概要

今回ご相談いただいたのは、WD MyBook Duo WDBLWE0040JCH-00（内蔵HDD：WD20EFRX）のデータ復旧案件です。
ご依頼内容は、RAID1構成および暗号化環境からのデータ復旧でした。

RAID1は2本のHDDに同じデータを保持するミラーリング構成ですが、
暗号化されている場合、HDDを単体で接続してもそのままファイルを確認できません。
そのため、2本のドライブからディスクイメージを取得し、暗号化されたデータを復号したうえで解析を行いました。

本件では、RAID1を構成する2本のドライブをそれぞれ確認し、
最新更新日時を比較したうえで、より新しいデータを保持しているドライブ側からファイルを復旧しました。

ご相談時の状態

お預かりした機器は、2本のHDDでRAID1を構成する外付けストレージでした。
RAID1環境では、片方のドライブだけを確認しても、必ずしも最新状態のデータが残っているとは限りません。

下の写真は、お預かりした機器の外観確認時の様子です。

筐体側の状態と内蔵HDDの構成を確認したうえで、
2本それぞれのドライブからディスクイメージを取得する方針としました。

内蔵HDDの確認

機器内部にはWD20EFRXが搭載されていました。
暗号化されたRAID1構成では、HDDを取り出してもすぐにファイルを確認できるわけではないため、
まずは各ドライブの内容を安全に取得する必要があります。

下の写真は、内蔵HDDを確認した際の様子です。

2本のドライブはどちらも解析対象となるため、
片方だけを前提にせず、両方のディスクイメージを取得して内容を比較しました。

診断と作業内容

1. 2本のドライブからディスクイメージを取得

まず、RAID1を構成する2本のドライブに対して、それぞれディスクイメージを取得しました。
元のHDDに負荷をかけ続けないよう、取得後の解析は作成したイメージ側で行います。

下の動画は、作業時の確認映像です。

RAID1であっても、更新タイミングや障害の発生状況によって、
2本のドライブ間で保持している内容に差が出ることがあります。
そのため、両方の状態を比較する工程が重要になります。

2. 暗号化データの復号

取得したディスクイメージには暗号化されたデータが含まれていました。
そのままではファイルとして確認できないため、暗号化されたデータを復号し、
解析可能な状態にしました。

暗号化環境では、HDDからデータを取得できても、
復号できなければフォルダー構造やファイル内容を確認できません。
そのため、復号処理は本件の復旧作業において重要な工程でした。

3. 最新データを保持するドライブの選定

復号後、両ドライブの最新更新日時を比較し、
より新しいデータを保持している方のドライブを特定しました。

RAID1では2本のHDDに同じデータが保存される設計ですが、
片方のドライブが壊れた状態で、1台のみで動作し続けている場合があり、完全に同一ではない場合があります。
本件では、最新の方のドライブからファイル復旧を行いました。

4. ファイル解析と復旧

最新データを保持しているドライブ側の復号データを専用ツールで解析し、
フォルダー構造を含めて可能な限りファイルを復旧しました。

復旧結果

フォルダー構造等を含めて復旧できたファイルの総数・総容量は次の通りです。

[Summary]
Good: 141,731 files (1.16 TB)
Bad: 489 files (93.78 GB)
------------------------------------------
Total: 142,220 files (1.25 TB)

Good は正常な復旧が見込まれるファイルです。
Bad は破損ファイルで、開ける場合と開けない場合があります。
開ける場合でも、ファイル内に欠損箇所が含まれることがあります。

技術者コメント

RAID1構成は、2本のドライブに同じデータを保存する仕組みですが、
暗号化が組み合わさっている場合は、通常のHDD復旧よりも確認工程が増えます。

特に本件のように、2本のドライブの最新更新日時を比較する必要がある場合、
どちらのドライブを基準にするかで復旧結果が変わることがあります。

NASや外付けRAID機器でアクセスできなくなった場合は、
初期化や再構築を行わず、そのままの状態でご相談いただくことが重要です。

まとめ

本事例は、WDBLWE0040JCH-00（内蔵HDD：WD20EFRX）のRAID1・暗号化環境からのデータ復旧事例です。

RAID1を構成する2本のドライブからディスクイメージを取得し、
暗号化されたデータを復号したうえで、
最新更新日時を比較して最新データを保持するドライブからファイル復旧を行いました。

暗号化されたRAID機器では、HDDだけでなく構成情報や更新状態の確認も重要です。
RAIDや暗号化ストレージのトラブルでお困りの際は、
秋葉原データ復旧スクラッチラボまでご相談ください。