ノッキングHDD Western Digital WD5000AAKXからの管理者の罪またはデータ復旧

ある小さなソフトウェア会社では、データストレージは次のように編成されていました。Linux（mdamd）ツールを使用する通常のSATAドライブがいくつかのRAID 1アレイに編成されているサーバー。 適切に面倒を見れば、このオプションは最小限のコストで比較的信頼できます。 しかし、システム管理者は、アレイの状態を定期的に確認する必要はないと判断し、他の問題に取り組みました。 2017年6月に、アレイの1つのユーザーからデータを読み取ることができないという苦情を受けて、アレイ自体が長い間存在しなくなり、ドライブの1つへの書き込みが2015年8月に停止し、現在のデータを持つ2つ目のドライブがマウントしようとしたときにOSを中断したことを発見しました。 サーバー外部の最後のバックアップは、2016年11月に最後に作成されました。









図 1



管理者は、日常業務の過失がどのような結果をもたらしたかを認識し、サーバーの外部でのコピーの不規則性のために罪悪感を認めようとし、2台のドライブの同時故障を参照してアレイの監視を隠そうとしました。



現在の状況を考えると、同社のリーダーの1人は、システム管理者の仕事について非常に冷淡であり、非常に感情的な形でできるだけ早くデータを復元するよう後者に指示しました。



この瞬間から、一連のイベントが始まりましたが、ユーザーデータの整合性には最善の影響はありませんでした。



6月12日の朝、オープン直後に、当社のオフィスの敷居に人が現れ、WD5000AAKX-221CA1ドライブの無料の診断サービスを受ける必要があると言います。WD5000AAKX-221CA1ドライブはシステムをサスペンドし、ファイルのコピーを許可しません。 改ざんの痕跡のないドライブ。



私たちは標準的な診断手段を実行します：目視検査、プリント基板上の電源回路、モーター巻線の抵抗の確認。 わいせつなものが見つからなかったため、PC3000ポートに接続して電源を投入します。 シャフトが回転する通常の音が聞こえ、キャリブレーションテストに合格します。 登録することにより、ドライブはデータ交換の準備ができたことを示します。 すべてのデータを含むハードドライブを使用して、パスポートリクエストに対する正しい回答を受け取ります。 ファームウェアモジュールの可読性を確認し、チェックサムを評価します。 リロリストを分析すると、空ではないことがわかります。これは、ドライブファームウェアが表面で問題を検出したことを示しています。 SMART属性を見ると、197属性（現在の不安定なセクターの数）がゼロから非常に遠く、問題の存在が確認されていることがわかります。 ドライブのRAMの設定を変更します。再割り当てリストに欠陥を再割り当ておよび追加する手順をオフにし、再構築リスト自体をクリアし、SMARTログの更新を禁止します。 このような変更の後、ドライブはオフラインスキャン手順を実行せず、SMARTログを更新しません。 この段階で、記録密度の異なるゾーンで各ヘッドの読み取り品質を評価します。 このテストにより、元のBMGがデータを読み取るのに適していることが確認されます。 0セクターを読み取ります。









図 2



3つのセクションのエントリが含まれていることがわかります。



オフセット0x00000800（2048）セクターには、最初のLinux RAIDパーティション（0xFD）があり、パーティションサイズは0x00064000（409 600）セクターです。



オフセット0x00064800（411 648）セクターには、2番目のLinux RAIDパーティション（0xFD）、パーティションサイズ0x39DC8000（970 752 000）セクターがあります。



オフセット0x39E2C800（971 163 648）セクターには、Linuxスワップの3番目のセクション（0x82）があり、パーティションサイズは0x00400000（4 194 304）セクターです。



最初の2つのパーティションのスーパーブロックの内容を分析すると、それらがRAID 1アレイで構成されており、各パーティションにExt4のパーティションが1つ含まれていることがわかります。 大規模なパーティションでファイルシステムメタデータを読み取ろうとすると、読み取りに問題があることがわかりました。



これにより、主要な診断措置が完了し、その結果がクライアントに報告され、 サービスの価格ニッチは250から350ベラルーシルーブルであり、完了時間は約2〜3営業日です（ドライブには常時監視が必要なため、日中を除く）。 時間を短縮するために学校の時間外に仕事をする必要がある場合、これは可能ですが、費用に直接影響します。 作業計画：ドライブのマイクロコードの変更、欠陥ゾーンのローカライズ、安定ゾーンの読み取り、コピー用のファイルシステムメタデータの分析、問題のあるゾーンから欠落しているメタデータの減算、問題のあるゾーンからの減算に必要なファイルのチェーンの再分析と構築、および必要に応じて正規表現を分析するための手段ファイルで占められていない領域、および破損したファイルシステムの再構築の可能性。



潜在的なクライアントは、予想されるサービスのコストと作業のタイミングに不満を表明し、診断が速すぎて、15分未満ではそのような結論を引き出すことは不可能だと主張しました。 さらに、データは会社のものであり、修復作業は費用がかかるため、今のところ試してみることにしました。 これらの言葉で、クライアントはオフィスを去りました。



営業日の初めの6月14日に、このクライアントは再び来て、ddを使用してドライブからイメージを繰り返しコピーしようとしたと報告しました。 最初は、ハードドライブが定期的にハングアップしましたが、電源を切ってから入れ直した後、システムで再び表示され、コピーを続行できるようになりましたが、ドライブはシステムから消え、電源を切ってから入れ直しても助けにはなりませんでしたが、ゲルモブロックからもう一度電源を入れようとすると、ブザーが鳴りました。



繰り返し標準的な診断手段が実行されました。 試運転の開始段階では、シャフトが回転する音は聞こえませんでしたが、エンジンの始動に失敗すると、これらのドライブが発するサイクリングのブザー音が聞こえました。 これらのドライブのシャフトの詰まりは非常にまれであり、通常はこのドライブにないボディの重大な変形が原因で発生することを考えると、 ヘッドがパーキングランプの外側に固執することが示唆されました 。



クライアントは、データ復旧に必要な追加の対策を表明しましたが、状況の悪化によりリードタイムとコストが増加していること、そして頭を突き刺すことは大きな問題ではなく、YouTubeで多くのビデオを見ていると反論しましたこれはそのような状況でどのように行動するかを示しており、これは数分です。 そのような「方法」の理由は何であるかという情報を聞くために、クライアントは拒否してオフィスを去りました。



6月15日、就業日の真ん中に、このクライアントが再び現れます（彼はシステム管理者です）が、単独ではなく、直属の上司が同行します。 診断後、ドライブがさらに悪化し、今ではノックしてBIOSで検出されないという苦情がすぐに出されました。 この時点で、システム管理者のモノローグを停止し、書面による苦情を受け入れ、法律で定められた期間内に回答する準備ができていると言いますが、そのような方法で対話に進む前に、あなたとドライブの目視検査を行い、それが異なるかどうかを比較しましょうその姿から、そして必要に応じて、昨日のビデオ録画を見て、状況に深刻な影響を与える可能性のある行動があったかどうかを確認します。 システム管理者は議論を始めたかったのですが、上司がダイアログに介入し、システム管理者にハードドライブをラックに設置するように命じました。



すぐに、ドライブカバーのラベルが部分的に剥がれたことがわかります。また、カバーネジの締め付けトルクが異なることもわかります。これは、カバーがドライブから取り外されたことを明確に示しています。 また、昨日のビデオ録画を提供します。カウンターでは、システム管理者が撮った時点でドライブのカバーのステッカーが破損していないことがわかり、YouTubeのビデオに関する彼の推論がはっきりと聞こえます。



事実の圧力の下で、システム管理者は私たちを責めることをやめ、ドライブを分解してヘッドを外そうとしたことを認めましたが、ドライブは機能しませんでしたが、がたがたしました。 責任の負担を軽減するために、彼は経営者に、検死は私たちの会社によって行われ、その後ドライブがノックし始めたことを伝えました。 その後、システム管理者と彼のマネージャーは会話のためにオフィスを離れました。



1人のマネージャーのみがオフィスに戻り、明らかになった追加の合併症を考慮して診断措置を実行し、アレイの2番目のディスクを診断することを3回目の依頼しました。



2番目のドライブの分析結果によると、小さな欠陥の形成が発生することがわかりました（ドライブがアレイから除外されたためでした）。ファイルシステムのメタデータによると、2015年8月以降はユーザーデータがありません。 したがって、ディスクの障害は同時ではないという事実が明らかになりました。



層状の箱で、ドライブが開かれました。 BMG病変は視覚的に可視であり、顕微鏡下での検査のために除去する必要さえありませんでした。 しかし、光定着は行われました。









図 3



このBMGでは、両方のサスペンションが同様に変形しました。 このような変形は、通常、表面から駐車場へのヘッドの不適切な引き抜きの結果です。 このドライブを開始しようとすると、プレートの表面に追加の傷が現れました。 幸いなことに、開始の試みはほとんどなく、最終的なデータの削除は行われませんでしたが、スクラッチの性質により、カットへの縮退が可能です。



したがって、システム管理者の特別な熱意のために、欠陥のあるドライブを差し引く通常のタスクの代わりに、BMG移植が必要であり、ディスクの先頭に放射状の傷があるため、見通しが非常にぼやけているタスクがあります。 このドライブのサービスエリアは、プレートの一番最初にあります。 傷のある領域。









図 4



スライダーのぶら下がりによってプレートの端がどのように切断されるかに注目しましょう（損傷ゾーンは約0.1-0.3 mmで、増加により、円の一部がほぼ直線で縮退します）。 幸いなことに、この場所では、作業中のBMGのためにランプを離れるとき、スライダーはまだ非常に高いので、プレートへのこれらの最も深刻な損傷は脅威になりません。



この情報はお客様に伝えられ、同様のドナー（Tahoe LT）からのBMG移植の必要性、追加の移植作業のためにコストが大幅に増加したこと、また問題のある領域を差し引くときに1人のドナーでは十分ではない可能性が高いことも通知します、劣化プロセスが進行するにつれて。 顧客はためらうことなく同意します。



はじめに、最も安定した読み取り値を得るために、適応パラメーターの近接度を考慮して、ドナードライブからいくつかのBMGセットを選択します。 患者のハーモブロックの除塵を行い、専用ツールを使用してドナードライブからBMG再配置手順を実行します。









図 5



ドライブを収集したら、トライアルスタートを実行します。 シャフトの回転音が聞こえ、キャリブレーションテストに合格します。 疑わしい音はありません。このため、初期化手順を中断せず、データ交換の準備が整うまで約40秒待機します。









図 6



ドライブのパスポートを要求し、ダミーを取得します。ダミーは、ドライブがサービスエリアから起動に必要なすべてのモジュールをロードできなかったことを示します。 ドライブのROMにあるコードのバージョンを分析し、ドライブからコピーされたファームウェアのデータベースから適切なオーバーレイを選択します。 ドライブのメモリに読み込んだ後、サービスエリアの内容を完全に読み取って分析することができました。 サービスエリアの整合性をチェックした結果によると、0x11（メインオーバーレイ）は読み取り不能であることが判明しました。0x31-トランスレーター、0x32-relo-list、0x33-P-list、0x34-G-list、0x43-適応パラメーター、およびSMART操作を担当するモジュール。



最も重要なモジュールの分野ごとの校正を行います。 Pリストは少数の欠陥で読み取られましたが、その位置はモジュールの先頭から十分に離れています。 適応パラメータのモジュールと同様の画像。 翻訳モジュール、G-list、relo-listは100％読み取り不可能であることが判明しました。 ドライブのファームウェアでモジュールを書き換えようとすると、ドライブが動作していないヘッドで動作しているときに、モジュールへの同様の損傷が発生します。



翻訳モジュールを復元するために、患者のサービスエリアから取得した必要なものすべてを、再構築された0x33と0x43を含むドナードライブに書き込みます。 Pリストを考慮してトランスレーターを再計算すると、ドライブファームウェア自体の動作により、元の0x31モジュールが取得されます。 0x34モジュールの隠れた欠陥に関する情報は回復不能なほど失われるため、レコードのないダミーモジュールを作成します。 0x32モジュールでも同様のアクションが実行されます。



患者に録音する可能性をチェックします。これは、未使用のトラックを書き込み、それらを読み取ろうとします。 記録テストは成功したので、0コピーの復元されたモジュールを患者に書き込み、ゼロヘッドコピーのみがアクティブになるように領域に関する情報を調整します。 また、起動に成功すると、オフラインスキャン手順が開始されず、SMART手順が機能しないように、設定モジュールに変更を加えます。



ドライブを再起動し、10秒以内にデータ交換の準備状況に関する情報を取得します。 パスポートのリクエストに応じて、正しい答えが得られます。 ユーザーゾーンを読み取ろうとすると、最初の診断ですでによく知られているパーティションテーブルが得られます。これは、ドライブが表面からすべてを独立してロードし、変換システムを初期化できたことを示します。



Data Extractorで別のドライブにセクターごとにコピーするタスクを作成し、ミニゾーンマップを作成する手順を実行します。 検査の結果、プレートの最初に傷が見つかったことを考慮し、エンドゾーンからUDMAモードで主な読み取りを開始します。









図 7



スワップセクションの境界内での読み取りには問題がありますが、このセクションはほとんど価値がないため、無視します。 メインの2番目のセクションの境界内で、読み取りは最大57 89x xxxセクターまで問題なく行われ、その後、最初の不安定性が現れ始めます。



読み取りプロセスをより適切に制御するために、読み取りをUDMAモードからPIOに変更し、2番目のセクションのファイルシステム（Ext4）のメタデータを減算します。 この操作を99.99％完了した後、不安定な場合に短いタイムアウトと10,000セクターのジャンプでミニゾーンの読み取りに進みます。 この方法により、未読ボリュームの85％以上を読み取ることができました。



次に、2番目のセクションのファイルの場所の分析に進み、顧客の技術タスクのデータの優先度に従って、チェーンのキューを作成します。 プレートの傷のある部分には、お客様にとって重要なファイルがいくつかあることを考慮して、メインの欠陥領域の領域でマルチパス読み取りに進みます。



欠陥ゾーンを差し引くと、スライダーとプレート表面の両方が劣化するため、最小限のドナーヘッドセットで最大のユーザーデータを読み取る時間を確保するために、最も危険な領域を読み取りから除外することが重要です。



作業中、ドナーBMGが劣化し、追加の各ドナーの使用が合意された後、破損したファイルに関するレポートがお客様に送信されました。 3番目の読み取りダイナミクスの使用はほとんど目立たなかったため、このため、残りのデータを欠陥領域から取得しようとするさらなる試行を停止することが決定されました。 すべてのファイルの95％以上（および主な参照条件によると99.5％以上）を取得することが可能でした。 この結果は顧客を満足させました。



結論として、要約すると。 システム管理者の職務に対する怠慢な態度があります。 作業プロセスに害を及ぼすリーダーシップの不適切な感情も印象的です。 結局のところ、システム管理者が費用を最小限に抑え、ドライブの状態を悪化させる多数の突発的な行為を行ったのは、管理者からの圧力が原因であり、ユーザーのデータの最終的な破壊を危うくしました。これは、企業にとってデータリカバリサービスのコストよりも何倍も価値がありました。 このような状況では、感情への侵入は容認できない贅沢であるという経営陣の注意を喚起したいと思います。 より合理的な解決策は、問題を分析し、それ自体の機能を評価してそれを排除し、必要に応じてパフォーマーを検索することです。 そして、主要な問題を解決した後にのみ、システム管理者の罪悪感の程度を理解し、不作為によって引き起こされた損害に対する罰則について話します。 経営者はまた、そのような状況の発展の条件を作成したのはまさに職務記述書の欠如または完全な欠席であったため、その罪悪感の重荷を部下と共有すべきです。



次の投稿：Seagate ST3000NC002-1DY166格子HDDからの一致の保存またはデータの回復

前の投稿：オフィスに殺到した後のハードディスクからの浅い潜水またはデータの回復