固態(tài)硬盤(pán)非常奇怪，因?yàn)樗鼈冊(cè)诰帉?xiě)數(shù)據(jù)的方式上很奇怪，甚至在刪除信息的方式上更奇怪。在使用條帶化磁體技術(shù)進(jìn)行信息記錄的硬盤(pán)中，人們?cè)趧h除文件后，里面的內(nèi)容其實(shí)仍然是存在的，直到被覆蓋，但固態(tài)硬盤(pán)卻不是這樣。它們?cè)谔幚韯h除的數(shù)據(jù)方面和過(guò)去的技術(shù)有所不同，只要是進(jìn)行了刪除操作，被刪除的內(nèi)容就不會(huì)再被恢復(fù)。只需開(kāi)啟固態(tài)硬盤(pán)，它就會(huì)啟動(dòng)后臺(tái)垃圾收集，即使你寫(xiě)入只讀隔離程序，它也會(huì)刪除開(kāi)啟具有trim功能的數(shù)據(jù)塊。

Trim的作用

在原理對(duì)的機(jī)械硬盤(pán)上，寫(xiě)入數(shù)據(jù)時(shí)，Windows會(huì)通知硬盤(pán)先將以前的刪除，再將新的數(shù)據(jù)寫(xiě)入到磁盤(pán)中。而在刪除數(shù)據(jù)時(shí)，Windows只會(huì)在此處做個(gè)標(biāo)記，說(shuō)明這里應(yīng)該是沒(méi)有東西了，等到真正要寫(xiě)入數(shù)據(jù)時(shí)再來(lái)真正刪除，并且做標(biāo)記這個(gè)動(dòng)作會(huì)保留在磁盤(pán)緩存中，等到磁盤(pán)空閑時(shí)再執(zhí)行。這樣一來(lái)，磁盤(pán)需要更多的時(shí)間來(lái)執(zhí)行以上操作，速度當(dāng)然會(huì)慢下來(lái)。而當(dāng)Windows識(shí)別到固態(tài)硬盤(pán)并確認(rèn)固態(tài)硬盤(pán)支持Trim后，在刪除數(shù)據(jù)時(shí)，會(huì)不向硬盤(pán)通知?jiǎng)h除指令，只使用Volume Bitmap來(lái)記住這里的數(shù)據(jù)已經(jīng)刪除。Volume Bitmap只是一個(gè)磁盤(pán)快照，其建立速度比直接讀寫(xiě)硬盤(pán)去標(biāo)記刪除區(qū)域要快得多。這一步就已經(jīng)省下一大筆時(shí)間了。然后再是寫(xiě)入數(shù)據(jù)的時(shí)候，由于NAND閃存保存數(shù)據(jù)是純粹的數(shù)字形式，因此可以直接根據(jù)Volume Bitmap的情況，向快照中已刪除的區(qū)域?qū)懭胄碌臄?shù)據(jù)，而不用花時(shí)間去刪除原本的數(shù)據(jù)。注意：如果固態(tài)硬盤(pán)組建RAID0陣列0后，將失去Trim功能。

對(duì)固態(tài)硬盤(pán)進(jìn)行鏡像后，即使在鏡像時(shí)實(shí)際數(shù)據(jù)仍然存在，你也將無(wú)法在刪除區(qū)域找到任何內(nèi)容-。需要注意的是，你的固態(tài)硬盤(pán)的存儲(chǔ)容量比說(shuō)明書(shū)上寫(xiě)的要大，因?yàn)槲锢泶鎯?chǔ)容量的5%到15%專用于不可尋址池，從固態(tài)硬盤(pán)中刪除的任何數(shù)據(jù)，在被系統(tǒng)經(jīng)過(guò)Trim處理后都可以直接進(jìn)入該池，而不需要訪問(wèn)甚至尋址這些塊。

不過(guò)事情總不是絕對(duì)的，現(xiàn)在你可以在固態(tài)硬盤(pán)上訪問(wèn)已刪除的數(shù)據(jù)，不過(guò)方法也是唯一的，就是取下芯片，并手動(dòng)進(jìn)行分析，這個(gè)進(jìn)程非常耗時(shí)，復(fù)雜且使用的設(shè)備相當(dāng)昂貴。為此我們?cè)儐?wèn)了數(shù)據(jù)恢復(fù)的一些專家，他們告訴我們他們大約可以在兩周內(nèi)完成對(duì)一個(gè)四芯片固態(tài)硬盤(pán)的分析，而對(duì)最近的十芯片固態(tài)硬盤(pán)，他們也毫無(wú)辦法。

最近的一項(xiàng)發(fā)現(xiàn)指出，Windows內(nèi)置的BitLocker保護(hù)傾向于將加密數(shù)據(jù)的任務(wù)委托給固態(tài)硬盤(pán)控制器，而不是在使用CPU的計(jì)算機(jī)上進(jìn)行加密。正如研究中所發(fā)現(xiàn)的那樣，許多消費(fèi)級(jí)固態(tài)硬盤(pán)都可以輕松地讓加密密鑰不受固態(tài)硬盤(pán)上存儲(chǔ)芯片的保護(hù)。

在本文中，我們將討論固態(tài)硬盤(pán)取證的***發(fā)展技術(shù)，即在開(kāi)啟TRIM功能后，如何防止后臺(tái)數(shù)據(jù)被刪除，并提供對(duì)磁盤(pán)的整個(gè)存儲(chǔ)容量（包括不可尋址的區(qū)域）的訪問(wèn)。該方法采用所謂的工廠訪問(wèn)模式（ factory access mode）。但是，在我們討論工廠訪問(wèn)模式之前，讓我們首先看一下固態(tài)硬盤(pán)是如何存儲(chǔ)信息的，以及為什么這些信息很容易被刪除，且很難恢復(fù)。

固態(tài)硬盤(pán)如何存儲(chǔ)信息

與使用或多或少順序?qū)懭耄╞ar fragmentation 和壞扇區(qū)重新映射）的磁性硬盤(pán)驅(qū)動(dòng)器不同，固態(tài)硬盤(pán)驅(qū)動(dòng)器完全拋棄了線性寫(xiě)入方式，而是將信息被分解成同時(shí)寫(xiě)入不同NAND芯片的許多小的數(shù)據(jù)塊。這種并行寫(xiě)入就是固態(tài)硬盤(pán)快速運(yùn)行的原因，在某種程度上，我們就是談?wù)摪惭b在單個(gè)PCB上的NAND芯片構(gòu)建的raid0 (stripe)類陣列。

一個(gè)固態(tài)硬盤(pán)及時(shí)只擁有一塊NAND芯片的固態(tài)硬盤(pán)驅(qū)動(dòng)器，那它也幾乎不會(huì)以線性方式寫(xiě)入信息。存儲(chǔ)器芯片中的每個(gè)物理塊被可以被動(dòng)態(tài)分配一個(gè)邏輯地址，以幫助固態(tài)硬盤(pán)控制器進(jìn)行磨損均衡。因此，讀取NAND芯片的內(nèi)容將返回一個(gè)拼圖，這就意味著你所想看到的內(nèi)容是以一種隨機(jī)的方式混合在多個(gè)數(shù)據(jù)塊中。

注：磨損均衡（wear leveling）這項(xiàng)技術(shù)在flash設(shè)備的微控制器上使用了一種算法，來(lái)跟蹤flash內(nèi)存上存儲(chǔ)空間的使用情況。這使得數(shù)據(jù)每次能夠重寫(xiě)到內(nèi)存中的不同地方，而不是一直寫(xiě)入到內(nèi)存中的同一個(gè)位置。

固態(tài)硬盤(pán)以及大多數(shù)其他類型的固態(tài)介質(zhì)，都必須轉(zhuǎn)換NAND地址，其目的就是映射出壞的數(shù)據(jù)塊并提供耗損均衡?；旧纤械腘AND的制造商都將其固態(tài)硬盤(pán)驅(qū)動(dòng)器的寫(xiě)入周期固定在大約1000到1500之間。諸如（Write Amplification，寫(xiě)入放大）等因素都會(huì)對(duì)固態(tài)硬盤(pán)壽命產(chǎn)生負(fù)面影響，而智能SLC緩存算法會(huì)減少存儲(chǔ)單元的物理磨損，即使寫(xiě)入操作的數(shù)量大于沒(méi)有緩存的數(shù)量，也會(huì)如此。我們將在下一篇文章中介紹影響固態(tài)硬盤(pán)壽命的許多其他因素。

注：WA是閃存及SSD相關(guān)的一個(gè)極為重要的屬性。由于閃存必須先擦除才能再寫(xiě)入的特性，在執(zhí)行這些操作時(shí)，數(shù)據(jù)都會(huì)被移動(dòng)超過(guò)1次。這些重復(fù)的操作不單會(huì)增加寫(xiě)入的數(shù)據(jù)量，還會(huì)減少閃存的壽命，更吃光閃存的可用帶寬而間接影響隨機(jī)寫(xiě)入性能。WA這個(gè)術(shù)語(yǔ)在2008年被Intel公司和SiliconSystems公司（于2009 年被西部數(shù)據(jù)收購(gòu)）***次提出并在公開(kāi)稿件里使用。

真正重要的是，如果沒(méi)有固態(tài)硬盤(pán)控制器的幫助，即便只恢復(fù)一個(gè)文件都可能會(huì)非常困難。為此專家首先要做的就是必須重建轉(zhuǎn)換表（translation table ），以確定哪些NAND芯片以及它們?cè)谀男┐_切地址保存信息。不同的固態(tài)硬盤(pán)控制器的轉(zhuǎn)換表所采用的格式都是不同的，固態(tài)硬盤(pán)驅(qū)動(dòng)器包含的NAND芯片越多，重建轉(zhuǎn)換表就越困難。

隨著電子設(shè)備的成本逐年下降，存儲(chǔ)容量超過(guò)1TB甚至2TB數(shù)據(jù)的固態(tài)硬盤(pán)驅(qū)動(dòng)器現(xiàn)在可以被普通消費(fèi)者使用了，而在三年前這種普及情況還是無(wú)法想象的。

為了以更低的價(jià)格生產(chǎn)具有更大容量的固態(tài)存儲(chǔ)器，制造商必須將更多的存儲(chǔ)單元擠壓到相同或更小的空間上。這無(wú)比就會(huì)減小每個(gè)單元的尺寸，減少使用壽命。雖然基于SLC的NAND閃存可以在每個(gè)單元中保存一位信息，但MLC NAND（ 全稱為Multi-Level Cell，多層單元閃存，MLC通過(guò)使用大量的電壓等級(jí)，每一個(gè)單元儲(chǔ)存兩位數(shù)據(jù)，數(shù)據(jù)密度比較高）卻可以存儲(chǔ)兩位數(shù)據(jù)。如今的固態(tài)硬盤(pán)驅(qū)動(dòng)器主要是TLC（每個(gè)單元三位數(shù)據(jù)），即便***的驅(qū)動(dòng)器可能每個(gè)單元包含四位(QLC NAND)。與低密度的NAND相比，每次迭代都會(huì)使NAND閃存的速度明顯變慢，更重要的是，可靠性會(huì)降低。

可以看出，TLC存儲(chǔ)單元是最慢和最不可靠的。為了讓基于TLC的固態(tài)硬盤(pán)驅(qū)動(dòng)器提高存儲(chǔ)效率并提高使用壽命，許多制造商已經(jīng)試著將部分存儲(chǔ)分配為專用SLC緩存。用作SLC高速緩存的數(shù)據(jù)塊，僅僅需要較小的單元來(lái)放置一位信息。它們磨損較少，而且它們的寫(xiě)入速度比TLC單元更快?？刂破骶S護(hù)用作SLC緩存的數(shù)據(jù)塊列表。如果我們?cè)噲D通過(guò)直接訪問(wèn)芯片來(lái)讀取這些塊，同時(shí)期望獲得三位數(shù)據(jù)，那么這些所謂的SLC單元將返回毫無(wú)意義的信息。

小結(jié)

閃存芯片根據(jù)內(nèi)部架構(gòu)分為SLC、MLC、TLC等，閃存顆粒是由多層閃存芯片構(gòu)成的方形體。

閃存芯片顆粒直接影響著固態(tài)硬盤(pán)的存取速率、使用壽命、生產(chǎn)成本等。

• SLC，英文全稱Single-Level Cell，1bit/cell，單層式存儲(chǔ)，僅允許在一個(gè)內(nèi)存元素中存儲(chǔ)1個(gè)比特位的信息。
• MLC，英文全稱Multi-Level Cell，2bit/cell，多層式存儲(chǔ)，允許在一個(gè)內(nèi)存元素中存儲(chǔ)2個(gè)比特位的信息。
• TLC，英文全稱Trinary-Level Cell，3bit/cell，三層式存儲(chǔ)，允許在一個(gè)內(nèi)存元素中存儲(chǔ)3個(gè)比特位的信息。

由此得出，閃存顆粒面積相同時(shí)，存儲(chǔ)量由小到大：SLC<MLC<TLC。

SLC、MLC、TLC閃存芯片顆粒的優(yōu)缺點(diǎn)分析

• SLC，存取速率快，可擦寫(xiě)次數(shù)多（使用壽命長(zhǎng)），但生產(chǎn)成本價(jià)格昂貴（至少為MLC的三倍）。
• MLC，存取速率較快，可擦寫(xiě)次數(shù)相對(duì)SLC少（使用壽命約為SLC的十分之一），價(jià)格一般。
• TLC，存取速率較慢，可擦寫(xiě)次數(shù)進(jìn)一步減少（使用壽命約為SLC的二十分之一），價(jià)格相對(duì)便宜。

固態(tài)硬盤(pán)的加密方法

大多數(shù)固態(tài)硬盤(pán)驅(qū)動(dòng)器都會(huì)提供一種或多種硬件加密方法，一些企業(yè)級(jí)固態(tài)硬盤(pán)甚至在用戶不知情的情況下默認(rèn)加密信息。在這種情況下，加密密鑰是公開(kāi)存儲(chǔ)的，以便控制器可以從NAND芯片讀取它以解密數(shù)據(jù)。如果用戶加密這樣的磁盤(pán)，則僅僅是對(duì)加密密鑰的加密。

即使加密密鑰存儲(chǔ)不受保護(hù)，在沒(méi)有固態(tài)硬盤(pán)控制器幫助的情況下，找到加密密鑰也是非常困難的。

換句話說(shuō)，我們需要固態(tài)硬盤(pán)控制器幫我們完成所有的相關(guān)工作。我們需要它來(lái)處理錯(cuò)誤更正、地址轉(zhuǎn)換和潛在的加密，然而，簡(jiǎn)單地將固態(tài)硬盤(pán)連接到閃存只讀隔離保護(hù)器，然后打開(kāi)電源并像以前一樣對(duì)磁盤(pán)進(jìn)行鏡像，可能不是***的方法。

固態(tài)硬盤(pán)是如何刪除數(shù)據(jù)的？

我們認(rèn)為NAND單元目前只支持有限數(shù)量的寫(xiě)入操作，這需要高級(jí)耗損均衡算法。但是，除了有限的使用壽命外，NAND單元還有另一個(gè)屬性，即在寫(xiě)入新數(shù)據(jù)之前必須擦寫(xiě)非空單元。 由于NAND閃存提供快速讀取，緩慢寫(xiě)入和低速擦寫(xiě)。因此，如果要重新編寫(xiě)已包含數(shù)據(jù)的存儲(chǔ)單元，則必須首先擦寫(xiě)存儲(chǔ)單元，然后才能接受新數(shù)據(jù)。雖然擦寫(xiě)NAND單元的操作速度非常慢，但擦寫(xiě)一個(gè)或兩個(gè)單元卻不是你想象的那么簡(jiǎn)單。因?yàn)?，你將不得不處理?yè)面和塊。

那么什么是存儲(chǔ)單元，為什么我們必須要用到頁(yè)面和塊？我們先來(lái)弄清楚這些術(shù)語(yǔ)吧。單元是用于存儲(chǔ)信息的基本單元。根據(jù)閃存類型（SLC，MLC，TLC或QLC）和操作模式（例如MLC，TLC和QLC驅(qū)動(dòng)器中的SLC緩存），單個(gè)單元可以記錄一位數(shù)據(jù)（SLC），兩位數(shù)據(jù)（MLC），三位數(shù)據(jù)（TLC）或四位數(shù)據(jù)（QLC）。例如，配備3D TLC NAND的Crucial MX550 固態(tài)硬盤(pán)可以在其每個(gè)單元中存儲(chǔ)3位數(shù)據(jù)，除非其存儲(chǔ)池的某些部分在SLC模式下作為動(dòng)態(tài)寫(xiě)入被加速緩存運(yùn)行。在SLC模式下寫(xiě)入TLC單元不僅速度更快，而且對(duì)存儲(chǔ)單元的壓力也明顯減少，因此固態(tài)硬盤(pán)的整體壽命可以隨著寫(xiě)入速度的提高而提高。

但這會(huì)帶來(lái)了另一個(gè)問(wèn)題，我們無(wú)法從從單個(gè)存儲(chǔ)單元內(nèi)讀取數(shù)據(jù)或向單個(gè)單元寫(xiě)入數(shù)據(jù)。

曾經(jīng)旋轉(zhuǎn)存儲(chǔ)（rotating storage）介質(zhì)（如傳統(tǒng)硬盤(pán)驅(qū)動(dòng)器）提供的是512位扇區(qū)，作為可以讀取或?qū)懭氲淖钚?shù)據(jù)單元。 FAT或NTFS等文件系統(tǒng)也可以在扇區(qū)中讀寫(xiě)數(shù)據(jù)。自從固態(tài)存儲(chǔ)被發(fā)明以來(lái)，這種情況已經(jīng)發(fā)生了變化，NAND閃存不使用扇區(qū)，相反，它使用頁(yè)面和塊進(jìn)行操作。頁(yè)面是你可以從固態(tài)硬盤(pán)讀取的最小數(shù)據(jù)，通常，固態(tài)硬盤(pán)驅(qū)動(dòng)器可以在每個(gè)時(shí)鐘周期讀取一頁(yè)。由于單個(gè)頁(yè)面包含一定數(shù)量的物理字節(jié)（例如528,2112,4320,8640,9216,18592字節(jié)等），如果你只需要一個(gè)字節(jié)的數(shù)據(jù)，固態(tài)硬盤(pán)也會(huì)讀取整個(gè)頁(yè)面。

每個(gè)頁(yè)面可以存儲(chǔ)512,2048,4096,8192或16534字節(jié)的數(shù)據(jù)，可見(jiàn)頁(yè)面可以存儲(chǔ)的數(shù)據(jù)量與物理字節(jié)數(shù)不同。多余的字節(jié)是用于每頁(yè)的標(biāo)記和ECC校正碼，如果我們將兩個(gè)固態(tài)硬盤(pán)驅(qū)動(dòng)器與包含8192字節(jié)數(shù)據(jù)的頁(yè)面進(jìn)行比較，我們可能會(huì)發(fā)現(xiàn)固態(tài)硬盤(pán)1每頁(yè)使用8640個(gè)物理字節(jié)，而固態(tài)硬盤(pán)2每頁(yè)有9216個(gè)物理字節(jié)。這兩個(gè)固態(tài)硬盤(pán)之間的區(qū)別僅在于每個(gè)驅(qū)動(dòng)器的ECC校正量不同。

既然現(xiàn)在已經(jīng)搞清楚了存儲(chǔ)單元和頁(yè)面的作用，但我們還有一個(gè)疑問(wèn)，為什么存儲(chǔ)還需要數(shù)據(jù)塊呢？雖然此時(shí)可以讀取單頁(yè)數(shù)據(jù)，但問(wèn)題是我們只能一次寫(xiě)入（或擦寫(xiě)）一定數(shù)量的頁(yè)面。寫(xiě)入（擦寫(xiě)）數(shù)據(jù)的最小單位就被稱為數(shù)據(jù)塊，而單個(gè)塊則包含許多頁(yè)面，事實(shí)上，通常有很多頁(yè)面。典型的固態(tài)硬盤(pán)操作塊由64,128,256或甚至512頁(yè)組成，每次更改一位數(shù)據(jù)，都要擦寫(xiě)或?qū)懭氪罅繑?shù)據(jù)！

由于NAND閃存可以支持的寫(xiě)入操作的數(shù)量是有限的，而且存儲(chǔ)單元非常小，因此固態(tài)硬盤(pán)控制器將盡力減少對(duì)已經(jīng)寫(xiě)入的塊的重用。如果你只更改了1位數(shù)據(jù)，那么簡(jiǎn)單的固態(tài)硬盤(pán)(沒(méi)有SLC緩存)就可以做到這一點(diǎn)。

1.在RAM中，控制器將從NAND閃存讀取數(shù)據(jù)塊；

2.NAND塊被標(biāo)記為被擦寫(xiě)（取決于固態(tài)硬盤(pán)和控制器，它可能稍后在后臺(tái)擦寫(xiě)）；

3. 控制器現(xiàn)在對(duì)存儲(chǔ)在RAM中的數(shù)據(jù)塊進(jìn)行請(qǐng)求的更改；

4.***，修改后的塊將被寫(xiě)入NAND閃存。因?yàn)椴翆?xiě)操作比寫(xiě)入慢得多，為了耗損均衡和寫(xiě)入速度，固態(tài)硬盤(pán)將使用一組不同的物理存儲(chǔ)單元來(lái)寫(xiě)入新數(shù)據(jù)。

寫(xiě)入數(shù)據(jù)時(shí)，固態(tài)硬盤(pán)控制器將嘗試選擇重新寫(xiě)入那些包含數(shù)據(jù)最少的塊。這意味著，在現(xiàn)實(shí)的存儲(chǔ)環(huán)境中，控制器將相同的數(shù)據(jù)集寫(xiě)入不同的塊。為了使操作系統(tǒng)看起來(lái)一致，控制器將重新動(dòng)態(tài)映射塊的邏輯地址。 新的數(shù)據(jù)塊將被分配一個(gè)特定地址，而舊的數(shù)據(jù)塊將被移動(dòng)到過(guò)載區(qū)域（Overprovisioned Area）中的保留池或被分配一個(gè)不同的地址。然后，固態(tài)硬盤(pán)將擦寫(xiě)該塊的內(nèi)容并增加其擦寫(xiě)計(jì)數(shù)（Erase Count）參數(shù)。