cloudbirds千鸟物联摄像头MP4删除恢复方法

随着5G的普及智能摄像头迎来了井喷式的发展，摄像头+TF卡+4G卡就可以组成一个小型的视频数据中心。智能摄像头我们恢复了很多，这次恢复的是千鸟物联，在恢复的过程中发现此品牌使用的方案相对来讲是比较冷门的。

故障存储: 

16G TF卡/fat32文件系统/簇大小64sec

故障现象:

客户描述此卡删除了大量文件然后使用了一段时间，剩余空间还有8.5G，需要恢复指定时间段的视频文件。

图1：卡的剩余空间还有8.5G

故障分析:

经过对现存文件的分析，发现其碎片化比较严重（如图2），同时也发现此文件和其它同类的不同之处，总结如下：

1. 由于摄像头分辨率一般所以文件整体容量较小
2. 其结构体采用了智能摄像头较为少见的结构体前置方案
3. 碎片过小过多（当然这一点在其它智能摄像头上也有发现过）

很显然这类问题通用恢复软件是无能为力的（图3），其最多是能发现文件名以及文件长度等属性信息，但是恢复的文件肯定是不能播放的。综合这些情况，我们还是请出相升级过的辅助小程序---“chs moov视频RAW级重组程序STSZ”，看过之前案例的朋友可能知道，这个程序刚刚经过升级，已经具备了处理大量此类严重碎片视频文件的能力。

1‘=

图2：现存文件碎片化严重

图3：普通恢复软件对此类严重碎片的文件无能为力

故障处理:

以下是之前一些同类案例原理说明，懒得码字了直接ctrl+v：

由于文件名中就包含了日期和时间所以这个也可以精确定位到客户需要的文件，经过通用软件扫描发现客户要的文件名都在，而且第一簇起始是相对靠中间的，所以恢复的机率还是比较大的。

下边这些话照抄之前的案例，解释的很清楚，就不再码字了 :-） :-） :-）

下图可以看到通用恢复软件只会定位到文件目录所在的第一个簇，也就是文件头所在，但是后边的区域就是直接以长度获取了，所以肯定是不能用的。通过这个方法成功定位了客户所要的时间段，由于是采用裸流，所以计划提取文件头所在的簇，得到第一帧画面，来和客户确定数据。但是发现失败了，因为以一个簇为单位进行提取发现视频帧是不完整的，说明碎片极小可能只有一个簇的大小（可以理解为首帧长度>簇长度）。其原理如图5，第一帧至少有三个DATA分割分别是DATA0~DATA2,注意DATA区本身就是对现实环境抽象化取值再转换成数字化的底层数据其是压缩类数据，没有参考值。另外就是图5中是为了方便介绍用了比较简单的方式，现实中可能DATA1和DATA0会“距离”很远，极端情况下也有可能DATA1位于DATA0之前（这在所有文件系统中都是允许的）。

图4：视频、音频帧数据存在碎片的简略图

虽然这个案例中所需要的文件数量并不大，升级过的“chs moov视频RAW级重组程序stsz“辅助程序基本上是杀鸡用牛刀，唯一要处理的地方就是 moov前置，在程序外部增加了一个可选设置，然后增加了处理此模块的算法。

图5：升级后的辅助程序

由于所需要的文件数量为47个，通过辅助程序读取目录项，然后一簇簇处理数据最终成功恢复了客户所需要的数据。

图6：重组好的部分视频文件

这就是cloudbirds千鸟物联摄像头删除mp4后的恢复方法，对于此类智能摄像头，CHS恢复的效果可以做到取证级---确保每一帧声音、画面都100%正常，目前成功助力国内各大公检法机构的取证请求，大家在遇到此类问题时，欢迎和我们联系！