故障存储:

 希捷4TB/文件系统:NTFS /簇大小:8KB

故障现象:

客户描述单位有一台专门用于存储乐橙执法记录仪视频的PC，主要用于备份执法记录仪视频文件。某次在使用一款杀毒软件清理磁盘时清理了很多文件用来释放磁盘空间，后期在查验文件时发现某案现场视频文件全部丢失。需要恢复指定日期的执法记录仪视频文件。

故障分析:

执法记录仪生成的视频文件一般是时长短容量小，而像这种做为备份PC不断写入且删除的情况下基本上都是“碎片化”的存储方式，这也是文件系统为了有效利用存储空间“不得已而为之”。无论什么文件系统都会在空间利用率和碎片化之间尽可能寻找一个“黄金平衡点”，但现实情况下是不可能做到连续存储，所以“碎片化”存储方式和NTFS文件系统没什么关系。

像NAS设备或者经常删除的PC设备，其碎片化呈现出的特征是区间较大、移值是灵活多变，上下碎片并非线性存储，有时候碎片区间的跨度能达到TB级。这为恢复增加了很大的难度，特别是NTFS元文件被覆盖的情况下。本例中，通用恢复软件已经无法发现丢失文件的目录属性，这意味着元文件已经被覆盖了，当然文件的指针也不存在了。

图1：“碎片化”的存储方式

故障处理:

由于备份PC使用比较频繁，所以在出现问题之后客户已经自行使用WINHEX提取了4T逻辑盘的“空闲空间”（为他们的备份意识点赞），在数据丢失后第一时间镜像会为后期恢复提供坚实的基础。在分析正常文件时得到一个“坏消息”，乐橙（IMOU)记录仪生成的MP4文件并没有写入拍摄时间，这样的话在定位文件就无法获取时间信息了，执法记录仪作为取证设备，除了画面时间外应该把拍摄时间也正常写入，这样是不是更严谨？希望乐橙尽快修正此问题。

根据之前分析结合实际情况，直接使用高级版扫描视频碎片，然后直接修复，重组就直接放弃，然后通过修复文件来达到恢复目的，而时间信息可以通过高级版的OCR功能来获取，这样可以节省大量的时间。

另外为了方便程序定位，我们直接把客户提取的文件进行了改动，增加了DBR，并且参数和原始逻辑盘保持一致，这样程序扫描时的环境就由RAW变成了NTFS逻辑盘。

STEP1:打开镜像文件选择NTFS逻辑盘右键扫描->扫描大类选择 “记录仪视频”->打开样本文件，然后点击右键“扫描”。

关于样本文件：

无论是扫描什么视频文件，我们强烈建议打开样本文件，程序分析算法会根据视频文件的各个参数建立精确的模型，这样在扫描和重组时做到“有的放矢”。

图2：“魔改”后的NTFS逻辑盘

图3：打开样本文件

STEP2：等待扫描完成，可以看到程序已经解析出了样本文件的类型、拍摄时间、品牌、速率、编码等参数，程序会根据这些参数建立精确的视频模型，对于碎片定位和重组有极大的帮助。

STEP3:扫描完成在重组碎片环节直接停止分析，退出程序，得到了大量5级文件，然后对些5级文件进行修复，完成后直接OCR来获取有效的画面时间。

图4：对修复结果进行OCR获取

STEP4:查找所需要的数据，根据OCR获取的时间信息很快定位了有大约23条视频文件，容量在2G左右。经过和客户核对其所需的视频基本上都成功恢复，至此恢复工作完成。