Восстановление видео данных с видеорекордера

На восстановление данных попал видеорекордер PVDR-042, от производителя Lan Castle Technology, продаваемый у нас под торговой маркой Polyvision.

Polyvision PVDR-042

Девайс прислали спец-курьером из Краснодара. Предыстория следующая: на торговом складе был пожар, и теперь нужно выяснить, кто виноват с целью обложить виновников данью непосильной. Видеорекордер и диск в нем при пожаре не пострадали, но штатно ничего посмотреть не получалось. Дело в том, что диск с регистратора был сразу после пожара передан в местное МЧС, где его попытались в Windows инициализировать, тем самым порушив заголовки и сделав так, что HDD в видеорекордере стал опознаваться как неинициализированный. Вслед за этим, как обычно, пробовали поискать фирмы на месте, но никто сделать не смог. В заключении, все оборудование отправили на диагностику в нашу лабораторию.

Диагностика выявила, что видео-рекордер не использует ни одну из известных и распространенных на ПК файловых систем, а хранит все в своем собственном собственном формате. Для анализа и получения понимания о внутренней структуре хранения видео в рекордере, нами был использован специально подготовленный (прописанный однородным HEX паттерном) винчестер. После установки HDD в видеорегистратор, он был отформатирован встроенными средствами самого рекордера, вслед за чем была произведена тестовая запись в различных режимах. В ходе исследования были обнаружены и идентифицированы блоки видео-данных, хранящие индексы видеозаписей, расшифрованы служебные отметки встроенного ПО видео-рекордера , а также было обнаружено, что алгоритм кодирования видеопотока представляет собой переработку алгоритма MotionJPEG. Также обнаружилось, что исходный жесткий диск заказчика был повторно проинициализирован регистратором. Именно это привело к тому, что индексные записи о видео, ранее записанной видеорегистратором были утеряны и накопитель, полностью заполненный данными, виделся регистратором как абсолютно пустой.

Работы по исследованию путей восстановления видео с видеорекордера велись в двух направлениях. Изначально был опробован поиск методики декодирования видеопотока, для получения аутентичной копии видеоряда, которую можно было бы воспроизвести на обычном персонально компьютере. Тут исследование зашло в тупик, так как анализ алгоритма кодирования на основе тестовых фрагментов не позволял определить и экстраполировать устойчивые зависимости. Дальнейшие работы в этом направлении уперлись в необходимость декомпиляции исходного кода ПО регистратора и были признаны нецелесообразными.

Было решено двинуться по другому направлению: заставить видеорекордер в штатном режиме показать видеоряд, для чего требовалось выяснить точное назначение сервисных меток и заново воссоздать заголовки и таблицы индексов с параметрами записей, соответствующими оригинальным.

Попытки подсунуть другой видеопоток в валидный индекс на тестовом носителе приводили к тому, что рекордер игнорировал вставленный фрагмент и ничего не воспроизводил. Тогда было вынесено предположение, что непосредственно данные видеопотока содержат в себе еще дополнительные признаки, которые позволяют видеорекордеру распознавать видеопоток как допустимый к воспроизведению. Это предположение полностью подтвердилось. Видеопоток, побитый на блоки, содержал в себе временные метки, е если они не совпадали, то запись игнорировалась.

В результате проведенных исследований финальная стадия работ сократилась до достаточно тривиальной процедуры сканирования накопителя, с целью выяснения границ диапазонов видеопотока и составления корректной индексной таблицы. Потребовалось написание программы, в результате отработки которой диск смог воспроизводится на рекордере в штатном режиме, с сохранением всей нужной заказчику информации.

В заключении хочу выразить благодарность коллегам из компании BestAdmin за помощь в исследованиях и написании специального программного обеспечения.