Analyse
Distinguer suppression, perte d’index et écrasement
Sur un DVR ou un NVR, une vidéo absente peut correspondre à quatre états techniques. Ils n’offrent pas les mêmes perspectives et doivent être séparés avant toute promesse.
Pour Datastrophe, la récupération de données commence donc par figer l'enregistreur, identifier le canal et la période utile, puis analyser une copie sans relancer la boucle d'écriture.
| Situation observée | Modification probable | Limite à annoncer |
|---|---|---|
| Plage absente du calendrier | Index ou catalogue devenu incohérent | Les flux doivent encore être recherchés sur la copie |
| Suppression depuis l'interface | Espace déclaré réutilisable | Les blocs peuvent subsister jusqu'à leur réaffectation |
| Nouvelles images sur une partie de la zone | Réécriture incomplète | Seuls des fragments discontinus peuvent rester |
| Zone utile entièrement réaffectée | Anciennes valeurs remplacées | Le contenu vidéo précédent n'est plus récupérable |
Le diagnostic compare le calendrier, les signatures de flux, les compteurs, les zones voisines et l’activité depuis l’incident. Une miniature ne garantit pas le contenu complet ; un calendrier vide ne prouve pas non plus son absence.
La suppression peut aussi concerner un export plutôt que l’enregistrement natif. Un fichier copié sur une clé ou un poste puis supprimé suit la logique du support de destination, tandis que la séquence du DVR/NVR peut encore exister dans sa rétention. Il faut identifier ce qui a disparu : entrée du calendrier, archive native, copie exportée ou les trois. Mélanger ces sources conduit à évaluer le mauvais support.
Une réécriture physique est irréversible au niveau des blocs concernés. La récupération peut expliquer la limite, pas reconstruire les anciennes valeurs.
Analyse
Couper l’écriture sans improviser
L’arrêt vise à figer l’espace réutilisable. S’il est possible de le faire sans naviguer longuement dans les menus, notez d’abord l’heure affichée, la caméra, la capacité, la rétention et le dernier moment où la séquence était visible. Puis arrêtez proprement l’enregistreur.
Ne tentez pas de « libérer de la place », de reconstruire le calendrier ou d’exporter toutes les archives. Ces actions prolongent l’activité ou créent de nouvelles métadonnées. Si le disque clique, ralentit ou disparaît, la priorité devient aussi matérielle : aucune lecture prolongée ne doit être lancée.
Pour maintenir la surveillance, installez un stockage sain distinct et conservez l’ancien hors production. Sur une caméra IP avec microSD, évaluez la rotation locale : la carte peut être la seule copie de la coupure centrale.
Chronologie à conserver — heure de l’événement, heure de la suppression constatée, durée de fonctionnement après l’incident, redémarrages, exports et changements de configuration.
Les écritures postérieures ne sont pas toutes visibles. Le NVR peut créer des journaux, miniatures et index même sans nouvelle caméra affichée. Un démarrage destiné à vérifier l’heure ajoute donc de l’activité. Sur un volume RAID, un rebuild ou une vérification peut réécrire beaucoup plus que la boucle vidéo ; tous les membres doivent être figés avant analyse.
Analyse
Évaluer les chances sans surpromesse
Il n’existe pas de délai universel avant écrasement. La fenêtre dépend de la capacité utile, du nombre de canaux, du débit, du codec, de l’enregistrement continu ou sur mouvement et des changements de configuration. La rétention annoncée par l’interface reste une estimation tant qu’elle n’a pas été vérifiée.
Indices favorables, sans garantie
Un arrêt rapide, une suppression depuis l’interface, une rétention longue, un faible débit et la présence d’index voisins peuvent laisser des blocs. Un export partiel déjà réalisé doit être conservé : il peut contenir la seule version de quelques minutes.
Indices défavorables
Un fonctionnement prolongé au-delà de la rétention, de nombreux canaux haute définition et un stockage presque plein augmentent la réutilisation. Des secteurs physiquement illisibles ajoutent une autre perte, distincte de l’écrasement.
Le laboratoire travaille sur image technique, recherche index et fragments, puis vérifie les plages voisines pour les erreurs de fuseau ou de synchronisation. Le résultat peut être complet, partiel, sans attribution fiable ou négatif. Aucune formulation sérieuse ne garantit à l’avance une vidéo annoncée comme écrasée.
Une salle blanche peut être nécessaire si un disque dur mécanique présente une panne interne, mais elle ne restaure pas des blocs déjà réécrits. L'ouverture contrôlée répond à une défaillance physique ; l'analyse d'une suppression ou d'une boucle relève de l'imagerie, des index et des flux vidéo. Les deux diagnostics ne doivent pas être confondus.
Estimer la fenêtre sans fabriquer un compte à rebours
Capacité utile, débit agrégé et durée d’enregistrement donnent un ordre de grandeur de rétention, pas une date certaine de réécriture. Les débits variables, la détection de mouvement, les canaux ajoutés, l’espace réservé et la fragmentation modifient la rotation. Le diagnostic compare l’estimation à la dernière et à la première plage réellement visibles.
Un écrasement partiel peut rester exploitable
La nouvelle écriture ne remplace pas nécessairement toutes les secondes au même instant. Des fragments de début ou de fin, une piste audio, une miniature ou une copie locale peuvent subsister. Ils sont remis comme éléments partiels avec leur provenance ; ils ne sont pas assemblés pour simuler une continuité absente.
Analyse
Préserver la valeur de preuve
La récupération d’une plage effacée doit distinguer ce qui existait sur le support, ce qui a été extrait et ce qui a été converti. Le support original reste préservé ; l’analyse porte sur une copie et les fichiers dérivés reçoivent des noms qui ne les confondent pas avec le natif.
Pour chaque séquence, le compte rendu peut indiquer :
- Caméra ou canal attribué ;
- Plage et source de l’horodatage ;
- Continuité, coupures et blocs manquants ;
- Format natif et transformation de consultation ;
- Degré d’incertitude lié à l’index ou à l’écrasement.
Cette méthode ne décide pas de la recevabilité juridique, qui dépend du contexte et du destinataire. Elle permet de préserver la traçabilité et d’éviter qu’un fragment partiel soit présenté comme une séquence continue.
Analyse
Relier le cas à la bonne prise en charge
La récupération NVR spécialisée commence par le modèle de l’enregistreur, la capacité et le nombre de supports, la rétention configurée, la caméra, la plage, le fuseau, le dernier accès réussi et toutes les actions postérieures. Si plusieurs personnes sont intervenues, conservez leur ordre.
Le besoin doit être précis : retrouver quinze minutes d’un canal, examiner les heures voisines, récupérer un export supprimé ou déterminer si la plage a été réécrite. Cette cible guide les lectures et le contrôle.
Fournissez aussi les paramètres connus avant l’incident : mode continu ou mouvement, nombre de flux, résolution, changement récent de capacité et durée habituelle du calendrier. Ces informations n’augmentent pas artificiellement les chances ; elles permettent de tester l’hypothèse d’écrasement contre une perte d’index ou un décalage d’heure.
Si le disque présente des symptômes matériels, suivez d’abord la panne physique du disque. Pour une installation comprenant plusieurs enregistreurs, disques ou caméras, le diagnostic de récupération vidéo associe chaque support à ses canaux, à sa période d'enregistrement et à son mode de rotation. L'analyse qualifie ensuite l'état des blocs après suppression ou rotation et énonce sans détour la limite de l'écrasement complet.
Sources techniques primaires et limites
Le NIST SP 800-86 recommande une collecte traçable et un examen sur des copies. Ce cadre ne qualifie ni les têtes, les surfaces, les alimentations, le pont d’interface ou les zones non lues du disque reçu, et ne permet pas de confondre détection et récupération vérifiée.
Faire qualifier le dossier « Vidéo de surveillance effacée ou écrasée : limites »
Transmettez à Datastrophe le disque et son boîtier éventuel, les alimentations et câbles, la chronologie de l’incident et des essais, les journaux de copie et la liste des données prioritaires. Les codes, clés et éléments d’authentification autorisés sont communiqués par un canal distinct ; ils ne sont jamais inscrits sur le support ni dans le colis.
Datastrophe réalise directement le diagnostic, les contrôles d’intégrité et la récupération dans son laboratoire, avec sa propre équipe. Le diagnostic et le devis sont gratuits. Le transport privé aller et retour est systématiquement pris en charge ; le transporteur déplace uniquement le colis scellé, sans accéder aux données ni les traiter.
Avant tout paiement, le client reçoit le prix proposé et une liste contrôlée. Chaque élément y est classé, dans cet ordre, recoverable_verified, partial, detected_unverified ou unrecoverable. Seuls les éléments recoverable_verified, dont le contenu a été contrôlé et jugé exploitable, sont présentés comme récupérables. Le client paie seulement après avoir accepté la liste et le prix ; la préparation du résultat et la restitution interviennent ensuite.
Si aucune donnée exploitable n’est vérifiée, si la récupération échoue ou si le client refuse la liste ou le prix, aucun frais standard n’est dû. La seule exception concerne une pièce rare, coûteuse et non remboursable : elle ne peut être commandée qu’après une proposition séparée, explicite et chiffrée.