4TB WD Green - Partition zerschossen

[benba]

Guten Tag,

nach einigen Tagen recherchieren und probieren bin ich mit meinem Latein am Ende.

zu den Fakten:

Testserver mit 2 HDDs
HDD1: 3 Partitionen : Win7 (NTFS) | Linux Mint Mate (ext3 oder ext4) | Linux Swap
HDD2: 1 Partition: Datenpartition (NTFS oder ext3/4)

Vorgeschichte kann ggf überlesen werden.

Neue NIC/Netzwerkkarte eingebaut und den Durchsatz gemessen (mit iperf zwischen dem Testserver unter Linux und einem MacBook). Nachdem diese stark schwankten, versuchte ich mittels dd die Transferraten der Festplatten zu ermitteln um zu prüfen ob hier etwas im verborgenen liegt. Kurzum dabei habe ich mich vermutlich vertippt oder einfach zu schnell darauf los getesten. Denn während die Systemplatte (HDD1) getestet wurde schmierte der Computer ab.

Nach einigen versuchen mit diversen Tools konnte ich die Win7 Partition auch wiederherstellen.​

Bei der zweiten Festplatte (HDD2) hatte ich nicht so viel Glück. Mit Hilfe von testdisk konnte ich die Partition einfach nicht wiederfinden. (Quickscan und Deeper Search blieben erfolglos.)

Im Forum von testdisk wurde ich dann auf ein ähnliches Problem aufmerksam, bei dem Fiona (danke an dieser stelle für die deutschen Anleitungen auf cgsecurtiy.org und hier im Forum) den Tipp gab, die Einstellungen für Heads und Sectors auf jeweils 1 zu ändern und dann erneut eine Analyse (deeper search) mit dem Partitionstype None durch zu führen.
-> http://forum.cgsecurity.org/phpBB3/3tb-hd-deleted-ext4-formated-ntfs-t428-10.html#p2687

Dies habe ich nun auch durchgeführt (dauert an die 12 Stunden) mit folgendem Resultat:

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/sdb - 1801 GB / 1678 GiB - CHS 3519069873 1 1

The harddisk (1801 GB / 1678 GiB) seems too small! (< 16520268 TB / 15025096 TiB
Check the harddisk size: HD jumpers settings, BIOS detection...

The following partitions can't be recovered:
Partition Start End Size in sectors
> NTFS 2048 7814035455 7814033408
JFS 106295186 32266148839286628 32266148732991442
HFS 461487308 4459096852 3997609545
Sys=0C 1446315874 4618086440 3171770567
HFS 1638493327 4820534782 3182041456 [M-(
HFS 2104842824 3886027771 1781184948 [D܄cQM--M-> ~?m3M-&\M-
HFS 2116155772 4627024885 2510869114
HFS 2624348929 4605333634 1980984706
HFS 3013397529 4102633158 1089235630 [^YM-d^P ^Lָ} ^X i^C^[?
SysV 4 3403479673 84743736504 81340256832 [&M-AM-@~X^M]

[ Continue ]
NTFS found using backup sector!, 4000 GB / 3726 GiB

Die beiden fett hervorgehobenen Zeilen gaben mir nun die Hoffnung die komplette Partition doch noch wiederherstellen zu können.
Die Sektoren in der ersten Zeile (7814033408) ergeben bei einer Sektorgröße von 512Byte nahezu die 4TB bei einer Umrechnung mit 1000.

7814033408*512/1000/1000/1000/1000 = 4.0007851049 TB

Erwartungsvoll also continue ausgewählt und nun schau ich doof aus der Wäsche denn testdisk lieferte mir dies:

TestDisk 6.13, Data Recovery Utility, November 2011
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org

Disk /dev/sdb - 1801 GB / 1678 GiB - CHS 3519069873 1 1
Partition Start End Size in sectors
>P HFS 148828037 149876614 1048578
P HFS 149876611 150925188 1048578
P HFS 323657880 2104842827 1781184948 [D܄cQM--M-> ~?m3M-&\M-
P HFS 367678500 1018125989 650447490
P HFS 521993263 1860501440 1338508178 [~?]
P HFS 643364227 2624348932 1980984706
P HFS 738683575 2115640150 1376956576 [(= ]
P HFS 1018125986 1668573475 650447490
P HFS 1038616496 1600282433 561665938 [^A~PM-hHM-idvM-0aM-&P
P HFS 1100970301 1101003070 32770
P HFS 1101003067 1101035836 32770
P HFS 1138735057 1138767826 32770
P HFS 1138767823 1138800592 32770
P HFS 1483452968 2101512041 618059074 K`~F~JM-`>^Z0~Q~C~G^A
P HFS 1600282430 2161948367 561665938 [^A~PM-hHM-idvM-0aM-&P
P Sys=0C 1769584297 2496076055 726491759
P HFS 1860501437 3199009614 1338508178 [~?]
P NTFS 2016418787 2016424960 6174
P NTFS 2016424960 2016431133 6174 [Boot]
P FAT12 2017140580 2017143459 2880 [EFISECTOR]
P FAT12 2017143460 2017146339 2880 [EFISECTOR]
P HFS 2042423215 2087023160 44599946
P HFS 2087023157 2131623102 44599946
P HFS 2101512038 2719571111 618059074 K`~F~JM-`>^Z0~Q~C~G^A
P HFS 2115640147 3492596722 1376956576 [(= ]
P HFS 2617184127 2617185676 1550 [^A^B\^A]
P HFS 2617185673 2617187222 1550 [^A^B\^A]
P CramFS 2632023299 2639571911 7548613 [Q~_v|6M-8'M-9~OV M->s
P HFS 2992990081 3075382136 82392056 [~J۾M-C^D@ LM-GۑV~XT^N
P HFS 3075382133 3157774188 82392056 [~J۾M-C^D@ LM-GۑV~XT^N
P FreeBSD 4448854361 41942878 36028792612052486

Structure: Ok.


Keys T: change type,
Enter: to continuemint@mint ~/Desktop $
HFS found using backup sector!, 536 MB / 512 MiB

Kann mir hier von euch weiterhelfen oder wird das wohl nichts mehr mit der kompletten Wiederherstellung der Partition?

Grüße und besten Dank im Voraus

PS: Ich freu mich über jeden Tipp und jede Anregung.

 

[Madnex]

Hi,

das erste Problem, das du hättest lösen müssen, ist das hier:

Disk /dev/sdb - 1801 GB / 1678 GiB - CHS 3519069873 1 1

The harddisk (1801 GB / 1678 GiB) seems too small! (< 16520268 TB / 15025096 TiB
Check the harddisk size: HD jumpers settings, BIOS detection...

Bevor die Festplatte nicht mit ihrer vollen Kapazität erkannt wird, bringen Wiederherstellungsversuche gar nicht und können sogar größeren Schaden anrichten.

Hast du Testdisk unter Windows oder unter Linux laufen lassen? Ich tippe mal auf Windows.

Es gibt zwei mögliche Erklärungen, weshalb die Festplatte nur mit 1678 GiB erkannt wird.

1. Unter Windows wurde ein zu alter AHCI-Treiber installiert, der Festplatten mit mehr als 2,2 TB noch nicht unterstützt. Auf die Erkennung unter Linux hätte das keinen Einfluss.
2. Der BIOS-Bug eines Gigabyte-Mainboards mit VirtualDualBIOS-"Feature" hat zugeschlagen und die Festplatte (permanent) geschrumpft. Unter Linux hätte das nur einen Einfluss, wenn die eingesetzte Distribution erkannte HPAs beim Booten nicht temporär deaktiviert.

Lösung zu Punkt 1:
Den proprietären AHCI-Treiber des SATA-Controller-Herstellers aktualisieren (besorge dir den Treiber direkt von der Webseite des Chip-Herstellers) oder auf den Standard-AHCI-Treiber von Microsoft wechseln.

Lösung zu Punkt 2:
Im BIOS des Gigabyte Mainboards prüfen, ob es unter "Advanced BIOS Features" eine Option namens "Backup BIOS Image to HDD" gibt. Diese muss auf "Disabled" gestellt werden. Gibt es diese Option nicht, prüfe, ob ein neueres BIOS-Update zur Verfügung steht, das diese Option nachliefert (einige ältere Mainboards von Gigabyte haben diese Option nie erhalten).

Wenn dieses "Feature" im BIOS deaktiviert ist, lässt sich die Host-Protected-Area mit verschiedenen Programmen entfernen. Diese Programme wären beispielsweise das HDDCapacityRestoreTool, HPARemove (beide funktionieren unter Windows) oder HDAT2 (ein DOS-Programm). Unter Linux ist das auch mit hdparm möglich. Wichtig ist, dass die HPA permanent entfernt wird, nicht nur temporär (beides ist möglich).

Wenn einer der beiden Punkte zum Erfolg geführt hat und die Platte wieder mit voller Kapazität erkannt wird, kann jetzt erst mit der Datenrettung begonnen werden. Ab diesem Punkt müssen dir andere weiterhelfen.

 

[benba]

Hi,

das erste Problem, das du hättest lösen müssen, ist das hier:

Bevor die Festplatte nicht mit ihrer vollen Kapazität erkannt wird, bringen Wiederherstellungsversuche gar nicht und können sogar größeren Schaden anrichten.

Hast du Testdisk unter Windows oder unter Linux laufen lassen? Ich tippe mal auf Windows.

Testdisk lief unter Linux Mint (Live DVD) und

Der BIOS-Bug eines Gigabyte-Mainboards

das Board ist ein MSI (Medion MD8800 PC, Handbuch unter http://217.110.237.70/Manuals/7204-engl-MS-7204-MedionMD8800.pdf).

Was mich stutzig gemacht hat war halt, dass Testdisk die NTFS Partition mit voller Größe erkannt hatte nach der deeper search.

NTFS found using backup sector!, 4000 GB / 3726 GiB

Danke an dieser Stelle für die ausführlichen Erklärungen. Ich werde mich da noch einmal schlau machen und sofern ich Testdisk dazu gebracht habe die volle Kapazität zu erkennen wieder melden.

 

[Madnex]

Es kann schon reichen, wenn die Platte irgendwann mal an einem Gigabyte Mainboard angeschlossen war. Wie bereits erwähnt, die Schrumpfung ist permanent, also unabhängig vom System. Da sich vor allem Windows (bei Linux bin ich mir nicht ganz sicher) auf die Kapazitätsangaben in den Verwaltungs-/Meta-Daten auf der Platte verlässt und den tatsächlich zur Verfügung stehenden Speicherplatz nicht prüft, fällt das in der Regel erst dann auf, wenn es zu spät ist.

Allerdings deaktivieren die meisten Linux Distributionen HPAs beim Booten temporär, sodass die Kapazität der Festplatte unter Linux voll erkannt werden müsste. Außer bei Mint ist das anders.

Was mich stutzig gemacht hat war halt, dass Testdisk die NTFS Partition mit voller Größe erkannt hatte nach der deeper search.

Testdisk zeigt doch nur die gefundenen Partitionen an. Und wenn in den Meta-Daten steht, dass diese rund 4 TB groß ist, dann wird das so angezeigt.

/Edit
Windows ist auf diesem System wieder bootfähig, oder? Schau doch mal mit welcher Kapazität die 4 TB Platte in der Datenträgerverwaltung erkannt wird und was Testdisk unter Windows anzeigt.

In welchem Modus läuft der SATA-Controller? IDE, AHCI oder RAID?