[发明专利]一种电子设备的数据取证分析方法及系统

权利要求书

1.一种电子设备的数据取证分析方法，包括电子设备数据提取步骤和取证分析报告生成步骤，其特征在于，所述电子设备数据提取步骤和取证分析报告生成步骤采用异步处理，且预先设置包含若干个数据缓存区的数据缓存队列，其中：

在所述电子设备数据提取步骤执行中，将提取的一个电子设备的取证数据记录在预设的数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；

在所述取证分析报告生成步骤执行中，从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区。

2.根据权利要求1所述电子设备的数据取证分析方法，其特征在于，在所述电子设备数据提取步骤执行中，每当对一个电子设备的取证数据提取完成时，还为存储有相应取证数据的数据缓存区分配唯一对应的取证数据ID；所述取证数据ID为取证数据所对应的电子设备信息、取证事件信息或数据提取信息中的一种或几种。

3.根据权利要求1所述电子设备的数据取证分析方法，其特征在于，在所述取证分析报告生成步骤执行中，当发生中断触发事件时，暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态，且在发生中断返回事件时，读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。

4.根据权利要求3所述电子设备的数据取证分析方法，其特征在于，所述中断触发事件包括收到中断控制指令；所述中断返回事件包括收到中断返回指令。

5.根据权利要求3所述电子设备的数据取证分析方法，其特征在于，所述中断触发事件包括数据处理可用系统资源低于预设下限值；所述中断触发事件包括数据处理可用系统资源大于或等于预设下限值。

6.根据权利要求1所述电子设备的数据取证分析方法，其特征在于，还包括将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示。

7.根据权利要求6所述电子设备的数据取证分析方法，其特征在于，当网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。

8.一种电子设备的数据取证分析系统，其特征在于，包括：

数据缓存队列，包含若干个数据缓存区，每个数据缓存区用于缓存一个电子设备的取证数据；

数据提取模块，用于与电子设备建立数据连接，提取所连接电子设备的证数据记录在数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；

数据解析模块，用于从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区；

电子证据数据库，用于存储取证数据及其对应的取证分析报告。

9.根据权利要求8所述的电子设备的数据取证分析系统，其特征在于，还包括：

中断控制模块，用于在监测到中断触发事件时，通知数据解析模块暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态；在监测到中断返回事件时，通知数据解析模块读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。

10.根据权利要求8所述的电子设备的数据取证分析系统，其特征在于，还包括：

浏览处理模块，用于将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示，且在网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。