嵌入式安防设备的数据提取方法与流程

本发明属于数据恢复领域，涉及一种嵌入式安防设备的数据提取方法。

背景技术：

国内经济的蓬勃发展带动了不少行业的发展，安保行业正是受益于经济发展过程之中增长趋势最为明显的行业之一。尤其是2020欧洲杯投注官网 监控技术不断发展的今天，高清监控2020欧洲杯投注官网 、多角度2020欧洲杯投注官网 技术等专业的监控设备在各个行业多种场所都得到了有效地推广。2020欧洲杯投注官网 监控设备在为实现安定和谐安全的社会环境上做出了巨大的贡献。监控探头所拍摄下来的2020欧洲杯投注官网 显得尤其重要。

嵌入式系统是一种完全嵌入受控器件内部，为特定应用而设计的专用的操作系统，嵌入式系统监控机则是一个控制程序存储在只读存储器中的嵌入式处理器控制板，用于控制和监视摄像探头的装置。从整体性能上来看，嵌入式硬盘录像机表现出来了无比强大的优越性能，并且从目前的市场占有率上看，已经成为安防界的主流产品。

在发达国家，不少监控设备上面存储的数据都是经过多重备份以便确保其数据存储具备高度的安全性。然而，为了节省企业的开支以及降低管理上的难度，很多的持有监控设备的单位并没有做过多的数据安全措施，这就意味着一旦设备上存储的2020欧洲杯投注官网 资料一旦丢失或出现其他故障，将使得安防功能并无法起到相关的作用。此外，在部分情况下，也为不少案件提供了最真实，最可靠的2020欧洲杯投注官网 证据，成为了法院决断的依据。因此对监控设备的数据提取与恢复具有重大意义。

由于监控2020欧洲杯投注官网 的存储是设备厂商自定义的存储格式，不同于任何一种传统意义上的文件系统，这导致传统的数据恢复技术无法应用到监控机的 2020欧洲杯投注官网 数据提取与恢复中。目前，在针对嵌入式监控机的删除后产生的碎片文件、覆盖后的残余文件无法恢复，而且恢复出来的2020欧洲杯投注官网 文件的状态属性不能加以区分。

本发明的方法主要是针对安联锐视嵌入式监控设备产生的数据进行解析从而实现数据提取与恢复。

本发明涉及到的部分专业术语：

磁盘分区：在磁盘上划分几个逻辑部分，每一部分都称之为分区；

正常数据：是指在磁盘分区的文件分配表中有已使用的标记和已使用字节数的块中可正常播放的2020欧洲杯投注官网 数据；

丢失数据：是指磁盘分区的文件分配表中标识为未使用区域的块所对应的地址中保存的可播放的有效2020欧洲杯投注官网 数据；

覆盖数据：是指在磁盘分区的文件分配表中有已使用的标记的块中标记为未使用的中可正常播放的2020欧洲杯投注官网 数据。

技术实现要素：

本发明针对现有技术的不足，提供了一种嵌入式安防设备的数据提取方法，能够有效的解决现有技术无法恢复监控机的未使用区域的丢失文件、已使用区域中未被覆盖的碎片文件；即使能进行2020欧洲杯投注官网 数据的恢复，但也无法对文件属性加以区分等问题。

为解决以上问题，本发明采用的技术方案如下：一种嵌入式安防设备的数据提取方法，包括以下步骤：

S1加载磁盘，并读取磁盘0-3扇区信息和磁盘的分区结构信息；

S2检测磁盘是否符合监控设备在存储文件时的基本结构，若符合则跳至S3，不符合跳至S1；

S3解析磁盘的引导扇区的记录信息；

S4根据磁盘使用的位图表信息来解析磁盘的使用情况，读取对应地址的相应数据；

S5读取丢失数据和覆盖数据；

S51解析磁盘的位图表信息解析出磁盘的空闲块，并计算出该块对应的数据区地址，判断该地址的内容是否为空，不为空时按照嵌入式监控设备的2020欧洲杯投注官网 数据结构提取有效的2020欧洲杯投注官网 数据；

S52解析磁盘的位图表信息，遍历在磁盘的正常文件，计算出该块对应的数据区地址，判断该地址的内容中未使用的部分是否为空，不为空时按照嵌入式监控设备的2020欧洲杯投注官网 数据结构提取有效的2020欧洲杯投注官网 数据；

S6按照正常数据、丢失数据、覆盖数据三种类别读取数据记录后，结合2020欧洲杯投注官网 文件的格式结构，分类别提取其对应的有效数据；

S7数据提取完成后，按照类型给提取出的2020欧洲杯投注官网 数据进行标记。

作为优选，其中，S4读取正常数据的详细流程如下所述：

S41跳至2048扇区读取磁盘的引导记录信息；

S42读取引导扇区记录内容，主要包括块大小、本磁盘中2020欧洲杯投注官网 起始时间、本磁盘中2020欧洲杯投注官网 结束时间的信息；

S43向后跳转2个扇区至位图表所在扇区地址，并读取位图表的信息；

S44判断位图表中记录的各块的使用情况，从位图表所在扇区地址的首字节开始，每0x40字节为一个块的记录表项，根据表项的记录信息判断其是否被使用，若任一块均未被使用则跳至S412，否则跳至S45；

S45读取当前第n块的位图表表项信息，n＝0；

S46根据S45读取的内容判断该块所对应的区域是否被使用，若该块 被使用则跳至S47,否则跳至S49；

S47根据公式计算出该块所记录的扇区地址，并读取扇区中所有数据；

S48创建已读取的块的集合N_i，并将该块号n作为集合N_i的元素，写入集合,其中i为大于等于1的整数；

S49向当前读取的位置向后跳转0x40字节；

S410判断S49所在的地址是否已经超出位图表所在区域，若未超出位图表所在的区域则跳至S45，否则跳至S411；

S411创建正常数据的集合N，将上述的N_i写入集合N；

S412按照2020欧洲杯投注官网 数据的时间、通道的信息标记上述检索到的文件，完成对正常数据的提取；

作为优选，S51读取丢失数据的详细流程如下所述：

S511跳至2048扇区读取磁盘的块大小、本磁盘中2020欧洲杯投注官网 起始时间、本磁盘中2020欧洲杯投注官网 结束时间的信息；

S512向后跳转2个扇区至位图表所在扇区地址，并读取位图表的信息；

S513读取当前第n块的位图表表项信息，n＝0；

S514根据S513读取的内容判断该块所对应的区域是否被使用，如果该块未被使用则跳至S515,否则跳至S518；

S515根据S513读取的块的位图表项信息，计算出该块对应的区域所在的扇区地址，判断扇区的内容是否全为0，若不是则跳至S516，否则跳至S518；

S516根据S515中计算的地址，结合录像机的2020欧洲杯投注官网 数据格式来读取该区域扇区中的所有符合录像机的2020欧洲杯投注官网 数据格式且有效的数据；

S517创建已读取的块的集合L_i，并将该块号n作为集合L_i的元素， 写入集合；

S518向当前读取的位置向后跳转0x40字节；

S519判断S518所在的地址是否已经超出位图表所在区域，若未超出位图表所在的区域则跳至S513，否则跳至S5110；

S5110创建丢失数据的集合L，将上述的L_i写入集合L；

S5111按照2020欧洲杯投注官网 数据的时间、通道的信息标记上述检索到的文件，完成对丢失数据的提取；

作为优选，S52读取覆盖数据的详细流程如下所述：

S521读取集合N中第n个元素记录的块号,n＝0；

S522根据S521解析结果，跳至位图表中该块的表项所在扇区地址，并读取表项的信息；

S523根据块的表项记录信息，计算出块所在的扇区地址，并计算块中的未使用区域；

S524根据S523计算结果读取该块中的未使用区域的数据；

S525判断S524读取的数据扇区内容是否全为0，若不是则跳至S526，否则跳至S528；

S526根据S524中读取的数据，结合录像机的2020欧洲杯投注官网 数据格式来读取该区域扇区中的所有符合录像机的2020欧洲杯投注官网 数据格式且有效的数据；

S527创建已读取的块的集合F_i，并将该块号n作为集合F_i的元素，写入集合；

S528读取集合N中的下一个元素；

S529判断S528所读取元素的是否超出集合N的范畴，若未超出则跳至S523，否则跳至S5210；

S5210创建覆盖数据的集合F，将上述的F_i写入集合F；

S5211按照2020欧洲杯投注官网 数据的时间、通道的信息标记上述检索到的文件，完成对覆盖数据的提取。

本发明的有益效果如下：本发明采用了解析磁盘的分区情况，并解析分区的起始地址、大小、引导扇区地址；根据分区所使用的文件系统格式解析分区的各项参数及分区的使用情况，读取对应地址的相应数据；读取丢失数据和覆盖数据；按照正常数据、丢失数据、覆盖数据三种类别读取数据记录后，结合2020欧洲杯投注官网 文件的格式结构，分类别提取其对应的有效数据。基于上述方法，本发明可以快速判断磁盘数据是否为安联锐视的监控2020欧洲杯投注官网 数据格式，也可以提取出磁盘数据中有效的2020欧洲杯投注官网 数据文件，包括正常数据文件、丢失数据文件和覆盖数据文件；还可以正确区分2020欧洲杯投注官网 数据文件正常、丢失、覆盖的状态。

附图说明

图1 磁盘数据解析主流程；

图2 S4读取正常数据记录流程；

图3 S511读取丢失数据记录流程；

图4 S512读取覆盖数据记录。

具体实施方式

为使本发明的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明做进一步详细说明。

针对上述提出的问题，本发明提出一种针对嵌入式安防设备的数据提取的方法，该方法不仅高效提取正常的2020欧洲杯投注官网 数据，还能将非正常的数据有效的恢复。

下面详细介绍安联锐视嵌入式监控设备在存储文件时的基本结构。为了更为方便的阐述本发明中的方法，本例使用安联锐视AH9816B型号录像机生成的2020欧洲杯投注官网 数据格式为例进行阐述，存储介质在接入该类型机器后被初始化，初始化结果是将存储介质分为1个分区，且该分区具有如下如果下的结构特点：分区的引导扇区的信息记录在24扇区，该扇区记录了磁盘中的扇区大小，每块扇区数，第一个数据区的块号，位图表的地址，首块的扇区地址等信息。

安联锐视录像机的真实2020欧洲杯投注官网 数据格式有如下的特征：

特征一：数据文件是以0x5253466D为文件特征头；

特征二：相对数据文件特征头偏移0x06表示2020欧洲杯投注官网 数据记录的通道编号；

特征三：相对数据文件特征头偏移0x10～0x15记录了2020欧洲杯投注官网 数据是否可播放的标记信息，且可播放标记的值是0x 00000001674D；

本发明的恢复方法包括以下内容：

S1加载磁盘，并读取磁盘0-3扇区信息,解析其是否符合GPT分区结构特征；

S2检测磁盘是否符合安联锐视监控设备在存储文件时的基本结构，若符合则跳至S3，不符合跳至S1。

具体地，判断是否符合安联锐视监控设备在存储文件时的基本结构的条件有以下两条准则：

准则一：磁盘的0-2扇区结构符合GPT分区类型的结构特征，且仅有一个ext4格式的分区；

准则二：磁盘的2048扇区的前四字节为0x50617274；

S3解析磁盘的引导扇区内容，跳至2048扇区解析其中记录的块大小、 本磁盘中2020欧洲杯投注官网 起始时间、本磁盘中2020欧洲杯投注官网 结束时间的信息，具体地，相对扇区起始偏移0x04～0x05记录的值表示磁盘所有块的总个数，相对扇区起始偏移0x06～0x07记录的值表示磁盘未使用块的总个数，相对扇区起始偏移0x10～0x13记录的值表示磁盘中记录的2020欧洲杯投注官网 数据的起始时间，相对扇区起始偏移0x14～0x17记录的值表示盘中记录的2020欧洲杯投注官网 数据的起始时间；

S4根据磁盘使用的位图表信息来解析磁盘的使用情况，读取对应地址的相应数据；

S5读取丢失数据和覆盖数据；

S51解析磁盘的位图表信息解析出磁盘的空闲块，并计算出该块对应的数据区地址，判断该地址的内容是否为空，不为空时按照安联锐视嵌入式监控设备的2020欧洲杯投注官网 数据结构提取有效的2020欧洲杯投注官网 数据；

S52解析磁盘的位图表信息，遍历在磁盘的正常文件，计算出该块对应的数据区地址，判断该地址的内容中未使用的部分是否为空，不为空时按照安联锐视嵌入式监控设备的2020欧洲杯投注官网 数据结构提取有效的2020欧洲杯投注官网 数据；

S6按照正常数据、丢失数据、覆盖数据三种类别读取数据记录后，结合2020欧洲杯投注官网 文件的格式结构，分类别提取其对应的有效数据；

S7数据提取完成后，按照类型给提取出的2020欧洲杯投注官网 数据进行标记。

其中，S4读取正常数据的详细流程如下所述：

S41跳至2048扇区读取磁盘的引导记录信息；

S42读取引导扇区记录内容，主要包括块大小、本磁盘中2020欧洲杯投注官网 起始时间、本磁盘中2020欧洲杯投注官网 结束时间的信息，具体地，相对扇区起始偏移0x04～0x05记录的值表示磁盘所有块的总个数，相对扇区起始偏移0x06～0x07记录的值表示磁盘未使用块的总个数，相对扇区起始偏移0x10～0x13记录的值表 示磁盘中记录的2020欧洲杯投注官网 数据的起始时间，相对扇区起始偏移0x14～0x17记录的值表示盘中记录的2020欧洲杯投注官网 数据的起始时间；

S43向后跳转2个扇区至位图表所在扇区地址，并读取位图表的信息，具体地，位图表所在扇区地址的首字节开始，每0x40字节为一个块的块记录表项，在每一个块表项中，前4字节为表项的特征头0x46696C65，相对于块表项记录头部偏移0x05记录的值表示块的编号；0x0C～0x0F记录的值表示块所对应2020欧洲杯投注官网 数据的起始时间，相对于块表项记录头部偏移0x10～0x13记录的值表示块所对应2020欧洲杯投注官网 数据的结束时间，相对于块表项记录头部偏移0x18～0x1B记录的值表示该块对应的2020欧洲杯投注官网 数据已使用的字节数+0x400，相对于块表项记录头部偏移0x1C～0x1F记录的值表示该块的中除去该块流表的总字节数；

S44判断位图表中记录的各块的使用情况，从位图表所在扇区地址的首字节开始，每0x40字节为一个块的记录表项，根据表项的记录信息判断其是否被使用，若块表项中除前4字节为表项的特征头0x46696C65，第五个字节为块的编号外其余字节全为0x00,则表示该块未被使用，否则表示该块被使用，根据这一准则来判断位图表中各表项的使用情况，若任一块均未被使用则跳至S412，否则跳至S45；

S45根据S43、S44中解析的块表项信息，结合公式块的使用记录项相对2048扇区的偏移扇区数＝2+[总块数*0x40/512]+1+块编号*20，读取当前第n(n的初始值为0)块的使用记录项信息。具体地，每个使用记录项的长度为20个扇区，在每个块对应的使用记录项中，每个使用记录项前四字节为使用记录项的特征头0x4576656E，相对用记录项的特征头偏移0x04～0x07记录的值表示该块2020欧洲杯投注官网 数据的起始时间，相对用记录项的特征头 偏移0x0B～0x0F记录的值表示该块2020欧洲杯投注官网 数据的总字节数，相对用记录项的特征头偏移0x18～0x1B记录的值表示该块2020欧洲杯投注官网 数据的结束时间，相对用记录项的特征头偏移0x1C～0x1F记录的值表示该块2020欧洲杯投注官网 数据的实际使用字节数，相对用记录项的特征头偏移0x20～0x23记录的值表示该块的中除去该块流表的总字节数；

S46根据S45读取的内容判断块是否被使用，若使用的字节数为0，则表示该块未被使用，则跳至S49,否则跳至S47；

S47根据S46结果，读取块所对应的扇区中的已使用字节数长度的数据；

S48创建已读取的块的集合N_i，并将该块号n作为集合N_i的元素，写入集合；

S49跳至当前块的位图表项，再向当前读取的位置向后跳转0x40字节；

S410判断S49所在的地址是否已经超出位图表所在区域，判断的标准是读取当前偏移地址是否超过总块数*0x40的范围，若超出位图表的区域则跳至S411，否则跳至S45；

S411创建正常数据的集合N，将上述的N_i写入集合N；

S412按照2020欧洲杯投注官网 数据的时间、通道等信息标记上述检索到的文件，完成对正常数据的提取；

S51读取丢失数据的详细流程如下所述：

S511跳至2048扇区读取磁盘的引导记录信息，读取引导扇区记录内容，主要包括块大小、本磁盘中2020欧洲杯投注官网 起始时间、本磁盘中2020欧洲杯投注官网 结束时间的信息，具体地，相对扇区起始偏移0x04～0x05记录的值表示磁盘所有块的总个数，相对扇区起始偏移0x06～0x07记录的值表示磁盘未使用块的总个 数，相对扇区起始偏移0x10～0x13记录的值表示磁盘中记录的2020欧洲杯投注官网 数据的起始时间，相对扇区起始偏移0x14～0x17记录的值表示盘中记录的2020欧洲杯投注官网 数据的起始时间；

S512根据S511解析结果，向后跳转2个扇区至位图表所在扇区地址；

S513读取当前第n(n的初始值为0)块的位图表表项信息，具体地，位图表所在扇区地址的首字节开始，每0x40字节为一个块的块记录表项，在每一个块表项中，前4字节为表项的特征头0x46696C65，相对于块表项记录头部偏移0x05记录的值表示块的编号；0x0C～0x0F记录的值表示块所对应2020欧洲杯投注官网 数据的起始时间，相对于块表项记录头部偏移0x10～0x13记录的值表示块所对应2020欧洲杯投注官网 数据的结束时间，相对于块表项记录头部偏移0x18～0x1B记录的值表示该块对应的2020欧洲杯投注官网 数据已使用的字节数+0x400，相对于块表项记录头部偏移0x1C～0x1F记录的值表示该块的中除去该块流表的总字节数；

S514根据S513读取的内容判断该块所对应的区域是否被使用，如果该块未被使用则跳至S515,否则跳至S518；

S515根据S513中解析的块表项信息，结合公式块的使用记录项相对2048扇区的偏移扇区数＝2+[总块数*0x40/512]+1+块编号*20，读取当前第n块的使用记录项信息，计算出该块对应的区域所在的扇区地址，判断所有扇区的内容是否全为0，若不是则跳至S516，否则跳至S518；

S516根据S515中计算的地址，结合安联锐视录像机的2020欧洲杯投注官网 数据格式来读取该区域扇区中的所有符合安联锐视录像机的2020欧洲杯投注官网 数据格式且有效的数据；

S517创建已读取的块的集合L_i，并将该块号n作为集合L_i的元素， 写入集合；

S518跳至当前块的位图表项，再向当前读取的位置向后跳转0x40字节；

S519判断S518所在的地址是否已经超出位图表所在区域，判断的标准是读取当前偏移地址是否超过总块数*0x40的范围，若超出位图表则跳至S5110，否则跳至S513；

S5110创建丢失数据的集合L，将上述的L_i写入集合L；

S5111按照2020欧洲杯投注官网 数据的时间、通道等信息标记上述检索到的文件，完成对丢失数据的提取；

S52读取覆盖数据的详细流程如下所述：

S521读取集合N中第n(n初始值为1)个元素记录的块号；

S522根据S521解析结果，根据公式第n块表项相对引导扇区(即2048扇区)起始的偏移字节数＝(块表项的编号n)*0x40+0x400，跳至位图表中该块的表项所在的地址，并读取表项的信息；

S523根据块的表项记录信息，再结合公式块的使用记录项相对2048扇区的偏移扇区数＝2+[总块数*0x40/512]+1+块编号*20，读取该块的使用记录项信息，并计算块中的未使用区域的地址和字节数；

S524根据S523计算结果读取该块中的未使用区域的数据；

S525判断S524读取的数据扇区内容是否全为0，若不是则跳至S526，否则跳至S528；

S526根据S524中读取的数据，结合安联锐视录像机的2020欧洲杯投注官网 数据格式来读取该区域扇区中的所有符合安联锐视录像机的2020欧洲杯投注官网 数据格式且有效的数据；

S527创建已读取的块的集合F_i，并将该块号作为集合F_i的元素，写入集合；

S528读取集合N中的下一个元素；

S529判断S528所读取下一个元素是否仍属于集合N，即判断(n+1)∈N是否成立，若成立则跳至S523，否则跳至S5210；

S5210创建覆盖数据的集合F，将上述的F_i写入集合F；

S5211按照2020欧洲杯投注官网 数据的时间、通道等信息标记上述检索到的文件，完成对覆盖数据的提取。