استعادة الملفات المحذوفة
استعادة البيانات هي عملية لإنقاذ البيانات التي لايمكن الوصول إليها من مخزن بيانات ثانوي Secandry Storage مخرب أو تالف أو من الوسائط المتعددة القابلة للإزالة removable media أو من ملفات عندما تكون البيانات عليها لا يمكن الوصول إليها بالطريقة الطبيعية , الإنقاذ للبيانات من الوسائط التخزينية مثل الأقراص الصلبة الداخلية و الخارجية و محرك الأقراص ذو الحالة الصلبة SSD و وحدة الذاكرة الفلاشية USB flash drives و الأقراص المضغوطة CD و دي في دي DVD و نظم ريد RAID ومشتقاته والأجهزة الإلكترونية الأخرى , تتطلب عملية استعادة البيانات بسبب حدوث تلف مادي لوسائط التخزين physical damage أو تلف غير مادي Logical damage لنظام الملفات يمنع نظام التشغيل من التعامل معه (أو ارتباطه بنظام التشغيل mounted) .
أشهر السيناريوهات لإستعادة البيانات مثل سقوط نظم التشغيل و أعطال وسائط التخزين والتلف والمسح المفاجئ أو غير المقصود إلخ ، في هذه الحالة يتم عمل نسخة من كل الملفات المطلوبة إلى وسائط تخزينية أخرى جيدة ، يتم عمل النسخ عن طريق استخدام إسطوانة مدمجة تلقائية الإقلاع LiveCD أو ذاكرة متنقلة تلقائية الإقلاع USB Flash memory , وتتم عملية الاستعادة للملفات من خلال عمل نقطة إرتباط Mount لكل من النظام المطلوب النقل منه system drive والمطلوب النقل إليه backup drives ( كالوسائط القابلة للنقل removable media ) ويستخدم للنقل مدير الملفات أو النسخ الضوئي بإستخدام محرك الأقراص الضوئية Optical disc drive أو قرص بلو راي .
سيناريو آخر ينطوي على فشل على مستوى القرص ، مثل نظام الملفات أو تقسيم القرص ، أو فشل القرص الصلب. في أي من هذه الحالات ، فإن البيانات لا يمكن قراءتها بسهولة . وبناء على الحالة ، تشمل الحلول إصلاح نظام الملفات ، تقسيم الجدول أو سجل الإقلاع الرئيسي MBR و جدول الأقسام Partition Table ، أو أي من تقنيات الإسترداد لبيانات القرص الصلب تتراوح بين استعادة البيانات المخربة أو المفقودة بإستخدام البرمجيات ، أو استعادة البيانات عن طريق الفيرموير Firmware (الفيرموير هي برامج تربط ما بين العتاد Hardware وبرامج نظام التشغيل وهي برامج ثابته لا يمكن مسحها أو تغيرها أو تحديثها بالطرق العادية ) ، أو المفقودة بسبب عطب في أجزاء مادية من العتاد نفسه Hardware (مثل عطب الأقراص platters أو الرأس المغناطيسي Head أو في مكون من المكونات الإلكترونية ).
السيناريو الثالث في حالة مسح الملفات وسائط التخزين deletion . في الواقع لا يتم مسح هذه الملفات ولكن يمسح المشير لها فقط من جدول البيانات ( بنية أو معمارية الدليل directory structure ) الموجود في نظام الملفات المستخدم ، وتكون المساحة التي تشغلها البيانات الممسوحة متاحة للكتابة فوقها overwriting في وقت لاحق ( بمعنى غير محمية ) ، بالنسبة للمستخدم العادي فإنه لا تظهر أي من هذه الملفات أو البيانات في مدير الملفات ولكنها تقنيا مازالت موجودة ، وتظل محتويات الملف موجودة لبرهة من الوقت وفي حالة توقف عملية التجزئة وإلغاء التجزئة ( fragments و Defragmentation ) وهي عملية لتنظيم القطاعات على الأقسام لتكون قريبة ومتتالية لتسهيل الوصول للبيانات والمحافظة على القرص الصلب ، وبالتالي يمكن إسترداد الملفات مرة أخرى .
ويستخدم مصطلح " استعادة البيانات " أيضا في تطبيقات العلوم الجنائيه المتعلقة بالحاسب الالي forensic أو التجسس Espionage حيث تكون البيانات مشفرة encrypted أو مخفية hidden , ليتم إستردادها .
الأضرار المادية هناك تشكيلة واسعة من الأسباب للتلف المادي physically damaged لوسائط التخزين ، ومعظمها ناتج من الأخطاء البشرية والمشاكل الطبيعية ( مثل ارتفاع الحرارة ) ، القرص المدمج يمكن أن يصاب سطحه المعدني ( طبقة الومنيوم رقيقة ) ببعض الخدوش ، القرص الصلب يمكن أن يعاني بالعديد من الأعطال الميكانيكية مثل مثل تحطم الرأس المغناطيسية Head crash وعطب المحرك ( motor failed ) ، إنكسار الشريط tapes ، ويتسبب ذلك على الأقل في فقد بعض البيانات ، في العديد من الحالات يتلف أيضا البناء غير المادي logical لنظام الملفات ولإنقاذ المحتويات ( البيانات والملفات والمجلدات ) يجب علاج هذا التلف اولا .
معظم الأضرار المادية لا يمكن إصلاحها بواسطة المستخدمين النهائيين ( المستخدم العادي أو مستخدم الجهاز ) ، فعلا سبيل المثال فان فتج قرص صلب في البيئة العادية سيؤدي للسماح للغبار المتطاير بالتساقط على سطح الأسطوانة العلوي وستفصل هذه الطبقة ما بين رأس الكتابة والقراءة وسطح الإسطوانة platter ، وسيتسبب ذلك في تحطم رأسه و يؤدي ذلك إلى خدوش في طبقة الإسطوانة وسيصعب ذلك عملية استعادة البيانات ، المستخدمين النهائيين بشكل عام ليس لديهم أجهزة أو الخبرة التقنية لإصلاح تلك المشاكل ، ولهذا فإن الشركات المشهورة بإستعادة البيانات ماديا Physically يتم الاستعانة بها لإنقاذ البيانات المهمة ، تستخدم هذه الشركات غرفة نظيفة cleanroom لإتمام الإنقاذ .
استعادة البيانات من الأجهزة التي تضررت ماديا Physical يمكن أن تتم بتقنيات متعددة ، بعض الضرر يمكن إصلاحه عن طريق استبدال أجزاء من مكونات جهاز القرص الصلب وهذا وحده قد يجعل القرص يعمل ويصبح صالح للإستعمال ، ولكن قد يكون هناك تلف غير مادي Logical باقي ، ولهذا يمكن استخدم بعض الإجراءات المتخصصة لعمل نسخ مطابقة Disk-Image لكل بت (bit) مقروء من على سطح القرص ، وما أن يتم الحصول على هذه النسخة المطابقة وحفظها على وسائط أخرى صالحة فيمكن بعد ذلك تحليلها وأعادة بناء نظام الملفات الأصلي مرة أخرى .
يوجد مفهوم خاطئ عام وهو أن الدائرة الإلكترونية أو اللوحة المطبوعة PCB التالفة يمكن إستبدالها ببساطة بلوحة مطابقة لها من قرص صلب آخر صالح ، وهذا كان ممكن عمله للوحات المصنعة قبل سنة 2003 ، ولكن في اللوحات الحديثة أصبح صعب لأنه توجد بعض البيانات المضافة adaptation data المطلوبة للوصول لمناطق نظامها لهذا فإن المكون الإلكتروني المرتبط بذلك يحتاج لإعادة برمجة ( إن أمكن ) أو فك لحامه unsoldered ونقله إلى الدائرة الجديدة .
كل جهاز قرص صلب به منطقة نظام system area أو منطقة الخدمة service area ، هذه المنطقة لايمكن الوصول لها بواسطة المستخدم ( النهائي End User ) ، غالبا تحتوي على برنامج ثابت يسمى فيرموير Firmware ، وبعض البيانات الأخرى المهمة والمهيئة التي تساعد على عمل القرص الصلب وبقائه صالحا لأطول وقت ، أحد أهم وظائف منطقة النظام أن تسجل بعض البيانات عن القطاعات التالفة على القرص لإخبار نظام التشغيل عن عدم إمكانية الكتابة عليها وأنه تم نقل القطاع لمكان آخر .
توجد قائمة بالقطاعات مخزنة على العديد من الرقائق الإلكترونية الموجودة على اللوحة المطبوعة PCB وهي فريدة على كل جهاز قرص صلب ، فإن كانت البيانات على اللوحة PCB غير مطابقة لما هو مخزن على طبقة القرص الصلب platter فلن يكون هناك عمل بطريقة صحيحة . ، في معظم هذه الحالات سيتم سماع قرقعة أو طقطقة Clicks بواسطة الرأس المغناطيسية بسبب عدم القدرة على إيجاد البيانات المطابقة لما على الوحة الإلكترونيات المطبوعة PCB .
الأضرار الغير مادية مرجعية هذا المصطلح تعود إلى الحالات التي يكون فيها الخطأ أو التلف ليس مشكلة من العتاد Hardware ويتطلب حلول و علاج بواسطة برمجيات الإصلاح المشهورة .
في بعض الحالات تكون البيانات على القرص الصلب صعبة أو مستحيلة القراءة بسبب تلف ناتج عن نظام الملفات Filesystem أو جدول التقسيم Partition Table أو أخطاء التوقف اللحظي ( المتقطع ) للقرص intermittent media errors ، في غالبية هذه الحالات يتم على الأقل إسترجاع بعض البيانات الأصلية عن طريق إصلاح جدول التقسيم و نظام الملفات بواسطة برمجيات متخصصة مثل تست ديسك Testdisk أو أم 3 لإسترجاع البيانات الأولية (M3 RAW Drive Recovery)، أو بإستخدام أوامر الإنقاذ مثل الأمر dd أو الأمر dd rescue (يستخدمان مع نظام التشغيل لينكس) وهما يمكن أن يستعيدا البيانات على الرغم من وجود أخطاء التوقف اللحظي ( المتقطع ) intermittent media errors وتقوم بعمل نسخة مطابقة Image أو نسخ مطابقة image raw في حالة سقوط نظام الملفات وجدول التجزئة ( التقسيم ) ، هذا النوع من طرق استعادة البيانات يمكن أن يتم بدون خبرة بالعتاد Hardware حيث أنها لا تحتاج لمعدات خاصة physical equipment للوصول إلى الأقراص platters .
في بعض الأحيان يمكن إسترداد البيانات بإستخدام أساليب وأدوات بسيطة نسبيا ، يمكن في الحالات الأكثر خطورة تدخل الخبراء لا سيما إذا كانت أجزاء من الملفات غير قابلة للإسترداد أو متعذرة الإصلاح ، عملية استعادة ملف من نظام ملفات بدون بيانات وصفية ميتاداتا metadata لإعادة بناء ملف .
البيانات المعاد الكتابة فوقها ، بعد أن يتم الكتابة فوق البيانات القديمة overwritten ، يتصور أنه لا يمكن إسترجاع المعلومات القديمة ، ولكن سنة 1996 قام عالم الكمبيوتر بيتر غوتمان Peter Gutmann بتقديم بحث علمي يقترح فيه أنه يمكن استعادة بعض البيانات بإستخدام مجهر ميكروسكوب القوة المغناطيسية ، ، وفي سنة 2001 قام بتقديم أوراق بحثية أخرى لنفس الموضوع ، ، وللحماية من هذا النوع من استعادة البيانات ( لخطورته في بعض الأحيان ) قام كل من بيتر غوتمان و كولن راسيا بعمل تصميم طريقة لا رجعة فيها لمحو البيانات تسمى طريقة غوتمان وتستخدم في العديد من البرامج للمحو الكامل (disk-scrubbing software packages) .
وقد تابع تلك النظرية إنتقادات كبيرة بسبب عدم وجود أدلة وإفتقاد أي أمثلة ملموسة قوية عن إمكانية إسترداد البيانات المعاد الكتابة عليها أو فوقها (overwritten)، ، وعلى الرغم من إمكانية ان تكون نظرية غوتمان صحيحة فلا يوجد دليل فعلي عن إمكانية استعادة البيانات المكتوب عليها ، والأبحاث التي ظهرة دعمت عدم إمكانية حدوث ذلك ..
تختلف طرق استعادة البيانات من وسائط التخزين ذات الحالة الثابتة Solid-state drives (SSD) عن الأقراص الصلبة hard disk drives (HDD) ، وتختلف إعادة الكتابة overwrite وتكون طريقة الإسترداد لبعض البيانات أسهل ، تتكون وسائط التخزين ذات الحالة الثابتة SSD من ذاكرة فلاشية لتخزين البيانات في ما يسمى صفحات Pages وبلوكات Blocks ويتم الإشارة لها بإستخدام مخطط يسمى العنونة بالبلوكات LBA Logical Block Addressing والذي يتم إدارته بواسطة مترجم يسمى flash translation layer (FTL) فعندما يقوم هذا المترجم بالتعديل على القطاع فإنه يقوم بكتابة البيانات الجديدة في مكان آخر ثم يقوم بتحديث الخريطة map بحيث تظهر هذه البيانات الجديدة في المكان الهدف LBA ، هذا يترك البيانات السابقة في مكانها فتزداد إمكانية استعادة البيانات بواسطة برمجيات إسترجاع البيانات .
خبراء استعادة البيانات لا يحتاجون دائما إلى الوصول المادي Physically للعتاد التالف ولكن يمكنهم الوصول حتى من الإنترنت ، لوجود حالات استعادة للبيانات بأساليب تقنية وبرامج ، كما يمكن الوصول أيضا من خلال أي شبكة محلية LAN أو أي طريقة للإتصال بالوسيط التالف المادي physical damaged media ، العملية لا تختلف عما يستطيع المستخدم العادي End User إنجازه بنفسه .
لكي تتم عملية استعادة البيانات عن بعد يجب توفر إتصال ثابت مستقر بعرض نطاق ترددي كافي bandwidth وهذه الطريقة غير قابل للتطبيق في حالة تطلب وصول للعتاد Hardware في حالة التلف المادي Physical Damage .
غالبا هناك أربعة طرق للعمليات الناجحة لإسترجاع واستعادة البيانات وتختلف بناء على نوع التلف والإستعادة المطلوبة .
إصلاح محرك الأقراص لتصبح القدرة على قراءة البيانات منه مناسبة ، على سبيل المثال فإن كانت الرأس المغناطيسية head تالفة فيجب تغيرها ، وإن كانت الدوائر المطبوعة التالفة ( PCB) printed circuit board سيئة أو بها تلف فيجب إستبدالها أو إصلاح العطب .
عمل نسخة مطابقة من محرك الأقراص إلى محرك الأقراص جديد أو ملف ( مثال ملف .iso او .img )
الإستعادة الغير مادية للملفات و الأقسام وسجل الإقلاع الرئيسي MBR والجدول الرئيسي للملفات master file table MFT
إصلاح الملفات التالفة التي تم إستردادها.