CN106407035B - 一种基于dhfs文件系统的监控视频数据恢复方法 - Google Patents

Abstract

本发明公开了一种基于DHFS文件系统的监控视频数据恢复方法,步骤如下：S1加载磁盘，读取磁盘特征标记所在扇区信息并解析；S2检测磁盘数据标记是否符合DHFS文件系统结构；S3解析磁盘中分区引导记录中的参数；S4计算第一个或下一块数据块的起始地址，读取块的数据；S5按照视频数据流格式解析读取的数据；S6记录每一帧视频数据流的信息；S7重复S4‑S6解析每一块的数据，将所有数据进行重组；S8验证重组后的数据是否符合视频数据流格式。本发明的有益效果如下：完整解析DHFS文件系统被初始化的数据内容；重组DHFS文件系统的初始化后的碎片数据；可对缺失数据的帧进行重组，恢复重组视频成功率高。

Description

一种基于DHFS文件系统的监控视频数据恢复方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种基于DHFS文件系统的监控视频数据恢复方法。

背景技术

国内经济的蓬勃发展带动了不少行业的发展，安保行业正是受益于经济发展过程之中增长趋势最为明显的行业之一。尤其是在视频监控技术不断发展的今天，高清监控视频、多角度视频技术等专业的监控设备在各个行业多种场所都得到了有效地推广。视频监控设备在为实现安定和谐安全的社会环境上做出了巨大的贡献。监控探头所拍摄下来的视频显得尤其重要。

嵌入式系统是一种完全嵌入受控器件内部，为特定应用而设计的专用的操作系统，嵌入式系统监控机则是一个控制程序存储在只读存储器中的嵌入式处理器控制板，用于控制和监视摄像探头的装置。从整体性能上来看，嵌入式硬盘录像机表现出来了无比强大的优越性能，并且从目前的市场占有率上看，已经成为安防界的主流产品。

在发达国家，不少监控设备上面存储的数据都是经过多重备份以便确保其数据存储具备高度的安全性。然而，为了节省企业的开支以及降低管理上的难度，很多的持有监控设备的单位并没有做过多的数据安全措施，这就意味着一旦设备上存储的视频资料一旦丢失或出现其他故障，将使得安防功能并无法起到相关的作用。此外，在部分情况下，也为不少案件提供了最真实，最可靠的视频证据，成为了法院决断的依据。因此对监控设备的数据提取与恢复具有重大意义。

由于监控视频的存储是设备厂商自定义的存储格式，不同于任何一种传统意义上的文件系统，这导致传统的数据恢复技术无法应用到监控机的视频数据提取与恢复中。

目前，在针对DHFS文件系统嵌入式监控机的删除后产生的碎片文件、覆盖后的残余文件无法恢复，而且恢复出来的视频文件的状态属性不能加以区分。

发明内容

本发明针对现有技术的缺陷，提供了一种基于DHFS文件系统的监控视频数据恢复方法，能有效的解决上述现有技术存在的问题。

一种基于DHFS文件系统的监控视频数据恢复方法，包括以下步骤：

S1：加载磁盘，并读取磁盘特征标记所在扇区信息并解析；

S2：检测磁盘0号扇区是否含有特征标记“0x44484653”，且标记之后是否记录着DHFS文件系统版本号；磁盘0x1E号扇区是否记录着磁盘的主分配记录表；上述都符合则执行S3，不符合则结束，其中，DHFS文件系统的结构包括磁盘标记、主分配记录、分区结构；

S3：解析磁盘中分区引导记录中的参数，获取各个分区的起始地址信息和分区大小；

S4：根据S3中解析的参数，解析分区的引导记录信息，获取分区中的块大小和数据区的起始块号；

S5：将S4中读取的块数据按照DHFS文件系统中视频数据流格式解析；解析分区的引导记录信息，获取分区中的块大小和数据区的起始块号；解析每一帧中的帧特征头、通道号、视频数据帧对应的长度、视频数据帧对应的视频起始时间，根据公式下一帧起始地址＝第一帧的帧特征头起始地址+当前帧的帧长度来计算下一帧的起始地址，依次解析完该块的所有数据；若解析块中最后一个帧数据出现块中所剩下的数据长度小于帧长度，则计算当前帧中数据缺失字节数，依据公式当前帧中数据缺失字节数＝帧长度-块中所剩下的数据长度；

S6：将一个块中数据解析完成后，按照分区顺序以及分区中块顺序记录每一帧中的通道、帧对应视频数据的起始时间、帧数据相对于块起始地址的偏移值、帧数据完整性标记、帧中数据缺失字节数；判断数据是否完整，若完整则执行S7，若不完整，需要记录当前帧数据的缺失字节数再执行S7；

S7重复S4-S6解析磁盘中所有分区的每一块所包含的帧数据结构，然后按照记录的帧的信息中的通道和视频数据的起始时间拼接整个磁盘中的数据；

S8将S7重组完成的数据进行校验，验证重组后的数据是否符合DHFS文件系统中的视频数据流格式。

作为优选，S7重组中在若遇见不完整的帧需要判断标注有如下几点：

标准一：帧是否有帧中数据缺失字节数；

标准二：检测磁盘的分区中每块的第一个帧的帧数据相对于块起始地址的偏移值是否存在等于标准一种的帧中数据缺失字节数；

标准三：缺失数据的帧中记录的通道、视频起始时间信息是否与标准二中匹配的块的第一个帧中的通道、视频起始时间信息相匹配，匹配的原则是通道相同、视频起始时间差值小于1s；

当以上标准都满足时将缺省帧进行重组恢复，完成数据的有效整合，若不满足则不参与重组，单独存储。

与现有技术相比本发明的优点在于：完整解析DHFS文件系统被初始化的数据内容；重组DHFS文件系统的初始化后的碎片数据；可对缺失数据的帧进行重组，恢复重组视频成功率高。

附图说明

图1为本发明DHFS磁盘数据结构示意图；

图2为本发明DHFS中视频数据帧结构示意图。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下举实施例，对本发明做进一步详细说明。

首先介绍存储基于DHFS文件系统的监控视频数据的磁盘结构，一个磁盘被DHFS文件系统初始化后，其主要结构如图1所示，分为磁盘标记、主分配记录、分区结构，其中磁盘标记记录着DHFS的文件系统版本信息，该数据通常位于磁盘0x0扇区，偏移地址0x00～0x07；主分配记录着磁盘划分分区的信息，该记录位于磁盘0x1E扇区，第一个分区表项的相对0x1E扇区起始偏移地址为0x48，每个分区信息表项的长度为0x40，每个分区信息表项包含了分区的起始地址和分区引导记录相对起始地址的偏移地址；分区结构分区引导记录中主要记录了每扇区字节数、每块扇区数、文件首块号、目录文件位图开始扇区、文件分配表的开始扇区、数据存储区开始扇区、块个数、数据存储区备份的开始扇区、通道个数等信息，文件分配表是对数据存储区是否使用的一个管理区域，文件分配表项的长度为0x20，一个表项对应数据存储区的一个块，每个表项中记录对应块的是否使用标记、块中记录的视频数据的通道、块中记录的视频数据的开始时间、块中记录的视频数据的结束时间、块中记录的视频数据上一个块序号、块中记录的视频数据下一个块序号，数据存储区记录真实的视频数据文件，在磁盘中每个分区结构是完全一致的。

下面具体的介绍本发明方法的主要流程：

一种基于DHFS文件系统的监控视频数据恢复方法，包括以下步骤：

S1：加载磁盘，并读取磁盘0号扇区特征标记，解析DHFS文件系统的版本号信息；

S2：加载磁盘0x00和0x1E扇区，读取并解析该处扇区的数据内容，判断磁盘数据结构是否符合存储基于DHFS文件系统的监控视频数据的磁盘结构，判断的主要依据是：

依据一：磁盘0号扇区含有特征标记“0x44484653”，且标记之后记录着DHFS文件系统版本号；

依据二：磁盘0x1E号扇区记录着磁盘的主分配记录表；

若磁盘结构同时符合上述依据，则跳转至S3，不符合则结束；

S3：根据S2中解析磁盘的主分配记录表信息，获取各个分区的起始地址信息和分区大小，主分配记录位于磁盘0x1E扇区，分区表项的起始地址是相对0x1E扇区起始偏移地址为0x48，每个分区信息表项的长度为0x40，每个分区信息表项相对表项起始偏移0x00长度为0x02表示分区引导记录相对起始地址的偏移地址，每个分区信息表项相对表项起始偏移0x1C长度为0x04表示分区起始地址；

S4：根据S3中解析的参数，跳转至分区的起始地址，解析分区的引导记录信息，获取分区中的块大小和数据区的起始块号，相对分区引导记录起始地址偏移0x30～0x31的值记为块大小、相对分区引导记录起始地址偏移0x38～0x3B的值记为数据区使用的第一个块号，相对分区引导记录起始地址偏移0x48～0x4B的值记为数据区使用的首扇区号，根据公式第一个块/下一个块的首扇区值＝数据区使用的首扇区号+(数据区使用的第一个块号+x)*块大小，其中x取值从0开始，计算第一个或下一块数据块的起始地址，并跳转到相应地址读取块的数据；

S5：将S4中读取的数据按照DHFS文件系统中视频数据流格式解析并读取的数据，DHFS文件系统中视频数据流格式为图2所示，在每一帧中都包含帧特征头为“0x44484156”，在相对帧特征头偏移0x06-0x07表示该视频数据帧对应的通道号，在相对帧特征头偏移0x0C-0x0D表示该视频数据帧对应的长度，在相对帧特征头偏移0x10-0x13表示该视频数据帧对应的视频起始时间，按照此结构解析块中的每一帧数据，根据公式下一帧起始地址＝第一帧的帧特征头起始地址+当前帧的帧长度来计算下一帧的起始地址，依次解析完该块的所有数据，特别地，在解析帧数据时，当在解析块中最后一个帧数据时，会出现块中所剩下的数据长度小于帧长度，此时需要计算当前帧中数据缺失字节数，依据公式当前帧中数据缺失字节数＝帧长度-块中所剩下的数据长度；

S6：将一个块中数据解析完成后，按照分区顺序以及分区中块顺序记录每一帧中的通道、帧对应视频数据的起始时间、帧数据相对于块起始地址的偏移值、帧数据完整性标记、帧中数据缺失字节数，其中当帧的数据内容是完整将帧数据完整性标记记录为0x00，其余记为0x01。判断数据是否完整的依据是当前帧的帧特征头所在的地址与下一帧的帧特征头所在的地址之差是否等于当前帧的帧长度，若相等则表示当前帧数据是完整的，否则表示不完整，当帧的帧数据完整性标记为0x01时，需要记录当前帧数据的缺失字节数；

S7：重复S4-S6解析磁盘中所有分区的每一块所包含的帧数据结构，然后按照记录的帧的信息中的通道和视频数据的起始时间拼接整个磁盘中的数据，在进行数据重组时，需要对帧的帧数据完整性标记为0x01进行拼接重组，判断标注有如下几点：

标准一：帧的帧数据完整性标记为0x01的帧是否有帧中数据缺失字节数；

标准二：检测磁盘的分区中每块的第一个帧的帧数据相对于块起始地址的偏移值是否存在等于标准一种的帧中数据缺失字节数；

标准三：缺失数据的帧中记录的通道、视频起始时间信息是否与标准二中匹配的块的第一个帧中的通道、视频起始时间信息相匹配，匹配的原则是通道相同、视频起始时间差值小于1s；

当以上标准都满足时可以将帧的帧数据完整性标记为0x01的缺省帧进行重组恢复，完成数据的有效整合；

S8将S7重组完成的数据进行校验，验证重组后的数据所包含的每一帧是否均符合DHFS文件系统中的视频数据流格式。

本领域的普通技术人员将会意识到，这里所述的实施例是为了帮助读者理解本发明的实施方法，应被理解为本发明的保护范围并不局限于这样的特别陈述和实施例。本领域的普通技术人员可以根据本发明公开的这些技术启示做出各种不脱离本发明实质的其它各种具体变形和组合，这些变形和组合仍然在本发明的保护范围内。

Claims (2)

1.一种基于DHFS文件系统的监控视频数据恢复方法，包括以下步骤：

S1：加载磁盘，并读取磁盘特征标记所在扇区信息并解析；

S2：检测磁盘0号扇区是否含有特征标记“0x44484653”，且标记之后是否记录着DHFS文件系统版本号；磁盘0x1E号扇区是否记录着磁盘的主分配记录表；上述都符合则执行S3，不符合则结束，其中，DHFS文件系统的结构包括磁盘标记、主分配记录、分区结构；

S3：解析磁盘中分区引导记录中的参数，获取各个分区的起始地址信息和分区大小；

S4：根据S3中解析的参数，解析分区的引导记录信息，获取分区中的块大小和数据区的起始块号；

S5：将S4中读取的块数据按照DHFS文件系统中视频数据流格式解析；解析分区的引导记录信息，获取分区中的块大小和数据区的起始块号；解析每一帧中的帧特征头、通道号、视频数据帧对应的长度、视频数据帧对应的视频起始时间，根据公式下一帧起始地址＝第一帧的帧特征头起始地址+当前帧的帧长度来计算下一帧的起始地址，依次解析完该块的所有数据；若解析块中最后一个帧数据出现块中所剩下的数据长度小于帧长度，则计算当前帧中数据缺失字节数，依据公式当前帧中数据缺失字节数＝帧长度-块中所剩下的数据长度；

S6：将一个块中数据解析完成后，按照分区顺序以及分区中块顺序记录每一帧中的通道、帧对应视频数据的起始时间、帧数据相对于块起始地址的偏移值、帧数据完整性标记、帧中数据缺失字节数；判断数据是否完整，若完整则执行S7，若不完整，需要记录当前帧数据的缺失字节数再执行S7；

S7重复S4-S6解析磁盘中所有分区的每一块所包含的帧数据结构，然后按照记录的帧的信息中的通道和视频数据的起始时间拼接整个磁盘中的数据；

S8将S7重组完成的数据进行校验，验证重组后的数据是否符合DHFS文件系统中的视频数据流格式。

2.根据权利要求1所述的一种基于DHFS文件系统的监控视频数据恢复方法，其特征在于S7重组中在若遇见不完整的帧需要判断标注有如下几点：

标准一：帧是否有帧中数据缺失字节数；

标准二：检测磁盘的分区中每块的第一个帧的帧数据相对于块起始地址的偏移值是否存在等于标准一种的帧中数据缺失字节数；

标准三：缺失数据的帧中记录的通道、视频起始时间信息是否与标准二中匹配的块的第一个帧中的通道、视频起始时间信息相匹配，匹配的原则是通道相同、视频起始时间差值小于1s；

当以上标准都满足时将缺省帧进行重组恢复，完成数据的有效整合，若不满足则不参与重组，单独存储。