车祸后，手机里最重要的文件往往是你还没保存的。现代车祸会留下大量的数字证据：行车记录仪视频、手机传感器日志、GPS轨迹，以及汽车电脑里的黑匣子数据。每个文件都存在一个倒计时。谁先获取并正确保存了这些数据，谁就往往掌握了事故真相的叙述权。
这并非法律意见，而是设备的工作原理。2026 年发生的车祸相当于一项有时间限制的数据恢复工作，而大多数人的处理方式会导致有用的数据被覆盖。
事故产生的数据量已经超过了驾驶员的处理能力。
过去，交通事故只需几份文件就能解决：警方报告、保险单、几张照片，就完事了。而现在，即使是普通周二发生的一起交通事故，也会同时从至少五个数据源获取信息，任何一个数据源都可以决定由谁来承担赔偿责任。
- 行车记录仪镜头循环播放视频，当 microSD 卡存满时会自动覆盖自身。
- 手机传感器数据运动、位置和碰撞检测事件，部分在设备端同步，部分同步到云端。
- 汽车的黑匣子根据美国国家公路交通安全管理局 (NHTSA) 的规定，事件数据记录器会记录碰撞发生前后的速度、制动、油门、安全带状态和安全气囊展开情况。
- 第三方摄像头门铃摄像头、商业DVR和交通摄像头会在几天内（而不是几周内）覆盖旧视频。
- 联网汽车遥测汽车制造商的应用程序会保存行程日志、急刹车警报和碰撞警报等信息，你的保险公司可以传唤这些应用程序。
这远远超出了惊魂未定的路边行人能在事故发生后的第一个小时内（也就是计时开始的那一刻）所能处理的信息量。事关重大：美国公路安全保险协会（IIHS）的数据显示，2024年美国交通事故死亡人数将达到39,254人。虽然大多数碰撞事故并非致命事故，但仍然会演变成保险纠纷，而数字证据往往是最终的决定性因素。
显而易见的解决方法通常都会失败
问问任何一个司机，发生轻微碰撞后会做什么，你都会得到同样的答案：用手机拍照，调出行车记录仪的视频，在回家的路上截屏保存地图。这种本能反应没错，但实际操作起来却很糟糕。
行车记录仪在发生碰撞后不会停止录制。除非撞击触发了内置的重力感应器锁定功能，否则摄像头会继续录制，最终覆盖掉碰撞录像。如果司机在等待警察到家期间让行车记录仪保持运行状态，一周后可能会发现相关的30秒录像被覆盖了。
屏幕截图和重新编码的手机视频情况更糟。当你使用隔空投送 (AirDrop)、上传到 iCloud 或通过即时通讯应用发送视频片段时，文件会被重新压缩，其元数据通常会被丢失。时间戳、GPS 坐标和设备签名等使视频可信的信息可能会在传输过程中消失。
事件数据记录器的问题虽然不同，但也好不到哪里去。缓冲区容量有限，碰撞后的正常驾驶可能会将较早的事件数据推送出去。如果车辆完全报废并被拖到报废场，那么在任何人下载数据之前，该模块就可能被拆解或随车出售。
取回车辆需要特定的接口工具，而且通常需要车主同意或法院命令。你的修车厂不会考虑这些。
你不拥有的那些视频源消失得最快。便利店的录像机可能只保存72小时的录像，之后就会循环播放；邻居家的门铃摄像头在免费套餐下可能只保存7天的录像。如果没有人书面要求保存，就不会有人保存。
把它当作监管链备份工作来对待
能够保存证据的框架是系统管理员会使用的方法。你不是在拍照，而是在构建一个可防御的易失性数据存档，其中包含完整的元数据，并且存储在多个位置，以防止任何数据被覆盖。
- 终止循环事发后立即从行车记录仪中取出microSD卡，或者关闭行车记录仪电源。尽量不要使用行车记录仪的应用程序，因为它会频繁进行视频转码。
- 拍摄原件，而不是副本。通过读卡器从SD卡中读取文件，保留原始文件，然后再制作工作副本。使用数据线传输手机视频，不要使用即时通讯应用。
- 哈希值和时间戳对于任何涉及伤害的事件，保存日期的原始文件的 SHA-256 哈希值可以证明该文件后来没有被篡改。
- 尽早发出保存信函事故现场附近任何装有摄像头的商家或房主都应该在一两天内收到书面请求，以免他们的硬盘录像机开始循环播放。
- 在车辆移动两次之前，先将EDR（电子数据记录器）取出。如果车辆完全报废，报废场在购买之前需要下载行车记录仪的数据。
- 倒退两步一份本地副本，一份云端副本，均为未经修改的原始文件。
这一切都不需要特殊的硬件。你只需要在最初的48小时内知道这些文件存在，并且如果没有人干预，它们会自行失效。
知道何时交接
自行保存证据存在一个临界点，超过这个点就不足以应对了。如果有人受伤、责任归属存在争议、涉及商用车辆，或者对方保险公司在一天之内联系你，那么事情就变得棘手起来，你不想独自处理。例如，纳什维尔的司机可能会在证据还很新鲜的时候联系像Bednarz & Bednarz这样的律师事务所，以便按时完成证据保存函和 EDR 下载等工作。
关键不在于每次系统崩溃都需要律师，而在于每次系统崩溃都需要有人在数小时内（而不是数周内）考虑数据保存问题。处理系统崩溃的方式应该像处理故障硬盘一样：取出原始数据，进行验证，备份数据，并停止向源数据写入数据。