データ復旧

ファイルシステムは、ファイル構造を管理する情報と、実際のファイルデータを分けて管理しています。ここで問題になるのが、アクセス頻度の違いです。ドライブ自体は、ファイル名やフォルダ構造を理解しているわけではありません。ドライブは、あくまでセクタを最小単位として、指定された場所に対して読み書きを行っているだけです。つまり、ドライブ側から見れば、そこにあるものがMFTなのか、フォルダ情報なのか、画像データなのか、文書ファイルなのかは関係ありません。与えられたアドレスに対して、セクタ単位で読み書きを行っているだけです。一方で、ファイルシステム側では、MFTのような管理領域が非常に重要な役割を持ちます。MFTは、ファイル名、フォルダ構造、サイズ、配置情報、属性情報などを管理する領域です。そのため、Windowsがファイルを開いたり、フォルダを表示したり、データの場所を確認したりするたびに、このような管理領域へアクセスすることになります。つまり、一度ファイルシステムの管理領域が配置されると、その場所は繰り返し参照される重要な領域になります。

ドライブの読み書きに直結する部分は、セクタ単位での読み書き性能です。そのため、セクタの読み書きが不安定になると、その上に構築されているファイルシステムにも大きな影響を及ぼします。ここで、Windowsで長年使われてきたNTFSについて考えてみます。

今回は、ドライブの反応速度を統計的に処理する「動作安定度」と、不良セクタの関係について整理していきます。FromHDDtoSSDのドライブ検査では、完全スキャン、統計スキャン、不良セクタ検出などに加えて、ドライブの挙動を確認するための指標として、動作安定度を扱っております。この動作安定度は、不良セクタそのものを示す指標ではありません。むしろ、不良セクタとして表面化する前の、ドライブ内部の不安定さや反応の乱れを捉えるための指標です。

データをコピーしている際に動作が停止し、「巡回冗長検査」や「CRCエラー」を含むメッセージが表示されることがあります。一見すると複雑なエラーに見えますが、簡単にいえば、読み出したデータの整合性を確認できず、コピー処理を続行できなくなった状態です。つまり、該当するセクタやデータ領域を正常に読み取れず、コピーが停止している可能性があります。この原因としては、読み込み不能セクタ、再発読み込み不能セクタ、拡散読み込み不能セクタ、読み書き不能セクタなどが考えられます。

不良セクタの分類として、「拡散読み込み不能セクタ」があります。これは、再発した読み込み不能セクタが周辺へ広がり、ドライブ全体の機能を奪っていくような状態を指します。読み込み不能セクタが一部にとどまっている段階であれば、まだ読み取り順序の工夫や、状態に応じた制御によって、データを取得できる可能性があります。しかし、それが再発を繰り返し、さらに周辺領域へ拡散していくと、状況は一気に深刻になります。この状態では、単に一部のセクタが読めないという段階を超え、ドライブ全体の読み取り動作そのものが不安定になっていきます。そのため、通常のソフトウェア的な読み取りや検査だけでは対応が難しくなります。

不良セクタの分類として、「再発読み込み不能セクタ」があります。これは、一度は書き込み処理などによって復帰したように見えても、時間の経過や特定の条件によって、再び読み込み不能へ変化するセクタを指します。流れとしては、次のようになります。読み込み不能セクタが発生する。その後、書き込み処理によって一時的に復帰する。しかし、一定の条件を満たすと、再び読み込み不能セクタへ変化する。そして、再度書き込み処理によって一時的に復帰する。このような状態を繰り返すのが、再発読み込み不能セクタです。通常の読み込み不能セクタであれば、発生後に状態が安定し、それ以上のデータ損失が広がらない場合もあります。しかし、読み込み不能状態が何度も再発する場合は注意が必要です。

不良セクタの分類として、さらに深刻な状態に位置するのが「読み書き不能セクタ」です。これは、読み込みも書き込みも成立しない状態のセクタを指します。読み込み不能セクタや書き込み不能セクタの段階では、状況によっては代替処理や再試行によって、一時的に読み書きできるように見える場合があります。しかし、代替処理が追いつかない状態や、予備領域による吸収ができない状態まで進むと、読み込みも書き込みも成立しない「読み書き不能セクタ」へ移行することがあります。この状態では、ドライブが正常なデータを返すことができず、さらに新たな書き込みによって状態を回復させることも困難になります。

不良セクタの分類として、次に挙げられるのが「書き込み不能セクタ」です。これは、データを書き込もうとした際にエラーが発生し、書き込み処理が正常に完了できない状態のセクタを指します。書き込み中にエラーが発生するということは、ドライブの状態がかなり悪化している可能性があります。通常、ドライブは読み込み側の不安定化が先に表面化することが多く、書き込み側で明確な異常が出る場合は、すでに危険な状態へ移行していると考えるべきです。また、書き込み不能セクタが発生している場合、読み込み側も不安定になっていることがあります。そのため、いつ完全に動作不能になっても不自然ではない状態と判断する必要があります。データの書き込み中にドライブが異常を起こした場合、それは単なる一時的なエラーではなく、危険信号として捉えるべきです。

不良セクタの分類として、まず挙げられるのが「読み込み不能セクタ」です。これは、エラー訂正が効かず、ドライブが正常なデータを返せない状態のセクタを指します。その代わりに、読み取りエラーとして応答が返されます。通常、ドライブにはエラー訂正機能が備わっています。軽微な読み取り不良であれば、エラー訂正によって正しいデータを復元できる場合があります。しかし、記録状態の劣化や磁性体の損傷などが進み、エラー訂正の限界を超えてしまうと、そのセクタから正しいデータを読み出せなくなります。これが、読み込み不能セクタです。

ドライブが故障している場合、読み出しを指定されたセクタに対して、内部で再試行処理が行われることがあります。正常なセクタであれば、読み出しは短時間で完了します。しかし、不良セクタや読み取りが不安定なセクタに当たると、ドライブは何度も読み出しを試みます。この再試行には時間がかかります。ここで、その時間をそのまま待てばよいのかというと、データ復旧では必ずしもそうではありません。

データ復旧作業において、重要な工程の一つに、データ整合性検査があります。これは、ファイルシステムが、データの管理領域と実データを分けて管理していることに由来します。ファイル名、フォルダ構造、サイズ、配置情報などは、主に管理領域、いわゆるメタ情報として管理されています。一方で、実際のファイル内容は、別の領域に実データとして記録されています。つまり、管理領域だけを確認できても、それだけで実際にデータが復旧できるとは限りません。メタ情報を解析し、その先にある実データを読み出し、必要に応じて断片化したデータを組み合わせる。そして、実際に開けるファイルとして成立した段階で、はじめて復旧可能だったと判断できます。そのため、データ復旧では、単にファイル名やフォルダ構造が見えるだけでは不十分です。復旧されたファイルが、実際のデータとして整合しているかどうかを確認する必要があります。この確認作業が、データ整合性検査です。

ドライブのラベルに記載されている容量と、Windowsなどで表示される実際の容量には差があります。これは、容量の数え方が異なるためです。一般的に、ドライブメーカーは10進数で容量を表記します。たとえば、1TBは1,000GBとして扱われます。一方で、WindowsなどのOSでは、2進数を基準にした容量表示が使われるため、同じ1TBのドライブでも、表示上は約931GBのように見えることがあります。この差は、容量が大きくなるほど目立つようになります。そのため、大容量HDDやSSDでは、ラベルに書かれた容量と、実際にOS上で確認できる容量の差が、かなり大きく感じられることがあります。

ドライブに対してベンチマークを実施し、その結果からドライブの状態や寿命傾向を判断する手法があります。このとき重要になるのが、正常な数値からどれくらい離れているのか、という点です。当サービスでは、この差を乖離率として捉え、グラフ化することで、ドライブの異常傾向を瞬時に見抜ける仕組みを開発しております。たとえば、同じ種類や同じ容量帯のドライブであっても、正常な個体であれば一定の範囲に収まる傾向があります。しかし、動作不良や全体的な劣化が進んでいるドライブでは、その数値が正常範囲から大きく外れることがあります。

データ復旧では、ドライブの修理作業を行うことがあります。特にハードディスクの場合、クリーンルームを活用した分解作業を思い浮かべる方も多いと思います。しかし、それはあくまでデータを取り出すための手段であり、必ず必要になる作業ではありません。目的は、ドライブを分解することではありません。目的は、失われたデータを可能な限り安全に取り出すことです。ここで重要なのは、データ復旧とドライブ修理は同じものではない、という点です。

このたび、「業界の最新動向をキャッチ！Web3技術が分かる情報メディアまとめ」に、データ復旧・解析関連として掲載していただきました。暗号関連の復旧技術をはじめ、壊れかけたドライブに対する復旧処置、暗号の規則性に関する考察、さらにドライブの組み合わせであるRAIDに関する検証などについて、ご紹介いただいております。データ復旧・ドライブ解析・暗号技術・Web3領域は、それぞれ別分野のように見えますが、実際にはデータの保全、検証、信頼性という点で深く関係しております。今回、このような形で取り上げていただき、大変ありがたく思っております。今後とも、なにとぞよろしくお願いいたします。