I laben hos Ibas: Slik reddes dataene når harddisken har veltet eller mobilen blitt våt

KONGSVINGER (digi.no): I denne andre artikkelen i vår serie om Ibas Ontrack, som fyller 40 år i år, besøker vi laben til selskapet. Her gjøres de fysiske undersøkelsene av kundenes defekte harddisker og mobiltelefoner, i tillegg til arbeidet som må til for å hente ut rådataene på lagringsenhetene.

Les også: Fra orgelstyring til rekonstruksjon av SSD-data. Ibas har mer å gjøre enn noen gang

Har avviklet de store renrommene

Som vi nevnte i forrige artikkel i denne serien, benyttet Ibas seg tidligere av store og lukkede renrom hvor de ansatte måtte ha på seg heldekkende drakter for å beskytte harddiskene mot støvpartikler.

De til sammen 300 kvadratmeter store renrommene ble bygd inn i det daværende nybygget tidlig på 1990-tallet. De ble egentlig lagd for å tilpasse selskapet til volumreparasjoner av harddisker.

Inne i disse renrommene var det forberedt samlebånd for å kunne få til en effektiv prosess på dette. Raskt ble rommene mer tilpasset rekonstruksjonsoppgavene som på den tiden vokste kraftig. Inne i disse rommene kunne harddisker fritt åpnes.

Utover 2000-tallet ble rommene ombygd, og kraftig redusert i areal.

Arbeidsbenk med vifte

Rundt 2006 ble renrommene avviklet helt. I stedet ble det innført arbeidsbenker med vegger på tre sider og en innsugsvifte på toppen. Luften filtreres av blant annet et HEPA-filter (High-Efficiency Particulate Absorber), før den blåses ned på benken og skaper et overtrykk inne i avlukket, slik at svært lite støv kommer inn gjennom åpningen som vender mot ingeniøren som jobber med lagringsenhetene.

Det er flere årsaker til at Ibas gjorde denne endringen, men en viktig faktor var at driftskostnader som strøm, vedlikehold og filtre var høye.

Vel så viktig var det likevel at det at prosessene til selskapet ble enklere når de ansatte slapp av- og påkledning av renromsdressene.

Samtidig fantes det teknologiske metoder i de nye viftene som i sum skal ha gjort valget enkelt.

Saken fortsetter under bildet.

«Defcon 1»

Øyvind Nyland, nordisk avdelingsleder for rekonstruksjon hos Ibas, forteller til digi.no at laben har blitt «nedgradert» i forbindelse med vårt besøk.

– Laben vår er jo en sikkerhetssone som vi ikke helt uten videre kan ta med folk inn i. Så akkurat nå er den nedgradert, slik at vi kan slippe inn deg. Det er ikke slik at hvem som helst bare kan komme inn. Dette avhenger av hva vi jobber med. Akkurat som du ser på film, er vi nå i «Defcon 1». Det er viktig med tanke på den klareringen vi har og de sakene vi håndterer. Når vi skal ta bilder og slik, må vi prøve å ikke ta bilder av noe som kan avsløre noe, forteller han.

Når lagringsenhetene kommer inn til Ibas, blir de registrert i et ordresystem, merket med et ID-nummer og lagt i hver sin plastboks, sammen med en papirutskrift av ordren. Dette bidrar blant annet til at enhetene ikke blir forvekslet. Ordresystemet blir oppdatert etter hvert som arbeidet med enhetene skrider fram.

Innledende undersøkelse

Digi.no følger overingeniør Geir Bratberg mens han undersøker en harddisk som har blitt sendt inn fra en kunde i Finland. Etter å ha registrert i ordresystemet at det er han som har påtatt seg jobben med denne harddisken, kobler Bratberg den til en datamaskin for å gjøre den første evalueringen av hva som er galt.

Datamaskinen kjører en vanlig versjon av Windows, men benytter blant annet programvare som hindrer Windows i å aksessere den skadde enheten. Bratberg bruker deretter et program som gir en grafisk representasjon av hele disken, hvor han kan se at en del av harddisken blir lest før den stopper opp.

Saken fortsetter under bildet.

– Ut fra egen kunnskap vet jeg hvor mange sektorer det er før disken bytter hode. Dersom den aktuelle disken har lest gjennom flere millioner blokker før den stopper opp, har den brukt alle hodene. Da kan vi vite at i alle fall hodene fungerer. Dette er noe lærer seg etter å ha jobbet med dette i noen år, for dette varierer mellom alle diskmodeller, fabrikater, generasjoner, og så videre. Det kan spenne fra bare noe få tusen til flere millioner blokker per hode, forklarer han.

Dermed er den innledende evalueringen, som Ibas ikke tar betalt for, over i dette tilfellet. Mye av harddisken lar seg lese, men fordi det er en fysisk lesefeil på disken, vil trolig ikke alle filer kunne reddes. Det avhenger av om noen av filene befinner seg i det skadde området eller ikke.

Bratberg gir deretter salgsavdelingen beskjed om tilstanden og forventet resultat.

– Så tar salgsavdelingen kontakt med kunden og gir kunden et prisestimat og blir enige om den løsningen kunden ønsker, forteller han.

– Bommer sjelden

Selv om denne evalueringen gjøres raskere enn det som er tilfellet når kundene betaler også for dette, anses estimatet for å være temmelig nøyaktig.

– Basert på den lange erfaringen og kompetansen som for eksempel Geir har, kan han på kort tid estimere ganske nøyaktig hva vi kan få til. Det er ikke så ofte han bommer, sier Nyland.

Noe av sentrale for Ibas er å redusere selskapets risiko knyttet til løftet om slike gratisevalueringer.

– Skulle vi ha gjort en fullstendig analyse for å si eksakt hva som er mulig å få til, så kreves det ganske mye mer arbeid. Og å gjøre det for null kroner, da blir det veldig vanskelig å tjene penger, sier Nyland.

Dersom kunden ender opp med å bestille rekonstruksjon av dataene, og det er ikke alltid tilfellet, så kan det hende at resultatet likevel ikke blir som forventet.

– Hvis det blir bedre enn ventet, så er det sjelden noe problem. Men dersom det viser seg at det faktisk ikke gikk eller at det blir dårligere enn estimert, så går vi selvfølgelig tilbake til kunden og har en dialog rundt dette og ser hva vi kan bli enige om, forteller Nyland.

Saken fortsetter under bildet.

Prisen avgjøres av mange faktorer

Hvor mye en jobb koster til slutt, avhenger av en rekke faktorer. Svært avgjørende er det om det haster å få gjenopprettet dataene. Da blir prisen betydelig høyere enn om det er en jobb som kan vente litt. I privatmarkedet er nok de fleste mer villige til å vente noen dager enn det som er tilfellet når ordreboka til en bedrift har forsvunnet.

– Prisene i privatmarkedet kan være alt fra 2-3 tusen til 10-12 tusen, helt avhengig av kompleksitet og skadeomfang. Det er helt individuelt, forteller Nyland.

Det er mange faktorer som kan spille en rolle. Den samme feilen på to ulike disker kan får helt forskjellige utfall, avhengig av hvordan disken fungerer internt. Også hvordan brukeren selv har lagret og eventuelt overskrevet dataene, har betydning.

Manuell jobb

Dette er noe av årsaken til at mye av det arbeidet Ibas gjør med lagringsenhetene, skjer manuelt.

– Mange tror at vi bare setter disken på en eller annen «recovery»-maskin, trykker på en knapp, og så spruter det ut data. Det kan man jo for så vidt gjøre, men det blir ikke bra. Derfor gjør vi veldig mye manuelt. Deretter bruker vi verktøy til å automatisere prosessene i etterkant, sier Nyland.

Han erkjenner at også automatisert programvare «vet» hva den driver med.

– Men den er satt opp på generell basis, det blir aldri helt optimalt. Vi gjør egne tilpasninger av programvaren underveis i hver enkelte sak, etter for eksempel å ha studert bitstrukturen. Vi legger æren vår i at det skal være bra. Derfor bruker vi kanskje mye mer tid enn det vi kanskje burde, egentlig, på å forsøke å gjøre det så godt som mulig, forklarer han.

Kunden må prioritere

Noe av det som selvfølgelig også er med på å avgjøre prisen, er hvor mye innsats som skal gjøre for å redde dataene, samt kundens evne til å prioritere.

Ifølge Nylig sier mange kunder at alt på enheten er viktig. Det mange kunder ikke tenker på, er at når data skal hentes ut av en skadd enhet, vil det alltid finnes en mulighet for at det går galt.

– Dersom du forteller at det er bryllupsbildene dine som er viktigst, og de ligger i den og den stien i mappesystemet, så kan vi finne ut eksakt hvor på plantene eller i systemet disse dataene ligger. Da kan det være at vi ser at denne biten ligger i det skadde området, og dit kan vi ikke gå, forteller Nyland.

Det som skjer når en forsøker å lese i det skadde området, er at harddiskhodet settes rett oppi dette. Da kan det bli ødelagt, noe som forhindrer videre lesing.

– Hodene tåler ikke så veldig mye, og de kan fort komme borti en skrape. Det koster litt tid og penger å bytte disse, forteller Kjell Berge, medgründer og utviklingssjef i Ibas.

Hodebytte

Én strategi er å hente ut det som både er viktig og lett tilgjengelig først, for deretter nærme seg det skadde området mer og mer.

– Er det veldig viktig, kan vi ofre flere sett med hoder og fortsette å grave der. Kanskje vi får ut litt mer før vi må skifte til neste hodesett, og slik fortsetter det. Men dette tar tid og det koster penger. Men det er mulig – og kostbart, sier Berge.

Fregatthavariet?

I en av de mer krevende sakene som Ibas har jobbet med, var målet å hente ut data fra en harddisk etter en fergeulykke.

– Vi jobbet med disken i flere måneder. Det var likevel ganske lite av det totale innholdet vi greide å få ut. Samtidig var det nok til å lese skipsloggen, forteller Bratberg.

På spørsmål om Ibas også er involvert i redningen av data ombord i KNM Helge Ingstad, svarer markedssjef Tormod Nymoen som følger:

– Ibas har taushetsplikt når det gjelder hvilke kunder eller hvilke saker som vi til enhver tid jobber med. På generelt grunnlag vil vi mene at det er mulig å gjenopprette alle mulige typer data fra lagringsmedier som har vært utsatt for vann, brann, røyk eller annen forurensning.

Hodekrasj

– Vi åpner jo disken dersom det er nødvendig for å se på hoder og plater etter krasj og skader. Da har vi utstyr som vi bruker til dette, blant annet forskjellige typer mikroskoper, pinsetter, loddeutstyr og varmluft, forteller Bratberg.

Omtrent 60 prosent av de fysiske skadene som Ibas ser på harddisker, skyldes hodekrasj. Det vil si at ett eller flere av hodene har slått nedi én eller flere av platene mens harddisken har vært i gang. En harddisk roterer mellom 5400 og 15 000 ganger i minuttet, så skadene kan bli store.

Avstanden mellom hodet og platene er svært liten. En sigarettrøykpartikkel, for eksempel, er altfor stor til å komme inn i den åpningen.

– Dersom man sammenligner på størrelsesforholdene, tilsvarer det at en jumbojet flyr 30 centimeter over Danmark, forteller Bratberg.

Saken fortsetter under bildet.

Det skal en del press til før hodene kommer nedi. Tilsvarende er det også den andre veien. Bratberg påpeker at det ville ha vært ganske håpløs om hodene skulle hoppe opp under skriving bare fordi brukeren flytte litt på enheten.

– Men det er klart, dersom du slipper pc-en i gulvet og hodet berører platen mens den spinner, så smeller det direkte, forteller Nyland.

Og smeller gjør det altså ganske ofte. Men årsaken er ofte en annen i dag enn for noen år siden, den gang alle bærbare pc-er var utstyrt med harddisker.

Det som ifølge Berge er det typiske nå, er eksterne harddisker som står og så velter over på siden. Da skjer det lett en hodekrasj.

Uforsiktige

Stort sett skyldes slike skader at brukerne er for uforsiktige, mener Ibas-representantene.

– Vi som jobber her, vi slenger ikke pc-en rundt slik som andre gjør. Vi bærer dem forsiktig og setter dem pent ned, sier Berge, halvveis på spøk.

Når harddiskene ikke er i bruk, er hodene ofte parkert ute på en slags parkeringsrampe. Der kan de normalt ikke gjøres noen skade på platene.

– Dersom det ikke er en rampe, så er det en spesiell sone innerst som er perforert, og som hodet ligger på. Hvis hodet ligger der og platene ikke spinner, så suger det seg fast på grunn av kapillareffekten. Da kan det være vanskelig å få det av i det hele tatt, sier Bratberg.

– Harddisken kan bli ødelagt av støt da også, men da er i alle fall platene ofte hele, fortsetter han.

Saken fortsetter under bildet.

Løse hoder

Nyland forteller at Ibas har opplevd at hodene til 2,5 tommers harddisker har løsnet på grunn av slag, og at de på grunn av kapillareffekten suger seg fast i platene. Faktisk skal det i mange år ha kommet inn temmelig mange slike tilfeller.

– Vi løsnet hodene ved å ta dem vekk, ikke ved å skyve, men ved å få ta i et «hjørne», forteller Berge.

Da kunne det være spor i platen etter der hodet hadde landet.

– Det lander jo med et smell. Men dette kan vi fikse, for eksempel ved å polere det ned, forteller Nyland.

Riktignok går noe data tapt på grunn av slike hendelser, men Bratberg mener du skal være bra uheldig for at tapet av noen tusen blokker av en milliard totalt, skal resultere i noen «fatalt».

Solide «disker»

SSD-er (Solid-State Drive) tåler selvsagt mye mer enn harddisker, siden de ikke har noen bevegelige deler. Men også her kan det skje mye galt.

– Det er en del rene elektronikkfeil der også, som krever god gammeldags feilsøking i elektronikken, sier Bratberg, før Berge skyter inn at det er mange loddepunkter det kan gå brudd i.

– SSD-ene har også en viss sårbarhet dersom strømmen forsvinner på laptopen mens de er i gang. Da våkner de aldri opp igjen. Dette problemet har blitt mindre, men det var ganske stort til å begynne med. Men det er korrupsjon i cellene som er hovedproblemet, fortsetter Bratberg.

– Vi har også mulighet til å ta av kretsene og lese dem direkte og gjenoppbygge dataene slik de har vært. Men her har du et problem med korrupte celler og korrupsjon i dataene. Blir det for ille, er det kjørt, sier Bratberg.

Korrupsjonsproblemene i cellene omtalte vi i større detalj i den forrige artikkelen i denne serien.

Utrolig komplekse

Nyland poengterer at selv om SSD-enheter egentlig ikke har så stor kapasitet, så er de gjerne utrolig komplekse internt.

– Det blir nesten som å sette sammen et RAID av disker. For du har jo x antall chiper hvor dataene fordeles utover. Det er ikke slik at det er én kompakt enhet. Så det blir å sy sammen måten dataene er spredd utover de forskjellige chipene. Det er en intern struktur som er ganske kompleks, sier han.

Berge legger til at dataene er spredd slik for å begrense antall overskrivninger av hver celle.

– Samtidig blir ikke dataene borte igjen før de etter lang tid blir skrevet over. Derfor er det enda verre å slette data i SSD-er enn i harddisker, påpeker han.

Saken fortsetter under bildet.

Logisk blokklag

– Når du ser på en harddisk og tenker at dette er blokk 0, 1 eller hva det måtte være, så er det nettopp dette også på plata. Det er det laveste du kommer. Mens SSD-en er bygd opp med en slags form for logisk blokklag. Så når du skal se på blokk nummer 1, så får du den informasjonen som ligger der, men dataene ligger ett eller annet sted lenger ned, og under der er det en mappestruktur som skyfler disse dataene rundt for å få en slitasjeutjevningsalgoritme (wear level) til å fungere, slik at du ikke sliter ut noen celler, forklarer Nyland.

– En multilevel SSD kan kanskje bare tåle en 2-3 tusen skrivninger til hver celle. Da er cella død. Da er du nødt til å skyfle dataene mye rundt for å få lik belastning, ellers vil områder dø fort. Dette gjelder for eksempel systemområdet som endres hele tiden, fortsetter han.

Bratberg understreket at det uansett dør celler i en SSD. Dette er noe den interne prosessoren i SSD-en holder rede på. Det er ikke sikkert dette er merkbart på noen måte for brukeren, for SSD-ene har ifølge Bratberg en viss overkapasitet som brukerne ikke ser. Når en celle dør, tas det i bruk en celle fra denne overkapasiteten.

Trim

Nyland peker også på et annet aspekt ved SSD-er som en ikke ser ved harddisker.

– På harddisker, dersom du sletter noe eller gjør en nyinstallasjon, nullstiller du kanskje tabeller og overskriver blokker når du legger inn operativsystemet på nytt. Men på alle de datablokkene som ikke har blitt endret, der ligger fortsatt de gamle dataene. Dermed er det bare å pusle dem sammen og få ut brukerdataene. Slik vil det være inntil harddiskblokken er overskrevet, sier han.

– På nyere SSD-er, derimot, er det en trimfunksjon, og det er klart at denne gjør det vanskeligere for oss å rekonstruere dataene, sier Nyland.

Trimfunksjonen fungerer slik at operativsystemet i datamaskinen forteller SSD-en hvilke celler som ikke lenger anses for å være i bruk. Innholdet i disse slettes deretter aktivt av SSD-en.

– Det er et ekstra aspekt som gjør at der det burde være mulig å få til ting, så er det vanskelig. Det er slike teknologiutfordringer som dukker opp hele tiden, og som da lager muligheter eller begrensninger for hva du kan få til, sier Nyland.

– Om det ikke er umulig, så kan du i alle fall ikke på forhånd si at det går. På en harddisk kan du ofte på forhånd si hva resultatet vil være, når man vet hva som har skjedd, sier Bratberg.

Vannskadde mobiler

Nesten alle, i alle fall i Norge, har i dag en smartmobil som de tar med seg over alt. Da skjer det også uhell. Det vanligste problemet med mobilene Ibas får inn, er vannskader. Og som nevnt i forrige artikkel i denne serien, er det mange som opplever at synkroniseringen av brukerdataene ikke har fungert helt som de trodde. Kanskje de eneste bildene av en viktig begivenhet i livet til mobileieren, finnes på akkurat denne enheten.

– Det er korrosjon i de tynne kobberbanene på hovedkortet som er problemet for vår del. Vi har åpnet telefoner hvor det har rast ut komponenter på pulten, forteller Bratberg.

Ifølge Nyland er tiden et viktig aspekt når det gjelder vann- og fuktskader.

– Jo raskere vi kommer i gang, desto bedre, sier han.

Saken fortsetter under bildet.

Ikke tørk

Mange vil nok forsøke å tørke mobilen og se om den starter igjen etter noen dager. Ifølge Nyland er dette selvfølgelig helt greit, men bare dersom det ikke er så farlig med dataene.

Er dataene viktige, anbefaler han derimot at mobilen holdes fuktig ved for eksempel å legge et dynket håndkle rundt enheten og å ha det hele i en tett plastpose.

– Når det tørker, kommer det luft til. Da går korroderingsprosessene mye fortere, spesielt hvis enheten har vært i saltvann. Det er mindre oksygen som kommer til dersom enheten legges i ferskvann, forklarer han.

Berge legger til at dersom enheten har havnet i saltvann, bør den skylles i ferskvann så raskt som mulig.

– Med saltvann tar det ikke lange tiden før alt kobberet er borte. I tillegg leder saltet strøm, og det skapes krypstrømmer som ødelegger alt, forteller han.

Dette gjelder også enheter som markedsføres som mer eller mindre vanntette.

– Så lenge alt er nytt og pakninger og slikt sitter på plass, så kan det sikkert være tett. Men pakningene slites fort når blant annet ladepluggen blir tatt inn og ut hver dag, sier Bratberg.

Etter hvert som Ibas får hentet data ut av lagringsenhetene, blir disse sendt over selskapets interne nettverk og lagret i serverparken som står i kjelleren hos selskapet. Det er vesentlig at det videre arbeidet gjøres på kopier av dataene og ikke på originaldataene.

– Hvis vi jobber på originalen og gjør noe dumt, så er det jo ingen vei tilbake, avslutter Nyland for denne gang.

Det som er blitt beskrevet i denne artikkelen, utgjør bare den første delen av jobben. Hittil har bare rådataene blitt hentet ut. De er ikke nødvendigvis brukbare for kunden. Neste trinn er dermed logisk rekonstruksjon. Det tar vi for oss i neste artikkel i denne serien.

Les også de andre sakene i denne serien:

• Fra orgelstyring til rekonstruksjon av SSD-data. Ibas har mer å gjøre enn noen gang
• – Alle verktøy som produsentene lager selv, lages jo med tanke på at ting fungerer
• Må disken virkelig overskrives mange ganger for å sikre at alt er borte?
• Kanyler med lim og tusenvis av «tapte» konteinere. Det er flere pussige historier knyttet til harddiskene i samlingen til Ibas