CN116028988A - 一种电子数据固证方法、终端及系统 - Google Patents

Abstract

本发明公开了一种电子数据固证方法，包括步骤：S1：确定机器的工作状态；S2：获取机器存储信息数据、操作日志数据；S3：采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；S4：根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；S5：计算相似距离；S6：将步骤S5中相似距离大于设定阈值的计算结果进行提取保存。该电子数据固证方法通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R，使得距离计算更为准确。

Description

一种电子数据固证方法、终端及系统

技术领域

本发明涉及电子通信技术领域，具体涉及一种电子数据固证方法、终端及系统。

背景技术

现有技术出现了一些电子数据的互联网保全固证，但该类固证方法比较简单。对于具有较高证据价值的证据链条的固定，目前的电子数据固证系统往往不能很好的满足要求。现阶段提取的证据往往不准确，但如果提取所有数据存在较多冗余，不能够提取出关键信息，且现有的提取算法较为简单，不能够根据文件的特点进行精准性的提取。

发明内容

针对现有技术中提到的上述问题，为解决上述技术问题，本发明提供了一种电子数据固证方法、终端及系统，包括步骤：

S1：确定机器的工作状态，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

S2：获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

S3：采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

S4：根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

S5：计算相似距离，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

S6：将步骤S5中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

优选地，步骤S2中的获取机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录中的操作日志数据包括事务日志、错误日志和代理日志，操作系统日志包括应用程序日志、安全日志、系统日志、IIS日志，日志进行分析可以定位感兴趣行为。

优选地，步骤S2中的获取机器存储信息数据包括名称、文件类型、文件大小、作者、创建时间、访问时间、最新修改时间，还包括补充存储信息数据包括案件名称、文件摘要、取证时间、取证位置、取证 ID、见证人指纹、公证人ID、相关操作的标志位，相关操作的标志位包括数据是否被改动、是否有备份。

优选地，步骤S1中确定机器的工作状态还包括：检查系统账户和数据库账户的状态包括是否有新的账户加入、现有账户是否被提高权限、配合跟踪系统日志和数据库日志来确定账户被加入或者提权的时间。

优选地，根据相似距离分析判断提取特征的价值及特征准确性，从而判断剔除还是保留记录，语义距离越小，原数据对电子证据的描述就越贴切。

优选地，所述采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，其中，每个文件数据点的维数为，即；为文件数据集建立一个表：文件数据集即为初始文件数据集；比较初始文件数据集中所有文件数据点对应的每一维的最大值与最小值之差，记为该维的长度，最长维记为；沿着最长维将初始文件数据集分为两部分，生成两个子文件数据集；选择密度最大的文件数据点作为第一中心，；然后，选择与第一中心点相距大于L，密度第二大点为第二中心点；；其中，，为密度，而是中心与待选择的文件数据点的距离，选择与已选的所有初始化中心距离大于L且密度第三大待选数据点为第三类心点，；其中，为待选文件数据点与所有选中的初始化中心的最小距离；当已经选择了t个初始化中心点时，第t+1中心点，，其中为待选择的文件数据点；当个中心点被选中后，算法停止，提取出特征信息。

本发明还提供了一种电子数据固证系统，包括：

机器工作状态确定模块，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

获取信息模块，包括获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

特征信息提取模块，包括采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

特征向量构建模块，根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

相似距离计算模块，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

结束模块，将相似距离计算模块中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

优选地，获取信息模块中的获取机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录中的操作日志数据包括事务日志、错误日志和代理日志，操作系统日志包括应用程序日志、安全日志、系统日志、IIS日志，日志进行分析可以定位感兴趣行为。

优选地，获取信息模块中的获取机器存储信息数据包括名称、文件类型、文件大小、作者、创建时间、访问时间、最新修改时间，还包括补充存储信息数据包括案件名称、文件摘要、取证时间、取证位置、取证 ID、见证人指纹、公证人ID、相关操作的标志位，相关操作的标志位包括数据是否被改动、是否有备份。

优选地，机器工作状态确定模块中确定机器的工作状态还包括：检查系统账户和数据库账户的状态包括是否有新的账户加入、现有账户是否被提高权限、配合跟踪系统日志和数据库日志来确定账户被加入或者提权的时间。

优选地，根据相似距离分析判断提取特征的价值及特征准确性，从而判断剔除还是保留记录，语义距离越小，原数据对电子证据的描述就越贴切。

优选地，所述采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，其中，每个文件数据点的维数为，即；为文件数据集建立一个表：文件数据集即为初始文件数据集；比较初始文件数据集中所有文件数据点对应的每一维的最大值与最小值之差，记为该维的长度，最长维记为；沿着最长维将初始文件数据集分为两部分，生成两个子文件数据集；选择密度最大的文件数据点作为第一中心，；然后，选择与第一中心点相距大于L，密度第二大点为第二中心点；；其中，，为密度，而是中心与待选择的文件数据点的距离，选择与已选的所有初始化中心距离大于L且密度第三大待选数据点为第三类心点，；其中，为待选文件数据点与所有选中的初始化中心的最小距离；当已经选择了t个初始化中心点时，第t+1中心点，，其中为待选择的文件数据点；当个中心点被选中后，算法停止，提取出特征信息。

本发明还提供了一种电子数据固证终端，其特征在于，包括：CPU、存储器、屏幕，所述CPU存储有以下模块以执行方法，包括：

机器工作状态确定模块，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

获取信息模块，包括获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

特征信息提取模块，包括采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

特征向量构建模块，根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

相似距离计算模块，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

结束模块，将相似距离计算模块中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

本发明提供了一种电子数据固证方法、终端及系统，所能实现的有益技术效果如下：

根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量。

通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R，计算过程中加入了为原数据向量长度权重值、为特征向量Z2的长度权重值，使得距离计算更为准确。

采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，该提取方式针对文件特征进行适应性的提取关键信息，大大提高了信息准确度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1是本发明的电子数据固证方法的步骤示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

对于具有较高证据价值的证据链条的固定，现有的电子数据固证系统往往不能很好的满足要求。现阶段若两个或者多个节点的电子数据存在关联关系，但又不是必须将其固证在一起，则须要经过多次固证操作方能证明关联关系。且对于两个或者多个节点的电子数据之间关联关系的固证也存在在电子数据传输、流转过程中或在固证平台上被修改的可能。

实施例1：

相比于传统的互联网保全中心，本发明实施例提供了一种电子数据固证方法，如图1所示，包括步骤：

S1：确定机器的工作状态，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

S2：获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

S3：采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

S4：根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

S5：计算相似距离，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

S6：将步骤S5中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

在一些实施例中，步骤S2中的获取机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录中的操作日志数据包括事务日志、错误日志和代理日志，操作系统日志包括应用程序日志、安全日志、系统日志、IIS日志，日志进行分析可以定位感兴趣行为。

在一些实施例中，步骤S2中的获取机器存储信息数据包括名称、文件类型、文件大小、作者、创建时间、访问时间、最新修改时间，还包括补充存储信息数据包括案件名称、文件摘要、取证时间、取证位置、取证ID、见证人指纹、公证人ID、相关操作的标志位，相关操作的标志位包括数据是否被改动、是否有备份。

在一些实施例中，步骤S1中确定机器的工作状态还包括：检查系统账户和数据库账户的状态包括是否有新的账户加入、现有账户是否被提高权限、配合跟踪系统日志和数据库日志来确定账户被加入或者提权的时间。

在一些实施例中，根据相似距离分析判断提取特征的价值及特征准确性，从而判断剔除还是保留记录，语义距离越小，原数据对电子证据的描述就越贴切。

在一些实施例中，所述采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，其中，每个文件数据点的维数为，即；为文件数据集建立一个表：文件数据集即为初始文件数据集；比较初始文件数据集中所有文件数据点对应的每一维的最大值与最小值之差，记为该维的长度，最长维记为；沿着最长维将初始文件数据集分为两部分，生成两个子文件数据集；选择密度最大的文件数据点作为第一中心，；然后，选择与第一中心点相距大于L，密度第二大点为第二中心点；；其中，，为密度，而是中心与待选择的文件数据点的距离，选择与已选的所有初始化中心距离大于L且密度第三大待选数据点为第三类心点，；其中，为待选文件数据点与所有选中的初始化中心的最小距离；当已经选择了t个初始化中心点时，第t+1中心点，，其中为待选择的文件数据点；当个中心点被选中后，算法停止，提取出特征信息。

实施例2：

本发明还提供了一种电子数据固证系统，包括：

机器工作状态确定模块，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

获取信息模块，包括获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

特征信息提取模块，包括采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

特征向量构建模块，根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

相似距离计算模块，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

结束模块，将相似距离计算模块中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

在一些实施例中，获取信息模块中的获取机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录中的操作日志数据包括事务日志、错误日志和代理日志，操作系统日志包括应用程序日志、安全日志、系统日志、IIS日志，日志进行分析可以定位感兴趣行为。

在一些实施例中，获取信息模块中的获取机器存储信息数据包括名称、文件类型、文件大小、作者、创建时间、访问时间、最新修改时间，还包括补充存储信息数据包括案件名称、文件摘要、取证时间、取证位置、取证ID、见证人指纹、公证人ID、相关操作的标志位，相关操作的标志位包括数据是否被改动、是否有备份。

在一些实施例中，机器工作状态确定模块中确定机器的工作状态还包括：检查系统账户和数据库账户的状态包括是否有新的账户加入、现有账户是否被提高权限、配合跟踪系统日志和数据库日志来确定账户被加入或者提权的时间。

在一些实施例中，根据相似距离分析判断提取特征的价值及特征准确性，从而判断剔除还是保留记录，语义距离越小，原数据对电子证据的描述就越贴切。

在一些实施例中，所述采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，其中，每个文件数据点的维数为，即；为文件数据集建立一个表：文件数据集即为初始文件数据集；比较初始文件数据集中所有文件数据点对应的每一维的最大值与最小值之差，记为该维的长度，最长维记为；沿着最长维将初始文件数据集分为两部分，生成两个子文件数据集；选择密度最大的文件数据点作为第一中心，；然后，选择与第一中心点相距大于L，密度第二大点为第二中心点；；其中，，为密度，而是中心与待选择的文件数据点的距离，选择与已选的所有初始化中心距离大于L且密度第三大待选数据点为第三类心点，；其中，为待选文件数据点与所有选中的初始化中心的最小距离；当已经选择了t个初始化中心点时，第t+1中心点，，其中为待选择的文件数据点；当个中心点被选中后，算法停止，提取出特征信息。

实施例3：

本发明还提供了一种电子数据固证终端，其特征在于，包括：CPU、存储器、屏幕，所述CPU存储有以下模块以执行方法，包括：

机器工作状态确定模块，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

获取信息模块，包括获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

特征信息提取模块，包括采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

特征向量构建模块，根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

相似距离计算模块，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

结束模块，将相似距离计算模块中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

1、在本发明中根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量。

2、通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R，计算过程中加入了为原数据向量长度权重值、为特征向量Z2的长度权重值，使得距离计算更为准确。

3、采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，该提取方式针对文件特征进行适应性的提取关键信息，大大提高了信息准确度。

以上对一种电子数据固证关联方法进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的核心思想；同时，对于本领域的一般技术人员，依据本发明的思想和方法，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (13)

1.一种电子数据固证方法，其特征在于，包括步骤：

S1：确定机器的工作状态，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

S2：获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

S3：采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

S4：根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

S5：计算相似距离，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

S6：将步骤S5中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

2.如权利要求1所述的一种电子数据固证方法，其特征在于，步骤S2中的获取机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录中的操作日志数据包括事务日志、错误日志和代理日志，操作系统日志包括应用程序日志、安全日志、系统日志、IIS日志，日志进行分析可以定位感兴趣行为。

3.如权利要求2所述的一种电子数据固证方法，其特征在于，步骤S2中的获取机器存储信息数据包括名称、文件类型、文件大小、作者、创建时间、访问时间、最新修改时间，还包括补充存储信息数据包括案件名称、文件摘要、取证时间、取证位置、取证 ID、见证人指纹、公证人ID、相关操作的标志位，相关操作的标志位包括数据是否被改动、是否有备份。

4.如权利要求1所述的一种电子数据固证方法，其特征在于，步骤S1中确定机器的工作状态还包括：检查系统账户和数据库账户的状态包括是否有新的账户加入、现有账户是否被提高权限、配合跟踪系统日志和数据库日志来确定账户被加入或者提权的时间。

5.如权利要求1所述的一种电子数据固证方法，其特征在于，根据相似距离分析判断提取特征的价值及特征准确性，从而判断剔除还是保留记录，语义距离越小，原数据对电子证据的描述就越贴切。

6.如权利要求1所述的一种电子数据固证方法，其特征在于，所述采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，其中，每个文件数据点的维数为，即；为文件数据集建立一个表：文件数据集即为初始文件数据集；比较初始文件数据集中所有文件数据点对应的每一维的最大值与最小值之差，记为该维的长度，最长维记为；沿着最长维将初始文件数据集分为两部分，生成两个子文件数据集；选择密度最大的文件数据点作为第一中心，；然后，选择与第一中心点相距大于L，密度第二大点为第二中心点；；其中，，为密度，而是中心与待选择的文件数据点的距离，选择与已选的所有初始化中心距离大于L且密度第三大待选数据点为第三类心点，；其中，为待选文件数据点与所有选中的初始化中心的最小距离；当已经选择了t个初始化中心点时，第t+1中心点，，其中为待选择的文件数据点；当个中心点被选中后，算法停止，提取出特征信息。

7.一种电子数据固证系统，其特征在于，包括：

机器工作状态确定模块，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

获取信息模块，包括获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

特征信息提取模块，包括采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

特征向量构建模块，根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

相似距离计算模块，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

结束模块，将相似距离计算模块中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

8.如权利要求7所述的一种电子数据固证系统，其特征在于，获取信息模块中的获取机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录中的操作日志数据包括事务日志、错误日志和代理日志，操作系统日志包括应用程序日志、安全日志、系统日志、IIS日志，日志进行分析可以定位感兴趣行为。

9.如权利要求7所述的一种电子数据固证系统，其特征在于，获取信息模块中的获取机器存储信息数据包括名称、文件类型、文件大小、作者、创建时间、访问时间、最新修改时间，还包括补充存储信息数据包括案件名称、文件摘要、取证时间、取证位置、取证 ID、见证人指纹、公证人ID、相关操作的标志位，相关操作的标志位包括数据是否被改动、是否有备份。

10.如权利要求7所述的一种电子数据固证系统，其特征在于，机器工作状态确定模块中确定机器的工作状态还包括：检查系统账户和数据库账户的状态包括是否有新的账户加入、现有账户是否被提高权限、配合跟踪系统日志和数据库日志来确定账户被加入或者提权的时间。

11.如权利要求7所述的一种电子数据固证系统，其特征在于，根据相似距离分析判断提取特征的价值及特征准确性，从而判断剔除还是保留记录，语义距离越小，原数据对电子证据的描述就越贴切。

12.如权利要求7所述的一种电子数据固证系统，其特征在于，所述采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取，包括提取机器存储信息数据和/或操作日志数据和/或删除残余数据文件数据集包含个文件数据点，其中，每个文件数据点的维数为，即；为文件数据集建立一个表：文件数据集即为初始文件数据集；比较初始文件数据集中所有文件数据点对应的每一维的最大值与最小值之差，记为该维的长度，最长维记为；沿着最长维将初始文件数据集分为两部分，生成两个子文件数据集；选择密度最大的文件数据点作为第一中心，；然后，选择与第一中心点相距大于L，密度第二大点为第二中心点；；其中，，为密度，而是中心与待选择的文件数据点的距离，选择与已选的所有初始化中心距离大于L且密度第三大待选数据点为第三类心点，；其中，为待选文件数据点与所有选中的初始化中心的最小距离；当已经选择了t个初始化中心点时，第t+1中心点，，其中为待选择的文件数据点；当个中心点被选中后，算法停止，提取出特征信息。

13.一种电子数据固证终端，其特征在于，包括：CPU、存储器、屏幕，所述CPU存储有以下模块以执行权利要求1所述的方法，包括：

机器工作状态确定模块，包括系统是否能够正常运行、使用的登录口令、网盘登录是否正常、操作日志访问是否正常、数据库访问是否正常、系统配置参数；

获取信息模块，包括获取机器存储信息数据、操作日志数据、操作系统日志、删除残余数据、网盘信息、浏览器浏览记录；

特征信息提取模块，包括采用聚类算法对获取的机器存储信息数据、操作日志数据、删除残余数据、网盘信息、浏览器浏览记录进行特征信息提取；特征信息提取后以特征表的形式存储在特征数据库；特征信息包含配置信息、用户账户和操作数据；通过查看特征数据库或特征表，可以确定机器数据是否被删除或篡改；

特征向量构建模块，根据原存储信息数据建立原数据向量Z1；根据提取的特征信息和特征字，建立特征向量Z2；特征向量Z2中每个维度值等于此维度对应词在整体提取的特征信息及特征字中出现的相对频率，同理构造出原存储信息数据的向量；

相似距离计算模块，通过距离测算函数计算特征向量Z2与原数据向量Z1之间的相似距离R：

其中，为原数据向量长度权重值、为特征向量Z2的长度权重值；n为两个文本中不相同的词总数，和分别为电子证据和原数据中第b个词出现的相对频次；

结束模块，将相似距离计算模块中相似距离大于设定阈值的计算结果进行提取保存，若不满足则将原存储信息数据按数据格式分类进行保存。

Images