WO2013117151A1

WO2013117151A1 - 文件快速扫描方法和系统

Info

Publication number: WO2013117151A1
Application number: PCT/CN2013/071383
Authority: WO
Inventors: 邹贵强; 付旻
Original assignee: Beijing Qihoo Technology Co Ltd; Qizhi Software Beijing Co Ltd
Current assignee: Beijing Qihoo Technology Co Ltd; Qizhi Software Beijing Co Ltd
Priority date: 2012-02-07
Filing date: 2013-02-05
Publication date: 2013-08-15
Anticipated expiration: 2014-08-07
Also published as: US9355250B2; US20150007328A1

Description

文件快速扫描方法和系统技术领域

本发明涉及网络技术领域，特别是涉及一种文件快速扫描方法和系统。背景技术

随着计算机的普及，用户端基本上都需要安装杀毒软件对计算机内的文件进行扫描。在杀毒软件进行扫描时，需要大量的 CPU运算和磁盘操作，使得扫描过程漫长而且影响系统速度。而对于计算机里的文件，有很多文件都是相同的，比如 Windows的文件，很多软件的安装包文件，帮助文件，压缩文件等。

现有技术中，用户端的杀毒软件第一次扫描时会全盘扫描计算机内的所有文件，并且会扫描文件中的各种内容，如果对于包括内容比较大的文件，其扫描的时间耗费的相当多，从而导致第一次扫描的时间非常的长。比如对于压缩包，现有技术会按照正常的扫描流程将压缩包中的内容解压逐个进行扫描，以保证文件是安全的，这样对于一个压缩包来说，现有技术的扫描时间比较长，从而延长了整个扫描的时间，而对于用户来说，由于长时间的扫描而长时间占用的 CPU运算和磁盘操作影响了系统的速度，从而影响的用户对计算机的使用。

另外，通常杀毒软件会对上次扫描的安全文件记录进入白名单，然后在下一次扫描时，逐个对当前文件与白名单中文件进行匹配；如果匹配上，则跳过当前文件，进入下一个文件扫描过程；如果未匹配上，则对该未匹配上的文件的全部内容进行完整扫描，扫描完毕后再进入下一个文件扫描过程。在这个过程中，需要对上一个文件进行匹配或者完整扫描后才能对下一个文件进行匹配和扫描过程，下一个文件的等待时间比较长，导致整个杀毒软件对整个系统文件的扫描时间比较长的问题。发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决或者减緩上述问题的文件快速扫描方法和系统。

根据本发明的一个方面，提供了一种文件快速扫描方法，其包括获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件征信息；逐个扫描系统中文件的文件特征信息，若当前描的文配时，则跳过对当前文件的杀毒扫描，继续扫描下一个文件。

根据本发明的另一个方面，提供了一种文件快速扫描系统，其包括：第一用户端，所述第一用户端包括：

获取模块，用于获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息；

扫描匹配模块，用于逐个扫描系统中文件的文件特征信息，若当前扫描的文件特征信息与所述数据包中标示文件为安全文件的安全文件特征信息匹配时，则跳过对当前文件的杀毒扫描，继续扫描下一个文件。

根据本发明的又一个方面，提供了一种计算机程序，其包括计算机可读代码，当所述计算机可读代码在服务器上运行时，导致所述服务器执行根据权利要求 1-11中的任一个所述的方法。

根据本发明的再一个方面，提供了一种计算机可读介质，其中存储了如权利要求 24所述的计算机程序。

本发明的有益效果为：

首先，本公开内容通过利用包括用于确定系统中文件是否为安全文件的安全文件特征信息的数据包，新的用户在第一次扫描时，如果扫描到与所述数据包中特征信息相同的文件时就可以跳过其代表的时间长、并且安全的文件，可减少首次扫描的时间。

其次，本公开内容通过设置两个扫描模块，其中特征信息扫描模块用于将第一用户端系统的文件的特征信息与数据包中安全文件的特征信息进行匹配，如果第一用户端系统的文件的特征信息未与数据包中安全文件的特征信息匹配上，则通知安全扫描模块对该文件的进行完整扫描，而特征信息扫描模块继续扫描下一个文件。通过上述方式，使第一用户端对于文件的特征信息的匹配过程和完整扫描过程相分离，上一个未匹配上的文件的扫描不会影响下一个文件的匹配，这样节省了其中的等待时间，从而加快了文件的扫描速度。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。附图说明通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图 1是依据本发明一个实施例的文件快速扫描方法的流程示意图；图 2是依据本发明一个实施例的数据包生成方法的流程示意图；图 3是依据本发明一个实施例的压缩包头部数据的示例；

图 4是依据本发明一个实施例的文件快速扫描系统的结构示意图；图 5是依据本发明一个实施例的文件快速扫描系统的结构示意图；图 6是依据本发明一个实施例的文件快速扫描系统的结构示意图；图 7是依据本发明一个实施例的文件快速扫描系统的结构示意图；图 8是依据本发明一个实施例的文件快速扫描方法的流程示意图；图 9是依据本发明一个实施例的数据包生成方法的流程示意图；图 10示意性地示出了用于执行根据本发明的方法的服务器的框图；以及

图 11示意性地示出了用于保持或者携带实现根据本发明的方法的程序代码的存储单元。具体实施例

下面结合附图和具体的实施方式对本发明作进一步的描述。

在实际中，对于处于一定数量级（比如 105 )以上的用户端来说，如果在该数量级以上的用户端都对具有同样的特征（比如包括文件名、文件大小、文件修改时间、文件内容描述信息、内容信息等）的文件进行扫描时，如果该种文件是安全的，那么其他用户在使用具有同样特征的文件基本上也是安全的。本申请即根据该种特性统计巨量用户对完整扫描耗时比较长，并且安全的文件的特信息，然后基于所述特征信息生成待匹配的数据包（升级补丁等），用户在使用所述数据包后，可扫描文件的特征信息与所述数据包中的特征信息进行匹配，如果匹配上，那么即可跳过这些正常扫描时间比较长的文件，从而可达到节省扫描时间的目的。

参照图 1 , 其示出了本申请一种文件快速扫描方法的流程示意图，包括：

步骤 110 , 获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息。

新的用户端首先获取包括安全特征信息的数据包，然后新的用户端则可根据该数据包进行扫描，以节省第一次扫描的时间。其中新的用户端在本申请中釆用第一用户端进行描述，所述第一用户端主要包括未安装杀毒软件的用户端和安装过杀毒软件但未进行过全盘文件扫描的用户端，还可以包括安装过杀毒软件并且进行过全盘文件扫描的用户端，但在最近一次进行全盘文件扫描后用户端中出现了新的未扫描过的文件的用户端。

第一用户端可通过安装存入所述数据包的安装包，或者将已安装的杀毒软件升级获取所述的数据包。在实际中，第一用户端可能完全没有进行过扫描，也可能在使用过程中可能会获取到很多新的文件，而这些文件用户端也可能没有进行完整扫描，当该用户端想进行快速扫描时，则可通过本申请的数据包进行。

其中，所述数据包中的确定系统中文件为安全文件的特征信息可通过统计各用户端的完整扫描结果获得。比如，对于多个用户进行完整扫描的结果，对于在各用户端中具有相同特征信息（比如文件大小、文件修改时间、文件名 CRC值和内容匹配信息等特征信息）的文件，如果各用户端对该文件的扫描结果均安全，那么即可将该特征信息存入所述数据包，用于确定系统中具有该特征信息的文件为安全文件。

任选地，所述特征信息通过统计各用户端发送到处理中心服务器中的安全文件特征信息获得。即对于各用户端进行完整扫描得到的确认安全的文件的特征信息，处理中心服务器自动对其进行统计和分析，可将大于一定数量阔值的特征信息生成相应的数据包。在本申请中，首先需要生成数据包，参照图 2 , 示出了依据本发明一个实施例的数据包生成方法的流程示意图，包括：

步骤 210 , 接收各用户端发送的安全文件的特征信息；所述特征信息包括用户端完整扫描文件时，确定安全的文件的特征信息。

在实际中，存在第二用户端群，其中包括了大量用户端，这些用户端都都可将对自己系统中的文件进行完整扫描后的符合条件的特征信息发送至处理中心服务器中。即当第二用户端群的各用户端选择完整扫描其计算机中的文件时，会将扫描耗时大于或大于等于一定时间阔值的安全文件的特征信息发送到处理中心服务器。

在实际中，本申请通过对巨量的用户端扫描正常的扫描耗时较长的文件的特征信息进行统计，然后基于大于或大于等于阔值的对应文件的特征信息生成待匹配的数据包，然后新的用户在第一次扫描时，如果扫描到与所述数据包中特征信息相同的文件时就可以跳过其代表的时间长、并且安全的文件，可减少首次扫描的时间。

任选地，在用户端完整扫描文件时：

所述的完整扫描为用户端系统中各文件的全部内容进行杀毒扫描。步骤 S11 , 当所述扫描的文件安全时，获取文件的特征信息，所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息。

用户端选择完整扫描文件时，扫描引擎逐个扫描用户端计算机中的各个文件，对于很多文件，比如对于压缩包，扫描引擎需要按照压缩包的要求在引擎中先解压，再对压缩包中的包括的各个文件进行杀毒扫描，一般情况下，这种扫描方式需要的时间相当的多；又比如对于软件的安装包，扫描引擎也需要将安装包中的信息解压出来再进行扫描，同样需要耗费相当多的时间。那么当用户端扫描整个文件花费的时间大于或者大于等于阈值时，则可获取当前文件的特征信息所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息，所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息。

当所述扫描时间大于或大于等于时间阔值并安全时，获取文件的特征信息，所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息。其中，计算用户端对于一个文件的扫描时间时，可根据开始扫描文件时和结束扫描文件时的时间点，调用系统 API函数

GetTickCount计算从开始扫描文件和结束扫描文件时的扫描时间。比如开始扫描文件时间点为， 2012年 1月 17 日星期二 21时 50分 30秒和 00 毫秒，结束扫描文件时时间点为 2012年 1月 17 日星期二 21时 51分 30 秒和 00毫秒，那么用户端对于当前文件的扫描时间即为 1分钟。如果设置时间阔值为 30秒，那么对于该文件来说，用户端即获取该文件的特征信息，包括文件名、文件大小、文件修改时间和文件内容描述信息。

其中文件内容描述信息只占整个文件的很小一部分，当用户端扫描文件内容描述信息部分时，所耗费时间远远小于扫描整个文件的时间。比如对于压缩文件，其文件内容描述信息在压缩包头部数据中，扫描时可根据头部数据告知的当前文件内容描述信息占用的字节数，用户端只需要扫描当前文件头部数据所在字节地址空间即可，参照图 3 , 其为一种压缩包的头部数据示例，在压缩包的头部数据中描述了压缩包内的文件信息（文件名、大小、数据校验值等），只要这些关键数据没有变化，就说明压缩包内容没有变化。又比如对于软件的安装包，内容描述信息在安装包的尾部数据中，扫描时可根据文件告知的尾部数据占用的字节数，扫描相应字节地址空间即可。

步骤 S12 , 将文件名进行循环冗余码校验计算，得到文件名 CRC值。由于文件名涉及用户的隐私，本申请将文件名作一个循环冗余码校验（CRC, Cyclical Redundancy Check ) 计算，得到一个无可读性的文件名 CRC值。

步骤 S13 , 将文件内容描述信息进行消息摘要算法计算，得到内容匹配信息。

对于文件内容描述信息，相对整个文件来说，文件内容描述信息虽然很小，但是如果以文件内容描述信息本身去进行匹配，则可能由于文件内容描述信息庞大而导致时间相对较多，本申请则将文件内容描述信息进行消息摘要算法（ Message-Digest Algorithm )计算，得到内容匹配信息，一般本申请进行 MD5 ( Message-Digest Algorithm 5 , 消息摘要算法第五版）计算，得到的内容匹配信息为 MD5值，通过 MD5值进行匹配时能大大减少匹配时间，保证快速的对比匹配，同时也保证了文件的安全性。

步骤 S14 , 将包括文件大小、文件修改时间、文件名 CRC值和内容匹配信息的特征信息进行发送。

在得到上述的包括文件大小、文件修改时间、文件名 CRC值和内容匹配信息的特征信息之后，即可将所述特征信息发送至处理中心服务器，等待处理中心服务器处理。

本申请的应用环境包括了提供杀毒软件相关安装包，升级包等数据的处理中心服务器，大量的通过网络语处理中心服务器连接的用户端，因此对于在线用户对文件进行的完整扫描工作，均可进行上述步骤。

步骤 220 , 对于相同的特征信息，统计其重复次数。

在本步骤中，处理中心服务器会对收到的数据进行去重运算，即将相同客户端发送的多个具有相同特征信息的数据去重，使其次数为 1. 任选地，对于相同的特征信息，统计其重复次数：

S21 , 将接收的特征信息按总重复次数进行排序。

首先将接收到的特征信息按总重复次数进行排序，比如对于对应某些用户端文件的特征信息（m,100kb, 2012/l/l l/21 :50:30: 10,n )其中 m为文件名 CRC值， n为文件内容描述信息的内容匹配信息即 MD5值，相应的每条特征信息对应一个发送该信息的用户端，比如以对用户端 A, 其发送到处理中心服务器的信息可以 A-( m, 1 OOkb , 2012/1/11/21： 50： 30： 10,η ) 的形式表明。将处理中心服务器接收到的所有条具有相同（A,100kb, 2012/1/11/21 :50:30: 10,B ) 统计其重复总次数，然后根据统计总次数进行排序。在该次统计排序的过程中，能方便的找出相同用户端发送的具有相同特征信息的数据。

S22, 对于各相同特征信息，将属于同一个用户端发送的相同特征消息进行消重运算。

对于同一个客户端发送的多个具有相同特征信息的数据，比如客户端 A发送特征信息为 ( m,100kb, 2012/l/l l/21 :50:30: 10,n )有 10条，那么将其去重，使处理中心将该用户端重复发送的（m,100kb,

2012/l/l l/21 :50:30: 10,n ) 特征信息记为 1次。如此可以保证对于某个特征信息进行统计时用户数量的准确性，保证本申请的有效性。

S23 , 针对消重后的各相同特征信息，统计各特征消息的重复次数。再去重后，可统计各特征消息的重复次数，该次数与扫描得到该特征信息的用户端数量一致。

本申请还可通过其他方法进行消重运算，统计各个文件特征信息的重复次数，对此本申请不对其加以限制。

步骤 230 , 提取重复次数大于或大于等于数量阔值的特征信息。

在得到特征信息的重复次数以后，将重复次数与数量阔值进行比较，如果所述重复次数大于阔值，则将其存入数据文件。比如对于前述

( m,100kb, 2012/l/l l/21 :50:30: 10,n ) 特征信息的重复次数为 15万, 而阔值设置为 10万，那么可将该特征信息数据提取。

步骤 240 , 将所述提取出来的特征信息存入数据文件，并依据所述数据文件生成数据包。

在本申请中数据文件可以中的数据可以列表的形式存在，每条特征信息包括多个维度，比如对于 ( m,100kb, 2012/l/l l/21 :50:30: 10,n ) , 则列表中该条特征信息包括四个维度，分别为文件大小、文件修改时间、文件名 CRC值和内容匹配信息。然后在后续扫描匹配时以此四个维度进行匹配。

对于生成的数据文件，可以打包到杀毒软件的安装包，也可以生成升级补丁的形式。另外，在所述数据包生成之前还包括：

步骤 S210 , 接收用户端发送的不安全文件的特征信息，不将该特征信息存入数据文件或者将数据包中与该特征信息相同的特征信息进行删除。

用户端对于完整扫描时间大于阔值的出现了病毒的文件，也会将该不安全文件的特征信息标记为不安全，再发送至处理中心服务器中，处理中心服务器对于具有该特征信息的所有条数据可均不进行处理，也不存入数据文件。比如有 5万个用户端发送了前述（m,100kb ,

2012/l/l l/21 :50:30: 10,n ) 特征信息的数据，但其中一个用户端发送的该特征信息的数据标识为不安全，即发现病毒，则处理中心服务器则可不对具有 ( m,100kb , 2012/l/l l/21 :50:30: 10,n ) 特征信息的数据进行处理，不将包括（m,100kb , 2012/l/l l/21 :50:30: 10,n )的特征信息存入数据包中。

另外，在实际中，处理中心服务器在对各用户端发送的特征信息进行统计时，一般以一定时间长度为周期进行统计，并在对该周期的统计结果生成安全文件的特性信息的数据包。比如处理中心服务器以天为时间单位对各用户端发送的特征信息数据进行统计，然后生成数据包，可提供给下一周期的第一用户端使用。

步骤 120 , 逐个扫描系统中文件的文件特征信息，若当前扫描的文件时，则跳过对当前文件的杀毒扫描，继续扫描下一个文件。

比如对文件内容中包括的恶意代码或者病毒等进行杀毒扫描。

在获取到所述数据后，则可进行快速扫描：

步骤 S121 , 第一用户端的系统逐个扫描系统中文件的特征信息；步骤 S122 , 将当前扫描的文件特征信息与所述数据包中标示文件为安全文件的安全文件特征信息进行匹配；若匹配时，则转入步骤 S123 , 跳过当前的文件，继续扫描下一个文件；若不匹配时，则转入步骤 S124 , 对当前文件进行完整的杀毒扫描，即扫描当前文件的所有内容。

在实际中，在第一用户端进行扫描之前还包括：确认是否选择快速扫描，如果是，则扫描文件的特征信息，并调用所述数据包进行匹配。

即第一用户端可以选择进行快速扫描或者是对文件的完整扫描，如果选择快速扫描，则可扫描文件的特征信息，并调用所述数据包进行匹配进行特征信息的匹配。当所述文件的特征信息与所述数据包中的特征信息匹配时，则跳过当前文件，继续扫描下一个文件。在本申请中，当第一次扫描时，可提示第一用户端是否选择快速扫描，如果选择则扫描文件的特征信息，并调用所述数据包进行匹配。

如果第一用户端选择进行快速扫描，那么第一用户端在扫描时则首先获取第一用户端文件的特征信息进行匹配，而不用扫描文件的全部内容。

在第一用户端将所述文件的特征信息与所述数据包中的特征信息进行匹配时：

在緩存中从匹配效率最高的特征信息开始进行匹配。

由于数据包中特征信息是多维的，在判定是否匹配时，可以从效率最高的数据开始比较，比如不需要进行而外计算的维度，例如文件大小和文件修改时间，因为文件大小和修改时间是在遍历文件时即可获得的系统数据，不需要额外的运算，那么如此操作可以提高预置緩存的比较匹配的效率。

任选地，在匹配时：

步骤 S31 , 当文件大小和文件修改时间与数据库中的一条特征信息匹配时，则将文件名进行所述循环冗余码校验计算，得到文件名 CRC值，并将所述文件名 CRC值与该条特征信息的文件名 CRC值进行匹配。其中，文件名的 CRC运算是内存操作，数据量很小。

在匹配时，首先从匹配效率较高的维度进行匹配，对于数据包中一条特征信息维度中，文件大小和文件修改时间不需要进行额外计算，可直接进行匹配，那么当用户端扫描时，对于获取到的特征信息的文件大小和文件爹改时间 , 比如可首先比较文件大小 , 在比较文件爹改时间。若当前扫描的文件的文件大小和文件修改时间相同时，则比较计算量相对较小的维度，比如通过 CRC运算计算文件名 CRC值，然后将所述文件名 CRC值与该条特征信息的文件名 CRC值进行匹配，如果未匹配上，则进入完整扫描，如果匹配上，则进入计算量相对较多的维度进行匹配，比如转入步骤 S32。

步骤 S32 , 当所述文件名 CRC值与该条特征信息的文件名 CRC值匹配时，则将文件内容描述信息进行所述消息摘要算法计算，得到内容匹配信息，并将所述内容匹配信息与该条特征信息的内容匹配信息进行匹西己。

当文件大小，文件爹改时间和文件名 CRC值都匹配上时，则将文件内容描述信息进行消息摘要算法计算，一般是进行 MD5计算，得到文件内容匹配信息，则将所述内容匹配信息与该条特征信息的内容匹配信息进行匹配，当匹配上，则跳过当前的文件，转入扫描下一个文件。

在本申请中，匹配时，如果对于特征信息中，有一个维度未匹配上，即表示该文件未匹配上，即可将该文件进行杀毒扫描。比如前述的特征信息的四个维度：文件大小，文件修改时间，文件名 CRC值和内容匹配信息，该四个维度的匹配顺序为： 1、文件大小， 2、文件爹改时间， 3、文件名 CRC值 4、内容匹配信息；那么如果一个将文件 A的文件大小与数据包中的特征信息的第一维度，即文件大小进行匹配时未匹配上时，可不用进行 2、 3和 4维度的匹配，即可文件 A需要进行杀毒扫描；如果文件 A的文件大小匹配上，再将文件 A的文件^ ί'爹改时间与数据包中的该条特征信息的第 2维度，即文件修改时间进行匹配时未匹配上，那么可不用进行 3和 4维度的匹配，即可将文件 Α进行杀毒扫描。其他情况可以依此类推。

另外，在每次扫描时，任选地，在第一用户端进行扫描时，将当次扫描结果中安全文件的特征信息存入所述数据包的安全文件信息列表；当第一用户端下一次进行扫描时根据上一次扫描后的记录进行扫描。

在第一用户端结合当前的数据包进行扫描时，对于特征信息未包含在数据包中的文件，如果当次检测安全，则可将其该安全文件的特征信息存入数据包的安全文件信息列表中，当第一用户端进行下一次扫描时，可根据上一次的扫描结果更为快速的进行扫描。另外，当用户端对各文件进行完整扫描时，如果检测到某个文件不安全，但该文件的特征信息又在数据包中，则可将其从数据包中的安全文件信息列表中删除。

相应的，参照图 4 , 本申请还公开了一种文件快速扫描系统的结构示意图，包括：

第一用户端 410 , 所述第一用户端包括：

获取模块 S411 , 用于获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息；

扫描匹配模块 S412 , 用于逐个扫描系统中文件的文件特征信息，若当前扫描的文件特征信息与所述数据包中标示文件为安全文件的安全文件特征信息匹配时，则跳过对当前文件的杀毒扫描，继续扫描下一个文件。

参照图 5 ,其示出了依据本发明一个实施例的文件快速扫描系统的结构示意图，包括：第一用户端 510 , 第二用户端群 520和处理中心服务器 530;

所述第一用户端包括 510:

获取模块 S511 , 用于获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息；

扫描匹配模块 S512 , 用于逐个扫描系统中文件的文件特征信息，若当前扫描的文件特征信息与所述数据包中标示文件为安全文件的安全文件特征信息匹配时，则跳过对当前文件的杀毒扫描，继续扫描下一个文件；

所述处理中心服务器 530用于统计各用户端发送到处理中心服务器中的安全文件特征信息获得所述数据包中的特征信息；

所述第二用户端群 520用于发送的安全文件的特征信息。

任选地，所述的处理中心服务器包括：

特征信息模块，用于接收各用户端发送的安全文件的特征信息；所述特征信息包括用户端完整扫描文件时，确定安全的文件的特征信息；统计模块，用于对于相同的特征信息，统计其重复次数；

提取模块，用于提取重复次数大于或大于等于数量阔值的特征信息。任选地，所述第二用户端群的各用户端包括：

特征信息获取单元，用于当扫描的文件安全时，获取文件的特征信息，所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息；

文件名计算单元，用于将文件名进行循环冗余码校验计算，得到文件名 CRC值；

内容描述信息计算单元，用于将文件内容描述信息进行消息摘要算法计算，得到内容匹配信息；

特征信息发送单元，用于将包括文件大小、文件修改时间、文件名

CRC值和内容匹配信息的特征信息进行发送。

任选地，所述统计模块包括：排序单元，用于将接收的特征信息按总重复次数进行排序；

消重单元，用于对于各相同特征信息，将属于同一个用户端发送的相同特征消息进行消重运算；

统计单元，用于针对消重后的各相同特征信息，统计各特征消息的重复次数。

任选地，在用户端完整扫描文件时：根据开始扫描文件时和结束扫描文件时的时间点，调用系统 API函数 GetTickCount计算从开始扫描文件和结束扫描文件时的扫描时间。

任选地，在提取模块之后还包括：

生成单元，用于将所述提取出来的特征信息存入数据文件，并依据所述数据文件生成数据包。

任选地，在所述数据包生成之前还包括：

去除单元，用于接收用户端发送的不安全文件的特征信息，不将该特征信息存入数据文件或者将数据包中与该特征信息相同的特征信息进行删除。

任选地，通过如下方法将所述文件的特征信息与所述数据包中的特征信息进行匹配：

在緩存中从匹配效率最高的特征信息开始进行匹配。

任选地，当文件大小和文件修改时间与数据库中的一条特征信息匹配时，则将文件名进行所述循环冗余码校验计算，得到文件名 CRC值，并将所述文件名 CRC值与该条特征信息的文件名 CRC值进行匹配；当所述文件名 CRC值与该条特征信息的文件名 CRC值匹配时，则将文件内容描述信息进行所述消息摘要算法计算，得到内容匹配信息，并将所述内容匹配信息与该条特征信息的内容匹配信息进行匹配。

任选地，还包括：

提醒模块，用于当第一次扫描时，提示第一用户端是否选择快速扫描，如果选择则扫描文件的特征信息，并调用所述数据包进行匹配。

任选地，还包括：更新记录模块，用于在第一用户端进行扫描时，将当次扫描结果中安全文件的特征信息存入所述数据包的安全文件信息列表；当第一用户端下一次进行扫描时根据上一次扫描后的安全记录结果进行扫描。

对于系统实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

参照图 6 ,其示出了依据本发明的一个实施例的文件快速扫描系统的结构示意图，包括：第一用户端 610 , 所述第一用户端包括：

获取模块 S611 , 用于获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息；

特征信息扫描模块 S612 , 用于逐个扫描系统中文件的特征信息，并将所述特征信息与所述数据包中的特征信息进行匹配；当匹配上时，跳过当前文件,继续扫描下一个文件；当未匹配上时，第跳过当前文件,继续扫描下一个文件，并通知安全扫描模块对该文件进行完整扫描。

安全扫描模块 S613 , 用于对于未匹配上的文件，对该文件进行完整扫描。

参照图 7 ,其示出了依据本发明一个实施例的文件快速扫描系统的结构示意图，包括：

第一用户端 710 , 第二用户端群 720和处理中心服务器 730;

所述第一用户端包括 710:

所述第一用户端包括：

获取模块 S711 , 用于获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息。

特征信息扫描模块 S712 , 用于特征信息扫描模块扫描系统中文件的特征信息，并将所述特征信息与所述数据包中标示文件为安全文件的安全文件特征信息进行匹配；对于匹配上的文件，不对该文件进行杀毒扫描，对于未匹配上的文件，通知安全扫描模块对该文件进行的杀毒扫描。

安全扫描模块 S713 , 用于用于对于未匹配上的文件，对该文件进行杀毒扫描。

所述处理中心服务器 730用于统计各用户端发送到处理中心服务器中的安全文件特征信息获得所述安全文件的特征信息；

所述第二用户端群 720用于发送的安全文件的特征信息。

任选地，所述的处理中心服务器包括：

特征信息获取单元，用于当所述扫描的文件安全时，获取文件的特征信息，所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息；

特征信息发送单元，用于将包括文件大小、文件修改时间、文件名 CRC值和内容匹配信息的特征信息进行发送。

消重单元，用于对于各相同特征信息，将属于同一个用户端发送的相同特征消息进行消重运算；统计单元，用于针对消重后的各相同特征信息，统计各特征消息的重复次数。

任选地，在用户端完整扫描文件时：

根据开始扫描文件时和结束扫描文件时的时间点，调用系统 API函数 GetTickCount计算从开始扫描文件和结束扫描文件时的扫描时间。

任选地，在提取模块之后还包括：

任选地，在所述数据包生成之前还包括：

在緩存中从匹配效率最高的特征信息开始进行匹配。

任选地，当文件大小和文件修改时间与数据库中的一条特征信息匹配时，则将文件名进行所述循环冗余码校验计算，得到文件名 CRC值，并将所述文件名 CRC值与该条特征信息的文件名 CRC值进行匹配；

当所述文件名 CRC值与该条特征信息的文件名 CRC值匹配时，则将文件内容描述信息进行所述消息摘要算法计算，得到内容匹配信息，并将所述内容匹配信息与该条特征信息的内容匹配信息进行匹配。

任选地，还包括：

参照图 8 ,其示出了依据本发明的一个实施例的文件快速扫描方法的流程示意图，包括：

步骤 810 , 获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息。

步骤 820 , 逐个扫描系统中文件的文件特征信息，将当前扫描的文件匹配；若匹配时，则跳过对当前文件的杀毒扫描，继续扫描下一个文件；若未匹配时，对当前文件进行杀毒扫描，当扫描时间大于或大于等于时间阔值并且安全时，将该文件的安全文件特征信息更新至数据包。

在获取到所述数据后，则可进行快速扫描：

步骤 S821 , 第一用户端的系统逐个扫描系统中文件的特征信息；步骤 S822 , 将当前扫描的文件特征信息与所述数据包中标示文件为安全文件的安全文件特征信息进行匹配；若匹配时，则转入步骤 S823 , 跳过当前的文件，继续扫描下一个文件；若不匹配时，则转入步骤 S824, 对当前文件进行完整的杀毒扫描，当扫描时间大于或大于等于时间阔值并且安全时，转入步骤 S825 , 将该文件的安全文件特征信息更新至数据包。

在实际中，步骤 S825中的特征信息可通过如下步骤获得：

步骤 Ml , 获取文件的特征信息，所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息；

步骤 M2 , 将文件名进行循环冗余码校验计算，得到文件名 CRC值；步骤 M3 , 将文件内容描述信息进行消息摘要算法计算，得到内容匹配信息；

步骤 M4 , 将包括文件大小、文件修改时间、文件名 CRC值和内容匹配信息的作为安全文件特征信息。步骤 Ml至步骤 M4具体方法与前述步骤 S11至 S14相似。

其中，更新数据包的过程中，可直接将所述安全文件的特征信息更新至本地系统中的数据包中，也可将所述安全文件的特征信息发送至处理中心服务器中，由处理中心服务器根据其规则更新至对应各应用端的数据包中。

即第一用户端可以选择进行快速扫描或者是对文件的完整扫描，如果选择快速扫描，则可扫描文件的特征信息，并调用所述数据包进行匹配进行特征信息的匹配。当所述文件的特征信息与所述数据包中的特征信息匹配时，则跳过当前文件，继续扫描下一个文件。

在本申请中，当第一次扫描时，可提示第一用户端是否选择快速扫描，如果选择则扫描文件的特征信息，并调用所述数据包进行匹配。

参照图 9 ,示出了依据本发明一个实施例的数据包生成方法的流程示意图，包括：

步骤 910 , 接收各用户端发送的安全文件的特征信息；所述特征信息包括用户端完整扫描文件时，文件的扫描时间大于或大于等于时间阔值的安全的文件的特征信息。

任选的，在用户端完整扫描文件时，当所述扫描时间大于或大于等于时间阔值并安全时：所述的完整扫描为用户端系统中各文件的全部内容进行杀毒扫描。

步骤 920 , 对于相同的特征信息，统计其重复次数。

步骤 930 , 提取重复次数大于或大于等于数量阔值的特征信息。

步骤 940 , 将所述提取出来的特征信息存入数据文件，并依据所述数据文件生成数据包。

对于与其它实施例类似的步骤，在这里不再详述。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP ) 来实现根据本发明实施例的 ***设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

例如，图 10示出了可以实现根据本发明的文件快速扫描方法的服务器，例如应用服务器。该服务器传统上包括处理器 1100和以存储器 1200 形式的计算机程序产品或者计算机可读介质。存储器 1200可以是诸如闪存、 EEPROM (电可擦除可编程只读存储器）、 EPROM、硬盘或者 ROM 之类的电子存储器。存储器 1200具有用于执行上述方法中的任何方法步骤的程序代码 1310 的存储空间 1300。例如，用于程序代码的存储空间 1300 可以包括分别用于实现上面的方法中的各种步骤的各个程序代码 1310。这些程序代码可以从一个或者多个计算机程序产品中读出或者写入到这一个或者多个计算机程序产品中。这些计算机程序产品包括诸如硬盘，紧致盘（CD ) 、存储卡或者软盘之类的程序代码载体。这样的计算机程序产品通常为如参考图 11所述的便携式或者固定存储单元。该存储单元可以具有与图 10的服务器中的存储器 1200类似布置的存储段、存储空间等。程序代码可以例如以适当形式进行压缩。通常，存储单元包括计算机可读代码 1310' , 即可以由例如诸如 1100之类的处理器读取的代码，这些代码当由服务器运行时，导致该服务器执行上面所描述的方法中的各个步骤。

本文中所称的 "一个实施例"、 "实施例"或者"一个或者多个实施例 "意味着，结合实施例描述的特定特征、结构或者特性包括在本发明的至少一个实施例中。此外，请注意，这里"在一个实施例中"的词语例子不一定全指同一个实施例。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下被实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词"包含"不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词 "一"或"一个"不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

此外，还应当注意，本说明书中使用的语言主要是为了可读性和教导的目的而选择的，而不是为了解释或者限定本发明的主题而选择的。因此，在不偏离所附权利要求书的范围和精神的情况下，对于本技术领域的普通技术人员来说许多修改和变更都是显而易见的。对于本发明的范围，对本发明所做的公开是说明性的，而非限制性的，本发明的范围由所附权利要求书限定。

Claims

权利要求

1、一种文件快速扫描方法，其包括：

获取数据包；所述数据包包括用于确定系统中文件是否为安全文件的安全文件特征信息；

逐个扫描系统中文件的文件特征信息，若当前描的文件特征信息过对当前文件的杀毒扫描，继续扫描下一个文件。

2、根据权利要求 1所述的方法，其中：

若未匹配时，对当前文件进行杀毒扫描，当扫描时间大于或大于等于时间阈值并且安全时，将该文件的安全文件特征信息更新至数据包。

3、根据权利要求 1或 2所述的方法，其中：

所述特征信息通过统计各用户端发送到处理中心服务器中的安全文件特征信息获得。

4、根据权利要求 3所述的方法，其中，通过如下步骤统计各用户端发送到处理中心服务器中的安全文件特征信息获得所述特征信息：

接收各用户端发送的安全文件的特征信息；所述特征信息包括用户端完整扫描文件时，确定安全的文件的特征信息；

对于相同的特征信息，统计其重复次数；

提取重复次数大于或大于等于数量阔值的特征信息。

5、根据权利要求 4所述的方法，其中，在用户端完整扫描文件时：当所述扫描的文件安全时，获取文件的特征信息，所述特征信息包括文件名、文件大小、文件修改时间和文件内容描述信息；

将文件名进行循环冗余码校验计算，得到文件名 CRC值；

将文件内容描述信息进行消息摘要算法计算，得到内容匹配信息；将包括文件大小、文件修改时间、文件名 CRC值和内容匹配信息的特征信息进行发送。

6、根据权利要求 3或 5所述的方法，其中，对于相同的特征信息，统计其重复次数：

将接收的特征信息按总重复次数进行排序；

对于各相同特征信息，将属于同一个用户端发送的相同特征消息进行消重运算；

针对消重后的各相同特征信息，统计各特征消息的重复次数。

7、根据权利要求 4所述的方法，其中，在提取重复次数大于或大于等于数量阔值的特征信息之后包括：

将所述提取出来的特征信息存入数据文件，并依据所述数据文件生成数据包。

8、根据权利要求 3所述的方法，其中，在所述数据包生成之前还包括：

接收用户端发送的不安全文件的特征信息，不将该特征信息存入数据文件或者将数据包中与该特征信息相同的特征信息进行删除。

9、根据权利要求 3所述的方法，其中：

在生成上一个数据包后，当统计到新的安全文件的特征信息后，更新至上一个数据包。

10、根据权利要求 1 或 2所述的方法，其中，通过如下方法将所述文件的特征信息与所述数据包中的特征信息进行匹配：

在緩存中从匹配效率最高的特征信息开始进行匹配。

11、根据权利要求 10所述的方法，其中：

当文件大小和文件修改时间与数据库中的一条特征信息匹配时，则将文件名进行所述循环冗余码校验计算，得到文件名 CRC值，并将所述文件名 CRC值与该条特征信息的文件名 CRC值进行匹配；

12、一种文件快速扫描系统，其包括：

第一用户端，所述第一用户端包括：

13、根据权利要求 12所述的系统，其中，还包括：

第二用户端群和处理中心服务器；

所述处理中心服务器用于统计各用户端发送到处理中心服务器中的安全文件特征信息获得所述数据包中的特征信息；

所述第二用户端群用于发送的安全文件的特征信息。

14、根据权利要求 13所述的系统，其中，所述的处理中心服务器包括：

提取模块，用于提取重复次数大于或大于等于数量阔值的特征信息。

15、根据权利要求 13所述的系统，其中，所述第二用户端群的各用户端包括：

16、根据权利要求 14所述的系统，其中，所述统计模块包括：排序单元，用于将接收的特征信息按总重复次数进行排序；

17、根据权利要求 14所述的系统，其中，在提取模块之后还包括：生成单元，用于将所述提取出来的特征信息存入数据文件，并依据所述数据文件生成数据包。

18、根据权利要求 14所述的系统，其中，在所述数据包生成之前还包括：

19、根据权利要求 14所述的系统，其中，还包括：

更新模块，用于在生成上一个数据包后，当统计到新的安全文件的特征信息后，更新至上一个数据包。

20、根据权利要求 15所述的系统，其中，通过如下方法将所述文件的特征信息与所述数据包中的特征信息进行匹配：

在緩存中从匹配效率最高的特征信息开始进行匹配。

21、根据权利要求 20所述的系统，其中：

22、根据权利要求 12所述的系统，其中，还包括：

23、根据权利要求 12所述的方法，其中，还包括：更新记录模块，用于在第一用户端进行扫描时，将当次扫描结果中安全文件的特征信息存入所述数据包的安全文件信息列表；当第一用户端下一次进行扫描时根据上一次扫描后的安全记录结果进行扫描。

24、一种计算机程序，包括计算机可读代码，当所述计算机可读代码在服务器上运行时，导致所述服务器执行根据权利要求 1-11 中的任一个所述的文件快速扫描方法。

25 , 一种计算机可读介质，其中存储了如权利要求 24所述的计算机程序。