CN105930092A - 多跟踪系统 - Google Patents

Abstract

本发明的课题在于提供一种多跟踪系统(Multi‑trace system)，其能够对多个记录装置中记录的信息，在短时间内掌握各个记录信息的概要。解决方式：从本体装置将软件装置拷贝到软件记录装置20之后，将软件记录装置20连接到调查对象计算机PC，下载调查软件。以本体装置20连接到调查对象软件为条件，启动调查软件，无需启动调查计算机PC内的应用软件，就能够抽出掌握了记录内容概要的数据，抽出数据被存储于本体装置10或软件记录装置20中。

Description

多跟踪系统

技术领域

本发明涉及一种调查与计算机连接的记录装置中记录内容的多跟踪系统(Multi-trace system)，具体涉及一种能够在短时间内从多个记录装置中调查记录内容概要的多跟踪系统。

背景技术

在调查连接于计算机等信息处理装置的硬盘驱动器装置等记录装置中的内容时，通常会将记录装置从计算机上取出，在其它记录装置中拷贝并备份。从而需要对被复制侧的记录内容进行适当必要的调查。

特别是在犯罪搜查时，作为证物而被扣押的个人电脑等电子计算机，需要执行像上述这样的操作，被扣押的记录装置作为证据被保管。关于被拷贝侧记录装置中的记录内容，对记录内容进行调查时，会因调查操作而导致记录内容被替换之担忧，尤其是近年的操作系统中，有时会被与使用者的意图无关的数据所替换。正因为此，对作为扣押品的计算机进行直接操作是特别忌讳的行为。如上所述，对于扣押品一定要拷贝数据，像这样的数据拷贝可使用如专利文献1所记载的拷贝装置。

现有技术文献

专利文献

专利文献1：日本专利特开2005-242973号公报

发明内容

本发明要解决的技术课题

但是，犯罪搜查中扣押品较多时，若在搜查现场进行对记录装置进行拷贝作业，由于拷贝的时间较长，会有妨碍到搜查的问题。另外，虽然可以将扣押品带回，然后再进行拷贝作业，但是当搜查现场较远时，被扣押的记录装置有可能在运送途中受损。而且，并非所有的被扣押的记录装置中都记录了可作为有益证据的信息，从而若不对所有的扣押品进行拷贝，并分别调查记录信息，则无法判断哪一个扣押品中包含了有用的证据。

本发明的目的在于提供一种多跟踪系统(Multi-trace system)，其能够对多个记录装置中记录的信息，在短时间内掌握各个记录信息的概要。

解决课题的手段

解决了上述问题的本发明具有如下内容。

(1)一种多跟踪系统，其特征在于，

是一种将信息处理装置中存储的数据信息取出，并调查和分析的系统，其包括：

启动单元，开始从上述信息处理装置具有的存储设备中取出所需要的数据信息；

数据取得单元，取出上述存储设备中存储的所需要的数据；

数据分析单元，对上述数据取得单元所取得的数据进行调查、分析，

对取得的所需要的数据进行选择、提取，并存储于规定的存储媒体中，同时从被存储的数据信息当中选择、指定并显示出必要的信息。

(2)一种多跟踪系统，

其具有的结构能够从外部机器下载应用软件，并执行该软件，

该多跟踪系统与调查对象计算机连接，抽出存储于该计算机的存储单元中的数据，所述调查对象计算机包括：

存储单元，用于存储作为调查对象的数据，

显示单元，用于显示基于所执行软件的画面，

操作单元，用于操作所执行的软件，

连接部，能够与外部机器进行数据通信，

所述多跟踪系统包括：

第1连接部，连接于所述调查对象计算机的连接部；

本体装置，具有特定信息存储单元，存储有特定信息；

调查软件，能够从外部机器下载，并在所述调查对象计算机上运行；

软件存储单元，存储所述调查软件，该调查软件能够下载到所述调查对象计算机上；

软件记录装置，其具有存储装置侧连接部，能够与所述调查对象计算机的连接部连接，

所述调查软件包括：

特定信息取得步骤，从所述本体装置取得特定信息；

判定步骤，基于所述特定信息取得步骤中取得的特定信息，判定是否解除了运行限制；

数据抽出步骤，当所述判定步骤判定限制解除时，对存储于所述存储装置中的数据，根据预先设定的条件抽出数据。

(3)如上述(2)记载的多跟踪系统，所述调查软件进一步包括显示步骤，将数据抽出步骤中抽出的数据，显示于所述显示单元。

(4)如上述(2)或(3)记载的多跟踪系统，所述调查软件进一步包括存储步骤，其将数据抽出步骤中的抽出数据，存储于连接到所述调查对象计算机的外部装置。

(5)如上述(4)记载的多跟踪系统，所述软件记录装置具有用于存储数据抽出步骤中抽出的数据的存储区域，

在所述存储步骤中，被抽出的数据存储到所述软件记录装置的存储区域。

(6)如上述(4)记载的多跟踪系统，所述本体装置具有抽出数据存储单元，其存储在数据抽出步骤中被抽出的数据，

在所述存储步骤中，被抽出的数据存储到所述抽出数据存储单元。

(7)如上述(2)至(6)中任意一项记载的多跟踪系统，所述本体装置包括：

原存储单元，存储所述调查软件；

第2连接部，连接软件记录装置；

拷贝单元，将存储于所述原存储手段中的所述调查软件，拷贝到连接于所述第2连接部的所述软件记录装置的所述软件存储单元中，

所述软件记录装置的所述软件存储单元，存储从所述本体装置的所述原存储单元中拷贝的调查软件。

(8)如上述(7)记载的多跟踪系统，当从所述原存储单元向所述软件存储单元拷贝调查软件时，特定信息被存储于软件记录装置内的存储器。

(9)如上述(7)或(8)记载的多跟踪系统，所述本体装置包括：

记录装置个别信息取得单元，从软件记录装置，取得拷贝了调查软件的所述软件记录装置的个别信息；

记录装置个别信息存储单元，存储取得的个别信息。

(10)如上述(2)至(9)中任意一项记载的多跟踪系统，所述调查软件包括：

识别信息取得步骤，读取启动了所述调查软件的所述调查对象计算机的固有识别信息；

识别信息送信步骤，将由该识别信息取得步骤读取的固有识别信息，送至所述本体装置。

(11)如上述(10)记载的多跟踪系统，

所述调查软件具有记录装置识别信息送信步骤，将连接到所述调查对象计算机的所述软件记录装置的固有识别信息，送至所述本体装置，

所述本体装置具有记录装置固有识别信息存储单元，存储由所述调查对象计算机传送的软件记录装置的固有识别信息。

(12)如上述(11)记载的多跟踪系统，

所述本体装置具有管理单元，其将固有识别信息存储单元中存储的调查对象计算机的固有识别信息，与连接到该调查对象计算机的软件记录装置的固有识别信息相关联并管理。

(13)如上述(2)至(12)中任意一项记载的多跟踪系统，所述调查软件包括：

使用次数计算步骤，计算在调查对象计算机上运行的次数；

使用次数记录步骤，将使用次数计算步骤中计算的使用次数，记录于所述软件记录装置；

运行限制步骤，基于软件记录装置中的使用次数，对其它步骤的运行进行限制。

(14)如上述(2)至(12)中任意一项记载的多跟踪系统，所述软件记录装置具有个别设置的第1加密密钥信息，

所述本体装置包括：

加密密钥信息生成单元，相对于第1加密密钥信息生成唯一性的第2加密密钥信息；

加密密钥信息存储单元，将所述第1加密密钥信息和第2加密密钥信息相关联并存储，

所述调查软件包括：

加密密钥信息供给步骤，从所连接的软件记录装置读取固有的加密密钥信息，并提供给本体装置；

抽出数据拷贝步骤，将数据抽出步骤中抽出的数据，制成抽出数据的拷贝；

第2加密密钥信息受领步骤，接受由第2加密密钥信息生成单元提供的第2加密密钥信息；

抽出数据加密步骤，基于第2加密密钥信息受领步骤中取得的第2加密密钥信息，将数据抽出步骤中抽出的抽出数据、或者抽出数据拷贝步骤中复制的抽出数据中的其中之一进行加密；

第2加密密钥信息消去步骤，将第2加密密钥信息受领步骤中取得第2加密密钥信息消去；

加密数据存储单元，将抽出数据加密步骤中被加密的加密数据，存储于本体装置或软件记录装置。

(15)如上述(14)记载的多跟踪系统，

所述调查软件包括：

抽出数据取得步骤，获取本体装置或软件记录装置中记录的抽出数据；

加密数据取得步骤，从本体装置或软件记录装置中记录的加密数据记录单元，获取加密数据；

第2加密密钥信息取得步骤，从加密密钥信息存储单元获取第2加密密钥信息；

判定步骤，基于第2加密密钥信息解除加密数据的加密，判定与抽出数据取得步骤中获取的抽出数据之间的同一性。

(16)如上述(7)记载的多跟踪系统，

所述本体装置具有散列值存储单元，用于存储保存在所述原存储单元中的调查软件的散列值，

所述调查软件包括：

散列值算出步骤，启动时计算出自己的程序的散列值；

散列值取得步骤，从所述本体装置的散列值存储单元，获取散列值；

散列值比较步骤，将散列值取得步骤中获取的散列值，与散列值算出步骤中计算出的散列值比较，判断两者的散列值是否相同；

限制步骤，散列值比较步骤中散列值不同时，不运行调查软件。

(17)如上述(2)至(16)中任意一项记载的多跟踪系统，

所述数据抽出步骤中预先设定的条件，是根据调查对象计算机的文件管理信息而决定。

(18)如上述(2)至(16)中任意一项记载的多跟踪系统，

所述数据抽出步骤中预先设定的条件，是根据由调查对象计算机的操作单元输入的关键词而决定。

(19)如上述(2)至(16)中任意一项记载的多跟踪系统，

所述数据抽出步骤中预先设定的条件，是根据接入文件的时间数据而决定。

发明效果

根据(1)记载的发明，因为从信息处理装置中存储的数据信息中选择并抽出所需要的数据，并将其保存到所规定的记录媒体中，可选择指定必要的信息，从而容易掌握数据信息的概要。

根据(2)记载的发明，调查对象计算机从连接于记录装置连接部的软件记录装置下载调查软件，通过该计算机具有的操作单元和显示单元，能够操作调查软件，对存储单元中存储的数据，可按照预先设定的条件进行数据抽出。在开始数据抽出之前，由连接于调查对象计算机的本体装置取得特定信息，判断本体装置是否连接到调查对象计算机。已经连接到本体装置时，解除运行限制，实质上运行调查软件。由于限制解除是以连接到本体装置为前提条件，可控制未经授权仅拷贝调查软件，制成多个软件记录装置而同时被使用。另外，只要运行限制被解除是本体装置的连接条件，运行限制被解除后，即可解除本体装置的连接，从而能够依次连接到其它调查对象计算机上，若使用多个软件记录装置，则可能够对多个计算机批量运行调查软件。由于不使用调查对象计算机具有的应用软件，可控制调查对象计算机记录内容被改变的同时，还能调查记录内容。

根据(3)记载的发明，通过将数据抽出步骤中被抽出的数据显示于显示单元，则能够容易掌握存储于存储单元中的数据的概要。

根据(4)记载的发明，由于将数据抽出步骤中被抽出的数据存储于外部记录装置，则能够将该外部记录装置连接到其它计算机，在任意场所、任意时间来确认被存储的数据。

根据(5)记载的发明，由于在软件记录装置设置有存储单元，其用于存储数据抽出步骤中被抽出的数据，则无需再另外准备其它外部记录装置，简化了系统的结构。

根据(6)记载的发明，由于在本体装置设置有存储单元，其用于存储数据抽出步骤中被抽出的数据，则无需再另外准备其它外部记录装置，简化了系统的结构。

根据(7)记载的发明，由于本体装置的原存储单元中调查软件，在连接到第2连接部的软件记录装置上，在紧接着开始调查作业之前，拷贝调查软件，从而能够控制调查软件的未经授权的拷贝，更加容易管理调查软件。

根据(8)记载的发明，从原存储单元向软件存储单元拷贝调查软件时，在软件记录装置内的存储器中存储有特定信息，从而能够省略对特定信息的拷贝操作，能够提高操作的效率。另外，由于调查软件与特定信息一起被拷贝，从而能够通过特定信息确实控制调查软件被非法使用。

根据(9)记载的发明，本体装置获取已经拷贝了调查软件的软件记录装置的个别信息，并将其存储，从而能够个别管理存储有调查软件的软件记录装置。

根据(10)记载的发明，启动了调查软件的调查对象计算机的固有识别信息，被存储于本体装置的固有识别信息存储单元，从而能够按照调查对象计算机来管理调查结果。

根据(11)记载的发明，由于连接到调查软件的软件记录装置的固有识别信息存储于本体装置，从而能够容易管理软件记录装置。

根据(12)记载的发明，由于将调查对象计算机的固有识别信息，与连接到该调查对象计算机的软件记录装置的固有识别信息相关联并管理，则在本体装置中，能够管理调查结果、调查对象计算机、软件记录装置有关的关联信息。

根据(13)记载的发明，由于限制了调查软件的使用次数，从而能够控制调查软件被不法使用。

根据(14)记载的发明，基于从软件记录装置固有的加密密钥信息而生产的唯一性的加密密钥信息，对抽出数据加密，使抽出数据加密化。特别是由于软件记录装置不具有第2加密密钥信息，存储于该装置的加密化抽出数据，不能在本体装置以外的装置被解除加密，从能能够确保其加密性。

根据(15)记载的发明，由于具有判定步骤，其对在本体装置或软件记录装置中，将加密的同样数据解除加密，与没有加密而被存储的抽出数据进行比较，判断是否为同一数据，从而能够知道抽出数据是否被篡改或损毁。

根据(16)记载的发明，由于将存储于原存储单元中的调查软件的散列值，与运行前的调查软件的散列值进行比较，散列值不同时，限制调查软件的运行，对程序有阻碍的调查软件，能够事先阻止其启动。

根据(17)记载的发明，基于调查对象计算的文件管理信息，来决定数据抽出步骤中抽出条件，从而使文件抽出处理更容易。

根据(18)记载的发明，由于能够执行基于关键词的数据抽出处理，所以能够进行通用的抽出处理。

根据(19)记载的发明，由于能够执行基于时间数据的抽出处理，从而能够进行限定接入期间的抽出处理。

附图说明

图1：本发明多跟踪系统1的使用状态外观图。

图2：本体装置的电路结构框图。

图3：运行调查程序的计算机结构框图。

图4：本体装置中调查软件的拷贝处理流程图。

图5：调查对象计算机上运行调查软件的处理流程图。

图6：运行限制程序的处理流程图。

图7：追踪程序的处理流程图。

图8：显示画面结构的平面图。

图9：显示区域显示内容的平面图。

图10：显示区域显示内容的平面图。

图11：显示区域显示内容的平面图。

图12：显示区域显示内容的平面图。

图13：显示区域显示内容的平面图。

图14：显示区域显示内容的平面图。

图15：显示区域显示内容的平面图。

图16：显示区域显示内容的平面图。

图17：显示区域显示内容的平面图。

图18：显示区域显示内容的平面图。

图19：显示区域显示内容的平面图。

图20：数据保存程序的处理流程图。

图21：数据判定程序的处理流程图。

符号说明

1 多跟踪系统； 10 本体装置；

11 盒子； 13 存储器；

20 软件记录装置； PC1～n 调查对象计算机；

51t 标题栏； 52a 件名表示領域；

521 检索键； 52m 工具栏；

52S 数据存储位置显示区域； 522 文本框；

523 运行键； 53 显示区域； 53B 标签

具体实施方式

对本发明的多跟踪系统进行详细说明。图1显示了本发明多跟踪系统1使用状态的外观图。多跟踪系统1具有本体装置10、软件记录装置20。本体装置10具有内藏电路的手提包型盒子11，盒子11具备内藏电路的盒子本体11B、和能自由开闭的盖体11a，所述盖体安装于盒子本体11B的开口部111B上。在盒子本体11B的开口部111B上，设置有内存电路的多个连接端子Tah1～3、Tau1～5、显示部15以及操作部16，这些连接端子等可通过关闭盖体11a受到保护，而能够防止冲击、水和灰尘等。另外，在盖体11a的内侧收纳有计算机，其能够驱动后述的调查软件。

图2显示了本体装置10的电路构成的框图。该本体装置10包括：具有作为中央处理装置的CPU(CentraL ProceSSing Unit，中央处理单元)的控制部12、具有连接硬件驱动装置HDDa～HDDc的接口的HDD连接部a～c、连接外部机器的连接部U1～5、显示部15、操作部16。在HDD连接部a设有用于连接硬件驱动装置的连接端子Tah1，在HDD连接部b设有用于连接硬件驱动装置的连接端子Tah2，在HDD连接部c设有用于连接硬件驱动装置的连接端子Tah3。另外，在连接部U1设有连接端子Tau1，在连接部U2设有连接端子Tau2，在连接部U3设有连接端子Tau3，在连接部U4设有连接端子Tau4，在连接部U5设有连接端子Tau5。

控制部12包括：存储器13、CPU121、作为工作区域的存储器123。CPU121执行的处理有：将期望的指令提供给硬盘驱动器装置等的被连接的装置，同时将由硬盘驱动器装置等提供数据存储到存储器13。显示部15和操作部16连接于控制部12。显示部15由例如显示屏等显示画面构成，其将显示操作的指示显示、本体装置10的状态(例如出错显示等)作为视觉信息而输出。这些显示构成除了通过液晶等显示屏画面显示之外，也可以使用灯的开闭或灯的颜色变换等来显示。

另外，操作部16由电源开关、模式选择开关、操作开始开关、重启开关等构成。操作部16所选择的操作内容作为操作信号被提供给控制部12。存储器13为随机存储器(RAM)，通过CPU将从控制部12提供的自被拷贝的硬盘驱动装置读取的数据，为了写入备份的硬盘驱动装置作为一时保存之用，或者用于记录由调查软件的调查结果(抽出数据)，记录本体装置的特定信息、软件记录装置的固有识别信息、调查对象个人计算的固有识别信息，第1加密密钥信息以及第2加密密钥信息、调查软件的散列值、被加密的抽出数据等。

HDD连接部a～c控制通过接口连接的硬盘驱动器装置HDDa～c的驱动。例如，被拷贝硬盘驱动器装置或备份硬盘驱动器装置有无连接的确认、记录开始的指令、记录结束的确认、记录动作出错的识别等。这些控制动作基于控制部12的指令信号而开始。另外，通过HDD连接部a～c识别的各硬盘驱动器装置的信号提供给控制部12。

另外，控制部12上连接有连接部U1～U5。在本实施方式的装置中，各连接部U1～U5上设置有通用串行总线规格的连接端子Tau1～Tau5。这些连接端子并不仅限于USB端子，还可以是LAN线缆用连接端子等其它端子。该连接端子U1～U5连接后述的软件记录装置20，或者连接调查对象计算机PC。

如图1所示，本体装置1的任意连接端子Tau1～Tau5连接到软件记录装置20，将调查软件从本体装置1写入到软件记录装置20。软件记录装置20可相对于本体装置1而准备多个(1个～n个)，对于多个调查对象计算机PC1～PCn，分别连接到软件记录装置20－1～n，同时可执行数据的跟踪。

软件记录装置20具有USB端子、USB控制器、闪存、石英振荡器等。上述闪存内记录有调查软件、特定信息、序列号等记录装置个别信息、加密的抽出数据、第1加密密钥信息等。USB控制器基于所提供的指令，从闪存读出写入数据。

根据本发明的多跟踪系统，作为调查对象的计算机具有如下构成。图3是显示作为调查对象的计算机的构成框图。作为调查对象的计算机PC具有：母板30，其包括作为中央处理装置的CPU31以及作为工作区域的主记录装置；操作输入装置34，其由键盘和指示设备构成；输出装置35，如由液晶显示器构成；辅助存储装置33，其由硬盘驱动器装置或固体硬盘构成。辅助存储装置33中存储操作系统、应用系统以及文件管理系统对应的数据。

计算机PC还具有多个连接部Tap1～Tap3，这些连接部上设有通用串行总线规格的连接端子。通过这些连接部Tap1～Tap3连接到硬盘驱动器装置等外部记录装置、打印机等输出装置、扫描仪等输入装置。因为本体装置10以及软件记录装置20上所设连接端子需要连接到到调查对象的计算机PC上，因此调查对象的计算机PC需要有连接于连接端子的连接端子。

在启动操作系统之后，将应用软件写入主存储器32，然后执行在计算机PC上启动应用软件。写入主存储器32的应用软件，并不限于记录于辅助存储装置33的软件，还可以自连接于连接部Tap1～Tap3的外部记录装置，将应用软件写入主存储器之后再执行。

对于像以上构成，就本发明的多跟踪系统1的操作进行说明。在开始调查作为调查对象的计算机之前，将调查软件自本体装置10拷贝到软件记录装置20中。如图1所示，本体装置20的连接端子Tau1上连接有软件记录装置20－n。而且，本体装置10可执行调查软件的拷贝处理。

图4是显示调查软件的拷贝处理的流程图。在确认连接了软件记录装置20－n(步骤S101)之后，从存储器13取得特定信息(步骤S103)。特定信息是指，调查软件在计算机PC上启动时，为确认连接到本体装置10而设定的信息，是区别于其它装置的识别信息。作为特定信息，可以是内藏于本体装置10的CPU序列号码、本体装置制造者设定的识别信息等。

取得特定信息被提供给软件记录装置20－n(步骤S105)。软件记录装置20－n将提供的特定信息记录于闪存的规定区域。接着，从存储器13取得调查软件(步骤S107)，将调查软件提供给软件记录装置20－n(步骤S109)。软件记录装置20－n将提供的特定信息记录于闪存的规定区域。

接着，从软件记录装置20－n取得作为固有识别信息的序列号码(步骤S111)，将取得的序列号码写入存储器13(步骤S113)。准备多个作为软件记录装置的USB闪存，在各USB闪存中执行以上拷贝操作。据此，制成与调查对象计算机的数量同样的软件记录装置。

就调查软件的处理操作进行说明。图5是显示调查软件的操作顺序与处理的流程图。在调查对象计算机PC中，在启动操作系统的状态，将本体装置10连接到连接部Tap2(步骤S201)，将软件记录装置20连接到连接部Tap3(步骤S203)。

打开作为软件记录装置20的USB闪存的窗口，通过点击窗口内显示的调查软件的图标而启动(步骤S205)。通过该操作，调查软件自软件记录装置20拷贝到主存储器32(步骤S207)。该运行限制程序是限制调查软件实质操作的程序，只有满足所规定条件时，才运行调查软件的实质操作。作为所规定的条件，是指确认了本体装置10已连接到调查对象计算机PC。该条件是处理开始的条件，处理开始之后可立即解除本体装置10的连接。

该运行限制程序运行开始处理之后，执行作为实质处理程序的追踪程序(步骤S211)。该追踪程序读取调查对象计算机PC的操作程序具有的文件管理信息，基于预先设定的检索条件从读出的信息中抽出期望的信息。作为预先设定的检索条件，是指从操作输入装置34输入的关键词、或基于接入文件的时刻等而抽出的。

由上述追踪程序(步骤S211)抽出的抽出数据，由数据保存程序(步骤S213)记录到规定的存储器中。此时，为了防止抽出数据的被篡改等，先取得抽出数据的拷贝，对拷贝的数据或原数据的其中之一执行加密处理。特别是，由于软件记录装置20可单个携带，且小型，有记录数据的被篡改、或装置本身被丢之虞，因此优选对记录数据进行加密。另外，数据内容被篡改或者由于装置本身不适等导致数据损毁时，若保存了作为备份而加密的数据，则容易将数据复原。

基于图6所示的流程图对运行限制处理进行说明。调查软件，启动后判断软件记录装置20的使用次数N是否超过了规定值M(步骤S301)。该规定值是为了控制调查软件的不当使用(未经授权的使用)而预先设定的值，是限制使用次数的值。该使用限制，可不是使用次数，也可以是使用期间。此时的日数计算可使用USB控制器内藏的时刻计算单元进行计算。

当步骤S301中超过了规定值M时，执行显示不能执行(步骤S311)。不超过规定值M时，对使用次数N增量(步骤S303)，并从本体装置10取得特定信息(步骤S305)。将调查软件持有的特定信息，与步骤S305取得的特定信息进行比较，判断两者是否一致(步骤S307)。不一致时，显示不能执行(步骤S311)。

一致时将允许执行随后的追踪程序S211。根据该构成，当使用软件记录装置20时，则本体装置10的连接是必须的，可防止单独使用软件记录装置20。软件记录装置20中记录的调查软件，由于能够拷贝到其它USB闪存中，虽然容易制成软件记录装置20的拷贝，但是连接到本体装置10是执行时的前提条件，因此实质上是不能被拷贝使用，从而容易管理制成多个的软件记录装置20－1～n。

此处，作为特定信息可列举：本体装置10的序列号码等固有识别信息、作为特定信息而预先设定的关键词、本体装置20的存储器12中记录的软件记录装置20的序列号码等。其它，将调查软件的散列值预先存储在本体装置10的存储器13中，在步骤S304，计算出调查软件的散列值，在步骤S305，从本体装置10取得被存储的散列值，在步骤S307，将步骤S304的散列值与步骤S305的散列值比较，一致时则返回，不一致时则显示不能执行(步骤S311)。此时，可取得的效果有能够确认软件记录装置20记录的调查软件是否被篡改。

接着，基于图7所示的流程图，对跟踪程序(步骤S211)进行说明。运行限制程序S209解除运行限制之后，取得调查对象计算机PC的固有识别信息(步骤S401)，进一步，取得软件记录装置20的固有识别信息(步骤S403)，将这些信息提供给本体装置10(步骤S405)，在本体装置10，将调查对象计算机PC的固有识别信息，与连接到软件记录装置20的固有识别信息相关联后记录于存储器13。在该时点，本体装置10可与调查对象计算机PC解除连接。

仅在启动时需要本体装置10的连接，在之后的调查作业中，本体装置10的连接是不必要的。根据该构成，对多个调查对象计算PC－1～n，分别连接软件记录装置20－1～n，按顺序连接1个本体装置10并启动，就能够对多个调查对象计算PC－1～n，同时执行使用调查软件的调查。

取得由调查对象计算机的操作系统作成的文件管理信息(步骤S407)。基于所取得的管理信息，抽出整理在画面显示的数据(步骤S409)，制成画面数据(步骤S411)。所制成的画面数据被显示于显示部35(步骤S412)。

图8～图18显示了在显示部35上显示的画面的构成例子。如图8所示，在顶部画面，标题栏51t的下侧显示有工具栏52m，其下侧设置有显示区域53，显示了作为调查对象的记录装置所记录数据的概要。在工具栏52m设置有检索按钮521、收据存储指示区域52S、文件名显示区域52a等。在数据存储指示区域52S设置有：指示数据存储位置的存储位置输入用文本框522、指示执行存储的按钮523。文本框52S中，可指定本体装置10或软件记录装置20来存储抽出数据。

显示区域53显示的数据被预先分成多个种类，按照被区分的数据的种类，显示区域构成切换区，在显示区域的上端部，设置有显示标签53b，被区分数据的种类名称分配到各标签显示。通过选择该标签，可切换显示区域53显示的概要数据的种类。该区分数据的种类有：“概要”、“系统”、“文件”、“删除文件”、“软件”、“WEB”、“邮件”、“登录”、“设备”、“时刻显示”等。

“概要”中包括详细内容的总结、摘要信息。“系统”中包括OS、用户、计算机等的详细信息。“文件”中包括文件名、文件的大小、生成日期等详细信息。“删除文件”包括已删除文件的文件名、删除日期时间等详细信息。“软件”包括调查对象计算机PC中安装的应用软件的详细信息。“WEB”包括访问网页URL等WEB浏览的详细信息。“邮件”包括送出和接受邮件的标题、日期等详细信息。“登录”包括用户信息、登录日期时间详细信息。“设备”包括设备名称、设备ID等详细信息。“时刻显示”是基于记录时刻信息，将被抽出的信息以时间系列表示。

若点击“概要”标签，如图9所示，在显示区域以表格形式显示：項目(项目)、名称(名称)、バージョン/ユーザ(版本/用户)、カウント/シリアル(计数/序列)、日付(日期)、備考(备注)等。具体而言，项目可列举：OS、User(用户)、Computer(计算机)、Mail(邮件)等，作为OS项目对应的名称，Windows7等记载可以表格形式显示。

若点击“系统”标签，则如图10所示，显示区域内显示有：項目(项目)、分類/サービス(分类/服务)、状態/名称(状态/名称)、備考/ステータス(备注/状况)等。作为具体例子，例如分類/サービス(分类/服务)记载有OS Information(OS信息)，其对应的状態/名称(状态/名称)，Windows7等记载、或者備考/ステータス(备注/状况)的项目中AMD Ver6.1.7601Service Pack 1等详细以表格形式显示。

若点击“文件”标签，如图11所示，显示区域内显示ファイル名(文件名)、サイズ(大小)、作成日(制成日)、更新日(更新日)、MD5，SHA256等各种ハッシュ値(散列值)、フルパス(完整路径)等。作为具体例，如：ファイル名(文件名)项目记载有desktop.ini，サイズ(大小)项目记载129，作成日(制成日)项目记载有2014/06/2710：02：03、更新日(更新日)项目记载有2014/06/2710：02：03，MD5，SHA256各项目中记载有ハッシュ値(散列值)A526B9E7C716B348等各种散列值，フルパス(完整路径)项目记载有H:\$RECYCLE.…等以表格形式显示。

如点击“删除文件”标签，则如图12所示，显示区域内显示ボリューム(容量)、ファイル名(文件名)、サイズ(大小)、作成日(制成日)、更新日(更新日)、削除日(删除日)、LBA等。作为具体例，如：ボリューム(容量)项目中记载有，ファイル名(文件名)项目中记载有MountUSB.vbs.lnk，サイズ(大小)项目记载有554(22AH)，作成日(制成日)项目记载有2014/07/2417：19：08，更新日(更新日)项目2014/08/1811：39：14，削除日(删除日)记载有2014/08/1811：39：14，LBA项目记载00000298204EH，以表格形式显示。

点击“ソフト”(软件)标签，则如图13所示，显示区域内显示ソフト(软件)、バージョン(版本)、メーカー/タイプ(制造商/型号)、日付(日期)、インストールパス/コマンドライン(安装路径/命令行)等。作为具体例，如：ソフト(软件)项目记载有Microsoftoffice VisualWeb Developer 2007，バージョン(版本)项目记载有0、メーカー/タイプ(制造商/型号)项目记载有Microsoft Corporation(微软公司)，日付(日期)记载有20140612，インストールパス/コマンドライン(安装路径/命令行)项目记载有C:\Program Files(×86)\Microsoft Office\，以表格形式显示。

若点击“WEB”标签，则如图14所示，显示区域内显示URL、日付/時間(日期/时间)、ユーザ(用户)、ブラウザ(浏览器)等。作为具体例，如：URL项目记载有Https://wmzaqne.jp/do/mail/message/view？msgid＝junkdelim1442&l＝ja-jp&v＝zaq，日付/時間(日期/时间)项目记载有2014/09/1732：16：52、ユーザ(用户)项目记载有使用者名，ブラウザ(浏览器)记载有IE11.0，以表格形式显示。

若点击“メール”(邮件)标签，则如图15所示，显示区域显示項目(项目)、送信者(发信人)、日付(日期)、タイトル(标题)、データ(数据)等。作为具体例，如：項目(项目)栏记载有Mailuser[1]、Mailer、Storepath、Folder，送信者(发信人)项目记载有收信人的名称(姓名)、发信人的名称(姓名)、日付(日期)项目记载有送信日或收信日，タイトル(标题)项目记载有邮件名称，データ(数据)项目记载有邮件或附件存储的地址，以表格形式显示。

若点击“ログオン”(登录)标签，则如图16所示，在表示区域内显示ID、イベント(事件)、日時(日期时间)、ユーザ(用户)、SID、備考(备注)等项目。作为具体例，如：ID栏记载ID编号，イベント(事件)项目记载LOGON或LOGOFF，日時(日期时间)记载LOGON或LOGOFF的日期时间，ユーザ(用户)项目以ID项目记载的ID编号赋予的用户名，SID项目记载安全标识符，以表格形式显示。

若点击“デバイス”(设备)标签，则如图17所示，显示区域内显示カテゴリ(目录)、デバイスID(设备ID)、名称(名称)、シリアル(序列)、インストール(安装)、最終使用(最终使用)、備考(备注)等项目。作为具体例，如：カテゴリ(目录)栏显示USBSTOR，デバイスID(设备ID)项目记载disk&ven_hitachi&prod_hts723225l9a360&re…，名称(名称)项目、シリアル(序列)项目记载设备的序列号码，インストール(安装)项目记载了安装时间(2014/08/1911：16：59)、最終使用(最终使用)记载了最终使用时间(2014/09/1208：11：47)，以表格形式显示。

若点击“時刻表示”(时间表示)，则如图18所示，显示区域内显示图表。该图表的横轴为时间轴，纵轴为标签，将分类项目分配到轴上。项目轴上表示的项目，通过勾选配置于显示区域上不的选择框，进行适当选择，在该实施方式中，可选择“ファイル”、“削除ファイル”、“WEB”项目，图表上，基于各项目中时间相关的数据，标记在横向轴上。据此，通过沿着时间序列分布，将其显示于XY平面上(以正交的两轴所规定位置的平面)，通过视觉就能直观地把握数据的概要。

接下来，若是电机配置于工具栏52m中央位置的检索按钮521，则如图19所示显示检索窗口54。该检索窗口54是用于为了在显示区域53所显示的数据中作关键词检索时输入检索条件的窗口。在检索窗口54内设置有：用于输入检索词的文本框541；通过指定项目而指定检索场所的列表框542；选定文件种类的列表框545；将时间作为指定检索条件的时间条件输入区域544；将文件的大小作为检索条件而指定的尺寸输入框543；执行按钮546。

列表框542显示的列表，如图所示，自删除文件所显示画面中的检索，可列举列表框542中所示的ボリューム(容积)、ファイル名(文件名)、サイズ(大小)、作成日(制成日期)、更新日(更新日期)、削除日(删除日期)、LBA。如上检索窗口54内输入检索条件指示检索时(步骤S413)，基于检索条件执行抽出处理(步骤S415)，抽出的数据被显示于显示区域53(步骤S417)。如上，标签53B的名称表示的项目、与各标签指定显示区域内表示的项目，是从最初抽出的概要数据的抽出数据，进而从抽出数据中，按照关键词、文件尺寸、指定时间等，制成进一步浓缩的抽出数据。

基于通过检索窗口54输入的检索条件的检索处理结果，可在数据存储指示区域52S，指定存储场所而保持。可根据对应各标签的显示区域所显示的数据保存数据。下面，就数据保存程序，基于图20所示的流程图进行说明。在数据存储指示区域52S，当指定存储场所执行时(步骤S501)，将此时显示区域52S所显示的数据复制而制成拷贝(步骤S503)。从软件记录装置20，将根据该软件记录装置20而个别设定的加密信息，作为第1加密信息取得(步骤S505)。该加密信息是各软件记录装置20个别固有的信息，是作为加密信息预先设定而存储于闪存中。该加密信息还可以将装置固有的序列号码作为加密信息使用。

将取得的第1加密信息提供给本体装置10(步骤S507)。在本体装置10，基于所供给的第1加密信息，生成第2加密信息。该第2加密信息是对应原有的第1加密信息的而唯一决定的加密信息。

自本体装置10取得第2加密信息(步骤S509)，对步骤S503拷贝的抽出数据、或者是拷贝之间的原抽出数据内的其中之一，基于第2加密信息执行加密化处理(步骤S511)。接着，将加密的抽出数据提供给本体装置20或软件记录装置20的其中之一，而将没有加密的抽出数据提供给其中的另外一个装置(步骤S513)。加密的抽出数据，在本体装置10中记录于存储器13，在软件记录装置20中存储于闪存。

从软件记录装置20和本体装置10分别将取得的第1加密信息与第2加密信息消去(步骤S515)。据此，被加密的抽出数据中需要解密的数据被从调查对象计算机PC上删除。这样就能够保证被加密的抽出数据的加密化。另外，在步骤S501，即使没有存储指示，在步骤S409画面显示信息准备好的阶段，自动拷贝显示信息(图9～图18中显示区域所示的信息)，分别提供给本体装置10和软件记录装置20。

像上述加密的抽出数据因为被存储于软件记录装置20或本体装置10，当其它没有加密的抽出数据被损毁或篡改时，可通过与解密的抽出数据对照，从而能够判定损坏或篡改的同时，还能够对损坏或篡改处进行特定并修复。

特别是，小型的软件记录装置20可搬运，还容易读取，通过向软件记录装置20提供加密的抽出数据，从而能够确保对数据的保护。另外，软件记录装置20中存储有未加密的抽出数据时，加密的抽出数据确保存储于本体装置10侧，通过与加密的数据进行比较，则能容易判定软件记录装置20中存储的抽出数据相关的数据有无损毁或篡改。

上述判定可通过例如以下处理来执行。下面，将软件记录记录装置20中存储有抽出数据，本体装置10中存储有未加密的抽出数据为例进行说明。调查程序被加载于如图3所示结构的计算机的主存储器32时，从本体装置10取得抽出数据(步骤S601)，从软件记录装置20取得加密的抽出数据(步骤S603)。接着，从本体装置10取得第2加密密钥信息(步骤S605)，基于该第2加密密钥信息解除加密的抽出数据的加密(步骤S607)。已经解密的被存储于软件记录装置20中抽出数据，与存储于本体装置10中的抽出数据对照，判定二者是否相同(步骤S609)。

如上，将调查软件加载于调查对象计算机PC以外的计算机中，可能确认抽出数据的内容。为此，例如在搜查现场从作为证物的计算机中仅将抽出数据存储于软件记录装置20中，在警察署或法院就能够阅览抽出数据。另外，由于确保了加密拷贝，则可确保证据的能力。

Claims (19)

1.一种多跟踪系统，其特征在于，

是一种将信息处理装置中存储的数据信息取出，并调查和分析的系统，其包括：

启动单元，开始从上述信息处理装置具有的存储设备中取出所需要的数据信息；

数据取得单元，取出上述存储设备中存储的所需要的数据；

数据分析单元，对上述数据取得单元所取得的数据进行调查、分析，

对取得的所需要的数据进行选择、提取，并存储于规定的存储媒体中，同时从被存储的数据信息当中选择、指定并显示出必要的信息。

2.一种多跟踪系统，

其具有的结构能够从外部机器下载应用软件，并执行该软件，

该多跟踪系统与调查对象计算机连接，抽出存储于该计算机的存储单元中的数据，所述调查对象计算机包括：

存储单元，用于存储作为调查对象的数据，

显示单元，用于显示基于所执行软件的画面，

操作单元，用于操作所执行的软件，

连接部，能够与外部机器进行数据通信，

所述多跟踪系统包括：

第1连接部，连接于所述调查对象计算机的连接部；

本体装置，具有特定信息存储单元，存储有特定信息；

调查软件，能够从外部机器下载，并在所述调查对象计算机上运行；

软件存储单元，存储所述调查软件，该调查软件能够下载到所述调查对象计算机上；

软件记录装置，其具有存储装置侧连接部，能够与所述调查对象计算机的连接部连接，

所述调查软件包括：

特定信息取得步骤，从所述本体装置取得特定信息；

判定步骤，基于所述特定信息取得步骤中取得的特定信息，判定是否解除了运行限制；

数据抽出步骤，当所述判定步骤判定运行限制解除时，对存储于所述存储装置中的数据，根据预先设定的条件抽出数据。

3.如权利要求2记载的多跟踪系统，所述调查软件进一步包括显示步骤，将数据抽出步骤中抽出的数据，显示于所述显示单元。

4.如权利要求2或3记载的多跟踪系统，所述调查软件进一步包括存储步骤，其将数据抽出步骤中的抽出数据，存储于连接到所述调查对象计算机的外部装置。

5.如权利要求4记载的多跟踪系统，所述软件记录装置具有存储区域，其用于存储数据抽出步骤中的抽出数据，

在所述存储步骤中，被抽出的数据存储到所述软件记录装置的存储区域。

6.如权利要求4记载的多跟踪系统，所述本体装置具有抽出数据存储单元，其存储在数据抽出步骤中被抽出的数据，

在所述存储步骤中，被抽出的数据存储到所述抽出数据存储单元。

7.如权利要求2至6中任意一项记载的多跟踪系统，所述本体装置包括：

原存储单元，存储所述调查软件；

第2连接部，连接软件记录装置；

拷贝单元，将存储于所述原存储手段中的所述调查软件，拷贝到连接于所述第2连接部的所述软件记录装置的所述软件存储单元中，

所述软件记录装置的所述软件存储单元，存储从所述本体装置的所述原存储单元中拷贝的调查软件。

8.如权利要求7记载的多跟踪系统，当从所述原存储单元向所述软件存储单元拷贝调查软件时，特定信息被存储于软件记录装置内的存储器。

9.如权利要求7或8记载的多跟踪系统，所述本体装置包括：

记录装置个别信息取得单元，从软件记录装置，取得拷贝了调查软件的所述软件记录装置的个别信息；

记录装置个别信息存储单元，存储取得的个别信息。

10.如权利要求2至9中任意一项记载的多跟踪系统，所述调查软件包括：

识别信息取得步骤，读取启动了所述调查软件的所述调查对象计算机的固有识别信息；

识别信息送信步骤，将由该识别信息取得步骤所读取的固有识别信息，送至所述本体装置。

11.如权利要求10记载的多跟踪系统，

所述调查软件具有记录装置识别信息送信步骤，将连接到所述调查对象计算机的所述软件记录装置的固有识别信息，送至所述本体装置，

所述本体装置具有记录装置固有识别信息存储单元，存储由所述调查对象计算机传送的软件记录装置的固有识别信息。

12.如权利要求11记载的多跟踪系统，

所述本体装置具有管理单元，其将固有识别信息存储单元中存储的调查对象计算机的固有识别信息，与连接到该调查对象计算机的软件记录装置的固有识别信息相关联并管理。

13.如权利要求2至12中任意一项记载的多跟踪系统，所述调查软件包括：

使用次数计算步骤，计算在调查对象计算机上运行的次数；

使用次数记录步骤，将使用次数计算步骤中计算的使用次数，记录于所述软件记录装置；

运行限制步骤，基于软件记录装置中的使用次数，对其它步骤的运行进行限制。

14.如权利要求2至12中任意一项记载的多跟踪系统，所述软件记录装置具有个别设置的第1加密密钥信息，

所述本体装置包括：

加密密钥信息生成单元，相对于第1加密密钥信息生成唯一性的第2加密密钥信息；

加密密钥信息存储单元，将所述第1加密密钥信息和第2加密密钥信息相关联并存储，

所述调查软件包括：

加密密钥信息供给步骤，从所连接的软件记录装置读取固有的加密密钥信息，并提供给本体装置；

抽出数据拷贝步骤，将数据抽出步骤中抽出的数据，制成抽出数据的拷贝；

第2加密密钥信息受领步骤，接受由第2加密密钥信息生成单元提供的第2加密密钥信息；

抽出数据加密步骤，基于第2加密密钥信息受领步骤中取得的第2加密密钥信息，将数据抽出步骤中抽出的抽出数据、或者抽出数据拷贝步骤中复制的抽出数据中的其中之一进行加密；

第2加密密钥信息消去步骤，将第2加密密钥信息受领步骤中取得第2加密密钥信息消去；

加密数据存储单元，将抽出数据加密步骤中被加密的加密数据，存储于本体装置或软件记录装置。

15.如权利要求14记载的多跟踪系统，

所述调查软件包括：

抽出数据取得步骤，获取本体装置或软件记录装置中记录的抽出数据；

加密数据取得步骤，从本体装置或软件记录装置中记录的加密数据记录单元，获取加密数据；

第2加密密钥信息取得步骤，从加密密钥信息存储单元获取第2加密密钥信息；

判定步骤，基于第2加密密钥信息解除加密数据的加密，判定与抽出数据取得步骤中获取的抽出数据之间的同一性。

16.如权利要求7记载的多跟踪系统，

所述本体装置具有散列值存储单元，用于存储保存在所述原存储单元中的调查软件的散列值，

所述调查软件包括：

散列值算出步骤，启动时计算出自己的程序的散列值；

散列值取得步骤，从所述本体装置的散列值存储单元，获取散列值；

散列值比较步骤，将散列值取得步骤中获取的散列值，与散列值算出步骤中计算出的散列值比较，判断两者的散列值是否相同；

限制步骤，散列值比较步骤中散列值不同时，不运行调查软件。

17.如权利要求2至16中任意一项记载的多跟踪系统，

所述数据抽出步骤中预先设定的条件，是根据调查对象计算机的文件管理信息而决定。

18.如权利要求2至16中任意一项记载的多跟踪系统，

所述数据抽出步骤中预先设定的条件，是根据由调查对象计算机的操作单元输入的关键词而决定。

19.如权利要求2至16中任意一项记载的多跟踪系统，

所述数据抽出步骤中预先设定的条件，是根据接入文件的时间数据而决定。