WD Elements 6TB（内蔵WD60EDAZ ）異音発生＆暗号化からのデータ復旧

他社様で復旧不可、開封済みの状態で来たドライブです。

こちらのHDDは1社目は高額でキャンセルされ、2社目は「プラッタにキズが多く読み出せない」という理由で復旧不可となり、続いて弊社に届きました。
（実はこれ、弊社に来る案件のゴールデンルートです。）

さて、内部を確認したところ、弊社基準ではプラッター上に傷は認められませんでしたので、スクラッチ障害には該当しませんでした。
（念のため断っておくと、他の業者様が虚偽の診断をしたり、誤診をしたりしたという訳ではないです。弊社でのスクラッチ障害の基準には該当しなかったというだけです。リーディングエラーが発生する場合は程度の差こそあれ、傷が発生しているものです。「微細な傷が多く読み出せない」ということだと思います。）

ヘッドのチェックを実施したところ、ヘッドの故障を確認。
ヘッド交換を実施して起動してみますが…

やはり、ヘッド交換だけでは起動できませんね…。
そりゃあそうです。仮にこれで認識してデータを読み出せる状態になるとしたら、既にヘッド交換を試した業者様のところで復旧できているはずですから、然もありなんということでしょう。
おそらく、システムエリアの劣化のために、ファームウェアを正常に読み込むことが出来ず、起動に失敗してしまうのではないかと予想します。

こういった状態に限らず、起動して動作するHDDであってもまず行いたいことは、システムエリア（=OSやユーザーからはアクセスできない、デバイスのファームウェアを記録している領域）内に記録されているファームウェアのバックアップを作成することです。
しかし、完全にHDDを起動させてしまうとHDD内部で余計な処理が走ってしまったり、そもそも起動の途中で失敗して操作を受け付けなくなったりするので、起動を途中で止める処置を行います。
デバッグ作業でいうとブレークポイントを打つ感じです。
また、ストレートにHDDを起動できない場合（今回のケースです）は、このブレークポイントで一時的に起動をストップさせ、RAMのデータを変更するような操作を行い、データを読み出せるところまでHDDを導いていく、というのがWD HDDの攻略法の一つです。
その処置の一つとして、システムエリアのアクセスをブロックする方法「SA Block」というものがあります（SA = System Area なのでそのままです）。

しかし、本件のHDDでは、これを有効にして起動させた後、RAM上でSA Blockを解除してシステムエリアにアクセスしても、どうもシステムエリアのモジュールの位置を記録したインデックスの情報を正しく読み取れません。
なぜ…？
新しいWDのHDDの場合はSA Blockをすると、システムエリアのファームウェアモジュールのインデックス（用のモジュール）を破壊しますが、このモデルの場合は問題なかったはず…。

よくよく調べてみると、SA Block解除時のRAMの変更が反映されていないことに気づきました…。
なんだこのドライブ…。
同じファームウェアバージョンのモデルでは問題なくSA Blockの解除ができるのですが、このHDDはそれができないのです。

とはいえ、モジュールの回収だけなら別にSA Blockより後の段階でブレークポイントを打てば良いので、その方法でシステムエリアのモジュールを回収しました。
その際、システムエリアの劣化により、ところどころエラーが発生して読み出せないファームウェアモジュールがありました。
さらに、特定のモジュールが既に上書きされていることに気づきました。
本来のHDDのシリアルとは異なるシリアルなので、他社様がドナードライブから取ってきたモジュールです。
上書きすることでモジュールを修復しようと試みたことが推察されます。
ただ、正直確証はないのですが、おそらくこのモジュール上書き処置により、起動の途中でファームウェア間で不整合が生じ、ドロップアウトしているような状態でした。
（なんでそのモジュールが怪しいかと言うと、単なる勘です。そういうドライブを見てきたからです。）

また、SED（=Self Encrypting Drive）が有効になっていました。
これはユーザーが意識することなく、書き込み時には自動的に暗号化し、読み込み時には自動的に復号する仕組みです。
（この機能があることによってデータの完全消去が非常に簡易的に行えます。暗号/復号に使用するキーを削除するだけで、プラッターに書き込まれたデータを正しく読み出せなくなってしまうからです。消去のために全セクターを上書きしたり、HDDを物理的に破壊する必要もありません。ユーザーとしてはとても便利です。）
完全に正常起動できればこの仕組みは機能しますが、データ復旧用の処置が必要で、その処置がこの機構の動作を妨げる場合、暗号化されたものしか読めない、という問題が発生します。
つまり、セクターを読み出すには処置が必要だが、処置を施そうとすると暗号化されてしまうという、復旧業者泣かせの機能な訳です。

整理すると、

1. システムエリアの劣化（＋ファームウェア間の不整合？）（どちらかというと後者が問題？）でファームウェアを読み出せずストレートに起動できない
2. これをバイパスしたり、何らかの処置を行ったりするために途中でブレークポイントを打ちたいところだが、RAMでそれを解除することができないので結局起動できない
3. 仮に2ができたとしてもSEDによる暗号化で正しくデータを読み出せない

 
という三重苦です。
いやぁ、きついですね…。

過去の経験から１の対応策は当てがあります。
当てがありますとは言っても、それだけで重度障害に判定する場合があるくらいの処置です。
弊社ではファームウェア障害で開封が必要なければ基本的に中度障害止まりですが、それを越えてわざわざ重度扱いにするということです。
また、弊社では３のSED復号のノウハウも有しています。
となると、最大の問題は２です。これさえなんとか解決できれば…

まぁ、これはなんと解決。
ROMをダウングレードしました。
ドナーのROMをそのまま持ってくるだけでは当然起動できませんので、本件のHDDのユニークなデータは移植しつつ、その他＋αの処置を行うことで、これを実現しました。
SA Blockを解除できるようになりました！！！うまくいって良かった！！！

これで問題２は解決し、１も解決して、データ抽出を開始します。
この時点では、SEDにより暗号化されたデータの読み出しとなります。

なお、この処置の過程でROM内のデータ（HDDごとのユニークなデータ）も一部壊れていたことも確認されたので直しました。

暗号化された状態ですが、使用領域の99.9％のセクターを回収することができました。
（何で暗号化されているのにデータ使用領域が分かるのかと思われた方、鋭いです。このドライブはある程度の範囲を絞ることができるのです。）

続いて復号処理に移るのですが、実は3.5インチのWD HDDでSEDの復号をするのは本件が初めてです。
（WD40NDZW等の2.5インチのHDDの場合はよく復号しています。）
というより、3.5インチHDDで初めてSEDによる暗号化が有効になっているものを認知しました。
本件のHDDは2024年にご購入されたものと聞きましたので、比較的新しいことがSEDによる暗号化が有効になっていた理由かもしれません。

また、弊社で受け持つ案件は他の業者様からの案件が多いです。
そういった案件は内蔵HDDのみで受け取る形が多く、さらに、ファームウェアの書き換えや変更されているものも多いので、もしSEDがオフにされていたら暗号化されていることに気づけません。
記憶をたどると、読み出してみたら暗号化されているような感じはあるが、3.5インチだしSEDはオフにされていたから暗号化ではないだろう、ランダムなデータで上書きされているのかな？、ということで復旧不可にしてしまったことがちらほらあるような…。

さて、WD40NDZWを復号するようにいつもの手順でやってみますが… あれ？できません…。
このドライブはまだ何かあるのかと疲れ果てるところでしたが、これもなんとか解決。
2.5インチと3.5インチのHDDの違いに着目することが功を奏しました。
3.5インチWD HDDの復号には追加の処置が必要だったようです。

データ抽出の工程では、データ使用領域の99.9%のセクターを回収することができました。
復号済みの回収したデータから約110,000件(2.7TB)のファイルを正常に復旧、約700件（20GB）はエラーを含む破損ファイルとなってしまいましたが、十分に復旧できたのではないかと思います。

今回のHDDは「VeniceR」というファミリーでした。
（このファミリーのドライブであれば基板の番号が「2060-810011-…」となっています。）

難しいHDDであることには変わりないのですが、通常はここまで大変ではないです。
自分で言うのは憚られるのですが、相当高度なことをやったと思っています。それも複数。
いくつかの特殊な復旧技術を集約させることでようやく復旧に成功した大変難しかった事例で、途中で気が狂いそうになりました。
本件ではプラッターに傷はありませんでしたが、ST2000DM001/ST3000DM001の大半のスクラッチ障害の方が処置自体はよっぽど簡単な気がします。
（次回以降はもっとスムーズにできるとは思いますが…。）

しかしながら、最終的にお客様に大いに喜んで頂けた様なので諦めず頑張った甲斐がありました。

据え置きタイプのWD Elementsの復旧でお悩みの方、是非スクラッチラボにご相談ください。