cgsecurity.org

TestDisk & PhotoRec forum
https://forum.cgsecurity.org/phpBB3/

Dateisystem einer externen USB-Festplatte ist plötzlich "RAW"

https://forum.cgsecurity.org/phpBB3/viewtopic.php?t=10441

Page 1 of 1

Dateisystem einer externen USB-Festplatte ist plötzlich "RAW"

Posted: 24 Sep 2020, 22:57
by n0tlob
Hallo!

Unter Windows XP und Windows 7 wird mir im Arbeitsplatz eine 3TB große, externe USB-Festplatte plötzlich nur noch als "Lokaler Datenträger" angezeigt und das Dateisystem ist auf einmal "RAW".

Möchte ich auf diese Platte zugreifen, wird mir die Meldung "Auf (Laufwerksbuchstabe) kann nicht zugegriffen werden. Die Datei oder das Verzeichnis ist beschädigt und nicht lesbar." angezeigt.

In den Eigenschaften dieses Datenträgers werden keine Angaben mehr zum belegten und freien Speicher gemacht.

Ein Zugriff per Checkdisk und diversen Checkdiskvarianten ist nicht möglich, hier lautet die Meldung "Der Typ des Dateisystems ist NTFS. Version und Status des Volumes konnten nicht festgestellt werden. CHKDSK wurde abgebrochen."

Die Platte ist in einem guten technischen Zustand. Sie hat derzeit lediglich 15 schlechte Sektoren und der Wert für "Ultra ATA CRC Error" bzw. "Interface CRC Error Count" ist "10". Ein SMART-Schnelltest beanstandet nichts und sie gibt keine verdächtigen Geräusche von sich.

In der Ereignisanzeige sind ein paar Wochen vorher im Protokoll "System" mehrfach folgende Meldungen eingetragen worden:

"Der Treiber hat einen Controllerfehler auf \Device\Harddisk6\D gefunden."
"Bei einem Auslagerungsvorgang wurde ein Fehler festgestellt. Betroffen ist Gerät \Device\Harddisk6\D."
"Die Daten konnten nicht in das Transaktionsprotokoll verschoben werden. Möglicherweise sind die Daten beschädigt."

Ich kann per "MiniTool Partition Wizard", "Recuva" und "TestDisk" auf die Daten zugreifen und selbige scheinen vollständig vorhanden zu sein.

Da ich bereits ein anderes, als fuktionierend bekanntes USB-Kabel und auch eine andere USB-Buchse verwendet habe, kann ich das als Fehlerursache auch auschließen.

Die wahrscheinlichste Ursache ist meiner Einschätzung nach, dass sich die Festplatte nach wiederholten Zugriffen auf einen schlechten Sektor, des Öfteren abrupt selbst entfernt hat.

Ich wende TestDisk wie folgt an:

1.) Festplatte auswählen (die Größe wird korrekt angezeigt)
2.) Intel als Partitionstyp auswählen
3.) Analyse
4.) Quick Search
5.) Partition auswählen
6.) Write
7.) mit "Y" bestätigen
8.) Neustart

Man hört, dass etwa eine Sekunde lang auf den Datenträger zugegriffen wird, nach einem Neustart ist das Problem aber leider nicht behoben. Mich machen hier die TestDisk-Warnmeldungen bezüglich der Festplattengeometrie stutzig, die angezeigt werden, nachdem "Analyse" ausgewählt wird:

Warning: number of heads/cylinder mismatches 1 (NTFS) != 255 (HD)
Warning: number of sectors per track mismatches 1 (NTFS) != 63 (HD)

Also dass die Anzahl der Köpfe/Zylinder nicht 255 Stck. und die Anzahl der Sektoren pro Spur nicht 63 Stck. sei.

Und Außerdem:

Correct disk geometry is required for a successful recovery. "Analyse" process may give some warnings if it thinks the logical geometry is mismatched.

TestDisk1.jpg
TestDisk1.jpg (108.14 KiB) Viewed 42403 times

TestDisk zeigt allerdings die korrekte Plattengröße an. Trage ich per "Geometry" abweichende Werte für "Cylinders", "Heads" und "Sectors" ein, die mir verschiedene andere Programm liefern, wird mir entweder eine viel zu kleine oder eine viel zu große Festplattengröße angezeigt.

Hier muss ich anmerken, dass auf der Platte eine 3TB große Partition mit einer logischen bzw. emulierten Sektorengröße von 512 Bytes und einer physischen Sektorengröße von 4096 Bytes (4K) angelegt ist (was "Advanced Format", "512e", bzw. "512-byte Emulation" entspricht, die Smartmontools geben "512 bytes logical, 4096 bytes physical" aus), ich auf diese lesend und schreibend per Windows XP zugreife und auf der auch schon seit längerer Zeit deutlich mehr als 2TB beschrieben sind, was laut Microsoft-Knowledgebase von XP gar nicht unterstützt wird, diesbezüglich aber noch nie Problemen aufgetreten sind.

Das Neuschreiben der NTFS-Partitions-ID per "Diskpart" hat leider nichts gebracht.

Die Funktion "Partition Recovery" des Programms "MiniTool Partition Wizard" leider auch nichts.

Verschiedenes ausprobieren mit dmesg, dumpe2fs, fdisk, fsck, gpart, GParted und mount per KNOPPIX leider auch nichts. (Hier gab es die Meldungen "invalid superblock" und "bad magic number".)

Was ich noch nicht ausprobiert habe ist, den MBR neu zu schreiben (TestDisk sagt, dass dieser und die Kopie OK und identisch seien) und zu versuchen, das Dateisystem per "convert g: /fs:ntfs" oder Diskpart zu konvertieren. Bei letzterer Option befürchte ich, alles schlimmer zu machen.

TestDisk2.jpg
TestDisk2.jpg (134.4 KiB) Viewed 42403 times

Meine Fragen sind nun:

* Warum führt die Anwendung von TestDisk hier nicht zum gewünschten Ergebnis?

* Liegt es eventuell tatsächlich daran, dass die Werte für die "Köpfe/Zylinder" und die Anzahl der "Sektoren pro Spur" nicht korrekt sind?

* Mache ich irgendetwas anderes falsch?

* Gibt es noch andere Wege oder Möglichkeiten um wieder auf herkömmliche Weise auf das Laufwerk zugreifen zu können ohne alles löschen zu müssen?

Ich hoffe, dass ich nichts vergessen habe.

Vielen Dank im voraus!

Re: Dateisystem einer externen USB-Festplatte ist plötzlich "RAW"

Posted: 26 Sep 2020, 07:11
by recuperation
n0tlob wrote: 24 Sep 2020, 22:57 Hallo!

Unter Windows XP und Windows 7 wird mir im Arbeitsplatz eine 3TB große, externe USB-Festplatte plötzlich nur noch als "Lokaler Datenträger" angezeigt und das Dateisystem ist auf einmal "RAW".
Windows XP in der gebräuchlichen 32-Bit-Variante unterstützt nur das MBR-Format. Bei emulierten Sektoren mit 512 Byte Länge ließen sich von dieser Festplatte nur 2TB nutzen. Die 64-Bit-Version soll auch größere Platten mit 512 Byte Sektorgröße unterstützen. Wenn in der Vergangengenheit mehr als 2TB genutzt werden konnten, dann muss die Festplatte mit dem GPT-Schema partitioniert worden sein. Dieses Schema enthält einen Schutz-MBR, der einem nicht GPT-kompatiblen Betriebssystem suggeriert, dass die Festplatte schon voll ist.

Möchte ich auf diese Platte zugreifen, wird mir die Meldung "Auf (Laufwerksbuchstabe) kann nicht zugegriffen werden. Die Datei oder das Verzeichnis ist beschädigt und nicht lesbar." angezeigt.

In den Eigenschaften dieses Datenträgers werden keine Angaben mehr zum belegten und freien Speicher gemacht.

Ein Zugriff per Checkdisk und diversen Checkdiskvarianten ist nicht möglich, hier lautet die Meldung "Der Typ des Dateisystems ist NTFS. Version und Status des Volumes konnten nicht festgestellt werden. CHKDSK wurde abgebrochen."

Die Platte ist in einem guten technischen Zustand. Sie hat derzeit lediglich 15 schlechte Sektoren und der Wert für "Ultra ATA CRC Error" bzw. "Interface CRC Error Count" ist "10".
15 hängende oder ersetzte Sektoren dokumentieren einen Schaden - gut ist das in meiner Sichtweise keineswegs.


Ein SMART-Schnelltest beanstandet nichts und sie gibt keine verdächtigen Geräusche von sich.
Ein kommentierender Schnelltest hätte dazu ein paar Worte verlieren müssen.

In der Ereignisanzeige sind ein paar Wochen vorher im Protokoll "System" mehrfach folgende Meldungen eingetragen worden:

"Der Treiber hat einen Controllerfehler auf \Device\Harddisk6\D gefunden."
"Bei einem Auslagerungsvorgang wurde ein Fehler festgestellt. Betroffen ist Gerät \Device\Harddisk6\D."
"Die Daten konnten nicht in das Transaktionsprotokoll verschoben werden. Möglicherweise sind die Daten beschädigt."

Ich kann per "MiniTool Partition Wizard", "Recuva" und "TestDisk" auf die Daten zugreifen und selbige scheinen vollständig vorhanden zu sein.

Da ich bereits ein anderes, als fuktionierend bekanntes USB-Kabel und auch eine andere USB-Buchse verwendet habe, kann ich das als Fehlerursache auch auschließen.

Die wahrscheinlichste Ursache ist meiner Einschätzung nach, dass sich die Festplatte nach wiederholten Zugriffen auf einen schlechten Sektor, des Öfteren abrupt selbst entfernt hat.

Ich wende TestDisk wie folgt an:

1.) Festplatte auswählen (die Größe wird korrekt angezeigt)
2.) Intel als Partitionstyp auswählen
3.) Analyse
4.) Quick Search
5.) Partition auswählen
6.) Write
7.) mit "Y" bestätigen
8.) Neustart

Man hört, dass etwa eine Sekunde lang auf den Datenträger zugegriffen wird, nach einem Neustart ist das Problem aber leider nicht behoben. Mich machen hier die TestDisk-Warnmeldungen bezüglich der Festplattengeometrie stutzig, die angezeigt werden, nachdem "Analyse" ausgewählt wird:

Warning: number of heads/cylinder mismatches 1 (NTFS) != 255 (HD)
Warning: number of sectors per track mismatches 1 (NTFS) != 63 (HD)

Also dass die Anzahl der Köpfe/Zylinder nicht 255 Stck. und die Anzahl der Sektoren pro Spur nicht 63 Stck. sei.

Und Außerdem:

Correct disk geometry is required for a successful recovery. "Analyse" process may give some warnings if it thinks the logical geometry is mismatched.


TestDisk1.jpg


TestDisk zeigt allerdings die korrekte Plattengröße an. Trage ich per "Geometry" abweichende Werte für "Cylinders", "Heads" und "Sectors" ein, die mir verschiedene andere Programm liefern, wird mir entweder eine viel zu kleine oder eine viel zu große Festplattengröße angezeigt.

Hier muss ich anmerken, dass auf der Platte eine 3TB große Partition mit einer logischen bzw. emulierten Sektorengröße von 512 Bytes und einer physischen Sektorengröße von 4096 Bytes (4K) angelegt ist (was "Advanced Format", "512e", bzw. "512-byte Emulation" entspricht, die Smartmontools geben "512 bytes logical, 4096 bytes physical" aus), ich auf diese lesend und schreibend per Windows XP zugreife und auf der auch schon seit längerer Zeit deutlich mehr als 2TB beschrieben sind, was laut Microsoft-Knowledgebase von XP gar nicht unterstützt wird, diesbezüglich aber noch nie Problemen aufgetreten sind.
Eine 2TB-Partition auf einer Festplatte mit einer Größe von 3TB funktioniert bei mir auch.
Das Neuschreiben der NTFS-Partitions-ID per "Diskpart" hat leider nichts gebracht.

Die Funktion "Partition Recovery" des Programms "MiniTool Partition Wizard" leider auch nichts.

Verschiedenes ausprobieren mit dmesg, dumpe2fs, fdisk, fsck, gpart, GParted und mount per KNOPPIX leider auch nichts. (Hier gab es die Meldungen "invalid superblock" und "bad magic number".)

Was ich noch nicht ausprobiert habe ist, den MBR neu zu schreiben (TestDisk sagt, dass dieser und die Kopie OK und identisch seien) und zu versuchen, das Dateisystem per "convert g: /fs:ntfs" oder Diskpart zu konvertieren. Bei letzterer Option befürchte ich, alles schlimmer zu machen.


TestDisk2.jpg


Meine Fragen sind nun:

* Warum führt die Anwendung von TestDisk hier nicht zum gewünschten Ergebnis?

* Liegt es eventuell tatsächlich daran, dass die Werte für die "Köpfe/Zylinder" und die Anzahl der "Sektoren pro Spur" nicht korrekt sind?

* Mache ich irgendetwas anderes falsch?

* Gibt es noch andere Wege oder Möglichkeiten um wieder auf herkömmliche Weise auf das Laufwerk zugreifen zu können ohne alles löschen zu müssen?

Ich hoffe, dass ich nichts vergessen habe.

Vielen Dank im voraus!
Wie wurde die Festplatte denn partitioniert?
Mit MBR und maximal 2TB oder mit GPT?

Es ist empfehlenswert, das Zusammenspiel von Hardware und Betriebssystem bei Festplatten mit einer Größe oberhalb von 2TB mit Hilfe von h2testw durchzutesten.
Ist h2testw erfolgreich, kann man davon ausgehen, dass diese Konfiguration funktioniert - an einem anderen Rechner kann es anders sein.

Es fehlt die Information, wie die Festplatte genau partitioniert wurde. Bitte auch die Logdatei von Testdisk veröffentlichen.

Re: Dateisystem einer externen USB-Festplatte ist plötzlich "RAW"

Posted: 30 Sep 2020, 01:17
by n0tlob
Hallo, vielen Dank für die Antwort!
Windows XP in der gebräuchlichen 32-Bit-Variante unterstützt nur das MBR-Format. Bei emulierten Sektoren mit 512 Byte Länge ließen sich von dieser Festplatte nur 2TB nutzen. Die 64-Bit-Version soll auch größere Platten mit 512 Byte Sektorgröße unterstützen. Wenn in der Vergangengenheit mehr als 2TB genutzt werden konnten, dann muss die Festplatte mit dem GPT-Schema partitioniert worden sein. Dieses Schema enthält einen Schutz-MBR, der einem nicht GPT-kompatiblen Betriebssystem suggeriert, dass die Festplatte schon voll ist.
Wie wurde die Festplatte denn partitioniert? Mit MBR und maximal 2TB oder mit GPT?
Laut "MiniTool Partition Wizard" ist der Datenträger mit MBR eingerichtet (inklusive der Option, den MBR neu erstellen und die Platte von MBR zu GPT konvertieren zu können) und es ist lediglich eine Partition mit rund 3TB Größe angelegt.

Mir ist bewusst, dass auf einem mit MBR eingerichteten Datenträger, unter der von mir verwendeten 32-Bit-Version von XP, eigentlich (jedenfalls pro Partition) nur etwa 2TB zur Verfügung gestellt, bzw. adressiert werden können. Allerdings funktioniert es in meinem Fall, bzw. generell mit einigen voreingerichteten externen Western-Digital-Platten, trotzdem, Partitionen größer als 2TB zu nutzen!

Wahrscheinlich wegen speziellen Laufwerkscontrollern, die von WD bei manchen Modellen ihrer externen Festplatten auf den innerhalb des Gehäuses eingesetzten, handelsüblichen S-ATA-Platten verbaut sind, welche, bei einer tatsächlichen Sektorengröße von 4096 Bytes, nach außen eine Sektorengröße von 512 Bytes vortäuschen, also "512e" bzw. "512-byte Emulation". Die Smartmontools bestätigen, dass die Sektorengrößen bei dieser Platte "512 bytes logical, 4096 bytes physical" seien.

Smartmontools.jpg
Smartmontools.jpg (137.18 KiB) Viewed 42241 times

Microsoft schließt auf dieser Seite https://docs.microsoft.com/en-us/window ... ity-update interessanterweise auch nicht explizit aus, dass "512e" mit XP funktioneren kann, sondern rät nur dringend davon ab:

"While not stressed in the preceding table, Windows XP, Windows Server 2003, and Windows Server 2003 R2 do not support 512e or 4Kn media. While the system may boot up and be able to operate minimally, there may be unknown scenarios of functionality issues, data loss, or sub-optimal performance. Thus, Microsoft strongly cautions against using 512e media with Windows XP or other products based on the Windows XP codebase."

Die Platte (WD My Book Essential, 3TB) war von Werk aus komplett (und lediglich mit einer Partition) eingerichtet, wurde unter XP nach dem Anschliessen ganz normal erkannt und konnte sofort, ohne weitere Aktionen, als 3TB-Platte genutzt werden. Es wurden bereits deutlich mehr als 2TB beschrieben (es sind z.Zt. etwa 90% belegt) und auf diese Daten kann auch ohne Probleme zugegriffen werden.

Sh. z.B. hier die Screenshots aus "MiniTool Partition Wizard":

pw12.jpg
pw12.jpg (144.88 KiB) Viewed 42254 times
pw34.jpg
pw34.jpg (147.8 KiB) Viewed 42254 times

Bei einer internen 3TB-Festplatte musste ich z.B. zwingend zwei Partitionen anlegen und eine mit GPT eingerichtete externe 4TB-Festplatte wird nur unter Windows 7 erkannt und unter XP gar nicht.

Ich habe die Platte mal aus dem Gehäuse genommen und ohne den draufmontierten Zwischencontroller an den Computer angeschlossen. Sie wurde weder unter XP noch unter Windows 7 im Explorer angezeigt. Wenn ich unter Windows 7 in TestDisk bei dieser Platte als Partitionstyp "Intel" auswähle, wird mir "Partition doesn't have the endmark 0xAA55" gemeldet, wenn ich den vorgeschlagenen Partitionstyp "EFI GPT" auswähle, heißt es "Bad GPT partition, invalid signature". In beiden Fällen werden keine Partitionen gefunden. Aber das nur am Rande.

Wie und warum auch immer, zumindest manche externe USB-Festplatten, die von Werk aus mit "512-byte Emulation" eingerichtet sind und eventuell eine Art zusätzlichen und speziellen Controller zwischengeschaltet bekommen haben, scheinen in dieser Hinsicht unter XP eine Ausnahme zu bilden und reibungslos zu funktionieren.

Hier berichten z.B. auch andere davon, dass diese Kombination bei ihnen, auf wundersame Art und Weise, einwandfrei funktioniert, ohne es sich eindeutig erklären zu können:

https://msfn.org/board/topic/158361-2ti ... -of-course
https://social.technet.microsoft.com/Fo ... =itproxpsp
https://community.wd.com/t/exceeding-2t ... tions/2219
15 hängende oder ersetzte Sektoren dokumentieren einen Schaden - gut ist das in meiner Sichtweise keineswegs.
15 schlechte Sektoren sind keineswegs gut, das stimmt definitiv. Ich wollte damit eigentlich auch nur sagen, dass das (jedenfalls dem Anschein nach) eher nicht die Ursache des Problems sein dürfte.
Bitte auch die Logdatei von Testdisk veröffentlichen.
Hier die Logdatei, die ich unter Windows 7 habe erstellen lassen. Es wurden genau folgende Aktionen ausgeführt:

Programmstart, Create, entsprechende Platte ausgewählt, Proceed, Intel, Analyse, Quick Search, Enter, Write, Y, Ok, Programmende

Code: Select all

Mon Sep 28 23:14:01 2020
Command line: TestDisk

TestDisk 7.2-WIP, Data Recovery Utility, August 2020
Christophe GRENIER <grenier@cgsecurity.org>
https://www.cgsecurity.org
OS: Windows 7 (7601) SP1
Compiler: GCC 9.3, Cygwin32 3001.4
ext2fs lib: 1.45.3, ntfs lib: 10:0:0, reiserfs lib: none, ewf lib: 20140608, curses lib: ncurses 6.1
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sda)=80026361856
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdb)=1000203837440
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdc)=2199023251456
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdd)=801568681984
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sde)=7745830400
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdf)=3000558944256
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=80026361856
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=1000203837440
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive2)=2199023251456
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive3)=801568681984
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive4)=7745830400
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive5)=3000558944256
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C:)=50980253184
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\D:)=29043431424
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\E:)=801553503744
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\F:)=2199012125184
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\G:)=3000557895680
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\H:)=343931825664
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\I:)=2048
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\L:)=7745830400
Hard disk list
Disk /dev/sda - 80 GB / 74 GiB - CHS 9729 255 63, sector size=512 - WDC WD800AAJS-00WAA0, S/N:2020202057202d44435753413732373330303034, FW:58.01D58
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512 - DC-4300 Mirror Set 0, FW:2.04
Disk /dev/sdc - 2199 GB / 2047 GiB - CHS 267349 255 63, sector size=512 - DC-4300 Mirror Set 1, FW:2.04
Disk /dev/sdd - 801 GB / 746 GiB - CHS 97451 255 63, sector size=512 - Extended Mirror Set 1, FW:2.04
Disk /dev/sde - 7745 MB / 7386 MiB - CHS 941 255 63, sector size=512 - Verbatim STORE N GO, S/N:C94303014, FW:5.00
Disk /dev/sdf - 3000 GB / 2794 GiB - CHS 45599 255 63, sector size=4096 - WD My Book 1140, S/N:WCAWZ1291835, FW:1007
Disk \\.\PhysicalDrive5 - 3000 GB / 2794 GiB - CHS 45599 255 63, sector size=4096 - WD My Book 1140, S/N:WCAWZ1291835, FW:1007
Drive G: - 3000 GB / 2794 GiB - CHS 45599 255 63, sector size=4096 - WD My Book 1140, S/N:WCAWZ1291835, FW:1007
Drive I: - 2048 B - CHS 1 64 32, sector size=2048 - HL-DT-ST BD-RE  BH16NS55, FW:1.03

Partition table type (auto): Intel
Disk /dev/sdf - 3000 GB / 2794 GiB - WD My Book 1140
Partition table type: Intel

Analyse Disk /dev/sdf - 3000 GB / 2794 GiB - CHS 45599 255 63
Geometry from i386 MBR: head=255 sector=63
NTFS at 0/4/5
heads/cylinder 1 (NTFS) != 255 (HD)
sect/track 1 (NTFS) != 63 (HD)
Current partition structure:
Warning: number of heads/cylinder mismatches 1 (NTFS) != 255 (HD)
Warning: number of sectors per track mismatches 1 (NTFS) != 63 (HD)
 1 * HPFS - NTFS              0   4  5 45599 165  6  732558080

search_part()
Disk /dev/sdf - 3000 GB / 2794 GiB - CHS 45599 255 63
NTFS at 0/4/5
heads/cylinder 1 (NTFS) != 255 (HD)
sect/track 1 (NTFS) != 63 (HD)
filesystem size           732558080
sectors_per_cluster       1
mft_lcn                   786432
mftmirr_lcn               366279039
clusters_per_mft_record   1
clusters_per_index_record 1
     HPFS - NTFS              0   4  5 45599 165  6  732558080
     NTFS, blocksize=4096, 3000 GB / 2794 GiB
file_pread(9,1,buffer,732558336(45599/165/7)) ReadFile Das Laufwerk kann den angeforderten Sektor nicht finden.

file_pread(9,1,buffer,732558337(45599/165/8)) lseek err Invalid argument
file_pread(9,1,buffer,732558338(45599/165/9)) lseek err Invalid argument
file_pread(9,2,buffer,732558343(45599/165/14)) lseek err Invalid argument
file_pread(9,2,buffer,732558345(45599/165/16)) lseek err Invalid argument
file_pread(9,3,buffer,732558351(45599/165/22)) lseek err Invalid argument
file_pread(9,1,buffer,732558592(45599/169/11)) lseek err Invalid argument

Results
   * HPFS - NTFS              0   4  5 45599 165  6  732558080
     NTFS, blocksize=4096, 3000 GB / 2794 GiB

interface_write()
 1 * HPFS - NTFS              0   4  5 45599 165  6  732558080
write!

write_mbr_i386: starting...
write_all_log_i386: starting...
No extended partition
You will have to reboot for the change to take effect.

TestDisk exited normally.
Vielen Dank im voraus für jede weitere Hilfe!

Re: Dateisystem einer externen USB-Festplatte ist plötzlich "RAW"

Posted: 30 Sep 2020, 13:36
by recuperation
n0tlob wrote: 30 Sep 2020, 01:17 Ich habe die Platte mal aus dem Gehäuse genommen und ohne den draufmontierten Zwischencontroller an den Computer angeschlossen.
Das kann nicht funktionieren.

Der Screenshot verrät, was passiert:
Image

Die verbaute Festplatte WD30EZRX mutiert im externen Gehäuse zum "WD My Book 1140".

Auf der nackte Platte könnte man mit ihrer emulierten Sektorgröße von 512 Byte mit dem MBR-Schema nur maximal Partitionen von 2TB Größe beschreiben.
Das Gehäuse, bzw. der "Zwischencontroller" zeigt nach außen aber eine Sektorgröße von 4096 Byte.
Bei dieser Größe könnte das MBR-Schema theoretisch Partitionen mit maximal 16TB beschreiben.

Bitte einfach mal smartmontools auf die WD30EZRX im externen Gehäuse anwenden, eventuell den -d-Parameter verwenden um zu gucken, was da so zur Sektorgröße steht. Bitte gleich auch den a-Parameter verwenden, dann gibt es den Komplettstatus gleich mit dazu.

Wegen der defekten Sektoren ist es sinnvoll, die Festplatte mit ddrescue zu duplizieren.
Das ist allerdings etwas trickreich.
Ich hatte diesen Sektorsalat nur einmal bei mir selber bei einer Samsung S1 mit einer physikalischen und logischen Sektorgröße von 1024 Byte.
Das Duplikat war unlesbar, ich musste manuell den MBR verändern.

Um das zu vermeiden, empfehle ich folgenden Weg:
Die WD30EZRX außerhalb des WD-Book-Gehäuses auf eine weitere WD30EZ3X clonen und dann das Duplikat in das Book-Gehäuse einsetzen.
Alternativ die WD30EZRX im Book-Gehäuse auf auf eine ausreichend große andere Festplatte mit nativer Sektorgröße von 4096 Byte clonen.
Das heißt, die Sektorgröße beträgt physikalisch (nach innen) 4096 Byte und wird auch nach außen mit 4096 gezeigt.

Solche Festplatten mit einer logischen und physikalischen Sektorgröße von 4096 sind leider viel teurer als die mit 512e (emuliert 512 Byte nach außen, obwohl innen 4096 Byte).

Nach dem Duplizieren mit Testdisk analysieren, bzw. "Deep Search" starten.

Die obige Erklärung von mir befindet sich auch in den verlinkten Beiträgen.

Re: Dateisystem einer externen USB-Festplatte ist plötzlich "RAW"

Posted: 09 Oct 2020, 22:24
by n0tlob
Hallo, vielen Dank für die Antwort!
Bitte einfach mal smartmontools auf die WD30EZRX im externen Gehäuse anwenden, eventuell den -d-Parameter verwenden um zu gucken, was da so zur Sektorgröße steht. Bitte gleich auch den a-Parameter verwenden, dann gibt es den Komplettstatus gleich mit dazu.
Sowohl mit Gehäuse und "Zwischencontroller", als auch ohne die beiden Teile, also direkt an einen Onboard-SATA-Anschluß angeschloßen, berichten die Smartmontools (unter XP und Windows 7) dass die Sektorengrößen "512 bytes logical, 4096 bytes physical" seien.

Der folgende Screenshot entstand mit Gehäuse/Zwischencontroller unter XP.

Smartmontools2.jpg
Smartmontools2.jpg (137.13 KiB) Viewed 42037 times

Hier die ausführliche Ausgabe von "smartctl -a sde".

Code: Select all

smartctl 7.1 2019-12-30 r5022 [i686-w64-mingw32-win7-sp1] (sf-7.1-1)
Copyright (C) 2002-19, Bruce Allen, Christian Franke, www.smartmontools.org

=== START OF INFORMATION SECTION ===
Model Family:     Western Digital Green
Device Model:     WDC WD30EZRX-00MMMB0
Serial Number:    xxxxxxxxxxxxxxx
LU WWN Device Id: 5 0014ee 2b0e5622a
Firmware Version: 80.00A80
User Capacity:    3.000.592.982.016 bytes [3,00 TB]
Sector Sizes:     512 bytes logical, 4096 bytes physical
Device is:        In smartctl database [for details use: -P show]
ATA Version is:   ATA8-ACS (minor revision not indicated)
SATA Version is:  SATA 3.0, 6.0 Gb/s (current: 3.0 Gb/s)
Local Time is:    Sun Oct 04 23:54:31 2020 MS
SMART support is: Available - device has SMART capability.
SMART support is: Enabled

=== START OF READ SMART DATA SECTION ===
SMART Status not supported: Incomplete response, ATA output registers missing
SMART overall-health self-assessment test result: PASSED
Warning: This result is based on an Attribute check.

General SMART Values:
Offline data collection status:  (0x82)	Offline data collection activity
					was completed without error.
					Auto Offline Data Collection: Enabled.
Self-test execution status:      ( 121)	The previous self-test completed having
					the read element of the test failed.
Total time to complete Offline
data collection: 		(49680) seconds.
Offline data collection
capabilities: 			 (0x7b) SMART execute Offline immediate.
					Auto Offline data collection on/off support.
					Suspend Offline collection upon new
					command.
					Offline surface scan supported.
					Self-test supported.
					Conveyance Self-test supported.
					Selective Self-test supported.
SMART capabilities:            (0x0003)	Saves SMART data before entering
					power-saving mode.
					Supports SMART auto save timer.
Error logging capability:        (0x01)	Error logging supported.
					General Purpose Logging supported.
Short self-test routine
recommended polling time: 	 (   2) minutes.
Extended self-test routine
recommended polling time: 	 ( 477) minutes.
Conveyance self-test routine
recommended polling time: 	 (   5) minutes.
SCT capabilities: 	       (0x3035)	SCT Status supported.
					SCT Feature Control supported.
					SCT Data Table supported.

SMART Attributes Data Structure revision number: 16
Vendor Specific SMART Attributes with Thresholds:
ID# ATTRIBUTE_NAME          FLAG     VALUE WORST THRESH TYPE      UPDATED  WHEN_FAILED RAW_VALUE
  1 Raw_Read_Error_Rate     0x002f   200   200   051    Pre-fail  Always       -       0
  3 Spin_Up_Time            0x0027   152   142   021    Pre-fail  Always       -       9400
  4 Start_Stop_Count        0x0032   095   095   000    Old_age   Always       -       5740
  5 Reallocated_Sector_Ct   0x0033   200   200   140    Pre-fail  Always       -       0
  7 Seek_Error_Rate         0x002e   100   253   000    Old_age   Always       -       0
  9 Power_On_Hours          0x0032   092   092   000    Old_age   Always       -       6551
 10 Spin_Retry_Count        0x0032   100   100   000    Old_age   Always       -       0
 11 Calibration_Retry_Count 0x0032   100   100   000    Old_age   Always       -       0
 12 Power_Cycle_Count       0x0032   095   095   000    Old_age   Always       -       5738
192 Power-Off_Retract_Count 0x0032   197   197   000    Old_age   Always       -       2448
193 Load_Cycle_Count        0x0032   183   183   000    Old_age   Always       -       53643
194 Temperature_Celsius     0x0022   114   096   000    Old_age   Always       -       38
196 Reallocated_Event_Count 0x0032   200   200   000    Old_age   Always       -       0
197 Current_Pending_Sector  0x0032   200   200   000    Old_age   Always       -       15
198 Offline_Uncorrectable   0x0030   200   200   000    Old_age   Offline      -       15
199 UDMA_CRC_Error_Count    0x0032   200   200   000    Old_age   Always       -       10
200 Multi_Zone_Error_Rate   0x0008   200   200   000    Old_age   Offline      -       6

SMART Error Log Version: 1
No Errors Logged

SMART Self-test log structure revision number 1
Num  Test_Description    Status                  Remaining  LifeTime(hours)  LBA_of_first_error
# 1  Short offline       Completed: read failure       90%      6551         3952787754
# 2  Conveyance offline  Completed without error       00%      6551         -
# 3  Short offline       Completed: read failure       90%      6548         3952787758
# 4  Short offline       Completed: read failure       90%      6546         3952787752
# 5  Short offline       Completed: read failure       90%      6546         3952787758
# 6  Short offline       Completed: read failure       90%      6545         3952787752
# 7  Short offline       Completed: read failure       90%      6542         3952787758
# 8  Short offline       Completed: read failure       90%      6534         3952787758
# 9  Short offline       Completed: read failure       90%      6534         3952787758
#10  Short offline       Completed: read failure       90%      6534         3952787758
#11  Short offline       Completed: read failure       90%      6534         3952787758
#12  Short offline       Completed: read failure       90%      6531         3952787758
#13  Conveyance offline  Completed: read failure       90%      6531         3952787758
#14  Conveyance offline  Completed: read failure       90%      6531         3952787752
#15  Short offline       Completed without error       00%      6499         -
#16  Short offline       Completed: read failure       90%      6499         3952787758
#17  Short offline       Completed: read failure       90%      6498         3952787758
#18  Short offline       Completed: read failure       90%      6498         3952787758
#19  Short offline       Completed: read failure       90%      4709         3952787758
#20  Short offline       Completed: read failure       90%      4709         3952787752
#21  Short offline       Completed: read failure       90%      2705         239124496

SMART Selective self-test log data structure revision number 1
 SPAN  MIN_LBA  MAX_LBA  CURRENT_TEST_STATUS
    1        0        0  Not_testing
    2        0        0  Not_testing
    3        0        0  Not_testing
    4        0        0  Not_testing
    5        0        0  Not_testing
Selective self-test flags (0x0):
  After scanning selected spans, do NOT read-scan remainder of disk.
If Selective self-test is pending on power-up, resume after 0 minute delay.
Seltsamerweise bekomme ich mittlerweile von TestDisk, nachdem ich die entsprechende Platte auswähle und mit "Analyse" weitermache, nicht mehr die Warnungen angezeigt, dass die Anzahl der erkannten "heads/cylinder" und der "sectors per track" nicht korrekt seien (sh. dazu meinen ersten Beitrag). Das Neuschreiben der Partitionsinformationen und ein anschließender Neustart führen aber leider immer noch nicht zum erwünschten Ergebnis.

Nach wie vor wird in die Logdatei aber folgendes eingetragen:

file_pread(8,1,buffer,732558336(45599/165/7)) ReadFile Das Laufwerk kann den angeforderten Sektor nicht finden.

file_pread(8,1,buffer,732558337(45599/165/8)) lseek err Invalid argument
file_pread(8,1,buffer,732558338(45599/165/9)) lseek err Invalid argument
file_pread(8,2,buffer,732558343(45599/165/14)) lseek err Invalid argument
file_pread(8,2,buffer,732558345(45599/165/16)) lseek err Invalid argument
file_pread(8,3,buffer,732558351(45599/165/22)) lseek err Invalid argument
file_pread(8,1,buffer,732558592(45599/169/11)) lseek err Invalid argument

Die Partition beginnt laut TestDisk bei CHS 0/4/5 und endet bei CHS 45599/165/6. Die Stellen, bei denen es hier zu Lesefehlern kommt, liegen also außerhalb (bzw. hinter) der Datenpartition und haben nichts zu bedeuten?

Oder sind diese Meldungen ein Hinweis darauf, dass TestDisk nicht mit den korrekten Festplattengeometriedaten arbeitet und deshalb die Partitionsinformationen nicht erfolgreich neuschreiben kann?

Schließlich heißt es ja: Correct disk geometry is required for a successful recovery.

Nimmt man nämlich z.B. die LBA-Adresse der ersten Zeile (also 732558336) und multipliziert diese mit 4096 (Sektorgröße in Bytes) kommt man auf 3.000.558.994.256 Bytes also rund 3 TB. Scheint zu stimmen. Wenn die Platte aber aus einer Geometrie von CHS 45599/255/63 besteht, was einer Sektorenanzahl von 732547935 entspricht und man diese Anzahl wieder mit 4096 multipliziert, kommen ebenso rund 3 TB dabei raus (3.000.516.341.760 Bytes um genau zu sein). Laut der ersten Zeile entspricht die LBA-Adresse 732558336 aber einer CHS-Angabe von 45599/165/7 (wohlgemerkt geht die Partition bis Wert CHS 45599/165/6). Dieser CHS-Wert müsste aber doch eigentlich viel höher sein, wenn dieser (bzw. genauer der Wert CHS 45599/165/6) das Ende einer 3-TB-Partition markieren soll, die auf einer 3-TB-Festplatte liegt. Es liegt also angeblich auf einer 3 TB großen Festplatte mit den Geometriedaten CHS 45599/255/63 zwischen CHS 0/4/5 und CHS 45999/165/6 eine Partition von 3 TB Größe. Das geht nach Adam Riese nicht wirklich auf, denn was liegt dann zwischen CHS 45599/165/7 und CHS 45599/255/63? Hier scheint sich TestDisk, warum und wieso auch immer, etwas zu verschlucken, wie es mir scheint. Oder liegt meiner Rechnung ein Denkfehler zugrunde?

Hier nochmal die komplette Logdatei.

Code: Select all

Fri Oct  9 21:09:06 2020
Command line: TestDisk

TestDisk 7.0, Data Recovery Utility, April 2015
Christophe GRENIER <grenier@cgsecurity.org>
http://www.cgsecurity.org
OS: Windows XP SP3
Compiler: GCC 4.8, Cygwin 1007.34
Compilation date: 2015-04-18T13:01:55
ext2fs lib: 1.42.8, ntfs lib: 10:0:0, reiserfs lib: 0.3.1-rc8, ewf lib: 20120504, curses lib: ncurses 5.9
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sda)=80026361856
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdb)=1000203837440
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdc)=2199023251456
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sdd)=801568681984
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(/dev/sde)=3000558944256
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive0)=80026361856
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive1)=1000203837440
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive2)=2199023251456
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive3)=801568681984
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\PhysicalDrive4)=3000558944256
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\C:)=29043431424
filewin32_getfilesize(\\.\D:) GetFileSize err Unzulässige Funktion.

filewin32_setfilepointer(\\.\D:) SetFilePointer err Unzulässige Funktion.

Warning: can't get size for \\.\D:
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\E:)=801553503744
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\F:)=2199012125184
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\G:)=3000557895680
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\H:)=343931825664
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\I:)=2048
disk_get_size_win32 IOCTL_DISK_GET_LENGTH_INFO(\\.\K:)=50980253184
Hard disk list
Disk /dev/sda - 80 GB / 74 GiB - CHS 9729 255 63, sector size=512
Disk /dev/sdb - 1000 GB / 931 GiB - CHS 121601 255 63, sector size=512
Disk /dev/sdc - 2199 GB / 2047 GiB - CHS 267349 255 63, sector size=512
Disk /dev/sdd - 801 GB / 746 GiB - CHS 97451 255 63, sector size=512
Disk /dev/sde - 3000 GB / 2794 GiB - CHS 45599 255 63, sector size=4096
Disk \\.\PhysicalDrive4 - 3000 GB / 2794 GiB - CHS 45599 255 63, sector size=4096
Drive C: - 29 GB / 27 GiB - CHS 3530 255 63, sector size=512
Drive E: - 801 GB / 746 GiB - CHS 97449 255 63, sector size=512
Drive F: - 2199 GB / 2047 GiB - CHS 267347 255 63, sector size=512
Drive G: - 3000 GB / 2794 GiB - CHS 45599 255 63, sector size=4096
Drive H: - 343 GB / 320 GiB - CHS 41813 255 63, sector size=512
Drive I: - 2048 B - CHS 1 64 32, sector size=2048
Drive K: - 50 GB / 47 GiB - CHS 6197 255 63, sector size=512

Partition table type (auto): Intel
Disk /dev/sde - 3000 GB / 2794 GiB
Partition table type: Intel

Analyse Disk /dev/sde - 3000 GB / 2794 GiB - CHS 45599 255 63
Geometry from i386 MBR: head=255 sector=63
NTFS at 0/4/5
Current partition structure:
 1 * HPFS - NTFS              0   4  5 45599 165  6  732558080

search_part()
Disk /dev/sde - 3000 GB / 2794 GiB - CHS 45599 255 63
NTFS at 0/4/5
filesystem size           732558080
sectors_per_cluster       1
mft_lcn                   786432
mftmirr_lcn               366279039
clusters_per_mft_record   1
clusters_per_index_record 1
     HPFS - NTFS              0   4  5 45599 165  6  732558080
     NTFS, blocksize=4096, 3000 GB / 2794 GiB
file_pread(8,1,buffer,732558336(45599/165/7)) ReadFile Das Laufwerk kann den angeforderten Sektor nicht finden.

file_pread(8,1,buffer,732558337(45599/165/8)) lseek err Invalid argument
file_pread(8,1,buffer,732558338(45599/165/9)) lseek err Invalid argument
file_pread(8,2,buffer,732558343(45599/165/14)) lseek err Invalid argument
file_pread(8,2,buffer,732558345(45599/165/16)) lseek err Invalid argument
file_pread(8,3,buffer,732558351(45599/165/22)) lseek err Invalid argument
file_pread(8,1,buffer,732558592(45599/169/11)) lseek err Invalid argument

Results
   * HPFS - NTFS              0   4  5 45599 165  6  732558080
     NTFS, blocksize=4096, 3000 GB / 2794 GiB

interface_write()
 1 * HPFS - NTFS              0   4  5 45599 165  6  732558080
write!

write_mbr_i386: starting...
write_all_log_i386: starting...
No extended partition
You will have to reboot for the change to take effect.

TestDisk exited normally.
Ich gehe nach wie vor davon aus, dass dieses Dilemma zustande kam, weil während einer Datensicherung mehrmals hintereinander auf einen schlechten Sektor zugegriffen wurde und die Platte dadurch gewisse Partitionsinformationen verloren hat und/oder das Dateisystem beschädigt wurde und deswegen nicht mehr auf herkömmmliche Weise auf die auf der Platte enthaltenen Daten zugegegriffen werden kann. Das geben jedenfalls auch die letzten Einträge her, die vor dem Ausfall in das Systemprotokoll der Windows-7-Ereignisanzeige eingetragen wurden (Fehlerhafter Block, Datei beschädigt, Die Dateisystemstruktur auf dem Datenträger ist beschädigt und unbrauchbar, etc.) und schließlich kann ich sämtliche Daten noch mit TestDisk, MiniTool Partition Wizard und Recuva sehen.

TestDisk verspricht ja eigentlich, genau bei einem solchen Fall (fehlende Partitionsinformationen) sehr gut helfen zu können. Die große Frage ist, warum es in meinem Fall trotzdem nicht funktioniert.

Hat es möglicherweise am Ende doch etwas mit der Kombination von Windows XP und einer externen USB-Festplatte größer als 2 TB (welche mit 4K-Sektoren formatiert ist, aber 512-Byte-Sektoren emuliert) zu tun, bei der man nicht ganz glasklar erklären kann, warum das alles trotzdem funktioniert und TestDisk einfach mit dieser Kombination nicht ganz zurechtkommt? Nur habe ich unter Windows 7, welches ja 512-Byte-Emulation (jedenfalls ab SP1, bzw. mit einem speziellen KB-Update) unterstützt, auch keinen Erfolg.

Was kann man hier noch machen, bzw. wo noch ansetzen, um die verlorengegangenen Partitionsinformationen wieder herstellen und auf das Dateisystem wieder auf herkömmliche Weise zugreifen zu können?

Warum funktioniert TestDisk in diesem Fall nicht?

Hier nochmal eine kleine Zusammenfassung der Sachen, die ich schon ausprobiert habe:
  • Versuch der Wiederherstellung der Partition, bzw. Neuschreiben der Partitionsinformationen per TestDisk und MiniTool Partition Wizard
  • per Diskpart und MiniTool Partition Wizard die Partitions-ID erneut auf 0x07 (also NTFS) gesetzt
  • Neuschreiben des MBR per TestDisk und MiniTool Partition Wizard
Vielen Dank im voraus für jede weitere Hilfe!

Re: Dateisystem einer externen USB-Festplatte ist plötzlich "RAW"

Posted: 10 Oct 2020, 11:15
by recuperation
Wenn Testdisk die Daten anzeigt, würde ich die Daten sicherheitshalber mit der Kopierfunktion von Testdisk von der Platte herunterkopieren.

Testdisk reagiert auf den "Zwischenkontroller" wie es sollte, es zeigt eine Sektorgröße von 4096 Byte an, das ist das zu erwartende Ergebnis.
Leider fehlte in der ansonsten sehr guten Beschreibung, wie Windows genau auf die reparierte Festplatte reagiert.
Wird ein Laufwerksbuchstabe angezeigt? Was sagt die Datenträgerverwaltung?

Eventuell fehlt nur noch ein chkdsk-Befehl, aber dessen Arbeit lässt sich nicht rückgängig machen.
Deswegen, aber auch wegen der 15 fehlerhaften Sektoren würde ich die Festplatte mit ddrescue duplizieren.

Wenn die Zielplatte eine gewöhnliche mit Sektorgröße 512e ist, müsste man Testdisk auf dem Ziel nochmal laufen lassen und GPT wählen, weil mit einer Sektorgröße von 512 Byte die vorhandene Partition aufgrund ihrer Länge nicht im MBR-Format adressierbar ist.

Am idiotensichersten wäre es, als Zielplatte eine teure Festplatte mit 4096 Byte Sektorlänge zu verwenden, die nicht emuliert wird, als 4096 Byte logisch und physikalisch, diese würde dasselbe Ergebnis erzielen wie die WD-Festplatte inklusive "Zwischencontroller". Dann wäre bei Testdisk auch MBR als Partitionstyp technisch möglich und diese Festplatte sollte dann auch wie die andere unter XP auslesbar sein.
All times are UTC+01:00
Page 1 of 1

Powered by phpBB® Forum Software © phpBB Limited