WD 3TB ist plötzlich RAW...

[Pazifist-Deluxe]

Hi Ernst@at.

Problem: Wenn ich ab Sektor 248, length 4000000, hex selectiere und dann Crtl+C drücke, dann kopiert er zwar was - die Lampe am eSata Gehäuse blinkt und HxD zeigt für ca. 20s einen Fortschrittsbalken.
Aber wenn ich es dann einfügen will, dann kommt "Out of Memory"

Watt nu?

 

[Ernst@at]

erstaunlich, was es in x64 Systemen für sinnlose Beschränkungen gibt.
dann machen wir das einfach mit einem halben GiB, vielleicht ist das System damit nicht überfordert. Ich sitz hier gerade an einem mickrigen Netbook mit XP und kann das vorher nicht ausprobieren

Ich mach gleich ein Update auf der vorigen Seite in der Anleitung, 2 Minuten Geduld und ein Browser-Refresh...

Ergänzung (10. Dezember 2011)

... so fertig, es kann losgehen

 

[Pazifist-Deluxe]

Ja, habs gesehn - dieses mal hat es geklappt.
Wie gehts weiter?

 

[Ernst@at]

muss zugeben, ich hab das Problem leicht unterschätzt. Muss jetzt doch mit schwerem Gerät rangehen, damit da kein nicht gutzumachender Schaden durch Win beim Filesystemmount passieren kann.

- Positioniere auf Sektor 6555648 der sollte mit "FILE0..." beginnen
- Menü: Edit/Select Block/ Start-adresse belassen, length 200000 , hex
- Strg+C ,
- Menu: File /New
- Strg+V
- Menu: File/Save as... Name $MFTstart.bin
- HxD beenden

das gezippt (oder .rar in 1MB Tranchen) in den Anhang - muss mal sehen, was da noch vorne alles an Metadaten herumkreucht und -fleucht

 

[Pazifist-Deluxe]

Hi Ernst@at.

hier die $MFTstart.bin.
Hoffe du kannst damit was anfangen


Danke!

 

[Ernst@at]

irgendwie sieht das mit freiem Auge leider total Scheisse aus - aber mehr und genaueres kann ich erst sagen, wenn ich das mit dem Analysator betrachtet habe, und das geht erst morgen.
Wenn DU magst, kannst Du einstweilen mal mit GetDataBack for NTFS /Demoversion einen Scan laufen lassen.
- Angabe weiss nicht zur Zerstorungsursache
- im Step1 die physische 3TB Platte auswählen, weiter
- nach dem Suchlauf im Step2 abspeichern des Suchlaufes mit Datei/Datenrettung speichern...
wenn ein grüner auftaucht mit der richtigen Partitiongröße und Erstellungsdatum, den selektieren,
- danach den Screen posten, weiter
- nach dem Suchlauf im Step3 wieder Ergebnisse mit Datei/Datenrettung speichern... abspeichern und Screen posten.

 

[Pazifist-Deluxe]

Hi Ernst@at.

Naja, da hatte ich aber gehofft, dass da mehr über geblieben ist. Lausige 640GB wurden gefunden - oh man...

 

[Ernst@at]

Stammt die Anzeige aus Step3 nach Auswahl des ersten oder zweiten selektierten Eintrag aus Step2?
Die richtige Partitionposition in Step2 ist die erste angezeigte. (Start 264.192)

Wenn GetDataback wieder beendet wurde, setzt Du folgendermassen auf:
- Beginn weiss nicht
- im Step1 die physiche Platte auswählen und Menü: Öffnen/Datenrettung laden und ... direkt zu Schritt2 wählen

links unten in Step2 "Zeige alle" auswählen und das Bild posten.

Es sieht so aus, als ob beim letzten Kopiervorgang doch bis über den Index geschrieben wurde, ich ging zu Beginn davon aus, dass wegen des ersten unversehrten Eintrags, den ich mir angesehen hatte, dort nichts mehr passiert ist. Aber so ein Fehler bekommt eine gewisse Eigendynamik, die fatal endet und auf den ersten Blick nicht ersichtlich ist.
Es gibt aber noch eine Chance, mehr rauszuholen. Eine Inplace-Reparatur können wir uns jedoch jetzt schon abschminken, es werden anderere Datenträger in entsprechender Größe zur Rettung benötigt.
(Notfalls kann man auch den hinteren 800GB Bereich dazu verwenden, der wegen der 2TiB-Limitierung nicht verwendet wurde)

 

[Pazifist-Deluxe]

Moin, Moin.

Also es gibt noch eine weitere Partition die gefunden wurde - siehe Screenshot. Aber auch dort sind nur 640GB zu finden.

 

[Ernst@at]

Erste(grüne) und zweite(rote) sind ident. die Grüne hat er durch den NTFS-Mirror gefunden, die rote durch den fehlenden NTFS-Header anhand des ersten (unbeschädigten) $MFT Eintrags.
Nach Einschätzung der Lage, ohne die Daten von gestern noch ausgewertet zu haben, kann da tolles passiert sein.
Die $MFT wird im Speicher gehalten, auf der Platte samt der $Bitmap, welche die freien Cluster für die näachsten File-Allocations beinhaltet, aber überschrieben.
Geänderte $MFT-Einträge werden zurück auf die Platte geschrieben(das sind die Reste, die wir hier noch finden) und dann könnte er noch wahllos begonnen haben, anhand der falschen $Bitmap-Inhalte lustig bunt durcheinandergewürfelt selbst in den bereits früher durch andere Dateien belegten Speicherbereiche<2TB irgendwo stückweise drübergeschrieben haben.

Die letzten $MFT-Einträge der zuletzt geschriebenen Dateien, wenn wir die alle finden, könnten darüber Auskunft geben - soferne das Filesystem das nicht gelassen hat, weil fatale Fehler festgestellt wurden und ratlos abgebrochen wurde...

Ich melde mich wieder, wenn ich mir das erhobene angesehen habe - frühestens 14:00

 

[dada2010]

Heute ist mir GENAU das gleiche passiert....

Ersteinmal vorweg: Hallo zusammen.

Leute es ist unglaublich ... mir ist heute genau das gleiche passiert ... nur noch ein bisschen schlimmer

Bei mir waren's nämlich gleich 2 Platten (2x WDC WD30EZRX-00MMMB0) . Beide um die gleiche Zeit gekauft. Beide liefen 24/7 (Kein RAID).

Der Ausfall erreignete sich Nachts, als auf beide Platten einiges kopiert wurde. Beide hatten zirka 2 TB besetzt. Und wie bei Pazifist-Deluxe, war heute Nachmittag plötzlich nichts mehr da. Beide Platten waren bzw. sind jetzt "RAW".
In der Datenträgerverwaltung werden Sie als 3TB RAW angezeigt. Unter dem Tools "TestDisk" jedoch nur 746 GB. Ich habe jetzt das ganze mal in Ruhe gelassen! Einzig eben TestDisk habe ich mal gestartet um zu schauen ob wenigstens die 3TB erkannt werden -> anscheinend Fehlanzeige.

Bin total verzweifelt. Als ich dieses Thema gelesen habe musste ich mich gleich registrieren.. Ich habe es fast geahnt, dass es noch jemanden gibt wie ich. Und mit Pazifist habe ich diese Person wohl auch gefunden.

Was soll ich bloss machen ....Meine Backups sind schon alt, da ich nicht genug grosse Festplatten habe um alles zu sichern, da durch die Flutkatastrophe ja alles so unbezahlbar teuer wurde.

Aber ersteinmal zu euch: Bin total froh, dass ich euch hier gefunden habe.
Und natürlich auch, dass es mit Ernst@at hier wohl einen totalen Experten auf diesem Gebiet gibt.
P.S. @Ernst: Wie siehst du das Ganze mittlerweilen ?

Viele Grüsse aus der Schweiz, dada2010

 

[Ernst@at]

ich würge noch an den Fragmenten der $MFT herum, welche durch die Überschreibung zerstört wurde.
Hier waren zwei Fehler neben/hintereinander - Plattenschrumpfung und BIOS-Limitierung beim Kopieren über 2TiB


Erstelle einen eigenen Beitrag, denn bei Dir wird es zwar ähnlich, aber nicht genauso passiert sein, und auch andere Auswirkungen und Behebungsmethoden haben - sonst komm ich mit der Kundschaft und den Daten durcheinander.

Falls es Dir ein Trost ist: Es geht im Moment und den kommenden Wochen wahrscheinlich tausenden Leuten auf der Welt so, bei denen GigaBitch am Board steht...

 

[dada2010]

Tja interessanterweise ist es ja nicht mal ein GB Borad. Ich habe ein "ASRock P55 Extreme".
Nur der Fehler war wohl ziemlich der selbe.

Ok ich werde dann einen eigenen Thread öffnen. Erst muss ich mir mal überlegen ob es vllt möglich wäre eine 1:1 RAW Kopie zu machen von den Sektoren, damit ich worst-case auf dieses zugreiffen könnte.

Gruss dada2010

 

[Ernst@at]

wenn Du nur mehr auf 800GB zugreifen kannst, dann wird eine 1:1 Kopie wenig nützen

 

[dada2010]

Nun das mit den 746 GB habe ich nun "hingekriegt"
Nach einem Intel RST Update von 9.5 auf 10.8 wird nun auch überall in den Tools 3TB angezeigt ... Keine Ahnung warum dies vorher nicht so war. Lief ja sonst immer.

Aber ich will euch jetzt da nicht mehr weiter reinreden. Ich muss erst mal schauen, was ich machen könnte.
Habe nur noch eine Frage an unseren Festplatten Experten:

Ernst@at, Was hälst du von Software wie GetDataBack, File Scavenger oder
Ontrack EasyRecovery Professional.
Wäre ja theoretisch eine möglichkeit mit diesen Tools die Daten, welche ich nicht gebackupt habe, herauszufischen und zu retten. oder?

Danke erstmal. Gruss dada2010

 

[SpeedyFast]

Das Problem, von dem ich glaube, dass es hier vorliegt, ist nicht die mangelnde Unterstützung größerer Platten, sondern unfähige BIOS-Coder, welche in den alten Versionen einen himmelschreienden Fehler eingebaut haben, dessen Auswirkung u.a Plattenschrumpfung zur Folge hat.
...

Ich habe nun exakt dasselbe Problem: meine 3TB Harddisk (nur Daten) wurde auf 801GB "geschrumpft" (laut testdisk) und ich kann nicht mehr auf die Daten zugreifen (Windows Datenträgerverwaltung weist Dateisystem "RAW" aus) ) . Würde aber gerne einige Daten retten.

Mainboard: Gigabyte GA-MA770T-UD3P mit BIOS mit Datum 08/06/2009 (siehe Anhang)
Die extrahierte GPT-Info befindet sich im file harddisk3.txt

Ich habe zwar den thread gelesen, bin mir aber nicht sicher, wie ich nun vorgehen sollte, um die Daten zu retten.

 

[Holt]

Ernst@at ist ja nicht mehr im Forum aktiv, der Thread ist ja auch schon älter. Ich würde zuerst mal die BIOS Einstellung anpassen damit das nicht mehr passieren kann, dann die HPA löschen, was z.B. mit einem Live Linux recht einfach zu machen sein sollte und dann die Recovery Tools wie eben GetDataBack, TestDisk nehmen und die Daten auf eine anderen 3TB (bevorzugt USB-)Platte kopieren, damit Du dann wenigstens schon ein Backup hast. Danach könnte man versuchen mit Testdisk oder Easeus Partition Manager die Partitionsinformationen wiederherzustellen.

 

[SpeedyFast]

... Ich würde zuerst mal die BIOS Einstellung anpassen damit das nicht mehr passieren kann, dann die HPA löschen...

Hallo Holt, vielen Dank für die Antwort.
Mit BIOS anpassen meinst du die aktuelle Version einspielen? (habe ich nach dem Schaden gemacht: F12). HPA ist was?

 

[Madnex]

Die meisten Linux-Distributionen deaktivieren automatisch eine Host-Protected-Area temporär, wenn sie eine auf einem Laufwerk entdecken. Wenn du von einer Linux-Live-DVD bootest, solltest du wieder vollen Zugriff auf deine Platte haben (sofern es denn tatsächlich dieses Problem ist) und kannst die Daten sichern. Die Deaktivierung der HPA ist aber nur temporär. Das bedeutet, wenn du wieder Windows bootest, ist die Schrumpfung der HDD wieder da.

Die HPA permanent deaktivieren kannst du direkt unter Linux mit hdparm oder über andere Tools, wie z.B. HDAT2 (muss von einer Diskette, CD/DVD oder einem USB-Stick gebootet werden).

Zuvor solltest du aber im BIOS deines Boards die Option "Backup BIOS Image to HDD" unter "Advanced BIOS Features" deaktivieren (sofern vorhanden). Das ist das, was Holt gemeint hat. Diese Funktion verursacht die Schrumpfung.

Eine andere Ursache für dein Problem könnte ein veralteter AHCI/RAID-Treiber sein. Es muss also nicht an dem BIOS-Bug liegen.

 

[SpeedyFast]

... solltest du aber im BIOS deines Boards die Option "Backup BIOS Image to HDD" unter "Advanced BIOS Features" deaktivieren (sofern vorhanden). Das ist das, was Holt gemeint hat. Diese Funktion verursacht die Schrumpfung.

Eine andere Ursache für dein Problem könnte ein veralteter AHCI/RAID-Treiber sein. Es muss also nicht an dem BIOS-Bug liegen.

Ich habe vom BIOS nach dem Auftreten des Fehlers (und vor update auf die neuere Version) Fotos gemacht. Danach war die backup to HDD Option disabled. Kann ich also davon ausgehen, dass das BIOS nicht der Übeltäter war (?).
Habe im Anhang auch einen snapshot vom HDD driver gemacht. Hatte bereits auf "Treiber aktualisieren" gedrückt, mit dem Ergebnis, daß Windows berichtet, der Treiber sei aktuell. Was nun?