Dataherstel voor SSD en NVMe

De Flash Translation Layer vertaalt logische blokadressen naar fysieke NAND-pagina’s. Die positie verandert voortdurend door wear leveling, foutbeheer en garbage collection. Het bestandssysteem denkt dat blok 1000 op een vaste plaats staat, maar de controller kan de actuele versie, oudere versies en reservekopieën over verschillende dies en kanalen verdelen. Zonder de juiste mapping vormt een ruwe flashdump geen lineaire disk.

NAND kan niet zoals magnetische opslag per sector worden overschreven. Pagina’s worden in grotere eraseblokken gewist en elders opnieuw geschreven. De controller houdt daarom geldigheidsmarkeringen, defectlijsten, ECC-informatie en reservegebieden bij. Bij beschadigde tabellen kan nog veel ruwe inhoud aanwezig zijn terwijl de volgorde ontbreekt. Reconstructie vraagt controllerspecifieke geometrie en foutcorrectie.

TRIM meldt dat bepaalde logische blokken niet langer nodig zijn. De SSD kan deze blokken later intern wissen, soms snel en soms pas tijdens garbage collection. Of verwijderde data nog fysiek aanwezig en koppelbaar is, hangt af van model, stroomtijd, controllergedrag en encryptie. Er wordt daarom geen algemene belofte gedaan dat verwijderde SSD-bestanden herstelbaar of definitief weg zijn zonder diagnose.

Wear leveling betekent ook dat een beschadigde pagina mogelijk een oudere of nieuwere versie naast zich heeft. Tijdstempels uit het bestandssysteem alleen bepalen niet welke fysieke pagina actueel was. Een verkeerde volgorde kan bestanden opleveren die openen maar intern gegevens uit verschillende versies mengen. Mappingtabellen, sequentienummers, metadata en pariteit worden samen gebruikt.

Moderne controllers gebruiken vaak scrambling, XOR-patronen en sterke foutcorrectie. Een cleanroom speelt hierbij geen rol: SSD’s hebben geen open magnetische platter. Elektronische meting en flashanalyse gebeuren in een laboratoriumomgeving die bij print- en NAND-architectuur past. Die technieken maken ruwe chipdata pas bruikbaar na precieze decodering.

Een herkende bestandsnaam is geen bewijs dat de datablokken nog bestaan. Na TRIM kan directorymetadata langer zichtbaar blijven dan de bijbehorende inhoud. Omgekeerd kan een bestand zonder oorspronkelijke naam uit consistente metadata en datablokken worden opgebouwd. Daarom worden naam, structuur, decodeerbaarheid en interne samenhang afzonderlijk gecontroleerd.

TRIM, garbage collection en nieuwe schrijfbewerkingen kunnen vrijgegeven blokken fysiek wissen of cryptografisch onbruikbaar maken. Het effect verschilt per controller en incident. Een formatteeractie op een versleutelde SSD kan bijvoorbeeld sleutelmetadata veranderen zonder elke NAND-cel direct te wissen. Zulke scenario’s worden technisch onderzocht en niet tot één universele regel herleid.

Documenten, foto’s, video’s, archieven en databanken worden representatief geopend of gevalideerd. Grote containers krijgen extra aandacht, omdat één verkeerd gemapt blok een deel van de inhoud kan beschadigen. De foutkaart uit de acquisitie en eventuele onzekerheid uit FTL-reconstructie blijven zichtbaar. Een algemene leesratio wordt niet gebruikt als vervanging voor controle van de gevraagde bestanden.

De oorspronkelijke SSD wordt niet opnieuw als betrouwbaar werkmedium ingezet, zelfs als zij tijdelijk stabiel leek. De oplevering onderscheidt volledig gevalideerde, gedeeltelijke en alleen geïdentificeerde inhoud. Ontbrekende sleutels, getrimde blokken en onleesbare NAND-zones worden als afzonderlijke grenzen beschreven. Herstelde gegevens gaan naar een gezonde bestemming.

Er wordt geen gegarandeerd herstelpercentage beloofd voor een ‘dode SSD’ als algemene categorie. Controllerfamilie, firmware, interne encryptie, TRIM, stroomtijd en de ligging van prioritaire gegevens bepalen samen welke reconstructie controleerbaar is. De technische haalbaarheid kan pas na model- en toestandsdiagnose worden ingeschat.