CN102567210A - 闪存芯片数据分析环境重组方法和装置 - Google Patents

Abstract

本发明提供了一种闪存芯片数据分析环境重组方法及装置，方法包括：获取闪存芯片的完整数据镜像作为闪存数据分析环境；创建空的容器文件作为硬盘数据分析环境；搜索满足条件的映射表；记录映射表地址，形成列表一；根据映射表地址推算映射表大小；记录映射表大小，形成列表二；计算映射表的表项数目；解读每个表项代表的页在闪存数据分析环境和硬盘数据分析环境中的地址；从闪存数据分析环境地址处读取表项代表的页后写入硬盘数据分析环境地址，依次类推，完成每个映射表的解析，存储于容器文件。使用本方法，将闪存芯片数据的组织模式改为传统硬盘的数据组织模式，同时又不改变原闪存芯片的数据分析环境，为闪存芯片数据分析提供了有力技术支持。

Description

闪存芯片数据分析环境重组方法和装置

技术领域

本发明涉及闪存芯片技术领域，特别是涉及一种闪存芯片数据分析环境重组方法和装置。

背景技术

随着存储行业日新月异的发展，基于FLASH(闪存)芯片的新型存储模式取代传统的机械磁存储(硬盘)模式已是大势所趋，技术上的巨大差异使传统数据分析行业面临前所未有的严峻挑战。FLASH芯片中数据组织模式的不同造成传统数据分析工具无法对其数据识别、加载的后果，因此，需要本领域技术人员提供一种新的技术，将FLASH芯片数据的组织模式改变为传统硬盘的数据组织模式，同时又保证不会改变原FLASH芯片的数据分析环境，才能从根本上上述问题。

现有技术的主要采用如下方案解决FLASH芯片的数据分析问题：

字串搜索方式：用编程器读出FLASH芯片数据镜像，在数据镜像内通过直接查找字符串，对字符串进行编解码，从而获得证据信息。该方法思路简单，实现容易，搜索速度较快，可以定位并获取敏感信息。但该方案的局限性也非常明显：无法从文件系统的角度挖掘出数据，特别对照片、复合文档、视频、录音等重要文件缺乏支持；另外，就其本身技术细节而言，其挖掘出的字符串存在截断、乱码的风险。

图片碎片重组方式：该方案直接利用图片碎片的特征信息，找出图片碎片后按照正确顺序重新拼接成图片；该方案可解决存储在flash芯片中的图形证据的获取问题，但该方案的缺陷亦非常显著：只能针对图片数据进行挖掘，而且，由于图片压缩编码多样复杂，实际挖掘效果与预期相差甚远。另外，类似的方案还有复合文档碎片重组，数据库页重组等，与图片碎片重组方式的原理一致，优缺点也相同。

以上方案无一例外都是针对某一种证据信息而设计的，都不能进行数据分析环境的改造，在FLASH页排列混乱的状况下，以上方案都不能完美达到预期的技术效果。

发明内容

本发明所要解决的技术问题是提供一种闪存芯片数据分析环境重组方法和装置，能够非常简单的对存在固定映射表结构的闪存芯片进行重组，将闪存芯片数据的组织模式改变为传统硬盘的数据组织模式，同时又不会改变原闪存芯片的数据分析环境。

为了解决上述问题，一方面提供了一种闪存芯片数据分析环境重组方法，包括：获取闪存芯片的完整数据镜像，存储在本地计算机硬盘中，作为闪存数据分析环境；在所述本地计算机硬盘中创建用于保存重组结果的空的容器文件，作为硬盘数据分析环境；

从所述闪存数据分析环境中搜索满足条件的映射表；记录所有满足条件的映射表的地址，形成列表一；根据所述列表一中的映射表地址推算映射表的大小，记录每个映射表的大小，形成列表二；

计算每个所述映射表的表项数目；解读每个表项代表的页在所述闪存数据分析环境和硬盘数据分析环境中的地址；从所述闪存数据分析环境地址处读取每个表项代表的页，然后写入硬盘数据分析环境地址中，依次类推，完成每个映射表对应管理区的重组，存储于所述容器文件中。

优选的，上述闪存芯片数据分析环境重组方法，还包括：比较所述列表一中映射表地址的数目与所述列表二中映射表大小的数目是否相等；如果相等，继续下一步操作；如果不相等，终止流程。

优选的，上述闪存芯片数据分析环境重组方法，还包括：用数据分析工具查看所述硬盘数据分析环境，验证重组结果。

优选的，在所述从所述闪存数据分析环境中搜索满足条件的映射表步骤中，所述映射表的搜索条件满足：

映射表的第二个字节为0x00或0x01或0x02或0x03或0x0B；第三个字节为0x00；第四个字节为0xAC或0x39或0x3D或0xAF或0xFE或0xAD，并且所述映射表的起始地址能被0x2000整除。

优选的，在所述根据所述列表一中的映射表地址推算映射表的大小步骤中，推算映射表大小的方法为：

映射表n+1的地址减去映射表n的地址得到的结果除以0x10000，得到的结果即为映射表n的大小；如果映射表n+1的地址减去映射表n的地址得到的结果小于0x10000，则按照0x10000计算；最后一个映射表m的大小等于倒数第二个映射表m-1的大小；其中，1≤n≤m-1。

优选的，所述计算每个所述映射表的表项数目的方法为：所述映射表的大小乘以512字节除以4。

优选的，在上述方法中，解读每个表项代表的页在所述闪存数据分析环境中地址的方法为：

从每个映射表的第二表项起，每个表项代表的页在闪存数据分析环境中的地址为：映射表地址加映射表大小加(t-2)个页长，其中，t表示表项在映射表中的索引，t≥2。

优选的，在上述方法中，解读每个表项代表的页在所述硬盘数据分析环境中地址的方法为：

每个表项作为一个32位无符号整数，该表项的低16位是该表项代表的页在本地计算机硬盘数据分析环境中的地址。

对应上述闪存芯片数据分析环境重组方法，还提供了一种闪存芯片数据分析环境重组装置，包括：

数据镜像获取单元，用于获取闪存芯片的完整数据镜像，存储在本地计算机硬盘中，作为闪存数据分析环境；

容器文件创建单元，用于在所述本地计算机硬盘中创建用于保存重组结果的空的容器文件，作为硬盘数据分析环境；

搜索单元，用于从所述闪存数据分析环境中搜索满足条件的映射表；

映射表地址记录单元，用于记录所有满足条件的映射表的地址，形成列表一；

映射表大小计算单元，根据所述列表一中的映射表地址推算映射表的大小；

映射表大小记录单元，用于记录每个映射表的大小，形成列表二；

表项计算单元，用于计算每个所述映射表的表项数目；

闪存数据分析环境地址获取单元，用于解读每个表项代表的页在所述闪存数据分析环境中的地址；

硬盘数据分析环境地址获取单元，用于解读每个表项代表的页在所述硬盘数据分析环境中的地址；

读写单元，用于从所述闪存数据分析环境地址处读取每个表项代表的页，然后写入硬盘数据分析环境地址中。

优选的，上述闪存芯片数据分析环境重组装置，还包括：判断单元，用于比较所述列表一中映射表地址的数目与所述列表二中映射表大小的数目是否相等；如果相等，继续下一步操作；如果不相等，终止流程。

优选的，上述闪存芯片数据分析环境重组装置，还包括：验证单元，利用数据分析工具查看所述硬盘数据分析环境，验证重组结果。

优选的，所述搜索单元用于搜索满足以下条件的映射表：

映射表的第二个字节为0x00或0x01或0x02或0x03或0x0B；第三个字节为0x00；第四个字节为0xAC或0x39或0x3D或0xAF或0xFE或0xAD，并且所述映射表的起始地址能被0x2000整除。

优选的，所述映射表大小计算单元推算映射表大小的方法为：

映射表n+1的地址减去映射表n的地址得到的结果除以0x10000，得到的结果即为映射表n的大小；如果映射表n+1的地址减去映射表n的地址得到的结果小于0x10000，则按照0x10000计算；最后一个映射表m的大小等于倒数第二个映射表m-1的大小；其中，1≤n≤m-1。

优选的，所述表项计算单元计算每个所述映射表的表项数目采用的方法为：所述映射表的大小乘以512字节除以4。

优选的，所述闪存数据分析环境地址获取单元解读每个表项代表的页在所述闪存数据分析环境中地址的方法为：

从每个映射表的第二表项起，每个表项代表的页在闪存数据分析环境中的地址为：映射表地址加映射表大小加(t-2)个页长，其中，t表示表项在映射表中的索引，t≥2。

优选的，所述硬盘数据分析环境地址获取单元解读每个表项代表的页在所述硬盘数据分析环境中地址的方法为：

每个表项作为一个32位无符号整数，该表项的低16位是该表项代表的页在本地计算机硬盘数据分析环境中的地址。

与现有技术相比，上述技术方案中的一个技术方案具有以下优点或有益效果：

本方案提供的闪存芯片数据分析环境重组方法是基于不同长度映射表解析的闪存芯片进行的，从闪存芯片整体的角度，利用闪存芯片内部的数据分配方案，首先将整个闪存芯片的镜像文件存储于硬盘中，形成闪存芯片数据分析环境，然后在硬盘中建立一个空的容器文件，用于存储重组结果，以形成硬盘数据分析环境。根据映射表每个表项代表的页在闪存芯片数据分析环境中的地址和对应在硬盘数据分析环境中的地址，建立闪存页与硬盘逻辑扇区一一对应的关系，从而实现将闪存芯片数据分析环境转变为硬盘数据分析环境，并保证不改变原闪存芯片数据分析环境。

由于获取了完整的数据分析环境，该方案不仅可以获取闪存芯片中的所有现存文件数据，还可以通过传统数据分析或数据恢复手段，恢复删除的数据。

附图说明

图1是本发明闪存芯片数据分析环境重组方法实施例的示意图；

图2是本发明闪存芯片数据分析环境重组方法优选实施例的示意图；

图3是本发明闪存芯片数据分析环境重组装置实施例的结构示意图；

图4是本发明闪存芯片数据分析环境重组装置优选实施例的结构示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

参照图1，示出了本发明闪存芯片数据分析环境重组方法实施例的示意图，包括：

步骤11、获取闪存芯片的完整数据镜像，存储在本地计算机硬盘中，作为FLASH(闪存)数据分析环境。

步骤12、在本地计算机硬盘中创建用于保存重组结果的空的容器文件，作为PC(硬盘)数据分析环境。

上述步骤11和步骤12无先后顺序之分。

步骤13、从FLASH数据分析环境中搜索满足条件的映射表。

本步骤13中，从FLASH数据分析环境中搜索的映射表，应同时满足以下四个条件：

A、映射表的第二个字节为0x00或0x01或0x02或0x03或0x0B；

B、映射表的第三个字节为0x00；

C、映射表的第四个字节为0xAC或0x39或0x3D或0xAF或0xFE或0xAD；

D、映射表的起始地址能被0x2000整除。

步骤14、记录所有满足上述条件的映射表的地址，形成列表一。

步骤15、根据列表一中的映射表地址推算映射表的大小。

本步骤15中，推算映射表大小的方法为：映射表n+1的地址减去映射表n的地址得到的结果除以0x10000，结果即为映射表n的大小。如果映射表n+1的地址减去映射表n的地址得到的结果小于0x10000，则按照0x10000计算，即，此时映射表n的大小为1页。最后一个映射表m的大小等于倒数第二个映射表m-1的大小；其中，n代表映射表在列表一中的排列序数，1≤n≤m-1。

例如：映射表2的地址减去映射表1的地址后，差为0x20000。那么映射表1的大小就是0x20000除以0x10000，即映射表1的大小为2页，依次类推，计算每个映射表的大小。其中，如果映射表4的地址减去映射表3的地址得到的结果小于0x10000，则按照0x10000计算，即，此时映射表3的大小为0x10000除以0x10000，为1页。假设列表一中共记录了18个映射表的地址，依照上述映射表大小的计算方法，计算映射表17的大小为2页，则最后一个映射表18的大小直接等同映射表17的大小，即映射表18的大小为2页。

步骤16、记录每个映射表的大小，形成列表二。

步骤18、计算每个映射表的表项数目。

本步骤18，主要列表二中记录的映射表大小计算每个映射表的表项数目。利用映射表的大小计算映射表的表项数目的方法可以用公式表示为：

公式(1)

其中，映射表的大小以页为单位，512代表每页为512字节。由于映射表的表项长度为4字节，故而映射表的表项数目就是映射表大小除以4。

例如，映射表大小为2页，也就是1024字节，表项数目就是1024除以4为256。

步骤19、从每个映射表的第2表项起，解读每个表项代表的页在FLASH数据分析环境中的地址。

由于映射表的第一个表项是表头特征，也代表映射表本身。所以步骤19直接从映射表的第二表项起，解读每个表项代表的页在FLASH数据分析环境中的地址。

每个表项在FLASH数据分析环境中的地址为：映射表地址+映射表大小+(t-2)页，其中，t表示某一表项在其映射表中的索引，即该表项为映射表的第几表项，t≥2。

步骤110、解读每个映射表的每个表项代表的页在PC数据分析环境中的地址。

解读每个表项代表的页在PC数据分析环境中地址的方法为：每个表项作为一个32位无符号整数，该表项的低16位是该表项代表的页在PC数据分析环境中的地址。即，一个映射表的每个表项代表的页在PC数据分析环境中的地址为每个表项的低16位。

例如，一个映射表的第二表项为0xC0001111，那么，该表项的低16位：1111就是该表项代表的页在PC数据分析环境中的地址。

由于该表项是整个映射表中的第二个表项，那么该表项代表的页在FLASH数据分析环境中的地址就是：映射表地址+映射表大小。依次类推：

该映射表的第三个表项代表页在FLASH数据分析环境中的地址是：映射表地址+映射表大小+第二表项代表的页的长度。

该映射表的第四个表项代表页在FLASH数据分析环境中的地址是：映射表地址+映射表大小+第二表项代表的页的长度+第三表项代表的页的长度。

这里需要说明的是，从每个映射表的第二表项起，每个表项代表页的长度均为512字节，即1个页。所以，每个表项在FLASH数据分析环境中的地址表示为：

第t个表项在FLASH数据分析环境中的地址＝映射表地址+映射表大小+(t-2)

其中，t表示表项在映射表中的索引，即该表项为映射表的第几表项，且t≥2。

依次类推，解读每个映射表的每个表项代表的页在FLASH数据分析环境中的地址和PC数据分析环境地址。

步骤111、从FLASH数据分析环境地址处读取每个表项代表的页，然后写入PC数据分析环境地址中。

依次类推，循环执行步骤19～111完成每个映射表的解析，存储于容器文件中，形成PC数据分析环境。

参照图2，示出了本发明闪存芯片数据分析环境重组方法优选实施例的示意图，除了包括图1所示实施例的步骤外，还可以包括：

步骤17、比较列表一中映射表地址的数目与列表二中映射表大小的数目是否相等；如果相等，继续下一步操作；如果不相等，终止流程。

步骤17设置于步骤16和步骤18之间，用于检验列表一和列表二所包含元素数目是否相等。若不相等，说明步骤11获取的镜像文件异常或后续的分析有误，及时终止流程。可见，步骤17可以起到检验镜像文件及分析结果的作用，可以避免后续不必要的操作。

此外，本发明优选实施例还可以包括：

步骤112、用数据分析工具查看PC数据分析环境，验证重组结果。

步骤112的主要作用在于：验证重组后的数据分析环境是否改变，检验重组结果，为后续的数据分析工作提供保障。

需要说明的是，步骤13之后所述的映射表，均指满足步骤13搜索条件的映射表。

综上，使用本实施例提供的FLASH芯片数据分析环境重组方法，可以在本地计算机硬盘上重组完整的FLASH芯片数据分析环境，即将原来的FLASH芯片数据的组织模式改变为传统硬盘的数据组织模式，并可以保证FLASH数据分析环境保持不变。这样，用户可以通过普通的计算机数据获取手段获取FLASH芯片中的所有现存文件数据，例如Linux操作系统下用类似mount-o loop-t vfatfilename/mnt/之类的命令挂载生成的PC数据分析环境文件，可以直接像硬盘一样浏览数据，还可以通过传统数据分析或数据恢复手段如WinHex软件恢复FLASH芯片中删除的数据。

本发明FLASH芯片数据分析环境重组方法实施例适用对部分存在固定映射表结构的FLASH芯片进行重组，尤其适用于使用MTK平台的便携式识别设备，例如手机，可以有效解决该类设备的FLASH芯片数据分析问题，为从FLASH芯片进行数据分析工作提供了有力的技术保障。

对应上述闪存芯片数据分析环境重组方法实施例，本发明还提供了一种闪存芯片数据分析环境重组装置。

参照图3所示的闪存芯片数据分析环境重组装置实施例的结构示意图，包括：

数据镜像获取单元31，用于获取闪存芯片的完整数据镜像，存储在本地计算机硬盘中，作为闪存数据分析环境。

容器文件创建单元32，用于在本地计算机硬盘中创建用于保存重组结果的空的容器文件，作为硬盘数据分析环境。

搜索单元33，用于从闪存数据分析环境中搜索满足条件的映射表。

本实施例中，搜索单元33用于搜索同时满足以下条件的映射表：

A、映射表的第二个字节为0x00或0x01或0x02或0x03或0x0B；

B、映射表的第三个字节为0x00；

C、映射表的第四个字节为0xAC或0x39或0x3D或0xAF或0xFE或0xAD，

D、映射表的起始地址能被0x2000整除。

映射表地址记录单元34，用于记录所有满足条件的映射表的地址，形成列表一。

映射表大小计算单元35，根据列表一中的映射表地址推算映射表的大小。

其中，映射表大小计算单元35推算映射表大小的方法为：

映射表n+1的地址减去映射表n的地址得到的结果除以0x10000，得到的结果即为映射表n的大小；如果映射表n+1的地址减去映射表n的地址得到的结果小于0x10000，则按照0x10000计算；最后一个映射表m的大小等于倒数第二个映射表m-1的大小；其中，1≤n≤m-1。

映射表大小记录单元36，用于记录每个映射表的大小，形成列表二。

表项计算单元38，用于计算每个映射表的表项数目。表项计算单元38计算每个映射表的表项数目时，采用的方法为：映射表的大小乘以512字节除以4。

闪存数据分析环境地址获取单元39，用于解读每个表项代表的页在闪存数据分析环境中的地址。

闪存数据分析环境地址获取单元39解读每个表项代表的页在闪存数据分析环境中地址的方法为：

从每个映射表的第二表项起，每个表项代表的页在闪存数据分析环境中的地址为：映射表地址加映射表大小加(t-2)个页长，其中，t表示表项在映射表中的索引，t≥2。

硬盘数据分析环境地址获取单元310，用于解读每个表项代表的页在所述硬盘数据分析环境中的地址。

硬盘数据分析环境地址获取单元310解读每个表项代表的页在硬盘数据分析环境中地址时，采用的方法为：每个表项作为一个32位无符号整数，该表项的低16位是该表项代表的页在本地计算机硬盘数据分析环境中的地址。

读写单元311，用于从闪存数据分析环境地址处读取每个表项代表的页，然后写入硬盘数据分析环境地址中。

参照图4，示出了本发明闪存芯片数据分析环境重组装置优选实施例的结构示意图，与图3所示的实施例相比，增加了以下单元：

判断单元37，用于比较列表一中记录的映射表地址的数目与列表二中记录的映射表大小的数目是否相等；如果相等，继续下一步操作；如果不相等，终止整个重组过程。

验证单元312，利用数据分析工具查看硬盘数据分析环境，验证重组结果。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上对本发明所提供的一种闪存芯片数据分析环境重组方法，以及一种闪存芯片数据分析环境重组装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (16)

1.一种闪存芯片数据分析环境重组方法，其特征在于，包括：

获取闪存芯片的完整数据镜像，存储在本地计算机硬盘中，作为闪存数据分析环境；在所述本地计算机硬盘中创建用于保存重组结果的空的容器文件，作为硬盘数据分析环境；

从所述闪存数据分析环境中搜索满足条件的映射表；记录所有满足条件的映射表的地址，形成列表一；根据所述列表一中的映射表地址推算映射表的大小，记录每个映射表的大小，形成列表二；

计算每个所述映射表的表项数目；解读每个表项代表的页在所述闪存数据分析环境和硬盘数据分析环境中的地址；从所述闪存数据分析环境地址处读取每个表项代表的页，然后写入硬盘数据分析环境地址中，依次类推，完成每个映射表对应管理区的重组，存储于所述容器文件中。

2.根据权利要求1所述的闪存芯片数据分析环境重组方法，其特征在于，还包括：

比较所述列表一中映射表地址的数目与所述列表二中映射表大小的数目是否相等；如果相等，继续下一步操作；如果不相等，终止流程。

3.根据权利要求1所述的闪存芯片数据分析环境重组方法，其特征在于，还包括：用数据分析工具查看所述硬盘数据分析环境，验证重组结果。

4.根据权利要求1所述的闪存芯片数据分析环境重组方法，其特征在于，在所述从所述闪存数据分析环境中搜索满足条件的映射表步骤中，所述映射表的搜索条件满足：

映射表的第二个字节为0x00或0x01或0x02或0x03或0x0B；第三个字节为0x00；第四个字节为0xAC或0x39或0x3D或0xAF或0xFE或0xAD，并且所述映射表的起始地址能被0x2000整除。

5.根据权利要求1所述的闪存芯片数据分析环境重组方法，其特征在于，在所述根据所述列表一中的映射表地址推算映射表的大小步骤中，推算映射表大小的方法为：

映射表n+1的地址减去映射表n的地址得到的结果除以0x10000，得到的结果即为映射表n的大小；如果映射表n+1的地址减去映射表n的地址得到的结果小于0x10000，则按照0x10000计算；

最后一个映射表m的大小等于倒数第二个映射表m-1的大小；

其中，1≤n≤m-1。

6.根据权利要求1所述的闪存芯片数据分析环境重组方法，其特征在于，所述计算每个所述映射表的表项数目的方法为：所述映射表的大小乘以512字节除以4。

7.根据权利要求1所述的闪存芯片数据分析环境重组方法，其特征在于，解读每个表项代表的页在所述闪存数据分析环境中地址的方法为：

从每个映射表的第二表项起，每个表项代表的页在闪存数据分析环境中的地址为：映射表地址加映射表大小加(t-2)个页长，其中，t表示表项在映射表中的索引，t≥2。

8.根据权利要求1所述的闪存芯片数据分析环境重组方法，其特征在于，解读每个表项代表的页在所述硬盘数据分析环境中地址的方法为：

每个表项作为一个32位无符号整数，该表项的低16位是该表项代表的页在本地计算机硬盘数据分析环境中的地址。

9.一种闪存芯片数据分析环境重组装置，其特征在于，包括：

数据镜像获取单元，用于获取闪存芯片的完整数据镜像，存储在本地计算机硬盘中，作为闪存数据分析环境；

容器文件创建单元，用于在所述本地计算机硬盘中创建用于保存重组结果的空的容器文件，作为硬盘数据分析环境；

搜索单元，用于从所述闪存数据分析环境中搜索满足条件的映射表；

映射表地址记录单元，用于记录所有满足条件的映射表的地址，形成列表一；

映射表大小计算单元，根据所述列表一中的映射表地址推算映射表的大小；

映射表大小记录单元，用于记录每个映射表的大小，形成列表二；

表项计算单元，用于计算每个所述映射表的表项数目；

闪存数据分析环境地址获取单元，用于解读每个表项代表的页在所述闪存数据分析环境中的地址；

硬盘数据分析环境地址获取单元，用于解读每个表项代表的页在所述硬盘数据分析环境中的地址；

读写单元，用于从所述闪存数据分析环境地址处读取每个表项代表的页，然后写入硬盘数据分析环境地址中。

10.根据权利要求9所述的闪存芯片数据分析环境重组装置，其特征在于，还包括：

判断单元，用于比较所述列表一中映射表地址的数目与所述列表二中映射表大小的数目是否相等；如果相等，继续下一步操作；如果不相等，终止流程。

11.根据权利要求9所述的闪存芯片数据分析环境重组装置，其特征在于，还包括：

验证单元，利用数据分析工具查看所述硬盘数据分析环境，验证重组结果。

12.根据权利要求9所述的闪存芯片数据分析环境重组装置，其特征在于，所述搜索单元用于搜索满足以下条件的映射表：

映射表的第二个字节为0x00或0x01或0x02或0x03或0x0B；第三个字节为0x00；第四个字节为0xAC或0x39或0x3D或0xAF或0xFE或0xAD，并且所述映射表的起始地址能被0x2000整除。

13.根据权利要求9所述的闪存芯片数据分析环境重组装置，其特征在于，所述映射表大小计算单元推算映射表大小的方法为：

映射表n+1的地址减去映射表n的地址得到的结果除以0x10000，得到的结果即为映射表n的大小；如果映射表n+1的地址减去映射表n的地址得到的结果小于0x10000，则按照0x10000计算；

最后一个映射表m的大小等于倒数第二个映射表m-1的大小；

其中，1≤n≤m-1。

14.根据权利要求9所述的闪存芯片数据分析环境重组装置，其特征在于，所述表项计算单元计算每个所述映射表的表项数目采用的方法为：所述映射表的大小乘以512字节除以4。

15.根据权利要求9所述的闪存芯片数据分析环境重组装置，其特征在于，所述闪存数据分析环境地址获取单元解读每个表项代表的页在所述闪存数据分析环境中地址的方法为：

从每个映射表的第二表项起，每个表项代表的页在闪存数据分析环境中的地址为：映射表地址加映射表大小加(t-2)个页长，其中，t表示表项在映射表中的索引，t≥2。

16.根据权利要求9所述的闪存芯片数据分析环境重组装置，其特征在于，所述硬盘数据分析环境地址获取单元解读每个表项代表的页在所述硬盘数据分析环境中地址的方法为：

每个表项作为一个32位无符号整数，该表项的低16位是该表项代表的页在本地计算机硬盘数据分析环境中的地址。

Images