データ復旧

コンピューティングにおいて、データ復旧とは、二次記憶装置、リムーバブルメディア、またはファイルに保存されているデータが通常の方法ではアクセスできない場合に、削除された、アクセスできない、失われた、破損した、損傷した、またはフォーマットされたデータをそこから取得するプロセスです。 ^[1]データは、ほとんどの場合、内蔵または外付けハードディスクドライブ(HDD)、ソリッドステートドライブ(SSD)、USBフラッシュドライブ、磁気テープ、CD、DVD、RAIDサブシステム、その他の電子デバイスなどのストレージメディアから回収されます。ストレージデバイスの物理的な損傷や、ファイルシステムの論理的な損傷によりホストオペレーティングシステム(OS) によるマウントが妨げられると、復旧が必要になる場合があります。^[1]

論理障害は、ハードドライブデバイスが機能しているが、ユーザーまたは自動化されたOSがそこに保存されているデータを取得またはアクセスできない場合に発生します。論理障害は、エンジニアリングチップの破損、パーティションの損失、ファームウェア障害、またはフォーマット/再インストール中の障害によって発生する可能性があります。^{[2] [3]}

データ復旧は非常に単純なものから技術的な課題までさまざまです。そのため、この分野に特化したソフトウェア会社が存在します。^[4]

最も一般的なデータ復旧シナリオには、オペレーティング システムの障害、ストレージ デバイスの誤動作、ストレージ デバイスの論理障害、偶発的な損傷または削除などが含まれます (通常、単一ドライブ、単一パーティション、単一 OS システム)。この場合の最終的な目標は、破損したメディアからすべての重要なファイルを別の新しいドライブにコピーすることです。これは、破損したドライブではなく、 ROMまたは USB ドライブから直接起動することで、Live CDまたは DVD を使用して実現できます。多くの Live CD または DVD では、システム ドライブとバックアップ ドライブまたはリムーバブル メディアをマウントし、ファイル マネージャーまたは光ディスク オーサリングソフトウェアを使用して、ファイルをシステム ドライブからバックアップ メディアに移動できます。このようなケースは、ディスク パーティション分割と、交換可能な OS システム ファイルとは別のパーティションに貴重なデータ ファイル (またはそのコピー) を一貫して保存することで軽減できることがよくあります。

もう 1 つのシナリオは、ドライブ レベルの障害 (ファイル システムまたはドライブ パーティションの侵害、ハード ディスク ドライブの障害など) です。いずれの場合も、メディア デバイスからデータを簡単に読み取ることはできません。状況に応じて、解決策には、論理ファイル システム、パーティション テーブル、またはマスター ブート レコードの修復、ファームウェアの更新、または破損したデータのソフトウェア ベースの回復から、損傷したサービス領域 (ハード ディスク ドライブの「ファームウェア」とも呼ばれる) のハードウェアおよびソフトウェア ベースの回復、物理的に損傷したドライブのハードウェア交換 (新しいドライブへのデータの抽出が可能) まで、さまざまなドライブ回復手法が含まれます。ドライブ回復が必要な場合、通常はドライブ自体が恒久的に故障しており、焦点はむしろ 1 回限りの回復、つまり読み取れるデータをすべて救出することにあります。

3 番目のシナリオでは、ユーザーが誤ってファイルをストレージ メディアから「削除」してしまいました。通常、削除されたファイルの内容は物理ドライブからすぐには削除されません。代わりに、ディレクトリ構造内のファイルへの参照が削除され、その後、削除されたデータが占めていたスペースが後でデータを上書きするために使用できるようになります。エンド ユーザーの心の中では、削除されたファイルは標準のファイル マネージャーでは検出できませんが、削除されたデータは技術的には物理ドライブ上にまだ存在しています。その間、元のファイルの内容は、多くの場合、いくつかの切断されたフラグメントとして残り、他のデータ ファイルによって上書きされなければ回復できる可能性があります。

「データ復旧」という用語は、法医学アプリケーションやスパイ活動の文脈でも使用され、破損したデータではなく、暗号化、隠蔽、または削除されたデータが復旧されます。コンピュータに存在するデータは、ウイルス攻撃などの理由により暗号化または隠蔽されることがあり、そのようなデータは一部のコンピュータ法医学専門家によってのみ復旧できます。

ストレージ メディアに物理的な損傷を引き起こす可能性のある障害は多岐にわたりますが、人為的ミスや自然災害が原因となる場合があります。CD -ROM は金属基板や染料層が傷つくことがあります。ハード ディスクはヘッド クラッシュ、PCB 障害、モーター障害など、さまざまな機械的障害が発生することがあります。テープは単純に破損することもあります。

ハード ドライブの物理的な損傷は、ヘッド クラッシュが発生した場合でも、必ずしもデータが永久に失われることを意味するわけではありません。多くの専門的なデータ復旧会社が採用している技術により、通常、障害発生時に失われたデータのすべてではないにしても、大部分を回復できます。

もちろん、ハード ドライブのプラッターに重大な損傷が発生した場合など、例外もあります。ただし、ハード ドライブを修復して完全なイメージまたはクローンを作成できる場合は、ほとんどの場合、論理ファイル構造を再構築できます。

物理的な損傷のほとんどは、エンドユーザーでは修復できません。たとえば、通常の環境でハードディスクドライブを開くと、空気中のほこりがプラッターに付着し、プラッターと読み取り/書き込みヘッドの間に挟まる可能性があります。通常の動作中、読み取り/書き込みヘッドはプラッター表面から3〜6ナノメートル浮遊しており、通常の環境で見つかる平均的なほこりの粒子の直径は通常約30,000ナノメートルです。^[5]これらのほこりの粒子が読み取り/書き込みヘッドとプラッターの間に挟まると、新しいヘッドクラッシュが発生し、プラッターがさらに損傷し、回復プロセスが損なわれる可能性があります。さらに、エンドユーザーには、これらの修復を行うために必要なハードウェアや技術的な専門知識がないのが一般的です。そのため、重要なデータを救出するために、クラス100のほこりや静電気がないクリーンルームを使用する、より評判の良いデータ回復会社を雇うことがよくあります。^[6]  

物理的に損傷したハードウェアからデータを回復するには、複数の手法が考えられます。一部の損傷は、ハード ディスクの部品を交換することで修復できます。これだけでディスクは使用可能になるかもしれませんが、論理的な損傷が残っている可能性があります。表面から読み取り可能なすべてのビットを回復するには、特殊なディスク イメージ作成手順が使用されます。このイメージを取得して信頼性の高いメディアに保存すると、論理的な損傷がないか安全に分析でき、元のファイル システムの大部分を再構築できる可能性があります。

よくある誤解は、損傷したプリント基板(PCB) は、回復手順中に正常なドライブの同一の PCB と簡単に交換できるというものです。これは、2003 年以前に製造されたハードディスク ドライブではまれに機能する場合がありますが、新しいドライブでは機能しません。最近のドライブの電子基板には通常、ドライブ固有の適応データ(通常は不良セクターのマップとチューニング パラメータ) と、ドライブのデータに適切にアクセスするために必要なその他の情報が含まれています。交換用基板では、すべてのデータを効果的に回復するためにこの情報が必要になることがよくあります。交換用基板を再プログラムする必要がある場合があります。一部のメーカー (たとえば Seagate) は、この情報をシリアルEEPROMチップに保存し、取り外して交換用基板に転送することができます。^{[7] [8]}

各ハードディスクドライブには、システム領域またはサービス領域と呼ばれる領域があります。このドライブの部分はエンドユーザーが直接アクセスすることはできませんが、通常、ドライブのファームウェアと、ドライブが通常のパラメータ内で動作できるようにする適応データが含まれています。^[9] システム領域の機能の1つは、ドライブ内の欠陥セクターを記録することです。基本的に、ドライブにデータを書き込むことができる場所と書き込むことができない場所を指示します。

セクターリストも PCB に取り付けられたさまざまなチップに保存されており、各ハードディスクドライブに固有のものです。PCB 上のデータがプラッターに保存されているものと一致しない場合、ドライブは適切に調整されません。^[10]ほとんどの場合、ドライブヘッドは PCB に保存されているものと一致するデータを見つけることができないため、クリック音を発します。

「論理的損傷」という用語は、エラーがハードウェアの問題ではなく、ソフトウェア レベルの解決策を必要とする状況を指します。

場合によっては、パーティション テーブルやファイル システムの損傷、または (断続的な) メディア エラーが原因で、ハード ディスク ドライブ上のデータが読み取れなくなることがあります。これらのケースの大半では、TestDiskなどの専用のデータ復旧ソフトウェアを使用して損傷したパーティション テーブルまたはファイル システムを修復することで、元のデータの少なくとも一部を復旧できます。ddrescueなどのソフトウェアは、断続的なエラーがあってもメディアのイメージを作成でき、パーティション テーブルまたはファイル システムが損傷している場合でも生データをイメージ化できます。このタイプのデータ復旧は、特別な物理装置やプラッタへのアクセスを必要としないため、ドライブ ハードウェアの専門知識がない人でも実行できます。

データは、比較的単純な方法とツールを使用して回復できる場合もありますが、^[11]より深刻なケースでは、特にファイルの一部が回復不可能な場合など、専門家の介入が必要になることがあります。データカービングとは、破損したファイルの構造に関する知識を使用して、その一部を回復することです。

ハードディスクドライブ上でデータが物理的に上書きされると、以前のデータは回復不可能であると一般に考えられています。1996 年、コンピューター科学者のPeter Gutmann氏は、磁気力顕微鏡を使用することで上書きされたデータを回復できる可能性を示唆する論文を発表しました。^[12] 2001 年に、彼は同様のトピックに関する別の論文を発表しました。^{[13]この種のデータ回復を防ぐために、Gutmann 氏と Colin Plumb 氏は、} Gutmann 法 として知られるデータを不可逆的にスクラブする方法を考案し、いくつかのディスクスクラブソフトウェアパッケージで使用されています。

かなりの批判が続いたが、主に、上書きされた大量のデータが回復されたという具体的な例がないことに言及している。^[14] ガットマンの記事には、特にハードドライブ上でデータがどのようにエンコードされ、処理されるかに関する情報に関して、多くの誤りと不正確さが含まれている。^[15]ガットマンの理論は正しいかもしれないが、上書きされたデータが回復できるという実際的な証拠はなく、研究では上書きされたデータは回復できないことが裏付けられている。^{[指定] [16] [17] [18]}

ソリッド ステート ドライブ(SSD) は、ハード ディスク ドライブ (HDD) とは異なる方法でデータを上書きするため、少なくとも一部のデータは簡単に復元できます。ほとんどの SSD は、フラッシュ メモリを使用して、フラッシュ変換層(FTL)によって管理される論理ブロック アドレス(LBA)によって参照されるページとブロックにデータを格納します。FTL がセクターを変更すると、新しいデータが別の場所に書き込まれ、マップが更新されて、新しいデータがターゲット LBA に表示されます。これにより、変更前のデータがそのまま残り、おそらく何世代にもわたって、データ復元ソフトウェアによって復元できます。

場合によっては、ウイルス攻撃、誤った削除、または SHIFT+DELETE の誤った使用などの状況により、物理ドライブ (内部/外部ハード ディスク、ペンドライブなど) に存在するデータが失われたり、削除されたり、フォーマットされたりすることがあります。このような場合、データ回復ソフトウェアを使用してデータ ファイルを回復/復元します。

ハードディスクの論理的障害のリストでは、論理的不良セクターが、データが読み取り不能になる最も一般的な障害です。ソフトウェアでもエラー検出を回避できる場合があり、繰り返し読み取りと統計分析を行うことで、基礎となる保存データの少なくとも一部を回復できる可能性があります。保存されたデータとエラー検出および修正コードに関する事前の知識を使用して、エラーのあるデータでも回復できる場合があります。ただし、基礎となる物理ドライブがひどく劣化している場合は、少なくともデータ周辺のハードウェアを交換する必要があります。または、物理記録媒体に実験室の技術を適用する必要がある場合もあります。それぞれのアプローチは次第に高価になり、そのため次第に求められることは少なくなっています。

最終的に、最終的な物理的なストレージ メディアがひどく損傷した場合、いかなる手段を使っても回復することは不可能になり、情報は回復不能に失われます。

復旧の専門家は、必ずしも損傷したハードウェアに物理的にアクセスする必要はありません。失われたデータをソフトウェア技術で復旧できる場合、インターネット、LAN、または損傷したメディアの物理的な場所へのその他の接続を介してリモートアクセスソフトウェアを使用して復旧を実行できます。このプロセスは、エンドユーザーが自分で実行できるものと本質的に変わりません。^[19]

リモートリカバリには、十分な帯域幅を備えた安定した接続が必要です。ただし、物理的な損傷の場合など、ハードウェアへのアクセスが必要な場合は適用されません。

通常、データ復旧を成功させるには4つの段階がありますが、これはデータの破損や必要な復旧の種類によって異なります。^[20]

フェーズ1

ハードディスクドライブを修復する

ハード ドライブを修理するのは、何らかの形で動作できるようにするため、または少なくともそこからデータを読み取るのに適した状態にするためです。たとえば、ヘッドが不良であれば交換する必要があります。PCB に欠陥があれば修理または交換する必要があります。スピンドル モーターが不良であれば、プラッターとヘッドを新しいドライブに移動する必要があります。

フェーズ2

ドライブを新しいドライブまたはディスクイメージファイルにイメージ化する

ハード ディスク ドライブが故障した場合、ドライブからデータを取り出すことが最優先事項です。故障したドライブを長く使用すればするほど、さらなるデータ損失が発生する可能性が高くなります。ドライブのイメージを作成すると、別のデバイスにデータのセカンダリ コピーが存在することが保証され、ソースに損害を与えることなくテストや回復手順を安全に実行できます。

フェーズ3

ファイル、パーティション、MBR、ファイルシステム構造の論理的回復

ドライブを新しいドライブにクローンした後は、失われたデータの回復を試みるのが適切です。ドライブが論理的に故障した場合、その原因はいくつか考えられます。クローンを使用すると、パーティション テーブルまたはマスター ブート レコード(MBR) を修復して、ファイル システムのデータ構造を読み取り、保存されているデータを取得できる可能性があります。

フェーズ4

取得された破損したファイルを修復する

たとえば、ドライブ上の破損したセクターにファイルが書き込まれると、データが破損する可能性があります。これは、ドライブの故障で最も一般的な原因であり、読み取り可能にするにはデータを再構築する必要があります。破損したドキュメントは、いくつかのソフトウェア メソッド、または 16 進エディターを使用して手動でドキュメントを再構築することで回復できます。

Windowsオペレーティングシステムは、すでにライセンスされているコンピュータに再インストールできます。再インストールは、オペレーティングシステムをダウンロードするか、コンピュータメーカーが提供する「復元ディスク」を使用して行うことができます。エリック・ランドグレンは、復元ディスク 28,000 枚を作成し、コンピュータ修理店の便宜を図るため 1 枚あたり約 25 セントで配布しようとしたとして、2018 年 4 月に罰金と米国連邦刑務所への収監を言い渡されました。[ ^21]

データの回復は、実行中のシステムで常に実行できるとは限りません。そのため、ブート ディスク、ライブ CD、ライブ USB、またはその他の種類のライブ ディストリビューションには、最小限のオペレーティング システムが含まれています。

• BartPE : Microsoft Windows XPまたはWindows Server 2003 32 ビット オペレーティング システムの軽量版で、Windows プレインストール環境に似ており、ライブ CD またはライブ USB ドライブから実行できます。廃止されました。
• Finnix :小型で高速、コンピュータやデータの救出に役立つDebianベースの Live CD
• Disk Drill :データ復旧用の起動可能なmacOS USBドライブを作成可能
• Knoppix : Linuxでのデータ復旧用ユーティリティが含まれています
• SystemRescue : Arch Linuxベースのライブ CD。起動できないコンピュータ システムを修復したり、システム クラッシュ後にデータを回復したりするのに役立ちます。
• Windows プレインストール環境(WinPE): カスタマイズ可能な Windows ブート DVD (Microsoft が作成し、無料で配布)。リストされているプログラムのいずれかを起動するように変更できます。

• CHKDSK : DOSおよび Windows システムの整合性チェッカー
• Disk First Aid :クラシック Mac OSの整合性チェッカー
• ディスクユーティリティ: macOSの整合性チェッカー
• fsck : UNIX の整合性チェッカー
• GParted : fsck を呼び出すことができる GNU パーティション エディタであるGNU Partedの GUI

• CDRoller :光ディスクからデータを回復する
• Disk Drill : Mac OS X および Windows 用のデータ復旧アプリケーション
• DMDE : マルチプラットフォームのデータ復旧およびディスク編集ツール
• dvdisaster : 光ディスクのエラー訂正データを生成する
• GetDataBack : Windows 回復プログラム
• Hetman Partition Recovery : データドライブ回復ソリューション
• IsoBuster : 光ディスク、USBスティック、フラッシュドライブ、ハードドライブからデータを回復します
• Mac Data Recovery Guru : USB スティック、光学メディア、ハードドライブで動作する Mac OS X データ復旧プログラム
• MiniTool Partition Wizard : Windows 7以降用。データ復旧機能付き
• Norton Utilities : ファイル回復コンポーネントを備えたユーティリティスイート
• PhotoRec :ファイルの回復に使用されるテキストベースのユーザーインターフェイスを備えた高度なマルチプラットフォームプログラム
• Recover My Files : Windows 2000 以降用の専用ソフトウェア - FAT、NTFS、HFS
• Recovery Toolbox : フリーウェアおよびシェアウェア ツール、および Windows 2000 以降のさまざまなプログラム用のオンライン サービス
• Recuva : Windows 2000 以降用の独自ソフトウェア - FAT および NTFS
• Stellar Data Recovery : Windows および macOS 用のデータ復旧ユーティリティ
• TestDisk : 無料、オープンソース、マルチプラットフォーム。ファイルと失われたパーティションを回復します
• AVG TuneUp : Windows XP 以降用のファイル回復コンポーネントを備えたユーティリティ スイート
• Windows File Recovery : Windows 10 バージョン 2004 以降で削除されたファイルを回復するための Microsoft のコマンドライン ユーティリティ

• Foremost : もともと空軍特別捜査局とNPS情報システムセキュリティ研究センターによって開発されたオープンソースのコマンドラインファイル回復プログラム
• フォレンジックツールキット: AccessData 社製、法執行機関が使用
• オープンコンピュータフォレンジックアーキテクチャ：Linux用のオープンソースプログラム
• 検死官ツールキット: 侵入後の UNIX システムの法医学的分析を支援するユーティリティ スイート
• Sleuth Kit : TSK とも呼ばれ、Brian Carrier が UNIX、Linux、Windows システム向けに開発したフォレンジック分析ツール スイートです。TSK には Autopsy フォレンジック ブラウザーが含まれています。

• Clonezilla : 無料のディスククローン作成、ディスクイメージ作成、データ復旧、および展開ブートディスク
• dd : Unix 系システムでよく使われるバイト単位のクローン作成ツール
• ddrescue : dd に似たオープンソース ツールですが、障害が発生したストレージ デバイスの不良ブロックをスキップして再試行する機能があります。
• Team Win Recovery Project : Android デバイス用の無料のオープンソース回復システム

Wikiversityにはデータ復旧に関する学習リソースがあります

• Tanenbaum, A. & Woodhull, AS (1997).オペレーティングシステム: 設計と実装、第 2 版。ニューヨーク: Prentice Hall。