BAD CLUSTERS

13. Juni 2014 - Dipl. Ing. Nicolas Ehrschwendner

Wie moderne Festplatte defekte Bereiche managen

Moderne Festplatten verfügen über viele Milliarden Sektoren. Sektoren sind die kleinsten adressierbaren Speichereinheiten von Festplatten, in der Regel 512 Bytes (Zeichen), seit einiger Zeit auch 4096 Bytes. Bedingt durch die Produktion von Festplatten weisen diese bereits bei Auslieferung defekte Bereiche (Bad clusters) auf, sprich ein Teil der Sektoren ist fehlerhaft. Dies stellt jedoch keinen Mangel dar, sondern ist ganz normal.
Nach Abschluss der Produktion einer Festplatte werden alle Sektoren in der Fabrik getestet. Eine Liste aller fehlerhaften Sektoren ‚ab Werk’ wird in der Festplattenfirmware (interner reservierter Speicherplatz der Festplatte für Parameter, Software, etc.) in der sogenannten ‚Primary defect list‘ (PList) gespeichert.

Da jede Festplatte über einen versteckten Reservebereich an Speicherkapazität verfügt, haben trotzdem alle Festplatten einer Serie exakt gleich viele Sektoren. Nur die exakte Größe des freien Reservebereichs ist unterschiedlich.

Jedoch entstehen auch während des Betriebs der Festplatte im Server, PC oder Laptop weitere defekten Sektoren. Muss der Datenträger um einen Sektor auszulesen mehrere Versuche unternehmen (sogenannte Retries), wird dieser – nach hoffentlich erfolgreichem Auslesen – umgelagert (Remapping): Ein Sektor aus dem Reservebereich wird herangezogen und ersetzt den fehlerhaften Sektor, die Position des defekten Sektors wird in die ‚Growing defect list‘ (GList) eingetragen. In einer eigenen Liste wird vermerkt, wo auf dem Datenträger ein Sektor tatsächlich liegt (Translator). Bei Schreibvorgängen hat es die Festplatte noch leichter: Ist ein Schreibvorgang aufgrund eines defekten Sektors nicht möglich, kann dieser einfach sofort umgelagert werden. Der Anwender wird davon nie erfahren.

Vor allem Sektoren in der GList sind für professionelle Datenretter bei computerforensischen Analysen sehr interessant: Nach zum Beispiel einer absichtlichen Vernichtung aller Daten mit speziellen Löschprogrammen ist es uns oft noch möglich, Beweise aus solchen als defekt markierten Sektoren auszulesen. Meist sind es zwar nur Fragmente von Dateien, aber trotzdem kann es vor Gericht ein ausreichender Beweis sein.

Ist irgendwann der Speicherplatz des Reservebereichs aufgebraucht, kommt es zu Lese- bzw. Schreibfehlermeldungen während des Betriebs, die auch im Betriebssystem angezeigt werden: Die Festplatte kann nun nicht mehr etwaige neue fehlerhafte Sektoren vor dem Anwender verstecken. Oft stellen wir auch fest, dass erst zu diesem Zeitpunkt das Self-Monitoring (S.M.A.R.T) der Festplatten Alarm schlägt, und nicht – wie man erwarten sollte – deutlich davor.

Die PList und GList kann von professionellen Datenrettern über geheime Festplattenbefehle (Vendor specific commands) ausgelesen und manipuliert werden.

Ein Kuriosum zum Abschluss: Ein Festplattenhersteller hatte sehr viele Festplatten ausgeliefert, bei denen aufgrund eines Softwarebugs im Datenträger eine wachsende GList nach einiger Zeit die Festplattensoftware selbst überschrieben hat: Beim nächsten Einschalten der Festplatte war danach kein Zugriff mehr möglich, da die Festplattensoftware durch das Überschreiben defekt wurde. Es blieb nur noch der Weg zum Datenretter.