بازیابی اطلاعات هارد DVR (جدیدترین روش‌ها 2025)

در عصر حاضر، سیستم‌های نظارت تصویری (Video Surveillance Systems) به عنوان یکی از ارکان حیاتی امنیت فیزیکی و دیجیتال شناخته می‌شوند. با گسترش استفاده از دوربین‌های مداربسته در محیط‌های مسکونی، تجاری و صنعتی، حجم داده‌های تولید شده توسط این سیستم‌ها به طور تصاعدی در حال افزایش است. دستگاه‌های ضبط دیجیتال (DVR) و ضبط تحت شبکه (NVR) وظیفه خطیر مدیریت، فشرده‌سازی و ذخیره‌سازی این حجم عظیم از داده‌ها را بر عهده دارند. با این حال، هنگامی که صحبت از بازیابی اطلاعات هارد DVR به میان می‌آید، این دستگاه‌ها چالش‌هایی را ایجاد می‌کنند که حتی برای متخصصین با تجربه فناوری اطلاعات نیز می‌تواند گمراه‌کننده باشد.

برخلاف سیستم‌های کامپیوتری استاندارد (PC) که بر اساس فایل‌سیستم‌های مستند و شناخته‌شده‌ای نظیر NTFS، FAT32، exFAT یا EXT4 عمل می‌کنند، اکوسیستم ذخیره‌سازی در دستگاه‌های DVR بر پایه معماری‌های انحصاری (Proprietary) و بهینه‌سازی شده برای “نوشتن ترتیبی” (Sequential Write) بنا شده است. این تفاوت بنیادین در لایه منطقی (Logical Layer) باعث می‌شود که ابزارهای استاندارد بازیابی اطلاعات و سیستم‌عامل‌های معمول، در مواجهه با هارد دیسک‌های خارج شده از یک دستگاه DVR، دچار ناتوانی در شناسایی یا تفسیر غلط داده‌ها شوند.

این گزارش تحقیقاتی با هدف ارائه یک تحلیل عمیق و فنی از ساختار داخلی هارد دیسک‌های مورد استفاده در سیستم‌های نظارتی، چالش‌های منحصر‌به‌فرد بازیابی آن‌ها و راهکارهای مهندسی برای استخراج داده‌ها تدوین شده است. ما در این سند، از سطح فیزیکی هارد دیسک آغاز کرده، به کالبدشکافی بایت‌به‌بیت فایل‌سیستم‌های مشهور مانند Hikvision و Dahua پرداخته و در نهایت پروتکل‌های عملیاتی برای بازیابی اطلاعات در سناریوهای پیچیده را تشریح خواهیم کرد. همچنین با توجه به اهمیت موضوع هزینه‌ها و قوانین، بخشی را به بررسی وضعیت بازار خدمات بازیابی اطلاعات در ایران بر اساس تعرفه‌های سال‌های 1403 و 1404 اختصاص خواهیم داد.

فصل اول: اکوسیستم سخت‌افزاری و معماری ذخیره‌سازی

1.1 تمایز فیزیکی: هاردهای نظارتی در برابر هاردهای دسکتاپ

پیش از ورود به مباحث نرم‌افزاری، درک بستر سخت‌افزاری ضروری است. اگرچه هاردهای مورد استفاده در DVR از رابط استاندارد SATA استفاده می‌کنند و از نظر ظاهری تفاوتی با هاردهای کامپیوتر ندارند، اما فیرم‌ویر (Firmware) و مکانیسم مدیریت خطای آن‌ها برای کاربردی کاملاً متفاوت طراحی شده است. هاردهای کلاس نظارتی (Surveillance Grade) مانند سری WD Purple یا Seagate SkyHawk برای کارکرد 24/7 و نوشتن مداوم طراحی شده‌اند.

یکی از ویژگی‌های کلیدی این هاردها، پشتیبانی از دستورات استریمینگ ATA است که اولویت را به “تداوم ضبط” می‌دهد تا “صحت صددرصدی داده”. در یک هارد دیسک کامپیوتر، اگر سکتوری دچار مشکل شود، هارد دیسک تلاش زیادی برای اصلاح خطا (Error Correction) انجام می‌دهد که ممکن است باعث مکث چند ثانیه‌ای شود. در سیستم نظارتی، این مکث به معنای از دست رفتن فریم‌های تصویری است. بنابراین، هاردهای نظارتی ممکن است از خیر تصحیح خطای دقیق بگذرند تا جریان ضبط قطع نشود. این ویژگی در فرآیند بازیابی اطلاعات اهمیت دارد، زیرا ممکن است با نواحی از داده مواجه شویم که دارای خطاهای بیتی هستند اما توسط کنترلر هارد نادیده گرفته شده‌اند.

1.2 معماری ضبط چرخشی (Cyclic Recording)

بنیادی‌ترین مفهوم در ذخیره‌سازی DVR، مکانیزم “FIFO” (First-In, First-Out) یا ضبط چرخشی است. برخلاف کامپیوتر که کاربر فایل‌ها را دستی پاک می‌کند، DVR به گونه‌ای برنامه‌ریزی شده که پس از پر شدن ظرفیت دیسک، به طور خودکار قدیمی‌ترین داده‌ها را بازنویسی (Overwrite) کند. این فرآیند “خودخواری” داده‌ها (Cannibalization) چالش اصلی در بازیابی اطلاعات است. اگر داده‌ای بازنویسی شود، به دلیل تغییر قطبیت‌های مغناطیسی روی سطح پلاتر، بازیابی آن با تکنولوژی‌های فعلی غیرممکن است. بنابراین، زمان (Time) در سناریوی از دست رفتن اطلاعات DVR، حیاتی‌ترین فاکتور است.

1.3 قطعه‌بندی (Fragmentation) در سطح کلان

در فایل‌سیستم‌های کامپیوتری، تلاش می‌شود فایل‌ها به صورت پیوسته ذخیره شوند. اما در DVRها، به دلیل ضبط همزمان چندین کانال (مثلاً 16 یا 32 دوربین)، داده‌ها به صورت بلوک‌های درهم‌تنیده (Interleaved) ذخیره می‌شوند. تصور کنید که DVR در هر ثانیه باید فریم‌هایی از 16 منبع مختلف را بنویسد. برای جلوگیری از حرکت زیاد هد هارد دیسک، این داده‌ها در بلوک‌های کوچک و پشت سر هم نوشته می‌شوند. نتیجه این است که اگر شما سعی کنید داده‌ها را بدون داشتن جدول اندیس (Index Table) و صرفاً با اسکن خام (Raw Scan) بازیابی کنید، با میلیون‌ها قطعه ویدئویی چند ثانیه‌ای مواجه خواهید شد که جدا کردن آن‌ها بر اساس کانال دوربین کاری بسیار دشوار است.

فصل دوم: کالبدشکافی فایل‌سیستم‌های اختصاصی (Proprietary File Systems)

دلیل اصلی ناکارآمدی ابزارهای معمول بازیابی اطلاعات (مانند ابزارهای مبتنی بر ویندوز)، استفاده سازندگان DVR از فایل‌سیستم‌های انحصاری است. این فایل‌سیستم‌ها فاقد جداول استاندارد MFT یا FAT هستند و سیستم‌عامل‌های ویندوز، لینوکس یا مک قادر به Mount کردن آن‌ها نیستند. در ادامه، ساختار داخلی دو مورد از رایج‌ترین این سیستم‌ها را تحلیل می‌کنیم.

2.1 تحلیل مهندسی فایل‌سیستم Hikvision

شرکت هایک‌ویژن (Hikvision) از ساختاری بسیار منظم اما کاملاً اختصاصی استفاده می‌کند. تحقیقات مهندسی معکوس نشان می‌دهد که فضای هارد دیسک در این سیستم به چندین ناحیه کلیدی تقسیم می‌شود:

2.1.1 ناحیه Master Sector

این بخش حیاتی‌ترین قسمت فایل‌سیستم است که معمولاً در آفست 0x200 قرار دارد و اندازه آن 256 بایت است. امضای دیجیتال (Signature) این بخش رشته کاراکتری 'HIKVISION@HANGZHOU' است که در هگزادسیمال به صورت 0x48 49 4B 56 49 53 49 4F 4E 40 48 41 4E 47 5A 48 4F 55 دیده می‌شود. این سکتور حاوی اطلاعات حیاتی شامل:

• ظرفیت کل هارد دیسک.
• آدرس شروع و اندازه ناحیه لاگ‌های سیستم (System Logs).
• آدرس شروع ناحیه داده‌های ویدئویی (Video Data Area).
• اندازه هر بلوک داده (معمولاً 1 گیگابایت).
• آدرس و اندازه ساختار درختی HIKBTREE.

2.1.2 ساختار HIKBTREE

برای مدیریت پراکندگی داده‌ها، هایک‌ویژن از ساختاری شبیه به درخت B (B-Tree) استفاده می‌کند که HIKBTREE نامیده می‌شود. این ساختار که دارای امضای هگز 0x48 49 4B 42 54 52 45 45 است، نقشه‌ای از تمام بلوک‌های داده را نگهداری می‌کند. هر گره در این درخت به یک بلوک داده اشاره دارد و اطلاعاتی نظیر زمان شروع و پایان ضبط، شماره کانال دوربین و وضعیت پر یا خالی بودن بلوک را ذخیره می‌کند. آسیب دیدن این ناحیه باعث می‌شود که دستگاه DVR نتواند هیچ ویدئویی را نمایش دهد، حتی اگر داده‌های ویدئویی سالم باشند.

2.1.3 بلوک‌های داده (Data Blocks) و استریم ویدئو

داده‌های ویدئویی در بلوک‌های بزرگی (معمولاً 1GB) ذخیره می‌شوند. داخل هر بلوک، ویدئو به صورت استریم‌های H.264 یا H.265 ذخیره می‌شود. نکته مهم این است که هر فریم ویدئویی با یک هدر NAL (Network Abstraction Layer) شروع می‌شود. همچنین در انتهای هر بلوک، جدولی به نام IDR Table با امضای 'OFNI' وجود دارد که برای دسترسی سریع (Seek) به فریم‌های کلیدی (Keyframes) استفاده می‌شود.

2.2 تحلیل سیستم فایل DHFS (Dahua High-Performance File System)

سیستم فایل مورد استفاده داهوا، که با نام DHFS یا گاهی با نام‌های عمومی‌تر در صنعت شناخته می‌شود، ریشه در سیستم‌های فایل توزیع‌شده دارد که برای سرورهای Mainframe طراحی شده بودند.

ویژگی‌های ساختاری DHFS:

• ساختار توزیع‌شده: برخلاف فایل‌سیستم‌های درختی سنتی، DHFS برای مدیریت حجم بالای داده طراحی شده و متادیتای فایل‌ها را به گونه‌ای متفاوت مدیریت می‌کند.
• فقدان هدرهای استاندارد: ابزارهای فارنزیک که به دنبال هدرهای استاندارد فایل (مانند هدر AVI یا MP4) می‌گردند، در مواجهه با DHFS تنها سکتورهای “Unallocated” یا داده‌های تصادفی می‌بینند.
• ایندکس‌گذاری زمانی: این سیستم فایل به شدت به زمان وابسته است. اندیس‌ها بر اساس Timestamp و شناسه دوربین (Camera ID) به بلوک‌های فیزیکی روی دیسک نگاشت می‌شوند. بدون داشتن جدول ترجمه این اندیس‌ها (که بخشی از فرم‌ویر دستگاه یا نرم‌افزار مدیریت فایل‌سیستم است)، استخراج داده‌ها منجر به دریافت حجم عظیمی از داده‌های باینری بی‌معنی می‌شود.

2.3 سایر فایل‌سیستم‌ها (WFS و سیستم‌های مبتنی بر لینوکس)

برخی از برندهای دیگر (مانند مدل‌های قدیمی‌تر یا برندهای متفرقه) ممکن است از نسخه‌های تغییریافته فایل‌سیستم‌های لینوکس مانند EXT3 یا EXT4 استفاده کنند، اما معمولاً هدرهای پارتیشن را تغییر می‌دهند تا توسط سیستم‌عامل‌های استاندارد قابل شناسایی نباشند. در برخی موارد پیشرفته‌تر (مانند NVRهای سازمانی)، داده‌ها ممکن است رمزنگاری شده باشند که لایه دیگری از پیچیدگی را به فرآیند بازیابی اضافه می‌کند.

فصل سوم: آسیب‌شناسی و سناریوهای از دست رفتن اطلاعات

درک علت از دست رفتن اطلاعات، اولین گام در انتخاب استراتژی صحیح بازیابی است. در حوزه DVR، ما با سه دسته اصلی از حوادث روبرو هستیم.

3.1 خطاهای منطقی و انسانی (Logical & Human Errors)

این دسته شایع‌ترین علت مراجعه به مراکز بازیابی اطلاعات است.

• فرمت کردن اشتباهی در ویندوز: کاربر هارد DVR را به کامپیوتر وصل می‌کند. ویندوز پیامی می‌دهد: “You need to format the disk in drive X before you can use it”. کاربر با تصور اینکه این کار برای خواندن هارد لازم است، آن را تایید می‌کند. این عمل باعث ایجاد یک جدول پارتیشن جدید (مانند MBR) و فایل‌سیستم جدید (NTFS) روی هارد می‌شود که جداول ایندکس DVR (مانند Master Sector هایک‌ویژن) را بازنویسی و نابود می‌کند.
• حذف عمدی یا سهوی: در برخی موارد جنایی، سارقین یا افراد خاطی اقدام به “Format” کردن هارد از طریق منوی خود دستگاه DVR می‌کنند. در این حالت، معمولاً فقط جداول ایندکس پاک می‌شوند و اصل داده‌های ویدئویی تا زمان ضبط مجدد باقی می‌مانند.
• بازنشانی تاریخ و ساعت: اگر باتری CMOS دستگاه DVR تمام شود، تاریخ دستگاه به زمان کارخانه (مثلاً سال 2000 یا 1970) برمی‌گردد. این موضوع باعث می‌شود ضبط‌های جدید با تاریخ قدیمی ذخیره شوند و ممکن است سیستم به اشتباه داده‌های “آینده” (که در واقع داده‌های صحیح قبلی هستند) را به عنوان داده‌های تاریخ‌گذشته پاک کند یا برعکس، داده‌های جدید را در میان داده‌های قدیمی گم کند.

3.2 آسیب‌های فیزیکی و الکترونیکی

• خرابی برد و هد: هاردهای DVR دائماً روشن هستند و گرمای زیادی تولید می‌کنند. خرابی برد (PCB) ناشی از نوسان برق یا خرابی هد خواندن/نوشتن (Head Crash) بسیار رایج است. علائمی مانند صدای کلیک، عدم چرخش موتور، یا شناسایی نشدن هارد در BIOS نشان‌دهنده این نوع خرابی است.

• بدسکتور (Bad Sectors): با توجه به تراکم بالای نوشتن، ایجاد بدسکتور در هاردهای نظارتی اجتناب‌ناپذیر است. اگر بدسکتور در ناحیه ایندکس فایل‌سیستم (مثلاً Master Sector) ایجاد شود، کل اطلاعات هارد غیرقابل دسترس می‌شود، هرچند که داده‌های ویدئویی سالم باشند.

3.3 مشکل بازنویسی (Overwriting)

خطرناک‌ترین سناریو در DVRها، بازنویسی است. اگر هارد فرمت شود و سپس دستگاه مجدداً شروع به ضبط کند، داده‌های جدید دقیقاً روی سکتورهای داده‌های قبلی نوشته می‌شوند. برخلاف فایل‌های متنی که ممکن است در لابلای سکتورها باقی بمانند، استریم‌های ویدئویی حجم بالایی دارند و بازنویسی آن‌ها باعث نابودی کامل اطلاعات قبلی می‌شود. هیچ تکنولوژی آزمایشگاهی در جهان (شامل میکروسکوپ نیروی مغناطیسی) قادر به بازیابی داده‌های دیجیتالی که یک بار به طور کامل بازنویسی شده‌اند (Overwritten) نیست.

فصل چهارم: پروتکل‌ها و متدولوژی‌های بازیابی اطلاعات

فرآیند بازیابی اطلاعات هارد DVR باید با دقت جراحی انجام شود. هر اشتباهی می‌تواند بازگشت‌ناپذیر باشد. در این بخش، متدولوژی استاندارد صنعتی برای بازیابی این اطلاعات تشریح می‌شود.

فاز اول: شبیه‌سازی و ایمیج‌گیری (Disk Imaging)

قانون طلایی: هرگز روی هارد اصلی عملیات بازیابی انجام ندهید.

اولین قدم، تهیه یک کپی کامل (Sector-by-Sector Clone) از هارد دیسک است. این کار باید توسط سخت‌افزارهای تخصصی یا نرم‌افزارهایی که قابلیت مدیریت بدسکتور را دارند انجام شود.

• چرا؟ هارد دیسک‌های DVR اغلب دارای بدسکتور یا مشکلات ناپایداری هستند. فشار ناشی از اسکن نرم‌افزاری می‌تواند باعث خرابی کامل هارد شود. همچنین، هرگونه تغییر ناخواسته توسط سیستم‌عامل روی ایمیج تاثیری بر هارد اصلی نخواهد داشت.
• ابزار: دستگاه‌های سخت‌افزاری PC-3000 (ACE Lab) بهترین گزینه برای این کار هستند، زیرا می‌توانند با استفاده از تکنیک‌های تخصصی خواندن، بیشترین حجم ممکن از داده را حتی از نواحی آسیب‌دیده استخراج کنند.

فاز دوم: تحلیل منطقی و بازسازی فایل‌سیستم (Logical Recovery)

در این مرحله، ایمیج تهیه شده مورد تحلیل قرار می‌گیرد. انتخاب ابزار مناسب در این مرحله حیاتی است. نرم‌افزارهای عمومی بازیابی (مانند Recover My Files) در اینجا کاربردی ندارند. ابزارهای مورد استفاده باید بتوانند “Signature”های اختصاصی DVR را درک کنند.

ابزارهای نرم‌افزاری تخصصی (Commercial Forensic Tools)

بررسی‌ها و تجربیات صنعتی نشان می‌دهد که چند نرم‌افزار خاص پیشرو در این زمینه هستند:

1. VIP 2.0 (SalvationDATA):
   
   این نرم‌افزار به عنوان یک ابزار فارنزیک پیشرفته، قابلیت پشتیبانی از اکثر برندهای مشهور (Hikvision, Dahua, Samsung, etc.) را دارد. ویژگی منحصر‌به‌فرد آن، توانایی بازسازی فایل‌های تکه‌تکه شده (Fragmented) و بازیابی اطلاعات حتی پس از فرمت شدن یا حذف ایندکس است. این نرم‌افزار می‌تواند استریم‌های ویدئویی را مستقیماً استخراج و پخش کند.
2. Dolphin DVR Recovery:
   
   یکی دیگر از ابزارهای قدرتمند که قابلیت تشخیص خودکار برند DVR، بازیابی کانال‌به‌کانال، و ترمیم ویدئوهای آسیب‌دیده را داراست. این ابزار برای تکنسین‌هایی که با برندهای ناشناخته سروکار دارند بسیار مفید است.
3. SysDev Laboratories (UFS Explorer / CCTV Recovery): شرکت SysDev Labs ابزارهایی توسعه داده که به طور خاص برای فایل‌سیستم‌های پیچیده طراحی شده‌اند. نسخه CCTV Recovery این شرکت می‌تواند ساختار فایل‌سیستم‌های WFS، DHFS و HIKVISION را شناسایی و شبیه‌سازی کند.
4. R-Studio: نرم‌افزار R-Studio اگرچه یک ابزار عمومی است، اما قابلیت‌های اسکن خام (Raw Scan) قدرتمندی دارد. با تعریف امضاهای فایل (File Signatures) سفارشی برای هدرهای ویدئویی DVR، می‌توان از آن برای استخراج داده‌ها استفاده کرد. با این حال، خروجی معمولاً فایل‌های بدون نام و ساختار پوشه‌ای است که نیاز به پردازش بعدی دارد.

جدول مقایسه ابزارهای نرم‌افزاری

فاز سوم: بازیابی خام (Raw Recovery) و استخراج استریم (Carving)

اگر فایل‌سیستم به قدری آسیب دیده باشد که هیچ نرم‌افزاری نتواند ساختار آن را بازسازی کند، تنها راه “تراشیدن داده‌ها” (Data Carving) است. در این روش، کل سطح دیسک برای یافتن الگوهای هدر ویدئویی (مانند هدرهای NAL Unit در H.264) اسکن می‌شود.

فاز چهارم: بازسازی و ترمیم استریم (Stream Reconstruction with FFmpeg)

داده‌های استخراج شده به روش خام (Raw Stream)، معمولاً فاقد “کانتینر” (Container) هستند. برای تبدیل این استریم‌ها به فایل‌های استاندارد MP4 قابل پخش، استفاده از FFmpeg استاندارد صنعتی است.

فصل ششم: وضعیت بازار، تعرفه‌ها و قوانین در ایران (1403-1404)

6.3 جدول تخمینی تعرفه‌های خدمات (برآورد 1403)

نتیجه‌گیری نهایی

بازیابی اطلاعات از هارد دیسک‌های DVR فرآیندی است که نیازمند درهم‌آمیختگی دانش سخت‌افزار، مهندسی معکوس فایل‌سیستم و تکنیک‌های پردازش سیگنال ویدئویی است. پیچیدگی فایل‌سیستم‌های انحصاری راهکارهای ساده و دم‌دستی را بی‌اثر می‌کند. پرهیز از اتصال هارد به ویندوز، جلوگیری از ضبط مجدد و استفاده نکردن از ابزارهای تعمیر دیسک، شانس بازیابی را به طور چشمگیری افزایش می‌دهد.