Diskler ve Flash Bellekler Hakkında Masallar ve Efsaneler

Konuya Giriş

Veri kurtarma konusu zamanla efsaneler ve mitlerle çevrili hale gelmiştir. Popüler kültür, genellikle polis teşkilatları ve diğer kurumlar tarafından yürütülen çalışmaları oldukça basitleştirilmiş bir şekilde sunar. Kurgu dünyasında, bu kurumlar çeşitli sihirli çantalara ve kutulara sahiptir; bunlar sayesinde verileri hızla ve kolayca kurtarabilir, güvenlik önlemlerini aşabilir ve çeşitli ortamlarda saklanan bilgilere erişebilirler.
Bu kurgusal dünyaya olan inanç, teknik bilgisi olmayan yetkililer, savcılar, komutanlar veya basın sözcülerinin yerinde olmayan açıklamalarıyla da beslenmektedir. Burada amaç belirli kişileri veya açıklamaları eleştirmek değildir. Ancak kurum adına kamuoyuna açıklama yapan kişilerin, moral ve güven oluşturmak amacıyla dile getirdikleri ifadelerin, özellikle adli bilişim uzmanları ve teknik personelin çalışmalarına ilişkin gerçekçi olmayan beklentiler oluşturabileceğinin farkında olmaları gerekir. Veri kurtarma olanaklarının doğru değerlendirilmesini zorlaştıran bir diğer unsur ise, teknik gerçeklerden kopuk şekilde hazırlanan veri imha prosedürleri ve bunların bazı veri imha şirketleri tarafından tutarlı biçimde uygulanmamasıdır. Bu durum, çeşitli kurum laboratuvarlarının fizik kurallarına ve teknik gerçeklere dayanmayan gizemli yeteneklere sahip olduğu yönünde yanlış bir algının oluşmasına neden olabilmektedir.
Gerçekte ise memurlar görevlerini yerine getirirken sayısız zorlukla karşılaşmaktadır. Ne polisiye dramalardan aşina olunan sihirli kutulara ne de fantastik süper güçlere sahiptirler. Dahası, bazı işlemler kurumların kendi adli bilişim laboratuvarlarında değil, açık piyasada da benzer hizmetler sunan ticari firmalara yaptırılmaktadır. Bunun nedenleri oldukça çeşitlidir; mevcut ekipman olanaklarından gerekli yedek parçaların temin edilebilmesine, personelin eğitim sisteminden insan kaynakları uygulamalarına kadar pek çok etken bu durumu şekillendirmektedir. Uygulamada kimi zaman asıl önemli olanın, edinilen sertifikaların sayısının kurumsal gereklilikleri karşılaması olduğu görülmektedir.
Uygulamada, verilerin kurtarılıp kurtarılamayacağı fiziksel yasalar tarafından belirlenir. Sayısal bilgi, fiziksel ortam üzerinde mantıksal sıfır ve birleri temsil eden belirli fiziksel durumların yorumlanmasından ibarettir. Bu fiziksel durumların nasıl temsil edildiği ile kodlama ve kod çözme süreçleri kullanılan depolama ortamına göre değişiklik gösterse de, ilgili fiziksel durumlar varlığını koruduğu sürece veriler kurtarılabilir. Buna karşılık bu durumlar yok edilmiş veya geri döndürülemeyecek şekilde değiştirilmişse veri kurtarma fiziksel olarak mümkün değildir.
Maalesef ideal bir dünyada yaşamıyoruz. Bu nedenle veri kurtarmanın teorik olarak mümkün olduğu her durumda, pratikte de veriler her zaman başarıyla kurtarılamaz. Çoğu zaman bütçe, zaman veya teknolojik kısıtlamalar başarılı bir sonucun önünde engel teşkil eder. Özellikle niş ve daha az popüler olan sürücü modellerinde yedek parça (donör) temini önemli bir sorun teşkil etmektedir.
Ayrıca, veri kurtarmanın başarısızlıkla sonuçlandığı veya insan hatası nedeniyle verilerin geri döndürülemez şekilde kaybolduğu durumlar da yaşanmaktadır. Bununla birlikte, veri kurtarma, en temel yazılımları kullanan meslekten olmayan bir kişinin bile başarabileceği kadar basit işlerden, gerekli kaynaklar sağlandığı takdirde büyük araştırma projeleri sayılabilecek karmaşık işlere kadar çok geniş bir yelpazeyi kapsar. Bu nedenle, bazı durumlarda, fiziksel açıdan veriler kurtarılabilir olsa da en iyi uzmanlar bile çaresiz kalabilir. Öte yandan, yetersiz bilgi ve deneyim, aceleci eylemler (teşhis sürecinin tamamen atlanması), dikkatsizlik, veri depolama güvenliği ile veri kurtarma süreçlerine ilişkin temel ilkelerin ve en iyi uygulamaların göz ardı edilmesinden kaynaklanan kritik hatalarla çok sık karşılaşılmaktadır.
Bu yayının ilerleyen bölümlerinde, veri depolama ortamlarının nasıl çalıştığına dair temel ilkeler ve veri kaybının nedenleri özetlenecektir. Her arıza kategorisi için mevcut eylem planı, veri kurtarmanın pratik ve fiziksel sınırlarıyla birlikte ele alınacaktır. Gelecekte pratik ve fiziksel sınırlar arasındaki 'gri alanın' azalmasına yol açabilecek veri kurtarma tekniklerinin geliştirilmesine yönelik yönelimler de belirtilecektir. Her arıza kategorisi, en yaygın belirtileriyle birlikte açıklanacak ve böylece karşılaşılan hasarın yüksek doğrulukla doğru sınıfa dâhil edilmesi mümkün olacaktır. Son olarak, incelemeye alınan ortamın daha fazla bozulma riskini ve veri kurtarma potansiyelinin azalmasını en aza indirmeye yardımcı olacak en önemli kılavuzlar ve en iyi uygulamalar özetlenecektir.

Veri Depolama Cihazlarının Temelleri

Dijital veri depolama ortamları; yapıları, tasarımları, çalışma ilkeleri ve bilginin fiziksel olarak depolanma biçimi açısından birbirinden önemli ölçüde farklılık gösterir. Bu farklılıklar, arızaya karşı duyarlılıklarını, ayrıca veri kurtarma yöntemlerini ve başarı olasılığını doğrudan etkiler. Bununla birlikte, bir bilgisayar ağındaki iletişim yapısını tanımlayan ISO/OSI RM modeline benzer şekilde, veri depolama ortamlarının nasıl çalıştığına dair genel bir model sunmak mümkündür. Bir anlamda, veri depolama ortamları bilgiyi mesafe üzerinden değil, zaman üzerinden iletmek için kullanılan cihazlar olarak da görülebilir.

Aşağıda, veri depolama ortamlarının temel katmanları ve bunların görevleri özetlenmiştir:

Mantıksal Yorumlama

Kullanıcının bakış açısına göre veriler, belirli bir formatta kaydedilmiş, belirli bir bilgi türünü içeren, organize birimler olan dosyalar biçiminde saklanır. Dosyalar metin belgeleri, hesap tabloları, resimler, veri tabanları, görsel-işitsel kayıtlar ve diğerlerini içerebilir. Her dosya türü içeriği, uygun yazılım kullanılarak kullanıcı dostu bir şekilde görüntülenmesini sağlayan belirli bir dahili yapıya sahiptir.
Bazı dosya türlerinin içeriği, özel bir yazılım kullanılmadan, en azından kısmen, doğrudan bir onaltılık düzenleyicide (hex editor) okunabilir. Bu durum, örneğin metin dosyaları veya şifrelenmemiş veri tabanlarının belirli kısımları için geçerlidir. Diğer dosyaların içeriğini uygun araçlar kullanmadan analiz etmek pratikte imkansızdır. Özellikle şifrelenmiş dosyalar, parola korumalı dosyalar ve standart dışı kodlama yöntemleri kullanılarak kaydedilen görsel-işitsel materyaller sorunlu olabilir.

Mantıksal Adresleme

Dosyalar genellikle bir bölüm (partition) üzerinde bulunan bir dizin yapısı içinde düzenlenir. Bölümün mantıksal yapısını yönetmekten dosya sistemleri sorumludur. Her bölüm, kullanıcının seçtiği tek bir dosya sistemiyle biçimlendirilebilir. Ayrıca bir depolama ortamında birkaç bölüm varsa, her bir bölüm diğer bölümlerdeki dosya sistemlerinden bağımsız olarak farklı bir dosya sistemi kullanılarak biçimlendirilebilir.
Bölümleme (birkaç istisna dışında), Master Boot Record (MBR) içindeki bölüm tablolarında veya GPT (GUID Partition Table) tablolarında tanımlanır. Tipik olarak bir bölüm tamamen tek bir depolama ortamında bulunur. Ancak bir bölümün birkaç diske yayıldığı çözümler de vardır. Bu çözümlerin en popüleri, birden fazla diskin tek bir mantıksal birimde birleştirilmesine olanak tanıyan RAID (Redundant Array of Independent Discs) dizileridir. Benzer bir şekilde, dahili sanal dosya sistemleri içeren sanal makine dosyaları da bir tür sanal bölüm olarak değerlendirilebilir. Nitekim, dijital delillerin incelenmesi sırasında oluşturulan ikilik imajlar (binary images) da bu bakış açısıyla değerlendirilebilir.
Dosya sistemlerinin iç mantıksal yapıları birbirinden farklı olsa da, çok sayıda dosya sisteminde birçok benzerlik ve ortak mimari ilke gözlemlenebilir. Dosya sistemleri arasındaki farklar ve işletim sistemi geliştiricilerinin tercihleri nedeniyle her işletim sistemi yalnızca belirli bir dosya sistemleri destekler. İşletim sistemi tarafından desteklenmeyen bir dosya sisteminde saklanan veriler, işletim sisteminin söz konusu dosya sisteminin mantıksal yapısı içindeki adreslemeyi yorumlayamayacağı için söz konusu sistemde görünmeyecektir.
Bu durumda gerçek bir veri kaybı söz konusu değildir. Bölümde kullanılan dosya sistemi doğru bir şekilde tanımlanarak, bu dosya sistemini destekleyen bir işletim sistemine bağlanarak (mount edilerek) verilere kolayca erişilebilir. Belirli cihazlara ve üreticilere özgü olan ve yalnızca bu cihazlara ve üreticilere özel yazılımlar tarafından desteklenen niş dosya sistemleri belirli bir sorun teşkil edebilir. Bu tür dosya sistemleri örneğin otomotiv endüstrisinde, endüstriyel sistemlerde, nesnelerin interneti (IoT) cihazlarında ve dronlarda bulunabilir. Teknoloji ilerledikçe bu tür özel dosya sistemlerinin farklı cihazlarda da kullanılacağı ve önemlerinin giderek artacağı beklenebilir.
Bu durum, adli bilişim açısından önemli sonuçlar doğurmaktadır. Çünkü elektronik cihazlar, çeşitli sensörler ve daha büyük sistemlerin, makinelerin veya araçların bileşenleri, dijital delil (adli bilişim) niteliği taşıyabilecek çok değerli veriler toplayabilmektedir. Bu veriler, bilgisayarlar veya akıllı telefonlarda bulunan verilere kıyasla çoğu zaman daha güvenilir delil niteliği taşımaktadır. Bunun temel nedenlerinden biri, bu tür verilerin değiştirilmesi, manipüle edilmesi hatta kaydedildiklerinin fark edilmesinin, kullanıcılardan çok daha yüksek düzeyde teknik bilgi ve uzmanlık gerektirmesidir. Ayrıca bu cihazlara ilişkin teknik dokümantasyonun çoğu zaman kamuya açık olmaması, hem bu sistemlerin analizini hem de elde edilen dijital delillerin incelenmesini önemli ölçüde zorlaştırmaktadır.

İletişim Protokolleri

Bir diskten dosya okumak için doğru bir şekilde iletişim kurmanız gerekir. Bilgisayar teknolojisinin ilk dönemlerinde, üreticilerin tescilli iletişim protokollerini kullanan kapalı mimariler hakimdi. Ancak bilgisayarlar yaygınlaştıkça, farklı üreticilere ait donanımlar arasında uyumluluğu sağlama ihtiyacı doğdu. Bu ihtiyaç, iletişim protokollerinin standartlaştırılmasına yol açtı.
Sabit disklerin çalışma esaslarını tanımlayan ilk standartlar, 1980'lerin ilk yarısında geliştirilen SCSI (Small Computer System Interface) ve ATA (Advanced Technology Attachment) standartlarıydı. Yıllar içinde bu standartlar gelişti (örneğin Serial Attached SCSI ve SATA gibi seri veri yolu uygulamaları ortaya çıktı) ve günümüzde neredeyse tüm sabit diskler, birçok SSD (Solid State Drive) ve Compact Flash bellek kartları bunlarla uyumludur. Ayrıca SCSI standardı, USB (Universal Serial Bus) ve NVMe (Non-Volatile Memory Express) dahil olmak üzere bir dizi başka iletişim protokollerinin doğmasına neden olmuştur.
Veri depolama cihazları blok cihazlar olduğu için (karakter cihazlarının aksine, tek tek baytların – 'karakterlerin' – adreslenmesine izin vermezler, verileri daha büyük bloklar halinde adreslerler (isimleri buradan gelir). İletişim protokolleri verilerin bloklar halinde adreslenmesini ve aktarılmasını da tanımlar. SCSI ve ATA standartlarının geliştirildiği dönemde, sabit diskler ve o dönemde mevcut olan hemen hemen tüm diğer veri depolama cihazları verileri 512 baytlık fiziksel sektörlerde adresliyordu. Sonuç olarak, bu standartlar tarafından benimsenen veri adresleme birimi 512 baytlık LBA (Logical Block Addressing) sektörü kabul edilmiştir. Fiziksel sektörlere sıfırdan başlayarak depolama ortamının kapasitesi tükenene kadar ardışık numaralar atanmasını esas alan LBA adresleme yönteminin tanıtılması önemli bir dönüm noktası olmuştur.
LBA’dan daha önce kullanılan CHS (Cylinder – Head – Sector) adreslemesinde, veriler fiziksel sektör adreslerine doğrudan atıfta bulunularak adresleniyordu. Bu yaklaşım, farklı disklerin fiziksel özelliklerinin dosya sistemi düzeyindeki mantıksal adresleme tarafından da hesaba katılmasını gerektiriyordu. Bu eski yaklaşımın kalıntıları hala birçok dosya sisteminin mantıksal yapısında bulunabilir. LBA adreslemesinin kullanılmasıyla birlikte dosya sistemleri, fiziksel adresleme ile ilgilenme zorunluluğundan kurtarılmıştır. Buna karşılık disk üreticileri LBA adreslerini fiziksel adreslere dönüştüren çözümleri (ürün yazılımı-firmware) uygulamaya koydu. Bu değişiklik üreticilere, disk alanının daha verimli kullanılmasını sağlama, kusurlu bölgeleri yönetme ve depolama yapısını optimize etme konusunda önemli esneklik kazandırmış; bunun sonucunda sabit disklerin kayıt yoğunluğu ve depolama kapasitesi kısa sürede büyük ölçüde artırılabilmiştir.
Ayrıca, iletişim protokollerinin standartlaştırılması ve LBA adreslemesinin icadı, sürücülerin RAID dizilerinde birleştirilmesinin önünü açtı. Her birinin fiziksel adreslemesine doğrudan atıfta bulunarak birden fazla sürücü ile bu tür diziler oluşturmak son derece karmaşık olurdu. Buna karşılık LBA adresleme sayesinde kullanıcı, RAID dizisini kesintisiz bir LBA adres sektörüne sahip tek bir mantıksal depolama aygıtı olarak görür. RAID denetleyicisi ise bu mantıksal LBA adreslerini arka planda her fiziksel diskin kendi LBA adreslerine dönüştürür.
LBA adreslemesinin geliştirilmesi, bellek kartları, USB bellekler ve SSD'ler gibi yarı iletken depolama ortamlarının kullanımını da kolaylaştırdı. Yarı iletken depolama ortamlarında plakalar, izler veya sektörler yoktur ve Flash-NAND entegre devrelerindeki ortamın dahili adreslemesi sabit disklerinkinden tamamen farklıdır. Yarı iletken depolama ortamları için özel olarak tasarlanmış ve fiziksel adreslemeleri dikkate alan YAFFS (Yet Another Flash File System) ve JFFS (Journalling Flash File System) gibi dosya sistemleri geliştirilmiş olsa da, Flash-NAND yongalarındaki büyük çeşitlilik ve değişim hızı dikkate alındığında bu dosya sistemlerini destekleyen işletim sistemlerinin sınırlı sayıda olması nedeniyle popülerlik kazanamamışlar, yanlızca niş uygulamalarda yer bulabilmişlerdir.
Fiziksel adreslemeden bağımsız olan LBA adreslemesi, dosya sistemleri ve farklı depolama ortamı türleri arasında tam uyumluluk sağlar. Çeşitli boyutlardaki dahili adresleme birimlerinin ürün yazılımı tarafından 512 baytlık LBA sektörlerine dönüştürülmesi, bu adresleme şemasının teknolojik ilerlemelere karşı son derece dirençli olmasını sağlayarak onu çok yönlü ve uzun ömürlü kılmıştır. Bu nedenle, veri depolama ortamlarıyla çalışan tüm iletişim protokolleri tarafından yaygın olarak kullanılmaktadır.

Fiziksel Adresleme

Veri depolama ortamlarındaki fiziksel adresleme, doğrudan fiziksel tahsis birimlerini ifade eder ve kullanıcı tarafından erişilemez. Veri kurtarma veya adli analiz için tasarlanmış teşhis yazılımları fiziksel adresler veya sektör kavramını kullansa da, bu terimler genellikle LBA adreslerini ifade eder. Gerçek fiziksel adresler, sabit disk plakalarındaki sektörlerin fiziksel koordinatlarını veya yarı iletken depolama cihazlarındaki Flash-NAND yongalarının bloklarını ve sayfalarını ifade eder.
Veri depolama cihazları ile diğer cihazlar arasında veri, komut ve mesaj alışverişi LBA adresleme kullanılarak gerçekleştirildiğinden, LBA adreslerinin fiziksel adreslere dönüştürülmesi gereklidir. Bu işlem, depolama cihazının ürün yazılımında yer alan adres çevirici (translator) olarak bilinen bir bölüm tarafından gerçekleştirilir. Sabit diskler ile yarı iletken depolama cihazları arasındaki bilgi depolama tasarımı ve çalışma prensipleri büyük ölçüde farklı olduğundan, mantıksal adresleri, fiziksel adreslere dönüştüren çeviri alt sistemlerinde kullanılan çözümler de farklılık gösterir.
Teknoloji ilerledikçe, çeviri (translation) alt sistemi de dahil olmak üzere ürün yazılımları gelişmektedir. Bu, aynı ürün yazılımı mimarisini kullanan depolama aileleri içinde bile ince farklılıklara neden olur. Bu nedenle, mantıksal adreslerin fiziksel adreslere çevrilmesi konusu, veri kurtarmadaki en karmaşık konulardan biridir.
Çeviri alt sistemi, esasen belirli bir algoritmaya dayalı olarak fiziksel sektörlere ardışık LBA numaraları atanmasını içeren eski nesil sabit disklerde nispeten basitti. Çevirmen (translator) oluşturma algoritmaları; alan kullanımını optimize etme, iz (track) başına değişen sektör sayılarına sahip bölgelerin oluşturulması ve hata yönetimi (defect management) tekniklerinin geliştirilmesiyle daha da karmaşık hale geldi. Buna rağmen, LBA adreslerinin nispeten sabit atanması ve çeviri alt sisteminin nispeten basitliği sayesinde, Shingled Magnetic Recording (SMR) sürücülerin ortaya çıkışına kadar bu yapı oldukça yüksek bir güvenilirlikte çalışmıştır.
SMR (Bindirmeli Manyetik Kayıt - Shingled Magnetic Recording) teknolojisi, bir sonraki izi yazarken önceki izin kısmen üzerine yazarak kayıt yoğunluğunun artırılmasına olanak tanır. Ancak bu yöntemin önemli bir sonucu vardır: tek bir sektörün doğrudan yeniden yazılması mümkün değildir. Bunun nedeni, kayıt kafasının oluşturduğu manyetik alanın izin genişliğinden daha büyük olmasıdır. Dolayısıyla böyle bir yazma işlemi bitişik izlerdeki sektörlerin içeriğine zarar verecektir. Bu nedenle, bir sektörün içeriğini değiştirme ihtiyacı olduğunda, tüm iz grubunu yeniden yazmak gerekir. Tüm iz gruplarının bu şekilde yeniden yazılması, sürücünün yazma performansını olumsuz etkiler.
Bu etkiyi önlemek için üreticiler yazma işlemini optimize ederler ve bunun için çeşitli yöntemler kullanırlar. Genel olarak bu yöntemler şuna dayanır: LBA sektörlerinin yeni içerikleri fiziksel olarak orijinal bulundukları yere değil, o anda yazılması en uygun olan yere yazılır. Bu durumda, mantıksal adreslerin fiziksel sektörlerle olan sabit eşleşmesi bozulur ve fiziksel sektörler içindeki LBA adreslerinin mevcut konumunun gerçek zamanlı olarak izlenebilmesi için kullanılan mantıksal-fiziksel adres çeviri alt sistemi daha da karmaşık hale gelir.
Yarı iletken depolama ortamlarında durum farklıdır; burada mevcut içeriğin en baştan doğrudan üzerine yazılamaması, LBA adresleri ile fiziksel adresler arasında dönüşümü zorunlu kılmıştır. Flash tipi yongaların içeriği basit bir yeniden programlama ile değiştirilemez, önce içeriğin silinmesi ve ardından yeniden programlanması gerekir. Bu nedenle, Flash-NAND bellek iki tür fiziksel tahsis birimine ayrılır: programlama ve okuma birimleri olarak sayfalar (pages) ve silme birimleri olarak birden fazla sayfa içeren bloklar (blocks).
Bu tür bellek kullanan depolama ortamlarının, yeni bir içerikle programlanabilmeleri için her zaman belirli sayıda boş, silinmiş blok bulundurulur. Bu bloklara programlandıklarında, Flash Translation Layer (FTL) tablolarından uygun LBA adresleri atanır. Aynı zamanda, eski verileri içeren bloklar LBA adres alanından çıkarılarak silinebilir ve böylece yeni bilgiler almaya hazırlanabilir.
Bu açıklama, yarı iletken ortamlarda mantıksal adreslerin fiziksel adreslere çevrilmesini sağlayan sistemin yönetilmesine dair oldukça basitleştirilmiş bir modeldir. Programlama ve silme işlemleri Flash-NAND devrelerini aşındırarak arızalanmalarına yol açtığından ve depolama yoğunluğunu artırmanın bedeli bu tür bir belleğin ömrünün azalması olduğundan, üreticiler kusurları yönetmek, aşınmayı sınırlamak ve dengelemek için çeşitli yöntemler geliştirmek zorunda kalmaktadır. En önemli optimizasyon yöntemlerinden biri, fiziksel olarak depolanan bilgilerin yalnızca dosya sistemlerinin mantıksal yapıları içinde tahsis edilen alanlarla sınırlandırılmasına olanak tanıyan TRIM işlevidir.
TRIM işlevi yalnızca programlama ve silme işlemlerinin neden olduğu Flash-NAND bellek üzerindeki aşınmayı azaltmaya yardımcı olmakla kalmaz, aynı zamanda bu işlemlerin performansını da artırır. Bu nedenle, yazma performansı sorunları yaşayan SMR sürücülerde de kullanılmak üzere benimsenmiştir. Ancak TRIM işlevi, veri kurtarma ve dijital adli tıp perspektifinden önemli bir dezavantaja sahiptir. Dosya sisteminin mantıksal yapıları düzeyinde silinen veriler, LBA adreslemesi yoluyla erişilebilir olmaktan neredeyse anında çıkar. Böyle bir durumda verileri kurtarmanın tek yolu fiziksel adresleme yoluyla aramaktır.
Çeviri alt sistemi, giderek daha da karmaşıklaşması ve dinamizmi nedeniyle hatalara ve hasarlara açıktır. Çevirmen sorunları, yarı iletken depolama arızalarının ana nedenidir ve özellikle SMR sürücüler söz konusu olduğunda önemlidir. Her veri depolama biriminin, kusur sayısı ve konumu kendine özgü özelliklere sahip olduğundan, her çevirmen benzersizdir ve başka bir depolama biriminden kopyalanarak değiştirilemez.

Veri Kodlama ve Kod Çözme

Depolama ortamında saklanan veriler, kodlama süreciyle dönüştürülmüştür ve kullanıcının dosyalarında gördüğünden önemli ölçüde farklıdır. Dijital depolama ortamındaki verilerin, kullanıcının bir HEX Editörde görebileceği gibi ham (raw) bir şekilde 0 ve 1 akışı olarak doğrudan saklanamamasının birçok nedeni vardır. Bu nedenlerden en önemlileri, veri tutarlılığını sağlama, olası hataları düzeltme ihtiyacı ve verileri ortama mümkün olduğunca verimli bir şekilde yerleştirme amacıdır.
Veri depolama ve iletiminin her aşamasında hata ve bozulma riski bulunduğundan, çeşitli checksum’lar (örneğin CRC – Cyclic Redundancy Code - Döngüsel Yedeklik Kodu) ve hata düzeltme kodları (ECC - Error Correction Code) yaygın olarak kullanılmaktadır. Bu tür çözümler hem iletişim protokollerinde hem de veri depolama ortamlarında kullanılır. İletişim protokollerinde bunlar ilgili standartlarda tanımlanırken, veri depolama ortamlarında bunların uygulama detayları üreticiye ve ürün yazılımı mimarisine bağlıdır. Hatta farklı ürün yazılımı sürümlerini çalıştıran tek bir cihaz modelinde bile bazı farklar gözlemlenebilir.
Yarı iletken depolama ortamlarında, sayfalarda saklanan kullanıcı verilerine başka yedek bilgiler de eklenir. Bunlar, özellikle mantıksal blok numarası işaretçileri, bazen mantıksal sayfa numaraları ve bireysel blokların aşınmasını izlemek için aşınma dengeleme algoritmaları tarafından kullanılan sayaçlar ile ilgilidir. Bu bilgilerin detayları büyük ölçüde depolama ortamında kullanılan ürün yazılımı çözümlerine bağlıdır. Kullanıcı verilerinin ve yedek bilgilerin bir sayfa içindeki düzenine sayfa formatı denir.
Veriler ayrıca çok sık rastgeleleştirilir (randomized). Doğal kullanıcı verileri sıklıkla uzun özdeş sembol dizileri veya tekrarlayan desenler içerir. Bu tür verilerin, dalga yansımaları, duran dalgaların oluşumu, parazitik harmonikler ve endüktif fenomenler nedeniyle hatasız iletilmesi ve saklanması daha zordur. Bu nedenle bit hatası riskini azaltmak için veriler, genellikle ÖZEL-VEYA (XOR) mantıksal işlemi ve bazen de dinamik olarak oluşturulan özel desenler kullanılarak dönüştürülür.
Yaygın veri işleme tekniklerinden biri şifrelemedir (encryption). Şifreleme genellikle veri güvenliği ve yetkisiz erişime karşı koruma ile ilişkilendirilse de veri depolama cihazlarında donanım şifrelemesinin yaygın olarak kullanılmasının ikinci bir gerekçesi vardır. Şifreleme algoritmaları verileri çok etkili bir şekilde rastgeleleştirir. Özellikle SSD'ler söz konusu olduğunda yaygın olarak benimsenmelerinin ana nedeni budur.
Yarı iletken depolama ortamları silme ve programlama işlemleri sonucunda aşınmaya maruz kaldığından, üreticiler gerçekleştirilen bu tür işlemlerin sayısını sınırlamaya çalışırlar. Üreticilerin kullandıkları tekniklerden biri dahili veri sıkıştırmadır (internal data compression). Bu süreçte saklanan bilginin hacmi azaltılırken veriler de rastgeleleştirilir.
Optik ve manyetik ortamlarda veriler, veri paketleme yoğunluğunu optimize etmek için ayrıca kodlanır. Sabit disklerdeki orijinal veri kodlama yöntemi FM (Frequency Modulation - Frekans Modülasyonu) yöntemiydi. Bu yöntemde, bir saat sinyali kaydedilir ve '1' değerine sahip bitler için saat darbeleri arasına ek darbeler yerleştirilir. Saat darbeleri arasında '1' yoksa, bu mantıksal ‘0’ temsil ediyordu.
Bu manyetik ortamın gelişimi için önemli bir engel teşkil eden çok verimsiz bir kodlama yöntemiydi. Bu nedenle zamanla yerini saat darbelerinin sayısının azaltıldığı MFM (Modified Frequency Modulation – Değiştirilmiş Frekans Modülasyonu) yöntemine bıraktı. Ancak sabit disklerde kayıt yoğunluğunu artırmak konusunda en önemli gelişme CD'lerin (Compact Discs) geliştirilmesiyle mümkün olmuştur.
Optik ortam söz konusu olduğunda, lazer ışığının çukurlardan ve düzlüklerden (pits and lands) yansımasını ayırt etmekten ziyade, ortamın fiziksel durumundaki bir değişikliği tespit etmek daha kolay olduğundan, EFM (Eight-to-Fourteen Modulation) kodlama yöntemi geliştirilmiştir. Bu yöntemde, verilerin her birinin arasına her zaman en az bir adet 0 yerleştirilir. Bu durumda, daha uzun bir bit dizisi elde edilse de (her 8 bitlik veri 14 bite genişler) bu yapı sayesinde veriler fiziksel ortama daha yüksek yoğunlukta kaydedilir.
Bu kodlama yönteminde, kolayca tespit edilebilen darbeler mantıksal birleri temsil eder ve bu birler arasındaki sıfırların sayısı, tek tek birler arasında geçen süreye göre hesaplanır. Kararlı bir şekilde sinyalin okunmasını sağlamak için diskin dönüş hızının hassas bir şekilde kontrol edilmesi gerekir. Buna karşılık, fiziksel sınırlamalar dahilinde ortamda daha fazla bilgi depolanır. CD'lerde kullanılan EFM yönteminden esinlenerek daha sonra sabit disklerde kullanılmak üzere bir RLL (Run Length Limited) kod ailesi geliştirilmiştir.
RLL kodlaması, kaydedilen sinyalde ayrı bir saat bileşenine ihtiyaç duyulmamasını sağlamış ve kayıt yoğunluğunda önemli bir artışa olanak tanımıştır. İki adet mantıksal bir arasında oluşabilecek mantıksal sıfırların sayısı, doğru bir şekilde sinyal senkronizasyonunu sürdürme, kod çözme ve bit hatalarının etkin biçimde düzeltilebilme yeteneğine bağlıdır. Sabit disklerde veri kodlama ile ilgili daha ayrıntılı bir açıklama, Bane Vasić ve Erozan M. Kurtas'ın yazdığı “Coding and Signal Processing for Magnetic Recording Systems” adlı kitapta bulunabilir.

Mantıksal ve Fiziksel Durumlar

Kullanıcı verileri, mantıksal olarak yorumlanan sıfırlar ve birlerden oluşan bit dizileridir; yani fiziksel bir ortamdan okunan mantıksal durumlardır. Her mantıksal durum, ortamın fiziksel durumunun bir yorumudur. Belirli bir fiziksel durumun mantıksal olarak '0' mı yoksa '1' mi kabul edileceği tıpkı bir elektronun negatif, protonun pozitif yük taşıdığının kabul edilmesi gibi, yalnızca benimsenen kurala (konvansiyona) bağlıdır. Bu yükler tersine çevrilebilseydi fiziksel gerçeklik değişmeyip sadece onu tanımlama biçimimiz farklı olacaktı.
Mantıksal yorumlamanın temeli, hem kararlı (kalıcı - non-volatile ortamlar) hem de güç kaynağı gerektiren (uçucu - volatile ortamlar) çeşitli fiziksel durumlar olabilir. Uçucu ortamlar söz konusu olduğunda, güç kaynağıyla bağlantıları kesildikten sonra verileri kurtarmak mümkün değildir. Verileri kurtarma olasılığı, harici güç kaynağından bağımsız olarak fiziksel durumlarını koruyan ortamlar için geçerlidir.
Kalıcı ortamlar, mantıksal olarak yorumlanabilen birçok fiziksel fenomenden yararlanır. Bunların en önemlileri yüzey mıknatıslanması (manyetik ortam) ve transistörlerin yüzer kapılarında saklanan elektrik yükleridir (yarı iletken ortam). Işığı daha iyi veya daha kötü yansıtan yüzeyleri kullanan optik ortamlar hala kullanımdadır. Gelecekte ise elektriksel direnç değişimi ile ilgili fenomenleri kullanan veri depolama ortamlarını görebiliriz.
Manyetik ortama kayıt, manyetik yüzey üzerindeki mıknatıslanmasının belirli bir düzen içerisinde organize edilmesi ile gerçekleştirilir. Okuma işlemi, ortamın bir okuma kafasının altında hareket ettirilmesiyle gerçekleşir, bu durumda bu kafada bir elektrik sinyali indüklenir. Değişen mıknatıslanma alanları - alan duvarları tarafından indüklenen darbeler mantıksal birler olarak yorumlanır. Bu tür darbelerin yokluğu mantıksal sıfırları ifade eder. Sinyalin tam olarak nasıl yorumlanacağı kullanılan kodlama uygulamasının detaylarına bağlıdır.
Yarı iletken ortamlar söz konusu olduğunda ise yüzer kapılarda elektrik yüklerini biriktiren, tükenme kanallı modifiye edilmiş NPN alan etkili transistörler (FET) kullanılır. Biriken elektrik yükü N-kanalını kapattığından, tipik olarak yüklü bir yüzer kapı (floating gate) mantıksal '0' ve boş bir kapı mantıksal '1' olarak yorumlanmıştır. Bir transistörde 1 bitten fazlasının saklanmasına izin veren çok durumlu teknolojinin getirilmesinin ardından, yükün mantıksal yorumu daha karmaşık hale gelmiştir. Mantıksal değer, transistörü açmak için gereken kaynak (source) ve savak (drain) uçları arasına uygulanan voltaja bağlıdır.
Optik ortamlar, disk izi boyunca ışığı daha iyi veya daha kötü yansıtan bölümlerin dönüşümlü olarak yer aldığı preslenmiş veya yazılmış disklerdir. Okuma işlemi sırasında bir sensör, ışığın yansımasındaki değişiklikleri kaydeder ve bu değişiklikler mantıksal “1” olarak yorumlanır. Dekoder devresi, veri kodlama bölümünde açıklandığı gibi, mantıksal 1 değerleri arasındaki zaman aralığını ölçerek aradaki 0 bitlerinin sayısını hesaplar.
Gelecekte elektriksel dirençteki değişimi ile ilgili fenomenlere dayalı ortamlar popülerlik kazanabilir. Genel olarak bu tür belleklerde mantıksal “1” düşük dirençli bir duruma, mantıksal “0” ise yüksek dirençli bir duruma karşılık gelir. Bu alandaki en umut verici teknolojiler arasında, gerçek dünyadaki cihazlarda da zaten test edilmiş olan faz değişimli bellekler (PCM – Phase Change Memory) ve manyetodirençli bellekler (MRAM - Magnetoresistive RAM) bulunmaktadır.
Faz değişimli bellek, kristal veya amorf (düzensiz, cam benzeri) formda bulunabilen maddeler olan kalkojenitleri kullanır. Bir kalkojenit ısıtılır ve ardından yavaşça soğutulursa düşük dirençli bir kristal elde edilir. Kalkojenit hızla soğutulursa kristalleşmeye vakit bulamaz ve yüksek dirençli amorf bir formda katılaşır. Böylece direnç farkı kullanılarak mantıksal durumlar temsil edilir.
Manyetodirençli fenomeninin veri depolama için kullanılmasına yönelik kavramlar 1970'lerde ortaya çıkmış olsa da yeterli potansiyele sahip olmadığı gerekçesiyle terk edilmişti. Ancak dev manyetodirenç (Giant Magnetoresistance – GMR) ve tünel manyetodirenç (Tunnel Magnetoresistance – TMR) fenomenlerinin keşfedilmesinin ardından her şey değişti ve manyetodirençli bellekler üzerindeki çalışmalar yeni bir ivme kazandı. Bu teknolojinin temeli, aynı yönde mıknatıslanmış (paralel) veya zıt yönlerde mıknatıslanmış (anti-paralel) iki manyetik katmanın kullanılmasına dayanır. Paralel polarizasyon durumunda direnç, anti-paralel polarizasyon durumuna göre önemli ölçüde düşüktür. Böylece mantıksal durumlar arasında ayrım yapılabilmesi için temel oluşmuş olur.
Ayrıca, metallerin indirgenmesi (reduction) ve oksidasyonu (oxidation) ile direnç değişikliğinin elde edildiği elektrokimyasal bellekler üzerinde de çalışmalar devam etmektedir. Metaller, oksitlerinden önemli ölçüde düşük bir dirence sahiptir ve bu da onlara farklı mantıksal değerlerin atanmasına olanak tanır. Dirençli belleğin bir başka örneği de karbon nanotüpler ve bunlardan inşa edilen farklı direnç değerlerine sahip yapılardır.

Veri Kaybı Nedenleri ve Veri Kurtarma Seçenekleri

Verilere erişememe çeşitli faktörlerden kaynaklanabilir. Farklı depolama ortamlarının, hasar türlerine karşı duyarlılıkları farklıdır ve yine farklı depolama ortamları veri kurtarma potansiyelleri açısından da farklılık gösterirler. Ancak, pratikte çeşitli engeller nedeniyle veri kurtarmanın başarısız olması, verilerin kurtarılmasının imkansız olduğu anlamına gelmez. Aşağıdaki bölümlerde en önemli arıza kategorileri özetlenecektir.

Elektronik Arızalar

En sık karşılaşılan elektronik hasar bir veri depolama cihazının yanlış bir güç kaynağına bağlanmasından kaynaklanır. Bu tür hasarların etkileri genellikle veri depolama için gerekli olmayan ve değiştirilmesi genellikle kolay olan sigortalar, zener diyotlar veya dirençler gibi bileşenlerle sınırlıdır. Bu nedenle çoğu durumda cihazın onarılması verilere yeniden erişim sağlamak için yeterlidir.
Elektronik arızalar genellikle kolay bir şekilde tespit edilebilir. Bu tür hasara sahip cihazlar çalışmaz, enerji verildiğinde yanıt vermez veya bileşenlerin çok ısınması ve yüksek akım çekmesi gibi kısa devreye özgü semptomlar gösterir. Bu durum genellikle güç kaynağının kendini korumaya geçmesine veya aşırı yük ve kısa devre koruma mekanizmalarının tetiklenmesine yol açar. Hasarlı bileşenler (patlamış sigortalar, dirençler, kısa devre yapmış diyotlar ve kapasitörler) bir multimetre kullanılarak tespit edilebilir.
Depolama cihazı normal akım tüketimiyle önyükleme yapıyor ve veri yolunu normal bir şekilde yüklüyorsa, BIOS veya işletim sistemi tarafından tanınmasa bile bir elektronik hasar söz konusu değildir. Özellikle sabit diskte bulunan motorun çalışması ve plakaların dönmeye başlaması, elektronik devrelerin büyük ölçüde sağlam olduğunu gösterir. SSD'ler söz konusu olduğunda, denetleyicinin (controller) çalışma sıcaklığını kontrol etmek ve aynı denetleyiciyi kullanan, çalışan benzer bir sürücünün çalışma sıcaklığıyla karşılaştırmak faydalıdır. Denetleyici modeline bağlı olarak normal çalışma sıcaklığı yaklaşık 30 ile 60 ºC'nin üzerinde olabilir.
Bazı durumlarda daha kapsamlı bir arıza olduğu anlaşılır ve sabit diskler söz konusu olduğunda ise arızalı elektronik kartın çalışan yeni bir elektronik kart ile değiştirilmesi gerekir. Sadece özdeş bir baskılı devre kartını (mutlaka aynı model olması gerekmez – aynı aileden tüm modellerde aynı elektronik kart kullanılır) değiştirmenin yeterli olduğu günlerin yaklaşık 20 yıl önce sona erdiğini unutmamak önemlidir. Sabit disklerin gelişimiyle birlikte ürün yazılımının gelişmesi ve her diske özgü olarak programlanabilen parametrelerin (adaptives) önemi artmıştır. Bu nedenle arızalı ürüne ait ürün yazılımını içeren EEPROM (Electrically Erasable Programmable Read-Only Memory) yongasının yeni elektronik karta lehimlenmesi gerekir.
EEPROM genellikle bir SOP-8 (Small Outline Package-8) paketindeki bir entegredir. Bazı durumlarda birden fazla EEPROM bellek olabilir; bu durumda elbette hepsinin aktarılması gerekir. Bazı disk modellerinde EEPROM, bazen sinyal işlemcisinin (signal processor) içine entegre edilmiştir. Bu tür durumlarda sinyal işlemcisinin sökülüp başka bir karta aktarılması veya içeriğinin okunarak farklı bir işlemciye aktarılması gerekir. Dahili EEPROM içeren sinyal işlemcisi hasar görmüşse, EEPROM içeriğini okumaya çalışmak yine de faydalıdır. Hatta yanarak delinmiş entegrelerden bile verilerin başarıyla okunabildiği durumlar vardır.
EEPROM’daki veri kaybı, sürücüde hala mevcut olsa bile verilere erişimi karmaşıklaştırabilir ve birçok durumda pratikte engelleyebilir. Bazı sürücü modelleri için EEPROM içeriğini yeniden oluşturma ve verileri kurtarma yöntemleri mevcuttur; ancak örneğin 15 yılı aşkın bir süredir piyasada var olan Seagate'in F3 mimarisi için böyle bir yöntem yoktur. Böyle bir yöntemin geliştirilmesi muhtemelen mümkündür ancak doğrudan manyetik kafa düzeneğinden yakalanan sinyalin osiloskop ile analizinin yapılmasını gerektirecektir. Şifreleme anahtarlarının kaybıyla da verilere erişim imkansız hale gelebilir. Bu anahtarlar, harici sürücülerde kullanılan USB-SATA adaptörünün EEPROM'unda veya bazı sabit disklerin (örneğin Spyglass ailelerinden WD sürücüleri) sinyal işlemcilerinde saklanıyor olabilir.
SSHD'ler (Solid State Hybrid Drives) disklerde görülen özel bir arıza türü ise Flash-NAND tampon bellek arızasıdır. SSHD'ler, servis alanı içindekiler de dahil olmak üzere en sık okunan sektörlerin içeriğini depolamak için kullanılan, genel olarak 4-8 GB kapasiteli ek bir Flash-NAND tamponuyla donatılmış sabit disklerdir. Bu arıza tipik bir elektronik arıza değildir; çoğunlukla Flash-NAND yongasındaki aşınmadan ve içerisinde bulunan verilerde hata oluşmasından kaynaklanır.

Bu arıza, tampon bellekle (buffer) iletişim kurulamaması nedeniyle güç kaynağına yanıt verilememesi şeklinde kendini gösterir; ancak bu durumda hiçbir elektronik bileşende hasarlı değildir. Bazı durumlarda tampon bellek içeriğini temizlemek ve tamponu sıfırlamak sorunu çözmeye yardımcı olur; ancak çoğu zaman baskılı devre kartının değiştirilmesi gerekir. Donörden alınan tampon, arızalı olan kartla uyumsuz servis bilgileri içereceğinden temizlenmeli ve sıfırlanmalıdır. Elektronik kartın değiştirilmesini gerektiren diğer durumlarda olduğu gibi orijinal EEPROM'un yeniden lehimlenmesi gerekir.
Adli bilişim uygulamalarında, kasten hasar verilmiş ortamlarla daha sık karşılaşılır. Kasten hasar verme en kolay şekilde cihaza daha yüksek voltaj sağlayan bir güç kaynağının bağlanmasıyla veya cihazın çeşitli sıvılarla temas ettirilmesiyle yapılır. Daha yüksek voltaj sağlayan bir güç kaynağının bağlanmasından kaynaklanan hasar genellikle doğal arızalardan çok az farklılık gösterir. Sıvı dökülmesi şüphesi tespit edilirse ilk adım cihaza temas eden sıvı maddeyi temizlemek, korozyon izlerini gidermek ve ancak ondan sonra ileri teşhise geçmektir. Sıvının sabit diskin hermetik muhafazasının içine girmiş olabileceğine dair bir şüphe varsa, güç vermeden önce iç durumu kontrol edilmeli, gerekirse plakalar temizlenmeli ve mekanik alt sistemde gerekli onarımlar yapılmalıdır.
Sabit disklerde baskılı devre kartını (PCB) çalışan bir kartla değiştirmek genellikle elektronik arızaları onarmanın basit, ucuz ve etkili bir yoluyken, yarı iletken depolama ortamlarında ve yerleşik Flash belleğe sahip cihazlarda (örneğin eMMC – embedded MultiMedia Card veya MCP – Multi Chip Package) sadece parçaları değiştirerek onarım yapmak bir seçenek değildir. Bu nedenle bu tür cihazlarda ilk öncelik cihazı tam çalışır duruma getirmek olmalıdır. Herhangi bir nedenle (örneğin pcb’nin hasar görmesi, aşırı korozyon) bu imkansızsa, veri kurtarma için bir sonraki seçenek bellek çiplerini sökmek, içeriklerini bir programlayıcıda okumak ve ikili imajları tüm sınırlamalarıyla birlikte ürün yazılımı hasarı yöntemlerine benzer yöntemler kullanarak daha fazla analiz etmektir.
Özellikle şifreleme nedeniyle, pratikte bellek çiplerinin içeriğini okumak genellikle veri kurtarma için yeterli değildir. Bu nedenle bazı durumlarda denetleyiciyi ve bellek yongalarını farklı bir PCB'ye aktarmak mantıklıdır. Ancak aktarılan bu bellek yongalarının yabancı bir denetleyici tarafından başlatılmaları sonucunda içeriklerinin yok olması riski vardır. Benzer şekilde mobil cihazlar, IoT cihazları ve benzerleri söz konusu olduğunda, işlemcilerinin, denetleyicilerinin veya EEPROM'larının başka bir karta aktarılması gerekir. Çünkü bu yongalar verilerin şifresini çözmek için gerekli şifreleme anahtarlarını saklıyor olabilir.

Mekanik Hasarlar

Veri depolama ortamındaki mekanik hasarlar, örneğin bir şüpheli şahıs yakalanırken kasten ve hızla verilmesi kolay olduğu için özel dikkat gerektirir. Tasarımları gereği sabit diskler, katı hal sürücülerine (SSD) göre mekanik arızalara çok daha duyarlıdır. SSD’ler açısından söz konusu mekanik hasarlar genellikle kırık konektörler gibi tanımlanması ve giderilmesi nispeten basit olan hasarlardır. Bu tür hasarlı konektörler değiştirilebilir. PCB’deki yolların hasar görmesi durumunda ise arıza, bir tel yardımıyla yol yapılarak giderilebilir.

Yarı İletken Ortamların Mekanik Hasarları

Yarı iletken depolama ortamındaki verileri fiziksel olarak yok etmenin tek yolu, depolama cihazını oluşturan tüm Flash-NAND yongalarına zarar vermektir. Ancak bellek yongaları, tüm entegre devrenin yalnızca bir kısmını oluşturu ve her hasar veri kurtarmanın önünde bir engel teşkil etmez. Bu nedenle çipler sadece hafif hasarlıysa ve çiplerle iletişim kurulabiliyorsa içerisindeki veriler okunabilir.
Yongaların çatlaması durumunda düzensiz çalışabilirler ve kolayca ısınabilirler. Bu durumda okuma işlemi sırasında yongalar soğutulmalı ve genellikle birden fazla okuma denemesi gerekebilir. Hasar görmüş bağlantı pinleri onarılabilir veya değiştirilebilir. Ya da yonga, doğrudan programlayıcının pinlerine veya uygun bir adaptöre lehimleyerek okunabilir. Bir başka konu ise elde edilen ikilik (binary) görüntülerin kodunun çözülmesi ve mantıksal yapının doğru bir şekilde yeniden oluşturulmasıdır. Bu süreç yalnızca hatalar veya eksik bir okuma nedeniyle değil, örneğin şifreleme nedeniyle de başarısız olabilir.
Kırık bir yonga gibi daha ciddi düzeydeki hasar durumlarında ise pratik bir veri kurtarma yöntemi yoktur. Ancak bu tür durumlara karşı yeni yöntemler gelecekte geliştirilebilir. Kırık bir yonga, bu durumda bile atomik kuvvet mikroskopları kullanılarak görüntülenebilen elektrik yüklerini içerebilir. Bu yöndeki araştırmalar halihazırda devam etmektedir.
Bu şekilde bir veri kurtarma işleminde, yüzer kapılarda biriken elektrik yüklerinin görselleştirilmesini sağlamak için yonganın uygun mekanik ve kimyasal işlemlerden geçirilmesi gerekir. Çok katmanlı yongalarda bu işlemin tekrarlanması ve her katmanın görselleştirilmesi gerekir. Ardından, biriken yükler, mantıksal durumlar olarak yorumlanmalı ve içerik çözülerek mantıksal yapının bir imajı haline getirilmelidir.
Yukarıda açıklanan yöntem henüz tam olarak geliştirilmemiştir, ancak araştırmalar bu şekilde veri kurtarmanın fiziksel olarak mümkün olduğunu göstermiştir. Bununla birlikte, entegre devrelerin çok katmanlı yapıları, transistörlerin giderek küçülen boyutları ve tek bir transistörde birden fazla bitin saklanması gibi bir dizi pratik engel dikkate alınmalıdır. Kod çözme, hata düzeltme, veri adresleme ve birçok durumda şifre çözme ile ilgili sorunlar da önemli olacaktır. Bu nedenle bu yöntem tam olarak geliştirilse bile her durumda etkili olmayacaktır.

Sabit Disk Sürücülerinde Mekanik Hasarlar

Kafa Grubu Hasarları

En karmaşık mekanik arızalar sabit disklerde meydana gelir. En çok etkilenen parçalar manyetik kafa grupları veya daha spesifik olarak kafaların monte edildiği kolların yaylı uçları olan kaydırıcılardır (sliders). Sabit disklerdeki okuma sinyalinin kararlılığı büyük ölçüde okuma/yazma kafalarının disk plakalarının yüzeyi üzerindeki uçuş yüksekliğinin kararlılığına bağlıdır. Bu yükseklik, dönen plakaların neden olduğu hava akımının kaydırıcı üzerinde oluşturduğu aerodinamik kaldırma kuvveti ile kaydırıcıları plaka yüzeyine bastıran elastik kuvvet arasındaki dengeye bağlıdır.

Disk bir darbeye veya düşmeye maruz kalırsa kaydırıcılar yüksek strese maruz kalır ve bu da kolayca deforme olmalarına neden olarak aerodinamik özelliklerini değiştirebilir. Sonuç olarak kafaların plaka yüzeyleri üzerindeki uçuş yüksekliği ve okudukları sinyalin parametreleri değişerek sinyal işlemcisinin sinyali doğru yorumlama yeteneğinin kaybolmasına neden olur.
Kafalar yalnızca kullanıcı verilerini değil, aynı zamanda kafaların plaka yüzeyi üzerindeki mevcut konumunun belirlenmesini sağlayan servo sinyalini de okuduğundan, kaydırıcıların deformasyonu bu sinyalin de doğru okunmasını engeller. Mekanik hasarın en tipik semptomu olan tıklama sesine neden olan şey tam olarak servo sinyalinin doğru yorumlanamaması ve kafaların konumunun belirlenememesidir. Bu ses kafaların başlatma sürecini tamamlamak için gerekli ürün yazılımını içeren servis alanı izlerini aramaya çalışırken, bir konumdan diğer konuma sürekli hareket etmesinden kaynaklanır.
Kafa tıklaması mekanik hasarın çok tipik bir semptomudur, ancak başka nedenlerden de kaynaklanabilir. Bu semptom demagnetizasyon (manyetik alan kullanılarak sürücüye kaydedilen verilerin yok edilmesi) durumunda veya söz konusu sürücüye karşılık gelmeyen sinyal yükseltme parametrelerini içeren orijinal olmayan bir EEPROM ile sürücüyü başlatma girişimi durumunda da ortaya çıkacaktır. Daha nadir olarak sinyal kaybı ve tıklama sesleri ürün yazılımıyla ilgili diğer sorunlardan da kaynaklanabilir.
Mekanik sorunlara işaret eden bir başka semptom da motoru döndürme girişimlerinin başarısız olmasıdır. Bu sorun çoğunlukla kafaların plaka yüzeylerine park etmesinden kaynaklanır. Hem kafalar hem de plaka yüzeyleri, disk içindeki hava akışını mümkün olduğunca minimum düzeyde etkileyecek ve birbiriyle temas riskini en aza indirmek için mümkün olduğunca pürüzsüz bir şekilde tasarlanır. Bu nedenle, kafalar rampa veya park bölgesi dışına park ederse kafa ile plaka yüzeyleri arasında kimyasal bağlar oluşur; bu da plakaların dönmesini engeller.

Motor Hasarları

Motorun çalışmamasının nedenleri arasında sıkışmış yataklar veya motor sargılarının hasar görmesi yer alır. Yatak sıkışması bilyalı yatak kullanan sürücülerde oldukça yaygın bir arızaydı; ancak 20 yılı aşkın bir süre önce bu hasara karşı çok daha dirençli olan hidrodinamik yataklar yaygınlaştı ve bu tür arızalar neredeyse tamamen ortadan kalktı. Motor sargılarının hasar görmesi de oldukça nadir görülen bir durumdur.
Sargılardaki hasarları teşhis etmek için dirençleri ölçülmelidir. Sürücü modeline bağlı olarak ölçülen direnç değerleri, birkaç Ω ile birkaç düzine Ω arasında değişmelidir. Genel olarak eski sürücülerin sargı direnci yenilerden, 3,5 inç sürücülerin sargı direnci 2,5 inç sürücülerden ve daha fazla plakalı sürücülerin sargı direnci daha az plakalı olanlardan daha yüksektir. Sargılar açık devre ise multimetre süreklilik göstermeyecek veya sonsuz direnç gösterecektir. Kısa devre durumunda ise multimetre 0 Ω direnç gösterecektir. Şüpheli durumlarda benzer bir çalışan sürücünün sargı direncini ölçmek ve arızalı olanınkiyle karşılaştırmak en iyisidir.

Mekanik Hasarları Onarma Yöntemleri

Mekanik hasarları onarmak için en yaygın yöntem arızalı bileşenlerin çalışanlarla değiştirilmesidir. Genellikle manyetik kafa grupları değiştirilir. Plakaları farklı bir sürücü şasisine aktarmak yalnızca motor arızası durumunda mantıklıdır ve yaygın inanışın aksine kesinlikle gerekli olmadıkça yapılmamalıdır.
Mekanik hasarın onarılmasındaki en yaygın pratik sorun uygun donörün bulunmasıdır. Gerekli parçaları satın alma imkanı olmadığından uygun donör sürücüler satın almak ve bazı durumlarda hasarlı sürücülerden sökülen manyetik kafa gruplarını kullanmak gerekir. Uygun donörün seçilmesi konusu çok parçalı ve kesin olmayan bir şekilde ele alınmıştır. Donör seçerken çevrim içi sunulan kılavuzları takip edebilirsiniz. Ancak pratikte şöyle bir durumla karşılaşılabilir: teoride belirli bir sürücü için mükemmel şekilde uygun olan kafalar verileri doğru okuyamazken, benzer olmayan bir modelden alınan kafaların ise verileri başarıyla okuduğu görülür.
Donör kafa seçimini zorlaştıran önemli etkenlerden biri de üreticilerin ürün politikalarıdır. Üreticiler, teknik açıdan birbirinden farklı disk modellerini çoğu zaman aynı model adı altında piyasaya sürebilmektedir. Buna karşılık, görünüşte oldukça farklı olan bazı modeller arasında bile bileşenlerin birbirinin yerine kullanılabilmesi, model adlandırmalarında teknik özelliklerden ziyade pazarlama ve pazar segmentasyonu stratejilerinin etkili olabildiğini göstermektedir. Bir diğer sorun ise üreticilerin, disklerde kullanılan bileşenleri açıkça belirten model kodlarını artık kullanmaması veya bu tür kodları tutarsız biçimde kullanmalarıdır. Bu nedenle, seçilen donörün gerçekten uygun olup olmadığını doğrulamanın tek yolu çoğu zaman kafa grubunu değiştirmektir.

Döner Stand (Spin-Stand)

Bu zorluklar bir süre önce tanımlanmış ve diskten bağımsız veri kurtarma kavramının geliştirilmesi için temel oluşturmuştur. Bu kavram, bir plakanın spin-stand adı verilen özel bir cihaza monte edilmesine, sinyalin evrensel bir kafa kullanılarak okunmasına, ardından bu sinyalin sürücünün ürün yazılımının çalışmasını emüle eden uygun bir yazılım kullanılarak çözülmesine ve yorumlanmasına dayanmaktadır. Böyle bir sürecin fizibilitesi 2006 yılında pratikte doğrulanmıştır.
Bu alandaki araştırmalar, bu yöntemle üzerine yazılmış verileri kurtarma girişimlerini de kapsamasına rağmen, yalnızca çok kısa bir süre devam etmiş, o dönemde zaten çok eski olan ve hatta o dönemin modellerine kıyasla çok daha basit tasarımlara sahip olan sürücülerle sınırlı kalmıştır. Deneyimler göstermiştir ki, bu şekilde veri kurtarma mümkün olsa da, özellikle sinyal işleme, veri kodlama yöntemleri, kusur yönetimi ve adresleme için kullanılan ürün yazılımı çözümleri konusunda son derece yüksek teknik uzmanlık gerektiren oldukça karmaşık ve zahmetli bir işlemdir. Pahalı ekipman gereksinimiyle birleştiğinde bu yaklaşım, sorunsuz olmasa da daha basit ve ucuz olan geleneksel yöntemlerle ekonomik açıdan rekabet edememiştir.
Modern sürücülerden diskten bağımsız olarak veri kurtarma yöntemi geliştirmeye yönelik girişimler, daha yüksek kayıt yoğunluğuna imkan verirken sinyal-gürültü oranını önemli ölçüde düşüren dikey kayıt (perpendicular recording) teknolojisinin getirdiği bir dizi ek komplikasyonları da hesaba katmak zorundadır. Ayrıca okuma/yazma kafalarının ve konumlandırıcı mekanizmalarının tasarımındaki gelişmeler ile iki boyutlu manyetik kaydın (TDMR) ortaya çıkışı, herhangi bir sürücüden alınmış plakalardaki verileri okuyabilecek evrensel bir cihazın geliştirilebilmesini sorgulatmaktadır.
Evrensel bir cihaz geliştirilmesindeki ek zorluklar arasında bir plakayı farklı bir mekanik alt sisteme aktarırken ortaya çıkan eksantriklik (merkezden kaçıklık) ve yüksek yoğunluklu sürücülerdeki eğiklik (skew) etkilerini ortadan kaldırma gerekliliği yer alır. Eksantriklikten kaçınmak için plakayı yeterli hassasiyetle monte etmek teknik olarak mümkün olmadığından servo sinyali sürücü mekanik olarak monte edildikten sonra kaydedilir. Plakanın motor eksenine göre yanlış hizalanması izi takip etmede zorluklara ve sık sık iz kaybına neden olur; bu da işlemlerin gerçekleştirilmesi için gereken süreyi önemli ölçüde artırır.

Veri Depolama Ortamı Yüzeyindeki Kirlenme ve Çizikler

Bir başka mekanik sorun da depolama ortamının kirlenmesi veya çizilmesidir. Metal kasalarla korunan sabit disklerde bu tür sorunlar, kaydırıcıların deformasyonu sonucunda kafaların plaka yüzeyleriyle temas etmesinden veya mekanik alt sisteme, uygun olmayan koşullar altında vasıfsız personel tarafından yapılan yanlış müdahaleden kaynaklanabilir. CD' ve DVD gibi optik ortamlarda ise ortamın kirlenmesi ve çizilmesi çoğunlukla uygun olmayan saklama koşullarından ve dış etkenlere maruz kalmadan kaynaklanır. Bu tür sorunlar, sıvı ile temas gibi rastgele olaylara göre çok daha az görülür.
Kirlenmiş ortamlar, daha fazla arızaya sebep olamamak için veri kurtarma girişiminden önce temizlenmelidir. Kullanılacak yöntem ve temizlik maddesi seçimi kirlenmenin türüne bağlıdır. Temizlik yaparken ortamın mekanik veya kimyasal olarak bozulma riskini en aza indirmek gerekir.
Çizikler söz konusu olduğunda, hasarın niteliğine ve kapmasına göre veri kurtarma yöntemi değişir. Sabit disklerde kafanın plaka yüzeyiyle olan teması küçük çizikleri derinleştirip genişlemesine neden olabilir. Herhangi bir yüzey düzensizliği kaydırıcının yatak kuvvetinin azalmasına neden olabilir. Bu durumda kafa plaka yüzeyinde daha fazla hasara neden olabilir. Sonuç olarak küçük çizikler bile sıklıkla silindirik oluklara – plaka yüzeyinde açılmış karakteristik oluklara – dönüşür. Silindirik bir oluğun ortaya çıkması tüm sürücüden olmasa bile en azından çizilen alandan veri kurtarmayı engelleyebilir.

Kafa, oluğun üzerine konumlandırıldığında içine düşecek ve yüzeye çarparak oluğu derinleştirip genişleterek daha fazla hasara neden olacaktır. Diskin yüzeyinden geri sekerken kaydırıcı titreşmeye başlar ve yüzeyle daha fazla temasa yol açar. Kafa, hasarlı yüzeye sürtünmeden dolayı mekanik ve termal hasar görürken aynı zamanda yüzeyden malzeme kazıyarak muhafazanın iç kısmının kirlenmesine neden olur.
Çiziğin derinleşmesi, kafaların o bölgeden çekilmesini zorlaştırır ve bazen de imkansız hale getirir. Hermetik bloğun içinde yüzen metal talaşları ise kalan yüzeylerin bozulmasına katkıda bulunur. Bu şekilde tüm yüzeylerde kolayca simetrik oluklar görünebilir ve bu da veri kurtarmayı pratikte imkansız hale getirir. Daha ileri durumda ise, bu şekilde hasar görmüş veya dahili olarak kirlenmiş bir diskin çalıştırılması manyetik yüzeyin tamamen aşınmasına yol açarak veri kurtarmayı yalnızca pratik olarak değil fiziksel olarak da imkansız hale getirebilir.
Optik diskleri temizlemek, taşlamak, yüzeylerdeki çizikleri doldurmak, yüzeyleri düzlemek ve parlatmak için yöntemler geliştirilmiştir. Sabit disklerde kayıt yoğunluğunun önemli ölçüde daha yüksek olması nedeniyle böyle bir yaklaşım çok daha zordur. Ayrıca manyetik sinyal parametrelerinin bu sinyali yakalayan kafaların mesafesine olan bağlılığı sinyal işlemcisinin sinyali yorumlama yeteneğini de etkiler. Bu nedenle, bir sabit disk plakası yüzeyi düzlendiğinde, yüzeydeki çizikler doldurulduğunda veya yüzeye koruyucu bir katman uygulandığında kafa ile manyetik katman arasındaki mesafe değişeceğinden ürün yazılımında bu değişikliğin hesaba katılması ve sinyal kazancında uygun düzeltmelerin yapılması gerekir.

Veri Depolama Ortamı Yüzeylerini Görüntüleme Yöntemleri

Sabit disklerden ve optik disklerden veri kurtarma yöntemlerinin neredeyse tamamında depolama ortamının döndürülmesi gerekir. Kırılma, bükülme veya delinme gibi ortamın dönmesini engelleyen hasarlar, fiziksel anlamda veriler büyük ölçüde kurtarılabilir durumda olsa bile veri kurtarmayı imkansız hale getirebilir. Bu tür hasarlı ortamlardan veri kurtarmak için yüzeylerini görüntülemek, ardından kaydedilen sinyali bu görüntüden çıkarmak ve kodunu çözmek gerekir.
Optik ortamda iz (track) üzerindeki yazılmış (veya kabartılmış) ve yazılmamış (kabartılmamış) bölümleri, manyetik ortamda ise yüzeyin manyetizasyonunu görüntülemek gerekir. Bu nedenle hasarlı CD'ler ve DVD'ler için optik mikroskoplar kullanılarak görüntüleme, sabit diskler için ise manyetik kuvvet mikroskopisi uygundur. Bu, geçmişte optik yöntemler kullanılarak yüzey manyetizasyonunu yeniden oluşturma girişimlerinde bulunulmadığı anlamına gelmez.
1930'ların başında Francis Bitter tarafından geliştirilen, manyetit parçacıklar içeren kolloidal bir süspansiyon kullanan yöntem, yüzey manyetizasyonunu görselleştirmek için kullanıldı. Süspansiyon, manyetize edilmiş bir yüzeye uygulandıktan sonra manyetit parçacıkları alan duvarları boyunca hizalanarak manyetik alanların konumunun bir optik mikroskop kullanılarak gözlemlenmesine olanak tanır. Sabit disklerde artan kayıt yoğunluğuyla birlikte 1990'lardan itibaren optik mikroskopların çözünürlüğü artık yetersiz kalmıştır.
Başka bir yaklaşım ise polarize ışığın manyetik bir alanın etkisi altında sapmasını içeren Kerr ve Faraday manyeto-optik etkilerinin kullanılmasıdır. Kerr etkisi, ışık manyetize edilmiş bir yüzeyden yansıdığında gözlemlenirken; Faraday etkisi, ışık manyetize edilmiş bir ortamdan geçtiğinde gözlemlenir. Bu nedenle manyetik ortamda Kerr etkisi doğrudan gözlemlenebilirken Faraday etkisinin gözlemlenmesi ferromanyetik özelliklere sahip şeffaf bir ortamın – bir ferrogarnet kristalinin – kullanılmasını gerektirir. Ancak bu yöntemlerin çözünürlüğü 1990'larda sabit diskler için yeterli olmaktan çıkmıştır.
Bu nedenle ciddi şekilde hasar görmüş sabit disk plakalarından veri kurtarmak için tek geçerli yöntem manyetik kuvvet mikroskopisidir. Manyetik kuvvet mikroskopları kullanılarak yapılan sabit disk araştırmalarının geçmişi 1980'lerin sonu ve 1990'ların başına dayanmaktadır. Bu çalışmalar başlangıçta üzerine yazılmış verileri kurtarmaya odaklanmıştı. Nihayetinde araştırmalar üzerine yazılmış verileri kurtarmanın mümkün olmadığını göstermiştir; ancak özel sabit disk parçalayıcıları tarafından parçalanmış olanlar da dâhil olmak üzere, mekanik olarak hasar görmüş plakalardan veri kurtarmanın pratik olarak mümkün olduğunu doğrulamıştır.
Manyetize yüzeyin görüntülenmesi, veri kurtarma sürecinin yalnızca ilk adımıdır. Bundan sonraki aşamada, plaka parçalarının manyetizasyonunu gösteren elde edilen görüntülerin bir araya getirilmesi gerekir. Ancak bu işlem tamamlandıktan sonra sinyal analizi yapılabilir. Bu tür parça sayısı arttıkça süreç de daha karmaşık hâle gelir. Özellikle görüntülenen parçalar arasında başka sabit disk sürücülerine ait parçalar da bulunuyorsa, doğru eşleştirme ve yeniden yapılandırma işlemi çok daha zorlaşır.
Asıl zorluk, hedef diske ait parçaların diğer depolama ortamlarından gelen parçalardan ayırt edilmesini gerektiren bu karmaşık süreçten kaynaklanmaktadır. Bu nedenle, parçalanarak imha edilmiş bir sabit diskten verilerin pratikte kurtarılabilmesi son derece düşük bir olasılıktır. Buna karşılık, daha hafif düzeyde fiziksel hasar görmüş disklerden veri kurtarmak oldukça mümkündür. Örneğin, plaka yüzeyindeki çizikler ve oyuklar, geleneksel yöntemlerle veri okunmaya çalışıldığında okuma/yazma kafalarının zarar görmesine neden olsa da, uygun tekniklerle bu tür disklerden veri kurtarılabilir. Bu durum, kasıtlı olarak hasar verilmiş sürücüler için de geçerlidir. Örneğin; diskin delinmesi, çivi çakılması, çekiçle ezilmesi veya kasanın belirli bir noktasına uzun bir vida vidalanması sonucu plakaların eğilmesi ya da çatlaması (''kırmızı nokta (red dot) yöntemi'' olarak bilinir) gibi yöntemlerle zarar görmüş sürücülerden de, uygun veri kurtarma teknikleri kullanılarak verilerin kurtarılması mümkündür.

Ürün Yazılımı (Firmware) Arızaları

Daha 20 yıl öncesine kadar veri depolama cihazlarında ürün yazılımı arızalarına nadir rastlanıyordu. Ancak o zamandan beri çok şey değişti ve teknolojik ilerlemeyle birlikte ürün yazılımları da karmaşıklaştı; bu da arıza riskinin artmasına katkıda bulundu. Bu arıza kategorisi, özellikle katı hal sürücüler (SSD) ve SMR sürücüler söz konusu olduğunda önemlidir.
Ürün yazılımı arızalarının en yaygın belirtileri şunlardır:
Cihazın yanıt vermemesi (komutlara cevap vermemesi, veri alışverişi yapmaması, durum yazmacındaki BSY bitinin set olması ve arızalı depolama aygıtı bağlıyken bilgisayarın önyükleme sırasında 20-30 saniye boyunca donması),
Model bilgisinin yanlış algılanması (teknik pasaport olarak adlandırılan bilgilerde; depolama cihazı üreticisinin belirlediği model adı yerine denetleyiciye özgü bir ad görünür, örneğin PS-3111 denetleyicili bir SSD’de SATAFIRM S11 ifadesinin görünmesi gibi. Bazen teknik pasaportta tanılama mesajları da görünür; örneğin Intel denetleyicili SSD'lerde seri numaraları hata kodlarıyla değiştirilmiştir),
Kapasitenin sıfır veya çok düşük (birkaç MB ile onlarca MB arasında) algılanması,
Bazı durumlarda sürücü doğru şekilde başlatılır ve hazır duruma gelir, doğru kapasiteyi gösterir ancak tüm LBA sektörleri boş veya hatalı olarak görünür.
Sabit disklerde ürün yazılımı arızaları görüldüğünde sürücü ilk bakışta normal çalışıyor gibi görünür. Başlatma süreci servis alanı bulunana kadar doğru şekilde ilerler. Ancak servis alanı okunurken hata yönetimi sırasında süreç geçici olarak durabilir ya da LBA adresleme alanına erişim izni verilmez (veri okuma imkanı olmadan bekleme moduna girer). Nadir istisnalar dışında kafalardan tıklama sesi gelmez. Bu istisnalardan biri WD SMR sürücülerdir. Bu sürücülere ikinci seviye çevirmen (T2) hasarı oluştuğunda, servo sinyalini okuma ve iz kaybı sorunlarına benzeyen geçici sesler meydana gelebilir. Seagate F3 nesil sürücülerde, genellikle birkaç saniyelik kafa tıklaması ve motorun duraksamasını takiben kapasitenin 4 GB'lık olarak görünmesi, manyetik kafa grubunun değiştirilmesini gerektiren mekanik bir hasarın göstergesidir. Böyle bir sürücüde, kafaları değiştirmeden ürün yazılımını onarmaya çalışmak sürücünün durumunu daha da kötüleştirebilir.
SSD'ler genellikle geçici olarak durur (kilitlenir) veya belirli bir denetleyiciye özgü bir şekilde davranır. Denetleyici ısınır. Ürün yazılımı hasarı olan SSD'ler genellikle bekleme moduna girer ve sözde Güvenli Mod'a (Safe Mode) geçtikten sonra sınırlı bir iletişime izin verir. Bu işlem genellikle PCB üzerindeki ilgili kontrol noktalarının kısa devre yapılmasıyla gerçekleştirilir.
Taşınabilir yarı iletken depolama cihazları genellikle işletim sistemi tarafından algılanır. Algılandıklarını belirten bir mesaj görünür ancak kapasite sıfırdır. Çoğu zaman cihazda depolama aygıtı olmadığını belirten bir mesaj da görünür. Tanılama programları genellikle denetleyici modelini (bazen sadece kimliğini) ve çoğunlukla bellek yongalarının kimliğini de doğru bir şekilde tespit edebilir.
Ürün yazılımı ile ilgili sorunlar teoride her zaman çözülebilir niteliktedir ancak pratikte durum farklıdır. En çok hasar görebilecek modüllerin her aygıta özgü olması gibi bir sorununun yanı sıra, özellikle yeni nesil depolama cihazlarında görülen yaygın bir sorun da ürün yazılımının harici bir müdahaleye ve şifrelenmeye karşı koruma altına alınmasıdır. Bir başka engel de, depolama ortamının fiziksel olarak bozulmasıdır; bu durumda düzeltilen modüllerin üzerine yazma işlemi zorlaşır.
Ürün yazılımı hasarı genellikle yürütülebilir kodu etkilemez; daha çok sürücünün doğru çalışması için gerekli olan çeşitli günlük kayıtları (log) veya parametre tablolarındaki yanlış girdilerden kaynaklanır. Bu tür hasarlar, değişiklikler yazılırken oluşan hatalardan veya bozulmalardan, yazma sırasında meydana gelen ani güç kesintilerinden, servis bilgilerini saklamak için ayrılmış alanlardaki fiziksel hasarlardan veya belirli bilgilerin kaydedilmesi için ayrılmış alanın taşması neticesinde ortaya çıkabilir. Ürün yazılımı ile ilgili arızaları onarmadaki temel sorun, bunların genellikle belirli bir medya birimine özgü bilgileri içermesidir. Bu bilgiler başka bir cihazdan alınan verilerle değiştirilemez.
Ürün yazılımı ile ilgili en sık görülen hatalar, kullanıcı verilerine erişmek için kritik olan LBA adreslerini fiziksel adreslere çeviren alt sistemle ilgilidir. Bu nedenle bu tür hataları onarmaya çalışmadan önce ilk durumu güvence altına almak ve mevcut durumu daha da kötüleştirmemek için özellikle dikkatli olunmalıdır. Özellikle hasar görmüş ürün yazılımına ait orijinal parçaların kaybedilmesi ve bunların değiştirilmesi, sonraki veri kurtarma süreci açısından kritik olabilir.
Bazı durumlarda SMR ve SSD sürücülerde, çevirmen (translator) hasarı şu şekilde kendini gösterir; sürücü doğru model ve tam kapasiteyle algılanır, ancak tüm sektörlerin içeriği sıfır olarak görünür. Çoğu durumda bu belirti, verilerin üzerine yazılarak yok edildiğini gösterse de bunun dışında başka bir olasılık daha vardır. Çevirmendeki hatalar nedeniyle sürücü, sektörlerin gerçek içeriğini fiziksel olarak içeriği okumaz; bunun yerine, herhangi bir sektörü okuma komutuna yanıt olarak sıfır verisi döndürür.
Böyle bir durumda fiziksel adresten herhangi bir içeriğin okunup okunamayacağı kontrol edilmelidir. Fiziksel adreslemeye geçmek, Güvenli Silme (Secure Erase) prosedürünün yanlış uygulanması durumunda bile en azından verilerin bir kısmının kurtarılmasına olanak tanıyabilir. Bazı durumlarda Güvenli Silme işlemi, verileri fiziksel olarak silmek yerine yalnızca çevirmen tablolarına gerekli bilgilerin yazılmasından ibarettir. Bu durumda veriler aslında diskte fiziksel olarak durmaya devam eder; ancak çevirmen tablolarındaki değişiklikler nedeniyle normal mantıksal adresleme kullanılarak bu verilere erişilemez.
Yaygın olarak karşılaşılan diğer hatalar ise SMART (Self-Monitoring, Analysis and Reporting Technology – Kendi Kendini İzleme, Analiz ve Raporlama Teknolojisi) günlüklerinin ve kararsız (unstable) sektör listelerinin taşmasıyla ilgilidir. Bu bilgiler, söz konusu durumlarda diskin önyükleme yapması veya verilere erişim açısından kritik olmadığından, sorun çoğu zaman taşan modüllerin temizlenmesiyle giderilebilir. Daha seyrek görülen diğer arızalar ise yazılım bileşenlerinde meydana gelir. Bu tür bileşenler, aynı ürün yazılımı sürümüne sahip başka bir diskten kopyalanabilir. Benzer şekilde, yapılandırma (configuration) modülleri de küçük ve nispeten basit değişiklikler yapıldıktan sonra kopyalanarak kullanılabilir.
Ürün yazılımı sorunları kategorisine, HPA (Host Protected Area – Ana Bilgisayar Korumalı Alanı) veya DCO (Device Configuration Overlay – Aygıt Yapılandırma Katmanı) işlevleri tarafından uygulanan depolama kapasitesi sınırlamaları da dâhil edilir. Çoğu zaman bu tür bir kapasite kısıtlaması, gerçek anlamda bir arıza olmayıp bakım, işletim veya verileri gizleme amacıyla bilinçli olarak uygulanır. Bununla birlikte, bazı durumlarda bu kapasite sınırlaması yazılım hataları sonucunda kendiliğinden de ortaya çıkabilir. Yakın zamana kadar Gigabyte anakartlardaki BIOS'un (Basic Input–Output System – Temel Giriş/Çıkış Sistemi), 1 TB kapasiteli sabit diskleri 32 MB (0xFFFF sektör) kapasiteyle sınırlandırması bu tür bir arızaya örnek olarak verilebilir.
Ürün yazılımı mimarilerinin çeşitliliği ve ürün modelleri ile ürün yazılımı sürümleri arasındaki farklar göz önüne alındığında, ortaya çıkabilecek arızaları çözmeye çalışmadan önce her zaman kapsamlı bir teşhis yapılmalı ve sorun net bir şekilde anlaşılmadır. Özellikle gelişmiş veri kurtarma yazılımları tarafından sağlanan otomatik prosedürleri aceleyle tıklamak risklidir. Bu tür prosedürler en yaygın sorunlar düşünülerek tasarlanmıştır; bu nedenle çoğu durumda oldukça etkili olsalar da, karşılaşılan belirli bir sorunun gerçekten bu yaygın sorunlar kategorisine girdiğine dair hiçbir garanti vermezler.
Sabit disklerde servis alanı (Service Area) içeriğinin mevcut tüm kopyalarını yedeklemek iyi bir uygulamadır. Hasar görmüş kopyalardaki doğru okunabilen kısımlar bir araya getirilerek, bozuk sektörlerin yeniden oluşturulması çoğu zaman mümkündür. Bazen örneğin çevirmen ve hata listeleri arasındaki ilişki gibi bağımlılıklardan yararlanmak gerekir. Aşırı durumlarda ise eksik kalan bölümlerin manuel olarak tamamlanması da mümkün olabilmektedir.
Servis alanına düzeltilmiş modülleri kaydetmek mümkün değilse, diskin kısmi başlatılması (partial initialization) denenebilir ve düzeltilmiş modüller bir dosyadan RAM'e (Random Access Memory - Rastgele Erişimli Bellek) yüklenebilir. Bazı disklerde Hot-Swap işlemi uygulanabilir. Bu işlem, servis alanının düzeltilmiş içeriğinin yeterince benzer başka bir diske yazılmasından ibarettir. Daha sonra bu yardımcı disk normal şekilde başlatılır ve uyku moduna alınır. Güç bağlantısı kesilmeden, ürün yazılımı tamamen RAM'e yüklenmiş olan PCB, bu diskten sökülerek arızalı diske takılır.
Yarı iletken tabanlı depolama aygıtlarında, ürün yazılımı hasarı meydana geldiğinde bunları onarmaya yönelik çok sayıda araç bulunmaktadır. Ne yazık ki, veri kurtarmanın en iyi yolunun cihazı onarmak olduğu yönündeki yanlış inanış hâlâ yaygındır. Bu yazılımlar, Flash-NAND belleği yeniden başlatarak (initialize), tüm fiziksel blokları siler, bunları hatalara karşı tarar ve yeni Flash Translation Layer (FTL) tabloları oluşturur. Bu işlem, verileri geri döndürülemez şekilde yok eder. Ayrıca, zamanla bellek yongaları fiziksel olarak yıprandığından, onarım sonrasında depolama aygıtının uzun vadede sorunsuz çalışacağı da garanti değildir.
Yakın zamana kadar, yarı iletken tabanlı depolama aygıtlarından veri kurtarmada en yaygın yöntemlerden biri, Flash-NAND bellek yongalarını devre kartından sökerek bir programlayıcı (programmer) ile okumak, ardından elde edilen ikilik (binary) görüntüleri çözümleyip bunları yeniden mantıksal bir veri yapısı hâline getirmekti. Bu yöntem temelde depolama denetleyicisinin gerçekleştirdiği işlemlerin yeniden oluşturulmasına ve yazılımsal olarak taklit edilmesine (emüle edilmesine) dayanıyordu. Ancak kullanılan algoritmaların matematiksel olarak giderek daha da karmaşık hâle gelmesi ve şifrelemenin yaygınlaşmasıyla birlikte bu yöntem önemini büyük ölçüde yitirmeye başlamıştır. Özellikle şifreleme, bu yöntemin pratikte anlamlı ve etkili bir şekilde kullanılmasını büyük ölçüde engellemektedir.
Giderek yaygınlaşan ikinci yaklaşım ise, depolama aygıtını güvenli moda (safe mode) alıp RAM'ine özel olarak hazırlanmış bir program (loader) yüklemektir. Bu şekilde başlatılan bir depolama cihazı ürün yazılımının (çeviri alt sistemi dahil) yeniden oluşturulmasını ve verilerin alınmasını sağlayan teknik komutların yürütülmesine olanak tanır. Bu yöntemin en büyük dezavantajı ise oldukça karmaşık olmasıdır. Ayrıca, her bir depolama denetleyicisi ve çoğu durumda her bir ürün yazılımı sürümü için ayrı ayrı tersine mühendislik (reverse engineering) çalışması yapılması gerekir.
Bu nedenle bu yöntemin pratikteki uygulaması genellikle ticari veri kurtarma araçlarıyla birlikte sunulan loader programlarının kullanımıyla sınırlıdır. Uygun bir aracın geliştirilmesi için gereken iş gücü, zaman ve maliyet nedeniyle, bu yöntemle yalnızca en yaygın kullanılan denetleyicilerin küçük bir bölümü desteklenebilmektedir. Buna ek olarak, depolama aygıtlarının şifrelemesini kırmaya yönelik saldırılara karşı geliştirilen güvenlik önlemleri de sürekli ilerlemektedir. Bu nedenle, yeni nesil depolama aygıtları, bilinen saldırı yöntemlerine karşı giderek daha da dirençli hâle gelmektedir.
Depolama ortamlarındaki arızalar ve veri kurtarma olanakları üzerine kapsamlı araştırmalar yapan merkezlerin sayısının az olması nedeniyle bu alandaki gelişmeler, karşılaşılan sorunların sayısı ve karmaşıklığındaki artışa ayak uyduramamaktadır. Depolama yoğunluğunun sürekli artması; hata düzeltme, kusur (defect) yönetimi, veri adresleme ve depolama ortamının optimizasyonu için giderek daha da karmaşıklaşan çözümlerin geliştirilmesini zorunlu kılmaktadır. Bu konulara yönelik araştırmalarda önemli bir artış sağlanmadığı sürece, fiziksel olarak mümkün olan ile pratikte gerçekleştirilebilen arasındaki fark giderek daha da büyüyecektir. Bu nedenle, günümüzde fiziksel olarak kurtarılması mümkün olmasına rağmen yalnızca pratik nedenlerle kurtarılamayan verilere giderek daha sık rastlanmaktadır.

Veri Depolama Ortamının Bozulması (Degradation)

Veri depolama aygıtlarının arızalanmasının yaygın nedenlerinden biri de, depolama ortamının zamanla bozulmasıdır (degradation). Bu tür durumlarda aygıt genellikle doğru şekilde başlatılır, hazır (ready) durumuna geçer ve LBA (Logical Block Addressing) adresleme üzerinden erişime izin verir. Ancak içerik okunmaya çalışıldığında; okuma hızının ciddi şekilde düşmesi, dosyaların bozulması, chkdsk, scandisk veya fsck gibi dosya sistemi bütünlüğünü denetleyen araçların sık sık çalışması, bad sector oluşumu, SMART alt sisteminden gelen uyarılar ve bunlara ek olarak sabit disklerde gürültülü çalışma ile okuma/yazma kafalarından alışılmadık sesler duyma gibi sorunlar ortaya çıkar.
Depolama ortamındaki bozulma, tanılama (diagnostic) yazılımlarıyla gerçekleştirilen bir tarama sayesinde doğrulanabilir. Bu tür yazılımlar, dosya sisteminin mantıksal yapılarından ve içeriğinden bağımsız olarak LBA sektörlerine erişim sürelerini tek tek kontrol eder. Hata tespit edildiğinde, şayet kaliteli bir tanılama yazılımı ise hata kayıtçısından (error register) alınan hata türünü de kullanıcıya bildirir.
Tanılama sırasında okuma hatalarının türüne dikkat edilmelidir; çünkü bazı durumlarda sürücü gerçekte bozulmuş olmayabilir ve okuma hatalarının nedeni farklı olabilir. Örneğin ABRT (Abort – komut reddi) hataları çoğu zaman sürücünün ATA Password ile korunuyor olmasından kaynaklanır. Sürücünün hızlı ve sessiz çalışmasına rağmen bazen de çok sayıda okuma hatası görülmesi, çevirmen (translator) sorunlarına işaret eder. Seagate sürücülerde bu durum genellikle UNC (Uncorrectable – düzeltilemeyen checksum hatası), WD (Western Digital) sürücülerde ise IDNF (ID Not Found – geçersiz sektör tanımlayıcısı) hataları şeklinde ortaya çıkar.
SSD'lerde kusur yönetim (defect management) algoritmaları, hasarlı blokları genellikle etkin bir şekilde kullanım dışı bırakır. Bu nedenle bu bloklar tarama sırasında nadiren tespit edilir. Eğer bir SSD'de tarama sırasında bozuk bloklar görülüyorsa, bu durum çoğunlukla SSD'nin sağlık durumunun kritik seviyeye ulaştığını gösterir. SSD tanılaması yapılırken özellikle okuma sürelerine dikkat edilmelidir. Kararsız ve çok yavaş okuma hızları, NAND bellek yongalarının yüksek derecede yıprandığını gösterir.
Bozulmuş depolama ortamlarında daha fazla hasar oluşma riski bulunduğundan, tanılama sırasında ortama gereğinden fazla yük bindirilmemelidir. Çoğu durumda veri kurtarma işlemi için depolama ortamının yüzey durumunun tamamen bilinmesine gerek yoktur ve bunu öğrenmek amacıyla arızanın daha da kötüleşmesi göze alınmamalıdır. Tarama işlemi ardışık sektörlerin okunmasını gerektirdiğinden, diskin genel durumu hakkında yeterli fikir edinildikten sonra mümkün olan en kısa sürede sektör bazlı kopyalama (sector-by-sector copy) işlemine başlanması tavsiye edilir. Sektör bazlı kopyalama işleminin bölümler hâlinde yapılabileceği de unutulmamalıdır. Daha fazla bozulmuş alanla karşılaşıldığında bu bölgeler geçici olarak atlanabilir; böylece önce kolay okunabilen sektörlerin içeriği güvence altına alınır, daha sonra ise sorunlu bölgelere geri dönülür.
Temel olarak hasarlı bölgelerde bulunan verilerin kurtarılması mümkün değildir. Ancak durum her zaman bu kadar kesin değildir. Günümüzde ulaşılan kayıt yoğunlukları nedeniyle verilerin tamamen hatasız yazılması ve okunması pratik olarak mümkün değildir. Bu nedenle tüm depolama ortamlarında her fiziksel tahsis birimi ECC (Error Correction Code – Hata Düzeltme Kodu) ile korunur. Bu kodlar belirli sayıdaki hatayı düzelterek verinin doğru bir şekilde okunmasını sağlar; ancak hata düzeltme kapasiteleri sınırlıdır. Bit hatalarının sayısı kullanılan ECC'nin düzeltebileceği sınırı aştığında okuma hatası meydana gelir.
Bazı durumlarda bit hatalarının sayısı, ECC'nin düzeltebileceği sınırı çok az aşar. Bu durumda ilk denemede okunamayan sektörlerin tekrar okunmasıyla başarılı sonuç alma ihtimali doğabilir. Bununla birlikte okuma hatalarını, besleme geriliminin kararlılığı veya sıcaklık değişimleri gibi birçok etkenin etkileyebileceği unutulmamalıdır. Bu etkenlerin kontrol altına alınması, okuma başarısını artırabilir.
Özellikle Flash-NAND bellek yongalarında, okuma işleminin gerçekleştirildiği sıcaklığın kontrol edilmesi okuma kalitesini önemli ölçüde iyileştirebilir. Ayrıca nominal besleme geriliminden biraz daha düşük veya daha yüksek gerilimlerle çalışmanın fayda sağlayıp sağlamadığı da denenebilir. Sabit disklerde ise bazı durumlarda okuma sırasında diskin fiziksel konumunun değiştirilmesi olumlu sonuç verebilir.
Bu tür durumlar için uygulanabilecek tek bir standart yöntem yoktur. Her olayda okuma kalitesini artırmaya yönelik yöntemler deneysel olarak belirlenmeli ve elde edilen sonuçlar dikkatle izlenmelidir. Aynı zamanda ani ve büyük değişikliklerden kaçınılmalıdır; çünkü bu tür müdahaleler depolama ortamındaki bozulmayı hızlandırabilir veya çok daha ciddi hasarlara yol açabilir.

Mantıksal Yapı Arızaları

Mantıksal hasarlar, depolama ortamının teknik açıdan çalışır durumda olmasına rağmen mantıksal yapılardaki hataların verilere erişimi engellediği veya mantıksal yapıdaki hataların örneğin depolama ortamının bozulması (degradation) ya da ortamın fiziksel olarak hasar alması gibi nedenlerle ortaya çıktığı durumlarda meydana gelir. Özellikle ikinci durumda, orijinal depolama ortamına binen yükü ve durumunun daha da kötüleşmesi riskini azaltmak amacıyla, mantıksal sorunların önceden oluşturulmuş bir kopya üzerinde giderilmesi en doğru yaklaşımdır. Mantıksal hasarlar; bölümleme tablolarındaki (partition tables) hataları, dosya sistemi üst verilerindeki (metadata) hataları veya dosyaların kendi iç yapılarındaki hataları kapsayabilir.
Genel olarak, okuma hataları nedeniyle kaybolan veya başka veriler üzerine yazılması (overwrite) sonucu silinen içerikler kurtarılamaz. Bununla birlikte, üst verilerin (metadata) yedek kopyaları ile çeşitli parametreler arasındaki matematiksel ilişkilerden yararlanılarak mantıksal yapıların yeniden oluşturulması ve onarılması çoğu zaman mümkündür. Bu tür sorunların bir kısmı veri kurtarma yazılımları tarafından otomatik olarak giderilebilirken, bazıları ise manuel müdahale gerektirir.
Gelişmiş araçların belirli izleri tespit edememesi, eksik sonuç döndürmesi veya bozulmuş dosyaları kurtaramaması, otomatik yöntemlerle bulunamayan verilerin gerçekte mevcut olmadığı anlamına gelmez. Veri kurtarma ve dijital adli bilişim yazılımlarının önemli bir sınırlılığı, nesneleri tanımlarken önceden tanımlanmış imzalara (signature) dayanmasıdır. Bu nedenle, tek bir bit hatası gibi çok küçük bir farklılık bile ilgili verinin sonuçlarda hiç görünmemesine neden olabilir. Oysa aynı veri, depolama ortamının içeriği bir hex editör ile incelendiğinde kolaylıkla fark edilebilir. Ayrıca otomatik araçlar, parçalanmış (fragmented) dosyaların kurtarılmasında oldukça yetersiz kalmaktadır.
Verilere erişimin önündeki en önemli engellerden biri de depolama ortamındaki verilerin şifrelenmiş olmasıdır. Daha önce bahsedilen ve genellikle diskin tamamını kapsayan donanım seviyesindeki şifrelemeye (FDE – Full Disk Encryption) ek olarak, bölüm düzeyinde şifreleme (FVE – Full Volume Encryption) veya dosya düzeyinde şifreleme (FBE – File-Based Encryption) ile de karşılaşılabilir. Bunun yanı sıra veriler, mantıksal yapıda görünmeyebilen şifreli konteynerler (encrypted containers) içinde de saklanabilir. TrueCrypt ve VeraCrypt bunun bilinen örneklerindendir.
Şifrelenmiş veriler, önceden tanımlanmış hiçbir imzayla eşleşmediğinden, veri kurtarma ve dijital adli bilişim yazılımları şifreli veri akışı içerisinde anlamlı herhangi bir içerik tespit edemez. Depolama ortamının tamamının veya belirli bir bölümünün şifrelenmiş olduğu, içerdiği yüksek entropili (high-entropy) veri akışından büyük ölçüde anlaşılabilir. Bu durum, bir Hex Editör kullanılarak yapılan incelemede kolayca fark edilir. Teorik olarak şifrelenmiş veriler tamamen kurtarılabilir; ancak bunların çözülebilmesi için gerekli şifreleme anahtarına (encryption key) sahip olunması pratik açıdan zorunludur.
Çoğu durumda şifreleme sistemleri, şifreleme anahtarının saklandığı konumun tespit edilmesi veya anahtarın yetkisiz biçimde kullanılmasını sağlayan bir yöntemin keşfedilmesiyle aşılmaktadır. Şifreleme anahtarlarının uzunluğu ve yüksek entropisi nedeniyle, doğrudan anahtara yönelik gerçekleştirilecek kaba kuvvet (brute-force) saldırılarının makul bir süre içerisinde sonuç vermesi beklenmez ve bu nedenle pratik açıdan önem taşımaz. Buna karşılık, anahtara erişimi koruyan PIN kodlarına veya parolalara yönelik saldırılar anlamlı olabilir. Bu tür koruma mekanizmaları genellikle daha kısa ve daha basit olduğundan, sözlük saldırıları (dictionary attacks) karşısında daha savunmasızdır.
Manuel analizlerin en önemli dezavantajlarından biri, oldukça zaman alıcı ve yoğun emek gerektiren işlemler olmalarıdır. Günümüzde depolama ortamlarının ulaştığı kapasiteler göz önüne alındığında, zaman ve bütçe kısıtları altında kapsamlı bir manuel analiz gerçekleştirmek pratik olarak mümkün değildir. Bu nedenle, bir uzmanın uygun araçlardan yararlanmadan etkin şekilde çalışması düşünülemez. Bununla birlikte, bu çalışmalar yalnızca otomatik tarama yapıp rapor oluşturmaktan ibaret olmamalı; elde edilen sonuçların doğrulanması ve ayrıntılı şekilde analiz edilmesiyle desteklenmelidir. Bu sebeple veri kurtarma ve dijital adli bilişim uzmanlarının, dosya sistemlerinin mantıksal yapılarını iyi derecede anlamaları ve bir Hex Editörü etkin biçimde kullanabilecek bilgi ve deneyime sahip olmaları gerekmektedir.

Veri Depolama Ortamlarının ve İçeriklerinin Güvence Altına Alınmasına İlişkin İlkeler

Veri Depolama Ortamlarının Koruması ve Veri Kurtarmanın Temel Esasları

Dijital delillerin güvence altına alınması sürecinde, verilere erişebilmek için hangi sorunların çözülmesi gerekeceğini önceden tam olarak öngörmek zordur. Bu nedenle dikkatli hareket edilmeli, hata yapma riski en aza indirilmeli, gereksiz müdahalelerden kaçınılmalı ve haklı bir gerekçesi bulunmayan işlemler yapılmamalıdır. Mevcut bilgilerin mümkün olduğunca büyük bir kısmını en kısa sürede güvence altına alma hedefi gözetilirken, depolama ortamının arızalanması veya durumunun daha da kötüleşmesi riski göz ardı edilmemeli; dolayısıyla ileride uygulanabilecek diğer yöntemlerin kullanılmasını engelleyebilecek müdahalelerden kaçınılmalıdır.
Çalışmaların, gerekli tüm araçlarla donatılmış ve ihtiyaç duyulan yazılımların kurulu olduğu bir iş istasyonunda yürütülmesi en doğru yaklaşımdır. Veri kurtarma amacıyla kullanılan bilgisayarda TRIM işlevi devre dışı bırakılmalıdır. Depolama aygıtlarının, tercihen donanımsal yazma engelleyiciler (hardware write blockers) veya veri kurtarma için geliştirilmiş özel denetleyiciler aracılığıyla bağlanması tercih edilmelidir. Ayrıca, sürücünün işletim sistemi tarafından başlatılması (initialize edilmesi) gibi işlemler sonucunda meydana gelebilecek kazara ya da kasıtlı üzerine yazmalara karşı depolama ortamının mutlaka korunması gerekir.
Geçici olarak oluşturulmuş iş istasyonlarında veya saha koşullarında gerçekleştirilen işlemler yalnızca istisnai durumlarda başvurulması gereken son çare olarak değerlendirilmelidir. Benzer şekilde, uzaktan veri kurtarma girişimlerinden de mümkün olduğunca kaçınılmalıdır. Güvenlik gerekçesiyle veri kurtarma amacıyla kullanılan bilgisayarların ağa bağlı olmaması tavsiye edilir. Ayrıca, sabit diskin çıkardığı ses veya depolama ortamının sıcaklığı gibi uzaktan güvenilir bir biçimde değerlendirilemeyen etkenler, veri kurtarma sürecinde büyük önem taşır.
Genel olarak veri kurtarma süreci aşağıdaki aşamalara ayrılabilir:
Arızanın teşhisi (diagnostics),
Depolama ortamına erişimin sağlanması,
Depolama ortamının birebir görüntüsünün (image) oluşturulması,
Mantıksal yapının yeniden oluşturulması,
Dosyaların kurtarılması,
Dosyalarda bulunan bilgilerin çıkarılması ve analiz edilmesi.
Her somut olayda bu aşamaların sırası ve uygulanacak işlemler, arızanın niteliğine göre belirlenir. Bununla birlikte, teknik açıdan gerekli görülen bazı müdahalelerin, usul ve kurallar bakımından kabul edilemez olabileceği unutulmamalıdır. Bu tür işlemler, delillerin usulüne uygun şekilde güvence altına alınmadığı iddiasıyla, hukuken itiraz konusu olabilir. Aynı nedenle, gerçekleştirilen tüm işlemlerin eksiksiz ve uygun biçimde belgelenmesi de büyük önem taşır.

Arıza Teşhisi (Tanılama- Diagnostik)

Depolama ortamlarının arıza teşhisine başlanırken, cihazın kendisi, mevcut durumu, içerdiği veriler ve hasarın oluşumuna ilişkin koşullar hakkında mümkün olduğunca ayrıntılı bilgi toplanması tavsiye edilir. Bununla birlikte, bu bilgilerin güvenilirliğinin sınırlı olabileceği unutulmamalıdır. Öncelikle, depolama aygıtının incelenmesi için teslim eden veya muhafaza altına alan kişiler, cihaz hakkında yeterli teknik bilgiye veya cihazın durumunu ayrıntılı ve doğru şekilde açıklayabilecek uzmanlığa sahip olmayabilirler. Ayrıca, bazı durumlarda kolluk kuvvetlerini, yargı makamlarını veya incelemeyi yapan uzmanları kasıtlı olarak yanıltma yönünde çıkarları da bulunabilir.
Veri depolama ortamları güvence altına alınırken en önemli öncelik, mevcut durumlarının daha da kötüleşmesini önlemektir. Ortama, verilere erişimi engellemek amacıyla kasıtlı müdahalelerde bulunulmuş olabileceği de göz önünde bulundurulmalıdır. Herhangi bir işlem yapılmadan önce depolama ortamı; mekanik, termal veya elektriksel hasarlar, su teması ve korozyon belirtileri ile diğer olası müdahale izleri açısından dikkatlice incelenmelidir.
Depolama ortamları ayrıca taşıma ve muhafaza sırasında oluşabilecek ikincil hasarlara karşı da korunmalıdır. Özellikle mobil cihazların birçoğu, kapalı olsalar bile kablosuz iletişim kurmaya devam edebilir; bu sayede içeriklerini silmeye veya cihazı kilitlemeye yönelik komutları alıp uygulayabilirler. Bu nedenle, bu tür cihazların dış dünya ile iletişim kurması fiziksel olarak engellenmelidir.
Herhangi bir hasar tespit edilirse, depolama ortamına enerji verilmeden önce gerekli onarımlar yapılmalıdır. Su hasarı, korozyon veya termal hasar belirtileri gösteren depolama ortamları kesinlikle çalıştırılmamalıdır. Sabit disklerde ise, muhafaza kapağının açılmış olabileceğine dair en ufak bir şüphe varsa bile, cihazın ayrıntılı bir incelemesi yapılmadan enerji verilmemelidir. Özellikle sabit disklerde muhafaza içerisinde kirlerin bulunması, eksik veya fazla bileşenlerin yer alması, eğilmiş okuma/yazma kaydırıcılarının ya da kırılmış okuma/yazma kafalarının bulunması durumunda diskin çalıştırılması son derece tehlikelidir. Bu tür durumlar, manyetik plakaların (platters) yüzeylerinin kalıcı olarak tahrip olmasına yol açabilir.
Veri depolama ortamlarının arıza teşhisi, burada ayrıntılı olarak ele alınamayacak kadar geniş kapsamlı bir konudur. Bu süreçte, cihazların yapısı, çalışma prensipleri ve başlatma (boot) süreçleri hakkında sağlam bir bilgi birikimine dayanılması gerekir. Ayrıca, önceki bölümde açıklanan belirli arıza türlerine özgü tipik belirtilerin de dikkate alınması faydalıdır. Arıza teşhisi dikkatli ve titiz bir şekilde yürütülmeli; istatistiksel olarak çoğu zaman doğru sonuç verse bile, rutin yaklaşımlardan ve ön kabullerden kaçınılmalıdır.

Depolama Ortamının İçeriğine Erişim

Depolama ortamının içeriğine erişebilmek için çoğu zaman teşhis aşamasında tespit edilen arızaların giderilmesi gerekir. Birçok durumda arızalı elektronik bileşenlerin veya manyetik kafa grubu gibi tüm alt bileşenlerin değiştirilmesi gerekebilir. Diğer bazı durumlarda ise ürün yazılımına müdahale edilmesi, buna güvenlik mekanizmalarının kaldırılması veya atlatılması da dahildir, gerekir. Ürün yazılımı üzerinde değişiklik yapılırken, ilk durumunun mutlaka yedeklenmesi önemlidir. Böylece yapılan değişiklikler istenen sonucu vermezse sistem eski hâline geri döndürülebilir.
Hasar görmüş yarı iletken tabanlı depolama ortamlarından (örneğin SSD'ler, USB bellekler ve hafıza kartları) içerik elde etmek için temel olarak iki yaklaşım bulunmaktadır: Bu yaklaşımlardan birincisi, cihazı güvenli modda (safe mode) çalıştırarak erişim sağlamak, ikincisi ise sökülmüş bellek yongalarını bir programlayıcı kullanılarak okumaktır. Burada özellikle belirtilmelidir ki, şifrelenmiş depolama ortamlarında ikinci yöntem pratik olarak bir fayda sağlamaz. Diğer durumlarda ise birinci yöntem genellikle daha kolay uygulanabilir; bu yöntem daha az emek gerektirir ve daha başarılı sonuçlar verir. Bu nedenle öncelik, depolama ortamıyla mümkün olduğunca kararlı bir iletişim kurmaya çalışmaktır; bellek yongalarının sökülmesi ise ancak bundan sonra değerlendirilmelidir. Bellek yongalarının lehimlenmesi veya sökülmesi sırasında, aşırı ısıya maruz kalmamalarına dikkat edilmeli; ayrıca da bağlantı bacaklarının zarar görmemesi için gereken özen gösterilmelidir.
İncelenen SSD çalışır durumdaysa ve üzerindeki veriler silinmişse, sürücü yine de güvenli moda alınmalıdır. Modern SSD'lerin tamamı, silinen dosyaların LBA alanından derhal kaldırılmasını ve fiziksel olarak silme sürecinin başlamasını sağlayan TRIM işlevini destekler. Bu silme işlemi, sürücünün ürün yazılımı tarafından dışarıdan gönderilen diğer komutlardan bağımsız olarak yürütülür. Dolayısıyla sürücünün donanımsal bir yazma engelleyici (hardware write blocker) üzerinden bağlanması bile veri bloklarının fiziksel olarak silinmesini engelleyemez. Blokların fiziksel olarak silinmesi, sürücünün güvenli moda alınması ve denetleyicinin fiziksel adres alanında aranan veriler için sürekli okuma komutlarıyla meşgul edilmesi sayesinde durdurulabilir. Bu yöntem, henüz fiziksel olarak silinmemiş verilerin kurtarılabilmesi açısından kritik bir öneme sahiptir.

Ortamın İmajının (Kopyasının) Alınması

Bir disk imajı (klon), başka bir diske veya ikili (binary) bir dosya olarak oluşturulabilir. Bu seçeneklerin her birinin kendine özgü avantajları ve sınırlamaları vardır; hangisinin daha iyi olduğunu kesin olarak söylemek zordur. Disk imajının nereye alınacağına ilişkin karar; görevin niteliği, kurum içi prosedürler, mevcut altyapı ve işlemi gerçekleştiren uzmanın kişisel tercihleri dikkate alınarak verilir.
Geçmişteki yaygın uygulama, depolama ortamının tamamının ham (raw) ikili bir kopyasını oluşturmaktı. Ancak şifrelemenin yaygınlaşması, bu yaklaşımın değişmesini gerekli kılmıştır. Anlamlı şekilde analiz edilemeyen şifreli bir depolama ortamının imajını almak çoğu durumda bir anlam ifade etmez. Bu nedenle günümüzde şifrelenmiş ortamlarda amaç; cihazın kilidini açmak, şifrelemeyi çözmek ve depolama ortamının şifreli ham içeriğinin imajını almak değil, şifresi çözülmüş bölümlerin (partition'ların) imajını elde etmektir.
Bir depolama ortamının imajını oluşturmak için gerekli kaynaklar ve araçlar, büyük ölçüde ortamın teknik durumuna bağlıdır. Sağlıklı çalışan depolama ortamlarında Linux'un dd komutu veya yaygın olarak kullanılan basit ve ücretsiz disk klonlama yazılımları tamamen yeterlidir. Dijital adli bilişim alanında ise, yüzeyi bozulmuş sürücülerin klonlanmasına olanak sağlayan, okuma hatalarını uygun şekilde yöneten ve aynı zamanda kaynak diski yazmaya karşı koruyan (write blocker) çeşitli donanımsal kopyalama cihazları (duplicator) yaygın olarak kullanılmaktadır.
En karmaşık ve kararsız vakalarda, özellikle kafa değişimi yapılmış disklerde veya ürün yazılımı arızalarında, veri kurtarma yazılımlarıyla birlikte çalışan özel kontrol kartlarının kullanılması tavsiye edilir. Bu kontrol kartlarını yöneten yazılımlar; sürücünün RAM tampon belleğinin (buffer) içeriğini değiştirme, daha önce hazırlanan bir dosyadaki veriyi RAM'e yükleme veya sanal bir çevirici (virtual translator) oluşturma gibi çok çeşitli müdahalelerin gerçekleştirilmesine olanak tanır.
Lehimi sökülmüş Flash-NAND yongalarından veri kurtarılırken, öncelikle verilerin kodunun çözülmesi, ECC (Error Correction Code) kodları kullanılarak hataların düzeltilmesi ve kullanıcı verilerinin fazladan (redundant) bilgilerden ayrıştırılması gerekir. Ardından, fiziksel tahsis birimleri mantıksal sıraya göre yeniden birleştirilerek mantıksal yapının tutarlı bir imajı elde edilir. Teorik olarak bu işlemler herhangi bir Hex Editör ile gerçekleştirilebilir; ancak işlemin son derece karmaşık olması nedeniyle uygulamada özel yazılımlar kullanılmaktadır.
Sağlam, çalışan sürücülerin imajını oluşturmak herhangi bir zorluk veya risk taşımaz. Buna karşılık hasarlı depolama aygıtlarında, ortamın daha da kötüleşme ihtimali göz önünde bulundurulmalı ve klonlama yöntemi görevin kendine özgü koşullarına göre uyarlanmalıdır. Özellikle, mümkün olduğunca fazla verinin klonlanması hedeflenirken, en sorunlu bölgeler geçici olarak atlanabilir ve daha sonra tekrar bu bölgelere dönülebilir. Klonlama işleminin aşamalı olarak gerçekleştirilebileceği unutulmamalıdır. Hangi bölümlerin daha sonra klonlanacağına, daha önce elde edilen verilerin analizine göre karar verilebilir. Bu süreçte, daha önce başarıyla klonlanmış alanların yeniden okunmasıyla sürücünün gereksiz yere yük altına sokulmasından kaçınılmalıdır.
Özellikle dosya sistemlerinin meta veri alanlarının öncelikle klonlanması önerilir. Ardından, potansiyel olarak en önemli verileri içeren bölümlerin (partition'ların) klonlanması tercih edilmeli; daha az önemli olduğu düşünülen bölümlere ise daha sonra geçilmelidir. Görevin gereksinimlerine bağlı olarak öncelik, mantıksal yapıda tahsis edilmiş (allocated) alanlara veya boş (free) alanlara verilebilir. Alternatif olarak, veritabanları gibi özellikle önemli dosyaların doğrudan aranması da tercih edilebilir. İmaj ikili (binary) dosyalar halinde oluşturuluyorsa, bu şekilde elde edilen parçaların daha sonra yeniden birleştirilerek tek ve bütüncül bir imaj haline getirilmesi gerekir.
Sektör bazında birebir kopyalama yapılırken, verilerin gizlenmiş olabileceği alanlara özellikle dikkat edilmelidir. Bunlar; diskin başlangıcı ile ilk bölüm (partition) arasındaki alan, diskin sonundaki kullanılmayan alanlar veya bölümler arasındaki boşluklar olabilir. Ayrıca bazı durumlarda veriler, daha sonra HPA (Host Protected Area) veya DCO (Device Configuration Overlay) işlevleri kullanılarak LBA adreslemesinden çıkarılan ve böylece işletim sistemleri ile çoğu yazılım tarafından görünmez hâle getirilen disk sonundaki alanlarda da saklanabilir.
İmaj oluşturulduktan sonra, sonraki işlemlerin bu kopya üzerinde gerçekleştirilebilmesi amacıyla imajın ek bir yedeğinin alınması tavsiye edilir. Böylece bir donanım arızası veya kullanıcı hatası meydana gelmesi durumunda klonlama işlemini baştan tekrarlamak gerekmez. Klonlama işlemi tamamlandıktan sonra (yani depolama ortamının tam kopyası oluşturulduğunda, teknik olarak mümkün olan tüm veriler elde edildiğinde veya işlemin devam etmesinin anlamsız olduğuna karar verilerek sonlandırıldığında), elde edilen imaj için genellikle bir hash değeri hesaplanır. Ayrıca imaj oluşturma işlemine ait zaman damgalarının (timestamp) kaydedilmesi de yaygın bir uygulamadır.

Mantıksal Yapının Yeniden Oluşturulması

Mantıksal yapının yeniden oluşturulmasındaki ilk adım, genellikle veri kurtarma yazılımlarındaki otomatik prosedürlerin kullanılmasıdır. Bu tür programlar, bulunan dosya sistemi meta verisi parçalarını analiz edebilir ve bunları kullanarak mantıksal yapıları yeniden oluşturabilir. Ayrıca belirli bir yapının kopyasına veya bazı yapılar arasındaki bilinen ilişkilere dayanarak eksik ögeleri ve değerleri sanal olarak tamamlayabilirler. Tek tek dosya sistemlerinin mantıksal yapıları oldukça iyi bilindiğinden, saygın veri kurtarma yazılımlarının algoritmaları birbirine büyük ölçüde benzerdir ve karşılaştırılabilir sonuçlar üretir.
Otomatik algoritmaların zayıf yönü, genellikle eksik değerleri tamamlayamamaları, hatalı parametre değerlerini düzeltememeleri ve eksik bilgi koşullarında olasılığa dayalı karmaşık kararlar verememeleridir. Bu gibi durumlarda uzman, kendi bilgi ve deneyiminden yararlanarak programa uygun parametreleri girip sanal bir bölüm (virtual partition) oluşturmayı deneyebilir veya deneme-yanılma yöntemiyle istenen sonuca ulaşabilir. Bazı durumlarda ise hasarlı dosya sistemi meta verisine doğrudan müdahale etmek haklı görülebilir. Bu tür müdahaleler, mantıksal yapının doğrudan onarılmasını sağlayabileceği gibi, veri kurtarma yazılımlarının dizin yapısı içerisinde daha fazla dosya bulmasına veya bunları daha doğru bir şekilde düzenlemesine de olanak tanıyabilir.
Dijital delillerin korunmasına ilişkin prosedürler dikkate alındığında, bu tür müdahaleler delilin hukuki geçerliliğinin tartışmalı hâle gelmesine neden olabilir. Bu nedenle, bu işlemler yalnızca ek bir çalışma kopyası üzerinde gerçekleştirilmeli, gerekli analizler bu kopya üzerinde yapılmalı ve elde edilen sonuçlar değerlendirildikten sonra asıl delilin analizine geri dönülmelidir. Ayrıca, elde edilen sonuçları önceden oluşturulmuş bir varsayıma uydurmaya çalışmaktan ve örneğin bulunan isimler ile zaman damgaları içeren meta veri parçalarını, tespit edilen dosyalarla zorla eşleştirmek gibi aşırı yorumlardan kaçınılmalıdır.
Bununla birlikte, bazı durumlarda bu tür eşleştirmeler haklı görülebilir. Özellikle dosya boyutu ve dosyanın bulunduğu konumun meta verideki açıklamayla yeterince uyumlu olması durumunda böyle bir ilişkilendirme makul kabul edilebilir. Bazı dosya türlerinde ise dosyanın kendi iç meta verisinde (örneğin Exif) bulunan zaman damgaları, dosya sistemi yapılarındaki zaman damgalarıyla karşılaştırılabilir. Ancak çeşitli nedenlerle bu değerlerin birbirinden farklı olabileceği her zaman göz önünde bulundurulmalıdır. Ayrıca, bu tür işlemler teknik açıdan tamamen geçerli ve veri kurtarma uygulamalarında yaygın olarak kullanılıyor olsa da, farklı hukuki süreçlerde usul kuralları nedeniyle kabul edilemeyebileceği de unutulmamalıdır.
Dosya sisteminin mantıksal yapısını yeniden oluşturmak için kullanılan bir diğer yaygın yöntem ise chkdsk, scandisk veya fsck gibi sistem araçlarından yararlanmaktır. Ancak bu yöntemler, meta veriye ilave zarar verme riski taşıdığı için tavsiye edilmez. Bu araçlar dosya sisteminin meta verilerini analiz eder, hataları tespit eder ve bunları ortadan kaldırır.
Buradaki "ortadan kaldırmak" ifadesi literal anlamda kullanılmaktadır; yani hasarlı meta veri parçaları genellikle kaldırılır ki işletim sistemi bölümü sorunsuz şekilde bağlayabilsin (mount etmek). Hasarlı meta veri bölümlerinin silinmesi, yalnızca çok sayıda dosyanın yerinin kaybolmasına, bozulmasına veya geri döndürülemez şekilde kaybedilmesine yol açmakla kalmaz; aynı zamanda dosya sisteminin manuel olarak yeniden yapılandırılmasına yardımcı olabilecek analiz edilebilir bilgilerin de yok olmasına neden olur. Bunun yanında bu tür araçlar, disk üzerinde kontrolsüz yazma işlemleri gerçekleştirir.
Bu durum delil niteliğindeki verilere yalnızca kabul edilemez bir müdahale yapmakla kalmaz, aynı zamanda bu verilerin pratikte geri alınmasını da engeller. Bu nedenle, bu tür araçların kullanımı yalnızca bir bölümün bağlanmasına ve canlı analiz (live analysis) gerektiren bir işletim sisteminin başlatılmasına yardımcı olabilecek istisnai durumlarla sınırlandırılmalıdır. Bunun da ön koşulu, ortamın ilk durumunun önceden güvence altına alınmış olmasıdır. Ayrıca, incelenen depolama ortamlarının bu tür araçların istem dışı yani otomatik olarak çalıştırılmasına karşı korunması da büyük önem taşır.

Dosya Kurtarma

Çoğu durumda, dosya sisteminin mantıksal yapısının yeniden oluşturulması, bu yapı içinde bulunan dosyaların kurtarılmasını sağlar. Dosya sisteminin türüne ve iç mimarisine bağlı olarak, belirli koşullar altında silinmiş dosyaların bir kısmını dizin yapısı içerisinde; özgün dosya adları, zaman damgaları ve dosya sisteminin desteklediği diğer öznitelikleri (örneğin sahiplik bilgisi) korunmuş şekilde kurtarmak da çoğu zaman mümkündür. Bu en arzu edilen sonuçtur. Ancak teknik arızalar, mantıksal hatalar ve tespiti engellemeye (anti-forensic) yönelik kasıtlı olarak yapılan muüdahaleler nedeniyle bu sonuca her zaman ulaşılamaz. Ayrıca, mantıksal yapı içerisinde bir dosyanın bulunamaması veya tanımlanamaması, o dosyanın depolama ortamında kesinlikle mevcut olmadığı anlamına gelmez.
Meta veri hasarının dosya sisteminin mantıksal yapısının kısmen veya tamamen yeniden oluşturulmasını engellediği ya da silinmiş dosyalara ait meta verilerin yok olduğu durumlarda (örneğin Unix tabanlı dosya sistemlerindeki inode kayıtlarının silinmesi), kayıp dosyalar dosya imzaları kullanılarak RAW arama yöntemiyle aranabilir. Bu yöntemle kurtarılan dosyaların adları, kaybolan özgün dosya adlarından farklıdır ve veri kurtarma yazılımı tarafından otomatik olarak oluşturulur. Bu adlandırma genellikle dosya başlığının bulunduğu sektör numarasına dayanır; bazı durumlarda ise dosyanın kendi iç meta verisinden elde edilen ek bilgiler de dosya adına eklenebilir.
RAW arama işlemi çok sayıda gereksiz sonuç üretebilir. Bunlar; karakter dizilerinin dosya imzasıyla rastlantısal olarak yanlış eşleşmesi (false positive), parçalanmış (fragmented) veya kısmen üzerine başka veriler yazılmış bozuk dosyalar ile dizin yapısı içerisinde zaten doğru şekilde bulunan dosyaların tekrarları olabilir. Sonuncu durumda oluşan bilgi kirliliği, RAW aramasının yalnızca dosya sistemindeki tahsis edilmemiş (unallocated) alanlarla sınırlandırılmasıyla önemli ölçüde azaltılabilir. Tahsis edilmemiş alanların taranması, işletim sistemi yakın zamanda yeniden kurulmuş bilgisayarlarda da değerli sonuçlar verebilir. Elbette bunun için ilgili verilerin üzerine yeni veriler yazılmamış veya TRIM işlevi gibi mekanizmalarla kalıcı olarak silinmemiş olması gerekir.
Bunun yanında, her dosya türü RAW arama ile tespit edilebilecek belirgin bir dosya imzasına sahip değildir veya dosya imzası zarar görmüş olabilir. Bu nedenle, arama aracı kullanılarak olay açısından önemli olabilecek karakter dizilerinin aranması da faydalıdır. Bunlar; örneğin olayla ilişkili kişilere ait isimler, iletişim bilgileri veya soruşturmanın konusu ile ilgili teknik ya da özel terimler olabilir. Bu yöntem yalnızca kayıp dosyaların bulunmasını değil, aynı zamanda uzun zaman önce silinmiş ve kısmen üzerine veri yazılmış dosya parçalarının da ortaya çıkarılmasını sağlayabilir.
Metin araması yapılırken farklı veri kodlama (encoding) yöntemleri dikkate alınmalıdır. Bu nedenle aramaların hem ASCII (American Standard Code for Information Interchange) hem de Unicode kodlamaları kullanılarak gerçekleştirilmesi tavsiye edilir. ASCII kodlamasında, 0x80–0xFF aralığındaki kodlar için farklı grafik karakter kümeleri içeren kod sayfaları (code pages) bulunur ve bunlar Latin alfabesi dışındaki birçok dili de temsil edilebilir. Özellikle sınır ötesi suç soruşturmalarında, doğru kod sayfasının seçilmesi, ilk bakışta anlamsız görünen karakter dizilerinin aslında yabancı bir dilde yazılmış anlamlı metinler olduğunu ortaya çıkarabilir.

Dosyalarda Bulunan Bilgilerin Çıkarılması

Kurtarılan dosyalar şifrelenmemiş veya parola ile korunmamışsa, içerdikleri bilgilerin çıkarılması oldukça kolaydır. Sağlam durumdaki dosyaların içeriğine erişmek için çoğu zaman tek gereken uygun yazılımın kullanılmasıdır. Ancak bazı cihaz kategorilerinde; kendilerine özgü dosya biçimleri, ses ve görüntü verilerinin kodlanma yöntemleri (örneğin çeşitli kayıt cihazlarında kullanılan formatlar) ve hatta özel dosya sistemleri (otomotiv elektroniği, Nesnelerin İnterneti (IoT) cihazları ve dronlar gibi) ile karşılaşılabilir. Bu tür durumlarda en uygun çözüm, cihaz üreticisinin sağladığı yazılımları kullanmaktır. Böyle bir yazılım mevcut değilse, tersine mühendislik (reverse engineering) analizi yapılması gerekir.
Bir diğer sorun, fiziksel okuma hataları veya dosyanın kısmen üzerine yazılması sonucunda meydana gelen dosya bozulmalarıdır. Bu durumda izlenecek yöntem dosya türüne bağlıdır. Yaygın olarak kullanılan bazı dosya türleri için onarım araçları bulunsa da, bu araçların yalnızca nispeten küçük hataları düzeltebildiği ve dosyanın büyük ölçüde eksik veya hasarlı bölümlerini geri getiremeyeceği unutulmamalıdır.
Hasarlı ses ve video dosyaları çoğu zaman oynatılabilir; ancak hasarlı bölümlerde ses ve görüntü bozulmaları meydana gelir. Bu gibi durumlarda farklı medya oynatıcılarını denemekte fayda vardır. Kullanılan kodlama ve sıkıştırma algoritmalarına bağlı olarak bazı oynatıcılar hasarlı dosyaları diğerlerinden daha başarılı şekilde işleyebilir.
Özellikle biçimlendirilmiş hafıza kartlarından kurtarılan video dosyalarında karşılaşılan yaygın bir sorun da dosyaların parçalanmış (fragmented) olmasıdır. Bu durumda veri kurtarma yazılımları, dosya başlıklarını yanlış veri bloklarıyla eşleştirebilir. Böyle dosyalar, bir Hex Editörü kullanılarak doğru başlıkların doğru veri bloklarıyla yeniden ilişkilendirilmesi sayesinde onarılabilir.
Şifrelenmemiş ve sıkıştırılmamış ancak hasar görmüş dosyalarda (örneğin veri tabanlarının önemli bir bölümü, *.xml dosyaları, yazılım kaynak kodları, bitmap grafikler ve eski nesil ofis belgeleri gibi) çeşitli düzenleyici yazılımlar kullanılarak metinlerin, sayısal değerlerin veya veri tabanı kayıtlarının önemli bir kısmı okunabilir. Bu yöntemle elde edilen içerik eksiksiz olmayacaktır; ancak çoğu zaman inceleme yapılmasını haklı çıkaracak kadar değerli bilgiler içerebilir. Veri tabanlarında eksik kayıtlar, aynı sürücü üzerinde bulunan yedeklerden veya eski dosya sürümlerinden tamamlanabilir. Bu tür dosyalar sıklıkla "Arşiv (Archive)" gibi alt dizinlerde saklanmaktadır.
Dosya bozulmalarının özel nedenlerinden biri de fidye yazılımı (ransomware) saldırılarıdır. Zararlı yazılım, mümkün olan en kısa sürede mümkün olduğunca fazla dosyayı etkileyebilmek amacıyla dosyanın yalnızca başlık bilgisini içeren ilk bölümünü şifreler. Veri tabanı dosyalarında doğru başlığın yeniden oluşturulmasıyla dosyanın çoğu zaman çok az veri kaybıyla onarılması mümkündür. Şifrelenmiş dosyaların kurtarılmasında kullanılabilecek bir diğer yöntem ise, internet üzerinde bulunan şifre çözme (decryptor) veritabanlarından yararlanmaktır. Bunun en bilinen örneklerinden biri nomoreransom.org platformudur.
Bu kararın hukuki ve etik boyutlarına girmeksizin belirtmek gerekirse, mağdurlar fidyeyi doğrudan saldırganlara veya şifrelenmiş dosyaların çözümünü sunduğunu iddia eden çok sayıdaki aracı firmaya da ödeyebilirler. Ancak, bu tür şirketlerin sayısı göz önünde bulundurulduğunda bir şirketin gerçekten ve yalnızca kriptanaliz yöntemleriyle bu hizmeti sunabilecek yeterli uzman kadroya sahip olması pek olası görünmemektedir. Ayrıca, bu firmaların sunduğu çözümler çoğu zaman gerçek kriptanalitik çalışmalarla elde edilemeyecek kadar kısa sürede sonuç vermektedir.
Bu durum, birçok şirketin aslında saldırganlarla iş birliği yaptığı yönündeki şüpheleri güçlendirmektedir. Bununla birlikte, bu firmalar "fidyenin doğrudan suçlulara ödenmediği" izlenimini oluştururken, hizmet karşılığında resmî bir fatura düzenlemektedir. Bu yaklaşım, birçok mağdur için hem “тридевятый паханат”/*'a gönderilen bitcoin’in muhasebeleştirme sorununa cazip bir çözüm sunarken, hem de fidye ödense bile verilerin çözülememe riskini azaltır.
Dosyalar, kendi dosya türleriyle ilgisiz verileri de içerebilir. Özellikle görüntü dosyaları, zararlı çalıştırılabilir kodların veya gizli bilgilerin saklanmasında yaygın olarak kullanılmaktadır. Görüntü dosyaları, yabancı verilerin gömülmesine karşı oldukça dayanıklıdır ve dosya boyutunda belirgin bir artış olmadığı sürece bu tür veriler kolayca fark edilmeyebilir. Benzer şekilde ses ve video dosyalarına da gizli bilgiler yerleştirilebilir. Özellikle video dosyaları büyük boyutlu olduklarından, içerisine eklenen verilerin dosya büyüklüğünü artırması genellikle dikkat çekmez.
Bilgileri gizlemenin bir diğer yöntemi ise NTFS (New Technology File System) dosya sistemindeki alternatif veri akışlarıdır (Alternate Data Streams – ADS). Bunlar normalde dosyanın kaynağı gibi kısa ek bilgileri saklamak amacıyla kullanılır ve $MFT (Master File Table) içerisinde yer alırlar. Ancak aynı mekanizma, bölüm üzerindeki belirli kümelerde (cluster) bulunan tamamen farklı bir dosyayı tanımlamak için de kullanılabilir. Pratik açıdan bakıldığında, NTFS alternatif veri akışları, dosyanın ek adlandırılmış $DATA (0x80) öznitelikleri olarak bulunur ve bunların varlığı ilgili dosyayı tanımlayan $MFT kaydı incelenerek kolayca tespit edilebilir.
Dikkate alınması gereken diğer bir konu ise yalnızca bilginin içeriğini değil, aynı zamanda böyle bir bilginin varlığını da gizlemeyi amaçlayan steganografi teknikleridir. Bu tekniklerin en yaygın olanı En Az Anlamlı Bit (Least Significant Bit – LSB) yöntemidir. Bu teknikte görüntü, ses veya video dosyalarının en düşük anlamlı bitleri değiştirilerek gizli bilgi dosyanın içerisine gömülür. Bu yöntemin tespit edilmesi oldukça zordur; çünkü değiştirilmiş dosya normal şekilde açılmaya devam eder ve yapılan değişiklikler görüntü veya ses kalitesinde insan tarafından fark edilmesi neredeyse imkânsız düzeyde bozulmalara yol açar.
Karşı incelemeyi zorlaştırmaya yönelik bir başka yöntem ise dosya imzalarının (file signature) ve uzantılarının değiştirilerek dikkat çekmeyecek konumlara yerleştirilmesidir. Dosya imzasının gerçek dosya türüne ait olmayan anlamsız bir karakter dizisiyle değiştirilmesi, otomatik veri kurtarma yazılımlarının dosyayı tespit etmesini engelleyebilir. Bunun yanında dosyaya sıradan bir ad verilmesi, uzantısının örneğin .dll olarak değiştirilmesi ve işletim sistemine ait dizinlerden birine yerleştirilmesi, manuel inceleme sırasında analistin bu dosyaya ilgi göstermeme olasılığını artırır. Özellikle bu şekilde gizlenmiş bir dosyanın açılmasının başarısız olması durumunda, analistin dosyayı ayrıntılı olarak incelememesi mümkündür.

Not: Metindeki Rusça ifade «тридевятый паханат» mizahi ve mecazî bir anlatımdır. Kelime anlamıyla, "dağların ve ormanların ötesindeki masalsı, çok uzak suçlular ülkesi" veya daha serbest bir ifadeyle "suçluların yönettiği uzak bir diyar" anlamına gelir. Yazar bu ifadeyi, fidye ödemelerinin ulaştığı suç örgütlerini alaycı bir üslupla tanımlamak amacıyla kullanmıştır.

Sonuç

Veri kurtarma alanında fiziksel olanakları (“fiziksel olanak” denildiğinde, donanımın ve doğa yasalarının izin verdiği en üst düzey kurtarma ihtimalleri kastediliyor), günümüzde kullanılan mevcut araçlar ve yaygın olarak bilinen yöntemlerle elde edilen sonuçların çok ötesine uzanmaktadır. Ancak bu potansiyelin hayata geçirilebilmesi için belirli alanlarda sistematik araştırmalar yapılması, veri kurtarma konusuna uzun vadeli bir bakış açısıyla yaklaşılması, kapsamlı bir araştırma stratejisi benimsenmesi ve devam eden projeler için istikrarlı finansman sağlanmasını gerekmektedir. Ne var ki, yakın gelecekte bu ölçekte araştırmaların yürütülmesini beklemek gerçekçi görünmemektedir.
Gerçekte, pratik olarak mümkün olanın sınırlarını fiziksel olarak mümkün olana doğru genişletmek ancak küçük adımlarla gerçekleşebilir. Bu adımlar; alışılmış yöntemlerin dışına çıkmayı, otomatik prosedürlerin sonuç vermediği durumlarda alternatif çözümler aramayı, manuel analizler yapmayı ve mevcut araçların ürettiği sonuçları bağımsız olarak doğrulamayı içerir. Bu tür çabalar çoğu zaman önemli kazanımlar sağlar. Hatta bazı durumlarda, herhangi bir sonucun elde edilip edilemeyeceği tamamen operatörün bilgi birikimine, dikkatine ve titizliğine bağlıdır.
Veri kurtarma çalışmalarının başarısını artırabilmek için veri depolama ortamlarının çalışma prensiplerinin ve mantıksal yapılarının iyi anlaşılması büyük önem taşır. Bu bilgiler, doğru teşhisin temelini oluşturur. Doğru teşhis ise uygun kurtarma yöntemlerinin seçilmesini kolaylaştırır, başarı olasılığını artırır ve gereksiz müdahaleler ile hata riskini en aza indirir. Aynı zamanda gerçekten imkânsız olan durumlarla yalnızca teknik açıdan zor olan durumların birbirinden ayırt edilmesini sağlar.
Ne yazık ki veri kurtarma, hem akademik açıdan hem de uygulama açısından yeterince ilgi görmeyen ve değeri çoğu zaman göz ardı edilen bir alandır. Bu nedenle bu alanda uzmanlaşmak isteyenlerin yoğun bireysel çalışma yapması, analitik düşünme becerilerini geliştirmesi ve yararlandıkları kaynakları eleştirel biçimde değerlendirmesi gerekir. Çünkü yanlış, eksik ve hatta zararlı bilgiler yalnızca düşük kaliteli internet forumlarında değil, zaman zaman eğitim materyallerinde ve ders kitaplarında da yer alabilmektedir.
Bilgi birikimi, deneyim ve sürekli gelişimin önemi, veri kurtarma işlemlerinde yapılan hataların çoğu zaman geri döndürülemez olması nedeniyle daha da artmaktadır. Bu sebeple eğitim ve deneme amaçlı çalışmalar, önemli veri içermeyen depolama aygıtları üzerinde yapılmalı; kritik veriler, özellikle de adli delil niteliği taşıyan ortamlar üzerinde riskli uygulamalardan kaçınılmalıdır. Depolama ortamlarının model, donanım tasarımı, ürün yazılımı ve arıza türleri bakımından geniş yelpazede gösterdiği çeşitlilik göz önüne alındığında, hiç kimsenin hata yapmayacağını varsaymak gerçekçi değildir. Ancak mevcut tüm yöntemler kullanılarak ve gerekli önlemler alınarak hata olasılığı mümkün olduğunca azaltılmalıdır.
Veri kurtarma alanında bilgi, deneyim ve bağımsız çalışma yetkinliğinin geliştirilmesi, yaygın olarak kullanılan gelişmiş ticari araçların kökeni dikkate alındığında da ayrı bir önem taşımaktadır. Bu tür araçların önemli bir bölümü, her zaman müttefik olmayan, hatta bazı durumlarda açıkça hasım konumunda bulunan devletlerin istihbarat servisleriyle iş birliği içinde geliştirilmekte veya onların denetimi altında sürdürülmektedir. Bazı şirketler doğrudan istihbarat mensupları tarafından kurulmuş ve yönetilmiş, kritik görevlerde yine bu geçmişe sahip personel istihdam etmiştir. Bu durum özellikle üretici firmaların teknik destek hizmetlerinden yararlanılırken göz önünde bulundurulmalıdır. Bir teknisyene uzaktan erişim izni vermek, bazı koşullarda hassas verilerin yetkisiz kişilere sızdırılması riskini de beraberinde getirebilir.
Veri depolama ortamlarına ilişkin güvenilir teknik bilgi edinmek, doğrudan veri kurtarma faaliyetlerinde çalışan uzmanlar açısından hayati önem taşımaktadır. Bununla birlikte, laboratuvara gönderilmek üzere dijital cihazları güvence altına alan görevlilerin de bu konularda temel düzeyde bilgi sahibi olmaları büyük fayda sağlar. Aynı şekilde, soruşturma süreçlerini yöneten amirler ve savcılar için de genel bir teknik farkındalık önemlidir. Çünkü yanlış inanışlara ve gerçekçi olmayan beklentilere dayanan değerlendirmeler, veri kurtarma çalışmalarını kolaylaştırmak yerine çoğu zaman gereksiz hayal kırıklıklarına ve hatalı kararların alınmasına yol açmaktadır.

Kaynakça

1. Amer, A., Holliday, J., Long, D. D. E., Miller E. L., Paris, J-F., Schwartz, T. S. J.: Data Management and Layout for Shingled Magnetic Recording, „IEEE Transactions on Magnetics”, 47(10), (2011).
2. Baraniecki, P.: Czas (nie) jest najprostszą rzeczą, Zwalczanie Przestępczości Internetowej, Sanok (2025),
3. Baraniecki, P.: Smartfon i „biling” nie są jedynymi źródłami informacji [w] Matyniak, G. [red.] Zwalczanie przestępczości internetowej, Uczelnia Państwowa im. Jana Grodka, Sanok (2025),
4. Bertram, H. N.: Theory of Magnetic Recording, Cambridge University Press, London (1994),
5. Bitter, F.: Experiments on the Nature of Ferromagnetism, “Physical Review” 41(507), (1932),
6. Chan, K. S., Radhakrishnan, R., Eason, K., Elidrissi, M. R., Miles, J. J., Vasic, B., Krishnan, A. R.: Channel models and detectors for two-dimensional magnetic recording. “IEEE Transactions on Magnetics”, 46(3), (2010),
7. Chen, B. M., Lee, T. H., Peng, K., Venkataramanan, V.: Hard Disk Drive Servo Systems, Springer-Verlag, London, (2006),
8. Chiang M.-L., Lee, P. C. H., Chang, R.-Ch.: Using data clustering to improve cleaning performance for flash memory, „Software: Practice and Experience” 29(3), (1999),
9. Davies, G.: Vehicle forensics best practice and future direction, Flash Data Recovery and Digital Forensic Summit, Warszawa (2024),
10. De Nardi, C., Desplats, R., Perdu, P., Beaudoin, F., Gauffier, J-L.: Oxide charge measurements in EEPROM devices, „Microelectronics Reliability” 45 (2005),
11. Dieny, B., Goldfarb, R. B., Lee, K.-J.: Introduction to Magnetic Random Access Memory, IEEE Press, Piscataway, (2017),
12. Du, C., Pang, C. K., Multi-Stage Actuation Systems and Control, CRC Press, Boca Raton, (2019),
13. Fetah, M., Rezvani, M., Irani, Y.: A New Method of Coding for Steganography Based on LSB Matching Revisited, „Security and Comminications Network” 5 (2021),
14. Fukami, A.: Exploiting the eMMC security features using the VNR, Flash Data Recovery & Digital Forensic Summit Warszawa (2024),
15. Gomez, R., Adly, A., Mayergoyz, I., Burke, E.: Magnetic Force Scanning Tunnelling Microscope Imaging of Overwritten Data, “IEEE Transactions on Magnetics” 28(5), (1992),
16. Gomez, R., Burke, E., Adly, A., Mayergoyz, I., Gorczyca, J.: Microscopic Investigations of Overwritten Data, “Journal of Applied Physics” 73(10), 6001 (1993),
17. Gupta, M. R., Hoeschele, M. D., Rogers, M. K: Hidden Disk Areas: HPA and DCO. “International Journal of Digital Evidence” 5(1), (2006),
18. Hanzii, D., Kelm, E., Luapunov, N., Milovanov, R., Molodcova, G., Yanul, M., Zubov, D.: Determining the state of non-volatile memory cell of floating gate using scanning probe microscopy, „Proceedings of the SPIE”, Volume 8700 (2013),
19. https://flashboot.ru/ [dostęp 24 lutego 2026 r.],
20. https://kaleron.edu.pl/vykorystannia-poszkodzenych-blokiv-mahnitnych-holovok-u-vidnovlenni-danych.php [dostęp 24 lutego 2026 r.],
21. https://kaleron.pl/awarie-SSD.php [dostęp 24 lutego 2026 r.],
22. https://t13.org/index.php/standards-published [dostęp 24 lutego 2026 r.],
23. https://www.nomoreransom.org/pl/index.html [dostęp 24 lutego 2026 r.],
24. https://www.t10.org/scsi-3.htm [dostęp 24 lutego 2026 r.],
25. https://www.usbdev.ru/ [dostęp 24 lutego 2026 r.],
26. Hughes, G. F., Commins, D. M., Coughlin, T.: Disposal of disk and tape data by secure sanitization, “IEEE Security and Privacy”, 7(4), (2009),
27. Hwang, E., Oenning, T., Mathew, G., Rahgozar, P., Tedja, S., Fang, H., Garfunkel, G., Wu, Y., Hu, D., Duquette, P., Fitch, K., Rabbitt, C., Petrizzi, J., Wilson, B., Rauschmayer, R.: Skew-Dependent Performance Evaluation of Array-Reader-Based Magnetic Recording With Dual-Reader, “IEEE Transactions on Magnetics” 51(4), (2015),
28. Jiang, B.-Y., Zhang, K., Machita, T., Chen, W., Dovek, M.: Tunneling magnetoresistive device as read heads in hard disk drives, „Journal of Magnetism and Magnetic Materials” 571 (2023),
29. Kaczmarzyk, P.: Jak błędy w podręcznikach informatyki wpływają na wiedzę uczniów? „Security Magazine” 9(30), (2024),
30. Kaczmarzyk, P.: Jak przewidzieć awarię SSD, „Security Magazine” 2(23), (2024),
31. Kaczmarzyk, P.: Możliwości odzyskiwania filmów z kamer i aparatów, The Hack Summit, Warszawa (2025),
32. Kaczmarzyk, P.: Niszczenie danych – regulacje, a rzeczywista skuteczność, Security Management Audit Forum „Semafor”, Warszawa (2024),
33. Kaczmarzyk, P.: Podstawy diagnostyki dysków twardych, „Security Magazine” 2(11), (2023),
34. Kaczmarzyk, P.: Przyznajemy Nagrodę Gutmanna, Advanced Threat Summit, Warszawa (2025),
35. Kaczmarzyk, P.: Rodzaje uszkodzonych sektorów, „Security Magazine” 7(28), (2024),
36. Kaczmarzyk, P.: Rola metadanych w przechowywaniu plików, „Security Magazine” 5(14), (2023),
37. Kaczmarzyk, P.: SMART w diagnostyce i monitoringu dysków, „Security Magazine” 8(29), (2024),
38. Kaczmarzyk, P.: TRIM w dyskach SMR i SSD, The Hack Summit, Warszawa (2024),
39. Kaczmarzyk, P.: Wyrzucamy algorytm Gutmanna do kosza, The Hack Summit, Warszawa (2023),
40. Kaczorowski, A., Budaszewski, R., Kalisiak, S., Krać-Batyra, A., Sidor, T.: Podejrzenie seksualnego wykorzystania dziecka, „Gazeta Policyjna” 1(61), (2026),
41. Kanai, Y., Jinbo, Y., Tsukamoto, T., Greaves, S. J., Yoshida, K., Muraoka, H.: Finite-Element and Micromagnetic Modeling of Write Heads for Shingled Recording, “IEEE Transactions on Magnetics”, 46(3), (2010),
42. Khatami, S. M., Vasić, B.: Generalized Belief Propagation Detector for TDMR Microcell Model, “IEEE Transactions on Magnetics” 49(7), (2013),
43. Khizroev, S., Litvinov, D.: Perpendicular magnetic recording, Kluiwer Academic Publishers, Dordrecht (2004),
44. Li, H., Liu, B., Hua, W., Chong, T-C.: Intermolecular force, surface roughness, and stability of head-disk interface, “Journal of Applied Physics” 97 (2005),
45. Lin, S., Costello, D. J.: Error control coding, Pearson Education Inc., Upper Saddle River (1983),
46. Mallinson, J. C.: Magneto-Resistive and Spin Valve Heads, Academic Press, San Diego, (2002),
47. Mamun, al, A., Guo, G. X., Bi, Ch.: Hard Disk Drive Mechatronics and Control, CRC Press, Boca Raton, (2006),
48. Mansuripur, M., Sincerbox, G.: Principles and Techniques of Optical Data Storage, „Proceedings of the IEEE” 85(11), (1997),
49. Mayergoyz, I. D., Tse, C.: Spin-stand Microscopy of Hard Disk Data. Elsevier Science Ltd., Amsterdam (2007),
50. Micheloni, R., Crippa, L., Marelli, A.: Inside NAND Flash Memories, Springer, Dordrecht (2010),
51. Miura, K., Yamamoto, E., Aoi, H., Muraoka, H.: Skew angle effect in shingled writting magnetic recording, „Physics Procedia” 16, (2011),
52. Moreira, J. C., Farrell, P. G., Essentials of Error Control Coding, John Wiley & Sons, Ltd., Chichester (2006),
53. Nikkel, B., Metody zabezpieczenia cyfrowego, tłum. K. Kulczycki, Wydawnictwo Naukowe PWN S. A., Warszawa (2021),
54. Ning, S., Luo, J.: Demonstration and Understanding of Nano-RAM Novel One-Time Programmable Memory Application, “IEEE Transactions on Electron Devices” 66(5), (2019),
55. Nishi, Y.: Advances in Non-volatile Memory and Storage Technology, Elsevier, Cambridge, (2014),
56. Patterson, D. A., Gibson, G., Katz, R. H.: A Case for Redundant Arrays of Inexpensive Disks (RAID), „ACM SIGMOD Record” 17(3), (1988),
57. Pawlikowski, M.: Flash – how to make life easier. Tips and tricks, Flash Data Recovery & Digital Forensic Summit, Warszawa (2024),
58. Pawlikowski, M.: Where is the limit? Analysis of devices from maritime disasters. Flash Data Recovery & Digital Forensic Summit Warszawa (2023),
59. Redaelli, A.: Phase Change Memory Device Physics, Reliability and Applications, Springer, Cham, (2018),
60. Riggle, C. M., McCarthy, S. G.: Design of Error Correction Systems for Disk Drives, “IEEE Transactions on Magnetics” 34(4), (1998),
61. Ruemmler, Ch., Wilkes, J.: An introduction to disk drive modeling, „IEEE Computer 27(3)”, (1994),
62. Schouhamer Immink, K. A.: Codes for Mass Data Storage Systems, Shannon Foundation Publishers, Eindhoven (2004),
63. Sheremetov, S.: Vehicle forensic, IoT and embedded file systems, Flash Data Recovery and Digital Forensic Summit, Warszawa (2023),
64. Sobey, Ch. H.: Drive-Independent Data Recovery: The Current State-of-the-Art, “IEEE Transactions on Magnetics” 42(2), (2006),
65. Sołodow, I. A.: Mechanizm działania dysku twardego typu HDD i możliwości odzyskiwania danych po jego uszkodzeniu, „Prokuratura i Prawo” 3. (2018),
66. Sweeney, P.: Error control coding. From theory to practice, John Wiley & Sons, Ltd., Chichester (2002),
67. Šestanj I.: NAND Flash Data Recovery Cookbook, Igor Šestanj, Belgrade (2016),
68. Thirumalai, G. K., A Beginner’s Guide to SSD Firmware: Designing, Optimizing, and Maintaining SSD Firmware, Apress, San Jose (2023),
69. Uematsu, Y., Fukushi, M.: Servo track writing technology, “Fujitsu Scientific & Technical Journal”, 37(2), (2001),
70. Vasić, B., Kurtas, E. M.: Coding and signal processing for magnetic recording systems, CRC Press LLC, Boca Raton (2005),
71. Wright, C., Kleiman, D., Shyaam Sundhar, R. S.: Overwriting Hard Drive Data: The Great Wiping Controversy. R. Sekar and A.K. Pujari (Eds.): ICISS 2008, LNCS 5352, Springer-Verlag Berlin Heidelberg (2008),
72. Wu, Z.: Coding and Iterative Detection for Magnetic Recording Channels, Springer Science + Business Media LLC, New York (2000),
73. Yamada, T., Fukushi, M., Suzuki, H., Takaishi, K.: Servo track writing technology, “Fujitsu Scientific & Technical Journal”, 42(1), (2006),
74. Агалиди, Ю. С., Кожухарь, П. В., Левый, С. В., Мачнев, А. М., Пономарёв, С. Л.: Исследование индуцированных магнитных полей рассеяния тонкопленочных дисперсных ферромагнетиков, „Известия высшых учебных заведений. Радиоэлектроника” т. 55 № 5(559) (2012),
75. Коженевский, С. Р.: Аппаратные методы восстановления информации, хранимой на жёстких дисках, “Реєстрація, зберігання та обробка даних”. Том 4, № 2, (2002),
76. Коженевский, С. Р.: Взгляд на жёсткий диск "изнутри". Визуальный анализ. ООО "ЕПОС", Київ, (2004),
77. Коженевский, С. Р.: Взгляд на жёсткий диск "изнутри". Магнитные головки, ООО "ЕПОС", Київ (2009),
78. Коженевский, С. Р.: Взгляд на жёсткий диск "изнутри". Механика и сервосистема, ООО "ЕПОС", Київ (2007),
79. Коженевский, С. Р.: Взгляд на жёсткий диск "изнутри". Основы хранения информации, ООО "ЕПОС", Київ (2005),
80. Коженевский, С. Р., Левый, С. В., Вишневский, В. С., Прокопенко, С. Д.: Методы визуализации магнитных полей носителей информации. Информационная безопасность офиса. Научно — практический сборник. Выпуск первый. «Технические средства защиты информации», К.:ООО «ТИД ДС» (2003),
81. Коженевский, С., Прокопенко, С., Гайшинец, В.: Восстановление информации на жёстких дисках с заклинившим шпиндельным двигателем, “Реєстрація, зберігання та обробка даних”, том 10, №4, (2008),
82. Сенкевич, Г. Е.: Искусство восстановления данных, БХВ-Петербург, Санкт Петербург, (2011),
83. Ташков П. А.: Восстанавливаем данные на 100%, Питер, Санкт Петербург (2010).