计算机取证中的数据恢复技术综述

计算机取证中的数据恢复技术综述

摘要

传统数据恢复已经有很多成熟的技术，通过分析计算机取证中数据恢复技术与传统数据恢复的关系，我们证明了在计算机取证中应用数据恢复技术的可行性，实践也证明了其有效性和重要性。本文主要在介绍和分析磁盘在FAT32和NTFS两种不同文件系统的分区结构的前提下，在综述了各种计算机取证中基于FAT32和基于NTFS的数据恢复技术和原理、基于闪存的数据恢复技术、基于新型存储设备SSD固态盘的数据恢复技术。然后讨论了未来计算机取证中数据恢复技术的发展趋势和挑战，即文件碎片的重组和恢复和基于SSD的数据恢复。相比传统数据恢复，计算机取证中的数据恢复有其自己的特点和要求，最后本文从法律角度，总结了数据恢复技术在计算机取证中应用时所需要遵循的原则和流程规范。

关键字：计算机取证、数据恢复

Abstract

Traditional data recovery has a lot of mature technologies, According to analysis the relationship between data recovery in computer forensics and traditional data recovery, feasibility of applying data recovery techniques to computer forensics has been proved,much practice also has proved its effectiveness and importance. This paper describes and analyzes the different disk partition structure respectively in the FAT32 and NTFS file systems, then reviews a variety of data recovery techniques and principles respectively based on FAT32 and NTFS, flash-based data recovery techniques, SSD-based data recovery techniques in computer forensics. Next we discuss the trends and challenges of data recovery technology in computer forensics in the future, namely restructuring and recovery of file fragmentation and SSD-based data recovery. Compared to traditional data recovery, data recovery in computer forensics has own characteristics and requirements, and finally from a legal point of view, this paper summed up the principles and process specifications that need to be followed when data recovery techniques are applied to computer forensics .

Keywords: computer forensics, data recovery

目录

摘要 ................................................................................................................................................... I Abstract .............................................................................................................................................. I 1 引言 . (1)

1.1 计算机取证概念 (1)

1.2传统数据恢复技术概念 (1)

1.3 计算机取证中的数据恢复与传统数据恢复的关系 (2)

1.4 计算机取证中的数据恢复技术研究背景及意义 (2)

2 计算机取证中的数据恢复技术 (3)

2.1 基于FAT32的数据恢复 (3)

2.1.1 FAT32系统中硬盘数据结构 (3)

2.1.2 文件删除后的恢复 (3)

2.1.3 硬盘格式化或硬盘分区后的恢复 (4)

2.1.4 分区表损坏后的恢复 (4)

2.2 基于NTFS的数据恢复 (4)

2.2.1 NTFS系统中硬盘数据结构 (5)

2.2.2 文件删除后的恢复 (5)

2.2.3 BPB损坏后的恢复 (6)

2.3 基于闪存的数据恢复 (6)

2.4 基于SSD的数据恢复 (6)

3 计算机取证中的数据恢复技术发展方向 (7)

3.1 文件碎片的重组和恢复 (7)

3.2 基于SSD的数据恢复 (7)

4 数据恢复在计算机取证中的应用 (7)

5 总结 (7)

6 参考文献 (8)

1 引言

1.1 计算机取证概念

计算机取证是指能够为法庭接受的、足够可靠和有说服力的，存在于计算机、网络、电子设备等数字设备中的电子证据进行确认、收集、保护、分析、归档及法庭出示的过程。与传统证据一样，电子证据必须是可信、准确、完整、符合法律法规的。但与传统证据相比，电子证据还具有如下特点：多媒体性；脆弱性；无形性；高科技性；人机交互性；随着计算机和电信技术的不断发展，取证步骤和程序也必须不断调整与之适应[1]。电子证据的这些特点表明计算机取证中有

完全不同于传统取证的问题需要研究，所以面临不少难题，也成为信息安全领域关注的焦点。

根据取证时刻和取证对象的不同，计算机取证分为静态取证和动态取证两种。静态取证主要针对静止状态存储的电子证据，是对取证计算机、外部设备和网络中相关存储设备中的定制证据和犯罪行为痕迹进行提取、分析、识别、鉴定、保全和提交的过程，是计算机传统取证技术，主要涉及数据隐藏、硬盘克隆、密码破译、数据保护、数据恢复等技术。静态取证的关键在于及时的现场保护，通过相关的文件、日志分析工具对入侵者在系统上的遗留信息进行分析和提取。动态取证是对计算机系统或网络现场进行监视获取证据，动态分析入侵者的个人信息和攻击手段，或通过陷阱和智能追踪的方式提取实时数字证据，可以实现对取证目标的计算机犯罪相关的电子证据进行实时捕捉、定位、采集和保全。

取证模型概述了整个取证事件的全过程。文献[2]综述了基本过程取证模型、事件响应过程模型、过程抽象模型、综合数字取证模型、增强型数字过程取证模型、基于目标的层次性取证模型、基于事件的取证模型和多维计算机取证模型等，并总结了取证原则和各种取证工具。文献[1]给出了计算机取证应用模型：取证

准备，使得证据具有客观性；现场勘察及证据固定，保证证据获取的合法性；数据分析及证据提取，保证数据与案件的关联性；数据呈递，保证证据对犯罪定性的有效性。从技术角度来说，计算机取证相关技术的研究主要针对证据获取技术和证据分析技术。证据获取技术中，非常重要的一个技术就是数据恢复。因为电子证据具有脆弱性的特点，容易被损坏或者修改，恢复已经删除的应用文件、日志文件、交换文件或者历史文件碎片都可能成为犯罪案件的有力证据。

1.2传统数据恢复技术概念

随着社会信息化的发展，人们对于信息的依赖性越来越高，存储在各种信息设备中的数据价值已经高于设备本身，计算机数据恢复技术应运而生。数据恢复就是把遭受破坏、或由硬件缺陷导致不可访问或不可获得、或由于误操作等各种原因导致丢失的数据还原成正常数据。当用户面对计算机系统遭受误操作、病毒侵袭硬件故障黑客攻击等事件后，数据恢复技术可以将用户的数据从各种“无法读取”的存储设备中拯救出来，从而将损失减到最小。计算机数据恢复技术主要应用于计算机周边各种存储设备，如硬盘、U盘等，一般分为软件恢复技术和硬件恢复技术。

硬件恢复技术，是指一切由硬件损坏或失效造成的数据恢复并且涉及到硬件修理，针对的是无法进行读写操作的存储设备，尤其是硬盘。硬盘由存储数据的盘片、为读取盘片设计的其他硬件和固化于硬件和盘片上的伺服软件（即固件）等三部分组成，任何部分故障都会

导致数据无法读取。相应地，硬件恢复可分为以下3种恢复方式：

（1）硬件替代：用同型号的好的硬件替代坏的硬件从而完成恢复，如硬盘电路板的替代、控制芯片的更换等。

（2）固件修复：用硬盘专用修复工具修复硬盘固件从而恢复硬盘数据。

（3）盘片读取：在专用超净工作间内对硬盘进行开盘，取出盘片，然后用专门的数据恢复设备对其扫描，读出盘片上的数据。

软件恢复技术，指一切可以通过软件方式进行修复，不涉及硬件修理的数据恢复，主要针对可以正常进行读写操作的存储设备。软件恢复技术可以下两种方式：

（1）系统级修复技术：指操作系统不能正常启动，通过修复系统使得系统正常工作，从而恢复数据。包括对分区表及文件系统信息的修补技术，比如FAT32系统的引导扇区、FAT 表、目录表以及UNIX 系统中的超级块等信息一旦受损或丢失，就看不到系统分区，系统中的文件就无法正常读取。

（2）文件级修复技术：针对存储介质上某个应用文件损坏，又分为损坏文件的恢复和文件碎片的提取。在文件相对完整、文件头和数据区损坏不大的情况下，可以将文件恢复；但如果文件损坏很大，数据区只残留小部分，则只能提取文件碎片，这些碎片一般存在于分区内未重复使用的部分和数据簇内的剩余部分，但只对特殊的要求才有意义。

1.3 计算机取证中的数据恢复与传统数据恢复的关系

计算机取证中的数据恢复和传统数据恢复具有很多相同点，比如说基本的数据恢复技术的原理相同，从本质上讲都是从信息存储设备中提取数据，并且操作前都需要保护目标计算机系统，避免发生任何的改变、伤害、数据破坏或者病毒感染，都需要全部或尽可能恢复特殊的文件或者数据块。所以说在计算机取证中应用数据恢复技术获取电子证据在理论上是可行的。

但由于计算机取证的特点和要求，计算机取证中的数据恢复与传统数据恢复还有很多不同之处，主要体现在以下几个方面：

（1）合法性：计算机取证是国家专有的、是公检法机关针对犯罪案件进行的重要环节，计算机取证中的电子证据必须具有合法性，而由于电子证据易被修改并不留痕迹和易受环境影响的特定，这就要求取证过程采用数据恢复技术必须符合法律规范，使用工具必须通过有关部门的认证，从而使得恢复后的数据能作为具有法律效力的证据。而传统的数据恢复，是广泛向社会服务的，不一定涉及到法律问题，可能用作商业用途，也可能仅仅是个人需求。

（2）恢复对象和结果：传统的计算机数据恢复技术恢复的数据主要是应用文件，如客户专有的word文件、视频文件、照片文件等。客户不仅关心文件内容，还关心文件的完整性，即恢复之后保证文件可以正常使用。而在计算机取证中，恢复的对象不仅仅是应用文件还有系统文件，并且恢复结果不一定完整或可用。因为恢复出来的即使仅仅是一个时间点、某个数据偏或者几个字节，都可能成为案件的重要线索。

（3）证据原始性：传统数据恢复的目标是恢复数据可用性，并不考虑是否改变取证对象。而计算机取证中的数据恢复则要求必须保持数据的原始性，这就要求两者在方法选择上会有所不同。

（4）数据恢复难度：传统的计算机数据恢复处理的主要是由于意外事件造成的数据丢失。而计算机取证中的数据恢复针对的是犯罪发生后犯罪嫌疑人为了毁灭证据而故意破坏数据的情况，数据恢复的难度就会随着犯罪嫌疑人计算机水平提高而增加。

1.4 计算机取证中的数据恢复技术研究背景及意义

随着计算机和网络技术的快速发展，整个社会各个行业的信息化程度不断加深，与计算

机相关的犯罪案件越来越普遍发生，会给个人、社会乃至整个国家带来巨大损失。所以获取充分、可靠、有说服力的证据能有力打击计算机犯罪，所以计算机取证技术应运而生。但与计算机犯罪相关的证据大多都是电子证据，犯罪嫌疑人在实施犯罪时为了掩盖其行踪，很可能删除、破坏、修改、伪造这些电子证据而给获取有价值电子证据带来很大困难。在计算机取证中应用计算机数据恢复技术恢复被删除、破坏后的数据，可以作为取得证据和犯罪线索的一种重要手段，也因此从计算机取证发展开始到现在一直得到安全领域的广泛关注。

2 计算机取证中的数据恢复技术

2.1 基于FAT32的数据恢复

2.1.1 FAT32系统中硬盘数据结构

为了使用和管理方便，数据通常以文件形式存储在硬盘上，为了深刻理解数据恢复技术，了解文件在硬盘上的存储方式是非常有必要的。在硬盘分区的基础之上，不同的文件系统有不同的逻辑组织方式。在FAT32文件系统中，硬盘被分为主引导记录区（MBR区）、操作系统引导区（DBR区）、文件分配表区（FAT）、文件目录表区（FDT）和DATA区等五个部分。

MBR由分区程序生成，位于硬盘的0磁道0柱面1扇区，包括硬盘引导记录MBR和分区表DPT；DBR通常位于硬盘每个分区的第0个扇区，包括一个引导程序和一个本分区的参数记录表；FAT表示用于文件索引和定位的链式结构，有两份；FDT紧跟第二个FAT表之后，两者配合才能准确定位文件位置。

文件内容以簇为单位存放在DATA区中，一个文件至少占用一个簇。当一个文件占用多个簇时，都会对应一个特定的簇号链，并存储在FAT表中。每个文件在FDT表中对应一个目录项（32个字节）。当读取一个文件时，系统先读取该文件对应的FDT表中的目录项，从中获取该文件起始簇号和FAT表入口，再从FAT表中获取对应簇号链，然后就可以通过移动磁臂到对应簇的位置进行文件读取。所以FAT和FDT能帮助操作系统关联和识别DATA区数据，否则DATA区的数据就是没有意义的二进制代码。

2.1.2 文件删除后的恢复

删除文件只是改变文件在FAT中的链接指向，但并不代表文件实际有效数据即DATA区数据受到损坏，所以操作人员可以通过重新编制文件分配表来恢复数据。但是需要高度重视的一个问题就是，被删除文件所在的扇区不能被其他新文件覆盖或占用，一旦覆盖或者占用文件将很难甚至无法恢复。Windows文件删除分为逻辑删除和物理删除两种：（1）逻辑删除：是指将文件删除到回收站，它只是在FDT表中将被删除文件的目录条目的第一个字节改成“E5”，作为删除标记，文件的实体数据并未完全删除，所以操作人员只需要消除删除标记就可以还原数据，Windows自身就可以完成这样的工作。

（2）物理删除：相当于“清空回收站”，文件的目录条目被破坏，Windows自身无法恢复文件。当文件被物理删除时，操作系统仍将FDT中对应删除文件目录项的首字节做删除标记，同时FAT表中对应的文件簇号链也被清零，从而使操作系统法无识别该文件，并认为该文件所在的DATA区是未分配空间，允许写入新数据。但其实文件的实体数据并没被清除，而且FDT表中文件的首簇号也没有损坏，所以当文件较小或者文件占用连续存储空间时，就可能将数据全部恢复出来。当然当文件占用的存储空间不是连续的时，也可以根据不同文件的数据特征判断哪些扇区是要找的文件内容。

通常的研究将文件删除或损坏后的数据恢复分为以下三个层次：

（1）基于文件目录的数据恢复

基于文件目录的数据恢复，需要根据文件系统的存储结构进行数据恢复，就是前面讲述的常规的文件逻辑或物理删除后的数据恢复。

（2）基于文件数据特征的数据恢复

当文件的目录数据损坏后，无法确定哪个数据簇属于哪个文件，而如果知道文件中若干字节内容，就可以通过关键字搜索法，在整个文件系统搜索相应字节串从而得到需恢复文件所在的数据块，将块号填入索引节点即可恢复该文件。

而恰恰各种不同类型的文件有其各自的数据特征，如Windows事件日志的二进制文件是由若干记录单元组成，其中最前面是记录头，最后面是纪录尾，每条记录的第二个双字是特定码：4C 66 4C；Word文档的前8个字节是特定码：D0 CF 11 E0 A1 B1 1A E1 。所以可以根据不同文件类型的数据特征从DATA区直接恢复数据，而没有文件的完整目录信息。而这个层次上的文件数据恢复，就需要研究各种系统和应用软件生成的不同文件类型的数据特征。

尹丹在文献[6]中根据恢复对象的不同特征，分析了常规文件、Windows事件日志以及注册表的恢复技术原理。林蔚在文献[7]中详细分析了Word文件的内部结构和内容特征，提出了针对Word文件的雕复技术，其中针对Word 2003提出基于内部数据流的雕复方法，不仅能恢复连续文件，在文件分片情况下效果也较好；针对Word 2007提出一种基于结构和内容的雕复方法，可以有效恢复二分片、非关键部位数据损坏或丢失的文件。

（3）残缺数据的数据恢复

电子证据是二进制编码，需要借助相应软硬件显示以表达其实际意义。当数据无法完整恢复时，相应的应用软件就无法打开文件，也就无法显示文件内容而使得恢复的部分数据没有实际价值。所以数据恢复技术还要研究数据的结构特性和编码方式，在在仅有部分数据的情况下，尽可能多地显示出其中具有实际意义的内容。

2.1.3 硬盘格式化或硬盘分区后的恢复

硬盘被格式化处理之后一般都会重新构建DBR区中对应的操作系统引导记录，修改FAT 和FDT表，而保留数据区中的文件数据。所以格式化也不是真正删除数据区中的数据，可以通过相应的数据恢复技术将其部分或完全恢复。而且分区处理之后，即使写入新的数据，也只是占用了分区的前部分内容，该分区剩余空间数据仍有可能被重新组织而恢复数据。当然这里指的是高级格式化，而低级格式化是与操作系统无关的物理机格式化，会将磁盘上每个扇区写“00”覆盖，完全破坏硬盘所有数据而无法恢复。

硬盘的分区操作是修改了MBR和DBR，绝大部分的DATA区的数据并没有被改变，只要没有覆盖这个文件，即使MBR、FAT、DIR全部坏了，只要找到一个文件的起始簇位置，就可使用磁盘编辑软件将该文件恢复，这是许多硬盘数据能够得以修复的原因。

2.1.4 分区表损坏后的恢复

Windows中文件管理是通过目录来完成的，而目录建立在分区基础上的。一个物理盘通过分区表（只有1个分区时可以没有分区表）将硬盘划分成若干逻辑分区（也称卷或逻辑盘），在FAT32文件系统中，分区表存放在MBR区。当分区表损坏时，系统就不能定位逻辑盘而无法获取文件数据，但每个分区的开头有其特征，根据这些特征可以恢复分区表。

2.2 基于NTFS的数据恢复

FAT32（以及较少使用的FAT）在某些早期版本的Windows 中使用，且当前用于大多数USB 闪存驱动器。相比FAT32，NTFS具有很多优势：自动恢复磁盘相关错误；对较大磁盘的支持；更高的安全性等，所以随着Windows中NTFS文件系统的流行，基于NTFS的数据恢复技术具有很高的研究价值。

2.2.1 NTFS系统中硬盘数据结构

NTFS在硬盘上的结构以卷为基础，卷建立在硬盘分区基础之上。所以硬盘上仍然有MBR 区，这是不随操作系统和文件系统不同而变化的。一个硬盘可有多个卷，一个卷对应一个基本分区或扩展分区中的一个逻辑分区。这与FAT32是相同的，而且NTFS中文件存取同样也是按簇分配，所不同的是NTFS通过逻辑簇号（LCN）和虚拟簇号（VCN）来定位簇。NTFS 分区主要由分区引导区、主文件表（MFT）和文件存储区，而且在文件存储区中部还存放了MFT前4个甚至更多的元数据文件备份。NTFS特点之一就是所有数据包括系统信息（如引导程序、记录整个卷的分配状态位图等）都以文件形式存储，每个文件对应一个文件记录，且文件记录以数据库形式组织：文件记录就是属性和属性值的集合，在NTFS中称为流。

（1）分区引导区：保存了有关卷文件结构的信息及启动引导程序，主要涉及BPB参数表。BPB表中的参数是建立文件系统时由操作系统生成的。其中数据恢复时要用到相关参数有MFT区域的起始簇号，每簇所占扇区数，每扇区字节数。

（2）MFT：MFT是NTFS的核心，文件通过MFT来进行定位。MFT是一个关系数据库，有一系列文件记录组成，每个文件记录1KB的固定大小，MFT本身也有自己的文件记录。文件记录在MFT中从0开始编号，前16个文件记录是元文件的即系统文件，这些元文件名字以“$”开始，是隐藏文件，并且NTFS在文件存储区还对它们进行了备份。这16个文件是NTFS文件系统中唯一在MFT表中具有固定地址的文件，其他文件和目录的文件记录可以MFT表中的存放是任意的。MFT的第一个文件记录就是MFT自身，它记录着所有文件和目录的所有情况，类似FAT+FDT的功能，由于其重要性，系统专门为它准备了一个镜像文件即MFT中的第2个记录。

当目录的属性值存放在MFT表的基本文件记录中，该属性就称为常驻属性。如果一个目录的属性值太大，不能存放在一个文件记录中，那么NTFS将从DATA区为该属性值分配存储空间。这些存储空间通常称为一个运行，存储在运行中的属性称为非常驻属性。非常驻属性可以有多个数据运行。

2.2.2 文件删除后的恢复

为了了解文件删除后数据恢复原理，首先我们要知道在NTFS中文件删除时候发生了什么。当文件被删除之后，在文件记录头部中将标志字节置为00/02H，文件记录的其它属性均没有变化；对于有数据运行的文件，回收文件所占用的空间，不改变数据区(即数据运行)的内容，只是将数据运行所占用的簇在元文件$Bitmap中对应的位均置为0。

文献[15,16]中针对NTFS文件系统中，针对文件删除后文件记录头部的变化，提出了数据恢复的策略：通过分析MBR和扩展纪录（EBR）的硬盘分区表，选取NTFS分区，获取BPB 参数从而得到MFT起始地址，扫描MFT，查找删除文件的文件记录，这一阶段称为磁盘分析阶段；通过分析文件记录，确定文件的数据区，这一阶段称为分区扫描阶段；最后分类对删除文件进行恢复，即数据恢复阶段。

文献[17]提出通过获取BPB参数得到MFT起始地址，扫描MFT，查找删除文件的文件记录，通过分析文件记录确定文件数据区；最后对文件数据区作完整性判断，针对完整性的不同，采用不同的恢复策略。如果文件数据区完好，没有被覆盖，则在另一块盘区创建新文件，然后将删除文件的数据区内容逐个字节复制到新文件数据区。如果文件数据区被覆盖，则不能完整恢复。对于纯文本格式的文件，直接将数据区残留数据提取，复制到新文件数据区；对于特殊格式的文件，以二进制形式提取残留数据，并结合数据挖掘思想从中提取敏感信息。

如果文件数据区数据损坏或丢失，也可以像基于FAT32的数据恢复问题中提到的一样，

采用基于文件类型不同数据特征的恢复技术。

2.2.3 BPB损坏后的恢复

一般文件删除后，BPB参数并没有损坏，所以很多删除文件的数据恢复都要依赖于BPB 参数，如果一旦BPB参数损坏，就无法定位目录和文件，那么这些技术就会失效。所以数据恢复还包括BPB的恢复，其恢复原理就是根据文件系统存储结构的数据特征进行恢复。

当然在NTFS中同样也存在硬盘格式化或分区后的恢复问题等，恢复原理的基本思想都是一致的，只要数据区数据没有被删除和覆盖，都是有可能部分或完全恢复的。

2.3 基于闪存的数据恢复

目前闪存设备（如U盘）是广大计算机用户存储和备份数据的重要载体，越来越广泛地被使用。因此针对闪存设备的数据恢复技术在计算机取证中的作用也越来越重要。闪存设备中应用了FAT32文件系统，了解和研究基于闪存的数据恢复技术原理要以深入了解和分析闪存设备的结构、存储原理和FAT文件系统为前提，这里篇幅有限不做详细介绍。

对闪存设备来说，硬件正常工作情况下（即可以通过主控芯片正常读取逻辑数据），基于软件的闪存数据恢复与传统磁盘差别不大。但是硬件受到损坏的情况下，如果像磁盘一样使用硬件替代或固件修复，U盘会出现现存映射表丢失现象而无法恢复数据。磁盘中逻辑地址和物理地址对应关系确定不变，所以能采用盘片读取方式进行数据恢复，而U盘如果想通过直接读取闪存数据实现数据恢复，必须找到逻辑页和物理页映射关系，将读取的物理数据重新排列组织为逻辑数据内容。U盘中逻辑页与物理页映射表由主控芯片自己维护与保存，而主控芯片一般也会写入部分信息到备用区，如逻辑页(块)号。在主控芯片失效的情况下，只能通过直接读取闪存芯片，从备用区中找寻相应的逻辑页和物理页映射关系。而如果主控芯片不将相应内容写入备用区，则很难实现数据恢复。主控芯片是否将相关信息是否写入闪存芯片，可以通过对正常U盘测试得知。

文献[18]主要考虑主控芯片将逻辑页和物理页映射关系写入备用区的情况，将针对U盘逻辑镜像数据的恢复问题，设计了向U盘中写入逻辑扇区号的方法，通过读取闪存物理数据进行对比分析，从而找出闪存备用区中的逻辑地址信息，成功实现U盘逻辑镜像数据的恢复。并针对恢复后的U盘逻辑镜像文件，在Linux系统下利用loop设备处理镜像数据文件的技术，充分利用Linux中的文件系统处理功能来恢复U盘中的正常目录和文件。这种获得U盘逻辑页和物理页映射关系的方法需要通过对与故障U盘的主控芯片和闪存芯片型号完全一样的额外正常U盘，写入实验数据进行复杂的人工分析，不同的U盘还需要相同流程的分析，耗时较长。

2.4 基于SSD的数据恢复

SSD 固态硬盘是以固态的半导体芯片作为存储介质的大容量存储器，相比传统磁盘具有读写速度快、防震抗摔、低功耗无噪音等特点，目前广泛应用于笔记本电脑等便携式设备中。SSD 固态硬盘特有的垃圾回收和TRIM 指令给其数据恢复带来了灾难性的后果，会导致无法进行传统的数据恢复工作，而以前通过未分配簇查找证据文件碎片的方法也无法进行。文献[19]中提到SSD盘在加电的情况下，即使没有外界读写操作也会自动发生变化，这也给SSD 盘的证据保全带来巨大的技术挑战。

Belkasoft 公司基于对SSD 固态盘取证技术的研究，推出了Evidence Center 工具[20]，通过充分利用硬件接口、操作系统和固件对TRIM 指令的兼容性情况，可以在特定环境下实现一定的SSD固态盘数据恢复。

3 计算机取证中的数据恢复技术发展方向

3.1 文件碎片的重组和恢复

存储在计算机上的文件被删除后容易形成文件碎片。传统的取证恢复技术利用文件系统信息或者基于文件类型的数据特征利用关键字首尾匹配可以实现对连续存放的文件或者已知扇区分布情况的文件的有效恢复，而对没有关联的文件碎片恢复则很难实现。因此如何对文件碎片进行深度分析成为计算机取证研究领域中的一个重要问题。特别是对存储介质进行取证调查时，数据恢复之后可能会得到一些文件碎片，而不是完整的原始文件。目前文件碎片的重组和恢复主要遇到的挑战有：区分不同类型文件二进制数据，使得碎片重组的范围缩小；针对不同类型文件，评价当前碎片与已经确定的文件碎片之间相似度；对于复合文件，要先将其中包含的单一文件重组成功，再进一步还原成复合文件。

3.2 基于SSD的数据恢复

如2.4中介绍，目前SSD由于其较好的性能已经广泛使用，但其存储原理和传统磁盘存在较大差别，其特有的垃圾回收和TRIM指令使得传统针对磁盘的数据恢复技术失效，从而给其数据恢复带来很大的挑战。所以未来SSD必然取代磁盘，计算机取证中的数据恢复技术的研究热点必将转向针对SSD的数据恢复。

4 数据恢复在计算机取证中的应用

在1.4节中，我们已经论述了计算机取证中的数据恢复与传统数据恢复的相同点和不同点，证明了数据恢复技术应用在计算机取证中的可行性和有效性，但是由于计算机取证中的数据恢复相比传统数据恢复的特点和要求，数据恢复技术在计算机取证中应用时必须遵守一定的原则和流程规范。

（1）计算机取证中数据恢复的原则

1）客观性原则：要求在数据恢复过程中必须真实客观，恢复出来的资料必须真实且能反映原始资料的面貌。这是和计算机取证中数据恢复的原始性特点相一致的。

2）合法性原则：计算机取证中的数据恢复必须具有合法性，所以必须遵守合法性原则。

3）及时备份原则：为了保证诉讼效率，也为了防止被恢复的硬盘或其他存储设备出现新的问题，需要对恢复设备复制副本，原始设备专人专门保管，利用复制品恢复数据。这样既可以防止恢复操作对原数据的破坏，也可以保证原始数据更强的证明力。

4）环境安全原则：既要防止外界因素（如高磁场、高温、高压等）对存储介质造成损害而影响数据的恢复，又要防止人为破坏。

5）保密原则：计算机取证中的数据恢复是为侦破案件或提供法庭证据的一种司法活动，所以整个过程必须保密。

（2）计算机取证中数据恢复的流程规范

总的来说，计算机取证中的相关原则和规定，数据恢复也要遵守。文献[21]通过研究2007年7月18日审议通过，同年10月1日开始实施的《司法鉴定程序通则》，总结了计算机取证中的数据恢复的流程规范，主要包括数据恢复的申请、委托、受理、实施活动、出具鉴定文书等5项。

5 总结

计算机取证技术越来越广泛地应用于侦破打与计算机相关的犯罪犯罪案件，而数据恢复在计算机取证中也表现出了可行性和有效性，而成为计算取证过程张的重要环节。虽然传统数据恢复已经有很多成熟的技术，但是由于计算机取证中的数据恢复有其自己的特点和特殊要求，不用直接应用，相比传统数据恢复更难，技术要求更高，需要进一步研究，以满足计算机取证中的实战要求。

现有计算机取证中数据恢复技术一般对连续分布或已知扇区分布的文件有较好的恢复效果，而很难实现没有关联的文件碎片的恢复和重组。所以对文件碎片的恢复和重组是未来计算机取证中的数据恢复领域研究的重要问题之一。另一方面，随着计算机存储介质逐渐由磁盘转向性能更好的SSD，这给数据恢复带来了新的挑战，所以基于SSD的数据恢复也将会成为计算机取证中数据恢复领域关注的另一个热点。

6 参考文献

[1] 任雪飞, 杨永川. 计算机取证技术综述. 取证技术研究, 2011.

[2] 胡亮, 王文博, 赵阔. 计算机取证综述. 吉林大学学报（信息科学版）, 28(4), 2010.

[3] 孙波孙, 玉芳, 张相锋等. 电子数据证据收集系统保护机制的研究与实现. 电子学报, 2004, 32(8).

[4] 金波, 陶明明. 计算机取证关键技术分析. 第二十一次全国计算机安全学术交流会论文集. 2006.

[5] 张鑫. 新型计算机取证技术的研究: [硕士学位]. 2012.

[6] 尹丹. 计算机取证中的数据恢复技术研究. 全国计算机安全学术交流论文集, 2010, 25.

[7] 林蔚. Word 文件复雕技术的研究: [硕士学位]. 杭州: 杭州电子科技大学. 2011.

郭博, 莫有权, 李庆荣等. 基于FAT32文件系统的一种计算机取证方法. 计算机应用于软件, 2010, 27(6).

[8] 游春晖, 刘乃琦, 代立松. 数据恢复技术在计算机取证系统中的应用. 成都大学学报(自然科学版), 2008, 27(2).

[9] 程优. 数据恢复技术在计算机取证系统中的应用. 电子技术与软件工程, 2014(20): 212-213.

[10] 王薇. 数据恢复与计算机取证. 电子制作, 2015(03).

[11] 黄步根. 数据恢复与计算机取证. 计算机安全, 2006(06): 79-80.

[12] 李俊莉. 数据恢复技术在计算机取证中的应用. 南阳师范学院学报, 2008, 7(9).

[13] 王笑强. 数据恢复技术成为电子取证的核心技术. 计算机安全, 2009.

[14] 吴琪. 浅析计算机犯罪取证中的数据恢复原理. 吉林公安高等专科学校学报, 2011(2).

[15] 杜江, 王石东. 计算机取证中的数据恢复技术研究. 重庆邮电大学学报(自然科学版), 2010, 22(5).

[16] 基于NTFS文件系统的计算机取证研究: [硕士学位]. 重庆: 重庆邮电大学. 2010.

[17] 赵双峰, 费金龙, 刘楠. Windows NTFS下数据恢复的研究与实现. 计算机工程与设计, 2008, 29(2).

[18] 易凌鹰. 基于闪存数据恢复的计算机取证技术的研究与实现: [硕士学位论文]. 北京: 北京邮电大学, 2009.

[19] 杨泽明, 刘宝旭, 许榕生. 数据取证研究现状与发展态势. 科研信息化技术与应用2015, 6(1): 3-11.

[20] URL:https://www.wendangku.net/doc/403591248.html,/ssd-2014.

[21] 沈树强. 电子证据鉴定视角下的数据恢复问题研究: [硕士学位]. 北京: 中国政法大学, 2010.

基于日志事务的数据库恢复技术

基于日志的数据库恢复 数据库系统中的非灾难性故障所导致的数据不一致问题,常用的解决方法是基于日志的恢复技术。查阅资料，研究探讨此类恢复技术的基本方法及其实现算法。 事务日志及在数据库恢复中的作用 一、事务日志的工作原理 实际上，事务中的数据操作首先在数据库缓冲区中进行，缓冲区中有用来记录操作活动的数据页和日志页。当事务运行到Commit Transaction时，日志页从缓冲区写入磁盘，而后数据页再从缓冲区写入磁盘，即遵循“先写日志”的原则。如果先写了日志而没有来得及修改实际数据，则在下一次的正常启动或恢复过程中，DBMS检查日志里的记录，将数据的更新补录到数据库中。因此遵循“先写日志”的原则，可以严格地保持事务日志和实际数据更新的一致性。事务的所有日志记录都链接在一起，当系统出现故障时，通过恢复（前滚）或撤消（回滚）事务能够最大限度地恢复数据库。 二、基于事务日志的数据库恢复思路 假如某数据库系统在T1时刻做了一次完整的备份，由于某种原因在T2时刻(T2>T1)出现了故障，丢失了重要的数据。一般的数据恢复思路是利用T1时刻的数据备份将数据库恢复到T1时刻的状态，T1至T2时间段更新的数据则丢失，即做到不完全恢复。 实际上如果充分利用T1至T2 时间段的事务日志，我们完全可以将数据库恢复到T2时刻的状态，即完全的数据库恢复。因为T1至T2时间段的事务日志是按照时间顺序详细记录了这一时间段的事务处理信息，如图所示。 如果我们在T1状态的基础上，重新依次运行这些事务，就可以将数据库由T1状态逐步推演到T2时刻的状态，实现数据库的完整恢复。此外，还可以根据需要在T1与T2之间某个时间点停留，即把数据库恢复到过去某个特定的时间点。 基于事务日志的数据库恢复技术 一、利用事务日志进行数据库恢复的操作步骤 当数据库出现故障时，恢复到当前故障点应按下面的次序进行操作： ①备份当前活动事务日志； ②还原星期一晚上22:00 创建的数据库完全备份；

计算机取证中的数据恢复技术综述

计算机取证中的数据恢复技术综述 摘要 传统数据恢复已经有很多成熟的技术，通过分析计算机取证中数据恢复技术与传统数据恢复的关系，我们证明了在计算机取证中应用数据恢复技术的可行性，实践也证明了其有效性和重要性。本文主要在介绍和分析磁盘在FAT32和NTFS两种不同文件系统的分区结构的前提下，在综述了各种计算机取证中基于FAT32和基于NTFS的数据恢复技术和原理、基于闪存的数据恢复技术、基于新型存储设备SSD固态盘的数据恢复技术。然后讨论了未来计算机取证中数据恢复技术的发展趋势和挑战，即文件碎片的重组和恢复和基于SSD的数据恢复。相比传统数据恢复，计算机取证中的数据恢复有其自己的特点和要求，最后本文从法律角度，总结了数据恢复技术在计算机取证中应用时所需要遵循的原则和流程规范。 关键字：计算机取证、数据恢复 Abstract Traditional data recovery has a lot of mature technologies, According to analysis the relationship between data recovery in computer forensics and traditional data recovery, feasibility of applying data recovery techniques to computer forensics has been proved,much practice also has proved its effectiveness and importance. This paper describes and analyzes the different disk partition structure respectively in the FAT32 and NTFS file systems, then reviews a variety of data recovery techniques and principles respectively based on FAT32 and NTFS, flash-based data recovery techniques, SSD-based data recovery techniques in computer forensics. Next we discuss the trends and challenges of data recovery technology in computer forensics in the future, namely restructuring and recovery of file fragmentation and SSD-based data recovery. Compared to traditional data recovery, data recovery in computer forensics has own characteristics and requirements, and finally from a legal point of view, this paper summed up the principles and process specifications that need to be followed when data recovery techniques are applied to computer forensics . Keywords: computer forensics, data recovery

计算机控制技术论文

计算机控制技术综述 自动化1206班张鹏程0909122829 计算机控制技术是利用计算机知识在不同的行业领域进行自动化生产，近年来，随着国民经济的发展，计算机信息技术被应用到各行各业中，计算机技术也在科技信息技术迅速发展的背景下有了很大程度的提升。 一计算机控制系统概述 计算机控制系统就是利用计算机来实现生产过程自动控制的系统。所谓自动控制，就是在没有人直接参与的情况下，通过控制器使生产过程自动地按照预定的规律运行。下图为自动控制系统原理框图 二计算机控制系统发展概况 在生产过程控制中采用数字计算机的思想出现在20世纪50年代中期，TRW 公司的开创性工作为计算机控制技术的发展奠定了基础，从此计算机控制技术获得了迅速的发展。其发展过程分为以下四个阶段： 1 开创时期（1955-1962） 早期的计算机使用电子管。 2 直接数字控制时期（1962-1967） 计算机直接控制过程变量，完全取代了原来的模拟控制。 3 小型计算机时期（1967-1972） 出现了各种类型的适合工业控制的小型计算机。 4 微型计算机时期（1972至今） 微电子学的发展促进出现了各种计算机系统。 三计算机控制系统的工作原理 从本质上看，计算机系统的工作原理可归纳为以下三个步骤： 1 实时数据采集：对来自测量变送装置的被控量的瞬时值进行检测和输入。 2 实时控制决策：对采集到的被控量进行分析和处理，并按已定的控制规律，决定将要采取的控制行为。 3 实时控制输出：根据控制决策，适时地对执行机构发出控制信号，完成控制任务。下图给出了典型的计算机控制系统原理框图

四计算机控制技术的应用及发展 计算机控制技术在当今社会中应用十分广泛，尤其是在工农业生产中的应用，更是逐步提升优化，为企业节省了物资，人力，提高了工作效率，提升产品质量，节约成本，减少能源以及原材料的消耗。计算机控制技术以计算机技术为基础，用计算机数据系统代替传统操作系统，对一个生产设备的动向进行全程操控，是替代企业常规生产系统的一个新的发展方向。计算机控制系统改变了人们对自动化生产的认识，是企业生产中的一种革新。 计算机控制技术在生产线上应用的现状 在传统的工业生产或者是资源开发工作中都是以人力劳动为主。有些比较危险的工作，例如，石油、煤矿开采等安全隐患较大的工作，由于计算机信息技术的落后，无法实现自动化管理，常常导致意外事故的发生。随着科技的发展，企业的自动化生产设备逐步的更新，越来越多的工业生产逐渐减少原始劳动力。自动化生产中的最普遍最广泛采用的就是计算机总线技术。现场总线技术可以连接自动控制和机械设备，使自动化生产过程中的信息沟通更加的方便，是现代计算机技术控制自动化技术发展的主流。计算机技术依靠自身特有的灵活、通用的特点，很大程度上帮助自动化生产提高了工作效率，降低了企业的生产成本，提高了工业生产的质量。 计算机控制技术在生产线上的应用举例 1 在机器人自动化冲压生产线上的应用 在计算机技术比较发达，自动化管理技术应用比较普遍的今天，我们可以运用机器人下井采煤挖油等一些比较危险的工作，可以利用计算机技术对自动化装置设备进行全程监督和控制，利用总线技术对各个环节进行检测，对各个过程可能发生异常的环节进行有效的检测和预防。机器人自动化冲压生产线示意图如图所示。

数据恢复

数据恢复 数据恢复的重要意义 在当今这样一个信息和网络化的社会里，计算机正在我们的工作和生活中扮演着日益重要的角色。越来越多的企业、商家、政府机关和个人通过计算机来获取信息、处理信息，同时将自己最重要的信息以数据文件的形式保存在计算机中。一旦这些重要的数据发生灾难，将会导致一个企业停止运转，如果数据丢失还有可能使一个企业面临破产！因此，找回灾难的数据显得日益重要，轻则，找回的只是几个文件而已，重则，能拯救一个单位、一个企业的生命！ 数据丢失的主要原因 造成数据丢失主要有以下几个原因： （1）用户的硬盘数据保护意识不高。目前不论是企业用户还是个人用户，多数都是在计算机里安装了一种或几种防病毒软件，然后就认为可以高枕无忧了。这种过分依赖防病毒软件的思想使得用户疏忽了对数据的保护，等到数据灾难发生的时候才发觉：原来防护软件并不是万能的！到了那个时候，后悔晚矣！ （2）黑客入侵与病毒感染。相信这一因素造成数据灾难所占的比例是最高的了，如今的黑客能在装有防火墙的网络中进出自如，病毒可以在几个小时之内遍布全球，时刻都在威胁着我们数据的安全，这些都是人们无法预料的事情。 （3）硬盘或系统、软件故障。由这一原因造成的数据丢失多数表现为：数据无法找到，系统不认识所使用的装置，机器发出噪音，电脑或硬盘不工作等，这与用户使用电脑的方式和在电脑上安装的软件有关，不能一概而论。 （4）自然损坏。风、雷电、洪水以及意外事故（如电磁干扰、地板振动等）也有可能导致数据丢失，不过这一因素出现的可能性比前面三点要低很多。 （5）人为丢失。例如我们在使当中对存储设备进行了误格式化、误分区、误克隆、误删除等操作引志的文件丢失。 数据可恢复的前提 是不是一切丢失的数据都可以恢复过来呢？当然不是了，要不然就不能称为数据灾难了。如果被删除的文件已经被其他文件取代，或者文件数据占用的空间已经分配给其他文件，那么该文件就不可能再恢复了。 出现数据丢失时的处理

电子证据综述

电子证据的法律地位综述 论电子证据的法律地位 摘要：随着现代科技的日新月异和信息技术的不断革新，网络成了

人们生活不可或缺的一部分。与此同时，和网络、信息有关的交易日渐频繁，在法律领域，自然而然地产生了电子形式的证据。电子证据的出现给现有的证据制度甚至整个法制带来了冲击。 关键字:电子证据定义法律地位 一、电子证据的概念 学者们对电子证据的定义并不统一，主要分歧在电子证据与计算机挣据、与视听资料的关系上。 国家信息中心电子数据鉴定中心副主任对电子证据的解释是：电子证据主要是指利用电子信息内容证明案件事实的证据，包括各种存储介质中的文本、图片、音频、或视频文件及网络中传输的信息流。存储介质是电子证据的载体，可以是计算机软、硬盘；磁盘阵列；移动存储设备MO、移动硬盘、U盘、ZIP盘等；计算机用磁带；各种CD-R、CD-RW记录光盘；各种数码相机用的Flashcard、Memory Stick、Mrcrodrive等存储卡，甚至包括手机和MP3等。 蒋平先生认为，电子证据是以电子数据存在的、接触信息技术或者信息设备形成的用作证据使用的一切数据及其派生物。① 何家弘教授认为，电子证据是以电子形式存在的，用作证据使用的一切材料及其派生物②。 笔者认为，电子证据是以电子形式存在的，用作证据使用的一切材料及其派生物。它不仅仅局限于借助计算机设备形成的证据，好包括借助电话机、录音机、摄像机、手机等现代设备形成的证据。因此，广义的电子技术在外延上比计算机证据大，实际上将计算机证据囊括其中，而狭义的电子证据，与计算机证据范围基本相当。 二、电子证据的法律地位 电子证据是否具有独立的法律地位，学界认识是不一致的。目前，我国学术界主要有以下观点： （一）书证说早在1982年就提出“计算机记录作为证据时相当于书面文件” ①蒋平、杨莉莉：《电子证据》，清华大学出版社、中国人民公安大学出版社2007年版，第18页。 ②何家弘、刘品新：《电子证据法研究》，法律出版社2002年版，第5页。

计算机控制技术综述及发展方向

计算机控制技术的综述及发展方向 摘要：计算机控制技术及工程应用是把计算机技术与自动化控制系统融为一体的一门综合性学问，是以计算机为核心部件的过程控制系统和运动控制系统。从计算机应用的角度出发，自动化控制工程是其重要的一个应用领域；而从自动化控制工程来看，计算机技术又是一个主要的实现手段。控制系统的发展趋势：向国产DCS系统转移，向PLC转移，向现场总线控制系统FCS转移，而以PC 为基础的控制系统(PC-Based Control System, PCBCS)也呈现良好的发展态势。 关键词：计算机控制；多元化；发展方向 1 计算机控制系统的概述 计算机控制系统(Computer Control System，简称CCS)是应用计算机参与控制并借助一些辅助部件与被控对象相联系，以获得一定控制目的而构成的系统。工业上定义为利用计算机实现工业生产过程的自动控制系统。 1.1 计算机控制系统的特点 (1) 系统控制功能强 通过强大的数字、逻辑计算能力实现复杂运算；通过通讯实现大规模系统的控制；通过数据存储实现人工智能。工业上随着生产规模的扩大，模拟控制盘越来越长，这给集中监视和操作带来困难;而计算机采用分时操作，用一台计算机可以代替许多台常规仪表，在一台计算机上操作与监视则方便了许多。 (2) 操作的灵活性强（人机对话功能强）、界面友好 常规模拟式控制系统的功能实现和方案修改比较困难，常需要进行硬件重新配置调整和接线更改；而计算机控制系统，由于其所实现功能的软件化，复杂控制系统的实现或控制方案的修改可能只需修改程序、重新组态即可实现。另外硬件和软件的通用型强，便于系统的开发和修改，如：软件通用级(ANSYS)、硬件系统通用级(PC平台)、芯片通用级（软核）等。 (3) 实现资源共享性 常规模拟控制无法实现各系统之间的通讯，不便全面掌握和调度生产情况；计算机控制系统可以通过通信网络而互通信息，实现数据和信息共享，能使操作人员及时了解生产情况，改变生产控制和经营策略，使生产处于最优状态。

计算机取证技术综述

龙源期刊网 https://www.wendangku.net/doc/403591248.html, 计算机取证技术综述 作者：袁铠锋 来源：《科教导刊·电子版》2017年第14期 摘要随着计算机信息技术的不断发展与成熟，计算机网络逐渐成为了各行各业在开展工作时不可缺少的重要工具，各种依托计算机信息而实施的计算机网络犯罪现象也日益猖狂起来。本文围绕几种常见的计算机取证技术介绍、计算机取两个证技术的发展方向以及未来展望两个方面展开讨论，对计算机取证技术进行了综述，并提出了一些笔者自己的见解，希望能够对今后计算机取证技术的研究提供一些理论建议。 关键词计算机取证技术数据信息可靠性 中图分类号：TP309 文献标识码：A 1几种常见的计算机取证技术介绍 在美国地区，至少有百分之七十的法律部门都已经设置了专门的计算机取证实验室，取证专家在实验室内对各种从犯罪现场收集的数据信息进行分析，从中提取中与作案相关的信息。 由于取证时刻上具有一定的潜在属性，因此我们可将计算机取证分为两组不同的模式，分别为静态取证模式以及动态取证模式。其中，静态取证指的是对各种潜在证据进行提取，如存储在各种未运行状态媒介中的证据；而动态取证指的是对各种存储有网络以及运行媒介中的证据进行提取。由于网络数据以及计算机系统数据在属性上具有本质区别，因此人们在取证过程中使用的取证方式往往也会分为两种，分别为依托计算机系统的取证以及依托网络数据的取证。 1.1预备取证技术 一般情况下，计算机系统以及网络系统中存在的数据在使用后均会被删除，即使是各种潜在数据也可能面临被黑客删除的风险，所以说在事发后从受害者计算机中获得的数据并不一定真实可靠，这就使得事发前的预备取证能力越来越得到关注。预备取证的目标在于构建一个科学可靠的系统，对于各种可疑数据进行自动搜索、识别、汇集以及过滤，同时对于各种可靠数据进行自动存储、保留以及分析。预备取证系统的建立能够确保安全事件发生后的证据数量、真实度、可靠度同时实现最大化。 布拉德等学者针对企业构建预备取证技系统的基本原理进行了总结，具体如下：（1）小安全漏洞原理：一个极小的安全漏洞便可以导致系统的安全防护完全失效；（2）小用户世界原理：对于一些特殊的用户而言，个别的设备以及系统便可满足他们的使用需求；（3）安全策略行为违反递减原理：随着用户对于系统知识的不断了解以及掌握，各种完全违反行为的发生频率也逐渐增加。

计算机控制技术项目01 第1章 计算机控制系统概述

第1章计算机控制系统概述 习题与思考题参考答案 1-1 控制系统微机化的重要意义是什么？ 答：传统的测控系统主要由“测控电路”组成，所具备的功能较少，也比较弱。随着计算机技术的迅速发展，使得传统的测控系统发生了根本性变革，即采用微型计算机作为测控系统的主体和核心，替代传统测控系统的常规电子线路，从而成为新一代的微机化测控系统。由于微型计算机的速度快、精度高、存储容量大、功能强及可编程等特点，将微型计算机引入测控系统中，不仅可以解决传统测控系统不能解决的问题，而且还能简化电路、增加或增强功能、提高测控精度和可靠性，显著增强测控系统的自动化、智能化程度，而且可以缩短系统研制周期、降低成本、易于升级换代等。因此，现代测控系统设计，特别是高精度、高性能、多功能的测控系统，目前已很少有不采用计算机技术的了。在当今，完全可以这样说，没有微处理器的仪器就不能称为仪器，没有微型计算机的测控系统就更不能称其为现代工业测控系统。 计算机技术的引入，为测控系统带来以下一些新特点和新功能： 1）自动清零功能。在每次采样前对传感器的输出值自动清零，从而大大降低因测控系统漂移变化造成的误差。 2）量程自动切换功能。可根据测量值和控制值的大小改变测量范围和控制范围，在保证测量和控制范围的同时提高分辨率。 3）多点快速测控。可对多种不同参数进行快速测量和控制。 4）数字滤波功能。利用计算机软件对测量数据进行处理，可抑制各种干扰和脉冲信号。 5）自动修正误差。许多传感器和控制器的特性是非线性的，且受环境参数变化的影响比较严重，从而给仪器带来误差。采用计算机技术，可以依靠软件进行在线或离线修正。 6）数据处理功能。利用计算机技术可以实现传统仪器无法实现的各种复杂的处理和运算功能，比如统计分析、检索排序、函数变换、差值近似和频谱分析等。 7）复杂控制规律。利用计算机技术不仅可以实现经典的PID控制，还可以实现各种复杂的控制规律，例如，自适应控制、模糊控制等；同时也能够实现控制方案和控制规律的在线修改，使整个系统具有很大的灵活性与适应性。 8）多媒体功能。利用计算机的多媒体技术，可以使仪器具有声光、语音、图像、动画等功能，增强测控系统的个性或特色。 9）通信或网络功能。利用计算机的数据通信功能，可以大大增强测控系统的外部接口功能和数据传输功能。采用网络功能的测控系统则将拓展一系列新颖的功能。 10）自我诊断功能。采用计算机技术后，可对控制系统进行监测，一旦发现故障则立即进行报警，并可显示故障部位或可能的故障原因，对排除故障的方法进行提示。 通过应用计算机测控技术，可以稳定和优化生产工艺，提高产品质量，降低能源和原材料消耗，降低生产成本；更为重要的是通过应用计算机测控技术还可以降低劳动者的生产强度，提高领导者的管理水平，从而带来极大的社会效益。正因为如此，计算机测控技术得到了迅速的发展。 1-2 计算机控制系统有哪些特点？

计算机取证研究综述

Aug. 2005, Volume 2, No.8 (Serial No.9) 通讯和计算机 Journal of Communication and Computer, ISSN1548-7709, USA 1 计算机取证研究综述* 丁丽萍1, 王永吉 2 (1,2 中国科学院软件研究所互联网软件技术实验室，北京 100080; 1 北京人民警察学院公安科技教研部，北京 100029; 1 中国科学院研究生院，北京 100039) 摘 要：计算机取证是法学、刑事侦查学和计算机科学的交叉学科，对于计算机取证和电子证据的研究必须体现这一交叉学科的特点。本文总结了近年来国内外的研究情况，提出了今后的研究重点和方向。 关键词：计算机取证；研究；现状；挑战；方向 * 本文得到中国科学院百人计划资助项目，国家自然科学基金资助项目(No.60373053)，中国科学院与英国皇家学会联合资助项目(No.20030389, No.20032006)和教育部留学回国人员科研启动基金资助项目(教外司留[2003]406号)资助。 1 丁丽萍(1965- )，女，山东青州人，博士生，副教授；研究方向：计算机取证学；E-mail: dingliping@https://www.wendangku.net/doc/403591248.html,. 2 王永吉(1962- )，男，辽宁盖州人，研究员，博士生导师，中科院2002年引进海外杰出人才“百人计划”入选者；研究方向：实时系统，网络优化，计算机取证学，智能软件工程，优化理论，机器人和控制理论等。 1. 引 言 1991年，在美国召开的国际计算机专家会议上首次提出了计算机取证（Computer Forensics ）这一术语[1]。十几年来，随着计算机技术的发展，计算机取证学的研究不断深入，几乎每年都召开以计算机取证为主题的学术会议，例如，1993年、1995年、1996年和1997年分别在美国和澳大利亚、新西兰召开了以计算机取证为主题的国际会议。从总体上看，2000年之前的计算机取证研究主要侧重于取证工具的研究，2000年以后，开始了对计算机取证基础理论的研究。毕业于中国科学院软件所的孙波博士认为计算机取证的发展可以分为奠基时期、初步发展时期和理论完善时期三个阶段。他对这三个阶段的划分和分析也体现了前期的取证工具研究和近期的理论研究的特点。2001年6月在法国召开的第十三届全球FIRST （Forum of Incident Response and Security Teams ）年会的主题就是入侵系统恢复和分析取证理论，2002年的美国夏威夷FIRST 年会提出了计算机取证协议和程序的标准化问题。我国的计算机取证研究无论是取证工具还是基础理论的研究都处于起步阶段。本文第二部分分析了计算机取证的基础理论的研究现状；第三部分探讨了计算机取证技术的研究情况；第四部分列举了目前的取证工具；第五部分对计算机取证法律法规进行了讨论；最后一部分提出了计算机取证面临的挑战和今后的发展方向。 2. 基础理论研究现状 目前，国内外对计算机取证技术的理论研究集中在对计算机取证的产生、发展、现状和未来的发展趋势预测等的研究，计算机取证的有关概念、特点、原则、标准、规范等的研究以及对各种现有技术在计算机取证中的应用的研究。理论研究从总体上看还处于起步阶段。 有关理论研究的资料在IOCE(International Organization on Computer Evidence, 国际计算机证据组织)的网站https://www.wendangku.net/doc/403591248.html,/上都可以查到。 2.1有关的概念和特点 对概念和特点的研究主要集中在电子证据的概念和特点、计算机取证的概念和特点上。 2.1.1电子证据的概念和特点 电子证据，即计算机证据。目前，对电子证据的定义很多，没有形成统一的定论。比较典型的有：文献[2]认为计算机证据是存储有电子数据的电、磁、光记录物，这些电子数据是在计算机系统运行

计算机控制技术期末试题

选择 1.直接数字控制系统是用计算机对多个被控参数进行巡回检测，并与设定值进行比较，再按PID规律控制运算，计算机输出的控制量转换成（D）的控制信号，直接控制生产过程，使被控参数稳定在给定值上。 A．检测单元 B.模数转换器 C.数模转换器 D.执行机构 2.监督计算机控制系统使计算机按照描述生产过程的数学模型，计算出最佳设定值送给模拟调节器或DDC计算机。最后由模拟调节器或DDC计算机控制生产过程，从而使生产过程处于（B）工作状态。 A.一般 B.最优 C.稳定 D.不稳定 3.最少拍系统是指典型系统在典型输入作用下具有最快的响应速度，被控量能在最短的调节时间达到（C） A.采样值 B.平均值 C.设定值 D.稳定值 4.线性化处理中若三点不在一条直线上需要（D）近似 A.直线 B.正弦 C.正切 D.抛物线 5.在已知连续对象时可先设计出连续控制器，在将其连续化，得到等价的（C）并用计算机实现 A.数字模拟器 B.连续模拟器 C.数字调节器 D.模拟调节器 判断 6.计算机控制系统是硬件和软件组成的（T） 7.解析法是根据给定的闭环性能要求，通过解析计算求得模拟传递函数（F） 8.积分分离措施适当偏差较大时取消积分作用，当偏差较少时将积分投入（T） 9.算数平均滤波适用于周期性脉冲信号的平滑加工（T） 10.计算机系统接地是指工作接地和保护接地（T） 简答 11.计算机控制系统控制规律的设计方法种类有哪些？ 答：离散化设计；模拟化设计；状态空间设计；复杂规律设计。 12.PID增量型的优缺点是什么？ 答：每次输出增量造成误动作损失小；算式中不需累加；手动-自动切换时冲击小；占用内存单元少速度快。 13. 最小拍系统的设计步骤及性能要求和约束条件 第一步主要根据性能要求和约束条件确定所需的Ф（z）。性能要求和约束条件有：（1）稳定性；（2）准确性；（3）快速性；（4）物理可实现性；第二步主要是由Ф（z）确定D（z）。依据的公式为D（z）=Ф（z）/G（z）Фe（z）。第三步根据D（z）编制控制算法的程序 14. 怎样提高数据采集系统速度 采用高速模拟转化器；多路开关切换时间短；采用DMA技术；采用双端口RAM。 15．计算机控制系统设计步骤 （1）控制系统总体方案的确定（2）计算机系统设计（3）计算机控制系统算法的设计（4）计算机控制系统的硬件设计（5）计算机控制系统的软件设计（6）控制系统调试 论述 16.综述计算控制系软件抗干扰措施 （1）指令复执技术：在程序执行过程中，一旦发生错误就重新执行被干扰的现行指令若干

计算机控制技术的综述

计算机控制技术的综述 Prepared on 22 November 2020

计算机控制技术综述 年级：07级自动化2班 姓名：weitor 学号：000000000204 计算机控制技术综述 摘要：从实用角度出发，全面系统地讲述了计算机控制技术在工业过程控制中的软件、硬件技术。包括微型计算机控制系统概述、直接数字控制系统、现场总线系统、数字控制器的离散化设计、微型计算机控制系统的设计、微型计算机控制系统常用控制程序设计。 关键字：计算控制，DDC及相关控制，DCS ，FCS 1 计算机控制系统 计算机控制系统(Computer Control System，简称CCS)是应用计算机参与控制并借助一些辅助部件与被控对象相联系，以获得一定控制目的而构成的系统。 计算机控制系统的特点 (1) 系统控制功能强 通过强大的数字、逻辑计算能力实现复杂运算通过通讯实现大规模系统的控制通过数据存储实现人工智能 (2) 硬件和软件的通用型强，便于系统的开发和修改 软件通用级 ANSYS

硬件系统通用级 PC平台 芯片通用级（软核） GAL （gemeric Array) FPGA (field-programmable gate arrays) (3) 人机对话功能强，界面友好 (4) 集成度高，性价比好 图（一）计算机控制系统 计算机控制系统的分类 这里的计算机通常指数字计算机，可以有各种规模，如从微型到大型的通用或专用计算机。辅助部件主要指输入输出接口、检测装置和执行装置等。与被控对象的联系和部件间的联系，可以是有线方式，如通过电缆的模拟信号或数字信号进行联系；也可以是无线方式，如用红外线、微波、无线电波、光波等进行联系。被控对象的范围很广，包括各行各业的生产过程、机械装置、交通工具、机器人、实验装置、仪器仪表、家庭生活设施、家用电器和儿童玩具 等。控制目的可以是使被控对象的状态或运动过程达到某种要求，也可以是达到某种最优化目标。

中国生态恢复效果评价研究综述

第28卷第4期2009年07月 地理科学进展 PROGRESS IN GEOGRAPHY Vol.28,No.4July,2009 收稿日期：2008-12；修订日期：2009-02. 基金项目： 国家自然科学基金项目(40871047)；国家科技支撑计划子课题(2006BAC01A01-03)。作者简介：吴丹丹(1984-)，女，壮族，广西柳州人，硕士研究生，主要从事土地利用变化研究。E-mail ：dnsty02@https://www.wendangku.net/doc/403591248.html, 622-628页 中国生态恢复效果评价研究综述 吴丹丹，蔡运龙 (北京大学城市与环境学院资源与环境地理系，北京100871) 摘 要：随着全球环境的日益恶化，生态恢复的理论与实践的研究在世界范围内逐渐开展起来。中国是世界上生态 系统退化最为严重的国家之一，也是较早开展生态恢复研究和实践的国家之一。自20世纪50年代以来，中国已经 批准和实施了一大批生态恢复工程。对生态恢复工程的实施效果进行科学准确的评价，不仅是生态恢复工程的重 要组成内容，更是进一步调整和优化生态恢复方案的重要手段。本文在回顾中国生态恢复效果评价研究的基础上，归纳了中国生态恢复效果评价的主要内容、评价思路及相应的方法与技术，指出现有研究中存在的问题，并对今后中国生态恢复效果评价研究进行了展望，提出了今后该领域的研究重点。 关键词：生态恢复；效果评价；综述；中国 生态退化已成为全球共同面临的重大问题，并成为人类自身的生存和经济的可持续发展的严重威胁。在严峻的生态形势下，人们逐渐认识到生态恢复工作的必要性，从20世纪70年代开始，有关受损生态系统恢复的理论与实践的研究在世界各国广泛开展起来[1]。目前，对于什么是生态恢复仍没有统一的定义，不同学者分别从生态恢复的目标、内容、过程等角度进行了阐述[1-5]。综合近年来国内外生态恢复的研究和实践项目，生态恢复的涵义可概括为“根据生态学原理，在生态系统层次上进行的，通过一定的生物技术和工程技术恢复、修复、改良、更新、重建受损或退化的生态系统和土地，使其结构和功能恢复到一定的或原有的乃至更高的水平的过程”，而各类“生态修复”、“生态治理”、“生态重建”、“植被恢复”等方面的研究和实践都应属于生态恢复的范畴。 中国是世界上生态系统退化最为严重的国家之一，也是较早开始生态恢复实践和研究的国家之一。20世纪50年代以来，中国已经批准和实施了一大批保护与生态恢复工程，这些工程有的已经显现出一定的效益，有的还处在摸索和调整阶段。由于生态恢复是一个长期的动态过程，对已经完工或正在实施的生态恢复工程的效果进行科学、客观和准确的评价，及时掌握生态系统当前状况、恢复实 现程度、发展方向等方面的信息，不仅是生态恢复工程的重要组成内容，也是为生态恢复提供反馈信息，进一步调整和改进恢复方案的重要手段。本文在系统总结中国生态恢复效果评价研究进展的基础上，归纳了中国生态恢复效果评价的主要内容、评价思路及相应的方法与技术，指出了研究中存在的问题，并对今后的重点研究领域进行了展望。 1中国生态恢复研究和实践概况 中国部分地区自然环境脆弱，加之多年来不合理的资源利用方式造成的破坏，中国已成为世界上生态系统退化最为严重的国家之一。目前，中国森林生态系统退化、水土流失、土地荒漠化、湿地退化等生态退化问题突出[6]，生态恢复成为保证中国经济可持续发展的必然选择。 20世纪50年代末，中国有关专家开始注意到 资源不合理利用及由此产生的环境破坏问题，提出了退化生态系统恢复方面的问题，并进行了零散的小规模的恢复试验，如中科院华南植物研究所在广东热带沿海侵蚀台地上开展的退化生态系统的植被恢复机理与技术研究[7]以及50年代末华南地区退化坡地上的荒山绿化、植被恢复工程[5]。几十年来，国家通过防护林建设工程等形式开展了农牧交错区、风蚀水蚀交错区、干旱荒漠区、丘陵山地、干

计算机控制技术教学大纲

《计算机控制技术》课程教学大纲 课程名称：计算机控制技术课程代码：06130560 课程类型：专业限选课 学分：3总学时：48理论学时：48实验学时：0 先修课程：电子技术、微机原理、控制原理C语言编程等适用专业：电子信息工程 一、课程性质、目的和任务 1．课程性质 本课程属于电子信息类专业的主要课程。主要学习微型计算机控制系统的构成及分类，微型机控制系统的设计方法。讲述计算机控制系统中工程的设计与控制过程设计，过程量 I/O通道的构成原理及系统软硬件实现的方法，数字控制器的模拟化设计法、直接数字设计法，以及认识了解DCS和FCS系统等。以培养学生在工程应用中解决实际问题的能力。 2．课程目的和任务 本课程旨在培养学生掌握微型计算机控制的基本概念，掌握微型计算机控制系统的基 本分析方法和设计方法。要求学生从理论上掌握计算机控制系统的基本原理及应用，为学生提供有效地分析和设计计算机控制系统所需的必要的洞察力、知识和理解力。在实践过程中能利用计算机技术解决控制系统中的实际问题。通过该课程的学习能独立承担和开展计算机控制系统方面的研究工作。 二、教学基本要求 1.知识、能力、素质的基本要求 通过本课程的学习，学生应了解计算机控制技术的发展及应用前景。理解计算机控制系统的基本组成。掌握一些最基本的计算机控制系统的分析方法、较简单的软硬件的设计与实现。 2.教学模式基本要求 以课堂理论授课为主，同时注重实践教学和实践技能的培养；采用多媒体及仿真技术教学，提高教学效率和教学效果。在教学过程中，注重基本理论联系实际。特别是注重培养学生利用计算机机技术解决实际问题思想方法，提高学生的学习积极性，激发学生的潜能。 (1)课堂教学 计算机控制系统课程属计算机和自动化控制的交叉课程，偏重于应用，在课堂教学中应特别注意应用方法的讲解，在基本内容讲述清楚的基础上，结合当前计算机控制新技术的发展增加典型应用实例的分析，使学生形成计算机控制系统设计的整体概念，融会贯通、灵活应用 (2)课外作业 课程的每一主要内容都应配合一定数量的课外作业。 (3)课程研讨

生物工程综述

生物工程的现状发展及展望 杨昌成 （西北民族大学生命科学与工程学院甘肃兰州 730030）[摘要]生物工程20世纪70年代初开始兴起的一门新兴的综合性应用学科，90年代诞生了基于系统论的生物工程，即系统生物工程的概念所谓生物工程，一般认为是以生物（特别是其中的微生物学、遗传学、生物化学和细胞学）的理论和技术为基础。生物工程的应用领域非常广泛，包括农业、工业、医学、药物学、能源、环保、冶金、化工原料、动植物、净化等。它必将对人类社会的政治、经济、军事和生活等方面产生巨大的影响，为世界面临的资源、环境和人类健康等问题的解决提供美好的前景。 [关键词]生物工程；现状；发展；前景 前言 生物工程是运用现代生物科学的理论与方法，按照人类的需要改造和设计生物的结构和功能，以便更经济、更有效、更大规模地生产人类所需的物质和产品的技术。20世纪后半叶，分子生物学领域一系列突破性成就，使生命科学在自然科学中的地位发生了革命性的变化。分子生物学是在分子水平上认识生命。对生物大分子DNA的结构、功能以及生物的遗传和生长发育的机制和规律的认识，为人类改造生命、控制生命、操作生命提供了理论基础。生物工程不仅直接建立在分子生物学和细胞生物学的原理之上，而且是涉及面广泛的综合技术，是分子生物学、微生物学、生物化学、遗传学、细胞生物学、化学工程学、医药学、材料科学等多学科交叉的综合性技术学科，是运用现代生物学方法和手段建立起来的一个现代技术体系。建立在工业革命基础上的人类现代物质文明是以大量、高速而又低效地消耗地球上已有的资源为前提的，其结果是地球环境的破坏和大量机械与化工产品充斥，资源枯竭又将使传统产业难以为继。生物技术不仅是21世纪发展最快的学科，也是人类操作生命的社会活动。科学界广泛地认识到：生物技术将是未来经济发展的新动力，它们将在农业、动物饲养、能源、生物法处理环境污染、纤维和包装材料、药物和医学等领域形成巨大的产业。从以开发利用石油和金属为主的传统工业经济过渡到开发利用基因的经济将从根本改变我们的文明。事实上，在分子生物学诞生即DNA结构发现仅十几年后，科学家就准备了在生命体上施工的工具。进入70年代施工便大规模开始了，生物技术以强进的势头发展起来了。生物技术被称为继蒸汽机技术革命、电子和信息技术革命之后的第三次技术革命，科学家们预言，生物技术是人类历史上生命的复制和改造将极大地提高人类生活的质量，这一次革命

数据保护技术概述

持续数据保护技术概述 1引言 自2000年以来，数据存储技术已掀起了继计算机浪潮、互联网浪潮之后的第三次浪潮。通过这三次浪潮，人们也逐渐认识到，对于信息系统来说最重要的不是主机，也不是网络，而是数据。在企业的IT建设中，数据的完整性、安全性、可用性和管理性是维持业务正常运转的必要条件。目前,企业数据系统的安全体系主要包括数据保护系统和高可用系统。数据保护系统提供应用系统的数据后援,确保在任何情况下数据具有完整的恢复能力；高可用系统主要是通过网络、服务器、存储子系统等的冗余,确保系统在发生局部意外的情况下(网络、电源、存储子系统等故障) ,以最短的时间恢复系统。 目前，我们已经认识到了高可用系统的重要作用。所以，当灾难或事故发生时，及时有效的实现对数据的保护和快速恢复数据的可用性就变得尤为重要。传统数据保护解决方案的关注点是定期的数据备份，代表技术有镜像技术，快照技术等。但随着技术的发展和应用要求的提高，一些新技术应运而生，持续数据保护技术（Continuous Data Protection，CDP）便是其中的代表，它是存储备份发展的最新阶段，同时也为我们实现灾难恢复提供了一个新的选择。 本文首先对传统数据保护技术，如镜像技术、快照技术做了简要的介绍；然后从持续数据保护技术的概念、技术特点、实现方式、以及分类等方面对持续数据保护技术做了详细的说明；最后介绍了持续数据保护技术的一些应用。 2传统数据保护技术 2.1镜像技术（Mirrors） 镜像是一个基于块层的功能，是在两个或多个磁盘或存储系统上生成同一个数据的镜像视图的信息存储过程，它包括一个主镜像系统,和一个从镜像系统[1]。按主、从镜像存储系统所处的位置可分为本地镜像和远程镜像。远程镜像按请求镜像的主机是否需要镜像站点的确认信息,又可分为同步远程镜像和异步远程镜像。远程镜像的优点是将灾难引发的数据损耗降低到最低甚至为零；其次，一旦发生灾难，恢复进程所耗费的时间也比较短。缺点是代价较高，至少需要占用两倍以上的主磁盘空间，另外还无法阻止系统失败、数据丢失、损坏和误删除等灾难的发生。 2.2快照技术（Snapshots） 快照是关于指定数据集合的一个完全可用拷贝，该拷贝包括相应数据在某个时间点（拷贝开始的时间点）的映像。它可以是其所表示的数据的一个副本（Duplicate），也可以是数据的一个复制品（replicate）[2-3]。快照技术主要有三种实现方式[4]：分离镜像(Split Mirror)、指针重映射（Pointer

计算机控制技术 读后感

《微型计算机控制技术》 读后感 专业及班级_____ _ _ 姓名______ _____ _________ 学号_______ _ _ _______ 授课老师_______ ____丁健__________ ___ 完成时间____ _______________ __

微型计算机控制技术——读后感 摘要 通过阅读老师推荐的一些期刊让我对计算机控制技术有了更深刻的了解。本篇读后感是我读了《仪器仪表学报》、《电气自动化》、《电气传动》、《电气传动自动化》、《传感器技术》等期刊后写下的，这篇读后感介绍了传感器、仪器仪表等的概述和发展趋势，最后总结了计算机控制技术与这些技术的结合，得出计算机控制技术是一门综合性学科，学习计算机控制技术我们要加强理论与实践的联系，不断地学习书本以外的相关知识。 关键字：计算机控制仪器仪表传感器

一．计算机控制技术 1.1计算机控制的概念 计算机控制系统就是利用计算机（通常称为工业控制计算机，简称工业控制机）来实现生产过程自动控制的系统 1.2 计算机控制系统的工作原理 （1）实时数据采集：对来自测量变送装置的被控量的瞬时值进行检测和输入。 （2）实时控制决策：对采集到的被控量进行数据分析和处理，并按已定的控制规律决 定进一步的的控制过程。 （3）实时控制：根据控制决策，适时地对执行机构发出控制信号，完成控制任务。 二、传感器技术 2.1传感器的概述 传感器是自动控制中的重要组成部件，是信息采集系统的重要部件，通过传感器将感受或响应的被测量转换成适合输送或检测的信号（一般为电信号），再利用计算机或者电路设备对传感器输出的信号进行处理从而达到自动控制的功能，由于传感器的响应时间一般都比较短，所以可以通过计算机系统对工业生产进行实时控制。【1】 2.2 传感器的应用 自然界中存在的各种物体，如人体、木材、石头、火焰、冰等都会发出不同波长的红外线，利用红外传感器可对其进行检测。根据工作原理，红外传感器分为热型和量子型两类，热型红外传感器也称热释电红外传感器或被动红外传感器。与量子型相比，响应的红外线波长范围较宽，价格便宜，并可在常温下工作。量子型与热型的特点相反，而且要求冷却条件。本系统采用的是热释电红外传感器，人体存在传感器主要采用了红外传感器的原理，它是目前在防盗报警、火灾检测、自动门、自动水龙头、自动电梯、自动照明等场合，及非接触温度测量等领域应用最广泛的传感器。其原因为:①被测对象自身发射红外线，可不必另设光源；②大气对2-2.61Lm,3-51Lm, 8-141Lm三个被称为“大气窗口”的特定光通量的红外线吸收甚少，可非常容易被检测；③中、远红外线不受可见光影响，可不分昼夜进行检测。人体存在传感器的热释电红外探头的工作原理及特性如下:人体都有恒定的体温，一般在37度， 所以会发出特定波长10M μ 左右的红外线，被动式红外探头就靠探测人体发射的 10M μ 左 右的红外线而进行工作的。人体发射的10M μ 左右的红外线通过菲泥尔滤光片增强后聚集 到红外感应源上。红外感应源采用热释电元件，这种元件在接收到人体红外辐射温度发生变化时就会失去电荷平衡，向外释放电荷，后续电路经检测处理后就能产生由人体存在的信号。 1) 这种探头是以探测人体辐射为目标的，所以热释电元件对波长为10M μ 左右的红外 辐射非常敏感。