Le file carving expliqué aux propriétaires de Tesla

Q: Qu'est-ce que le file carving ?

Le file carving (« récupération par signature ») récupère des fichiers en lisant directement les octets bruts d'un périphérique de stockage — en ignorant le système de fichiers — et en cherchant des signatures de fichiers reconnaissables qui marquent le début de types de fichiers connus.

Q: Comment fonctionne le score de confiance ?

Chaque clip candidat reçoit un score de 0 à 100 à partir de sept facteurs : marque ftyp valide, taille de mdat dans la plage attendue, présence de moov, moov analysable, plausibilité de l'horodatage, cohérence de la taille du fichier et alignement sur les clusters — avec un petit bonus pour les dimensions vidéo propres à Tesla.

Qu'est-ce que le file carving ?

Le file carving récupère des fichiers en lisant directement les octets bruts d'un périphérique de stockage — en ignorant le système de fichiers — et en cherchant des signatures de fichiers reconnaissables qui marquent le début de types de fichiers connus.

C'est l'équivalent numérique d'une visite d'entrepôt sans liste d'inventaire, où l'on identifie les cartons par les étiquettes imprimées sur leurs flancs plutôt qu'en cherchant un numéro d'étagère dans un registre. Quand le registre manque (clé formatée) ou n'est pas fiable (système de fichiers corrompu), l'approche par étiquettes fonctionne toujours.

Pourquoi le système de fichiers compte, et quand il ne compte plus

Normalement, quand vous double-cliquez sur un fichier vidéo sur votre ordinateur, voici ce qui se passe :

Le système d'exploitation cherche le nom du fichier dans la table de répertoire de la clé.
La table de répertoire lui indique quels secteurs physiques contiennent les données du fichier.
Ces secteurs sont lus, assemblés et transmis à votre lecteur vidéo.

Deux choses peuvent casser cette chaîne. La table de répertoire peut être effacée (c'est ce que fait le formatage) ou devenir corrompue (c'est ce qui arrive quand une clé USB Tesla est arrachée en pleine écriture ou développe des secteurs défectueux). Dans les deux cas, le système d'exploitation n'a aucune idée des secteurs qui contiennent vos clips, et il déclare la clé vide ou illisible.

Le file carving contourne tout le problème. Il lit les secteurs bruts et cherche les empreintes des types de fichiers directement dans les données — aucune table de répertoire nécessaire.

Ce qu'est la « signature » des fichiers MP4

Tout fichier MP4 standard commence par un atome ftyp. Le mot « ftyp » apparaît en ASCII à l'offset 4 du fichier, précédé d'un champ de taille de 4 octets. Si vous voyez les quatre octets 66 74 79 70 (« ftyp » en ASCII) à l'offset 4 d'un bloc, vous regardez presque certainement le début d'un MP4.

Le carver parcourt la clé, un cluster à la fois, et vérifie les cinquième à huitième octets de chaque cluster à la recherche de ce motif. Quand il le trouve, il a trouvé un clip candidat.

Pourquoi l'analyse alignée sur les clusters est-elle si rapide sur les clés Tesla ?

Sur une clé exFAT dotée de clusters de 128 Ko, les fichiers commencent aux limites des clusters. Pour un MP4 standard, le marqueur ftyp se trouve quatre octets après le début du fichier : le scanner vérifie donc chaque début de cluster pour repérer un en-tête MP4.

Le carver peut rechercher les signatures MP4 possibles aux limites des clusters. Il n’a pas besoin de vérifier chaque octet comme début de fichier possible. La durée dépend aussi de la clé et de sa connexion.

Valider chaque candidat

Trouver une signature ftyp ne signifie pas que le fichier est complet ou lisible — seulement qu'un MP4 commençait dans ce cluster. Le carver analyse ensuite la structure interne :

Atome ftyp — vérifie l'identifiant de marque. Tesla utilise mp42, tout autre identifiant est donc relégué au second plan.
Atome mdat — localise le bloc de données vidéo et vérifie que sa taille se situe dans une plage Tesla plausible (généralement 15 à 75 Mo pour un clip d'une minute).
Atome moov — Tesla écrit l'atome de métadonnées à la fin du fichier, le carver se positionne donc à la fin de la région mdat et analyse ce qui suit. Un moov valide avec des sous-atomes mvhd et trak analysables est un signal fort que le clip est intact.

Comment fonctionne le score de confiance ?

Les étapes d'analyse alimentent un score de confiance de 0 à 100. Sept facteurs y contribuent : marque ftyp valide, taille de mdat dans la plage attendue, présence de moov, moov analysable, plausibilité de l'horodatage (ère Tesla, de 2018 à aujourd'hui), cohérence de la taille du fichier et alignement sur les clusters. Un petit bonus s'ajoute pour les dimensions vidéo propres à Tesla (1280×960, 1280×720 ou 1920×1080).

Les évaluations de récupération vous aident à juger les séquences trouvées. Les scores disponibles reposent sur l’intégrité structurelle : ce sont des indications, pas des probabilités de récupération ni des garanties de lecture parfaite. Un clip peut ne pas avoir de score tant que l’évaluation est en cours. Vérifiez les exports dans un lecteur vidéo.

Où intervient la récupération des noms de fichiers

Le file carving seul produit un dossier de fichiers MP4 aux noms génériques — clip-000001.mp4, clip-000002.mp4. C'est acceptable pour les données brutes mais très mauvais pour organiser un événement Sentinelle avec tous ses angles de caméra.

Un bon carver conçu pour Tesla fait une seconde passe sur les entrées de répertoire de la clé — y compris celles supprimées, qu'exFAT marque sans les écraser immédiatement — et fait correspondre chaque clip extrait à son nom de fichier Tesla d'origine par offset sur le disque et taille de fichier. Quand cette correspondance fonctionne, vous obtenez des clips nommés 2026-04-17_14-30-22-front.mp4, regroupés par dossier d'événement Sentinelle, avec des badges d'angle de caméra. C'est la différence entre « j'ai trouvé vos vidéos » et « voici votre événement Sentinelle, avec tous ses angles de caméra, exactement comme Tesla l'a écrit ».

Résumé en clair

Le file carving lit la clé secteur par secteur, cherche les empreintes MP4, analyse ce qu'il trouve pour valider que les fichiers sont complets, et note chacun d'eux avant que vous ne décidiez de l'enregistrer. Il fonctionne sur les clés formatées et corrompues parce qu'il ne s'appuie pas sur le système de fichiers — seulement sur les données elles-mêmes.

Sources et références

ISO/IEC 14496-12:2022 — Format de fichier média de base ISO (la spécification des atomes MP4 / ftyp / moov / mdat)
Spécification du système de fichiers exFAT de Microsoft (taille des clusters, allocation, structure des entrées de répertoire)
Manuel du propriétaire Tesla — Stockage de la caméra embarquée et du mode Sentinelle
Quel logiciel utiliser pour récupérer des vidéos Dashcam Tesla supprimées ?

Et si vos clips sont chiffrés ?

Sur les voitures compatibles — celles équipées de l'ordinateur d'infodivertissement AMD Ryzen — les nouveaux clips Dashcam et Sentinelle sur la clé USB sont chiffrés par défaut, depuis le logiciel Tesla 2026.20. Un clip chiffré n'est pas un MP4 ordinaire : l'extraire de la clé par carving récupère les données, mais le fichier ne se lira pas tant qu'il n'aura pas aussi été déchiffré. ClipSalvage fait les deux en une seule passe — il extrait les conteneurs chiffrés de l'espace non alloué et les déchiffre en MP4 lisibles, si bien qu'une clé supprimée ou formatée n'est pas une impasse.

Les clips enregistrés avant la mise à jour, ceux enregistrés avec Commandes > Sécurité > « Encrypt Dashcam Recordings » (chiffrer les enregistrements Dashcam) désactivé, et ceux provenant de voitures dépourvues de la fonction (anciennes voitures à processeur Intel, et véhicules de Chine continentale, où Tesla ne l'a pas activée) sont des fichiers MP4 ordinaires, et tout ce qui figure sur cette page s'y applique tel quel. Tous les détails : Chiffrement Dashcam Tesla : ce que cela change pour la récupération.