוהה בכלל, האם הוא מדווח על שם הדגם והנפח הנכונים, מה הוא עושה בהדלקה ומה נשמע ממנו. היא קובעת את כל המשך הטיפול, את הכלים ואת השאלה אם בכלל צריך לפתוח את הכונן, והיא אינה תמיד ברורה בבדיקה ראשונית. חלק מהמקרים נושאים יותר מכשל אחד באותו כונן, למשל בעיה מכנית שיצרה גם נזק לוגי בטבלת הקבצים.

המקרה שהכי קל לטעות בו הוא הכשל הקושחתי, כי מבחוץ הוא נראה בדיוק כמו חומרה מתה. הכונן לא מזוהה, או מזוהה עם נפח אפס ושם דגם שאינו שלו, ואדם סביר מסיק שהכונן גמור. בפועל המשטח שלם והמידע יושב עליו במלואו, והבעיה נמצאת בקוד ובטבלאות שהכונן טוען לעצמו בהדלקה. טיפול כזה נעשה מול הכונן ישירות ולא דרך מערכת ההפעלה, ואין שום תוכנה שהמשתמש יכול להתקין שתעשה אותו.

מה שומעים, ומה זה אומר

נקישה או תקתוק חוזר מצביעים לרוב על ראשי קריאה שדורשים החלפה, אבל השקט אינו סימן טוב בהכרח. יש תקלות ראשים שקטות לגמרי, שבהן הכונן מסתובב, נשמע נורמלי לחלוטין ופשוט אינו מחזיר נתונים או קורא בקצב אפסי. לכן ההיגיון של "הוא נשמע בסדר, אז אפשר לנסות עוד קצת" הוא אחד ההיגיונות היקרים ביותר: כונן שנשמע תקין יכול להיות באמצע התדרדרות של המשטח, וכל סריקה נוספת מקדמת אותה.

ריח שרוף מצביע על לוח אלקטרוני שנשרף, וזה סימן חד משמעי אחד מהמעטים שיש. במקרים של מכת חשמל הפגיעה לא תמיד נעצרת בלוח, והיא יכולה להימשך אל רכיבים נוספים בתוך הכונן עצמו. לכן החלפת לוח בלבד, ובוודאי לוח מכונן אחר בלי העברת נתוני הזיהוי וההתאמה של הכונן המקורי, אינה פתרון אוטומטי. במקרים מסוימים היא גם מוסיפה נזק, כי הכונן מנסה לפעול לפי פרמטרים שאינם שלו.

מה קובע את מורכבות הטיפול, ומה כמעט לא משפיע

המורכבות נקבעת לפי סוג התקלה, סוג הכונן, נפחו וזמינות חלפים תואמים. חלפים הם הגורם שהכי קשה לחזות מראש: לחלק מהדגמים נדרשת התאמה קרובה מאוד, וכונן ותיק או דגם שיצא בכמויות קטנות יכול להמתין לחלף מתאים בזמן שכונן נפוץ יותר נכנס לטיפול מיד. הנפח משפיע כי כל שלב שעובר על כל השטח, ובראשו ההעתקה, גדל יחד איתו, ובכונן חלש הקריאה איטית בהרבה מהקצב שהיצרן מבטיח.

מה שכמעט לא משפיע הוא כמות המידע שצריך לשחזר, וזה מנוגד למה שרוב האנשים מניחים. ההנחה הרווחת היא ששחזור של תיקייה אחת קטן ופשוט משחזור של כונן שלם. בפועל התהליך זהה בשני המקרים: קוראים את כל המדיה, מייצרים עותק, ורק אז שולפים מתוכו את מה שהלקוח ביקש. אין דרך לקרוא רק את התיקייה הנכונה, כי כדי לדעת איפה היא יושבת צריך קודם את המבנה שנפגע.

למה כונן חיצוני מבקש פרמוט גם כשהוא תקין בפנים

בכונן חיצוני יש רכיב נוסף שיכול להיות מקור התקלה: הבקר שממיר בין הכונן שבתוך המארז לבין חיבור ה-USB. כשהבקר נשרף או מתחיל לשגות, הכונן שבפנים יכול להיות תקין לחלוטין בזמן שמערכת ההפעלה מבקשת פרמוט. לכן שחזור דיסק קשיח חיצוני מתחיל תמיד בהבחנה בין הכונן לבין הגשר שמחבר אותו, לפני שנוגעים במבנה הקבצים.

יש כאן מלכודת שמופיעה שוב ושוב: בחלק מהדגמים החיצוניים ההצפנה מבוצעת בבקר עצמו, ולא בכונן ולא במערכת ההפעלה. במקרים כאלה הוצאת הכונן מהמארז וחיבורו ישירות למחשב תציג מדיה שנראית ריקה או משובשת, גם כשהיא במצב מצוין. אדם שמפרק את המארז, רואה כונן שנראה מת ומאשר פרמוט, מוחק מידע שהיה שלם לגמרי. גם כאן, הכלל הוא לא לאשר ולא לכתוב.

מה שלא תמיד עובד, וכדאי לדעת מראש

קבצים שנמחקו מכונן SSD הם המקרה שבו סיכויי השחזור נמוכים מאוד. מנגנון ה-TRIM מודיע לבקר אילו תאים כבר אינם בשימוש, והבקר מנקה אותם ברקע בלי קשר למה שהמשתמש עושה. התוצאה היא שהמידע נעלם פיזית תוך זמן קצר, ולעיתים לפני שהמשתמש בכלל הבין שמחק משהו. בכונן כזה, הפעולה היחידה שמשנה משהו היא לכבות אותו מיד, וגם היא אינה ערובה.

כרטיס מיקרו SD שהגיע עם שבר או סדק בגוף הכרטיס עצמו אינו ניתן לשחזור. שם אין מדיה נפרדת מהאלקטרוניקה כמו בכונן מכני, והשבר עובר דרך המבנה שנושא את המידע. זה אחד המקרים הבודדים שבהם התשובה ידועה כבר בבדיקה חיצונית, ואין טעם להשקיע בו. תקלות אחרות בכרטיסים, כמו כרטיס שאינו מזוהה או שמבקש פרמוט בלי נזק פיזי, הן סיפור אחר לגמרי וניתנות לטיפול.

איך מעבירים מדיה פגועה בלי להוסיף עליה נזק

מדיה שעוברת ממקום למקום צריכה ריפוד מלא בתוך אריזה קשיחה, ולא מעטפה מרופדת ולא תיק. כונן מכני פגוע רגיש הרבה יותר מכונן תקין, וזעזוע שכונן בריא היה סופג בלי בעיה יכול להזיז ראש או להוסיף מגע במשטח. נזק שנגרם בהעברה מצטרף אל הנזק הקיים, ולא פעם הוא זה שהופך מקרה שהיה בר שחזור מלא למקרה שבו מוציאים חלק מהמידע. אריזה נכונה היא הדבר הזול ביותר בכל התהליך.

מה אפשר להעריך לפני בדיקה ומה לא

לפני שהמדיה נבדקת בפועל, אי אפשר להתחייב לתוצאה, ומי שמתחייב עושה זאת בלי בסיס. את סוג הכשל אפשר לעיתים לשער לפי התיאור ולפי הקולות, אבל את היקף הנזק בפועל רואים רק בהעתקה: כמה אזורים לא נקראים, איפה הם יושבים, והאם הם פוגעים בקבצים עצמם או במבנה שמתאר אותם. יש הבדל גדול בין כונן שנקרא במלואו לבין כונן שנעצר באמצע, ואת ההבדל הזה לא רואים מבחוץ.

גם כשהשחזור מצליח, התוצאה לא תמיד זהה למה שהיה. במקרים שבהם המבנה הלוגי נהרס, קבצים חוזרים לפי סוג ולא לפי שם ותיקייה, וצריך לזהות אותם בתוכן. קבצים גדולים ורציפים, כמו וידאו וקבצי גיבוי, נפגעים יותר מקבצי מסמכים קטנים כשיש אזורים לא קריאים בפיזור. וקובץ שנקרא באופן חלקי יכול להיפתח ולהיראות תקין עד שמגיעים לאזור הפגוע. עדיף לדעת את זה מראש מאשר לגלות את זה אחרי.

מה שמשנה יותר מכל דבר אחר

ההחלטה שקובעת את התוצאה מתקבלת בדקות הראשונות, לא במעבדה. לנתק את המדיה ולהפסיק להשתמש בה ברגע שמתגלה תקלה הוא הצעד שמשמר את מה שנשאר, וכל השאר נגזר ממנו. הודעת הפרמוט היא הזדמנות אחת לעצור בזמן, ומי שמאשר אותה מפסיד בדיוק את הדבר שהיה בא לשחזר.

עידו ירושלמי עוסק בשחזור מידע משנת 2006, בעיקר במדיות עם כשל מכני, לוגי וקושחתי. הוא משמש עד מומחה ונותן חוות דעת בבתי משפט בתחומי הפורנזיקה הדיגיטלית ועבירות המחשב.