Recuperación de Datos de Grabadora DVR y NVR de Cámaras CCTV
Las grabadoras DVR y NVR de videovigilancia almacenan imágenes críticas en sistemas de archivos propietarios y configuraciones de disco que difieren radicalmente del almacenamiento convencional. Cuando el disco falla o el dispositivo se daña, recuperar las grabaciones de un incidente concreto requiere técnicas especializadas que van mucho más allá de las herramientas de recuperación de datos estándar.
Cómo graban vídeo los DVR y NVR: arquitectura de almacenamiento
Para entender por qué la recuperación de estas grabadoras es compleja, es imprescindible conocer cómo almacenan los datos. Los grabadores de seguridad no utilizan FAT, NTFS ni ext4 estándar; operan con lógicas de escritura diseñadas para maximizar la vida útil del disco y garantizar una grabación continua sin interrupciones.
Grabación en bucle circular (overwrite loop): La característica definitoria de cualquier DVR o NVR es la grabación cíclica. Cuando el disco se llena, el sistema sobreescribe automáticamente el vídeo más antiguo. Este mecanismo divide el disco en bloques o segmentos asignados a cada canal de cámara, y dentro de cada segmento se sobreescriben los fragmentos más antiguos en orden. Esto significa que, tras un incidente, el tiempo es un factor crítico: cada hora de grabación continua puede destruir fragmentos del evento que se desea recuperar.
DVR analógicos vs. NVR IP: Los DVR clásicos (que reciben señal analógica de cámaras AHD, TVI o CVI) suelen usar sistemas de archivos propietarios del fabricante, a menudo basados en estructuras de índices binarios. Los NVR modernos que gestionan cámaras IP (H.264/H.265 sobre ONVIF) corren en su mayoría sobre Linux embebido y utilizan ext2 o ext3, aunque con una capa de gestión de vídeo propietaria por encima. En ambos casos, el sistema de archivos visible desde un PC estándar es ilegible o aparece como disco sin formatear.
Sistemas de archivos propietarios: Hikvision, Dahua, Axis y Uniview
Cada fabricante principal implementa su propia solución de almacenamiento:
- Hikvision (DVR Serie DS-7xxx / NVR DS-9xxx): Emplea un sistema de archivos propietario basado en bloques de tamaño fijo, conocido internamente como HIKFS. Los ficheros de vídeo se almacenan en streams contenedores H.264/H.265 con cabeceras propietarias. Los índices de canal y timestamp residen en una partición separada. Cuando esta partición de índices se corrompe, las grabaciones quedan huérfanas aunque el vídeo esté físicamente presente en disco.
- Dahua (XVR / NVR Series): Utiliza un sistema propio sobre particiones sin tabla de particiones estándar. Las primeras 4-8 MB del disco contienen la estructura de control. Los vídeos se organizan en bloques circulares por canal y la corrupción del bloque de control principal suele dejar el disco completamente irreconocible.
- Axis (serie S / serie Q): Los grabadores Axis de gama alta corren sobre Linux con ext3 o ext4 estándar, lo que los hace más accesibles para la recuperación. Sin embargo, la base de datos SQLite que indexa los clips de vídeo es crítica; sin ella, localizar fragmentos concretos por timestamp requiere análisis manual de cabeceras de stream.
- Uniview (NVR Series): Similar a Dahua en arquitectura, con bloques circulares y una tabla de asignación de canales en sector fijo. Muy presente en instalaciones de mediana empresa en España.
Fragmentación de streams de vídeo y recuperación parcial
El vídeo H.264 y H.265 se divide internamente en GOPs (Groups of Pictures) compuestos por fotogramas I (keyframes completos), P (predicción respecto al anterior) y B (predicción bidireccional). Para reproducir cualquier fragmento se necesita al menos el keyframe I anterior a ese punto, seguido de la secuencia de fotogramas P/B correspondiente.
Cuando un disco DVR/NVR falla a mitad de escritura, es habitual que los últimos segundos o minutos de grabación estén incompletos por GOP truncado, que algunos bloques de datos estén marcados como libres en el índice pero no hayan sido físicamente sobreescritos todavía, o que fotogramas I estén en sectores legibles mientras los fotogramas P/B asociados caen en sectores con errores de lectura.
En recuperación profesional, el proceso implica primero clonar el disco sector a sector obteniendo una imagen forense, después reconstruir la tabla de bloques a partir de las firmas de stream (los start codes de H.264 son la secuencia 00 00 00 01), y finalmente intentar reensamblar GOPs completos usando los keyframes disponibles. Un fragmento de vídeo parcialmente recuperado puede mostrar artefactos de compresión o congelarse en determinados puntos, pero sigue siendo válido como evidencia.
Fallos comunes en discos de grabadoras de videovigilancia
Los discos instalados en DVR y NVR están sometidos a condiciones extremadamente exigentes. El funcionamiento ininterrumpido 24 horas al día, 365 días al año significa que el cabezal lector/escritor nunca entra en estado de reposo, lo que acorta considerablemente su ciclo de vida. La temperatura elevada en carcasas cerradas y sin ventilación adecuada provoca fallo prematuro de los cojinetes del motor. Las vibraciones mecánicas son otro factor relevante, especialmente en grabadoras instaladas en racks: pueden causar desalineación progresiva del cabezal y sectores dañados acumulativos.
Los cortes de suministro eléctrico sin sistema SAI/UPS son la causa más frecuente de corrupción lógica: una escritura en curso queda truncada y las tablas de índices quedan en estado inconsistente. Finalmente, es muy común encontrar discos domésticos (WD Blue, Seagate Barracuda) instalados en grabadoras que requieren discos de gama vigilancia (WD Purple, Seagate SkyHawk), diseñados específicamente para escritura continua y tolerancia a vibración.
Los síntomas más frecuentes son: la grabadora no reconoce el disco en el menú de almacenamiento, el dispositivo solicita formatear el HDD, las grabaciones de un período concreto han desaparecido, o el NVR arranca pero no graba y el LED de actividad del disco no parpadea.
Recuperación de vídeo de un incidente específico
El escenario más habitual en nuestro laboratorio es: ha ocurrido un robo, accidente o incidente en las instalaciones, la empresa o el particular necesita las grabaciones de una franja horaria concreta, y el disco de la grabadora falla precisamente en ese momento crítico, o ya había fallado días antes sin que nadie lo advirtiera.
El proceso de recuperación orientado a un incidente específico sigue cuatro fases. La primera es la clonación forense con manejo de sectores defectuosos: usamos GNU ddrescue con fichero de mapa para extraer la mayor cantidad posible de datos antes de que el disco empeore. Los sectores legibles se clonan en la primera pasada y los sectores con errores se reintentan en pasadas posteriores. La segunda fase es la identificación del sistema de archivos y reconstrucción de índices: analizamos la imagen byte a byte para identificar la arquitectura del fabricante y reconstruir las tablas de asignación de bloques dañadas. La tercera fase es la extracción por rango de tiempo: una vez reconstruidos los índices, localizamos los bloques del rango horario del incidente y extraemos el stream de vídeo de cada canal. La cuarta fase es el remuxing y la entrega: el stream recuperado se empaqueta en MP4 o MKV y se entrega junto con un informe técnico de cadena de custodia si se requiere para uso judicial.
NVR basados en Linux: ext2/ext3 y arrays mdadm
Los NVR de gama media-alta como el Hikvision DS-9600, Dahua NVR5xxx o Uniview NVR-Pro corren sistemas Linux embebidos basados en Buildroot o Yocto con kernels de la rama 3.x o 4.x. Los discos se formatean habitualmente en ext2 o ext3 y se montan bajo rutas como /mnt/hdd0. La capa de gestión de vídeo es un demonio propietario que escribe los streams en una estructura de directorios interna.
En configuraciones multi-disco, algunos NVR implementan RAID 1 o RAID 5 mediante mdadm o software propio. La recuperación requiere reconstruir el array virtual antes de acceder al sistema de archivos. Si un disco del RAID fue reemplazado antes de extraer la información, las posibilidades dependen de si el array quedó en modo degradado (RAID 1 con un disco caído) o fue destruido (RAID 5 con dos discos fallados).
Cuándo es posible recuperar y cuándo no
La recuperación es posible en la mayoría de casos de fallo mecánico: sectores defectuosos, fallo de cabezal, avería electrónica de placa. Es parcial o incierta cuando la sobreescritura ya se ha completado, cuando hay daño físico grave en los platos magnéticos, o cuando un fallo de firmware haya forzado un reformateo del disco.
Ante cualquier sospecha de fallo, lo más importante es apagar la grabadora inmediatamente y no permitir que continúe grabando sobre el disco afectado. Cada minuto de grabación adicional reduce las posibilidades de recuperar las imágenes del incidente.
WhatsApp