Co zgłoszono
Właściciel pendrive'a zauważył, że z nośnika zniknęły potrzebne katalogi. Urządzenie nadal było wykrywane przez komputer, lecz wcześniejszy porządek danych przestał istnieć. Zamiast zwykłych dokumentów i folderów pojawiły się pliki z rozszerzeniem CHK, tworzone czasem po naprawie uszkodzonego systemu plików.
Zgłoszenie dotyczyło przede wszystkim odzyskania zawartości. Nie było podstaw, by obiecywać zachowanie dawnych nazw, rozszerzeń i układu katalogów. Te informacje są częścią metadanych systemu plików, a nie samej treści dokumentu czy zdjęcia. Jeżeli struktura zostanie nadpisana lub rozbita, plik może przetrwać jako ciąg danych bez oryginalnej etykiety.
Nośnika nie należało dalej „naprawiać” w miejscu. Każda operacja zapisująca mogłaby zmienić obszary potrzebne do rekonstrukcji. Dlatego punktem wyjścia nie było porządkowanie katalogów na pendrivie, lecz zabezpieczenie możliwie wiernej kopii do pracy.
Jak przebiegała diagnostyka
Najpierw sprawdzono, czy pendrive utrzymuje połączenie i pozwala odczytać całą dostępną przestrzeń. Następnie wykonano obraz nośnika, aby dalsze próby prowadzić na kopii. Ogranicza to liczbę odczytów z oryginału i pozwala wrócić do niezmienionego materiału, gdy jedna metoda rekonstrukcji nie daje dobrego wyniku.
Analiza potwierdziła uszkodzenie logicznej struktury. Pliki CHK zawierały fragmenty lub całe obiekty, ale ich nazwy nie mówiły, co znajduje się w środku. Część danych można było rozpoznać po sygnaturach formatów i budowie zawartości. W ten sposób rozdzielono między innymi dokumenty, obrazy i inne typy plików bez polegania na utraconych rozszerzeniach.
Każdy odzyskany obiekt wymagał też sprawdzenia, czy nie jest tylko przypadkowym fragmentem. Sam nagłówek formatu nie gwarantuje kompletności. Plik może się otwierać, a mimo to mieć ucięty koniec, brakujące strony lub uszkodzony fragment obrazu. Wynik oceniano więc na podstawie treści, a nie wyłącznie liczby wygenerowanych pozycji.
Co było przyczyną lub rozwiązaniem problemu
Uszkodzone były informacje o katalogach i plikach. Nie ustalono jednoznacznej przyczyny: mogło chodzić o nagłe odłączenie, błąd pamięci, przerwany zapis lub wcześniejszą automatyczną naprawę systemu plików.
Pliki odzyskiwano na podstawie ich zawartości. Nie udało się potwierdzić możliwości odtworzenia całego pierwotnego układu katalogów i nazw.
To kompromis: użytkownik odzyskuje treść, lecz musi ponownie ją uporządkować. W tej sprawie był to uczciwszy rezultat niż tworzenie pozoru, że anonimowy plik odzyskał swoją dawną nazwę i miejsce.
Co zrobiono
Zabezpieczono obraz pendrive'a i pracowano na kopii. Przeanalizowano pliki CHK oraz pozostałą przestrzeń pod kątem znanych formatów. Rozpoznane obiekty wyodrębniono do osobnego zestawu, bez zapisywania odzyskanych danych na źródłowym nośniku.
Materiały posegregowano według typu tam, gdzie pozwalała na to ich wewnętrzna budowa. Wykonano kontrolę przykładowych i istotnych plików, aby odsiać pozycje puste, przypadkowe lub oczywiście niekompletne. Nie odtwarzano na siłę nazw, których nie dało się wiarygodnie powiązać z zawartością.
Wynik przygotowano na innym nośniku. Dzięki temu pendrive pozostał materiałem źródłowym, a właściciel otrzymał osobną kopię do przeglądania i porządkowania.
Jaki był rezultat
Udało się odzyskać użyteczną zawartość plików, dlatego sprawę zakończono jako odzysk danych. Nie wróciły jednak oryginalne nazwy, rozszerzenia wszystkich pozycji ani dawna struktura folderów. Materiał wymagał późniejszego ręcznego przejrzenia.
Taki rezultat może być bardzo wartościowy, gdy liczą się zdjęcia lub dokumenty, ale trzeba go opisać precyzyjnie. „Odzyskano dane” nie znaczy w tym przypadku „pendrive wygląda dokładnie jak przed awarią”. Oznacza, że z uszkodzonej struktury wydobyto treść możliwą do otwarcia i oceny.
Czego uczy ten przypadek
Gdy katalogi nagle znikną, nie należy uruchamiać naprawy dysku na jedynej kopii ani zapisywać na pendrivie nowych plików. Najbezpieczniej odłączyć nośnik i opisać, co wydarzyło się bezpośrednio przed problemem. Informacja o automatycznej kontroli systemu, komunikacie błędu lub nagłym odłączeniu może pomóc dobrać metodę.
Pendrive nie powinien być jedynym miejscem przechowywania ważnych plików. Nawet jeśli uda się odzyskać ich zawartość, dawne nazwy i układ katalogów mogą przepaść.