监控录像覆盖恢复：GOP 结构与起始码切片

2026-09-28 · 约 6 分钟

监控是怎么"自己删自己"的

硬盘录像机（DVR/NVR）盘满后自动循环覆盖最旧的录像段。这是设计好的机制，所以"删除"其实是"被新录像覆盖"。已覆盖的扇区无法恢复，未覆盖的才有救。

决定成败的"时间差"

关键看三件事：①事发到停机的间隔（越久被覆盖越多）；②盘容量与录像码率（决定覆盖速度）；③通道数量（通道多写满更快）。事发后立即停机取盘，找回概率最高；拖了几周，关键时段多半已被覆盖。

恢复怎么做

①立即停机断电，取出监控硬盘（别继续录像）；②对硬盘做只读镜像；③底层扇区扫描，按帧重组 H.264/H.265 或私有格式碎片；④按时间轴定位并导出关键时段。录像硬盘异响的还需先开盘。

误删/格式化监控盘

若是人为误删或格式化（而非循环覆盖），未写入新数据前恢复率较高；但监控盘多为私有文件系统，普通恢复软件常不识别，需要针对性的碎片重组。

停录像比关机器更要紧

让旧录像消失的是新录像继续写入，只把录像机关掉并不能阻止这件事再次发生。发现需要保全的时段后，应先在录像机上停掉对应通道或直接断电，再把硬盘取下来。

取下之后要单独存放并标注日期与通道，不要顺手装到电脑上浏览。系统盘一旦挂载，后台索引和缩略图这类动作也可能往盘上写东西。

监控录像为什么难用通用软件扫出来

录像机为提高写入效率，通常使用自己的一套文件系统，把画面按时间切成连续数据段循环使用。通用恢复软件认不出这种结构，扫出来的多是无法播放的碎片。

可行的办法是按录像帧的特征逐段重组，再按时间轴对齐，前提是知道录像机品牌、型号和大致编码设置。这些信息在检测开始前就要确认。

常见问题

# 在镜像里找所有起始码的位置（每 4 字节对齐扫，先取前 2000 个命中）
python3 - <<'EOF'
d = open('/cases/dvr.img','rb').read()
i, hits = 0, []
while len(hits) < 2000:
    i = d.find(b'\x00\x00\x00\x01', i)
    if i < 0: break
    hits.append((i, d[i+4] & 0x1f))
    i += 4
print('命中片段', len(hits), '首个 NAL 类型', hits[0][1] if hits else None)
EOF

# 把命中区间切出来，交给 ffprobe 判断能否解码
ffprobe -v error -show_entries stream=codec_name,width,height -of csv /cases/seg_0001.h264