Slik redder ekspertene data fra en sønderknust harddisk
Det skal mye til før disse gutta gir opp.
3000 harddisker i året
Harddisker er billige, de har høy kapasitet, og folk flest lagrer stadig mer og mer av sine personlige liv på disse snurrende platene. Og om én eneste harddisk plutselig skulle takke for seg, kan du raskt stå i fare for å miste veldig mye – alt fra familiens sommerbilder til viktige dokumenter.
Alt håp er imidlertid ikke ute om du ikke lenger får kontakt med harddisken din. Det finnes en håndfull selskaper som kan hjelpe selv den mest sønderknuste snurredisken, og den største aktøren er det norsk-startede selskapet IBAS. Siden 1980-tallet har de bistått med å hente ut data man tidligere anså som tapt for evigheten, og fra hovedkontoret i Kongsvinger utfører de nå 3000 slike datarekonstruksjoner i året.
Over halvparten av oppdragene kommer fra privatmarkedet, og mange av harddiskene som kommer hit for få reddet dataene sine har fått en slagskade. Årsaken er ofte at eieren bare vært uheldig og mistet datamaskinen, eller en ekstern harddisk, i gulvet.
Få med deg hele historien:
Dette er den norske IT-suksessen som studerer 3000 harddisker i året »
Hør etter klikkelydene
– Veldig ofte er det noen som ringer til oss og sier at det er en klikkelyd fra harddisken. Det er noe vi hører nesten hver dag, og det er et typisk eksempel på lyder der det er lurt å skru av maskinen med en gang, forteller Øyvind Nyland, operasjonssjef for datarekonstruksjonsavdelingen til IBAS.
En harddisk består grovt fortalt av en eller flere dataplater som spinner rundt, og hoder som beveger seg over disse platene for å lese og skrive data. Disse hodene svever bare 5 nanometer over plata, og skal ikke komme i kontakt med den. Men når du mister harddisken i gulvet, kan hodene bli slått inn i plata og lage et mikroskopisk krater – og det er et problem. Nyland forklarer hvorfor denne klikkelyden er alarmerende.
– Det er to forskjellige måter å parkere hodene på: Enten helt innerst på spindelen – da lander de fysisk på platene – eller på en rampe på utsiden. Uansett om man parkerer inne eller ute, er det første som skjer at disken spinner opp og får sin normale hastighet, der den skal være. Så dytter den hodene ut over dataområdet for å prøve å finne «servo-burster», som er posisjoneringsdata for hodet, slik at den kan styre og finne de riktige dataene. Hvis det da er en skade der den informasjonen er ødelagt, eller hodet er ødelagt, da finner den ingenting og klarer ikke å følge sporet sitt. På en måte mister den veigrepet og trekker hodet tilbake igjen. Da får du en sånn klikkelyd.
Om du prøver å starte maskinen igjen, kan du raskt gjøre langt større skade enn fallet i gulvet opprinnelig lagde. For det lille krateret som kollisjonen mellom hodet og dataplaten skape, kan også ha resultert i små topper med materiale på dataplatene. Når hodet flyr bare fem nanometer over platen i normal drift, kan selv de minste endringer i overflaten fremstå som rene fjell.
– Hodet kan for eksempel gå ut på platene for å få driftstemperatur, og så skjønne at det er noe som ikke helt stemmer. Da kan harddisken plutselig kjøre en kalibreringsprossess, en prosess som da kjører hodet ut og sveiper over de defekte områdene og treffer den toppen. Kanskje går det første gangen du starter maskinen, men så går det noen dager eller uker og så kan den gå i stykker igjen, sier Nyland.
Dette er bare ett scenario for en helt vanlig harddiskskade, og som forbruker er det pent lite du får gjort uten betydelig risiko. Men IBAS sitter på mye utstyr, et arsenal av spesialverktøy og lang erfaring med slike skader. For dem er dette hverdagskost, og de har sine triks for å hente ut data fra en harddisk som er skadet på denne måten.
Setter fart på platene
Selv om harddisken har både krater og topper i dataplatene, som lese- og skrivehodet kan treffe i stor fart, finnes det metoder for å få ut dataene dine og flytte de til en ny harddisk.. For å hente ut dataene i et slikt tilfelle, vil IBAS starte med å spinne opp dataplatene akkurat slik harddisken gjør, men under kontrollerte former. Det er IBAS som nå bestemmer hvor lese- og skrivehodet skal bevege seg.
– Vi gjør det slik at vi ikke flyr med hodet inn i de områdene som er ødelagt. Vi inspiserer harddisken og ser hvordan den ser ut, og så kjører vi i de områdene som er i orden. Hvis det er sånn at man må inn i det skadede områdene for å hente ut informasjon, så har vi selvfølgelig spesielle triks som vi bruker, men i de områdene som er fysisk ødelagt får vi ikke ut informasjon, forteller Nyland.
Siden hodet normalt flyr fem nanometer over platene, og de farlige toppene vi snakker om ikke trenger å være spesielt mye større, er det ikke et reelt alternativ å posisjonere hodet slik at det flyr høyere over dataplatene og dermed går klar av den skadelige hindringen.
Harddisker er nemlig finmekaniske enheter som er nøye konfigurert, slik at hodet får nok oppdrift til å fly med akkurat denne høyden. Faktisk er dette én av konstantene for hvordan data skal lagres, og endrer du den vil du ikke klare å fange opp dataene som skal leses ut. Og når konstanten er et så lite tall som fem nanometer, er det ikke akkurat store marginer for å flytte hodet hverken opp eller ned uten at det utgjør en betydelig endring.
At det er fart på platene tjener også en annen funksjon i harddisker, da fart er det som gjør det fysisk mulig å lese ut data. Data lageret på harddisker er til syvende og sist analoge signaler, som lagres på mikroskopiske magnetstaver i dataplatene. Disse ligger nord-sør, tett i tett, og for å kunne lese ut signalet må man derfor ha fart på platene.
3000 harddisker i året
Kompetansen som trengs for å hente ut data fra både skadede og sønderknuste harddisker er noe IBAS har bygget opp over lang tid. Den nyeste ansatte blant de som jobber med å fysisk inspisere harddiskene ble ansatt så langt tilbake som i 1996:
– De må ha følelsen for hva som er riktig å gjøre. De på laboratoriet har gjort det her så mye at de vet hvordan ting fungerer, og de har en er erfaring som sier hva som er rett å gjøre i hvert tilfelle. Vi følger ikke noen oppskrift, det er en individuell håndtering av hver sak, forteller Nyland.
I Norge rekonstruerer IBAS data fra rundt 3000 harddisker i året, men de er eid av Kroll Ontrack – et globalt selskap som tar 50 000 oppdrag hvert år, og erfaringen deles tett med IBAS.
Alle foto: Vegar Jansen, Hardware.no
Nøye inspeksjon
Arbeidet med å redde data fra en ødelagt harddisk starter allerede når eieren tar kontakt med IBAS. Selskapet har en gratis veiledningstelefon, og om en full rekonstruksjon er nødvendig sendes harddisken inn til Kongsvinger-selskapet sammen med en beskrivelse av hvordan skaden trolig oppstod, og hva som er problemet. Denne informasjonen hjelper IBAS med å finne de områdene av harddisken de skal fokusere mest på.
Når harddisken har kommet inn blir den plassert i en rød kasse, sammen med saksdokumenter og merkelapper.
– Omtrent 80 til 85 prosent av alle jobbene som kommer inn til oss har en elektromekanisk skade. Det vil si at det første vi må gjøre er å prøve å sikre så mange datablokker som mulig fra det defekte mediet og få det over på et annet media vi kan jobbe på, forteller Nyland.
Nøyaktig hvordan de går frem varierer fra tilfelle til tilfelle, men et vanlig alternativ for en skadet harddisk er rett og slett å åpne den opp – spesielt om eieren har sagt at harddisken har falt i gulvet.
Sluser med overtrykk
En harddisk er som nevnt en følsom enhet, og når den er åpnet opp kan den minste lille støvpartikkel lage stor skade. Derfor er det normalt å behandle diskene i såkalte renrom – områder som er frie for støv og uønskede partikler i luften. IBAS hadde tidligere et stort renrom, men det er i dag demontert og erstattet av renromssluser.
– Slusene fungerer på den måten at den suger inn luft gjennom et grovfilter på toppen. Inni der sitter det en stor, kraftig vifte og blåser lufta ut gjennom et finfilter. Den skaper da et overtrykk i arbeidsområdet mitt, noe som vil si at støvet ikke vil trenge inn i arbeidsområdet, forteller Hans Rønningen. Han er sjef for renrommet, og er én av IBAS' ansatte som jobber med å studere skadede harddisker.
Foran seg har han en helt ny enhet fra en uheldig svensk kunde som har mistet datamaskinen i gulvet. Rapporten forteller Rønningen at det er smartest å starte rekonstruksjonen med å åpne harddisken inne i renromsslusen, for å se om det er noen fysiske skader på platene.
Han skrur opp harddisken, og det tar ikke mange sekunder før han forteller oss at harddisken åpenbart har gått i gulvet:
– Det er én dataplate i denne disken, og det er da to lese- og skrivehoder. De hodene blir parkert på en rampe når de ikke er i bruk, og den plastikkrampen klatrer litt utover kanten på plata. Jeg kan se med det blotte øyet at det er litt plastikk på kanten av selve plata, så den her har fått et slag som har gjort at plata har subbet i plastikken, forteller han, mens han inspiserer dataplatene nøye, og vurderer hva som må gjøre videre.
– Det er avhengig av hvor store skadene er her, sier han og tar en kort tenkepause:
– Jeg må ta ut hodene og inspisere de i et mikroskop. Jeg må vurdere størrelsen på skadene, selvfølgelig rensing og mye sånt, før vi da begynner å putte harddisken sammen igjen og prøver å se om vi får lest ut data.
Grunnen til at Rønningen vil inspisere hodene, og ikke dataplaten som åpenbart er skadet, er blant annet fordi han nå bare ser én av dataoverflatene. Det kan være skader han ikke ser på undersiden av harddisken, og ved å studere hodene under et mikroskop kan han få en forvarsel på hva som skjuler seg der.
Etter noen minutter er lese- og skrivehodene skrudd ut og plassert i et mikroskop. Han viser oss først det hodet som leser data fra platen vi så hadde plast på seg:
– Ser man på bildet av det hodet, så ser man egentlig ikke så mye rart. Det ser veldig bra ut, men det er ett hode til. Der er det straks litt mer ulumskt, slår han raskt fast.
– Her ser vi at det er støvpartikler og masse rart akkurat der som lesespalten er. Det er typisk noe vi ser ved krasjer. I det tilfellet her så vi at plata hadde berørt parkeringsrampa og at det hadde kommet plastpartikler på plata, så det her kan muligens være plastpartikler. Det øverste hodet ser forholdsvis bra ut, så faren her er at det er mye større skade på den nederste dataoverflata, og det er ting vi vil se nærmere på, forteller han.
Bytter deler
Rønningen drar samtidig frem en annen harddisk han har jobbet på, for å vise hvor mye skade et lesehode kan gjøre på harddiskens dataoverflater. Hodet har kommet i kontakt med platen, som roterer i høy hastighet, flere ganger, og tydelig skrapet den i stykker.
– Den overflata der får jeg ikke noe ut fra, det er for store skader, slår han fast.
Når en harddisk har fysiske skader, kan det ofte være nødvendig å bytte enkelte deler i harddisken med et håp om å få den til å virke igjen. For det har IBAS et hav av reservedeler, i form av mange titalls hyllemeter med gamle og nye harddisker. Diskene du ser på bildet til høyre her skal ikke reddes, de høstes for reservedeler.
– Dette er en liten del av det vi har totalt, rundt 10 prosent. Det vi har stående her er de diskene vi ser mest av nå for tiden, forteller Rønningen. I kjelleren står de resterende 90 prosentene lagret i esker, om det skulle dukke opp et mer spesielt tilfelle.
Serverpark på 500 TB
Med den fysiske inspeksjonen unnagjort forsøker Rønningen så å lese ut data fra harddisken. I enkelte tilfeller går han rett til dette steget, om han opprinnelig ikke anså det som nødvendig å inspisere enheten.
– Det vi da gjør er å forsøke å sikre alle rådataene fra denne disken. Jeg bryr meg i utgangspunktet ikke om hvilke filer som er på den, jeg forsøker å lese ut alt som er av rådatablokker og lagre det på våre servere nede i kjelleren, forteller han.
Harddisken kobles til en av arbeidsstasjonene hans, maskiner som kjører IBAS' egenutviklede programvare. Den jobber i noen minutter, før Rønningen kan gi en rask diagnose på hvilke data han får lest ut med en gang.
– Harddisken begynte å lese ganske greit, men så har den store problemer. Den ser ut til å lese mer stabilt innerst på disken, så her er det noen skader ytterst på dataoverflatene som gjør at den maskinen her aldri vil kunne starte. Så for å ha minst mulig risiko for dataene her nå, konsentrerer jeg meg om områder som ikke har problemer først, så går vi tilbake til problemområdene til slutt.
Windows XP som plattform
Når han nå dumper rådataene fra harddisken er dette faktisk den eneste gangen IBAS aksesserer den skadene enheten. Så snart alt av rådata er flyttet over på serverne, rører de aldri den originale harddisken igjen.
– Vi gjør ingen reparasjoner, vi bruker de triksene vi trenger for å få ut blokkene, og så er vi ferdige med disken, forteller Nyland.
Arbeidsstasjonene IBAS bruker for å hente ut data og analysere harddiskene, kjører primært Windows XP – et snart 11 år gammelt operativsystem. At de ikke har oppgradert til en nyere plattform, er det flere grunner til:
– De verktøyene vi bruker er spesiallaget for å håndtere forskjellige typer harddisker, både gamle og nye. Hva slags type operativsystem vi kjører på er egentlig uvesentlig for hvordan vi håndterer oppgaven, forteller Nyland.
– Det grafiske grensesnittet har veldig lite å si når det gjelder harddisker, stemmer Rønningen i.
Med XP som plattform har de et system de kjenner inn og ut, og de vet hvordan operativsystemet påvirker uthentingen av data – og de vet hvordan de skal stenge ned prosesser som kan forstyrre.
Serverpark med 500 terabyte
Når teknikerne har fått kontakt med harddisken, starter prosessen med å dumpe ut rådataene og flytte de over på IBAS' egen serverpark.
– Det er der alle kundedata ligger. Vi har en veldig bra infrastruktur i bygget vårt, for når vi dumper data til serverne er det ikke bare fildata. Har du en harddisk på fire terabyte, går det fire terabyte med data via nettverket vårt og ned i kjelleren. Da er vi veldig avhengige av å ha gode overføringshastigheter, eller så vil ting ta veldig lang tid, forteller Nyland.
På serverne blir det da først lagret en identisk kopi av den originale enheten, en kopi som aldri blir rørt i ettertid. Når IBAS senere skal rekonstruere selve datasettet jobber man på nye kopier, slik at de alltid har en original å falle tilbake på.
Serverparken har en kapasitet på 500 terabyte:
– Når vi får inn en disk så kopierer vi dataene sektor for sektor, og lagrer det over 22 systemer hvor vi sprer dataene så mye som mulig. Hvert av de systemene har 16 disker som er delt opp i to fysiske volum, og de er konfigurert i RAID 6 for å ha mest mulig sikkerhet, forteller Arnfinn Soløst, IT- og sikkerhetssjef hos IBAS.
Serverne blir kjølt av tårnkjølere som står mellom serverskapene. De kaster lufta rett inn i veggen, som så blir sugd inn i servene fra fremsiden. De to radene med serverskap står mot hverandre, slik at det i midten da blir en varm sone av luften har trukket gjennom utstyret. Luften blir så dratt inn i kjøleren igjen, og kjølt ned på nytt.
I kjølerne ligger det også et detektorsystem som «lukter» etter gasser og partikler som kan være et tidlig tegn på brann. Om en brann oppdages, er detektorene koblet til et automatisk brannslokkesystem som sender en tåke av vanndråper ut i rommet, for å kvele faren.
– Vi har 250 liter med flytende nitrogen som driver 25 liter med ionisert vann for å skape den vanntåka, forteller Soløst.
Rekonstruksjonen gjennomføres
Med rådataene sikret på serverne, begynner den logiske oppbygningen av dem. Det er nemlig ikke nok å bare hente ut dataene for så å dumpe de over på en ny harddisk. Den originale filstrukturen og mappestrukturen må bygges opp igjen, slik at datasettet kan leveres tilbake til eieren så likt som mulig slik det var. En egen avdeling tar seg av denne jobben:
– De ser på den strømmen av bits og bytes som kommer, også prøver de å tolke den informasjonen for å bygge opp igjen tilgangen til filene. La oss si at en disk har 1 million datablokker og vi klarer å finne 99,9 prosent av dem, så vil det være noen hull der det ikke finnes data. Jobben er å bygge opp igjen en filstruktur, så dataene kan gjenskapes, forteller Nyland.
Han legger videre til at IBAS sjelden er inne i filene på harddiskene, for fra deres ståsted handler det ikke nødvendigvis om å rekonstruere innhold – det handler om å gjenskape tilgangen til filene. Dataene er der selv om harddisken er skadet, det er tilgangen til dem som er problemet.
Uendelig mange forsøk
Ettersom rådataene på dette punktet i prosessen er dumpet over på serverparken, har de som rekonstruerer den logiske oppbygningen av systemet uendelig mange sjanser. De jobber aldri på originalfila som ble lagret, men på kopier av den, og kan derfor gå tilbake og teste nye løsninger.
De mest komplekse oppdragene får IBAS i form av virtuelle systemer og større lagringsløsninger fra bedriftene. Det er vanskelig å hente ut slik data fra slike oppsett, men ikke umulig.
– Nå er det veldig mange lag du må gjennom for å strukturere dataene. Hvis du i gamle dager hadde én harddisk med Windows på, så fikk du ut datablokkene også hadde du et filsystem, så fiksa du det og var i mål. Men nå, hvis du for eksempel har et stort SAN med noen hundre harddisker i bunn, så er det satt opp i et visst system for hvordan dataene deles utover harddiskene. Det er nesten som en mappestruktur som kontrollerne på disse store systemene har orden på, og det er det systemet som gjør det veldig komplekst, forteller Nyland, og fortsetter i samme åndedrag:
– Og når du har et stort system, kan du sette opp et programvare-RAID i alle retninger som igjen skyfler data rundt på disse harddiskene, og på toppen av det har du kanskje en virtuell server som inneholder X-antall virtuelle maskiner med forskjellige filsystemer. Alt dette her er jo en smørje som er på alle disse harddiskene, og når det da går ned så er det litt jobb å finne ut hvordan dette fungerer.
En av de som jobber med slike komplekse systemer, er Børje Aamodt. Han er en del av ekspertteamet til IBAS, og han omtaler slike jobber som en utfordring:
– Folk har en tendens til å slette virtuelle maskiner, og de er det en utfordring å få tilbake. Datapekerne blir slettet samtidig med den virtuelle diskfilen, og vanligvis ligger de virtuelle diskfilene spredd i flere tusen fragmenter på diskene, forteller Aamodt.
– Det er et puslespill med flere tusen biter der alt er blanda sammen, også mangler du halvparten av brikkene. Men du skal likevel klare å pusle de bitene du har på korrekt plass, og det er utfordringen. Nesten ingen rekonstruksjonssak er lik, det er forskjeller på alle som gjør det er morsomt og utfordrende å jobbe her, forteller han.
Kan jobbe fra 30 land
Siden IBAS er en del av Kroll Ontrack, som har kontorer i 30 land over hele verden, gir det dem muligheten til å kunne rekonstruere data 24 timer i døgnet – uten at Kongsvinger-kontoret må døgnbemannes. Eierskapet gjør det nemlig mulig for en arbeider ved Kroll Ontrack sitt kontor i USA å ta over jobben når Kongsvinger-laget tar kvelden, en arbeidsøkt som så kan følges opp fra et kontor i Asia senere på dagen.
Så snart dataene nå er bygget opp igjen med sitt opprinnelige filsystem og mappestruktur, er jobben ferdig og dataene reddet. For å levere de tilbake til eieren, dumper IBAS det over på en NTFS-formatert ekstern harddisk, som så sendes i retur – så er jobben gjort.
Få med deg hele historien:
Dette er den norske IT-suksessen som studerer 3000 harddisker i året »
På de neste sidene har vi samlet bildene fra besøket hos IBAS som ikke fikk plass i denne artikkelen »
Bilder fra IBAS
Bla om til neste side for å se flere bilder »
Bilder fra IBAS
