[發(fā)明專利]閃存芯片數(shù)據(jù)分析環(huán)境重組方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201010607021.1
• 申請(qǐng)日: 2010-12-27
• 公開(kāi)（公告）號(hào): CN102567210A
• 公開(kāi)（公告）日: 2012-07-11
• 發(fā)明（設(shè)計(jì)）人: 高志鵬;張志偉;吳世雄
• 申請(qǐng)（專利權(quán)）人: 廈門市美亞柏科信息股份有限公司
• 主分類號(hào): G06F12/02
• 分類號(hào): G06F12/02
• 代理公司: 北京同輝知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11357
• 代理人: 劉洪勛

技術(shù)領(lǐng)域

本發(fā)明涉及閃存芯片技術(shù)領(lǐng)域，特別是涉及一種閃存芯片數(shù)據(jù)分析環(huán)境重組方法和裝置。

背景技術(shù)

隨著存儲(chǔ)行業(yè)日新月異的發(fā)展，基于FLASH(閃存)芯片的新型存儲(chǔ)模式取代傳統(tǒng)的機(jī)械磁存儲(chǔ)(硬盤)模式已是大勢(shì)所趨，技術(shù)上的巨大差異使傳統(tǒng)數(shù)據(jù)分析行業(yè)面臨前所未有的嚴(yán)峻挑戰(zhàn)。FLASH芯片中數(shù)據(jù)組織模式的不同造成傳統(tǒng)數(shù)據(jù)分析工具無(wú)法對(duì)其數(shù)據(jù)識(shí)別、加載的后果，因此，需要本領(lǐng)域技術(shù)人員提供一種新的技術(shù)，將FLASH芯片數(shù)據(jù)的組織模式改變?yōu)閭鹘y(tǒng)硬盤的數(shù)據(jù)組織模式，同時(shí)又保證不會(huì)改變?cè)璅LASH芯片的數(shù)據(jù)分析環(huán)境，才能從根本上上述問(wèn)題。

現(xiàn)有技術(shù)的主要采用如下方案解決FLASH芯片的數(shù)據(jù)分析問(wèn)題：

字串搜索方式：用編程器讀出FLASH芯片數(shù)據(jù)鏡像，在數(shù)據(jù)鏡像內(nèi)通過(guò)直接查找字符串，對(duì)字符串進(jìn)行編解碼，從而獲得證據(jù)信息。該方法思路簡(jiǎn)單，實(shí)現(xiàn)容易，搜索速度較快，可以定位并獲取敏感信息。但該方案的局限性也非常明顯：無(wú)法從文件系統(tǒng)的角度挖掘出數(shù)據(jù)，特別對(duì)照片、復(fù)合文檔、視頻、錄音等重要文件缺乏支持；另外，就其本身技術(shù)細(xì)節(jié)而言，其挖掘出的字符串存在截?cái)唷y碼的風(fēng)險(xiǎn)。

圖片碎片重組方式：該方案直接利用圖片碎片的特征信息，找出圖片碎片后按照正確順序重新拼接成圖片；該方案可解決存儲(chǔ)在flash芯片中的圖形證據(jù)的獲取問(wèn)題，但該方案的缺陷亦非常顯著：只能針對(duì)圖片數(shù)據(jù)進(jìn)行挖掘，而且，由于圖片壓縮編碼多樣復(fù)雜，實(shí)際挖掘效果與預(yù)期相差甚遠(yuǎn)。另外，類似的方案還有復(fù)合文檔碎片重組，數(shù)據(jù)庫(kù)頁(yè)重組等，與圖片碎片重組方式的原理一致，優(yōu)缺點(diǎn)也相同。

以上方案無(wú)一例外都是針對(duì)某一種證據(jù)信息而設(shè)計(jì)的，都不能進(jìn)行數(shù)據(jù)分析環(huán)境的改造，在FLASH頁(yè)排列混亂的狀況下，以上方案都不能完美達(dá)到預(yù)期的技術(shù)效果。

發(fā)明內(nèi)容

本發(fā)明所要解決的技術(shù)問(wèn)題是提供一種閃存芯片數(shù)據(jù)分析環(huán)境重組方法和裝置，能夠非常簡(jiǎn)單的對(duì)存在固定映射表結(jié)構(gòu)的閃存芯片進(jìn)行重組，將閃存芯片數(shù)據(jù)的組織模式改變?yōu)閭鹘y(tǒng)硬盤的數(shù)據(jù)組織模式，同時(shí)又不會(huì)改變?cè)W存芯片的數(shù)據(jù)分析環(huán)境。

為了解決上述問(wèn)題，一方面提供了一種閃存芯片數(shù)據(jù)分析環(huán)境重組方法，包括：獲取閃存芯片的完整數(shù)據(jù)鏡像，存儲(chǔ)在本地計(jì)算機(jī)硬盤中，作為閃存數(shù)據(jù)分析環(huán)境；在所述本地計(jì)算機(jī)硬盤中創(chuàng)建用于保存重組結(jié)果的空的容器文件，作為硬盤數(shù)據(jù)分析環(huán)境；

從所述閃存數(shù)據(jù)分析環(huán)境中搜索滿足條件的映射表；記錄所有滿足條件的映射表的地址，形成列表一；根據(jù)所述列表一中的映射表地址推算映射表的大小，記錄每個(gè)映射表的大小，形成列表二；

計(jì)算每個(gè)所述映射表的表項(xiàng)數(shù)目；解讀每個(gè)表項(xiàng)代表的頁(yè)在所述閃存數(shù)據(jù)分析環(huán)境和硬盤數(shù)據(jù)分析環(huán)境中的地址；從所述閃存數(shù)據(jù)分析環(huán)境地址處讀取每個(gè)表項(xiàng)代表的頁(yè)，然后寫入硬盤數(shù)據(jù)分析環(huán)境地址中，依次類推，完成每個(gè)映射表對(duì)應(yīng)管理區(qū)的重組，存儲(chǔ)于所述容器文件中。

優(yōu)選的，上述閃存芯片數(shù)據(jù)分析環(huán)境重組方法，還包括：比較所述列表一中映射表地址的數(shù)目與所述列表二中映射表大小的數(shù)目是否相等；如果相等，繼續(xù)下一步操作；如果不相等，終止流程。

優(yōu)選的，上述閃存芯片數(shù)據(jù)分析環(huán)境重組方法，還包括：用數(shù)據(jù)分析工具查看所述硬盤數(shù)據(jù)分析環(huán)境，驗(yàn)證重組結(jié)果。

優(yōu)選的，在所述從所述閃存數(shù)據(jù)分析環(huán)境中搜索滿足條件的映射表步驟中，所述映射表的搜索條件滿足：

映射表的第二個(gè)字節(jié)為0x00或0x01或0x02或0x03或0x0B；第三個(gè)字節(jié)為0x00；第四個(gè)字節(jié)為0xAC或0x39或0x3D或0xAF或0xFE或0xAD，并且所述映射表的起始地址能被0x2000整除。

優(yōu)選的，在所述根據(jù)所述列表一中的映射表地址推算映射表的大小步驟中，推算映射表大小的方法為：

映射表n+1的地址減去映射表n的地址得到的結(jié)果除以0x10000，得到的結(jié)果即為映射表n的大小；如果映射表n+1的地址減去映射表n的地址得到的結(jié)果小于0x10000，則按照0x10000計(jì)算；最后一個(gè)映射表m的大小等于倒數(shù)第二個(gè)映射表m-1的大小；其中，1≤n≤m-1。

優(yōu)選的，所述計(jì)算每個(gè)所述映射表的表項(xiàng)數(shù)目的方法為：所述映射表的大小乘以512字節(jié)除以4。

優(yōu)選的，在上述方法中，解讀每個(gè)表項(xiàng)代表的頁(yè)在所述閃存數(shù)據(jù)分析環(huán)境中地址的方法為：

從每個(gè)映射表的第二表項(xiàng)起，每個(gè)表項(xiàng)代表的頁(yè)在閃存數(shù)據(jù)分析環(huán)境中的地址為：映射表地址加映射表大小加(t-2)個(gè)頁(yè)長(zhǎng)，其中，t表示表項(xiàng)在映射表中的索引，t≥2。