CN105765559A - 交互式案件管理系统 - Google Patents

Abstract

本披露的实施例涉及一种用于在计算机系统中对调查中的计算机可读电子文件进行处理的方法，该计算机系统包括联接至显示器的处理器以及联接至该处理器的电子存储装置。该方法包括该处理器对这些电子文件以及来自数据源的相关数据进行访问。由该处理器基于预定过滤准则来挑选所访问的文件和相关数据。该处理器将剩余的文件和相关数据存储在第三方数据储存库中，并且将存储在该第三方数据储存库中的电子文件和相关数据的集映射到预定数据库模式中。由该处理器对所映射的文件和相关数据进行分析，该处理器对所映射的文件和相关数据应用状态决策。基于所应用的状态决策来将所分析的电子文件和相关数据提交至第三方电子发现处理应用。

Description

交互式案件管理系统

相关申请的交叉引用

本申请基于2013年9月9日提交的美国临时专利申请号61/875,474并得到该申请的提交日期的权益，该申请的内容通过引用以其全文结合在此。

技术领域

当前披露的主题总体上涉及用于数据管理的方法、系统和设备，并且更具体地涉及交互式案件管理系统。

背景技术

许多情况要求对电子存储的文档的正文进行分析。一个示例是电子发现(electronicdiscovery)。电子发现(或e-discovery)可以被称为对电子存储的信息(ESI)进行标识、收集和/或出示的电子方面，该电子方面以遵循对信息在法庭中变得如合法证据般可采纳的已建立的证据标准的方式来执行。ESI可以包括但不限于电子邮件、文档、演示文稿、数据库、语音信箱、音频和视频文件、社交媒体以及网站。

在诉讼的发现阶段的背景下，响应于对方当事人的文档出示请求(出示请求)，个人或组织(目标方)可能需要收集文档(如其所拥有的文档)以便提交给另一方(如对方当事人)。请求方的出示请求可以引用文档种类或信息类型。从而，对于与所引用的文档种类或信息类型有关的那些文档(有关文档)，目标方将对其文档(如其所拥有的文档)进行评估。一旦收集，目标方在向请求方进行出示之前可以出于各种原因进一步评估有关文档，如出于挑选或分离可能经受律师当事人特权或律师工作成果原则的文档(特权信息)的目的。一旦向对方当事人出示文档，对方当事人需要对文档进行分析。

发明内容

一个示例性实施例可以包括一种用于在计算机系统中对由电子计算机可读文件表示的数据中的基于时间的异常进行评估的系统和方法，该计算机系统包括至少一个处理器以及联接至该至少一个处理器的至少一个电子存储装置。该方法可以包括：该至少一个处理器对从一个或多个指定的电子文件保管者获得的存储在该至少一个电子存储装置中的所有电子文件进行标识。该方法还可以包括：该至少一个处理器确定与所标识的这些电子文件中的每个电子文件相关联的数据。该方法可以进一步包括：该至少一个处理器确定在一段时间上的一系列时间段中的每个时间段内与这些指定的保管者相关联的电子文件数量。此外，该方法可以包括：该至少一个处理器致使联接至该至少一个处理器的至少一个显示器显示在该一系列时间段中的每个时间段内的该电子文件数量。该方法还可以包括：该至少一个处理器致使该至少一个显示器展示相比于其他时间段具有大和/或小数量的那些时间段。

另一个示例性实施例可以包括一种用于在计算机系统中对调查中的计算机可读电子文件进行处理的系统和方法，该计算机系统包括至少一个处理器、联接至该至少一个处理器的至少一个电子存储装置以及联接至该至少一个处理器的至少一个显示器。该方法可以包括：该至少一个处理器对这些电子文件以及来自数据源的与这些电子文件相关的数据进行访问。该方法还可以包括：该至少一个处理器基于预定过滤准则挑选所访问的这些文件和相关数据中的至少一项。该方法可以进一步包括：该至少一个处理器将剩余文件和相关数据存储在第三方数据储存库中。此外，该方法可以包括：该至少一个处理器将存储在该第三方数据储存库中的电子文件和相关数据的集映射到预定数据库模式中。该方法还可以包括：该至少一个处理器分析所映射的这些文件和相关数据。该方法可以进一步包括：该至少一个处理器对所分析的这些文件和相关数据应用状态决策。该方法可以另外包括：该至少一个处理器基于所应用的该状态决策向第三方电子发现处理应用提交至少一个分析的电子文件和相关数据。

本披露的其他和进一步的方面和特征将通过阅读下面对实施例的详细说明而更加清楚，这些实施例旨在说明本发明而不是限制本发明。

附图说明

结合于此并且构成本说明书的一部分的附图展示了本披露的示例性实施例，并且与说明部分一起用于解释本披露的原理。

图1A是示意图，展示了根据本披露的实施例包括示例性交互式案件管理系统的第一网络环境；

图1B是示意图，展示了根据本披露的实施例包括图1A的交互式案件管理系统的第二网络环境；

图1C是示意图，展示了根据本披露的实施例包括图1A的交互式案件管理系统的第三网络环境；

图1D是根据本披露的实施例的图1A的示例性交互式案件管理系统的组成部分的示意性表示；

图2是示意图，展示了根据本披露的实施例的与网络部件通信的图1A的示例性交互式案件管理系统；

图3是流程图，展示了根据本披露的实施例的一种用于实现图1A的交互式案件管理系统的数据摄入模块的示例性方法；

图4A是流程图，展示了根据本披露的实施例的一种用于使用图1A的交互式案件管理系统来使用散列值执行过滤的示例性方法；

图4B是流程图，展示了根据本披露的实施例的一种使用图1A的交互式案件管理系统来创建参考散列表以便实现图4A的方法的示例性方法；

图5是示意图，展示了根据本披露的实施例使用图1A的交互式案件管理系统所实现的示例性参考散列表；

图6是示意图，展示了根据本披露的实施例的一种用于实现图1A的交互式案件管理系统的平台连接模块的示例性方法；

图7是示意图，展示了根据本披露的实施例使用图1A的交互式案件管理系统所生成的示例性搜索报告；

图8A、图8B和图8C展示了根据本披露的实施例使用图1A的交互式案件管理系统所生成的示例性别名表；

图9展示了根据本披露的实施例使用图1A的交互式案件管理系统所生成的示例性电子邮件通信表；

图10A、图10B和图10C展示了根据本披露的实施例使用图1A的交互式案件管理系统所生成的示例性通信图；

图11展示了根据本披露的实施例使用图1A的交互式案件管理系统所生成的示例性时间线图；

图12是流程图，展示了根据本披露的实施例的一种用于实现图1A的交互式案件管理系统的示例性方法；

图13是流程图，展示了根据本披露的实施例的一种由图1A的交互式案件管理系统实现的用于存储元数据的示例性方法；

图14展示了根据本披露的实施例使用图1A的交互式案件管理系统所生成的示例性元数据表、提取内容表和目录表；

图15是流程图，展示了根据本披露的实施例的一种由图1A的交互式案件管理系统实现的用于过滤数据的示例性方法；并且

图16和图17展示了根据本披露的实施例的用于图1A的交互式案件管理系统的示例性界面屏幕。

具体实施方式

参照附图进行以下详细说明。描述示例性实施例以说明本披露，而不是限制其范围，该范围由权利要求书所限定。本领域普通技术人员将认识到随后的说明中的多种等效变化。

在本披露的各个实施例中，下面提供了对将在该文档中使用的一个或多个术语的定义。

在本披露中，“文件”在其最宽泛定义的背景下使用。文件可以指各种各样格式的计算机可读的电子文件以及相关数据，这些格式支持在通信信道上对文件和相关数据进行存储、印刷或传输。文件可以能够是可编辑或不可编辑的、被加密或解密、编码或解码、压缩或解压缩、以及可转换或不可转换为不同文件格式和存储模式。文件可以能够由软件应用程序用来执行预定任务。

在本披露中，“文档”在其最宽泛定义的背景下使用。文档可以是指包括单页或多页的电子文档。每页可以具有文本、图像、嵌入视频、嵌入数据文件或其任何组合。文档可以是文件类型。

在本披露中，“数据源”在其最宽泛定义的背景下使用。数据源可以是指被配置成用于执行以下各项中的至少一项的联网计算装置、计算机可读介质、或便携式存储装置：(1)存储、管理或处理数据或文件，(2)建立通信信道或环境，以及(3)从连接至网络的其他装置请求服务或向其传送服务或两者。

在本披露中，“保管者”在其最宽泛定义的背景下使用。保管者可以是指负责或具有对文件或数据的管理控制、授权访问文件或数据同时如在电子发现工作流程中的安全策略或标准信息技术(IT)实践所定义的那样保护数据的实体(如人类、存储装置、人工智能(AI)系统等)。

在本披露中，“案件”在其最宽泛定义的背景下使用。案件可以是指与特定保管者或一组保管者相关联的命名文件和相关数据集合。案件可以与电子发现工作流程中的法律事件有关。

在本披露中，“索引”在其最宽泛定义的背景下使用。索引可以是指对存储在数据库中的文件和相关数据的一个或多个命名引用的集合。

在本披露中，“搜索词”在其最宽泛定义的背景下使用。搜索词可以是指可能包括布尔逻辑运算符或与一种或多种计算机编程语言相对应或相兼容的任何其他运算符的一个或多个字符串和/或数字串。搜索词可以是指示针对获得搜索结果所报告的最少信息的最低水平。

在本披露中，“用户”在其最宽泛定义的背景下使用。用户可以是指被指派访问计算机装置或系统并且被指派计算机装置或系统内的特权的AI系统或人。

在本披露中，“过滤面元”在其最宽泛定义的背景下使用。过滤面元可以是指可被应用于仅对来自案件文档集合的文件和/或相关数据的子集进行审查的种类(例如，日期、文件类型等)。

在本披露中，“角色”在其最宽泛定义的背景下使用。角色可以是指被指派给该用户的许可的分组。

在本披露中对交互式案件管理系统的大量引用旨在覆盖能够对与可应用背景有关的ESI工作流程中的数据执行对应操作的任何和/或全部装置，无论是否特别提供这种装置。

示例性实施方式

图1A是示意图，展示了根据本披露的实施例包括示例性交互式案件管理系统的第一网络环境。第一网络环境10-1可以包括数据源12，该数据源在网络18上经由交互式案件管理系统16与第三方ESI(例如，电子发现处理应用14)进行通信。例如，网络18可以包括以下各项中的一项或多项：互联网、广域网(WAN)、局域网(LAN)、模拟或数字有线与无线电话网络(例如，PSTN、综合业务数字网(ISDN)、蜂窝网络、以及数字用户线(xDSL))、无线电、电视、电缆、卫星和/或任何其他用于承载数据的传送或隧道机制。网络18可以包括多个网络或子网络，其每一个都可以包括例如有线或无线数据通道。网络18可以包括电路交换语音网络、分组交换数据网络或者任何其他能够承载电子通信的网络。例如，网络18可以包括基于互联网协议(IP)或者异步传输模式(ATM)的网络，并且可以使用例如VoIP、经ATM上的语音(Voice-over-ATM)、或用于语音、视频和数据通信的其他相容协议来支持语音。

数据源12可以被实现为各种计算装置(例如，台式PC、个人数字助理(PDA)、服务器、大型计算机、移动计算装置(例如，移动电话、膝上计算机等)、互联网设施等)中的任一种、或计算机可读介质(如智能卡)、或便携式存储装置(例如，USB驱动器、外部硬盘驱动器等)等。服务器可以被实现为各种计算装置中的任一种，包括例如通用计算装置、多台联网服务器(被安排成集群或安排为服务器群)、大型机等。

第三方ESI处理应用14(下文称为第三方应用14)可以包括数据储存库20，该数据储存库可以包括或者被再分为用于存储电子文件的各个数据库。数据储存库20可以具有本领域、相关技术中已知的或以后针对经由交互式案件管理系统16对来自数据源12的与文件相对应的数据进行存储所开发的许多种数据库模式之一。例如，数据储存库20可以具有涉及一个主要关键属性以及一个或多个次要属性的关系型数据库模式。第三方应用14可以对数据执行一项或多项操作(如读取、写入、标引、更新等)，并且可以与各种联网计算装置通信。

交互式案件管理系统16可以被配置成用于进行以下各项中的至少一项：(1)同时与一个或多个第三方应用(如第三方应用14)、数据库(如数据储存库20)、或使用相同或不同通信协议、格式和数据库模式进行操作的设施、或其任何组合进行通信；(2)基于至少一个预定义或动态创建的准则对数据进行标引、过滤、操控和分析；(3)对数据进行传输、接收或映射以便与一个或多个联网计算装置和数据储存库进行通信；(4)基于一个或多个属性对数据进行关联以创建数据集；(5)生成数据或数据集的可定制视觉表示；(6)针对预定的一个或多个保管者和/或保管者组在可定制时间线上对数据、数据集或所生成的视觉表示进行图形表示；(7)针对用户生成指示并且对来自该用户的关于文件或数据的当前状态或者状态的指示进行响应；(8)对与文件相关联的元数据进行搜索、标识、提取、映射和使用；并且(9)以非冗余方式存储包括元数据的文件和相关数据。

交互式案件管理系统16可以表示能够为网络装置提供案件管理服务的各种各样的装置中的任何一种装置。交互式案件管理系统16可以被实现为包括硬件和所安装的软件的独立的和专用的“黑盒子”，其中，该硬件与软件的要求和/或功能密切地匹配。替代性地，交互式案件管理系统16可以被实现为软件应用程序或装置驱动器。交互式案件管理系统16可以增强或增加其所连接至的网络(如网络18)的功能和/或能力。在一些实施例中，交互式案件管理系统16可以被配置成用于例如执行电子邮件任务、安全任务、网络管理任务(包括IP地址管理)以及其他任务。在一些其他的实施例中，交互式案件管理系统16可以被配置成用于将其计算环境或操作代码暴露给用户，并且可以包括相关技术I/O装置(如键盘或显示器)。然而，一些实施例的交互式案件管理系统16可以包括软件、固件、或者支持对交互式案件管理系统16的远程管理和/或维护的其他资源。

如图1D中所展示的，交互式案件管理系统16可以通过单个装置(例如，计算装置、处理器或电子存储装置)或多个装置的组合来实现。交互式案件管理系统可以用硬件或者硬件和软件的合适组合来实现。在一些实施例中，交互式案件管理系统16可以是包括处理器22的硬件装置，该处理器执行机器可读程序指令用于分析数据以及在数据源12与数据储存库20之间的交互。“硬件”可以包括分立部件的组合、集成电路、专用集成电路、现场可编程门阵列、数字信号处理器、或其他合适的硬件。“软件”可以包括一个或多个对象、代理程序、线程、代码行、子例程、单独的软件应用程序、两个或更多个代码行或在一个或多个软件应用程序或在一个或多个处理器上操作的其他合适的软件结构。处理器22可以包括例如微处理器、微型计算机、微控制器、数字信号处理器、中央处理单元、状态机、逻辑电路和/或基于操作指令来操控信号的任何装置。在其他能力中，处理器22可以被配置成用于取出并执行与交互式案件管理系统16相关联的存储器中的计算机可读指令。

交互式案件管理系统16可以管理数据源12与第三方应用14之间的在网络18上的交互。这些交互可以包括从第三方应用14到数据源12和/或交互式案件管理系统16的查询、指令或数据，并且反之亦然。交互式案件管理系统16可以包括各种已知的、相关技术的或以后开发的接口24，包括软件接口(例如，应用编程接口、图形用户接口等)；硬件接口(例如，线缆连接器、键盘、读卡器、条形码阅读器、生物特征扫描器、交互式显示屏等)；或两者。

交互式案件管理系统16可以进一步包括用于存储以下各项中的至少一项的电子存储装置26：(1)文件以及包括元数据的相关数据的复本；以及(2)网络装置及相关联通信(包括指令、查询、数据和相关元数据)的简档日志。存储装置26可以包括现有技术、相关技术中已知的或以后开发的任何计算机可读介质，包括例如易失性存储器(例如，RAM)、非易失性存储器(例如，闪存等)、硬盘驱动器等或其任何组合。在一个实施例中，存储装置26可以包括具有预定模式的数据库28以及各种模块，如数据摄入模块30、平台连接模块32、电子邮件映射模块34和高级过滤模块36。下面对预定模式以及这些模块进行详细讨论。

在一些实施例中，交互式案件管理系统16可以包括(整体地或部分地)独立或与一个或多个硬件资源结合工作的软件应用程序。这种软件应用程序可以由在不同硬件平台上的处理器22执行或者在虚拟环境中进行仿真。交互式案件管理系统16的各个方面可以利用已知的、相关技术的、或以后开发的现用软件。

其他实施例可以包括交互式案件管理系统16，该交互式案件管理系统与移动交换中心、网络网关系统、互联网访问节点、应用服务器、IMS核、服务节点或一些其他的通信系统(包括其任何组合)相集成或通信。在一些实施例中，交互式案件管理系统16可以与可穿戴装置相集成或被实现为可穿戴装置，包括但不限于时尚饰品(例如，腕带、戒指等)、实用装置(手持短棒、笔、雨伞、手表等)、服装或其任何组合。

在进一步的实施例中，交互式案件管理系统16或者与数据源12通信，或者可以通过联接至或包括以下各项而独立地具有视频、语音和数据通信能力(例如，统一通信能力)：各种成像装置(例如，照相机、打印机、扫描仪、医学成像系统等)、各种音频装置(例如，麦克风、音频输入装置、扬声器、音频输出装置、电话、带扬声器的电话等)、各种视频装置(例如，监视器、投影仪、显示器、电视、视频输出装置、视频输入装置、照相机等)或任何其他类型的硬件及其任何组合。在一些实施例中，交互式案件管理系统16可以包括或实现一种或多种实时协议(例如，会话发起协议(SIP)、H.261、H.263、H.264、H.323等)以及现有技术、相关技术中已知的或以后开发的非实时协议，以便促进数据源12、第三方应用14以及任何其他网络装置之间的数据传输。

在一些实施例中，交互式案件管理系统16可以被配置成用于将来自数据源12的通信(其可以包括指令、查询、数据等)转换成适当的格式，以便使得这些通信与第三方数据应用14相兼容，并且反之亦然。因此，交互式案件管理系统16可以允许使用不同的技术或者由不同的组织(例如，第三方供应商)来实现数据储存库20、使用专有技术来管理数据储存库20。

在另一个实施例中(图1B)，交互式案件管理系统16可以与数据源12相集成或者安装在其上。在又另一个实施例中(图1C)，交互式案件管理系统16可以安装在任何网络设施38上或与其相集成，该网络设施被配置成用于建立在数据源12与数据储存库20之间的网络18。交互式案件管理系统16与网络设施38中的至少一项可以能够作为接口进行操作或者提供接口，以帮助在数据源12、数据储存库20以及交互式案件管理系统16之间交换软件指令和数据。在一些实施例中，网络设施38可以被预先配置或动态配置成包括与其他装置相集成的交互式案件管理系统16。例如，交互式案件管理系统16可以与数据源12(图1B)、第三方应用14或连接至网络18的任何其他用户装置(未示出)相集成。数据源12可以包括模块(未示出)，该模块使得数据源12被引入网络设施38，由此使得网络设施38能够调用交互式案件管理系统16作为服务。网络设施38的示例可以包括但不限于DSL调制解调器、无线接入点、路由器、基站以及具有足以实现交互式案件管理系统16的预定计算能力的网关。

图2是示意图，展示了根据本披露的实施例的与网络部件通信的图1A的示例性交互式案件管理系统。交互式案件管理系统16可以与各种网络部件和装置(如数据源12和第三方应用14)进行交互。在一个实施例中，交互式案件管理系统16可以包括数据摄入模块30、平台连接模块32、以及电子邮件映射模块34。交互式案件管理系统16还可以包括高级过滤模块36，该高级过滤模块包括过滤模块40、分析和可视化模块42(AV模块42)以及决策模块44。AV模块42可以包括文件类型分析模块46、电子邮件通信分析模块48(ECA模块48)、数据异常分析模块50、域分析模块52以及去重模块54。

数据摄入模块

数据摄入模块30可以被配置成用于在数据源12与第三方应用14之间进行接口连接。数据摄入模块可以实现用于消除与电子发现请求或其他调查无关的电子文件和相关数据使其免于被摄取到数据储存库20中的预定过程(图3)。

在步骤55，对位于数据源12中的电子文件和相关数据进行访问。数据摄入模块12可以访问来自数据源12的未处理的、电子的、计算机可读文件的集合。数据源12可以将文件作为计算机可读文件系统中的松散文件集呈现给数据摄入模块30。这些文件的示例可以包括但不限于系统文件、程序文件、文档文件、多媒体文件以及电子邮件。这些文件可以在与法律案件或保管者有关时被访问。

在步骤56，收集所访问的文件的文件系统信息。数据摄入模块30可以使用现有技术、相关技术中已知的或以后开发的工具和技术来确定与所访问的文件相关联的各种文件系统信息。文件系统信息的示例可以包括但不限于文件名、文件路径、文件类型、系统日期等。所确定的文件系统信息可以作为针对所访问的文件中的每个文件的记录存储在数据库28中。数据摄入模块30可以针对每个案件或保管者创建单独的这种记录。可以将这些记录的集合安排在被称为摄入表的表中。

在步骤57，针对所访问的文件和相关数据中的每一项计算预定散列算法的散列值。数据摄入模块30向所访问的文件应用预定散列算法，用于计算这些文件中的每个文件的散列值。散列算法可以将这些文件中的字符串变换为称为散列值(或散列码)的表示文件中的原始字符串的较短的固定长度值或密钥。散列值的长度可以基于所应用的散列算法而变化。对散列值的这种确定可以用于对文件进行贴标签，其中，标签可以促进针对电子发现工作流程或调查来确定文件相关性。

在步骤58，对所访问的文件中的每个文件的文件类型进行标识。所访问的文件中的每个文件可以由数据摄入模块30来分析，以便对可以是指文件格式的文件类型进行标识。这种文件类型的示例可以包括但不限于PDF、PST电子邮件数据库、MSWORD处理、MOV视频、WAV音频以及TIFF图像。在一个实施例中，所访问的文件可以通过基于文件类型将文件分组在一起(下文被称为文件类型分组)来进行分析。这些文件类型分组中的每一个都可以用预定义代码进行标记，该预定义代码可以对特定分组中的电子文件的‘类型’进行标识。对文件类型的这种标识可以使用在现有技术、相关技术中已知的或以后开发的各种技术和工具来进行。例如，由电子取证调查公司(ForensicInnovations,Inc.)开发的‘文件调查工具’可以由数据摄入模块30来实现以对文件类型进行标识并且生成相应的预定义代码。数据摄入模块30可以将所标识的文件类型中的每个文件类型的所生成的代码映射到可以存储在数据库28中的摄入表或单独的文件类型表中。

在步骤60，可以基于各种预定义或动态定义的过滤准则来对所标识的文件进行过滤，以消除可能被认为对调查来说无关或无响应的电子文件。在一个示例中，可以基于预定义的或动态定义的文件路径来对文件进行过滤，该文件路径是指从中获得文件的位置(例如，数据源12)。在应用‘文件路径’准则时，数据摄入模块30可以将存储在由文件路径所定义的特定位置处的所有文件作为过滤结果提供。在一些实施例中，数据摄入模块30可以被配置成用于排除存储在由文件路径所定义的位置处的所有文件，并且在一些其他的实施例中，将这些文件作为过滤结果提供。

在另一个示例中，可以基于在参考日期与期望日期之间延伸的数据范围来对这些文件进行过滤，两个日期均被包括在内或排除在外地考虑以返回过滤结果。参考日期可以是指在数据源12上对相应的文件系统进行或者创建或者修改的日期。期望日期可以是指在参考日期之后的任何日期，例如，最新日期或正在执行这种过滤的日期。在应用‘日期范围’准则时，数据摄入模块30可以提供可能在参考日期与期望日期(两者均包括在内)之间被创建或修改的所有文件作为过滤结果提供。在一些实施例中，数据摄入模块30可以被配置成用于排除在参考日期与期望日期(两者均包括在内)之间被创建或修改的所有文件，并且在一些实施例中，将剩余的文件作为过滤结果提供。

在又另一个示例中，可以基于一个或多个选择的文件类型来对这些文件进行过滤。可以使用文件类型标识工具(如上文所述的文件类型标识工具)来确定用于所选择的文件类型的代码。可以将所选择的代码与用于过滤文件的文件类型表或摄入表中的代码进行比较。在应用‘文件类型’准则时，数据摄入模块30可以将其相关联的文件类型代码与在文件类型表或摄入表中的代码相匹配的所有文件作为过滤结果提供。在一些实施例中，数据摄入模块30可以被配置成用于排除其相关联的文件类型代码与这些表之一中的代码相匹配的所有文件，并且在一些其他的实施例中，将剩余文件作为过滤结果提供。

在进一步的示例中，可以基于所访问的文件的散列值来对这些文件进行过滤。数据摄入模块30可以将所计算的关联于每个文件的散列值与散列值列表进行比较，该散列值列表与ESI调查无关并且在一个或多个参考散列表中被认为是无关的。具有与参考散列表中的散列值相匹配的散列值的那些文件可以被指定为无响应或无关的。

可以在用户请求或选择时由数据摄入模块30以任何顺序来应用上述示例性过滤准则。在一个实施例中，在接收到来自用户的请求之后，数据摄入模块可以用预设顺序应用准则，即，文件路径->日期范围->文件类型->散列值。

在步骤74，如果所访问的文件满足所选择的所有过滤准则，那么作为正过滤结果返回的文件可以被称为对于电子发现工作流程或调查而言可能有关的文件。数据摄入模块30可以将所获得的包括文件和相关数据的过滤结果复制到预定存储位置(如数据储存库20)。在一些实施例中，数据摄入模块30还可以将有关文件和相关数据的复本存储到数据库28中。在一些其他的实施例中，一旦文件和相关数据被存储到数据储存库20中，数据摄入模块30可以生成摄入汇总报告。此报告可以示出对可以存储在数据库28中的所有文件和相关数据的高级概览，并且可以指示(1)由所应用的定制的预定过滤准则所过滤掉的文件和相关数据；(2)由于摄入异常而未被复制到数据储存库20和数据库28中的至少一项中的文件和相关数据；以及(3)无法由交互式案件管理系统16访问或使用的文件和相关数据(在数据源12中)。

在步骤76，数据源12中的在应用预定过滤准则时无法作为正过滤结果返回的其余文件(下文被称为无关文件)可能与声明已由数据摄入模块30所‘过滤’的指示符(如标签)相关联。该指示符可以将无关文件标识为已经通过数据摄入模块30经历过滤准则至少一次。这些无关的文件和相关数据无法被从数据源12复制到预定存储位置(如数据储存库20或数据库28)。

在步骤78，针对摄入表中的过滤结果创建记录。数据摄入模块30可以在摄入表中为每个有关和无关的文件和相关数据创建记录。记录可以包括但不限于关于每个有关文件和无关文件的过滤信息。过滤信息的示例可以包括但不限于针对各种过滤准则(如上文所述的那些过滤准则)所输入的值列表等。在一些实施例中，数据摄入模块30可以将与过滤信息相对应的文件嵌入在摄入表中。

图4B展示了处理器22或任何其他处理器创建一个或多个参考散列表以供交互式案件管理系统16使用或引用的过程的示例。例如，在步骤80，访问美国国家软件参考库(NSRL)数据库中的预定散列集。散列集是已知与调查无关的文件集合(例如，对于已知的程序而言，.exe文件、.dll文件等)。处理器22可以访问由美国国家标准和技术协会(NIST)所提供的各种预定散列集中的至少一种散列集。例如，处理器22可以使用“最小”散列集，该散列集仅包括NSRL中的每个文件的一个示例。

在步骤82，读取所访问的散列集中的MD5散列值。处理器22可以逐文件地读取“最小”散列集，以便确定与预定散列算法(如MD5散列算法)相对应的散列值。

(NSRL)数据库中的散列值数量是巨大的。如果NSRL数据库中的所有散列值都提供于单个参考散列表中，那么将散列值与存储在该单个参考散列表中的所有散列值进行比较所需的时间可能相当长。为了缩短比较过程，可以采用多个参考散列表，每个参考散列表用于不同的散列值段。

在步骤84，确定MD5散列值中的预定位的值。可以用十六进制编号系统来表示所读取的MD5散列值。处理器22可以基于十六进制MD5散列值中的预定位将这些MD5散列值分成不同的参考表。例如，可以基于前两个十六进制位将所读取的MD5散列值分成256个参考散列表。预定位的数量可以从一变化至‘X’，其中，‘X’小于特定散列值(如MD5散列值)中的最大位数。

处理器22可以确定预定位的值(如前两个十六进制位的值)，其在MD5散列值中范围可以从00到FF。处理器22可以针对前两个十六进制位的每个值创建单独的参考散列表。在一个示例中，处理器22可以基于MD5散列值中的前两个十六进制位创建256个参考散列表102-1、102-2、...、102-256(共同地，如在图5中所示的参考散列表102)。

在步骤86，处理器22可以确定从NSRL散列集中所读取的MD5散列值是否存在于如由预定位所标引的适当参考散列表中。在一个实施例中(图5)，每个参考散列表可以使用相同的前两个十六进制位来命名。例如如所示出的，参考散列表102-256可以被命名为‘MD5FF散列码’，其中，‘MD5’可以是指MD5散列算法，‘FF’可以对应于包含在表102-256中的MD5散列值的前两个十六进制位，并且‘散列码’可以是指存储在该表102-256中的内容(即，散列值)的类型。

对于每个读取的MD5散列值，处理器22可以基于预定位(如前两个十六进制位)的值来对相应的参考散列表进行标识。在一个示例中，当前两个十六进制位的值可以是“02”时，处理器22可以将表102-3标识为相应的参考散列表。然后，数据摄入模块30可以检测所读取的MD5散列值是否存在于所标识的参考散列表中。

在步骤88，如果所读取的MD5散列值不在适当的散列值表中，对适当的参考散列表进行更新以便包括所读取的MD5散列值。如果在适当的参考散列表(如表102-3)中未发现所读取的MD5散列值，那么处理器22可以对相应的参考散列表进行更新以便包括所读取的MD5散列值。处理前进到步骤90。

在步骤90，如果在适当的参考散列表中找到MD5散列值，则不可以将所读取的MD5散列值添加到参考散列表。因此，处理器22可以读取所访问的散列集(如“最小”散列集)中的下一个MD5散列值，并且对步骤84至步骤90进行反复迭代。以此方式，数据摄入模块30可以基于在散列值中的预定位的所确定的值来将在所访问的散列集中的每个MD5散列值存储到256个表中的一个表中，以便创建完整的参考散列表集。

一旦创建了这些参考散列表，它们可以用来评估文件(在图3中的步骤57处确定其散列值)是否与调查无关或者是否可能是有关的(如在图3中的步骤60处所确定的)。用于使用散列值对所访问的文件和相关数据进行过滤的示例性步骤示出在图4A中。在步骤62，接收位于数据源12中的电子文件和相关数据。数据摄入模块30可以接收其散列值有待确定的文件。数据摄入模块30可以采用在现有技术、相关技术中已知的或者以后开发的各种散列算法(包括SHA算法)来确定这些文件中的每个文件的相应散列值。

在步骤64，针对所接收的文件和相关数据中的每一项计算MD5散列值。在一个实施例中，数据摄入模块可以应用MD5散列算法以针对所接收的文件中的每个文件生成128位(16字节)的MD5散列值。可以用文本格式将所计算的MD5散列值表示为32位十六进制数；然而，可以使用现有技术、相关技术中已知的或以后开发的其他编号系统(包括二进制编号系统、十进制编号系统或其任何组合)来表示散列值。

在步骤66，将所计算的MD5散列值与其中所有散列值具有与步骤64中所计算的散列值相同的预定位的参考散列表进行比较。

在步骤68，数据摄入模块可以检查对于数据源12中的每个文件的所计算的MD5散列值是否存在于适当的参考散列表中。在步骤70，如果在适当的参考散列表中找到MD5散列值，在可以通过现有技术、相关技术中已知的或以后开发的各种指示符来对相应的文件进行标记，包括文本指示符(例如，字母、数字、字符串、特殊字符等)、非文本指示符(例如，不同的颜色、颜色亮度、图案、纹理、图形对象等)或其任何组合。例如，可以用声明“已通过NSRL进行过滤”的标签来对文件进行标记，该标签可以指示该文件不与电子发现请求或调查有关。

然而，在一个实施例中，如果在任何参考散列表中都未发现MD5散列值，那么在步骤72，可以留下相应的文件不进行标记，指示数据摄入模块30可能与调查有关。可以例如由用户对这种未标记的文件进行重新评估，以便确认文件对电子发现工作流程或调查的相关性。数据摄入模块30可以被配置成用于生成无关的文件和相关数据的日志。

由于数据摄入模块30可以从数据源12中过滤掉无关的文件和相关数据，因此数据摄入模块30可以针对管理和处理正被摄取到第三方应用14中的有关文件和相关数据提供显著的成本节约。另外，数据摄入模块30可以促进将当前案件状态传达给客户端或信息请求者。进一步地，数据摄入模块30可以是自动化的，使用正在动态地传达给数据源12和第三方应用14的预设过滤准则和登录凭证来进行增强的报告、错误减少以及更好的出示率。

平台连接模块

平台连接模块32可以在网络18上与数据储存库20进行通信。数据储存库20可以用现有技术、相关技术中已知的或者以后开发的各种格式和模式(包括专有文件系统和数据库模式)来存储文件和相关数据。平台连接模块32可以如图6中所示的那样实现。

在步骤110，对存储于数据储存库20中的电子文件和相关数据进行访问。在一个实施例中，平台连接模块32可以被配置成用于使用预定义的或动态定义的登录凭证(例如，用户名和密码)来登录第三方应用14，以便获得对存储于数据储存库20中的文件和相关数据的访问。在其他实施例中，平台连接模块32可以被配置成用于使用现有技术、相关技术中已知的或者以后开发的各种访问技术，包括预定义的或动态提供的生物特征数据(例如，指纹、视网膜扫描等)、音频数据(例如，语音)以及视频数据(例如，面部扫描、图片扫描等)。在登录后，平台连接模块32可以确定在数据储存库20上所实现的数据库模式类型和文件系统类型。另外，平台连接模块32可以接收来自用户的数据库信息，该数据库信息包括但不限于特定数据库实例以及数据储存库20的文件共享位置。平台连接模块32可以将此‘类型’和关于数据储存库20的数据库信息存储在数据库28中的配置记录中。

平台连接模块32可以被配置成用于使用在现有技术、相关技术中已知的或者以后开发的各种访问协议或技术(包括SQL查询)来与第三方应用14进行交互。平台连接模块32可以使用该配置记录来与数据储存库20进行交互。数据储存库20可以包括表(下文被称为DR表)，该表包括存储在数据储存库20中的电子文件的元数据以及电子文件自身。平台连接模块32可以是指用于确定所提取的经转换的光学字符识别(OCR)的位置或任何其他类型的数据的DR表(未示出)。

在步骤112，在一个实施例中，平台连接模块32可以被配置成用于将所读取的文件和相关数据映射到预定义模式的数据库28，从而使得这些文件和相关数据可由交互式案件管理系统16或与交互式案件管理系统16相兼容的任何其他报告和过滤应用或系统所使用。为此，平台连接模块32可以对所访问的数据(例如，电子邮件正文、word文件的内容、嵌入在另一个文件中的文件等)和相关元数据进行解析，以便插入到预定义模式的数据库28的一个或多个表中。在电子邮件文件的一个示例中，平台连接模块32可以对存储在该数据库模式的数据储存库20中的相应电子邮件地址字段进行解析。电子邮件地址字段可以被解析为单独的电子邮件地址、电子邮件域(例如，对于SMTP地址而言在“”符号之后的文本、x500地址的“O”部分之后的文本等)以及发送方-接收方对。在一个实施例中，平台通信模块32可以将这些单独的电子邮件地址插入到别名表中、将电子邮件域插入到域表中、并且将每个发送方-接收方对插入到电子邮件通信表中。在另一个实施例中，平台连接模块32可以将所解析的数据(例如，单独的电子邮件地址、电子邮件域等)和相关元数据(例如，文件名、散列值、大小等)插入到目录表中。交互式案件管理系统16的各个模块可以使用目录表来将预定文件和相关数据集映射到预定义表(如别名表、域表以及电子邮件通信表)中，以便进行分析操作、报告操作、过滤操作或任何其他操作。下面对别名表、域表、电子邮件通信表和目录表中的每一个都进行更加详细的讨论。

在另一个示例中，该数据库模式的数据储存库20可以包括具有字段“作者_姓名”和“电子邮件_主题”的表，并且预定义模式的数据库28可以具有带有字段“作者”和“主题”的表。平台连接模块32可以读取文件并将相关数据从“作者_姓名”字段映射到预定模式的数据库28的相应的“作者”字段。类似地，平台连接模块32可以将数据从“电子邮件_主题”字段映射到该预定义模式的数据库28的相应的“电子邮件”字段。

在一些实施例中，平台连接模块32可以从预定义模式的数据库28到数据储存库20的数据库将与映射文件和相关数据相关联信息反向映射。这种反向映射信息可以包括由交互式案件管理系统16所添加的数据。同样，这种反向映射信息可以被加标签，以便促进对加标签的数据的跟踪，该加标签的数据在预定义模式的数据库28中进行映射。反向映射信息的示例可以包括但不限于保管者ID、介质ID、数据源ID、工作包ID等。在步骤114，预定义的模式中的映射文件和相关数据可以存储在数据库28中。

在一些其他的实施例中，平台连接模块32可以被配置成用于使用在现有技术、相关技术中已知的或以后开发的各种类型的索引来对映射文件和相关数据进行标引。索引类型的示例可以包括但不限于集群的、非集群的、散列的、唯一的、空间的等。在一个实施例中，平台连接模块32可以被配置成用于创建全文索引，该全文索引包括与映射文件相对应的元数据。平台连接模块32可以使用全文索引来支持对在数据库28中所存储的各个数据记录进行全文搜索。

搜索能力和搜索报告

基于用户所输入的搜索词或元数据元素，案件管理系统16可以使用SQL查询来使用全文索引搜索有关数据记录和相应的文件。案件管理系统16可以采用在现有技术、相关技术中已知的或以后开发的各种工具、技术和句法(包括“dtSearch”搜索技术)来实现全文搜索。

用于搜索数据记录的每个搜索词都可以作为用于相应文件的元数据存储于数据库28中。如此，交互式案件管理系统16可以生成统计报告(包括搜索结果)。在图7所示的一个示例中，搜索报告120可以基于一个或多个预定种类来进行显示，这些预定种类包括(1)用于搜索在数据库28中的数据记录的一个或多个词、和/或(2)与所搜索的数据记录相对应的文件的保管者。在每种种类下，搜索报告120可以表示在命名为“总命中”的各列下，这些列可以是指找到搜索词的实例的总数；“Docs”可以是指包含搜索词的相异文档或文件的总数量；“大小”可以是指“Docs”的总大小(例如，单位为千兆字节)；“Docsw/族”可以是指在将文档族扩展至包括“Docs”的所有相关项(如附件等)之后的相异文档总数；并且“族大小”可以是指“Docsw/族”的总大小(例如，单位为千兆字节)。另外，在一个实施例中，搜索结果可以表示在命名为“唯一Docs”和“唯一大小”的列下。列“唯一Docs”可以是指：与搜索查询中的其他词相比，正变得由每个搜索词排他地命中的文档或文件的总数。举例而言，正如所示，搜索词“时间”可以产生在“35,181”份文档上的排他性搜索命中，在这些文档上未找到其他词命中。换言之，在列“唯一Docs”下的条目可以表示“搜索词影响”，指示如果去除特定搜索词则在此列下的相应的文档或文件数量将被从“总命中”中去除。列“唯一大小”可以是指“唯一Docs”的总大小(例如，单位为千兆字节)。

电子邮件映射模块

电子邮件映射模块34可以被配置成用于与平台连接模块32或数据库28进行通信以访问由平台连接模块32所生成的解析数据。在一个实施例中，电子邮件映射模块34可以被配置成用于对例如存储在数据库28中的解析数据进行归一化。

在图8A所示的第一示例中，三条电子邮件记录(即，“记录1”、“记录2”和“记录3”)的解析数据可以被映射到别名表中。这些记录中的每条记录可以包括多个电子邮件字段(例如，“来自”、“发往”、“CC”和“BCC”)，具有多个电子邮件地址作为数据。举例而言，正如所示，“记录1”在“来自”字段中可以包括电子邮件地址“anthony.j.thomasgabco.ne”；在“发往”字段中包括“luke.danielsgabco.ne”和“seth.andrewsgabco.ne”；在“CC”字段中包括“roses9009online.ne”；并且在“BCC”字段中包括“misaac8795online.ne”。

在这些记录当中，电子邮件地址(如“luke.danielsgabco.ne”)可以出现多于一次。电子邮件映射模块34可以被配置成用于通过创建包括来自记录的唯一数据集来对解析数据进行归一化。举例而言，别名表130可以包括用于在电子邮件记录中仅存储电子邮件地址的单个实例的多列，即，“别名_ID”和“电子邮件_地址”。唯一电子邮件地址的每个实例可以保存在列“电子邮件_地址”下，并且可以在列“别名_ID”下被给予相异标识(ID)。例如，正如所示，电子邮件地址“luke.danielsgabco.ne”在所有的电子邮件记录“记录1”、“记录2”和“记录3”中都出现了。然而，只有此电子邮件地址的单个实例可以被保存在别名表130中在“电子邮件_地址”列下并且在“别名_ID”列下被给予相异的ID号“2”。其他电子邮件地址的单个实例可以用类似的方式被存储在别名表130中。在另一个实施例中，电子邮件映射模块34可以在域表(未示出)中存储唯一的电子邮件域(如gabco.ne和online.ne)集，该域表可以类似于别名表130。

在图8B所展示的第二示例中，解析数据可以包括具有电子邮件地址集合的记录132。电子邮件映射模块34可以被配置成用于基于与这些电子邮件地址有关的各通信方来使电子邮件地址归一化。电子邮件映射模块34可以将多个电子邮件地址与一个通信方(如个人)相关联，并且可以在别名表134中将它们表示为单个“电子邮件方”。类似地，电子邮件映射模块34可以可移除地将记录136中的多个电子邮件地址与对应于同一个电子邮件域、组织、部门或实体(图8C)的一组个人相关联，并且可以在别名表138中将它们表示为单个“电子邮件方”。在一些实施例中，这种‘电子邮件方’可以是指被创建用来组织一个或多个电子邮件地址和/或将其指派给指定实体以便进行图形表示和报告的非保管者方。本领域技术人员可以想到其他用于对数据进行归一化的准则。

电子邮件映射模块34可以在数据库28中存储所创建的别名表(如别名表130、134、138)和域表。这种别名表130、134、138可以用于生成各种报告和图形表示的目的，下文在对AV模块42的说明中更加详细的进行讨论。

高级过滤模块

高级过滤模块36可以被配置成用于将与接收自一个或多个模块(如平台连接模块32)的文件相对应的数据解析为多个逻辑段并且对解析数据进行预定的分析。高级过滤模块36可以包括过滤模块40、AV模块42和决策模块44。

过滤模块

过滤模块36可以基于数据的各个选择的面元以及所选面元的值对可能在由平台连接模块32创建的目录表中注册的文件进行过滤。在一些实施例中，过滤准则36可以使用与这些文件相关联的元数据来对其中所选面元的值与过滤准则相匹配的那些文件进行标识。这些面元的示例可以包括但不限于保管者、日期、电子邮件域、文件类型、词或关键词、或电子文件的当前状态、或其任何组合。过滤模块36可以被进一步配置成用于将一个或多个所选面元作为准则应用于对数据进行过滤。过滤数据和关联文件可以如用户所选地被发送至AV模块42或决策模块44以便进行分析。

分析和可视化模块(AV模块)

AV模块42可以被配置成用于对过滤数据以及接收自过滤模块36的相应文件进行分析，并且以交互式格式来表示分析数据，该分析数据可以在现有技术、相关技术中已知的或以后开发的各种计算装置上进行查看，被导出至、映射至或下载至这些各种计算装置。AV模块42可以包括文件类型分析模块46(FTA模块46)、电子邮件通信分析模块48(ECA模块48)、域分析模块50、数据异常分析模块52以及去重模块54。

文件类型分析模块(FTA模块)

FTA模块46可以基于文件类型来将电子文件共同表示为交互式图(未示出)。图的示例可以包括但不限于饼图、条形图、线图、统计图表和宇宙图。在一个示例中，这种图可以为所有保管者或为一个或多个所选保管者展示电子文件的字体、文件大小或任何其他方面。在另一个示例中，FTA模块46可以被配置成用于基于父级别的文件类型组、电子邮件项和附件、所有文件类型组级别等来创建多个图集。替代性地或另外，文件类型和关联信息(例如，文件名、文件ID、保管者等)可以表示在网格中以便进行显示。在一些实施例中，关联信息(如文件名)可以是超链接的以便提供对存储在数据库28中的文件的访问。图的其他实施例可以包括被嵌入到相应文件类型的文件，这些文件可以表示在网格中以便进行显示。

电子邮件通信分析(ECA)模块

在一个实施例中，ECA模块48可以对所接收的过滤文件进行解析以便对它们中的电子邮件文件进行标识。对于每个标识的电子邮件文件，ECA模块48可以访问关联记录和相关别名表(包括域表和其他类似的表)，这些别名表可以由电子邮件映射模块34所创建并且存储在数据库28中。

在图9所示的说明示例中，过滤数据中的电子邮件文件可以是指存储在数据库28中的电子邮件记录(即，‘记录1’、‘记录2’和‘记录3’)和相应的别名表130(在图8A的说明中所讨论的)。ECA模块48可以被配置成用于使用这些电子邮件记录和别名表130来创建电子邮件通信表140。示例性表140可以包括多个列，即，“电子邮件_通信_ID”、“来自_别名_ID”、“发往_别名_ID”和“记录ID”。“电子邮件_通信_ID”可以是指所作的记录在电子邮件通信表140中的相异ID。“来自_别名_ID”可以是指发送方的电子邮件地址在别名表130中的“别名_ID”。“发往_别名_ID”可以是指接收方的电子邮件地址在别名表130中的“别名_ID”。“记录_ID”可以是指数据库28中的电子邮件记录，针对该电子邮件记录在电子邮件通信表140中作出相应记录。

电子邮件通信表140可以使用对电子邮件地址的指派“别名ID”将多条相异记录(每条对应于一个发送方-接收方对)存储在别名表130中。例如，电子邮件通信表140中的记录142可以使“电子邮件_通信_ID”为“2”(指的是表格140中的相异记录ID)、“来自_别名_ID”为“1”(指的是别名表130中电子邮件地址“anthony.j.thomasgabco.ne”)、“发往_别名_ID”为“3”(指的是别名表130中的电子邮件地址“seth.andrewsgabco.ne”)以及“记录ID”为“1”(指的是在数据库28中的电子邮件记录“记录1”)。类似地，可以在电子邮件通信表140中创建其他条目。

在一个实施例中，ECA模块48可以被配置成用于使用电子邮件通信表140来图形地显示个人或各种其他实体(如一组个人、组织等)之间的电子邮件通信。在图10A所示的说明示例中，电子邮件通信图150可以借助于节点和线来表示一个或多个电子邮件方之间的通信。每个节点(例如，节点152)都可以基于一个或多个预定特性(如个人(例如，由元数据所指示、电子邮件名称等)、工作组(例如，由元数据所指示、电子邮件名称中的公用关键词等)、或域、组织、部门或实体(例如，由元数据所指示、域名等))来表示是指电子邮件地址的逻辑分组的电子邮件方。电子邮件地址的每个逻辑分组可以包括至少一个电子邮件地址。

ECA模块48可以被配置成用于基于由用户选择的电子邮件方特性来提供电子邮件通信图的不同变化形式。这些特性的示例可以包括但不限于顶级通信方、定制通信器以及单个方。在一些实施例中，一系列‘顶级通信方’特性可能导致显示相对于其他具有最高通信量的保管者和/或电子邮件方；‘定制通信器’特性可能导致显示所选保管者和/或电子邮件方之间的通信信道及其他细节(例如，电子邮件计数)；并且‘单个方’特性可能导致显示仅一个保管者或电子邮件方的通信信道及其他细节。在一些其他的实施例中，ECA模块48可以基于由过滤模块36所选(或所应用)的面元来针对所接收的数据中的所有电子邮件地址显示电子邮件通信图。

电子邮件通信图150可以表示顶级通信方与其他电子邮件方的通信(如电子邮件、SMS消息等)。例如，节点152可以表示电子邮件方(如“鲍勃·巴克(BobBarker)”)，其可以是在电子邮件记录中具有最大出现次数的顶级通信方。节点(如节点152)可以是指仅具有一个电子邮件地址的逻辑分组。然而，节点(以及因此电子邮件方)可以被定制为针对特定案件或保管者包括来自存储于数据库28中的给定记录集合的多个电子邮件地址。节点152可以与不同节点(如节点154-1、154-2、154-3、154-4和154-5，共同地节点154)进行通信。每个节点154可以通过一条或多条线连接至节点152。例如，节点154-1可以通过两条线(如箭头156-1和156-2，共同地箭头156)来连接至节点152。每条线可以表示至少两个节点或电子邮件方之间的通信总数和通信方向。线(如线156)可以是指计数和/或到由它们所表示的电子邮件记录的链接。在一个实施例中，线156可以是弯曲的并且借助于箭头的指向来指示通信方向。

在另一个示例(如10B)中，电子邮件通信图160可以表示多个电子邮件方之间的定制通信，每个电子邮件方被表示为节点并且通过线来连接。在另一个实施例中，线可以是直的并且通过箭头的指向来指示通信方向。与每条线的尾部相邻的节点可以表示发送方，并且与每个箭头相邻的节点可以表示接收方。在进一步的实施例(图10C)中，通信方向可以通过线变窄来指示。与线的较宽侧相邻的节点可以表示源地址(发送方)，并且与线的较窄侧相邻的节点可以表示目的地址(或接收方)。在一些实施例中，电子邮件通信图可以包括具有动态粗细的线，这可以直接与正由这些线所表示的记录的计数、量或任何其他特性相关。

一些其他的实施例可以包括具有与关联于每条线的节点的地址(如电子邮件地址)之间的通信数量相对应的预定颜色密度的每条线。每个发送方-接收方对在每个方向上的通信(如电子邮件、SMS消息等)计数/量可以在线附近进行指示。例如，图150中的线156-1表明12,857封电子邮件从“鲍勃·巴克”(节点152)发送至“阿尔弗雷德·希区柯克(AlfredHitchcock)”(节点154-1)。类似地，电子邮件通信图中的各个节点和各条线可以表示信息的各种各样的信息，包括但不限于性质或统计，如带有附件传达的电子邮件、传达的电子邮件的总大小、以及在特定时期期间传达的电子邮件。对各个节点之间的通信的这种图形表示可以辅助对可以考虑用于电子发现调查的数据证人或仓库进行标识。

在一个实施例中，ECA模块48可以被配置成用于使用所生成的电子邮件通信图(如图150)来确定用于电子发现调查的未知证人或关键证人。在一个示例中，ECA模块48可以将在电子邮件通信图中表示为节点的电子邮件方与关联于案件的保管者进行比较。在进行比较时，ECA模块48可以被配置成用于在一个或多个电子邮件方与关联于案件的保管者不相同时将该一个或多个电子邮件方标识为未知证人。在另一个示例中，ECA模块48可以被配置成用于当电子邮件方(表示为节点)可以(1)与关联于该案件的保管者相同时并且(2)相对于其他电子邮件方的通信计数具有最大量通信(例如，发送的电子邮件和接收的电子邮件)时对ESI调查中的关键证人进行标识。

域分析模块

域分析模块52可以被配置成用于基于电子邮件域来对过滤文件进行归类和图形表示。例如，过滤文件可以用交互式表格格式在各个列标题(如域名、发送方计数、接收方计数等)下分域表示。每个所表示的域可以被超链接或引用至与该域相关联的文件组。在一个实施例中，通过使用关联元数据(如文件ID、保管者、文件名等)以网格或现有技术、相关技术中已知的或以后开发的各种其他表示来进行表示用于显示，这种文件组可以被提供给用户进行访问。在一些实施例中，这些文件可以嵌有在网格中表示的用于显示的关联元数据。

数据异常分析模块

数据异常分析模块50可以被配置成用于针对给定保管者或一组保管者表示在时间上的多个时间段内的数据量。这种时间线图可以使得用户能够在数据丢失的情况下对可能的时间点进行标识。通过数据异常分析模块50可以在时间上表示不同种类的数据。这些种类的示例可以包括但不限于电子邮件量、电子文档(Edocs)量、发送的电子邮件以及接收的电子邮件。

‘电子邮件量’可以是指针对给定保管者的所有电子邮件类型的记录的计数，其中，每个记录可以按日期进行归类。相应的电子邮件量报告可以或者可以不基于由电子邮件映射模块34执行的电子邮件映射。‘Edocs量’可以是指针对给定保管者的Edocs类型的记录的计数，其中，每个记录可以按日期进行归类。‘发送的电子邮件’可以是指针对保管者的基于已经映射到该保管者的电子邮件地址的电子邮件记录计数，其中，电子邮件地址可以按日期进行归类。数据异常分析模块50可以考虑每个电子邮件记录实例，其中，可以在电子邮件文件的“来自”字段中找到这些“映射”电子邮件地址之一以便确定发送的电子邮件的计数。‘接收的电子邮件’可以是指针对保管者的基于已经映射到或关于该保管者的电子邮件地址的电子邮件记录计数，其中，电子邮件地址可以按日期进行归类。可以由数据异常分析模块50考虑在至少一个电子邮件接收方字段(即，“发往”、“CC”和“BCC”)中找到这些“映射”地址之一的每个电子邮件记录，以便确定所接收的电子邮件的计数。

在一个实施例中，数据异常分析模块50可以使用电子邮件通信表(如表140)来在图中随时间推移绘制通过每个电子邮件方所传达的电子邮件的总数。在图11所示的说明示例中，时间线图180是在y轴上示出电子邮件总数并且在x轴上示出时间(以年为单位)的图。在一些实施例中，时间线图180可以包括指的是在现有技术、相关技术中已知的或以后开发的数字信息单位(包括千字节(KB)、百万字节(MB)以及千兆字节(GB))的y轴；以及指的是以月、日、小时或其他已知或以后开发的能够用来表示时间的单位为单位的x轴。在一些其他的实施例中，y轴可以表示电子文件的总数、发送的电子邮件、接收的电子邮件以及在现有技术、相关技术中已知的或以后开发的任何其他方面。

可以在时间线图上针对电子邮件通信表(如电子邮件通信表140)中的每个记录来绘制曲线。每个记录可以与至少一个日期(例如，电子邮件的发送日期和接收日期；非电子邮件文件的创建日期和修改日期等)相关联，该至少一个日期可以被指派年、月、日或任何其他时间单位。在一些实施例中，对于在时间线图上绘制曲线而言，电子邮件发送日期可以优先于电子邮件接收日期，并且文件修改日期可以优先于文件创建日期。所绘制的每条曲线可以是指单个保管者、分组在一起的保管者集、或任何其他实体(如电子邮件方或电子邮件方组)。

在一个示例中，曲线182上的点P可以针对电子邮件方“史蒂文·基恩(StevenKean)”将电子邮件的量表示为在1997年为“20,000”份。在另一个示例中，时间线图180可以包括针对一组保管者所描绘的曲线182以及沿着y轴被表示为该组保管者的平均值或累积总数的相关聚合数据。数据异常分析模块50可以被进一步配置成用于提供交互式时间线图。在一个示例中，交互式时间线图可以是可缩放的以便沿着x轴将时间线(例如在x轴上所展示的)交互地扩展或收缩为不同的时间段。其他示例可以包括能够允许对时间线图上的点或范围的交互式选择对正在表示的数据集进行细化或再选择用于显示。

数据异常分析模块50可以被配置成用于使用所生成的时间线图来针对电子发现调查评估数据中的基于时间的异常。为此，数据异常分析模块50可以对与一个或多个指定保管者相对应的过滤文件和相关数据相关联的各个方面(例如，文件类型、散列值、文件系统等)进行标识。可以确定与所标识的这些电子文件中的每个电子文件相关联的数据。数据异常分析模块50还可以确定在一段时间上(例如，十年的时间)的一系列预定义或动态定义的时间段(例如，一年的间隔)中与指定保管者相关联的电子文件的数量以便显示相应的时间线图。数据异常分析模块50可以被配置成用于将不同时间段之间的电子文件的数量进行比较以便对相比于在其他时间段中的电子文件的计数具有较多和/或较少数量电子文件的那些时间段进行标识，以便对数据中的基于时间的异常进行评估。例如，如在图11中所示出的，曲线184可以表示在从“1996”到“2002”的七年间的电子邮件文件的量。数据异常分析模块50可以在七年的时期上以一年的有规律时间段或间隔来确定电子邮件文件的量。数据异常分析模块50可以被配置成用于显示曲线184以及相关时间段‘1996至1997’和‘1997至1998’，其中，对于保管者“杰夫·斯基林(JeffSkilling)”，电子邮件文件的数量或量相对小于在其他时间段中的电子邮件文件的数量或量。数据异常分析模块50可以被进一步配置成用于基于预定阈值来确定文件和相关数据(或关键数据)的实际数量是否有丢失或者是否未针对ESI调查而被考虑。当一个或多个时间段内(如在‘1996至1997’和‘1997至1998’的时间段内)的数据可能小于由平台连接模块32从第三方数据储存库20检索到的总数据的10％时，数据异常分析模块50可以向用户生成关于关键数据在这些时间段内有丢失的指示(例如，弹出警告消息、蜂鸣、鼠标振动等)。在一些实施例中，阈值可以由用户基于在现有技术、相关技术中已知的或以后开发的各种各样的参数来实时定义。

另外或替代性地，数据异常分析模块50可以基于一个或多个预定义或动态定义的阈值来对删除的或丢失的电子文件和/或来自第三方数据储存库20和数据库28中的至少一个的电子文件进行标识，以便进行分析。在一些其他的实施例中，数据异常分析模块50可以针对一组保管者共同定义在一系列时间段中的每个时间段内的电子文件的数量。在进一步的实施例中，电子文件可以表示电子邮件文件或电子文档。其他实施例可以包括具有与发送给保管者的电子邮件相对应的电子邮件文件或者与发送自保管者的电子邮件相对应的那些电子邮件文件的电子文件。

去重模块

去重模块54可以被配置成用于以在现有技术、相关技术中已知的或以后开发的一种或多种预定模式来表示由过滤模块40过滤的文件和相关数据。每种模式都可以基于与文件相关联的元数据来提供重复和非重复的数据记录。

在一个示例中，去重模块54可以用全局去重模式来表示文件和相关数据。根据这种模式，去重模块54可以生成指示用于整个案件或可定制案件组的重复和非重复记录的数量的一个或多个报告。全局去重模式中所表示的数据可以指示可导出到电子发现审查应用的记录的设定数量。

在另一个示例中，去重模块54可以用保管者去重模式来表示文件和相关数据。根据这种模式，去重模块54可以生成指示用于每个保管者或可定制保管者组的重复和非重复记录的数量的一个或多个报告。保管者去重模式中所表示的数据可以指示每个重复记录的至少一个复本可以针对每个保管者或定制保管者组来导出或者导出至电子发现应用(如电子发现审查应用)。

决策模块

决策模块44可以被配置成用于应用另一个过滤面元(被称为文件范围)，该过滤面元可以指示接收自AV模块42或过滤模块40的文件和相关数据是否与调查有关。在一个实施例中，文件范围可以被表示为各种标签，这些标签可以是基于与文件相关联的元数据预设的、或者由用户基于对文件和相关数据的手动审查来从动态定义的标签中明确选择的。在一个示例中，这些标签可以被命名为“包括”、“不包括”或“未决定”，以指示文件的状态以便被促进达到电子发现调查的那些阶段之一(如审查阶段)。标签“包括”可以指示相应的文件准备就绪转发至审查应用(如第三方应用14)。标签“不包括”可以是指旨在不被促进转发至电子发现审查应用的文件和相关数据。以“不包括”标签标记的文件和相关数据可以被认为是对调查而言是无关的。标签“未决定”可以是指由高级过滤模块36所接收的文件和相关数据的默认状态。以“未决定”标签标记的文件和相关数据可以指示但不限于这些文件和相关数据是否尚未审查或者需要进一步的审查直至作出“包括”和“不包括”的决定。

在一些实施例中，除了其余标签之外，决策模块44还可以提供“提交”标签。一旦选择和/或应用“提交”标签，以任何其余标签进行标记的文件和相关数据的状态可能变得不可改变。例如，当被标记为“包括”的文件状态被改为“提交”，指的是文件状态的初始选择或标记的标签“包括”可以将它们限制为被促进到审查应用。类似地，“提交”标签的应用可能不可撤销地将被标记为“不包括”和“未决定”的文件的状态封印，然而，这可能基于一个或多个用户输入而经受离线分析或者转发至具有相同初始状态的电子发现审查应用。

图12展示了根据本披露的实施例的一种用于实现交互式案件管理系统的示例性方法。可以在计算机可执行的指令的一般背景中描述该示例性方法190。一般而言，计算机可执行指令可以包括执行特定功能或实现特定抽象数据类型的例程、程序、对象、组件、数据结构、过程、模块、功能等等。计算机可执行指令可以存储在计算机可读介质上，并且被安装或嵌入在适当装置中以便执行。

其中该方法190被描述的顺序并不旨在被解释为是限制性的，可以用任何顺序组合或以其他方式执行任何数目的所描述的方法方框以实现方法190或替代方法。另外，在不偏离本文所描述的本披露的精神和范围的情况下，可以从该方法190中删除各单独的框。而且，该方法190可用以存在于相关技术中或者以后开发的任何适当的硬件、软件、固件或其组合实现。

方法190描述了(但不限于)对示例性交互式案件管理系统16的实现。本领域技术人员将理解的是，可以用各种方式对方法190进行适当修改以便进行实现，而不脱离本披露的范围和精神。

在步骤192，案件管理系统16从数据源12中检索电子文件和相关数据。在一个实施例中，用户可以使用预定义的登录凭证(例如，用户名和密码)或任何其他访问技术(如上文所讨论的那些访问技术)登录交互式案件管理系统16。交互式案件管理系统16可以被配置成用于管理一个或多个案件、保管者和客户、以及相兼容或关联的文件共享和数据库。在一个示例中，可以在交互式案件管理系统16中创建案件以及相关联的一个或多个保管者。用户可以被指派访问权以执行各种各样的操作，包括但不限于：(1)案件和保管者管理；(2)针对所创建的案件从外部数据源(如数据源12)将数据指派和/或发布该交互式案件管理系统16；(3)配置所发布的数据用于分析、报告、显示以及导出到一个或多个兼容系统；(4)用户和用户角色(例如，案件角色、系统角色等)信息管理；以及(5)基于各种模式(如每个案件、每个保管者、每次用户访问、每个角色等)来进行计费管理。

一旦创建了案件，用户可以通过数据摄入模块30建立与数据源12和第三方电子发现应用14的通信链路。可以使用现有技术、相关技术中已知的或以后开发的各种有线或无线接口和访问技术来创建该链路。例如，数据摄入模块30可以经由一条或多条USB线缆和登录凭证与数据源12和第三方应用14通信地连接。数据源12可以存储松散的、未处理的、电子的、计算机可读文件(如系统文件、程序文件、文档文件、多媒体文件和电子邮件)的集合，这些计算机可读文件可以针对案件由数据摄入模块30访问。

在步骤194，基于预定过滤准则来挑选所访问的这些文件和相关数据中的至少一项。数据摄入模块30可以包括用于对所访问的文件和相关数据进行过滤的各种预定义的或动态定义的准则。这些准则的示例可以包括但不限于一个或多个文件路径、数据范围、文件类型和散列值。数据摄入模块30可以确定所访问的文件的文件信息(例如，文件名、文件路径、系统日期等)、散列值(例如，MD5散列值)、参考散列表(如参考散列表102)以及文件类型(例如，PDF、PST电子邮件数据库、MOV视频、MAV音频、TIFF图像等)以便实现过滤准则。用户可以选择一个或多个过滤准则以便挑选对电子发现请求或调查而言可能无关的至少一个文件和相关数据。可以针对所选择的过滤准则中的每个过滤准则将剩余文件和相关数据作为正过滤结果返回。

在步骤196，将剩余文件和相关数据存储在第三方数据储存库中。数据摄入模块30可以访问第三方应用14并且将作为正过滤结果获得的文件和相关数据存储在数据储存库20中。另一方面，数据摄入模块30可以用声明“已过滤”的标签来给所挑选的文件和相关数据加标签。所挑选的文件和相关数据无法被从数据源12移动或映射到预定位置(如数据储存库20)。在一个实施例中，数据摄入模块30可以将用于正过滤结果的过滤信息记录或者以其他方式在摄入表中。过滤信息可以包括但不限于针对所选择的过滤准则、实际文件和相关数据等输入的值列表。

在步骤198，存储于第三方数据储存库20的文件和相关数据集可以被映射到预定数据库模式。第三方数据储存库20可以用各种已知或专有格式和模式来存储文件和相关数据。在一个实施例中，交互式案件管理系统16在用户请求时可以将文件和相关数据集从数据储存库20映射到数据库28。

用户可以使用现有技术、相关技术中已知或以后开发的各种访问技术通过平台连接模块32登录第三方应用14。平台连接模块32可以确定文件系统类型以及包括数据库表的数据库信息，该数据库表在数据储存库20中具有记录的元数据以及文件共享位置。数据储存库20的数据库表可以用来确定文件和相关数据的位置。

在一个实施例中，第三方应用14可以授权平台连接模块32访问可能未损坏和/或可供用于由交互式案件管理系统16发布的那些文件和相关数据。所访问的文件和相关数据可以被映射到预定模式，从而使得这些文件和相关数据是可由交互式案件管理系统16使用的。

平台连接模块32可以对所访问的数据(例如，电子邮件正文、word文件的内容、嵌入在另一个文件中的文件等)和相关元数据进行解析，并且将解析数据映射到由数据库28所实现的预定模式中的各个表中。

例如，数据储存库20可以将数据存储在具有字段“作者_姓名”和“电子邮件_主题”的表中。然而，预定模式的表可以具有字段“作者”和“主题”。在一个实施例中，平台连接模块32可以被配置成用于读取文件并且将相关数据从“作者_姓名”和“电子邮件_主题”字段映射到预定义模式的数据库28的对应的“作者”和“主题”字段。

在一些实施例中，平台连接模块32可以从预定义模式的数据库28到数据储存库20将与映射文件和相关数据相关联的预定信息反向映射。这种反向映射的信息(例如，保管者ID、介质ID、数据源ID、工作包ID等)可以被贴标签以便帮助在数据储存库20中跟踪贴标签文件和数据，其被映射在预定模式的数据库28中。映射文件和相关数据可以存储在数据库28中，以便用于分析、报告、显示并且导出至一个或多个兼容系统或应用。

用于将映射数据存储在数据库28中的示例性步骤展示在图13中。在步骤212，接收用于被以预定数据库模式存储的数据。平台连接模块32可以针对以预定模式映射的数据创建元数据表(如元数据表230(图14))、以及提取文本表(如提取文本表232)。元数据表230可以存储与映射数据和提取文本表232相关联的元数据(例如，文件名、数据大小、散列值、电子邮件主题等)，并且提取文本表232可以存储来自与映射数据相对应的文件的提取文本(如电子邮件正文、word文件内容等)。

映射数据可以与预定散列算法的一个或多个散列值相关联。例如，映射数据可以与一个或多个MD5散列值相关联。平台连接模块32可以被配置成用于确定与映射数据相关联的至少一个散列值。在一些实施例中，这些散列值可以由平台连接模块32或数据摄入模块30针对映射文件来计算。在其他实施例中，与映射数据相对应的散列值可以根据在将原始数据和相应文件从数据源12摄取到数据储存库20时由数据摄入模块30所创建的摄入表来确定。

在步骤214，将该至少一个散列值与元数据表230中的散列值进行比较。在一个实施例中，平台连接模块32可以将与映射数据相关的至少一个MD5散列值与元数据表230中的散列值进行比较。在步骤216，平台连接模块32可以检查是否该至少一个散列值(如MD5散列值)存在于元数据表230中。

在步骤218，如果平台连接模块32确定该至少一个散列值已经存在于元数据表230中，平台连接模块32可以被配置成用于确定与存在于该元数据表230中的该至少一个散列值相对应的元数据(MD)标识号“MD_ID”。

在步骤220，如果平台连接模块32确定该至少一个散列值并不存在于元数据表230中，平台连接模块32可以被配置成用于针对与映射数据相关联的元数据插入新记录并且在元数据表230中为此新纪录指派新的MD_ID。

在步骤222，平台连接模块32可以被配置成用于将MD_ID从步骤218映射到步骤220，并且将相应的元数据从元数据表230映射到目录表234。在一些实施例中，平台连接模块32可以是指使用MD_ID在提取文本表232中所提取的文本，并且可以另外将所提取的文本复制到目录表234。在图14中，在目录表234中具有目录ID“1”和“3”的两条记录具有相同的元数据ID，即“1”，指示这两条记录均是指在元数据表230和提取文本表232中的相同元数据。因此，可以在数据库28中维护并存储元数据和提取文本的单个复本。元数据和提取文本的这种单实例存储通过节约存储空间提高了数据访问效率并且减少了在数据库表中的数据插入时间，尤其是平均针对每条记录保持大量数据的那些数据表。交互式案件管理表16的各个模块可以使用目录表234进行数据分析、报告、显示或导出至其他系统或应用。

在一些实施例中，通过将解析数据映射到预定模式的数据库28中的一个或多个表格来实现的对所访问的文件和相关数据的发布可以通过平台连接模块32来取消发布。当取消发布时，可以从数据库28和数据储存库20中的至少一项中移除映射文件和相关数据。在一些其他的实施例中，如果文件或相关数据中任一项已经与包括“包括”、“不包括”、“提交”等在内的状态决策中的至少一项相关联，则平台连接模块32可以由用户配置成用于取消发布映射的和/或存储的文件和相关数据。

在进一步的实施例中，平台连接模块32可以被配置成用于使用在现有技术、相关技术中已知的或以后开发的各种类型的索引来对映射文件和相关数据进行标引。在一个实施例中，平台连接模块32可以创建全文索引来支持对在数据库28中所存储的各个数据记录进行全文搜索。

处理器22可以从用户处接收用于在数据库表中进行搜索的一个或多个搜索词或元数据元素。搜索词可以用于使用在现有技术、相关技术中已知的或以后开发的各种工具、技术和句法(包括“dtSearch”搜索技术)搜索数据记录以便实现全文搜索。搜索词可以作为用于相应案件的元数据被存储在元数据表(如数据库28中的元数据表230)中。

基于搜索，处理器22可以生成包括各个预定字段和列的搜索报告。在一个实施例中，所生成的搜索报告可以包括提供针对每个搜索词的影响的度量的至少一个列。例如，搜索报告可以提供相比于搜索查询中的其他词被每个搜索词排他地命中的文件的总数量(以及相应的大小，如以千兆字节为单位)。

在步骤200(图12)，对映射的文件和相关数据进行分析。可以基于用户输入通过高级过滤模块36来对映射的文件和相关数据进行分析。在图15中讨论了一种由高级过滤模块36所实现的示例性方法。

正如所示，在步骤242，可以基于用户输入从多个预定义的过滤面元中选择至少一个预定义的过滤面元以及该面元的值或值范围。过滤模块40可以包括基于与映射文件相对应的元数据预定义的各种各样的过滤面元。这些面元的示例可以包括但不限于保管者、日期、电子邮件域、文件类型和关键词。在一些实施例中，过滤模块40可以允许用户实时地(即，动态地)定义这些过滤面元。在所定义的这些过滤面元中，用户可以选择至少一个过滤面元来对映射文件和相关数据进行过滤。

在步骤244，可以针对所选择的该至少一个过滤面元来创建SQL查询。过滤模块40可以用任何计算机语言应用各种工具、技术和协议来与数据库28通信。在一个实施例中，过滤模块40可以将用户所作出的过滤面元选择转换为SQL查询，以便与数据库28进行通信。

在步骤246，可以基于所创建的SQL查询来检索至少一个文件和相关数据。过滤模块40可以应用所创建的SQL查询，以便在数据库28的各个表中搜索相应的数据记录。在一个实施例中，可以将完整的记录族包括在SQL查询的范围内，以便在数据库28中搜索有关数据记录。记录族可以是指在附件层级结构中彼此相关联的多个文件。例如，SQL查询可以对应于‘文件类型’过滤面元，如电子邮件项。查询可以返回包括至少一个电子邮件文件的过滤结果，该至少一个邮件文件可能与另一个文件(如电子邮件的附件的word文件或GIF文件)相关联。该至少一个电子邮件文件及其附件可以由过滤模块40所检索。

在步骤248，创建包括所检索的该至少一个文件和相关数据的临时表。在一个实施例中，过滤模块40可以创建临时表，用于存储过滤结果。过滤结果可以包括所检索的文件和相关数据以及相对应的选择的过滤面元。临时表可以由过滤模块40存储在数据库28中。

在步骤250，可以基于至少一个预定参数使用该临时表生成一个或多个统计报告。在一个实施例中，高级过滤模块36中的各个模块(如ECA模块48)可以使用临时表来生成统计报告。这些报告可以是基于与临时表中的检索的文件相关联的元数据基于各个预定参数生成的。这些参数的示例可以包括但不限于文档类型(例如，指示电子邮件文件vs.其他电子文件的计数)、基于过滤面元的直接搜索命中、基于过滤面元的间接搜索等。直接搜索命中可以是指满足由所选择的过滤面元所指定的确切搜索准则的文档。间接搜索命中可以是指与满足由所选择的过滤面元所指定的确切搜索准则的文档相关联的附加族文档(例如，电子邮件附件等)。

在步骤252，将所生成的该一个或多个统计报告图形地显示给用户。与高级过滤模块36相关联的各个模块可以在显示装置上图形地显示所生成的统计报告。图16的示例示出了交互式案件管理系统16的示例性界面屏幕260。界面屏幕260可以包括过滤面元部分262、过滤汇总部分264、查看部分266、结果部分268以及内容部分270，这些部分中的每个部分都是可实现的、可折叠的或者能够在彼此之上进行拖拽。

过滤面元部分262可以显示各个预定义的或动态定义的过滤面元以供由用户选择。过滤汇总部分264可以显示当前统计，以便对过滤的文件和相关数据进行投票决策。查看部分266可以示出关于在应用所选择的过滤面元时作为过滤结果获得的文件和相关数据的统计和可视化。结果部分268可以显示在应用所选择的过滤面元时作为过滤结果获得的文件的元数据。内容部分270可以显示来自与在结果部分中所选的元数据相对应的文件的提取文本。在一些实施例中，内容部分270还可以提供下载数据库28中所存储的原始文件的选项。

在第一实施例(图16)中，过滤模块40可以在查看部分266中图形地显示统计报告。在一个示例中，过滤模块40可以基于文档类型在表272中显示统计报告。正如所示，针对借助于过滤面元部分262中的过滤面元所选择的文件类型中的每种文件类型，表272可以包括列“计数”和“大小(GB)”。“计数”可以是指特定文件类型的文件总数，并且“大小(GB)”可以是指这种文件类型的文件的总数的大小。在另一个示例中，过滤模块40可以基于直接和间接搜索命中来在表274中图形地显示统计报告。正如所示，针对表示为“直接”的直接搜索命中以及表示为“间接”的间接搜索命中中的每一项，表274可以包括列“计数”和“大小(GB)”。在一些实施例中，图形显示的统计报告可以与一个或多个预定义的或动态定义的小程序相关联。

结果部分268可以显示直接搜索命中的元数据。该元数据可以包括多个文件和相关数据，包括：在列“ID”下表示的文件ID、在列“文件名”下表示的关联保管者、在列“文件类型”下表示的文件类型、以及在列“决策”下表示的当前决策状态，该当前决策状态指示相应的文件和相关数据是否对电子发现调查而言是有关的并且是否可以提交到电子发现应用(如第三方应用14或任何其他电子发现应用)。每个这种列标题(例如，“ID”、“文件名”、“文件类型”、“决策”等)可以被配置成用于按照数字或字母顺序对对应的基础数据进行排序。例如，可以点击列标题“ID”以便按照升序或降序来对基本ID进行排序。另外或替代性地，可以临时添加或移除一个或多个列。在一些实施例中，结果部分268可以被配置成用于接收一个或多个输入(如文本)，以便对在一个或多个列中所显示的元数据进行过滤。

在对结果部分268中的元数据记录进行选择时，可以将相应的数据或提取文本显示在内容部分270。例如，当选择元数据记录276时，来自相应文件的提取文本或内容可以显示在内容部分270中。

过滤汇总部分264可以显示在结果部分268中所显示的文件和相关数据的当前统计。例如，过滤汇总部分264可以将文件和相关数据的计数显示为饼图278，并且文件和相关数据的相应总大小可以被显示为饼图280。可以对饼图278、280进行颜色编码，以便基于文件的状态决策(如“包括”、“不包括”或“未决定”)来表示文件的相应计数和大小。在一种情形下，具有状态决策为“包括”的文件可以通过绿色来表示，具有状态决策为“不包括”的文件可以通过红色来表示，而具有状态决策为“未决定”的文件可以通过灰色来表示。

在第二实施例(图17)中，ECA模块48可以在界面屏幕260的查看部分266中图形地显示两个或更多个通信方之间的通信(例如，电子邮件通信、SMS消息等)。在一个示例中，ECA模块48可以显示电子邮件通信图282，该电子邮件通信图将每个电子邮件方表示为节点；并且使用代表每对节点之间的电子邮件通信的线来连接两个或更多个节点。每条线可以是指在相应的节点之间传达的一个或多个文件和相关数据。在被选中时，可以将与线相对应的这些文件和相关元数据显示在结果部分268中。例如，用户可以点击线284，以将相应的文件和相关元数据显示在结果部分268中。在一些实施例中，电子邮件通信图可以与一个或多个预定义的或动态定义的小程序相关联。

类似于第一实施例，可以选择结果部分268中的元数据记录，以便在内容部分270中显示相应的数据或提取文本。例如，可以选择元数据记录276，以在内容部分270中显示相应的提取文本或内容。进一步地，过滤汇总部分264可以将与所选择的线284相对应的文件和相关数据的计数显示为颜色编码的饼图278，并且文件和相关数据的相应总大小可以被显示为颜色编码的饼图280。其他实施例可以包括时间线图(如时间线图180)的显示，用于基于一个或多个预定义或动态定义的阈值通过确定所删除或丢失的文件和相关数据来评估数据中的基于时间的异常。

进一步到由交互式案件管理系统16所实现的方法190，在步骤202(图12)，可以将状态决策应用于所分析的文件和相关数据。所分析的文件可能经受被配置成用于应用状态决策的决策模块，该状态决策指示文件是否对电子发现调查而言是有关的。在一个实施例中，决策模块44可以允许用户选择这些标签(即，“包括”、“不包括”、“未决定”和“提交”)中的至少一个标签以指示文件状态决策。

“包括”标签可以指示相应的文件对于电子发现调查而言是有关的，并且可以被转发至电子发现审查应用。标签“不包括”可以是指文件和相关数据对电子发现调查而言是无关的，并且不可以被转发至电子发现审查应用。标签“未决定”可以是指由决策模块44所接收的文件和相关数据的默认状态。“未决定”标签可以指示(但不限于)相应的文件和相关数据或者尚未审查或者需要进一步的审查直至作出“包括”和“不包括”的决定。

“提交”标签可以指示相应的文件和相关数据的状态已经被最终确定。在一个示例中，如果用户将标签改为“提交”，那么以“包括”标签标记的文件的状态可以被认为是最终的。所以，在用户选择“提交”标签之后，文件的状态无法再改变。

在步骤204，基于所应用的状态决策，将至少一个分析的文件和相关数据提交到电子发现应用。高级过滤模块36可以被配置成用于基于用户所选择的文件状态决策来向电子发现应用(如第三方应用14或任何其他应用)提交或阻止分析的文件和相关数据。例如，如果用户选择分析的文件的状态为“包括”并且然后“提交”，那么，分析的文件可以被认为是对电子发现调查而言是有关的，并且因此，可以被转发或提交至电子发现应用(如电子发现审查应用)。在一些实施例中，分析的文件在被施加以“提交”标签之后可以经受由去重模块54进行的去重，以便进一步减小有待促进至电子发现审查应用的数据量。通过仅针对贴标签为“包括”的所有文件和相关数据运行过滤，可以由去重模块54将与分析的文件相对应的相关数据量显示为高级快照。

假如，文件的状态被选择为“不包括”、“未决定”或未被选择为“提交”，可以通过高级过滤模块36用交互式案件管理系统16将相应的文件阻拦在数据库28中。替代性地，可以通过决策模块44用任何状态变化来更新数据储存库20中的电子文件的状态。

示例性实施例旨在覆盖出于所披露的目标能够执行各种迄今为止所披露的确定、计算等的所有软件或计算机程序。例如，示例性实施例旨在覆盖能够使得处理器实现所披露的过程的所有软件或计算机程序。换言之，示例性实施例旨在覆盖配置计算装置来实现所披露的过程的所有系统和过程。示例性实施例还旨在覆盖记录或存储这种软件或计算机程序的任何和全部当前已知的、相关技术的或以后开发的非瞬态记录和存储介质(如CD-ROM、DVD-ROM、硬盘、RAM、ROM、软盘、盒式磁带等)。示例性实施例进一步旨在覆盖通过任何其他当前已知的、相关技术的、或以后开发的介质(如瞬态介质、载波等)所提供的可用于实现上文所披露的示例性操作的这种软件、计算机程序、系统和/或过程。

根据示例性实施例，所披露的计算机程序可以用许多种示例性方式来执行，如驻留在装置的存储器中的应用或者正在服务器上执行并且与经由多种标准协议(如TCP/IP、HTTP、XML、SOAP、REST、JSON及其他够资格的协议)与装置应用或浏览器进行通信的托管应用。所披露的计算机程序可以用从计算装置上的存储器或托管服务器处执行的示例性编程语言来编写，如BASIC、COBOL、C、C++、Java、Pascal或脚本语言(如JavaScript、Python、Ruby、PHP、Perl或其他够资格的编程语言)。

以上说明并不提供对各个部件的至少和涉及的特定细节。本领域技术人员熟知这种细节，并且除非阐述对这些技术的偏离，否则应当采用技术、已知的、相关技术的或以后开发的设计和材料。本领域技术人员能够选择适合的制造和设计细节。

本文所使用的术语只是为了描述特定实施例的目的，而不是要对本公开做出限制。应认识到可以将以上所披露的及其他的特征和功能的中的若干、或其替代方案组合成其他的系统或应用。本领域的技术人员可随后在不脱离本披露的范围的情况下于其中进行各种目前未预见或未预料的替代、修改、变型或改进，如由以下权利要求书所涵盖的。

Claims (46)

1.一种在计算机系统中对由电子计算机可读文件表示的数据中的基于时间的异常进行评估的方法，该计算机系统包括至少一个处理器以及联接至该至少一个处理器的至少一个电子存储装置，该方法包括：

该至少一个处理器对从一个或多个指定的电子文件保管者获得的存储在该至少一个电子存储装置中的所有电子文件进行标识；

该至少一个处理器确定与所标识的这些电子文件中的每个电子文件相关联的日期；

该至少一个处理器确定在一段时间上的一系列时间段中的每个时间段内与这些指定的保管者相关联的电子文件数量；

该至少一个处理器致使联接至该至少一个处理器的至少一个显示器显示在该一系列时间段中的每个时间段内的该电子文件数量；并且

该至少一个处理器致使该至少一个显示器展示相比于其他时间段具有大和/或小数量的那些时间段。

2.如权利要求1所述的方法，进一步包括对所删除的电子文件和/或在收集这些电子文件时丢失的电子文件进行标识。

3.如权利要求1所述的方法，其中，该至少一个处理器针对一组保管者共同定义在该系列时间段中的每个时间段内的该电子文件数量。

4.如权利要求1所述的方法，其中，这些电子文件表示电子邮件文件。

5.如权利要求1所述的方法，其中，这些电子文件表示电子文档。

6.如权利要求1所述的方法，其中，这些电子文件包括与发送至这些保管者的多封电子邮件相对应或者与发送自这些保管者的多封电子邮件相对应的多个电子邮件文件。

7.如权利要求1所述的方法，其中：

该至少一个处理器接收未处理的电子计算机可读文件的集合并且将这些电子文件存储在该至少一个存储装置中；

该至少一个处理器从该至少一个存储装置中检索每个电子文件并且从该文件确定文件系统信息，该至少一个处理器将该文件系统信息结合该文件存储该至少一个存储装置中；

该至少一个处理器确定每个电子文件的散列值；

该至少一个处理器接收搜索准则，该搜索准则包括以下各项中的一项或多项：文件系统日期范围、文件类型、文件路径、或者是否可以在已知与调查无关的多个电子文件的散列值列表中找到该散列值；

该至少一个处理器将每个电子文件和/或该相关联的文件系统信息与所接收到的该搜索准则进行比较以便将满足该搜索准则的这些文件确定为正结果；

在该散列值被选择为该搜索准则之一时，该至少一个处理器将该散列值是否不在该散列值列表上确定为正结果；并且

该至少一个处理器将具有正结果的这些电子文件提供至在该计算机系统上所提供的电子发现应用，并且以与不产生正结果的那些电子文件有关的标识信息来填充电子文件。

8.如权利要求7所述的方法，其中：

至少一个处理器在该至少一个存储装置中在表中存储具有与该散列值列表中的其他散列值一样的多个预定位的所有散列值，其中，预定位的数量在一与小于这些散列值中的所有位之间；

该至少一个处理器接收每个电子文件的该散列值；

至少一个处理器对包括具有与所接收的该散列值一样的这些预定位的这些散列值的该表进行标识；

至少一个处理器在该至少一个电子存储装置中所存储的该标识的表中搜索所接收的该散列值；

当所接收的该散列值不在该标识的表中时，该至少一个处理器确定正结果；并且

当该至少一个处理器确定所接收的该散列值在该标识的表中时，该至少一个处理器不指示正结果。

9.如权利要求1所述的方法，其中：

该至少一个处理器从正由该计算机系统执行的第三方电子发现处理应用接收与这些电子文件相关的这些计算机可读电子文件和数据；

该至少一个处理器将这些电子文件和相关数据映射到可由正在该计算机系统上执行的报告和过滤应用使用的电子文件和相关数据中；

该至少一个处理器将这些可使用的电子文件存储在该至少一个电子存储装置中；并且

该至少一个处理器对该至少一个电子存储装置中可供该报告和提交应用使用的这些可使用的电子文件进行访问。

10.如权利要求1所述的方法，其中：

该至少一个处理器将通信的多个计算机可读电子文件存储在该至少一个电子存储装置中；

该至少一个处理器将与多个通信器相关联的多个通信地址映射到单个通信方；并且

该至少一个处理器在该至少一个显示器上报告或图形地显示这些通信，其中，涉及该多个通信地址的所有通信被看作涉及该单个通信方。

11.如权利要求1所述的方法，其中：

该至少一个处理器将与来自一组保管者的关联于调查的通信相对应的这些计算机可读电子文件和关联的数据存储在该至少一个存储装置中；

该至少一个处理器对在这些通信的这些电子文件和关联数据中所包括的源地址数据和目的地址数据进行标识；

该至少一个处理器使用这些电子文件和相关数据来确定在该源地址与该目的地址之间的这些通信的数量和方向；

该至少一个处理器通过针对该源地址和该目的地址中的每一项建立节点并且在这些节点之间延伸线以表示与这些节点相关联的地址之间的通信的数量和方向来图形地表示通信；并且

该至少一个处理器在该图形表示上指示未包括在该组保管者中的保管者，应当在该调查中考虑来自该组保管者的电子文件和关联数据。

12.如权利要求1所述的方法，其中：

该至少一个处理器接收用作选择电子文件的基础的至少一个面元以及与每个面元相关联的至少一个值，该至少一个面元包括这些电子文件的保管者、与这些电子文件相关联的日期、与由这些电子文件所表示的电子邮件相关联的电子邮件域、这些电子文件的文件类型、这些电子文件内所包括的项、或者这些电子文件的当前状态或其任何组合；

该至少一个处理器针对存储在该至少一个电子存储装置中满足与由该至少一个处理器所接收的该至少一个面元相关联的该至少一个值的计算机可读电子文件进行过滤；

该至少一个处理器在该至少一个显示器上显示与在这些过滤器中所标识的这些电子文件相关联的元数据；

该至少一个处理器致使基于该元数据所选择的电子文件的内容显示在该至少一个显示器上；并且

该至少一个处理器记录来自用户的关于电子文件是否响应于调查的指示。

13.如权利要求1所述的方法，其中：

该至少一个处理器接收有待搜索的多个搜索词和/或电子文件元数据元素；

该至少一个处理器针对每个搜索词和/或元数据元素在这些电子文件中进行搜索；

该至少一个处理器确定包括每个搜索词和/或元数据元素的电子文件的数量以及包括每个搜索词和/或元数据元素并且不包括这些搜索词或元数据元素中的其他搜索词或元数据元素的电子文件的数量；并且

该至少一个处理器致使这些数量显示在该至少一个显示器上。

14.如权利要求1所述的方法，进一步包括针对有待添加至存储在该至少一个存储装置中的计算机可读电子文件集合的每个新电子文件：

该至少一个处理器确定该新电子记录的散列值；

该至少一个处理器确定该新电子文件的该散列值是否与该集合中已经存在的电子文件的散列值相匹配；

当该新电子文件的该散列值并不与该集合中已经存在的任何电子文件的散列值相匹配时，该至少一个处理器将该新电子文件及其散列值添加至存储在该至少一个存储装置中的该集合；并且

当该新电子文件的该散列值与该集合中已经存在的电子文件的散列值相匹配时，该至少一个处理器用该匹配散列值将该新电子文件的标识链接至该集合中已经存在的该电子文件，而不需要将该新电子文件存储在该集合中。

15.一种用于对由电子计算机可读文件所表示的数据中的基于时间的异常进行评估的计算机系统，该计算机系统包括：

至少一个处理器：

联接至该至少一个处理器的至少一个电子存储装置：

联接至该至少一个处理器的至少一个显示器，其中：

该至少一个处理器对从一个或多个指定的电子文件保管者获得的存储在该至少一个存储装置中的所有电子文件进行标识；

该至少一个处理器确定与所标识的这些电子文件中的每个电子文件相关联的日期；

该至少一个过程确定在一段时间上的一系列时间段中的每个时间段内与这些指定的保管者相关联的电子文件数量；

该至少一个处理器致使该至少一个显示器显示在该一系列时间段中的每个时间段内的该电子文件数量；并且

该至少一个处理器致使该至少一个显示器展示相比于其他时间段具有大和/或小数量的那些时间段。

16.如权利要求15所述的系统，其中，该至少一个显示器展示所删除的电子文件和/或在收集这些电子文件时丢失的电子文件。

17.如权利要求15所述的系统，其中，该至少一个处理器针对一组保管者共同确定在该系列段中的每个段内的该电子文件数量。

18.如权利要求15所述的系统，其中，这些电子文件包括电子邮件文件。

19.如权利要求15所述的系统，其中，这些电子文件包括电子文档。

20.如权利要求15所述的系统，其中，这些电子文件包括与发送至这些保管者的多封电子邮件或者发送自这些保管者的多封电子邮件相对应的多个电子邮件文件。

21.如权利要求15所述的系统，其中：

该至少一个处理器接收未处理的电子计算机可读文件的集合并且将这些电子文件存储在该至少一个存储装置中，

该至少一个处理器从该至少一个存储装置中检索每个电子文件并且从该文件确定文件系统信息，该至少一个处理器将该文件系统信息结合该文件存储在该至少一个存储装置中，

该至少一个处理器确定每个电子文件的散列值，

该至少一个处理器接收搜索准则，该搜索准则包括以下各项中的一项或多项：文件系统日期范围、文件类型、文件路径、或者是否可以在已知与调查无关的多个电子文件的散列值列表中找到该散列值，

该至少一个处理器将每个电子文件和/或该相关联的文件系统信息与所接收到的该搜索准则进行比较以便将满足该搜索准则的这些文件确定为正结果，

在该散列值被选择为该搜索准则之一时，至少一个处理器将该散列值是否不在该散列值列表上确定为正结果，并且

至少一个处理器将具有正结果的这些电子文件提供至在该计算机系统上所提供的电子发现应用，并且以与不产生正结果的那些电子文件有关的标识信息来填充电子文件。

22.如权利要求21所述的系统，其中：

至少一个处理器接收已知与该调查无关的多个电子文件的该值列表；

该至少一个处理器在至少一个电子存储装置中在表中存储具有与该散列值列表中的其他散列值一样的多个预定位的所有散列值，其中，预定位的数量在一与小于这些散列值中的所有位之间；

该至少一个处理器接收电子文件的散列值；

该至少一个处理器对包括具有与所接收的这些散列值一样的这些预定位的这些散列值的该表进行标识；

该至少一个处理器在该至少一个电子存储装置中所存储的该标识的表中搜索所接收的该散列值；

当所接收的该散列值不在该标识的表中时，该至少一个处理器确定正结果；并且

当该至少一个处理器确定所接收的该散列值在该标识的表中时，该至少一个处理器不指示正结果。

23.如权利要求15所述的系统，其中：

该至少一个处理器从正由该计算机系统执行的第三方电子发现处理应用接收与这些电子文件相关的这些计算机可读电子文件和数据；

该至少一个处理器将这些电子文件和相关数据映射到可由正在该计算机系统上执行的报告和过滤应用使用的电子文件和相关数据中；

该至少一个处理器将多个可使用的电子文件存储在该至少一个电子存储装置中；并且

该至少一个处理器对该至少一个电子存储装置中由该报告和提交应用使用的这些可使用的电子文件进行访问。

24.如权利要求15所述的系统，其中：

该至少一个处理器将通信的多个计算机可读电子文件存储在该至少一个电子存储装置中；

该至少一个处理器将与多个通信器相关联的多个通信地址映射到单个通信方；并且

该至少一个处理器在该至少一个显示器上报告或图形地显示这些通信，其中，涉及该多个通信地址的所有通信被看作涉及该单个通信方。

25.如权利要求15所述的系统，其中：

该至少一个处理器将与来自一组保管者的关联于调查的通信相对应的计算机可读电子文件和关联的数据存储在该至少一个存储装置中；

该至少一个处理器对在这些通信的这些电子文件和关联数据中所包括的源地址数据和目的地址数据进行标识；

该至少一个处理器使用这些电子文件和相关数据来确定在该源地址与该目的地址之间的这些通信的数量和方向；

该至少一个处理器通过针对该源地址和该目的地址中的每一项建立节点并且在这些节点之间延伸线以表示与这些节点相关联的这些地址之间的通信的数量和方向来在该显示器上图形地表示通信；并且

该至少一个显示器显示该图形表示以对未包括在该组保管者中的保管者进行标识，来自该组保管者的电子文件和关联数据。

26.如权利要求15所述的系统，其中：

该至少一个处理器接收用作选择的基础的至少一个面元以及与每个面元相关联的至少一个值，该至少一个面元包括这些电子文件的域、与这些电子文件相关联的日期、与由这些电子文件所表示的电子邮件相关联的电子邮件域、这些电子文件的文件类型、这些电子文件内所包括的项、或者这些电子文件的当前状态或其任何组合：

该至少一个处理器针对存储在该至少一个存储装置中满足与由该至少一个处理器所接收的该至少一个面元相关联的该至少一个值的计算机可读电子文件进行过滤；

该至少一个处理器在该至少一个显示器上显示与在所述过滤中所标识的这些电子文件相关联的元数据；

该至少一个处理器致使基于该元数据所选择的电子文件的内容显示在该至少一个显示器上；并且

该至少一个处理器记录来自用户的关于电子文件是否响应于调查的指示。

27.如权利要求15所述的系统，其中：

该至少一个处理器接收有待搜索的多个搜索词和/或电子文件元数据元素；

该至少一个处理器针对每个搜索词和/或元数据元素在存储于该至少一个存储装置中的这些电子文件中进行搜索；

该至少一个处理器确定包括每个搜索词和/或元数据元素的电子文件的数量以及包括每个搜索词和/或元数据元素并且不包括这些搜索词或元数据元素中的其他搜索词或元数据元素的电子文件的数量；并且

该至少一个处理器致使这些数量显示在该至少一个显示器上。

28.如权利要求15所述的系统，其中：

该至少一个处理器确定有待添加至该集合的每个新电子记录的散列值；

该至少一个处理器确定该新电子文件的该散列值是否与该集合中已经存在的电子文件的散列值相匹配；

当该新电子文件的该散列值并不与该集合中已经存在的任何电子文件的散列值相匹配时，该至少一个处理器将该新电子文件及其散列值添加至存储在该至少一个电子存储装置中的该集合；并且

当该新电子文件的该散列值与该集合中已经存在的电子文件的散列值相匹配时，该至少一个处理器用该匹配散列值将该新电子文件的标识链接至该集合中已经存在的该电子文件，而不需要将该新电子文件存储在该集合中。

29.一种在计算机系统中对调查中的计算机可读电子文件进行处理的方法，该计算机系统包括至少一个处理器、联接至该至少一个处理器的至少一个电子存储装置以及联接至该至少一个处理器的至少一个显示器，该方法包括：

该至少一个处理器对这些电子文件以及来自数据源的与这些电子文件相关的数据进行访问；

该至少一个处理器基于预定过滤准则挑选所访问的这些文件和相关数据中的至少一项：

该至少一个处理器将剩余文件和相关数据存储在第三方数据储存库中：

该至少一个处理器将存储在该第三方数据储存库中的电子文件和相关数据的集映射到预定数据库模式中；

该至少一个处理器分析所映射的这些文件和相关数据；

该至少一个处理器对所分析的这些文件和相关数据应用状态决策；并且

该至少一个处理器基于所应用的该状态决策向第三方电子发现处理应用提交至少一个分析的电子文件和相关数据。

30.如权利要求29所述的方法，其中，所述挑选进一步包括：

该至少一个处理器确定每个电子文件的散列值；

该至少一个处理器接收搜索准则，该搜索准则包括以下各项中的一项或多项：文件系统日期范围、文件类型、文件路径、或者是否可以在已知与该调查无关的多个电子文件的散列值列表中找到该散列值；

该至少一个处理器将每个电子文件和/或相关联的文件系统信息与所接收到的该搜索准则进行比较以便将满足该搜索准则的这些文件确定为正结果；

在该散列值被选择为该搜索准则之一时，该至少一个处理器将该散列值是否不在该散列值列表上确定为正结果；并且

该至少一个处理器将具有正结果的这些电子文件提供至在该计算机系统上所提供的电子发现应用，并且以与不产生正结果的那些电子文件有关的标识信息来填充电子文件。

31.如权利要求30所述的方法，其中，所述挑选进一步包括：

该至少一个处理器接收已知无关的多个电子文件的该散列值列表；

至少一个处理器在该至少一个存储装置中在表中存储具有与该散列值列表中的其他散列值一样的多个预定位的所有散列值，其中，预定位的数量在一与小于这些散列值中的所有位之间；

该至少一个处理器接收每个电子文件的该散列值；

至少一个处理器对包括具有与所接收的该散列值一样的这些预定位的这些散列值的该表进行标识；

至少一个处理器在该至少一个电子存储装置中所存储的该标识的表中搜索所接收的该散列值；

当所接收的该散列值不在该标识的表中时，该至少一个处理器确定正结果；并且当该至少一个处理器确定所接收的该散列值在该标识的表中时，该至少一个处理器不指示正结果。

32.如权利要求29所述的方法，进一步包括：

该至少一个处理器将这些通信的计算机可读电子文件存储在该至少一个电子存储装置中；

该至少一个处理器将与多个通信器相关联的多个通信地址映射到单个通信方；并且

该至少一个处理器在该至少一个显示器上报告或图形地显示这些通信，其中，涉及该多个通信地址的所有通信被看作涉及该单个通信方。

33.如权利要求29所述的方法，其中，所述分析进一步包括：

该至少一个处理器将与来自一组保管者的关联于该调查的通信相对应的计算机可读电子文件和关联的数据存储在该至少一个存储装置中；

该至少一个处理器对在这些通信的这些电子文件和关联数据中所包括的源地址数据和目的地址数据进行标识；

该至少一个处理器使用这些电子文件和相关数据来确定在该源地址与该目的地址之间的这些通信的数量和方向；

该至少一个处理器通过针对该源地址和该目的地址中的每一项建立节点并且在这些节点之间延伸线以表示与这些节点相关联的地址之间的通信的数量和方向来图形地表示通信；并且

该至少一个处理器在该图形表示上指示未包括在该组保管者中的保管者，应当在该调查中考虑来自该组保管者的电子文件和关联数据。

34.如权利要求29所述的方法，其中，所述分析进一步包括：

该至少一个处理器接收用作选择的基础的至少一个面元以及与每个面元相关联的至少一个值，该至少一个面元包括这些电子文件的保管者、与这些电子文件相关联的日期、与由这些电子文件所表示的电子邮件相关联的电子邮件域、这些电子文件的文件类型、这些电子文件内所包括的项、或者这些电子文件的当前状态或其任何组合；

该至少一个处理器针对存储在该至少一个电子存储装置中满足与由该至少一个处理器所接收的该至少一个面元相关联的该至少一个值的计算机可读电子文件进行过滤；

该至少一个处理器在该至少一个显示器上显示与在所述过滤中所标识的这些电子文件相关联的元数据；

该至少一个处理器致使基于该元数据所选择的电子文件的内容显示在该至少一个显示器上；并且

该至少一个处理器记录来自用户的关于电子文件是否响应于调查的指示。

35.如权利要求29所述的方法，其中，所述分析进一步包括：

该至少一个处理器对从一个或多个指定的电子文件保管者获得的存储在该至少一个电子存储装置中的所有电子文件进行标识；

该至少一个处理器确定与所标识的这些电子文件中的每个电子文件相关联的数据；

该至少一个处理器确定在一段时间上的一系列时间段中的每个时间段内与这些指定的保管者相关联的电子文件数量；

该至少一个处理器致使联接至该至少一个处理器的至少一个显示器显示在该一系列时间段中的每个时间段内的该电子文件数量；并且

该至少一个处理器致使该至少一个显示器展示相比于其他时间段具有大和/或小数量的那些时间段。

36.如权利要求29所述的方法，其中，所述分析进一步包括：

该至少一个处理器接收有待搜索的多个搜索词和/或电子文件元数据元素；

该至少一个处理器针对每个搜索词和/或元数据元素在这些电子文件中进行搜索；

该至少一个处理器确定包括每个搜索词和/或元数据元素的电子文件的数量以及包括每个搜索词和/或元数据元素并且不包括这些搜索词或元数据元素中的其他搜索词或元数据元素的电子文件的数量；并且

该至少一个处理器致使这些数量显示在该至少一个显示器上。

37.如权利要求29所述的方法，进一步包括针对有待添加至该集合的每个新电子文件：

该至少一个处理器确定该新电子记录的散列值；

该至少一个处理器确定该新电子文件的该散列值是否与该集合中已经存在的电子文件的散列值相匹配；

当该新电子文件的该散列值并不与该集合中已经存在的任何电子文件的散列值相匹配时，该至少一个处理器将该新电子文件及其散列值添加至存储在该至少一个存储装置中的该集合；并且

当该新电子文件的该散列值与该集合中已经存在的电子文件的散列值相匹配时，该至少一个处理器用该匹配散列值将该新电子文件的标识链接至该集合中已经存在的该电子文件，而不需要将该新电子文件存储在该集合中。

38.一种用于对调查中的计算机可读电子文件进行处理的计算机系统，该计算机系统包括：

至少一个处理器；

联接至该至少一个处理器的至少一个电子存储装置；以及

联接至该至少一个处理器的至少一个显示器，其中：

该至少一个处理器对这些计算机可读电子文件以及来自数据源的相关数据进行访问；

该至少一个处理器基于预定过滤准则挑选所访问的这些文件和相关数据中的至少一项：

该至少一个处理器将剩余文件和相关数据存储在第三方数据储存库中；

该至少一个处理器将存储在第三方数据储存库中的电子文件和相关数据的集映射到预定数据库模式中；

该至少一个处理器分析所映射的这些文件和相关数据；

该至少一个处理器对所分析的这些电子文件和相关数据应用状态决策；并且

该至少一个处理器基于所应用的该状态决策向电子发现审查应用提交至少一个分析的电子文件和相关数据。

39.如权利要求38所述的系统，其中，所述挑选进一步包括：

该至少一个处理器确定每个电子文件的散列值，

该至少一个处理器接收搜索准则，该搜索准则包括以下各项中的一项或多项：文件系统日期范围、文件类型、文件路径、或者是否可以在已知与该调查无关的多个电子文件的散列值列表中找到该散列值，

该至少一个处理器将每个电子文件和/或该相关联的文件系统信息与所接收到的该搜索准则进行比较以便将满足该搜索准则的这些文件确定为正结果，

在该散列值被选择为该搜索准则之一时，至少一个处理器将该散列值是否不在该散列值列表上确定为正结果，并且

至少一个处理器将具有正结果的这些电子文件提供至在该计算机系统上所提供的电子发现应用，并且以与不产生正结果的那些电子文件有关的标识信息来填充电子文件。

40.如权利要求39所述的系统，其中，所述挑选进一步包括：

至少一个处理器接收已知与该调查无关的多个电子文件的该值列表；

该至少一个处理器在至少一个电子存储装置中在表中存储具有与该散列值列表中的其他散列值一样的多个预定位的所有散列值，其中，预定位的数量在一与小于这些散列值中的所有位之间；

该至少一个处理器接收电子文件的散列值；

该至少一个处理器对包括具有与所接收的这些散列值一样的这些预定位的这些散列值的该表进行标识；

该至少一个处理器在该至少一个电子存储装置中所存储的该标识的表中搜索所接收的该散列值；

当所接收的该散列值不在该标识的表中时，该至少一个处理器确定正结果；并且

当该至少一个处理器确定所接收的该散列值在该标识的表中时，该至少一个处理器不指示正结果。

41.如权利要求38所述的系统，其中：

该至少一个处理器将这些通信的计算机可读电子文件存储在该至少一个电子存储装置中；

该至少一个处理器将与多个通信器相关联的多个通信地址映射到单个通信方；并且

该至少一个处理器在该至少一个显示器上报告或图形地显示这些通信，其中，涉及该多个通信地址的所有通信被看作涉及该单个通信方。

42.如权利要求38所述的系统，其中，该至少一个处理器通过以下各项来执行所述分析：

该至少一个处理器将与来自一组保管者的关联于该调查的通信相对应的计算机可读电子文件和关联的数据存储在该至少一个存储装置中；

该至少一个处理器对在这些通信的这些电子文件和关联数据中所包括的源地址数据和目的地址数据进行标识；

该至少一个处理器使用这些电子文件和相关数据来确定在该源地址与该目的地址之间的这些通信的数量和方向；

该至少一个处理器通过针对该源地址和该目的地址中的每一项建立节点并且在这些节点之间延伸线以表示与这些节点相关联的这些地址之间的通信的数量和方向来在该显示器上图形地表示通信；并且

该至少一个显示器显示该图形表示以对未包括在该组保管者中的保管者进行标识，来自该组保管者的电子文件和关联数据。

43.如权利要求38所述的系统，其中，该至少一个处理器通过以下各项来执行所述分析：

该至少一个处理器接收用作选择的基础的至少一个面元以及与每个面元相关联的至少一个值，该至少一个面元包括这些电子文件的域、与这些电子文件相关联的日期、与由这些电子文件所表示的电子邮件相关联的电子邮件域、这些电子文件的文件类型、这些电子文件内所包括的项、或者这些电子文件的当前状态或其任何组合：

该至少一个处理器针对存储在该至少一个存储装置中满足与由该至少一个处理器所接收的该至少一个面元相关联的该至少一个值的计算机可读电子文件进行过滤；

该至少一个处理器在该至少一个显示器上显示与在所述过滤中所标识的这些电子文件相关联的元数据；

该至少一个处理器致使基于该元数据所选择的电子文件的内容显示在该至少一个显示器上；并且

该至少一个处理器记录来自用户的关于电子文件是否响应于调查的指示。

44.如权利要求38所述的系统，其中，该至少一个处理器通过以下各项来执行所述分析：

该至少一个处理器对从一个或多个指定的电子文件保管者获得的存储在该至少一个存储装置中的所有电子文件进行标识；

该至少一个处理器确定与所标识的这些电子文件中的每个电子文件相关联的数据；

该至少一个过程确定在一段时间上的一系列时间段中的每个时间段内与这些指定的保管者相关联的电子文件数量；

该至少一个处理器致使该至少一个显示器显示在该一系列时间段中的每个时间段内的该电子文件数量；并且

该至少一个处理器致使该至少一个显示器展示相比于其他时间段具有大和/或小数量的那些时间段。

45.如权利要求38所述的系统，其中，该至少一个处理器通过以下各项来执行所述分析：

该至少一个处理器接收有待搜索的多个搜索词和/或电子文件元数据元素；

该至少一个处理器针对每个搜索词和/或元数据元素在存储于该至少一个存储装置中的这些电子文件中进行搜索；

该至少一个处理器确定包括每个搜索词和/或元数据元素的电子文件的数量以及包括每个搜索词和/或元数据元素并且不包括这些搜索词或元数据元素中的其他搜索词或元数据元素的电子文件的数量；并且

该至少一个处理器致使这些数量显示在该至少一个显示器上。

46.如权利要求38所述的系统，其中：

该至少一个处理器确定有待添加至该集合的每个新电子记录的散列值；

该至少一个处理器确定该新电子文件的该散列值是否与该集合中已经存在的电子文件的散列值相匹配；

当该新电子文件的该散列值并不与该集合中已经存在的任何电子文件的散列值相匹配时，该至少一个处理器将该新电子文件及其散列值添加至存储在该至少一个电子存储装置中的该集合；并且

当该新电子文件的该散列值与该集合中已经存在的电子文件的散列值相匹配时，该至少一个处理器用该匹配散列值将该新电子文件的标识链接至该集合中已经存在的该电子文件，而不需要将该新电子文件存储在该集合中。