Naprawa uszkodzonego NTFS: testdisk, kopia sektorowa i bezpieczne działania krok po kroku

Co właściwie jest uszkodzone? Szybka orientacja w problemie

Jak rozpoznać, czy zawodzi NTFS, partycja czy sam dysk

Najpierw trzeba ustalić, co faktycznie jest popsute. Bez tego łatwo podjąć złą decyzję: puścić chkdsk na dysku z bad sektorami, naprawiać MFT przy mechanicznie umierającym HDD albo formatować coś, co dało się odzyskać w kilka minut.

Zacznij od objawów. Jak komputer zachowuje się przy próbie dostępu do problematycznego dysku lub partycji? Typowe sygnały problemów z systemem plików NTFS (a niekoniecznie z samym sprzętem) to:

• komunikat w Windows: „Dysk nie jest sformatowany. Czy chcesz go sformatować teraz?”,
• we właściwościach partycji system plików zmienia się na RAW,
• Windows proponuje automatyczne skanowanie i naprawę po podłączeniu dysku USB,
• chkdsk zgłasza błędy struktury katalogów, MFT lub brak dostępu do określonych segmentów MFT,
• dysk jest widoczny w BIOS/UEFI i w Zarządzaniu dyskami, ale z błędnym rozmiarem, systemem plików RAW lub brakiem litery.

Z kolei typowe oznaki problemów na poziomie samego nośnika (HDD/SSD) to:

• dysk znika na chwilę z systemu, pojawiają się chwilowe „zamrożenia” systemu przy próbie dostępu,
• HDD wydaje nietypowe dźwięki: cykanie, stukanie, charakterystyczne „parkowanie” co kilka sekund,
• transfer spada do zera lub pojedynczych kilobajtów, kopiowanie pojedynczego pliku trwa „wieczność”,
• system długo wisi na logo startowym, a po odłączeniu problematycznego dysku startuje normalnie.

Jak jest u ciebie: dostajesz komunikaty o RAW/formatowaniu, czy raczej widzisz „zawieszony” system i słyszysz dysk? To pierwsza wskazówka, czy skupiać się na naprawie NTFS, czy ratowaniu umierającego sprzętu.

Komunikaty systemowe, które mówią wyjątkowo dużo

Windows ma kilka powtarzających się komunikatów, które dobrze podpowiadają, co się dzieje. Warto je zapisać dokładnie lub zrobić zdjęcie ekranowi. Przykładowe sytuacje:

• „Przed użyciem dysku znajdującego się w stacji X: musisz go sformatować” – klasyka przy uszkodzonym systemie plików NTFS albo nieprawidłowej tablicy partycji. Nie formatuj, jeśli zależy ci na danych.
• „System plików to RAW” (w Zarządzaniu dyskami) – Windows widzi partycję, ale nie potrafi jej zinterpretować jako NTFS. To może oznaczać uszkodzony boot sektor NTFS, MFT, czasem nieprawidłową geometrię partycji.
• Wymuszony chkdsk przy starcie – jeśli system przy każdym uruchomieniu proponuje sprawdzanie spójności, coś jest nierozwiązane na poziomie NTFS. Czasem to drobna niespójność, czasem początek poważniejszych kłopotów.
• „Nie można ukończyć sprawdzania dysku” – chkdsk nie jest w stanie dojść do końca. To już często sygnał, że pod spodem są bad sektory lub inne błędy odczytu.

Przypomnij sobie dokładnie, co się stało tuż przed awarią. Nagłe wyłączenie prądu? Upadek laptopa? Zawieszenie systemu podczas aktualizacji? System „zamroził się” podczas kopiowania dużej liczby plików? To zwykle zawęża listę podejrzanych.

Awaria logiczna vs fizyczna – inne strategie działania

Przy uszkodzeniach NTFS często mówimy o dwóch poziomach problemu:

• awaria logiczna – struktury systemu plików (MFT, katalogi, wpisy NTFS) zostały uszkodzone, ale sam nośnik jest sprawny lub tylko częściowo problematyczny,
• awaria fizyczna – nośnik ma problemy sprzętowe: bad sektory, błędy odczytu, kiepską elektronikę, przegrzewanie, problemy z zasilaniem.

Dlaczego to takie ważne? Bo przy awarii logicznej można sobie pozwolić na bardziej agresywne narzędzia naprawcze (chkdsk, testdisk modyfikujący strukturę NTFS), natomiast przy awarii fizycznej priorytetem jest szybkie wykonanie kopii sektorowej i minimalny odczyt z uszkodzonego dysku. Naprawa struktury na nośniku, który fizycznie „sypie błędami”, może ostatecznie dobić dane.

Jak daleko chcesz się posunąć? Zależy ci na szybkiej naprawie „żeby działało”, czy na maksymalnym bezpieczeństwie danych, nawet kosztem czasu i konieczności nauki narzędzi typu ddrescue i testdisk? To pytanie dobrze zadać sobie już teraz – od niego zależy cała strategia.

Krótki fundament teoretyczny: jak zbudowany jest NTFS

Najważniejsze struktury: boot sector, MFT, MFTMirr, bitmapa

NTFS to nie jest „tylko” lista plików. To rozbudowany system z wieloma strukturami, które muszą być zgodne, żeby Windows widział twoje dane. W kontekście naprawy uszkodzonego NTFS i użycia testdisk kluczowe są:

• Boot sector NTFS – pierwszy sektor partycji NTFS. Przechowuje informacje o geometrii systemu plików (rozmiar klastra, lokalizacja MFT, MFTMirr itd.). Uszkodzony boot sector często powoduje komunikat RAW.
• Kopia boot sektora – NTFS przechowuje kopię boot sektora na końcu partycji. Dzięki niej testdisk potrafi naprawić główny boot sector, jeśli oryginał jest uszkodzony, ale kopia jest w dobrym stanie.
• MFT (Master File Table) – serce NTFS. Ogromna tablica, gdzie każdy plik i folder mają swój rekord. Zawiera nazwy, atrybuty, listę klastrów i odwołania do danych.
• MFTMirr – mała kopia fragmentu MFT (pierwszych rekordów) przechowywana w innym miejscu partycji, by umożliwić naprawę krytycznej części tablicy.
• Bitmapa zajętości – wskazuje, które klastry są wolne, a które zajęte. Jeśli ulegnie rozjechaniu względem MFT, mogą pojawiać się „znikające” pliki, dziury w danych, nadpisywanie istniejących danych nowymi plikami.

Naprawa NTFS to w dużej mierze przywracanie spójności między tymi strukturami. Testdisk potrafi np. porównać boot sector z jego kopią i odtworzyć go. Inne narzędzia potrafią próbować reanimować MFT na podstawie MFTMirr.

Co się dzieje, gdy NTFS jest „uszkodzony”

Uszkodzony system plików NTFS to zwykle nie jeden, a kilka problemów naraz. Mogą wystąpić między innymi:

• uszkodzenie samej tablicy MFT – błędna pozycja MFT, uszkodzony nagłówek, nieczytelne fragmenty,
• uszkodzone pojedyncze wpisy MFT – część rekordów opisujących pliki jest poprawna, a część zawiera błędne informacje,
• przerwane transakcje journala
• niespójność między MFT a bitmapą wolnych/zajętych klastrów,
• uszkodzony boot sector NTFS albo jego kopia.

Efekt dla użytkownika jest zwykle taki sam: pliki znikają, struktura katalogów jest niepełna, system meldował wymuszone chkdsk, a po restarcie część danych znika. Bez znajomości tego, co dzieje się „pod maską”, łatwo podjąć błędną decyzję i wymusić naprawę, która nadpisze cenne fragmenty MFT lub klastrów danych.

Analogia: katalog biblioteczny i półki z książkami

Dla lepszego wyobrażenia: NTFS to biblioteka. MFT to rozbudowany katalog kartkowy, gdzie każda karta opisuje jedną książkę: tytuł, autora, numer półki. Boot sector NTFS mówi, gdzie katalog stoi i jak jest ułożony. Półki z książkami to same dane na dysku.

Co może się zepsuć?

• Jeśli zniszczy się katalog (MFT), książki nadal fizycznie stoją na półkach, ale trudno je odszukać. Narzędzia typu file carving czy skanowanie sygnatur plików próbują chodzić między półkami i rozpoznawać książki po okładkach.
• Jeśli sypią się półki (bad sektory, fizyczne błędy nośnika), część książek spada, kartki się mieszają. Nawet idealny katalog nie pomoże, bo książki nie są już kompletne.
• Jeśli pomylą się opisy katalogu (boot sector, mapa zajętości), bibliotekarz myśli, że katalog jest gdzie indziej albo że półki mają inny rozmiar. Stąd komunikaty RAW czy błędne rozmiary partycji.

Z tego wynika prosta taktyka: czasem lepiej skopiować wszystko z półkami i katalogiem (kopia sektorowa) i dopiero potem próbować odtwarzać porządek. Zwłaszcza gdy półki już trzeszczą (dysk z dużą liczbą bad sektorów).

Struktura NTFS a taktyka odzyskiwania

Znajomość kluczowych elementów NTFS przydaje się przy decyzji, kiedy walczyć o strukturę, a kiedy o surowe pliki. Proste przykłady:

• Jeśli boot sector NTFS jest uszkodzony, a kopia jest prawidłowa – testdisk potrafi w kilka minut przywrócić boot sector i przywrócić partycję „jak ręką odjął”. To bezpieczna, mało inwazyjna naprawa.
• Jeśli MFT jest częściowo uszkodzone, ale większość rekordów jest czytelna – opłaca się odzyskać strukturę katalogów, bo można łatwo przywrócić nazwy plików, daty, uprawnienia.
• Jeśli MFT i MFTMirr są mocno zniszczone, a dysk ma fizyczne błędy – lepiej skupić się na „carvingu” danych z obrazu dysku niż na walce o piękną strukturę katalogów, która i tak może być nie do odbudowy bez nadpisywania fragmentów.

Na jakim etapie jesteś? Czy interesuje cię przede wszystkim zachowanie struktury folderów, czy po prostu „odzyskać jak najwięcej plików, choćby w jednym koszu bez nazw”? Ta odpowiedź pomoże dobrać dalsze kroki w użyciu testdisk i innych narzędzi.

Zasady bezpieczeństwa zanim cokolwiek zrobisz

Decyzja strategiczna: naprawa „na żywo” czy kopia sektorowa

Najważniejszy wybór brzmi: działasz bezpośrednio na uszkodzonym dysku, czy najpierw robisz kopię sektorową i pracujesz na kopii? W świecie profesjonalnego odzyskiwania danych zasada jest prosta: jeśli dane są istotne, zawsze najpierw kopia, a dopiero później naprawa.

Zadaj sobie kilka pytań kontrolnych:

• Czy masz drugi dysk o pojemności co najmniej takiej, jak uszkodzony nośnik?
• Czy dane są krytyczne: projekty klientów, dokumenty firmowe, zdjęcia z kilku lat?
• Czy awaria pojawiła się po uderzeniu, upadku, zalaniu lub innym zdarzeniu fizycznym?
• Czy słyszysz nietypowe dźwięki z dysku HDD?

Jeśli na któreś z tych pytań odpowiedź brzmi „tak” i nie jesteś gotów pogodzić się ze stratą danych, priorytetem jest wykonanie kopii sektorowej (np. przy użyciu ddrescue), a nie chkdsk ani testdisk piszący po oryginalnym nośniku.

Naprawa „na żywo” ma sens tylko wtedy, gdy:

• dane nie są krytyczne (np. gry, system operacyjny, który możesz zainstalować od nowa),
• dysk ma dobry SMART, nie ma objawów fizycznego uszkodzenia,
• masz świadomość ryzyka i akceptujesz możliwość częściowej lub całkowitej utraty danych.

Czego lepiej nie robić na uszkodzonym NTFS

W stresie po awarii wiele osób klika to, co podsuwa Windows. Niestety, system domyślnie podpowiada działania bezpieczne dla siebie, niekoniecznie dla twoich danych. Tu lista typowych rzeczy, których lepiej unikać przy uszkodzonym systemie plików NTFS:

• Formatowanie „naprawcze” – szybki format NTFS nad RAW bywa „magicznie skuteczny”, ale zwykle nadpisuje część struktur i utrudnia odzyskiwanie. Dla krytycznych danych – zły pomysł.
• Instalacja systemu na tym samym dysku – nowy Windows zapisze pliki systemowe w miejsce starych danych, nadpisze MBR/GPT i kluczowe sektory. To jeden z najszybszych sposobów, by przekreślić dobre odzyskiwanie.
• Intensywne użycie chkdsk /f /r – przy logicznych błędach i zdrowym dysku może pomóc, ale przy fizycznych problemach będzie „maltretował” uszkodzone sektory i próbował naprawiać strukturę na niestabilnym fundamencie.

Dlaczego automatyczne „naprawiacze” potrafią dobić dane

Co zwykle robi użytkownik, gdy widzi komunikat „Uruchomić sprawdzanie dysku?” Albo kiedy Windows uparcie proponuje naprawę systemu plików? Kliknięcie „Tak” wydaje się naturalne. Tyle że te mechanizmy powstały przede wszystkim z myślą o utrzymaniu systemu w ruchu, a nie o zachowaniu maksymalnej ilości danych.

Automatyczne narzędzia mają jedną wspólną cechę: piszą po tym samym nośniku, na którym są twoje dane. Jeśli zapiszą coś nie tak, nie ma przycisku „Cofnij”. Kilka przykładów:

• chkdsk potrafi masowo przerzucać „podejrzane” fragmenty plików do folderu found.000 jako pliki .chk, usuwać wpisy katalogowe, porządkować bitmapę zajętości, kasując przy tym ślady po plikach.
• narzędzia „optymalizujące” partycje (defragmentacja, „naprawa woluminów”) przesuwają klastery, co przy fizycznym uszkodzeniu może zakończyć się rozsypaniem danych na kawałki.
• programy typu „one-click fix” dla dysków/partycji często opierają się na chkdsk w tle, tylko z ładniejszym interfejsem.

Zanim klikniesz „Napraw” – zadaj sobie pytanie: czy w razie pogorszenia sytuacji będziesz żałować tej decyzji? Jeśli tak, lepiej wstrzymać się i najpierw wykonać kopię sektorową.

Bezpieczne przygotowanie systemu przed dalszymi krokami

Zanim przejdziesz do diagnostyki i kopii sektorowej, warto uporządkować podstawy. Dzięki temu każdy kolejny krok będzie mniej ryzykowny.

• Odłącz dysk od źródła problemu – jeśli uszkodzony dysk był w laptopie, a system na nim nie startuje, wyjmij go i podłącz jako dodatkowy (np. przez kieszeń USB lub bezpośrednio w stacjonarnym PC).
• Ustaw w BIOS/UEFI inny dysk jako bootujący – chodzi o to, by system nie próbował cokolwiek „naprawiać” na uszkodzonym nośniku przy starcie.
• Wyłącz automatyczne sprawdzanie dysku – jeśli Windows przy każdym uruchomieniu usiłuje wymusić chkdsk na feralnej partycji, przerwij to (Esc / dowolny klawisz) i rozważ tymczasowe odpięcie partycji w zarządzaniu dyskami.
• Przygotuj miejsce na kopię – drugi dysk (zewnętrzny lub wewnętrzny) o równej lub większej pojemności, najlepiej bez cennych danych, które mogłyby zostać przypadkowo nadpisane.

Pytanie pomocnicze: uruchamiasz system z tego samego fizycznego dysku, który chcesz naprawiać? Jeśli tak – priorytetem jest zmiana tej sytuacji, choćby przez boot z pendrive’a z Linuxem lub WinPE.

Pierwsza diagnoza sprzętowa: SMART, powierzchnia, stan nośnika

Po co w ogóle badać sprzęt, skoro problem jest „tylko logiczny”?

System plików nie psuje się w próżni. Uszkodzenie NTFS może wynikać z błędów logicznych, ale często jest symptomem głębszego kłopotu ze sprzętem. Jeśli NTFS się „sypie”, bo dysk co chwilę oddaje złe dane, próba naprawy struktury bez ogarnięcia nośnika przypomina łatanie dachu podczas trzęsienia ziemi.

Kluczowe pytanie: czy dysk jest fizycznie stabilny, czy raczej „umiera” i każdy kolejny odczyt może dobijać kolejne sektory? Odpowiedź pomoże ustalić, jak agresywnie możesz go czytać i czy w ogóle myśleć o naprawie na żywo.

Odczyt SMART – pierwsza linia oceny zdrowia dysku

SMART to zestaw wewnętrznych liczników dysku (HDD i SSD), które informują o błędach odczytu/zapisu, przeniesionych sektorach, temperaturze i innych parametrach. To nie wyrocznia, ale bardzo dobry punkt startu.

Do odczytu SMART użyj narzędzi, które nie zapisują nic na dysku:

• Linux: smartctl (pakiet smartmontools), np. smartctl -a /dev/sdX,
• Windows: CrystalDiskInfo, HD Sentinel (uwaga na dodatki przy instalacji – lepiej wersje portable).

Na co zwrócić uwagę przy HDD?

• Reallocated Sectors Count (przeniesione sektory) – wysoka lub rosnąca liczba to sygnał, że dysk ma fizyczne problemy z powierzchnią.
• Current Pending Sector Count (sektory oczekujące) – sektory, których dysk nie był w stanie odczytać, ale jeszcze nie przeniósł. Im więcej, tym większe ryzyko zawieszeń podczas kopiowania.
• Uncorrectable Sector Count – sektory, których nie udało się skorygować nawet przy próbie.
• CRC Error Count – może wskazywać na problemy z kablem SATA, kontrolerem, nie zawsze z samym talerzem.

Przy SSD inne parametry będą bardziej znaczące (liczba zapisanych bloków, stan pamięci flash, błędy korekcji). Najważniejsze pytanie: czy SMART zgłasza stan „Caution”/„Bad” albo rosnące błędy w czasie?

Jeśli SMART wygląda źle, a dane są ważne, nie kombinuj z długimi testami powierzchni. Przejdź do kontrolowanego, możliwie delikatnego kopiowania sektor po sektorze (ddrescue).

Test powierzchni – kiedy ma sens, a kiedy szkodzi

Drugim typem diagnostyki jest sprawdzenie powierzchni – próba odczytu wszystkich sektorów albo ich reprezentatywnej próbki. Robią to różne narzędzia:

• mhdd, Victoria – bardziej „niskopoziomowe” testy dla HDD, często odpalane spod DOS lub własnego środowiska.
• HD Tune, HDDScan – testy powierzchni pod Windows.
• badblocks (Linux) – narzędzie do szukania uszkodzonych bloków.

Pytanie: czy w ogóle potrzebujesz pełnego skanu? Jeśli dysk:

• ma wyraźnie zły SMART,
• wydaje nietypowe dźwięki (klikanie, rytmiczne „stukanie”),
• system „zamarza” na kilka-kilkanaście sekund przy próbie odczytu,

to długi test powierzchni może go dobić. W takiej sytuacji rozsądniej jest minimalizować liczbę odczytów i od razu przejść do kopii sektorowej z pominięciem najgorszych miejsc.

Jeśli natomiast SMART jest dobry, a problem wygląda na czysto logiczny (np. wyłączenie prądu w trakcie zapisu, brak nietypowych objawów pracy dysku), krótki test powierzchni na poziomie narzędzia systemowego może pomóc wychwycić pierwsze oznaki fizycznych problemów, ale nie jest obowiązkowy przed kopiowaniem.

Objawy wskazujące na uszkodzenie mechaniczne

Nie każdy „dziwny” dźwięk oznacza śmierć dysku, ale pewne symptomy są niepokojąco jednoznaczne:

• głośne klikanie głowic, powtarzalne „próbkowanie” – dysk ma problem z pozycjonowaniem,
• brak rozruchu talerzy (cisza, tylko elektronika się nagrzewa) – może to oznaczać uszkodzenie silnika lub elektroniki,
• piski, zgrzyty – mechanika fizycznie się poddaje.

W takiej sytuacji amatorskie próby (zamrażanie, otwieranie obudowy w domu, podmiana płytek z innego dysku „bo wygląda podobnie”) często kończą się całkowitą utratą danych. Jeśli dane są istotne, tu jest moment, żeby zadać sobie uczciwe pytanie: jaki jest budżet na profesjonalne odzyskiwanie?

Jak interpretować wyniki i co dalej

Po wstępnej diagnostyce masz zwykle trzy scenariusze:

1. Dysk wygląda zdrowo (dobry SMART, brak złych sektorów) – najpewniej problem jest logiczny. Możesz pozwolić sobie na dłuższą analizę testdisk i innych narzędzi, a kopia sektorowa to kwestia dodatkowego bezpieczeństwa.
2. Dysk ma pojedyncze lub umiarkowane problemy (kilka-kilkanaście realokowanych/pending sektorów, sporadyczne zawieszki) – warto ograniczyć liczbę odczytów i od razu planować kopię sektorową, ale masz jeszcze szansę odczytać większość danych.
3. Dysk jest w stanie krytycznym (dużo błędów, klikanie, poważne ostrzeżenia SMART) – każdy odczyt to ryzyko. W grę wchodzi krótka próba z ddrescue (w trybie minimalnej liczby powtórzeń) lub od razu oddanie dysku do serwisu.

Zastanów się: do którego wariantu jest ci najbliżej? Od tego będzie zależeć, jak ułożysz strategię kopiowania sektorowego.

Kopia sektorowa – fundament bezpiecznej naprawy

Dlaczego kopia plików to za mało

Można zapytać: dlaczego nie skopiować po prostu plików „które się da” i nie zawracać sobie głowy obrazem sektor po sektorze? Taka taktyka ma sens, gdy system plików jest czytelny, a nośnik stabilny. Przy uszkodzonym NTFS sytuacja wygląda inaczej:

• struktura katalogów może być niepełna – wiele plików „znika z widoku”, choć ich dane wciąż są na dysku,
• kosz systemu plików (np. po chkdsk) może zawierać porozrzucane fragmenty, których nie zobaczysz jako zwykłych plików,
• część narzędzi do odzyskiwania potrzebuje pełnego obrazu partycji/dysku, by później móc skanować ją różnymi metodami (po MFT, po sygnaturach),
• każda próba „dogrywania” czegoś po trochu z oryginału to kolejne odczyty z potencjalnie niestabilnego nośnika.

Kopia sektorowa – obraz dysku – zamraża stan nośnika w czasie. Od tego momentu testdisk, narzędzia carvingowe i inne analizy wykonujesz na obrazie, a nie na oryginale. Możesz testować różne scenariusze bez ryzyka, że z każdym kolejnym podejściem dysk oddaje mniej danych.

Co dokładnie kopiować: cały dysk czy tylko partycję?

Pierwsza decyzja brzmi: czy robisz kopię całego fizycznego dysku, czy tylko konkretnej partycji NTFS?

W praktyce, gdy chodzi o bezpieczeństwo:

• Obraz całego dysku (łącznie z MBR/GPT, wszystkimi partycjami) jest najbardziej uniwersalny. Pozwala później odtwarzać informacje o układzie partycji, analizować różne woluminy i ich wzajemne położenie.
• Obraz jednej partycji ma sens, gdy masz absolutną pewność co do jej granic (początkowy i końcowy sektor) i gdy inne partycje nie są istotne albo zajmują zbyt dużo miejsca.

Jeżeli tylko możesz, a pojemność docelowego dysku na to pozwala, wybieraj obraz całego dysku. To rozwiązuje wiele pułapek z błędnie wykrytymi granicami partycji, zwłaszcza jeśli używasz różnych narzędzi na późniejszych etapach.

ddrescue – narzędzie pierwszego wyboru do kopii sektorowej

W świecie linuksowym standardem do kopiowania uszkodzonych dysków jest GNU ddrescue (nie mylić z dd_rescue ani zwykłym dd). Co je wyróżnia?

• Inteligentne pomijanie trudnych miejsc – ddrescue najpierw kopiuje to, co czytelne, a dopiero potem, w kolejnych fazach, próbuje wrócić do trudnych obszarów.
• Plik mapy (log) – zapisuje informację o tym, które sektory udało się skopiować, które są problematyczne. Dzięki temu można wznawiać kopiowanie po przerwie lub zmianie parametrów bez powtarzania już wykonanej pracy.
• Kontrola nad agresywnością – można ustawić liczbę ponowień odczytu trudnych sektorów, kolejność skanowania, a nawet przerwać proces w dowolnym momencie.

Przykładowa komenda (Linux, uruchomiony z live-USB, żeby nie korzystać z uszkodzonego dysku jako systemowego):

ddrescue -f -n /dev/sdX /media/backup/dysk.img /media/backup/dysk.map

Gdzie:

• /dev/sdX – to uszkodzony dysk (upewnij się, który to, np. przez lsblk),
• dysk.img – plik obrazu na dysku docelowym,
• dysk.map – plik mapy, dzięki któremu ddrescue wie, co już skopiował.

Ten pierwszy przebieg (-n) kopiuje wszystko, co jest czytelne bez agresywnego „męczenia” trudnych sektorów. Dopiero później, jeśli uznasz, że to bezpieczne dla dysku, możesz spróbować kolejnego przebiegu:

Bezpieczne dopracowanie obrazu: kolejne przebiegi ddrescue

Skoro masz już pierwszy, „łagodny” zrzut sektorów, pytanie brzmi: czy chcesz walczyć o dodatkowe dane kosztem zdrowia dysku?

Jeśli nośnik nie wykazuje dramatycznych objawów (brak klikania, SMART nie galopuje w dół), można spróbować ostrożnego doprecyzowania obrazu:

ddrescue -f -r1 /dev/sdX /media/backup/dysk.img /media/backup/dysk.map

• -r1 – jedna dodatkowa próba odczytu problematycznych sektorów (można użyć większej liczby, ale każdy dodatkowy raz to większe ryzyko dla dysku),
• -f – zezwala na nadpisywanie istniejącego obrazu (dlatego tak ważne jest upewnienie się, że wskazujesz właściwy plik docelowy).

Jaki masz cel na tym etapie? Chcesz odzyskać „prawie wszystko”, czy przede wszystkim zapewnić, że w ogóle cokolwiek się zachowa? Jeśli dane są krytyczne, a dysk w złej kondycji, jeden dodatkowy przebieg to często maksimum rozsądku.

Przy bardzo kapryśnych nośnikach można użyć bardziej zaawansowanej sekwencji:

1. pierwszy przebieg szybki, bez powtórzeń (-n),
2. drugi przebieg z ograniczoną liczbą prób (-r1 lub -r2),
3. ewentualnie trzeci z parametrem --retry-passes dla konkretnych zakresów (bardziej manualna praca, gdy wiesz, gdzie leży najbardziej pożądana część danych).

Dla najbardziej wymagających przypadków ddrescue pozwala ręcznie zawęzić zakres sektorów:

ddrescue -f -r2 --input-position=START --size=ROZMIAR 
  /dev/sdX /media/backup/dysk.img /media/backup/dysk.map

Takie podejście ma sens, gdy zależy ci np. na jednej partycji albo wiesz, że konkretne katalogi leżą w przybliżonym obszarze dysku, a reszta jest mniej istotna.

Gdzie trzymać obraz i jak zorganizować przestrzeń

Obraz całego dysku potrafi być duży. Jak to rozwiązać praktycznie?

• Najprościej użyć zewnętrznego dysku USB o pojemności przynajmniej takiej, jak dysk źródłowy.
• Jeśli nie masz jednego dużego dysku, możesz użyć obrazu w formie plików dzielonych (split) – ale to utrudnia późniejszą pracę. Lepszy jest pojedynczy plik, o ile tylko masz gdzie go położyć.
• Nie zapisuj obrazu na tym samym fizycznym dysku, z którego kopiujesz (nawet na innej partycji) – to podcina całą ideę bezpieczeństwa.

Jeśli system docelowy jest w formacie FAT32 (częste przy fabrycznych pendrive’ach), pojawi się limit wielkości pojedynczego pliku. Wtedy trzeba:

• przeformatować dysk docelowy na NTFS lub ext4, albo
• zapisać obraz na dwóch różnych nośnikach (np. część na jednym dysku, część na drugim, wykorzystując narzędzia typu split i później cat do łączenia).

Zadaj sobie pytanie: co zrobisz, jeśli obraz stracisz? Jeśli nie masz drugiej kopii, może warto od razu po zakończeniu ddrescue wykonać klon obrazu na kolejny dysk – zwłaszcza przy naprawdę cennych danych.

Kontrola jakości obrazu po ddrescue

Sam fakt ukończenia ddrescue nie gwarantuje, że obraz jest „idealny”. Daje natomiast przejrzysty wgląd w to, co się udało, a czego nie.

Najpierw szybkie spojrzenie na statystyki (po zakończeniu procesu albo po wysłaniu sygnału USR1 do działającego ddrescue):

• ile sektorów zostało skopiowanych bez błędów,
• ile sektorów pozostało nieodczytanych,
• ile czasu zajęło kopiowanie, czy prędkość była stabilna.

Jeśli utracona jest niewielka liczba sektorów, istnieje spora szansa, że struktura NTFS będzie przynajmniej częściowo czytelna. Gdy braków jest dużo, czeka cię raczej praca narzędziami carvingowymi lub częściowe odzyskiwanie.

Przy obrazach zapisywanych na innym dysku można dodatkowo wykonać hash całego pliku (np. SHA256) i zachować go osobno. W razie przenoszenia obrazu między nośnikami będziesz mieć szybki sposób sprawdzenia, czy nic się nie zepsuło po drodze.

Montowanie obrazu NTFS do analizy

Masz już plik dysk.img. Teraz pytanie: jak go obejrzeć, nie ryzykując dodatkowych szkód?

Najbezpieczniej jest podejść do obrazu tak, jak do fizycznego dysku – ale w trybie tylko do odczytu.

W Linuksie podstawowa ścieżka wygląda tak:

1. Utwórz urządzenie loop:

losetup --find --show /media/backup/dysk.img

System zwróci coś w stylu /dev/loop0. To twoje „wirtualne urządzenie”.

2. Sprawdź widoczne partycje:

parted /dev/loop0 print

Zobaczysz listę partycji z numerami i sektorami startowymi. Jeśli to był dysk GPT/MBR z jedną partycją NTFS, interesuje cię konkretna pozycja.

3. Utwórz mapowanie partycji (opcjonalnie, ale pomaga):

kpartx -av /dev/loop0

Po tym kroku powinny pojawić się urządzenia typu /dev/mapper/loop0p1, /dev/mapper/loop0p2 itd. Można je traktować jak zwykłe partycje.

4. Spróbuj montować partycję NTFS w trybie tylko do odczytu:

mkdir /mnt/ntfs_img
mount -o ro,loop /dev/mapper/loop0p1 /mnt/ntfs_img

Jeśli montowanie się powiedzie, możesz lekko odetchnąć – oznacza to, że NTFS przynajmniej w części jest spójny. Teraz możesz skopiować kluczowe katalogi na inny nośnik zwykłymi narzędziami (cp, rsync, menedżer plików).

Co jeśli montowanie kończy się błędem? Tu do gry wchodzi testdisk.

Analiza obrazu NTFS w testdisk – scenariusz krok po kroku

Uruchomienie testdisk na obrazie zamiast na żywym dysku

Zanim klikniesz jakiekolwiek „Write”, zadaj sobie pytanie: na czym pracujesz – na oryginalnym dysku czy na obrazie? Jeśli to pierwsza opcja, zatrzymaj się i wróć do kroku z ddrescue.

Testdisk potrafi pracować zarówno na urządzeniach blokowych (/dev/sdX), jak i na plikach obrazów. Bezpieczniejsza jest druga metoda.

testdisk /media/backup/dysk.img

W pierwszym ekranie wybierasz, czy zapisać log – domyślnie warto odpowiedzieć „Create”. Log pomoże później prześledzić każdy ruch.

Wybór typu tablicy partycji

Testdisk zwykle sam poprawnie wykrywa typ tablicy (MBR, GPT). Jednak zdarzają się przypadki niejednoznaczne, np. przy dyskach z nietypowymi kontrolerami USB.

Jeżeli:

• masz standardowy dysk < 2 TB z klasycznym BIOS-em – najczęściej będzie to Intel/PC partition (MBR),
• masz dysk > 2 TB, nowy laptop z UEFI – zwykle EFI GPT.

Gdy nie jesteś pewien, co już wcześniej próbowałeś? Instalacja innego systemu, nietypowe partycjonowanie, eksperymenty z narzędziami typu „partycjoner” mogą wprowadzić bałagan. W razie wątpliwości najpierw zaakceptuj sugestię testdisk, ale nie zapisuj zmian – najpierw tylko skanuj.

Szybkie skanowanie struktury partycji

Po wybraniu typu tablicy partycji przechodzisz do „Analyse”. Tu testdisk pokazuje aktualny widok partycji według nagłówka dysku, wraz z informacją o rozmiarze.

Jeśli wszystko wygląda poprawnie (widzisz swoją partycję NTFS o spodziewanym rozmiarze, bez czerwonych ostrzeżeń), możesz od razu przejść do próby listowania plików („List”) na tej partycji.

Jeżeli jednak:

• partycja zniknęła,
• rozmiar jest ewidentnie błędny,
• testdisk oznacza wpis jako „deleted” albo „invalid”,

włącz „Quick Search”. To pierwszy, szybszy etap analizy. W wielu przypadkach wystarczy, by odnaleźć zagubione wpisy partycji.

Po zakończeniu szybkiego skanu:

• strzałkami wybierz odnalezioną partycję NTFS,
• wciśnij P, aby wyświetlić listę plików.

Jeżeli widzisz strukturę katalogów, którą kojarzysz – to dobry znak. W tym momencie możesz:

• zacząć kopiować pliki bezpośrednio z testdisk na inny nośnik (klawisz C na wybranych plikach/katalogach),
• lub zdecydować się na odbudowę wpisu partycji i spróbować później montować obraz „normalnie”.

Co wybierasz? Jeśli kluczowe są szybkie, selektywne dane (np. katalog z projektami), a nie pełna naprawa, zacznij od kopiowania. Odbudowę zostaw na później, gdy będziesz miał już najważniejsze pliki w bezpiecznym miejscu.

Głębokie skanowanie („Deeper Search”) i co z niego wynika

Gdy szybkie skanowanie nie znajduje oczekiwanej partycji, przychodzi czas na „Deeper Search”. To proces wolniejszy, ale dokładniejszy – testdisk przeszukuje większą część powierzchni pod kątem śladów dawnych partycji.

Po zakończeniu zobaczysz listę potencjalnych woluminów. Może ich być więcej, niż się spodziewasz – testdisk znajduje także stare, nadpisane już wpisy.

Twoje zadanie: wybrać te, które odpowiadają realnej, obecnej strukturze danych. Na co patrzeć?

• Rozmiar – czy zgadza się z tym, co pamiętasz?
• Położenie – czy początkowy sektor nie „nakłada się” na inną aktywną partycję?
• System plików – NTFS, FAT, exFAT; czy leży we właściwym miejscu (np. partycja systemowa Windows zwykle NTFS)?

Dla każdej partycji, która wygląda sensownie, spróbuj wywołać „List”. Widzisz znajome katalogi? To kandydat do odzyskania lub przywrócenia.

Jeżeli masz kilka konkurencyjnych wpisów dla tej samej przestrzeni dysku, zatrzymaj się i zadaj sobie pytanie: co jest dla mnie ważniejsze – spójność bieżących danych czy odzyskanie starych, być może już częściowo nadpisanych? Czasem wybór „nowszej” partycji oznacza utratę śladów po wcześniejszej instalacji systemu, ale daje większą szansę na zachowanie aktualnych dokumentów.

Przywracanie wpisu partycji czy tylko kopiowanie plików?

Gdy testdisk znajdzie właściwą partycję, proponuje jej oznaczenie jako „P” (Primary), „*” (bootable) lub inną rolę. Dopiero wciśnięcie „Write” faktycznie modyfikuje tablicę partycji w obrazie.

Na co się zdecydować?

• Tylko kopiowanie plików z poziomu testdisk – najbezpieczniejsze, bo nie zmienia struktury samego obrazu. Przydatne, gdy nie zależy ci na późniejszym montowaniu całego woluminu, tylko na wyciągnięciu najważniejszych katalogów.
• Przywrócenie wpisu partycji w obrazie – przydatne, gdy chcesz później montować obraz jak „normalny” dysk (np. w Windows przez wirtualny kontroler). Zawsze rób to na kopii obrazu, a nie na jedynej wersji, którą masz.

Prosty sposób na zmniejszenie stresu: skopiuj dysk.img na inny nośnik (np. dysk_work.img) i to na nim przeprowadzaj operacje typu „Write”. Oryginał zostaje nietknięty na wypadek pomyłki.

Odzyskiwanie plików z poziomu testdisk – praktyczne wskazówki

Gdy jesteś już w widoku plików (klawisz P na wybranej partycji), testdisk działa trochę jak prosty menedżer plików tekstowy.

• Strzałkami poruszasz się po katalogach, Enter otwiera katalog, Backspace wraca wyżej.
• Klawisz : (dwukropek) pozwala oznaczyć kilka plików/katalogów do kopiowania.
• Klawisz C rozpoczyna kopiowanie do wybranego katalogu docelowego na innym nośniku.

Co już próbowałeś? Najpierw kopiowałeś pojedyncze pliki, czy raczej cały katalog „Documents”? W praktyce dobrze jest zaczynać od:

Co warto zapamiętać

• Najpierw ustal, co faktycznie jest uszkodzone: system plików NTFS, partycja czy sam dysk fizyczny – bez tej diagnozy ryzykujesz działania, które zamiast pomagać (np. chkdsk), dobiją dane.
• Objawy typu RAW, komunikat „musisz sformatować dysk” czy wymuszony chkdsk zwykle wskazują na problem logiczny z NTFS, natomiast znikający dysk, „zamrożenia” systemu i nietypowe dźwięki HDD sugerują awarię fizyczną nośnika.
• Systemowe komunikaty warto spisać lub sfotografować – konkretne sformułowania („system plików to RAW”, „nie można ukończyć sprawdzania dysku”) są podpowiedzią, czy skoncentrować się na naprawie struktury NTFS, czy na ratowaniu padającego dysku.
• Przy awarii logicznej możesz pozwolić sobie na narzędzia modyfikujące strukturę (chkdsk, testdisk), natomiast przy awarii fizycznej priorytetem jest jak najszybsza kopia sektorowa i minimalizowanie liczby odczytów z uszkodzonego nośnika – jaki masz cel: szybko „żeby działało”, czy maksymalnie bezpiecznie dla danych?
• Kluczowe struktury NTFS (boot sector, jego kopia, MFT, MFTMirr, bitmapa) muszą być ze sobą spójne; naprawa polega w dużej mierze na ich porównywaniu i odtwarzaniu, np. przywróceniu boot sektora z kopii czy rekonstrukcji MFT z MFTMirr.
• Narzędzia takie jak testdisk są szczególnie przydatne do pracy na poziomie struktury NTFS – potrafią np. odczytać kopię boot sektora z końca partycji i naprawić główny, co często rozwiązuje problem „RAW” bez formatowania.