1 トピック by yos yos の最新の編集 (2019-02-19 02:10:04)

  • yos
  • 登録ユーザー
  • オフライン

トピック: 外付けHDDのRAW認識

知恵をお貸しください。
同内容が既存トピックにもしあれば申し訳ございません。

・OS
- Windows 10 pro

・対象
- USB接続の外付けHDD ハードウェアRAID1 (8TB *2)
- パーティションは切っていなかったはず

・症状
- Windowsで正常に認識されずRAW扱いとなる
- 現状特にツールなどで復旧操作はしていない。（解析のみ）

・Test Disk
- analyse

Disk /dev/sdc - 8001 GB / 7452 GiB - CHS 972796 255 63
Current partition structure:
     Partition                  Start        End    Size in sectors
No FAT, NTFS, ext2, JFS, Reiser, cramfs or XFS marker
1 P MS Reserved                   34      32767      32734 [Microsoft reserved partition]
1 P MS Reserved                   34      32767      32734 [Microsoft reserved partition]
No FAT, NTFS, ext2, JFS, Reiser, cramfs or XFS marker
2 P MS Data                    32768 15627972607 15627939840 [Basic data partition]
2 P MS Data                    32768 15627972607 15627939840 [Basic data partition]


- analyse->Quick Serch

Disk /dev/sdc - 8001 GB / 7452 GiB - CHS 972796 255 63
     Partition               Start        End    Size in sectors
>P MS Data                    32776 15627972615 15627939840   #グリーンになっている

- analyse->Quick Serch->P:list files

P MS Data                    32776 15627972615 15627939840
                                                                                                                                                                                                                                                                                                                                                                        Can't open filesystem. Filesystem seems damaged.


- Advance

Disk /dev/sdc - 8001 GB / 7452 GiB - CHS 972796 255 63
                                                                                                                             Partition                  Start        End    Size in sectors
  1 P MS Reserved                   34      32767      32734 [Microsoft reserved partition]
> 2 P MS Data                    32768 15627972607 15627939840 [Basic data partition]

[  Type  ] >[Image Creation]  [  Quit  ]

・補足や見解など。。
- Deeper searchは未実施。24時間やって5％しかおわらなかったため。。
- AdvanceではBootなどの項目が出てこず。ファイルシステムが認識できていないためか
- RAID1なので各項目2行出ることは理解できる
- Windowsのディスク管理画面では、ドライブレターはFと表示されるものの、RAWとなっている（画像添付）
- RAID1であるため、HDD自体のハードウェア的な故障ではないと考える（外付けHDDの筐体ランプは正常）
->パーティションテーブルあたりだと推察

復旧に向けたアプローチについて、ご助言いただけないでしょうか。
やはりDeeper serarchを辛抱強く続けるべきでしょうか。

Post's attachments

Attachment icon a.JPG 143.75 kb, 346 downloads since 2019-02-19 

2 投稿 by yos yos の最新の編集 (2019-02-19 15:25:11)

  • yos
  • 登録ユーザー
  • オフライン

Re: 外付けHDDのRAW認識

追記：
・同じような利用をしている問題ない3TBのHDD（パーティションなし、非起動ディスク）を試しにAnalyseしてみたところ、
同じようにMS ReservedとMS Dataが見つかりました。
WindowsのHDDマネージャ上ではMS Reservedのパーティションが無いように見えるため、壊れた方も実際はないのでしょうかね。
(Quick Searchにも出てこないし。。)

・AdvanceでBootが出てこないのは、Typeを選択していないからでした（申し訳ない）
- Boot sector : Bad , Backup Boot sector:OK となった
- Backup BSを行うと両方OKとなったが、認識しない事象自体は改善せず。
（ListでCan't open filesystem. Filesystem seems damaged.となる)

うーむ、解決策が。。orz

3 投稿 by web404

  • web404
  • 管理人
  • オフライン

Re: 外付けHDDのRAW認識

yos さんのコメント:

同内容が既存トピックにもしあれば申し訳ございません。

全然構いませんよ。
私も、いつどこに何を書いたかなんて、ほとんど覚えてませんから。


「Deeper Search」でも、パーティションが1つだけで、情報が上書きされていないのであれば、
先頭から5％もスキャンすれば、元のパーティションは検出されるはずですけどね。
途中でキャンセルしても、継続して復旧作業を行うことはできます。
重要なのは、そこで「Quick Search」と異なる結果が得られたかどうかです。

パーティションテーブル種別を「EFI GPT」で実行していて、「Deeper Search」で対象のパーティションが見つからないとすると、
困りましたね。
力業としては、パーティション検索結果の画面から「A」キーを押して「add partition」とし、
領域を指定してからブートセクタを再構築するやり方もありますけど、
元のパーティションの領域に確信が持てない限り、やらないほうがいいです。
結局、ファイルシステムを認識できなくなるので。


他に気になる点があるとすれば、ダメ元で「chkdsk」の実行。
読み取り専用モードでいいので、実行結果の確認をする。

あと、外付けハードディスクの内蔵ハードディスクを、SATA接続して動作確認してみたくもあります。
RAIDコントローラから見て内蔵ハードディスクが正常でも、パソコンから見た場合には違うことがありますので。
つまり、USBコントローラが正常かどうかの確認です。

4 投稿 by yos

  • yos
  • 登録ユーザー
  • オフライン

Re: 外付けHDDのRAW認識

コメントありがとうございます。

ruuroo さんのコメント:

「Deeper Search」でも、パーティションが1つだけで、情報が上書きされていないのであれば、
先頭から5％もスキャンすれば、元のパーティションは検出されるはずですけどね。
途中でキャンセルしても、継続して復旧作業を行うことはできます。
重要なのは、そこで「Quick Search」と異なる結果が得られたかどうかです。

なるほど。ずっとDeeperを続けているのですが、今のところQuickと同内容になっている状況ですね。。

ruuroo さんのコメント:

力業としては、パーティション検索結果の画面から「A」キーを押して「add partition」とし、
領域を指定してからブートセクタを再構築するやり方もありますけど、
元のパーティションの領域に確信が持てない限り、やらないほうがいいです。

気になっているのが検出された MS Reservedのパーティションで、これはWindowsによって強制的に作られるものなのでは
と考えています。実際これがあったとすると、このパーティションとの境界がわからず、手で作るのが厳しいですよね。。

ruuroo さんのコメント:

[他に気になる点があるとすれば、ダメ元で「chkdsk」の実行。
読み取り専用モードでいいので、実行結果の確認をする。

あと、外付けハードディスクの内蔵ハードディスクを、SATA接続して動作確認してみたくもあります。
RAIDコントローラから見て内蔵ハードディスクが正常でも、パソコンから見た場合には違うことがありますので。
つまり、USBコントローラが正常かどうかの確認です。

chkdskは「ボリュームとバージョンの判断できません。CHKDSKを中止します。」になる状態ですね。
ファイルシステムは、前述のBootの修正で判断できるようになったようですが。。

SATA接続は実はすでに試していて、同じように認識されるため、HDDケースの障害ではないと考えています。
次できることとすれば、MFTの修復ですかね。。TestDiskのRebuild BSってどうなんでしょう

5 投稿 by web404

  • web404
  • 管理人
  • オフライン

Re: 外付けHDDのRAW認識

「Rebuild BS」はデータを上書きしてしまうので最後にするとして、
その前にブートセクタを「Dump」したデータを見たいですね。
表示された画面のまま、スクロールしなくていいので。

バックアップブートセクタはそのまま残っていたみたいなので、その情報を参考に、
現在のパーティションの領域が以前と同じかどうかを考えてみてはいかがでしょうか。
セクタ数はわかるはずなので。

6 投稿 by yos

  • yos
  • 登録ユーザー
  • オフライン

Re: 外付けHDDのRAW認識

こんな感じですね。。
ここからセクタ数が読み取れるのでしょうか？

TestDisk 7.1-WIP, Data Recovery Utility, December 2018
Christophe GRENIER <grenier@cgsecurity.org>
https://www.cgsecurity.org
                                                                                                                        Disk /dev/sdd - 8001 GB / 7452 GiB - CHS 972796 255 63
2 P MS Data                    32768 15627972607 15627939840 [Basic data partition]
Boot sector                        Backup boot sector
0000 eb52904e 54465320   .R.NTFS   eb52904e 54465320   .R.NTFS
0008 20202000 02080000      .....  20202000 02080000      .....
0010 00000000 00f80000   ........  00000000 00f80000   ........
0018 3f00ff00 00800000   ?.......  3f00ff00 00800000   ?.......
0020 00000000 80008000   ........  00000000 80008000   ........
0028 ff6f7fa3 03000000   .o......  ff6f7fa3 03000000   .o......
0030 00000c00 00000000   ........  00000c00 00000000   ........
0038 02000000 00000000   ........  02000000 00000000   ........
0040 f6000000 01000000   ........  f6000000 01000000   ........
0048 fc59901a 85901ae0   .Y......  fc59901a 85901ae0   .Y......
0050 00000000 fa33c08e   .....3..  00000000 fa33c08e   .....3..
0058 d0bc007c fb68c007   ...|.h..  d0bc007c fb68c007   ...|.h..
0060 1f1e6866 00cb8816   ..hf....  1f1e6866 00cb8816   ..hf....
0068 0e006681 3e03004e   ..f.>..N  0e006681 3e03004e   ..f.>..N
0070 54465375 15b441bb   TFSu..A.  54465375 15b441bb   TFSu..A.
0078 aa55cd13 720c81fb   .U..r...  aa55cd13 720c81fb   .U..r...
0080 55aa7506 f7c10100   U.u.....  55aa7506 f7c10100   U.u.....
0088 7503e9dd 001e83ec   u.......  7503e9dd 001e83ec   u.......
0090 18681a00 b4488a16   .h...H..  18681a00 b4488a16   .h...H..
0098 0e008bf4 161fcd13   ........  0e008bf4 161fcd13   ........

7 投稿 by web404

  • web404
  • 管理人
  • オフライン

Re: 外付けHDDのRAW認識

NTFSみたいなので、オフセット「28」から8バイトが全領域のセクタ数。
※参考： Partition Boot Sector (NTFS) - Wikipedia（英語）
リトルエンディアンですから、1バイトずつ逆に読んで、「03 a3 7f 6f ff」。
これを10進数にすると、「15627939839」。
ブートセクタを含めると、1足して「15627939840」。
これは、現在「TestDisk」が認識している値と同じです。

NTFSのバックアップブートセクタは、パーティション末尾に存在するので、
現在の領域が、そのままかつてのパーティションだった可能性が極めて高いです。

つまり、パーティションの領域が間違っていて認識できないのではなく、
ファイルシステムに関する情報が上書きされているために認識できないんだと考えられます。
ブートセクタを含む領域が上書きされてしまったことは、ほぼ間違いないようです。
何が原因かはわかりませんが。

MFTのミラーから復旧できればいいんですけどね。

8 投稿 by yos

  • yos
  • 登録ユーザー
  • オフライン

Re: 外付けHDDのRAW認識

なるほど、ありがとうございます。
MFTのミラーも消失しているようです。

復旧ソフトでサルベージですかね。。