Záchrana dat z externího disku Seagate Expansion Portable po poškození NTFS a spuštění CHKDSK

Seagate Expansion Portable se nenačítá a Windows hlásí chyby souborového systému

Majitel využíval externí disk Seagate Expansion Portable 1TB jako jediné úložiště pro svá data různého charakteru. Disk běžně připojoval k notebooku přes USB a pracoval s ním bez větších obtíží. Jednoho dne však po připojení zjistil, že se externí disk zobrazuje, ale složky nejdou otevřít. Windows hlásily chybu přístupu a nabízely kontrolu disku.

Uživatel se pokusil situaci vyřešit sám. Spustil vestavěný nástroj CHKDSK s parametrem pro automatickou opravu, v očekávání, že systém chyby odstraní a data zpřístupní. Po dokončení opravy se však stav nezlepšil. Disk sice zůstal v systému viditelný, ale přístup k souborům byl nadále nemožný. V kořenovém adresáři se navíc objevila složka FOUND.001 obsahující stovky souborových fragmentů s příponou .CHK, což jsou pozůstatky původních dat přesunutých nástrojem CHKDSK mimo původní adresářovou strukturu.

Protože se nepodařilo obnovit přístup k datům na disku s poškozeným souborovým systémem vlastními silami, a doručil disk k bezplatné diagnostice.

Diagnostika externího disku Seagate s poškozenou strukturou NTFS

Po převzetí zařízení jsme provedli identifikaci. Jedná se o přenosný externí disk Seagate Expansion Portable s označením STAX1000102 a kapacitou 1 TB. Uvnitř pouzdra je osazen 2,5" disk Samsung/Seagate Spinpoint M8 (ST1000LM024) s rozhraním SATA 6 Gb/s, otáčkami 5 400 RPM, vyrovnávací pamětí 8 MB a technologií záznamu PMR. Disk využívá dvě datové plotny a čtyři čtecí hlavy.

Po hardwarové stránce byl disk v pořádku. Mechanika, elektronika i magnetický povrch ploten nevykazovaly žádné závady, které by bránily čtení. Příčina nedostupnosti dat byla čistě logická. Souborový systém NTFS vykazoval rozsáhlé nekonzistence vnitřní struktury, výraznou fragmentaci metadat a narušenou adresářovou hierarchii. Situaci dále zkomplikoval předchozí zásah nástroje CHKDSK, který při pokusu o automatickou opravu přepsal část záznamů v tabulce MFT a přesunul přibližně 1 000 souborových fragmentů do složky FOUND.001 ve formátu .CHK.

Rekonstrukce souborového systému a obnova dat z disku Seagate

Vzhledem k tomu, že šlo o logickou závadu bez jakéhokoli mechanického poškození, zvolili jsme konzervativní postup zaměřený na maximální zachování původních dat. Prvním krokem bylo vytvoření kompletní bitové kopie disku v režimu pouze pro čtení, aby nedošlo k dalším změnám na původním médiu.

Analýza obrazu a rekonstrukce MFT

Na bitové kopii jsme provedli hloubkovou analýzu poškozeného souborového systému NTFS. Pomocí specializovaných nástrojů pro forenzní analýzu jsme rekonstruovali tabulku MFT (Master File Table), která slouží jako hlavní evidence všech souborů a adresářů na oddílu NTFS. Nástroj CHKDSK při své opravě část záznamů v MFT přepsal nebo přesunul, proto bylo nutné pracovat s historickými kopiemi MFT a křížově porovnávat záznamy s fyzickým rozložením dat na disku.

Zpracování fragmentů ze složky FOUND.001

Samostatnou kapitolou bylo zpracování přibližně 1 000 souborových fragmentů .CHK, které CHKDSK přesunul do složky FOUND.001. Tyto fragmenty představují úseky původních souborů, jimž CHKDSK odstranil původní pojmenování a zařazení v adresářové struktuře. U každého fragmentu jsme analyzovali hlavičku, datový obsah a velikost, abychom jej přiřadili ke správnému typu souboru. Část fragmentů se podařilo zařadit zpět do rekonstruované adresářové struktury, u zbývajících však jednoznačná validace původního umístění nebyla možná.

Výsledek obnovy dat z přenosného disku Seagate Expansion

Záchrana dat z externího disku Seagate Expansion Portable dopadla velmi dobře. Podařilo se obnovit více než 95 % uživatelských dat, včetně dokumentů, fotografií a videozáznamů. Rekonstruovaná adresářová struktura odpovídala původnímu uspořádání a většina souborů prošla validací integrity bez chyb.

Menší část dat, převážně silně fragmentované soubory, jejichž logické vazby byly nástrojem CHKDSK nevratně přepsány, se nepodařilo vrátit do plně konzistentní podoby. Jednalo se zejména o některé větší videozáznamy a archivní soubory, u nichž chyběly propojovací záznamy mezi jednotlivými datovými bloky.

Obnovená data byla zákazníkovi předána na novém externím disku spolu s přehledem zachráněného obsahu a informací o souborech, které nebylo možné kompletně rekonstruovat.