智能摄像头的恢复处理过很多，慧耳视一个地方小品牌，其采用了mp4视频文件方案，下边我们看看这个比较特殊的案例。
故障存储:
32G TF卡/fat32文件系统/簇大小32sec
故障现象:
客户描述此卡删除了大量文件然后使用了极短的时间就被断电了，剩余空间还有29G（如图1）。
图1：卡的剩余空间还有29.5G
故障分析:
之前客户已经自行使用过不同的恢复软件扫描过，能发现文件，但是恢复后都不能播放。经过对现存文件的分析，发现其碎片化比较严重（如图2）。对于恢复文件客户的要求是不画面和声音必须同步且不允许出现花帧、错帧的情况，而针对碎片化严重的这种方案只能手工去处理，之前我们也处理过类似问题，还专门写出过一个辅助小程序，但是这次客户需要的时间段和数据量是比较大的（如图3：初步统计文件在1000个左右，后经过精简确定为600多个），如此庞大的数量，之前的小程序明显应付不来。
图2：现存的几个小文件碎片化严重
图3：“海量”的视频文件第一次统计超过了1000个
这一类的智能摄像头之前处理过不少，基本上规律如下:
1、一般一分钟一个文件。
- 文件格式为MP4，本例中视频编码使用的是H265，音频为M4A。
3、采用的方案是在生成当前MP4文件结构体时，已经在采集新的视频画面数据，此时会导致两个文件碎片交叉，糟糕的是有时候碎片的大小仅仅只有一个簇，即碎片又小又多。
第3条会产生最不愿意看到的情况-----“音视频”数据区交叉，HVC采用的也是压缩算法，其会对采集画面进行量化后压缩，对于压缩来讲就是为了让数据不在松散，所以根本没有任何规律而言（有规律的一定是结构体而不是数据本身），此种情况下恢复难度是很大的，因为就算用CHS零壹视频恢复系列软件，也无法甄别数据区交叉碎片的情况，这个时候只能通过穷举遍历法结合恢复经验来判断。
而且更糟糕的是随着写入文件数量越来越多，碎片化会越来越严重，可能一开始的文件碎片数量较少，随着时间推移IO次数增加碎片数量会越来越多。这也是所有采用此类方案智能摄像头的共同点：
- 块(簇)大小为32SEC，块(簇)是文件系统分配的最小单元，其值越小意味着碎片数量更多;
- 文件容量更大，可能是摄像头分辨率更高吧，所以导致文件容量是常见的一倍还要多一点（常见的一般是4M到8M，此案例中文件大小基本是在12M到18M之间），更大的容量意味着需要的块（簇）数量更多，也就意味着碎片是常见案例的几倍甚至十几倍。
- 时间跨度近十小时，文件数量超过600个。
故障处理:
以下是之前一些同类案例原理说明，懒得码字了直接ctrl+v：
由于文件名中就包含了日期和时间所以这个也可以精确定位到客户需要的文件，经过通用软件扫描发现客户要的文件名都在，而且第一簇起始是相对靠中间的，所以恢复的机率还是比较大的。
下边这些话照抄之前的案例，解释的很清楚，就不再码字了 :-） :-） :-）
下图可以看到通用恢复软件只会定位到文件目录所在的第一个簇，也就是文件头所在，但是后边的区域就是直接以长度获取了，所以肯定是不能用的。通过这个方法成功定位了客户所要的时间段，由于是采用裸流，所以计划提取文件头所在的簇，得到第一帧画面，来和客户确定数据。但是发现失败了，因为以一个簇为单位进行提取发现视频帧是不完整的，说明碎片极小可能只有一个簇的大小（可以理解为首帧长度>簇长度）。其原理如图5，第一帧至少有三个DATA分割分别是DATA0~DATA2,注意DATA区本身就是对现实环境抽象化取值再转换成数字化的底层数据其是压缩类数据，没有参考值。另外就是图5中是为了方便介绍用了比较简单的方式，现实中可能DATA1和DATA0会“距离”很远，极端情况下也有可能DATA1位于DATA0之前（这在所有文件系统中都是允许的）。
图4：视频、音频帧数据存在碎片的简略图
超大的文件数量表明“moov视频RAW级重组程序“需要进行大的升级，以提升恢复效率，总结了下对程序做以下升级:
- 增加FAT32目录读取功能，这样就不用在通用恢复软件来回切换指定文件了。（如图5）
- 把手工指定文件全部改成自动化处理，通过1来获取文件属性，得到起始簇(不要忘记了FAT32的高位清0问题 图6)。
- 引入全局簇概念，对逻辑盘中所有簇进行统一标识，提升效率。
- 由于增加了很多功能，整体结构也趋于复杂，为了方便管理开启外部扫描结果保存的功能。
图5： 增加FAT32目录读取功能
图6：增加自动处理功能
升级后的程序大大提升了恢复效率，经过5天的处理恢复了客户所有时间段的数据，辅助程序已经具备了处理大量文件的能力。
图7：重组好的部分视频文件
这就是慧耳视智能摄像头删除后的恢复方法，对于此类智能摄像头，CHS恢复的效果可以做到取证级---确保每一帧声音、画面都100%正常，目前成功助力国内各大公检法机构的取证请求，大家在遇到此类问题时，欢迎和我们联系！