CN103123576B - 一种基于续点的计算机存储介质复制方法 - Google Patents

Abstract

一种基于续点的计算机存储介质复制方法，包括如下步骤：1）检查是否存在关联的续点，若否，则进入步骤3）；若是，则进入步骤2）；2）判断该续点是否有效，若是，加载续点内的复制环境后进入步骤3），若否，则进入步骤3）；3）根据当前复制环境读取数据源数据，而后进入步骤4）；4）目标存储介质写入数据并进行续点的制作和记录，在写入数据过程中，判断指定的数据量是否完成，若是，则复制完毕；若否则进入步骤3）。本发明在进行硬盘复制过程中允许多次地中断。这种中断可以是正常中断，也可以是异常情况中断（掉电或其它异常），中断后的硬盘复制在取证环境恢复后可以继续完成，从而减少重新复制带来的宝贵的时间与人力资源开销。

Description

一种基于续点的计算机存储介质复制方法

技术领域

本发明涉及信息安全与计算机应用技术领域领域，特别是一种基于续点的计算机存储介质复制方法。

背景技术

硬盘是计算机最主要的信息存储介质，硬盘数据是涉计算机犯罪取证分析最主要的数据来源。因此硬盘数据获取技术是计算机取证技术的重要组成部分，硬盘数据获取工具研制是计算机取证工具研制重要方向。目前，国内外从事计算机取证技术研究与计算机取证工具研制的机构与企业有许多，其中大多都有推出与硬盘复制有关的产品。

硬盘复制技术是一种计算机取证/勘查的常用技术。计算机取证/勘查工作中重要的一步是提取和固定计算机系统的存储介质中的电子数据，而提取和固定电子数据的过程必须保证司法的有效性，即原始证据硬盘不能被损害、不能直接使用原始证据硬盘进行分析等。

硬盘复制技术的原理是：将原始硬盘上的数据以位对位复制的方式复制到副本硬盘上，使数据位置偏移量相同时，副本硬盘上的每一个位数据都与原始硬盘上数据相同。从而实现以对副本硬盘的调查分析取代对原始证据硬盘的调查分析，有效地保护原始证据硬盘不被破坏。在保证原始硬盘中电子数据不被破坏的手段中，目前主流的技术是利用专门的硬盘复制设备将原始硬盘中的电子数据完全复制下来，后续取证分析过程都是基于副本进行，从而保护原始硬盘证据不会在取证/勘查分析数据的过程中被破坏。

在取证/勘查等实践中，有如下两个事实：一方面主流硬盘的容量基本上是在遵循摩尔定律不断地变得越来越大，从几百个GB到几个TB或更多，一次硬盘复制需要的时间越来越多，从个把小时到几个小时。另一方面司法取证勘查工作的环境恶劣程度千变万化，导致案件对硬盘复制工作的需求也不断产生变化。硬盘复制不能一次全部完成的情况时有发生，重新从头进行硬盘复制首先是有可能因案情变化再也没有机会展开，其次是重复人力时间资源的消耗，消耗宝贵的案情分析时间。计算机取证分析/勘查案情与环境的复杂性与多变性对硬盘复制技术提出了新的需求，这个需求要求硬盘复制技术和产品能够让一次硬盘复制过程中断停止(或强行关机、或意外掉电)，当硬盘复制环境重新满足后可以继续未完成的硬盘复制而不是从头开始。

目前市场上，国内外的硬盘复制机产品层出不穷，这些产品在硬盘复制这一基本功能上都缺少如下功能：硬盘在复制过程中断停止(或强行关机、或意外掉电)，重建复制环境后可以继续未完成的硬盘复制能力。

发明内容

本发明的主要目的在于克服现有技术中的硬盘在复制过程中发生断停止(强行关机或意外掉电)，不具有重建复制环境继续未完成的硬盘复制的功能，从而造成重复人力时间资源的消耗，消耗宝贵的案情分析时间的缺点，提出一种针对介质取证勘查需求，允许多次地中断的基于续点的计算机存储介质复制方法。

本发明采用如下技术方案：

一种基于续点的计算机存储介质复制方法，包括如下步骤：

1)检查是否存在关联的续点，若否，则进入步骤3)；若是，则进入步骤2)；

2)判断该续点是否有效，若是，加载续点内的复制环境后进入步骤3)，若否，则直接进入步骤3)；

3)根据当前复制环境读取数据源数据，而后进入步骤4)；

4)目标存储介质写入数据并进行续点的制作和记录，在写入数据过程中，判断指定的数据量是否完成，若是，则复制完毕；若否则进入步骤3)。

进一步的，所述续点包括源存储介质的基本信息、目标存储介质的基本信息和复制环境。

进一步的，所述复制环境包括软件环境和硬件环境。

进一步的，所述源存储介质采用硬盘，该源存储介质的基本信息包括源硬盘的SMART数据和源硬盘的序列号；所述目标存储介质采用硬盘，该目标存储介质的基本信息包括目标硬盘的SMART数据和目标硬盘的序列号。

进一步的，所述软件环境包括开始时间、已用时间、指定的数据量、复制已完成的数据量、目标硬盘的MBR扇区数据和数据起始扇区。

进一步的，所述硬件环境包括源硬盘的磁头位置和目标硬盘的磁头位置。

进一步的，在步骤1)中，检查是否存在关联的续点，具体包括如下：首先获取此次复制的源存储介质的基本信息和目标存储介质的基本信息，而后将该信息与续点中的源存储介质基本信息和目标存储介质基本信息进行对比，若相同，则该续点即为此次复制的相关联续点，进入步骤2)；若不同，则进入步骤3)。

进一步的，在步骤2)中，判断续点是否有效，是指判断与当前续点关联的源存储介质和目标存储介质在复制中断前和中断后两者的内部数据状态是否被改变，若中断前和中断后二者的内部数据状态都未被改变，则视为有效，加载续点内的复制环境后则进入步骤3)；若中断前和中断后任一内部数据状态被改变则视为无效，直接进入步骤3)。

进一步的，在步骤3)中，源存储介质根据当前复制环境配置读取数据源数据并发出写入通知，同时检测是否完成指定的数据量的读取，若是，则退出源存储介质的数据读取；若否，则进入步骤4)。

进一步的，在步骤4)中，得到写入通知后，将数据写入目标存储介质中，并判断指定的数据量是否写入完成，若指定的数据量写入完成，则退出目标存储介质的数据写入；若未完成，则发送读取通知，进入步骤3)。

进一步的，在步骤3)中，根据当前复制环境配置读取数据源数据，并检测是否得到读取通知，若得到目标存储介质的读取通知，则重复步骤3)。

进一步的，在步骤4)中，进行续点的制作和记录包括，按照预设的时间间隔采集此次复制的源存储介质的基本信息、目标存储介质的基本信息和复制环境信息并保存，而后将该信息制作成续点并写入续点文件。

由上述对本发明的描述可知，与现有技术相比，本发明具有如下有益效果：

本发明针对计算机司法取证勘查工作中存在的需求，提出一种基于续点的计算机存储介质复制方法，在进行硬盘复制过程中允许多次地中断。这种中断可以是正常中断(使用者主动中断)，也可以是异常情况中断(掉电或其它异常)。中断后的硬盘复制在取证环境恢复后可以正确地继续完成复制，从而减少重新复制带来的宝贵的时间与人力资源开销。

附图说明

图1为本发明的流程示意图。

具体实施方式

以下通过具体实施方式对本发明作进一步的描述。

硬盘复制即硬盘数据的位对位复制，是一种硬盘数据的读与写的技术。基本原理是按要求将数据源硬盘上的数据读出来然后再将这些数据写入复制的目标硬盘。要求当相对硬盘有效存储起始位置的偏移量相同时，数据是一致相同的。

硬盘复制根据使用目的的不同分为：普通复制和取证勘查复制。普通复制并不要求保证数据源硬盘上的数据不产生变化，取证勘查复制则要求复制时采取措施保证数据源硬盘只被读取不被更改，复制后的目标硬盘还要求有校验码保证数据的司法有效性。

本发明中提到的续点从动态过程的角度解释：它是硬盘复制过程中在某一个时间点的三个不同对象的综合瞬间状态(计算机状态、数据源硬盘状态、目标硬盘状态)。理论上分析只要这个综合瞬间状态可以重现，则中断的硬盘复制可以从上一次中断的硬盘空间续继进行，并且保证复制的结果的数据准确性。

本发明中提到的续点从静态抽象的角度描述：它是一个复杂的数据结构，这个数据结构可以携带硬盘复制过程中的一个综合瞬间状态，并且可以用来支持复制设备重现这个综合瞬间状态使中断的硬盘复制继续未完成的复制。这个数据结构的成员包括：源硬盘的基本信息、目标硬盘的基本信息和复制环境等。其中，源硬盘的基本信息DiskInfos包括源硬盘的SMART数据SMTs和源硬盘的序列号等，目标硬盘的基本信息DiskInfot包括目标硬盘的SMART数据SMTt和目标硬盘的序列号等，复制环境包括软件环境和硬件环境。软件环境包括开始时间Ts、已用时间Te、指定的数据量Ntargete、复制已完成的数据量Ncompleted、目标硬盘的MBR扇区数据MBR和数据起始扇区S等。硬件环境包括源硬盘的磁头位置和目标硬盘的磁头位置等。

参照图1，本发明的一种基于续点的计算机存储介质复制方法，其中以存储介质采用硬盘为例，创建两个需要数据同步的并发任务，包括源硬盘读取任务和目标硬盘写入任务，而后进行如下步骤：

1)初始开始源硬盘读取任务时，检查是否存在与此次复制相关联的续点，

先获取此次复制源硬盘的基本信息DiskInfo_s和目标硬盘的基本信息DiskInfo_t，然后根据硬盘基本信息中的源硬盘序列号和目标硬盘序列号，在续点文件中遍历查找，将该源硬盘序列号和目标硬盘序列号分别与续点中的源硬盘基本信息和目标硬盘基本信息中的对应硬盘序列号进行对比，若二者都相同，则该续点即为此次复制的相关联续点，则进入步骤2)；若否，则进入步骤3)。

2)判断该关联续点是否有效，判断与当前续点关联的源硬盘和目标硬盘在复制中断前和中断后两者的内部数据状态是否被改变，若中断前和中断后二者的内部数据状态都未被改变，则续点视为有效，加载续点内的复制环境后则进入步骤3)；若中断前和中断后任一内部数据状态被改变则续点视为无效，直接进入步骤3)。

3)根据当前复制环境重建相关联的硬盘复制所需的硬件环境和软件环境。

其中硬件环境重建将初始化源硬盘的磁头位置、目标硬盘的磁头位置，软件环境重建将复原进度信息、数据堆栈和寄存器。而后根据该环境配置读取数据源数据，发出写入通知并检测是否完成指定的数据量Ntargete的读取，若是，则退出源硬盘读取任务；若否Ntargete，则进入步骤4)。

4)得到写入通知后，将数据准确写入目标硬盘相应位置并进行续点的制作和记录，在写入数据过程中，判断指定的数据量Ntargete是否写入完成，若指定的数据量Ntargete写入完成，则退出目标硬盘写入任务；若未完成，则发送读取通知，进入步骤3)，目标硬盘的写入任务只有等到通知后才向目标硬盘写入数据以确保数据正确同步，所以目标硬盘写任务一直侦听是否有写入通知，若无通知，则挂起等待通知。

其中，在步骤2)中判断关联续点是否有效，是指当前续点复制关联的源硬盘和目标硬盘在复制中断前和中断后两者的内部数据状态是否被改变。两者内部数据状态均未被改变视为有效，任一内部数据状态被改变则视为无效续点。

确定续点上下文有效性状态的方程为M＝(Q,T,δ,q₀,F)；

其中续点有效性状态集为：

Q＝{q₀,q_SMART,q_MBR,q_spotcheck1,q_spotcheck2,...,q_spotcheck(_N-1),q_spotcheckN,q_t}，其中q_SMART为硬盘SMART检查有效，q_MBR为硬盘MBR检查有效，q_spotcheckN为硬盘数据抽样比对有效。

续点有效性状态改变因子为：

T＝{t_SMART,t_MBR,t_spotcheck1,t_spotcheck2,...,t_{spotcheck(N-1)},t_spotcheckN}，其中t_SMART为硬盘SMART检查因子，t_MBR为硬盘MBR检查因子，t_spotcheckN为硬盘数据抽样比对因子。

续点有效性初始状态q₀:续点无效,q₀∈Q；

续点有效性最终状态

根据不同有效性状态改变因子对续点的影响分析得到转换函数集：

δ(q₀,t_SMART)＝q_SMART；δ(q₀,t_SMART)＝q₀；

δ(q_SMART,t_MBR)＝q_MBR；δ(q_SMART,t_MBR)＝q₀；

δ(q_MBR,t_spotcheck1)＝q_spotcheck1；δ(q_MBR,t_spotcheck1)＝q₀；

δ(q_spotcheck1,t_spotcheck2)＝q_spotcheck2；δ(q_spotcheck1,t_spotcheck2)＝q₀；

δ(q_{spotcheck(N-1)},t_spotcheckN)＝q_spotcheckN；δ(q_{spotcheck(N-1)},t_spotcheckN)＝q₀；

通过续点有效性状态的方程M＝(Q,T,δ,q₀,F)，我们可以最终可得到续点最终的有效性结果F＝{q₀,q_t}。若有效性状态为q_t则可使用该续点完成未完成的硬盘续点复制。若有效性状态为q₀则该续点无效，应予以删除避免干扰硬盘的完整复制。

在步骤3)中，源硬盘根据当前复制环境配置读取数据源数据，并检测是否得到读取通知，若得到读取通知，则重复步骤3)进行新一轮源硬盘数据读取。

在步骤4)中，进行续点的制作和记录包括，按照预设的时间间隔采集足够多的此次复制的硬件环境信息和软件环境信息组织并保存，为续点的制作做准备，时间间隔可按不同的适用场景灵活设置，具体的续点采集的内容包括：开始时间T_s、已用时间T_e、复制已完成的数据量N_completed、指定的数据量N_targete、数据起始扇区S、目标磁盘的MBR扇区数据MBR、数据源硬盘的SMART数据SMT_s、目标硬盘的SMART数据SMT_t、数据源硬盘的基本信息DiskInfo_s、目标硬盘的基本信息DiskInfo_t等等，而后将这些信息制作成续点并写入续点文件。续点最主要的作用是在有续点硬盘复制时重现中断复制的即时复制状态。因此续点需要大量的硬盘复制动态过程中的即时续点计算机状态信息。采集续点上下文数据是对复制中断点的相关计算机储存器即时状态的镜象和硬件信息的记录。

上述仅为本发明的一个具体实施方式，但本发明的设计构思并不局限于此，凡利用此构思对本发明进行非实质性的改动，均应属于侵犯本发明保护范围的行为。

Claims (10)

1.一种基于续点的计算机存储介质复制方法，其特征在于：包括如下步骤：

1)检查是否存在关联的续点，续点包括源存储介质的基本信息、目标存储介质的基本信息和复制环境；首先获取此次复制的源存储介质的基本信息和目标存储介质的基本信息，而后将该信息与续点中的源存储介质基本信息和目标存储介质基本信息进行对比，若相同，则该续点即为此次复制的相关联续点，进入步骤2)；若不同，则进入步骤3)；

2)判断该续点是否有效，若是，加载续点内的复制环境后进入步骤3)，若否，则直接进入步骤3)；

3)根据当前复制环境读取数据源数据，而后进入步骤4)；

4)目标存储介质写入数据并进行续点的制作和记录，在写入数据过程中，判断指定的数据量是否完成，若是，则复制完毕；若否则进入步骤3)。

2.如权利要求1所述的一种基于续点的计算机存储介质复制方法，其特征在于：所述复制环境包括软件环境和硬件环境。

3.如权利要求2所述的一种基于续点的计算机存储介质复制方法，其特征在于：所述源存储介质采用硬盘，该源存储介质的基本信息包括源硬盘的SMART数据和源硬盘的序列号；所述目标存储介质采用硬盘，该目标存储介质的基本信息包括目标硬盘的SMART数据和目标硬盘的序列号。

4.如权利要求3所述的一种基于续点的计算机存储介质复制方法，其特征在于：所述软件环境包括开始时间、已用时间、指定的数据量、复制已完成的数据量、目标硬盘的MBR扇区数据和数据起始扇区。

5.如权利要求4所述的一种基于续点的计算机存储介质复制方法，其特征在于：所述硬件环境包括源硬盘的磁头位置和目标硬盘的磁头位置。

6.如权利要求5所述的一种基于续点的计算机存储介质复制方法，其特征在于：在步骤2)中，判断续点是否有效，是指判断与当前续点关联的源存储介质和目标存储介质在复制中断前和中断后两者的内部数据状态是否被改变，若中断前和中断后二者的内部数据状态都未被改变，则视为有效，加载续点内的复制环境后则进入步骤3)；若中断前和中断后任一内部数据状态被改变则视为无效，直接进入步骤3)。

7.如权利要求6所述的一种基于续点的计算机存储介质复制方法，其特征在于：在步骤3)中，源存储介质根据当前复制环境配置读取数据源数据并发出写入通知，同时检测是否完成指定的数据量的读取，若是，则退出源存储介质的数据读取；若否，则进入步骤4)。

8.如权利要求6或7所述的一种基于续点的计算机存储介质复制方法，其特征在于：在步骤4)中，得到写入通知后，将数据写入目标存储介质中，并判断指定的数据量是否写入完成，若指定的数据量写入完成，则退出目标存储介质的数据写入；若未完成，则发送读取通知，进入步骤3)。

9.如权利要求8所述的一种基于续点的计算机存储介质复制方法，其特征在于：在步骤3)中，根据当前复制环境配置读取数据源数据，并检测是否得到读取通知，若得到目标存储介质的读取通知，则重复步骤3)。

10.如权利要求9所述的一种基于续点的计算机存储介质复制方法，其特征在于：在步骤4)中，进行续点的制作和记录包括，按照预设的时间间隔采集此次复制的源存储介质的基本信息、目标存储介质的基本信息和复制环境信息并保存，而后将该信息制作成续点并写入续点文件。