Analyse
La vidéo IP dépend de plusieurs maillons
Une installation IP forme une chaîne : la caméra capture et encode, le réseau transporte, le NVR ou le VMS indexe, puis un disque, un NAS ou une carte locale conserve. Une séquence peut disparaître de l’interface sans avoir disparu de tous ces emplacements.
| Maillon | Trace à rechercher | Risque si le système reste actif |
|---|---|---|
| Caméra IP | Carte microSD, journal, compteur d’événements | Boucle locale et nouvelles alertes |
| Switch/liaison | Perte de port, PoE, paquets ou reconnexion | Rotation des journaux |
| NVR/VMS | Piste, index, cache et base d’événements | Réindexation et écrasement |
| NAS/stockage | Fragments, snapshots, espace libre | Nettoyage et rétention automatique |
La récupération NVR spécialisée reconstruit donc le trajet capture → transmission → indexation → stockage. Datastrophe ne conclut pas à partir du seul calendrier du NVR. Une topologie IP doit localiser précisément la perte entre la caméra, le transport, l’indexation et les différents stockages.
Cette carte doit inclure les dépendances souvent oubliées : alimentation PoE, VLAN, liaison Wi-Fi ou radio, passerelle entre sites, serveur de temps et politique de bascule. Une caméra encore visible en direct peut avoir perdu l’autorisation d’écrire sur le NVR ; un stockage accessible peut recevoir les flux de certaines caméras seulement. Relever les canaux touchés permet de distinguer un incident commun de plusieurs pannes locales.
Analyse
Les coupures réseau créent des trous difficiles à lire
Une coupure ne produit pas un résultat unique. La caméra peut interrompre l’encodage, continuer localement, conserver un tampon ou reprendre sans retransmettre la période manquante. Le NVR peut, lui, créer une piste vide, fermer un segment incomplet ou n’enregistrer que les dernières trames reçues.
Distinguer perte de transmission et perte d’enregistrement
Un journal de déconnexion prouve un incident de liaison, pas l’absence d’une copie locale. Inversement, une caméra restée joignable peut ne pas avoir enregistré si son planning ou sa détection de mouvement était inactif. Il faut comparer configuration, événements et supports.
Recaler les horloges
Le NVR, la caméra et le switch peuvent porter des temps différents. Une perte apparente à 02 h 15 peut être classée à 01 h 15 après un défaut NTP ou un changement d’heure. Conservez des captures des heures affichées sans modifier les réglages.
Preuve négative prudente — un trou dans la timeline du NVR n’établit pas à lui seul que la caméra n’a produit aucune image.
Les plages juste avant et après la coupure sont particulièrement instructives. Le dernier segment correctement fermé indique quand le NVR a cessé d’écrire ; le premier segment suivant montre si la piste a repris avec le même identifiant et la même horloge. Entre les deux, les journaux de perte de flux et de reconnexion bornent une fenêtre, mais ne remplacent pas la recherche sur la carte locale.
Analyse
Le stockage local peut contenir la bonne séquence
Le stockage local ou « edge » peut contenir les images enregistrées pendant la perte de liaison. Sa présence et son comportement dépendent toutefois de la configuration : certaines caméras enregistrent en parallèle, d’autres seulement sur incident, d’autres n’ont aucune carte.
Une microSD de faible capacité tourne souvent plus vite que le stockage central. Si la plage est critique, il faut arrêter ses écritures sans improviser un retrait sous tension. Une carte mémoire endommagée peut aussi être usée, corrompue ou formatée selon une structure que l’ordinateur ne reconnaît pas.
La comparaison doit porter sur :
- La qualité et le débit du flux local ;
- Le canal ou l’identifiant de la caméra ;
- L’heure propre à la caméra ;
- Les fragments avant et après la coupure ;
- Le risque de rotation en boucle.
Un export local ne doit pas être considéré automatiquement comme identique au flux du NVR. Il peut être plus court, plus compressé ou daté différemment, tout en restant la meilleure copie disponible.
Certaines architectures prévoient une resynchronisation après retour du réseau. Il faut vérifier qu’elle était réellement configurée et achevée : une interface peut afficher le statut de la caméra sans avoir rapatrié son historique. La copie locale et la copie centrale doivent être comparées par contenu et par temps, sans supprimer les doublons avant d’avoir compris leur provenance.
Analyse
NAS, RAID et serveurs ajoutent une couche
Le NAS ou le serveur VMS ajoute une destination et ses propres dépendances à la topologie. Sa reconstruction interne exige un diagnostic distinct. Pour localiser une séquence IP, il faut d’abord savoir si le NVR écrivait directement, via un partage, ou par l’intermédiaire d’un service VMS.
Conservez les chemins de stockage, les noms de caméras, les politiques de rétention, les journaux et les captures de configuration. Une modification de droits peut avoir interrompu l’écriture sans panne disque ; un catalogue VMS corrompu peut masquer des fichiers encore présents.
Si le volume est dégradé, ne lancez pas de reconstruction RAID. Repérez les baies, notez l’ordre des disques et préservez la configuration avant l’analyse du stockage RAID et VMS. Deux questions doivent rester séparées : où la séquence aurait dû être écrite, puis comment préserver et remonter le stockage multi-disques.
Analyse
Préparer un dossier exploitable
Un dossier exploitable comporte une carte même sommaire : modèle et adresse logique des caméras, switch ou Wi-Fi, NVR/VMS, NAS, cartes locales et éventuel stockage secondaire. Ajoutez la plage recherchée, le fuseau, la dernière image connue et l’heure des coupures ou redémarrages.
Avant toute collecte :
- Identifier les supports qui tournent encore en boucle ;
- Préserver en premier celui dont la rétention est la plus courte ;
- Exporter la configuration sans appliquer de modification si l’interface est saine ;
- Conserver les journaux et les captures avec leur source ;
- Travailler sur une copie pour les disques et cartes à analyser.
La restitution rapproche ensuite flux central, copie locale et horaires. Elle doit dire si une coupure est visible, si la séquence est complète et quelle source porte chaque fragment. Une perte NVR/caméra IP est ainsi traitée comme un incident distribué, pas comme un fichier isolé.
Le résultat peut prendre la forme d’une chronologie multi-source : période centrale confirmée, interruption de transmission, séquence locale disponible, reprise du NVR et éventuel chevauchement. Lorsque les horloges divergent, chaque source conserve son temps natif et le décalage observé. Cette présentation évite de fabriquer artificiellement une seule piste continue à partir de copies dont la relation reste incertaine.
Quand aucune image n’est retrouvée, les journaux peuvent encore préciser la nature de l’absence : caméra hors ligne, authentification refusée, espace saturé ou règle inactive. Ils n’autorisent pas à inventer le contenu manquant, mais ils distinguent une panne de transport d’une absence d’enregistrement et évitent de poursuivre des recherches sur un support qui n’a jamais reçu le flux.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « NVR et caméras IP : retrouver une séquence manquante »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.