硬盘录像机日夜不停地写入，监控画面一圈圈覆盖旧数据，这是安防系统的常态。很多人以为录像一旦被覆盖就彻底没了，其实未必。
先弄清一个基本事实：删除和覆盖是两回事。删除只是把文件索引标记为可用，视频数据本身还躺在盘片上，直到新数据写进来把它盖住。覆盖则是实打实地把旧扇区写成新内容，被盖掉的部分确实回不来了。所以监控录像能不能恢复，关键看它处于哪种状态，以及被覆盖了多少。
常见的监控存储分两类。一类是DVR/NVR里的机械硬盘，采用循环覆盖策略，盘满后自动抹掉最旧的录像。另一类是SD卡或固态盘，多见于小型摄像头。机械硬盘的优势是容量大、写入相对宽松，即使某段录像被标记删除，只要对应扇区没被新画面占用，专业工具扫描底层扇区时仍有机会拼出完整的视频帧。固态盘则麻烦一些，TRIM机制会主动清理无效数据，恢复窗口更短。
真正决定成败的是时间。发现录像缺失后，第一件事是停止对该设备的任何写入操作——别再调阅、别再录像、别重启。每一次写入都可能覆盖掉原本还有希望的数据。把硬盘拆下来挂到只读设备上做镜像，再在镜像上做分析，这是通行的稳妥做法。
恢复过程通常分三步。先做全盘镜像，保留原始状态；再用文件 carving 技术按视频编码特征扫描扇区，把H.264或H.265的帧头、关键帧找出来；最后按时间戳和帧序列重组，导出可播放的视频。难点在于监控录像往往是分片存储的，一个文件被切成多段散落各处，重组时对工具和经验要求都不低。覆盖率高的情况下，能救回的往往只是零散的几分钟片段，画面可能花屏、卡顿，但关键时间点的动作和人员特征仍可能辨认。
有个容易被忽略的细节：不少NVR在覆盖前会先删除最早的文件，再写入新数据。这意味着刚被覆盖的那一段，底层可能还残留着旧文件的尾巴。抓住这个时间差，恢复成功率会明显提高。
说到底，监控录像恢复不是万能钥匙。它考验的是发现是否及时、操作是否克制、工具是否对路。日常更实际的做法是给重要通道单独留出不被循环覆盖的存储空间，或者定期把关键录像转存到独立介质。真到需要恢复那一步，越早停手，希望越大。
