CN111951130A - 一种电子设备的数据取证分析方法及系统 - Google Patents

Abstract

本发明公开了一种电子设备的数据取证分析方法及系统，其通过将电子设备数据提取步骤和取证分析报告生成步骤采用异步处理执行，且预先设置包含若干个数据缓存区的数据缓存队列执行电子设备数据提取步骤和取证分析报告生成步骤之间的取证数据缓存中转空间，从而使得需要大量耗时的电子证据的分析处理和取证分析报告的生成处理过程无需取证操作人员进行值守等待，有助于提升电子证据的数据提取和取证分析的整体处理效率，并可以通过优化取证分析报告生成步骤的中断控制，保证对计算机系统资源的优化分配，还可以通过优化取证分析设备建立B/S网络结构通信构架模式的方式，在兼顾数据访问安全性的前提下，帮助提升电子证据数据查阅的便利性和效率。

Description

一种电子设备的数据取证分析方法及系统

技术领域

本发明涉及电子设备数据取证保全技术领域，具体涉及一种电子设备的数据取证分析方法及系统。

背景技术

随着计算机和网络技术的普及，电子商贸活动和其他许多基于网络的人际交往大量出现，电子文件已经成为传递信息、记录事实的重要载体。在这些方面一旦发生纠纷或案件，相关的电子文件就成为重要的证据。电子证据（Digital Evidence）就是被作为证据研究的、能够证明案件相关事实的电子数据。

电子证据通常定义为：基于电子技术生成、以数字化形式存在于磁盘、光盘、存储卡、手机等各种电子设备载体，其内容可与载体分离，并可多次复制到其他载体的文件。这个定义表述了电子证据的三个基本特征：①数字化的存在形式；②不固定依附特定的电子设备载体；③可以多次原样复制。

对电子证据的数据取证中，目前常用的取证方式是，采用专用的计算机等数据处理存储设备作为取证分析设备，在其中建立用于存储取证数据和取证分析报告的电子证据数据库，将取证分析设备通过数据读取驱动设备、数据接口等中间设备与存储有电子证据的电子设备建立数据连接，运行专用的数据提取软件程序，提取电子设备中的电子证据作为取整数据，并对提取的取证数据进行取证分析处理，生成相应的取证分析报告，一并存储在取证分析设备的电子证据数据库中；如果需要查看取证数据或者相应的取证分析报告，则需要使用指定的计算机等专用查看设备通过数据接口、存储设备等中间设备与存储有电子证据的电子设备建立数据传输，获取到取证数据或者取证分析报告，并运行专用的数据查看软件程序，才能进行取证数据或者取证分析报告的查看和阅读，以保证对取证数据、取证分析报告的数据取证、查看环节的保全安全性。

目前电子证据的数据取证、查看操作方式，虽然较好的确保了电子证据的安全性，但在实际的操作应用中，还是存在多方面的不便利：

其一，取证分析设备对作为取证对象的电子设备进行数据取证处理、取证分析报告生成处理的处理时间较长，取证操作人员需要等待一台电子设备的数据取证处理、取证分析报告生成处理完成后，才能对下一台电子设备进行数据取证操作，然而，由于取证分析设备对电子证据的分析处理（包含数据加密处理）和取证分析报告的生成处理较为复杂，处理时间较长，因此在电子设备数量较多、每台电子设备中的电子证据数据量较大的情况下，就会导致取证操作人员长时间进行数据取证工作，占用过多的人员工作时间，对团队整体的电子证据取证保全工作效率造成不利影响；

其二，取证数据、取证分析报告的查看使用指定的计算机等专用查看设备，间接的限制了查看取证数据、取证分析报告的场地和时间，影响电子证据数据查阅和相关案件办理的综合效率；

其三，目前办案人员配备办案专用移动终端（例如专用手机等）的情况逐渐普遍，但即便使用办案专用移动终端进行取证数据、取证分析报告的查看，也需要将办案专用移动终端通过数据接口等中间设备与存储有电子证据的电子设备建立数据传输，获取到取证数据或者取证分析报告，并在办案专用移动终端上加载和运行专用的数据查看软件程序，才能进行查阅，依然对电子证据数据查阅的场地和时间造成限制，无法从根本上解决电子证据数据查阅的便利性和效率不足的问题。

因此，如何更加有利于提升对电子证据的数据取证、查阅的便利性和效率，成为了进一步辅助提升相关案件办理效率的关键性技术问题之一。

发明内容

针对现有技术存在的上述不足，本发明要解决的技术问题是如何提升对电子证据的数据取证效率，进一步解决的技术问题是如何提升对取证相关数据的查阅的便利性和效率。

为解决上述技术问题，本发明采用了如下的技术方案：

一种电子设备的数据取证分析方法，包括电子设备数据提取步骤和取证分析报告生成步骤，其特征在于，所述电子设备数据提取步骤和取证分析报告生成步骤采用异步处理，且预先设置包含若干个数据缓存区的数据缓存队列，其中：

在所述电子设备数据提取步骤执行中，将提取的一个电子设备的取证数据记录在预设的数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；

在所述取证分析报告生成步骤执行中，从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区。

上述电子设备的数据取证分析方法中，作为优化方案，在所述电子设备数据提取步骤执行中，每当对一个电子设备的取证数据提取完成时，还为存储有相应取证数据的数据缓存区分配唯一对应的取证数据ID；所述取证数据ID为取证数据所对应的电子设备信息、取证事件信息或数据提取信息中的一种或几种。

上述电子设备的数据取证分析方法中，作为进一步优化方案，在所述取证分析报告生成步骤执行中，当发生中断触发事件时，暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态，且在发生中断返回事件时，读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。

上述电子设备的数据取证分析方法中，作为一种优选方案，所述中断触发事件包括收到中断控制指令；所述中断返回事件包括收到中断返回指令。

上述电子设备的数据取证分析方法中，作为另一种优选方案，所述中断触发事件包括数据处理可用系统资源低于预设下限值；所述中断触发事件包括数据处理可用系统资源大于或等于预设下限值。

上述电子设备的数据取证分析方法中，作为进一步优化方案，还包括将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示。

上述电子设备的数据取证分析方法中，作为进一步优化方案，当网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。

相应地，本发明还提供了一种电子设备的数据取证分析系统，为此本发明采用了如下的技术方案：

一种电子设备的数据取证分析系统，包括：

数据缓存队列，包含若干个数据缓存区，每个数据缓存区用于缓存一个电子设备的取证数据；

数据提取模块，用于与电子设备建立数据连接，提取所连接电子设备的证数据记录在数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；

数据解析模块，用于从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区；

电子证据数据库，用于存储取证数据及其对应的取证分析报告。

上述的电子设备的数据取证分析系统中，作为优化方案，还包括：

中断控制模块，用于在监测到中断触发事件时，通知数据解析模块暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态；在监测到中断返回事件时，通知数据解析模块读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。

上述的电子设备的数据取证分析系统中，作为进一步优化方案，还包括：

浏览处理模块，用于将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示，且在网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。

相比于现有技术，本发明的有益效果在于：

1、本发明电子设备的数据取证分析方法及系统，能够让取证操作人员则可以在处理电子设备数据提取步骤操作之后，无需再进行其他操作，由取证分析设备自动完成后续的取证分析报告生成步骤的异步处理，使得需要大量耗时的电子证据的分析处理（包含数据加密处理）和取证分析报告的生成处理过程无需取证操作人员进行值守等待，大大减少了对人员工作时间的占用。

2、本发明电子设备的数据取证分析方法及系统中，由于电子设备数据提取步骤和取证分析报告生成步骤能够通过异步处理的方式得以并行执行，也有助于提升电子证据的数据提取和取证分析的整体处理效率。

3、本发明电子设备的数据取证分析方法及系统，还能够通过对取证分析报告生成步骤的中断控制，使得取证分析设备能够根据计算机系统资源分配情况，优化的控制取证分析报告生成步骤的暂停和恢复执行，以保证取证分析设备中计算机系统资源的优化分配，并可以进一步优化中断控制方式，使得取证分析设备就可以每天24小时不间断的执行取证分析报告生成步骤的处理，并由其自动控制对取证分析报告生成步骤的中断暂停和继续执行，无需人员干预，不仅释放了对人员工作时间的占用，也可持续性的保证了取证分析设备对数据取证分析的综合处理效率。

4、本发明电子设备的数据取证分析方法及系统，还可以通过优化取证分析设备建立B/S（浏览器/服务器）网络结构通信构架模式的方式，并在兼顾数据访问安全性的前提下，帮助提升电子证据数据查阅的便利性，进一步的辅助提升案件办理效率。

附图说明

图1为本发明电子设备的数据取证分析系统一种实施方案的系统构架及其使用场景的结构框图。

图2为本发明电子设备的数据取证分析系统另一种实施方案的系统构架及其使用场景的结构框图。

具体实施方式

针对于目前电子证据的数据取证操作工作量大、影响人员处理效率的问题，本发明对采用数据处理存储设备作为取证分析设备进行电子设备的数据取证分析方法进行了进一步改进，虽然在取证分析设备于作为取证数据提取对象的电子设备监理数据连接后，取证分析设备的数据取证分析处理依然包括电子设备数据提取步骤和取证分析报告生成步骤，但技术改进之处在于，设计取证分析设备的电子设备数据提取步骤和取证分析报告生成步骤采用异步处理的方式执行，且在取证分析设备中预先设置包含若干个数据缓存区的数据缓存队列；其中，在所述电子设备数据提取步骤执行中，将提取的一个电子设备的取证数据记录在预设的数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；在所述取证分析报告生成步骤执行中，从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区。

这样以来，由于取证分析设备的电子设备数据提取步骤和取证分析报告生成步骤采用异步处理，使得电子设备数据提取步骤和取证分析报告生成步骤能够在不同时段得以异步方式的分步执行，并且，专门设置了包含若干个数据缓存区的数据缓存队列，在电子设备数据提取步骤执行中，将针对一个电子设备提取的取证数据记录在预设的数据缓存队列中的一个数据缓存区中，然后便断开与相应电子设备的数据连接，使得取证分析设备能够与另一台待取证的电子设备建立数据连接后继续进行数据提取操作；而取证分析报告生成步骤则无需再像现有技术方式一样，必须在一个电子设备的取证数据提取完成后紧接着同步的续接执行，而是由取证分析设备控制进行自动的异步处理，按照提取完成时间从前到后的顺序从数据缓存队列中逐一调取数据缓存区中存储的取证数据进行取证分析处理，并逐一生成取证分析报告，一并存入电子证据数据库中；且在取证分析报告生成步骤执行中，取证分析设备对一个数据缓存区中的数据调取完成后，则会清空并释放该相应的数据缓存区，使得该数据缓存区又能够用于缓存其它电子设备的取证数据。

由此，在实际操作中，取证操作人员便可以将需要提取电子证据的电子设备逐一的与取证分析设备建立数据连接后分别执行电子设备数据提取步骤即可，所提取的不同电子设备的取证数据则会分别缓存在数据缓存队列中的不同数据缓存区内；而此后，取证操作人员则可以无需再进行其他操作，由取证分析设备的取证分析报告生成步骤进行自动的异步处理，按照提取完成时间从前到后的顺序从数据缓存队列中逐一调取数据缓存区中存储的取证数据进行取证分析并逐一的生成对应的取证分析报告，且逐一清空并释放取证数据调取完成的数据缓存区；这样就使得需要大量耗时的电子证据的分析处理（包含数据加密处理）和取证分析报告的生成处理过程无需取证操作人员进行值守等待，取证操作人员只需执行耗时较短的电子设备数据提取操作即可，大大减少了对人员工作时间的占用。

不仅如此，由于取证分析设备的电子设备数据提取步骤和取证分析报告生成步骤采用异步处理的方式执行，在取证操作人员对多台电子设备逐一进行电子设备数据提取步骤的过程中，取证分析设备也能够并行的逐一执行取证分析报告生成步骤，因此也有助于提升电子证据的数据提取和取证分析的整体处理效率。

在技术实现的角度，要实现上述的电子设备的数据取证分析方法，可以通过计算机程序设计编译相应的电子设备的数据取证分析系统，在取证分析设备上加以运行，得以实施。针对此设计的数据取证分析系统，如图1所示，其主要的计算机程序模块，可以分为如下几个部分：

数据缓存队列，包含若干个数据缓存区，每个数据缓存区用于缓存一个电子设备的取证数据；

数据提取模块，用于与电子设备建立数据连接，提取所连接电子设备的证数据记录在数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；

数据解析模块，用于从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区；

电子证据数据库，用于存储取证数据及其对应的取证分析报告。

通过由此构建的电子设备的数据取证分析系统，即可执行前述的数据取证分析方法。

在具体的实施中，还可以在不同环节对本发明的技术方案加以进一步的细节优化。

例如，在电子设备数据提取步骤执行中，取证分析设备每当对一个电子设备的取证数据提取完成时，还可以设计为数据缓存区分配唯一对应的取证数据ID（IdentityDocument，身份表示符），以方便于取证分析设备对所缓存的取证数据的加以记录和查询；作为取证数据ID的信息可以是取证数据所对应的电子设备信息（例如电子设备名称、电子设备所有者名称、电子设备取证编号等）、取证事件信息（例如事件名称、事件地点、事件取证时间、事件取证编号等）或数据提取信息（例如提取数据量大小、提取数据时间等），也可以是采用其中的一种或几种来作为取证数据ID信息，其目的是用以有效区分数据缓存队列中存储的不同电子设备的取证数据。

又例如，另一方面，考虑到取证分析处理过程较为复杂，占用计算机系统资源较多，加之取证分析报告生成步骤与电子设备数据提取步骤的数据处理可能发生异步的并行处理的情况，对计算机系统资源的占用更为严重，有可能影响到取证分析设备中其它处理任务的正常运行；因此，在取证分析报告生成步骤执行中，还可以进一步的设计取证分析设备允许执行任务的中断与恢复，以便于在计算机系统资源的分配问题影响到其它处理任务的正常运行时，能够通过中断取证分析报告生成步骤的执行而对计算机系统资源加以重新的优化分配。

由此，可以针对性的设计发生中断触发事件和中断返回事件，让取证分析设备在取证分析报告生成步骤执行中，当发生中断触发事件时，暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态，且在发生中断返回事件时，读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。其中，中断触发事件可以是收到主动控制发送的中断控制指令，中断返回事件也可以是收到主动控制发送的收到中断返回指令，这样使得取证操作人员可以通过操作取证分析设备主动控制发送中断控制指令、中断返回指令，来根据需要灵活的控制取证分析报告生成步骤的暂停和恢复执行。或者，也可以设计取证分析设备实时跟踪检测其计算机系统资源的分配情况，并设置计算机系统的数据处理可用系统资源的下限值，同时，中断触发事件则可以设计为判断数据处理可用系统资源低于预设下限值，二中断触发事件则可以设计为判断包括数据处理可用系统资源大于或等于预设下限值，即在取证分析报告生成步骤执行中，当数据处理可用系统资源低于预设下限值，取证分析设备则暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态，而在数据处理可用系统资源重新大于或等于预设下限值时，取证分析设备读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。这样，使得取证分析设备能够自动的根据计算机系统资源分配情况，自主优化的控制取证分析报告生成步骤的暂停和恢复执行，以保证取证分析设备中计算机系统资源的优化分配，从而使得取证分析设备就可以每天24小时不间断的执行取证分析报告生成步骤的处理，并由其自动控制对取证分析报告生成步骤的中断暂停和继续执行，无需人员干预，不仅释放了对人员工作时间的占用，也可持续性的保证了取证分析设备对数据取证分析的综合处理效率。

此外，还考虑到办案人员配备办案专用移动终端的情况逐渐普遍的情况，为了进一步的改善取证数据、取证分析报告的查看便利性和效率问题，还可以进一步的设计取证分析设备将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示。这样使得办案人员可以使用其配备的办案专用移动终端通过网络浏览器访问取证分析设备，获取取证分析浏览文件对取证数据、取证分析报告进行查阅，进而克服目前电子证据数据查阅所存在的场地和时间限制问题，进一步帮助提升电子证据数据查阅的便利性，以辅助提升案件办理效率。

当然，考虑到互联网络访问的环境复杂性，在通过取证分析浏览文件访问的形式提升电子证据数据查阅便利性和效率的同时，还需要进一步兼顾数据访问的安全性，因此，可以进一步的设计在网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，并仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。这样，通过浏览权限认证方式，确保仅具备浏览权限的办案人员可使用其配备的办案专用移动终端通过网络浏览器访问获取取证分析浏览文件对取证数据、取证分析报告进行查阅，而其它无权限人员无法通过取证分析浏览文件访问的机制来进行电子证据数据的查阅，以保证数据访问范围的可控，达到数据访问安全性可控的目的。

相应的，要实现取证分析设备的上述中断控制和取证分析浏览文件访问功能，可以通过计算机程序设计编译设计，在取证分析设备的数据取证分析系统中布置执行相应处理功能的计算机程序模块，来完成相关处理任务，如图2所示，包括：

中断控制模块，用于在监测到中断触发事件时，通知数据解析模块暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态；在监测到中断返回事件时，通知数据解析模块读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤；

以及，浏览处理模块，用于将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示，且在网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。

通过这样的数据取证分析系统模块化设计，使得取证分析设备成为了采集、记录和提供查询电子证据数据信息资料的服务器设备，其它具备访问权限的设备可以作为浏览器数据访问终端，与取证分析设备建立B/S（浏览器/服务器）网络结构通信构架模式，并在兼顾数据访问安全性的前提下，帮助提升电子证据数据查阅的便利性，以辅助提升案件办理效率。

综上所述，本发明电子设备的数据取证分析方法及系统，能够让取证操作人员则可以在处理电子设备数据提取步骤操作之后，无需再进行其他操作，由取证分析设备自动完成后续的取证分析报告生成步骤的异步处理，使得需要大量耗时的电子证据的分析处理（包含数据加密处理）和取证分析报告的生成处理过程无需取证操作人员进行值守等待，大大减少了对人员工作时间的占用；同时，由于电子设备数据提取步骤和取证分析报告生成步骤能够通过异步处理的方式得以并行执行，也有助于提升电子证据的数据提取和取证分析的整体处理效率；此外，还能够通过对取证分析报告生成步骤的中断控制，使得取证分析设备能够根据计算机系统资源分配情况，优化的控制取证分析报告生成步骤的暂停和恢复执行，以保证取证分析设备中计算机系统资源的优化分配，并可以进一步优化中断控制方式，使得取证分析设备就可以每天24小时不间断的执行取证分析报告生成步骤的处理，并由其自动控制对取证分析报告生成步骤的中断暂停和继续执行，无需人员干预，不仅释放了对人员工作时间的占用，也可持续性的保证了取证分析设备对数据取证分析的综合处理效率；还可以通过优化取证分析设备建立B/S（浏览器/服务器）网络结构通信构架模式的方式，并在兼顾数据访问安全性的前提下，帮助提升电子证据数据查阅的便利性，进一步的辅助提升案件办理效率。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管通过参照本发明的优选实施例已经对本发明进行了描述，但本领域的普通技术人员应当理解，可以在形式上和细节上对其作出各种各样的改变，而不偏离所附权利要求书所限定的本发明的精神和范围。

Claims (10)

1.一种电子设备的数据取证分析方法，包括电子设备数据提取步骤和取证分析报告生成步骤，其特征在于，所述电子设备数据提取步骤和取证分析报告生成步骤采用异步处理，且预先设置包含若干个数据缓存区的数据缓存队列，其中：

在所述电子设备数据提取步骤执行中，将提取的一个电子设备的取证数据记录在预设的数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；

在所述取证分析报告生成步骤执行中，从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区。

2.根据权利要求1所述电子设备的数据取证分析方法，其特征在于，在所述电子设备数据提取步骤执行中，每当对一个电子设备的取证数据提取完成时，还为存储有相应取证数据的数据缓存区分配唯一对应的取证数据ID；所述取证数据ID为取证数据所对应的电子设备信息、取证事件信息或数据提取信息中的一种或几种。

3.根据权利要求1所述电子设备的数据取证分析方法，其特征在于，在所述取证分析报告生成步骤执行中，当发生中断触发事件时，暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态，且在发生中断返回事件时，读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。

4.根据权利要求3所述电子设备的数据取证分析方法，其特征在于，所述中断触发事件包括收到中断控制指令；所述中断返回事件包括收到中断返回指令。

5.根据权利要求3所述电子设备的数据取证分析方法，其特征在于，所述中断触发事件包括数据处理可用系统资源低于预设下限值；所述中断触发事件包括数据处理可用系统资源大于或等于预设下限值。

6.根据权利要求1所述电子设备的数据取证分析方法，其特征在于，还包括将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示。

7.根据权利要求6所述电子设备的数据取证分析方法，其特征在于，当网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。

8.一种电子设备的数据取证分析系统，其特征在于，包括：

数据缓存队列，包含若干个数据缓存区，每个数据缓存区用于缓存一个电子设备的取证数据；

数据提取模块，用于与电子设备建立数据连接，提取所连接电子设备的证数据记录在数据缓存队列中的一个数据缓存区中，且每当一个电子设备的取证数据提取完成时，断开与相应电子设备的数据连接；

数据解析模块，用于从数据缓存队列中按照提取完成时间从前到后的顺序逐一调取数据缓存区中存储的取证数据进行取证分析处理，并生成相应的取证分析报告，将取证数据及其对应的取证分析报告一并存入电子证据数据库中，且在对一个数据缓存区中的数据调取完成后清空并释放该相应的数据缓存区；

电子证据数据库，用于存储取证数据及其对应的取证分析报告。

9.根据权利要求8所述的电子设备的数据取证分析系统，其特征在于，还包括：

中断控制模块，用于在监测到中断触发事件时，通知数据解析模块暂停数据处理过程，并生成中断信息节点记录暂停处理时的数据处理状态；在监测到中断返回事件时，通知数据解析模块读取中断信息节点记录的数据处理状态，对此前暂停处理时的数据处理状态进行恢复，然后继续执行取证分析报告生成步骤。

10.根据权利要求8所述的电子设备的数据取证分析系统，其特征在于，还包括：

浏览处理模块，用于将电子证据数据库中存储的取证数据或/和取证分析报告转换存储为网络浏览器可读的取证分析浏览文件，并允许网络浏览器访问读取取证分析浏览文件进行显示，且在网络浏览器访问读取取证分析浏览文件时，进行浏览权限的认证，仅在通过浏览权限认证后才允许网络浏览器访问读取取证分析浏览文件进行显示。

Images