今天的汽车里，电子控制单元、信息娱乐系统、远程服务和手机应用彼此相连。车辆在行驶、碰撞、充电、导航、配对手机或接受远程指令时，都会留下记录。有些数据保存在车内模块，有些被传到制造商、车队平台或云端账户。

遇到交通事故、车辆盗窃、保险纠纷、危险驾驶或涉车刑事案件时，这些记录可能回答许多具体问题：碰撞前几秒车速是多少，驾驶员是否制动，哪部手机连接过车辆，导航系统搜索过什么地点，车辆何时充过电，是否有人通过手机应用远程开锁。

但车载数据不会自动还原事实。调查人员需要先弄清记录来自哪个系统、在什么条件下生成、时间是否可靠，再把它与手机、云端、道路痕迹、监控录像和证人陈述放到同一条时间线上核对。

一、车辆数据主要藏在哪里

汽车取证大致有两条主线：一条围绕碰撞事件，主要分析事件数据记录器；另一条围绕车辆的日常使用，分析信息娱乐、远程信息处理、控制模块和云端服务。两类数据关注的问题不同，经常需要合并使用。

1. 事件数据记录器：碰撞前后的短时快照

事件数据记录器（Event Data Recorder，EDR）常被称为汽车“黑匣子”。这个称呼容易造成误解。EDR通常只在满足特定触发条件时，保存事件前后很短一段时间内的车辆状态，并不连续记录车辆的全部活动。

视车型、模块和触发条件不同，EDR可能记录：

• • 车辆速度或轮速；

• • 制动状态；

• • 加速踏板或节气门位置；

• • 转向输入；

• • 发动机转速；

• • 安全带状态；

• • 安全气囊展开情况；

• • 碰撞速度变化量（Delta-V）；

• • ABS、车身稳定控制等系统状态；

• • 点火循环和事件时间信息。

这些数据常用于分析碰撞前几秒车辆如何运动、驾驶输入是否与道路痕迹相符、安全约束系统是否启动。

EDR也有明确边界。触发阈值、记录窗口、覆盖机制和字段含义会随厂商、车型和模块变化。低速碰擦、行人碰撞或其他未达到触发条件的事件，未必会形成可提取记录。

2. 车载信息娱乐系统：手机、路线和用户配置留下的痕迹

车载信息娱乐系统（In-Vehicle Infotainment，IVI）可能保存：

• • 已配对手机及设备标识；

• • 蓝牙、Wi-Fi和USB连接记录；

• • 联系人、通话记录和短信元数据；

• • 导航搜索、历史目的地和近期路线；

• • 地图缓存、收藏地点和行程摘要；

• • 媒体播放记录；

• • 应用活动；

• • 用户配置文件；

• • 语音指令、音频、图像或短视频。

这些记录可以说明某台设备是否与车辆建立过连接，导航或媒体系统在某段时间是否有活动，以及车辆系统中出现过哪些地点信息。

解释时要克制：

搜索过某个地点，不代表车辆到过那里；手机与车辆配对，也不能单独证明手机所有人当时正在驾驶。

系统记录首先反映设备或系统活动。要进一步关联到具体人员，还需结合车钥匙、座椅记忆、手机定位、车辆账户、收费记录、监控录像、证人证言和其他物证。

3. 远程信息处理、联网服务和云端记录

联网车辆的关键记录未必留在车内。制造商后台、车队平台、租赁平台、保险服务、伴随应用和第三方服务商可能保存：

• • 行程和点火记录；

• • GPS位置和速度；

• • 远程开锁、闭锁、启动或空调控制；

• • 碰撞通知；

• • 诊断故障码；

• • 蓄电池或动力电池状态；

• • 里程和保养提醒；

• • 手机应用下发的控制命令；

• • 账户登录和操作记录。

这类数据受保存期限、账户权限、服务协议和法律程序限制。发现相关记录后，应尽早确认数据保管方，并评估是否需要发送保全请求。等车内提取全部结束后再联系服务商，记录可能已经过期或被覆盖。

4. ECU和车载网络

一辆车内可能装有数十个甚至更多电子控制单元（ECU），分别负责动力、制动、转向、安全气囊、车身控制、驾驶辅助、电池管理和网关通信。各模块通过CAN、LIN、FlexRay、车载以太网或厂商专用总线交换信息。

其中可能包含：

• • 诊断故障码；

• • 冻结帧数据；

• • 故障历史和计数器；

• • 标定与软件版本信息；

• • 里程值；

• • 点火或钥匙循环次数；

• • 模块时间戳；

• • 系统启停和状态变化记录。

模块时钟可能漂移，有些记录使用相对时间。继续通电、开门、启动车辆或运行诊断程序，也可能生成新记录，甚至覆盖旧数据。

二、先别急着插线：保全工作从控制车辆开始

车辆到手后，应先确认权限、固定现状，并安排证据保全顺序。启动或扫描要放在这些工作之后。

1. 明确访问权限

控制了车辆，并不当然取得车载账户和云端数据的访问权限。实际依据可能来自车主同意、搜查令、法院命令、保险授权、车队制度、租赁合同、雇佣政策或其他法定程序。

车辆系统里可能存有联系人、家庭住址、工作地点、通话和消息信息、账户标识及长期路线。采集范围应与授权范围相符，必要时还应记录隐私最小化措施。

2. 固定车辆现状

改变车辆状态前，至少应拍摄并记录：

• • 车辆外观、内部和碰撞损伤；

• • 仪表盘、里程、告警信息；

• • 信息娱乐屏幕及当前显示时间；

• • 电量、充电状态和高压系统提示；

• • 已连接的线缆、USB设备、存储卡和手机；

• • 后装设备、行车记录仪、OBD设备和车队终端；

• • VIN、号牌、品牌、型号、年份、配置和钥匙状态；

• • 车辆处于启动、附件供电、休眠还是断电状态。

3. 同时控制关联设备

取证对象不只是一台车。车辆钥匙、遥控器、手机、存储卡、USB设备、行车记录仪、收费标签、车载热点、伴随应用和云端账户，都可能保存关联记录。

已配对手机进入蓝牙范围后，可能自动连接车辆。开门、解锁、靠近钥匙或恢复供电，也可能唤醒休眠中的ECU。某些现场中，先隔离钥匙和无线设备，比立即拆车更稳妥。

4. 减少不必要的状态改变

操作方案确定前，尽量避免：

• • 启动车辆或移动车辆；

• • 反复开关车门；

• • 连接诊断设备；

• • 配对新的手机；

• • 让车辆接入Wi-Fi或蜂窝网络；

• • 删除用户配置；

• • 修改时间、语言或导航设置；

• • 未评估模块状态便直接断电。

断电也不是通用答案。部分系统需要先完成正常休眠或关机，突然断电可能损坏数据，也可能影响指纹、DNA或痕迹物证的后续提取。汽车取证、事故勘查和痕迹检验人员应提前协调操作顺序。

三、提取方式怎么选

提取方法要同时考虑授权范围、车辆损坏程度、数据易失性、工具支持、改变证据的风险和案件问题。通常先选侵入性较低的方式，无法满足检验目的时再升级。

提取方式	常见用途	主要优点	风险或限制
诊断接口提取	EDR下载、模块查询、诊断数据	通常侵入性较低，部分流程有厂商支持	可能要求车辆供电、模块稳定和专用工具支持
台架提取	车辆严重损坏或模块已拆除	可减少整车反复上电，便于稳定供电	需要准确的针脚定义、线束连接和模块唤醒条件
IVI系统逻辑提取	导航、配对设备、通话和用户数据	定向、效率较高，对硬件影响较小	通常无法取得完整文件系统或已删除数据
物理、ISP或芯片级提取	不受支持、模块损坏或需要底层恢复	可能取得范围更广的数据	技术要求高，存在拆解、损坏或不可逆改变风险
云端或服务商导出	行程、应用命令、远程服务和账户活动	可取得车内未保存或已被覆盖的记录	依赖法律程序、服务商配合和保存期限

芯片级提取可能涉及拆除仪表台或主机、分离电路板、拆焊存储芯片，部分器件还需研磨封装或进行其他处理。一次操作失误，就可能让芯片永久损坏。因此，采用这类方法前应说明必要性，并完整记录拆解前后状态、工具参数和不可逆改变。

四、汽车取证的五个阶段

1. 案件受理：先把问题问具体

案件问题决定采集范围。常见问题包括：

• • 车辆是否在某个地点出现过；

• • 谁可能使用或控制过车辆；

• • 碰撞前是否制动、加速或转向；

• • 手机是否曾连接车辆；

• • 安全系统或驾驶辅助系统是否启动；

• • 数据能否支持报案人所述时间线；

• • 车载数据是否加密，是否需要特定提取方案。

问题太宽，容易造成无目的拆解和过量采集；限定得过死，又可能漏掉易失数据。

2. 识别与预检：车型名称远远不够

应确认车辆的具体配置、模块型号、软件版本、联网服务、后装设备、关联钥匙和手机，并区分燃油车、混合动力车、纯电动车、车队车辆、租赁车辆和配备驾驶辅助系统的车辆。

同一车型的不同年款、配置和供应商批次，主机硬件与存储结构都可能不同。仅凭品牌和车型名称选择提取方法，容易出错。

3. 采集：每一步都要留下记录

采集记录至少应包括：

• • 工具名称和版本；

• • 线缆、转接器和供电配置；

• • 车辆与模块电源状态；

• • 模块型号和标识；

• • 采集开始、结束时间；

• • 操作人员；

• • 环境条件；

• • 错误提示和重试过程；

• • 偏离标准程序的操作及原因。

存在多个数据源时，应优先保全最容易丢失、最可能被覆盖且与案件问题最相关的记录。

4. 处理与规范化：格式化报告不能代替源数据

提取完成后，应保留原始导出文件，制作工作副本，并在适用时计算校验值。分析时至少要查明：

• • 时间戳对应哪个时区；

• • 模块使用本地时间、GPS时间还是相对计时；

• • 车辆显示时间与标准时间相差多少；

• • 工具是否自动换算时间；

• • 原始数据、解析结果和人工判断之间如何对应。

工具生成的报告便于阅读，却不能替代底层数据。报告、源文件、日志、截图和解析依据都应尽量保留。

5. 关联与时间线构建：先把各套时钟对齐

最终时间线可纳入：

• • EDR碰撞前数据；

• • 车辆导航和蓝牙活动；

• • 远程信息处理事件；

• • 手机定位、通话和应用记录；

• • 道路监控；

• • 收费和停车记录；

• • 维修保养记录；

• • 车辆损伤、制动痕迹和安全气囊状态；

• • 当事人及证人陈述。

时间线中应标明时间来源、换算方式、时钟偏差、重复记录、缺失区段和无法解释的矛盾。结论还应区分三种情况：数据直接显示的内容、依据多项记录作出的推断，以及现有材料无法支持的说法。

五、几类常见数据怎么解释

1. 速度、制动与驾驶输入

车载系统里的“速度”未必指同一个量。它可能是轮速、车辆计算速度、GPS速度，也可能是根据位置变化推算出的速度。分析前应确认：

• • 数据来自哪个模块；

• • 采样间隔多长；

• • 单位是什么；

• • 记录窗口覆盖多久；

• • 由什么事件触发保存；

• • 数值是直接记录还是推导结果。

需要特别关注的是区分记录速度与推导速度。例如，只根据起点和终点位移计算，车辆绕行一圈后回到原点，所得结果可能接近零，但车辆实际行驶距离显然不为零。事故重建中，不能把不同算法产生的“速度”混在一起使用。

2. 位置与路线

车辆系统中的地点信息可能表现为GPS点、历史目的地、搜索词、收藏地点、轨迹点、地图缓存、地理围栏、充电地点或云同步事件。

每条记录都要先判断它究竟表示什么：

• • 车辆实际到达的位置；

• • 用户搜索过的目的地；

• • 保存的收藏点；

• • 系统预测路线；

• • 配对手机同步的数据；

• • 云端账户回传的记录。

地下车库、高楼环境、蜂窝定位、地图匹配和时钟偏差，都可能影响定位精度。

3. 配对设备与人员归属

配对记录可以支持“某设备曾与车辆系统建立关系”，连接日志也可说明某个时段出现过设备连接。但仅凭这些记录，不能认定驾驶人身份。

较稳妥的做法，是把配对记录与以下信息交叉核对：

• • 钥匙或钥匙卡使用；

• • 驾驶员座椅和后视镜记忆；

• • 车辆用户账户；

• • 手机自身定位；

• • 生物识别或驾驶员监测记录；

• • 收费、停车和道路监控；

• • 证人陈述和物理痕迹。

4. 驾驶辅助与自动化系统

高级驾驶辅助系统（ADAS）可能记录自适应巡航、车道保持、自动紧急制动、盲区监测、泊车辅助、驾驶员监测、摄像头、雷达、激光雷达和系统退出等信息。

解释时需要逐项确认：

• • 车辆是否安装并支持该功能；

• • 功能是否已启用；

• • 事故时是否实际介入；

• • 驾驶员是否覆盖系统控制；

• • 系统是否发出警告；

• • 传感器是否受到遮挡、天气或故障影响。

车辆配备某项功能，只能说明它具备相应能力，不能据此认定事故时功能正在运行。关键结论通常还需厂商技术资料支持。

5. 电动车和混合动力车辆

新能源车辆还可能产生：

• • 动力电池荷电状态；

• • 充电开始、结束和地点；

• • 高压系统状态；

• • 电池温度和热事件；

• • 能耗和续航数据；

• • 能量回收制动；

• • 充电枪连接记录；

• • 电池故障；

• • 手机应用控制命令。

这些数据可用于路线和车辆可用性分析，也可能与火灾调查、碰撞后电气状态、续航争议、充电纠纷和质保问题有关。现场人员还要留意高压、电池热失控和碰撞后结构损伤等安全风险。

六、EDR和IVI数据如何互相补充

比较项目	EDR	IVI与远程信息处理数据
主要关注点	碰撞事件及车辆动力学状态	导航、连接设备、远程服务和系统活动
典型问题	碰撞前后车辆做了什么	车辆去过哪里、连接过什么、系统发生过什么活动
时间范围	通常为事件前后数秒	可能覆盖更长历史时期
常见数据	速度、制动、节气门、转向、安全带、气囊、Delta-V	目的地、路线、蓝牙、通话、联系人、媒体、账户和远程命令
数据结构	相对结构化，受法规和厂商规范约束	缺少统一行业结构，车型和系统差异较大
分析重点	触发条件、采样方式和车辆状态	数据语义、用户归属、时间和跨设备关联

实际问题中的分工

调查问题	EDR可提供什么	IVI系统可提供什么
碰撞发生时发生了什么	Delta-V、气囊、事件时间和碰撞强度	通常作用有限，个别系统日志可能有相关事件
车辆怎样被操作	速度、制动、加速、转向和安全带状态	路线、导航和行程背景
车辆此前去过哪里	通常较弱	历史目的地、路线、搜索和位置记录
手机是否连接车辆	通常没有或很有限	配对设备、蓝牙连接、通话、联系人和媒体活动
是否存在分心可能	可显示迟滞制动或转向变化，但不能直接说明原因	可显示设备或系统活动，但不能单独证明谁在操作
时间线是否成立	为碰撞时点提供锚点	补充事件前后的路线和系统活动

EDR更适合锚定碰撞时刻，IVI和远程信息处理数据则补充事件前后的行程与系统活动。两类记录都需要外部证据核验。

七、汽车取证为什么更强调验证

车辆数据采集有一个绕不开的问题：提取过程本身可能改变证据。

启动车辆会生成新的点火和运行记录，开门可能唤醒模块，连接诊断工具会留下通信活动，芯片级提取更会直接改变硬件状态。因此，操作记录不能只写“提取成功”，还应说明车辆在每一步经历了什么。

质量控制至少包括：

• • 使用经过验证且版本受控的工具；

• • 保留工具版本、发布说明和已知限制；

• • 保存原始导出、截图、照片、日志和操作笔记；

• • 条件允许时重复提取并比较结果；

• • 用独立数据源核验关键发现；

• • 记录不支持车型、失败提取、部分提取和错误信息；

• • 区分原始数据、处理结果、鉴定人解释和专家意见；

• • 对重大伤亡、诉讼、高额保险或争议性解释开展同行复核。

工具解析出一条记录，只是分析的开始。字段含义、生成条件和时间来源仍需验证。

八、报告应该写到什么程度

一份可复核的汽车取证报告，既要让非技术人员看懂，也要留下足够信息供同行审查和重现。

可采用以下结构：

1. 1. 摘要；

2. 2. 委托事项、权限和检验范围；

3. 3. 检材接收和保管链；

4. 4. 车辆身份、配置和接收时状态；

5. 5. 工具、方法和提取过程；

6. 6. 检出的数据及来源说明；

7. 7. 时间线和交叉验证；

8. 8. 发现、限制和未解决问题；

9. 9. 按适当确信程度表述的结论；

10. 10. 日志、照片、数据表和支持材料等附录。

报告应写清数据支持哪些判断，又有哪些判断超出了数据本身。涉及人员归属、分心驾驶、实际到达地点等问题时，尤其不能把设备记录直接写成人的行为。

九、最容易踩的坑

• • 保存评估尚未完成便启动车辆、移动车辆、维修或扫描；

• • 默认所有时间戳准确、同步且位于同一时区；

• • 把搜索目的地当成实际行驶目的地；

• • 把已配对手机当成驾驶人身份的直接证明；

• • 只引用工具报告，不检查原始数据或支持材料；

• • 错过云端记录的保存期限；

• • 忽略后装设备、车队终端、行车记录仪、收费标签和充电记录；

• • 不记录错误、失败操作、模块不受支持或数据不完整；

• • 超出EDR触发条件和记录窗口解释数据；

• • 忽视权限边界和隐私限制。

十、现场工作清单

任务	完成	备注
确认权限和采集范围	☐
控制车辆并防止无关人员接触	☐
拍摄外观、内部、仪表、中控、损伤和连接设备	☐
记录VIN、里程、钥匙、电源状态和车辆状况	☐
识别EDR、IVI、远程服务、行车记录仪、后装和车队系统	☐
保全手机、钥匙、存储卡、USB设备、应用和云端账户	☐
选择提取方式并记录工具版本	☐
保全日志、报告、截图和适用的校验值	☐
将车辆记录与外部证据关联	☐
记录限制、失败操作和未解决问题	☐

十一、常见工具大致分工

汽车取证工具大致分为以下几类：

类型	代表性工具或厂商	主要用途
IVI和远程信息处理提取	Berla iVe、Magnet Autokey	识别支持车型，提取导航、配对设备、系统活动及部分加密车辆数据
EDR事故数据提取	Bosch CDR	提取速度、制动、节气门、安全带、气囊和Delta-V等事故数据
物理与模块级提取	RUSOLUT、Teel Tech及相关实验室设备	ISP、JTAG、芯片拆取和底层存储重建
综合分析平台	Magnet Axiom、Oxygen Forensic Detective	导入第三方车辆导出文件，与手机、计算机和云端证据一起解析和关联

工具名称不能代替方法验证。同一产品对不同品牌、年款、主机版本和模块的支持差别可能很大，采购或办案前应核对：

• • 支持车型、年款和具体模块；

• • 提取方式是否会写入或改变数据；

• • 加密数据的访问条件；

• • 导出格式及原始数据保留能力；

• • 已知问题、失败模式和版本变更；

• • 能否用其他工具或人工方法复核关键记录。

结语

汽车取证通常不会靠一个“关键文件”解决全部问题。EDR记录碰撞瞬间的车辆状态，IVI系统留下设备连接和导航活动，远程服务把证据范围延伸到车外，手机、云端和道路记录则用于校准时间、地点和人员关联。

最费功夫的环节，常常是解释记录。一条导航搜索、一次蓝牙连接、一个远程命令或一组速度数值，离开具体系统、触发条件和时间环境，都很容易被误读。

控制车辆，优先保全易失数据；选择足以完成任务且侵入性较低的提取方法；对关键发现使用独立证据核验。车辆系统会继续变化，这几条基本要求不会变。

参考文献

1. 1. Steve Gemperle. Vehicle forensics: a practical guide. Magnet Forensics, 2026-07-29.

2. 2. SWGDE. Best Practices for Vehicle Infotainment and Telematics Systems, Version 3.2, 2024-12-03.

3. 3. U.S. Electronic Code of Federal Regulations. 49 CFR Part 563—Event Data Recorders.

扩展阅读

电子证据的现场处置：风险与机遇并存

无人机取证响应全流程：现场、设备、数据与报告

数据恢复不只是“扫描”和“导出”：给鉴定人的通识课

2021年3月，国际刑警组织（INTERPOL）发布《电子数据取证现场指南：电子证据搜查和扣押最佳实践》。全文56页，面向最早接触电子设备的执法人员，也适用于现场指挥人员、电子数据取证技术人员和检察官。

它讨论的重点并非实验室里如何恢复文件、解析数据库，而是更靠前、也更容易出事的一段：

设备刚被发现时，到底该不该断电？手机要不要装进屏蔽袋？服务器能不能直接搬走？现场应当复制什么，又该记录什么？

这段时间往往只有几分钟。处理对了，后续还有分析空间；处理错了，密钥、会话、云端数据乃至整台设备的访问机会可能当场消失。

一、这是一份什么性质的文件

这份文件属于技术指南，不是国际标准，也不具有强制执行力。

国际刑警组织在开头用了较长篇幅声明：

• • 搜查、扣押、证据保管、分析、报告和法庭采信规则因国家而异；

• • 文件中的技术建议必须服从本国法律和程序；

• • 文中提到的开源软件、商业工具和在线服务并未得到国际刑警组织的验证或背书；

• • 向第三方工具输入案件数据，可能带来数据出境、隐私泄露和证据保管链问题。

这段免责声明看起来啰嗦，却提醒了一个经常被技术人员忽略的问题：技术上做得到，不等于程序上可以做。

指南的内容主要借鉴了欧洲委员会《电子证据指南》、西班牙国家网络安全研究院的电子证据收集材料，以及SWGDE的移动设备和车辆取证指南。它更像一份国际经验拼成的现场工作手册。

二、整份指南的主线其实很简单

文件将现场工作拆成几个连续阶段：

准备与授权 → 控制现场 → 评估设备 → 记录原始状态 → 选择处置方式 → 获取或扣押 → 封装运输 → 实验室分析

第12页的流程图把这种思路画得很直白：

1. 1. 先召开准备会议，明确行动目标；

2. 2. 协调指纹、DNA、搜爆等专业力量；

3. 3. 核查设备、工具和存储介质；

4. 4. 到场后判断设备处于开机还是关机状态；

5. 5. 对开机设备评估网络、内存和加密状态；

6. 6. 对关机设备判断是否需要现场制作镜像；

7. 7. 完成封装，送往实验室。

这个流程最有价值的地方，是把“扣走设备”放到了判断之后。

现场发现十台电脑，并不意味着十台都要搬回去。服务器正在维持一家企业的正常经营，也不能因为“里面可能有数据”就直接断电装车。要先问：案件需要证明什么？数据在哪里？有无替代获取方式？扣押整机是否必要？

三、现场处置最核心的判断：设备现在是什么状态

指南反复强调一个看似简单的原则：

开机设备不要轻易关机，关机设备不要随意开机。

但这不是机械规则。真正需要判断的是，当前状态中保存了什么，以及继续保持该状态会带来什么风险。

1. 开机设备可能保留着什么

开机状态下可能存在：

• • 内存中的磁盘加密密钥；

• • 已解锁的加密卷；

• • 当前登录的电子邮件、社交平台和云存储会话；

• • 正在运行的程序和进程；

• • 网络连接、远程挂载和共享目录；

• • 剪贴板、命令历史和临时数据；

• • 尚未写入磁盘的业务数据；

• • 恶意软件、擦除程序或远程控制程序的运行状态。

一旦断电，这些信息可能立刻消失。

所以，对开机电脑，指南建议先拍摄屏幕，记录日期、时间和时区，检查网络连接、加密卷、云端服务及正在运行的程序，再决定是否获取内存数据、逻辑数据或直接断电。

2. 保持开机也有风险

开机并不天然安全。

设备可能正在：

• • 执行安全擦除；

• • 接收远程删除指令；

• • 自动同步或覆盖云端数据；

• • 继续写入日志和缓存；

• • 触发定时销毁程序；

• • 因屏幕锁定、休眠或断电进入更强的加密状态。

现场人员必须在“保留易失数据”和“阻止数据继续变化”之间做选择。这正是现场响应人员需要接受专门训练的原因。

3. 关机设备为什么不要开机

一台已经关闭的电脑，原始存储状态相对稳定。直接开机可能造成：

• • 操作系统更新日志和时间戳；

• • 文件系统自动修复；

• • SSD触发后台管理活动；

• • 应用程序自动启动、同步或删除数据；

• • 加密或安全机制状态发生变化；

• • 外接设备被自动挂载。

需要紧急查看内容时，应使用经过验证的只读启动环境、写保护设备或其他受控方法。

四、现场记录不是拍几张照片就结束了

指南给出的编号例子很实用：

• • 笔记本电脑：EVI001

• • 其中的硬盘：EVI001A

• • 配套U盘：EVI001B

• • 光盘：EVI001C

这种父子编号能够保留设备与部件之间的关系。硬盘从哪台电脑拆出、哪个电源适配器属于哪台设备，几个月后仍然能够查清。

每件设备至少应记录：

项目	记录内容
基本信息	类型、品牌、型号、容量、序列号
原始状态	开机、关机、休眠、损坏、浸水等
发现位置	房间、桌面、抽屉及连接关系
访问状态	是否解锁、有无PIN或密码提示
网络状态	网线、Wi-Fi、蓝牙、蜂窝网络
外接设备	U盘、硬盘、存储卡、加密狗、充电器
现场操作	点击、拔线、断网、获取、关机等动作
时间信息	操作时间、设备显示时间及时区偏差

密码纸、SIM卡托、包装盒、路由器标签和写有账号的便签也不能忽视。它们看起来是普通物证，却可能决定设备能否解锁。

指南还提出一个容易被遗漏的问题：手机、键盘、鼠标等设备上可能存在指纹、DNA等传统痕迹。电子数据取证操作与传统痕迹提取的先后顺序，应当提前协调。

五、现场检查与完整检验应当分开

指南多次使用“triage”，可译为初步筛查或分流检查。

现场初步筛查的目的，是快速回答有限的问题：

• • 设备是否与案件有关；

• • 是否存在需要立即保全的数据；

• • 是否有加密、远程连接或自动删除风险；

• • 哪些设备应优先处理；

• • 哪些设备没有必要扣押。

它不能代替实验室检验。

现场看到一个文件、几条聊天记录或某个缩略图，只能说明初步发现了线索。是否存在删除数据、记录是否完整、时间戳是否可靠、数据由谁产生，仍需后续检验。

指南要求现场工具尽量满足几个条件：

• • 对原系统影响较小；

• • 尽量使用自带程序，不依赖被检设备中的程序；

• • 获取的数据写入外部介质；

• • 工具用途和工作原理能够说明；

• • 操作人员经过训练；

• • 全部操作同步记录。

这实际上把工具验证、人员能力和过程记录连在了一起。单纯说“某软件很常用”远远不够。

六、物理镜像不是唯一的证据获取方式

文件第4章区分了几种常见获取方式。

1. 设备到设备克隆

将源存储设备逐比特复制到另一块容量相同或更大的介质中。

优点是可以形成可直接使用的副本；缺点是目的盘管理、容量匹配和后续复制不够灵活。

2. 设备到镜像文件

将源设备保存为RAW、E01等镜像文件。

镜像文件可以分段、压缩、加密，并记录案件信息和校验值，通常更便于实验室管理。

3. 逻辑卷复制

适用于正在使用的加密卷。物理镜像中可能只有密文，而逻辑获取可以在卷已经解锁时保存明文内容。

4. 文件级逻辑复制

适用于服务器、云服务和大型业务系统，只获取与案件相关的文件、目录或记录。

这种方法可能无法保留未分配空间、文件松弛区及部分文件系统元数据，因此必须说明获取范围和局限。

指南没有把“逐比特镜像”奉为万能答案。服务器不能停机、数据位于云端、设备受到加密保护时，逻辑获取往往更现实。

七、哈希值能证明什么，不能证明什么

指南把哈希函数用于两类工作：

一是验证源数据与复制结果是否一致；二是将文件与已知文件库比对，例如利用NSRL排除常见系统文件，或识别执法部门掌握的已知违法文件。

这部分的基本方向没有问题，但实际工作中需要讲得更严谨。

哈希一致通常能够说明：两份数据在计算时具有相同的字节内容。

它并不能单独证明：

• • 原始数据由谁产生；

• • 数据在扣押前是否被篡改；

• • 获取范围是否完整；

• • 所用工具是否遗漏数据；

• • 文件内容是否真实；

• • 设备与某个使用人之间存在何种关系。

哈希是完整性验证手段，不是证据真实性的答案。

八、手机处置是全篇风险最高的部分

指南用两张流程图分别说明iOS和Android设备的处置。基本判断路径是：

• • 手机开机还是关机；

• • 能否访问系统；

• • 是否已经解锁；

• • 如何阻断网络；

• • 如何保持供电；

• • 如何防止设备再次锁定；

• • 如何记录设备标识；

• • 是否需要送实验室处理。

其长期有效的几条原则包括：

已开机且已解锁

应尽量保持解锁和供电，迅速评估网络隔离及数据获取条件。因为重新锁定或关机后，设备可能进入更难访问的安全状态。

已关机

通常保持关机，不要为了查看内容而启动。

飞行模式不等于完全隔离

新版本手机启用飞行模式后，Wi-Fi或蓝牙可能仍然开启，也可能被用户重新启用。现场人员必须逐项确认。

信号屏蔽袋也不是保险箱

设备在屏蔽环境中会不断尝试寻找信号，耗电速度可能加快。充电线还可能成为天线。因此，手机、电源和连接线是否一同置于屏蔽环境，需要实际测试。

移动设备没有传统意义上的写保护

只要与手机交互，系统状态就可能变化。操作越多，解释负担越重。

九、这份指南最大的特色是覆盖电子设备的种类足够多

文件后半部分几乎像一张电子证据设备地图。

设备类型	可能存在的数据	现场重点
服务器	文件、邮件、数据库、日志、活动目录、备份	评估停机影响，优先考虑选择性逻辑获取
相机、GPS、行车记录仪	图片、视频、轨迹、设备时间	同时检查内置存储和存储卡
智能手表	通知、联系人、健康和运动记录、配对信息	与手机一并识别，注意蓝牙连接
智能电视和音箱	账号、应用、浏览记录、连接设备	尽量少操作，连同遥控器和电源收集
网络摄像机	本地存储、云端录像、账号和二维码	查找存储卡、云端凭证和配套App
游戏主机	用户账号、社交数据、浏览记录、存储文件	数据可能主要位于平台云端
无人机	飞行日志、返航点、航迹、照片、遥测数据	无人机、遥控器、手机、存储卡整体考虑
监控录像系统	录像、通道设置、系统时间、远程用户	先记录时间偏差，防止循环覆盖
加密货币钱包	私钥、助记词、PIN、二维码、账号凭证	防止他人抢先转移资产，完整记录交易
车辆	导航、配对手机、通话、车辆事件、ECU数据	控制上下电次数，隔离无线连接
船载设备	AIS、ECDIS、GPS、VMS、雷达等数据	事先了解设备型号和所在位置

这一部分在技术深度上并不均衡，有些章节只有几段提示，但它传达出一个清楚的判断：电子证据早已不限于电脑和手机。

一个案件现场可能同时存在本地设备、配套手机、云端账号、网络服务和多个外围控制器。只扣走其中一个部件，后续可能什么也读不出来。

十、对国内电子数据现场工作的几条启示

1. 搜查前就要让技术人员介入

技术人员到了现场才知道案件类型、设备数量和数据目标，通常已经晚了。

准备阶段至少应明确：

• • 要证明哪些事实；

• • 预计出现哪些设备；

• • 是否可能存在加密和云端数据；

• • 是否允许现场查看、复制和登录账号；

• • 是否需要处理虚拟资产；

• • 数据最终交给谁保管和检验；

• • 现场存储空间、供电和网络隔离条件是否足够。

2. 授权内容应细化到具体技术动作

“依法提取电子数据”这类笼统表述，未必足以覆盖所有现场行为。

扣押设备、现场制作镜像、内存获取、登录云账号、修改账号密码、转移虚拟资产，技术性质和法律后果都不同。行动前应逐项确认权限。

3. 先确定数据目标，再决定扣押范围

整机扣押最省现场时间，却可能给后续保管、业务连续性和比例原则带来麻烦。

服务器、企业电脑、监控系统和车辆尤其需要判断：

• • 能否只获取相关账号或目录；

• • 能否复制日志和业务记录；

• • 是否必须保留原硬件环境；

• • 停机会不会影响无关人员或公共服务。

4. 建立设备状态驱动的操作卡

与其给现场人员一本几十页的手册，不如按状态设计操作卡：

• • 开机且解锁的手机；

• • 开机但锁定的手机；

• • 关机手机；

• • 开机且加密卷已挂载的电脑；

• • 关机电脑；

• • RAID服务器；

• • 监控录像机；

• • 无人机及遥控器。

每张卡只写风险、禁止动作、必记项目和升级条件，现场更容易执行。

5. 保管链要记录“数字变化”

传统保管链偏重物品由谁交给谁。电子数据还要记录：

• • 谁操作了设备；

• • 点击了什么；

• • 运行了什么工具；

• • 接入了什么介质；

• • 获取了哪些数据；

• • 设备状态发生了什么变化；

• • 为什么必须这样做。

这部分记录直接关系到后续能否解释数据变化。

十一、年代与技术局限

它发布于2021年。五年之后再看，有些具体操作已经不宜直接写进现行作业指导书。

Android设备开启USB调试

指南建议在可能的情况下开启USB调试。这个动作会改变设备配置，部分设备还需要进入开发者模式、确认授权和信任计算机。对于现场响应人员来说，侵入性偏强，必须基于明确授权、验证过的流程和充分记录，不能作为默认步骤。

通过拨号界面输入*#06#

这会改变当前界面，并可能留下操作痕迹。IMEI通常还可从机身、卡槽、包装、管理界面或取证工具中获得。是否值得现场输入代码，应结合设备状态判断。

SIM卡克隆后重新启动手机

指南中存在复制SIM卡、将克隆卡插回手机再开机提取的流程。这种方法涉及设备启动、网络标识、系统状态和数据关联变化，已不适合由普通现场响应人员照表执行。

冷启动攻击

文件介绍了用液氮冷却内存后提取加密密钥的“冷启动”方法，同时也承认它未必适用于现场环境。这更接近研究性技术，不适合作为常规处置方案。

工具清单过时

DumpIt、FTK Imager、EnCase、CAINE、DEFT等工具仍有历史价值，但部分版本、项目状态和系统兼容性已经发生变化。现行流程应使用实验室验证过的工具清单，不宜照搬文件中的软件名称。

手机流程过于版本化

文件中的iOS操作还使用“从屏幕底部上滑”等描述。界面、锁定机制、USB限制模式、生物识别和加密状态已经多次变化。手机处置流程必须按系统版本和设备状态维护。

对SSD的表述不够严谨

指南提醒SSD可能因后台机制发生数据变化，这个方向是对的。但垃圾回收、TRIM、控制器行为是否发生，与设备供电、接口状态、固件实现和操作系统命令有关，不能简单概括为“只要通电就会自行清除数据”。

结语

这份指南最值得保留的，是一套现场判断习惯：

先看状态，先控风险，先明确权限。能少动就少动，必须动就完整记录。

电子证据很脆弱，因此现场人员的操作很重要。真正危险的是两种极端：一见开机设备就拔电源，或者仗着工具在手，现场把设备翻个底朝天。

国际刑警组织给出的答案很克制：现场响应人员的任务，是为后续检验保住机会。做到这一点，已经不容易。

参考文献

INTERPOL Guidelines for Digital Forensics First Responders (Mar 2021)

扩展阅读

公安拿到一台嫌疑人的电脑或手机，接下来会发生什么？

不是直接翻数据。不是随便插个U盘拷文件。而是一套环环相扣的技术流程——每一步都有审批、有文书、有录像。

公安部5月22日公布的《公安机关电子数据取证规则（征求意见稿）》，把这套流程分成了六个环。目前征求意见已截止。

这篇文章把这六个环拆开，看看一份电子数据从现场走到法庭，要过哪些关。

▎第一关：勘验——先看清楚，再动手

到现场的第一件事不是"拷数据"，是"看"。

新规第十条说：需要分析提取范围、展示数据内容或状态的，必须先做勘验。

勘验分两种。一种是现场勘验——去机房里看服务器怎么连的、系统怎么部署的。另一种是网络远程勘验——涉案服务器在境外或者远程机房里，人过不去，需要远程进去看。

远程勘验的门槛不低：要经公安机关负责人批准，要全程同步录像（严重案件），用了什么代理、什么VPN、什么工具软件，名字和版本号都得写进笔录。

勘验完，出一份《电子数据勘验笔录》。拍照、截图、录屏全附上。这份笔录是后续所有操作的起点——先搞清楚你在面对什么，才知道接下来该怎么办。

▎第二关：扣押封存——别碰，先封上

勘验中发现能证明有罪无罪的电子数据，能扣押原始存储介质的，先扣。

扣押不是拿走就完。新规第十八条写了封存标准：

封存要保证"不解封就没法用"。手机要信号屏蔽或切断电源。硬盘和主机可以分开封。封口处贴封条，前后拍照，照片得清楚到能看见封条有没有动过。

扣押同时开清单一式三份，写明设备名称、编号、特征、序列号。办案民警、持有人、见证人三方签字，一份给持有人，一份保管，一份存档。

查点的时候还得问：这机器几个人用？有密码吗？有加密磁盘吗？有没有自毁功能？备份存在哪？这些信息直接影响后面能不能取出数据。

如果实在扣不了——比如服务器在运行不能停，新规允许"封存后交持有人保管"。但七天内必须做出处理决定。七天没决定，自动解封。

▎第三关：冻结——数据在云端怎么办

有些数据不在硬盘里，在云端账号里。聊天记录太多、网盘文件太大、容易被人远程删改——那就先冻住。

冻结要县级以上公安机关负责人批准。出《冻结电子数据通知书》，写清楚冻哪个账号，送交持有人、互联网服务商、或者相关部门。

刑事案件冻结6个月，到期可以续。行政案件只冻30天——违法的事比犯罪轻，限制也得轻。

冻住了不代表不碰了。新规列了四种冻结方式：计算完整性校验值（哈希）、锁定账号、写保护、其他防篡改措施。核心意思是——冻住的期间，数据不能被人动。

▎第四关：提取调取——把数据拿回来

这是整个流程里技术含量最高的环节。

先说现场提取。机器扣不了但数据能拷——比如内存数据、网络传输数据、怕关机丢数据的紧急情况。现场提取有五项保护措施：把人跟设备隔开、不确定会不会丢数据就不能关机、远程控制风险要及时断网、保护电源。还有一个原则：不能在目标系统里装新软件，装的话必须记录在案。

提取完出《电子数据提取笔录》和《提取固定清单》。清单上写类别、文件格式、完整性校验值（哈希值）。提取的数据可以压缩，但压缩方法和压缩后的哈希值也要记。

再说网络在线提取。对公开网页、境内远程系统，可以在线提取。同样算哈希，必要时提取数字证书、注册信息这些关联信息。提取过程要录像、截图、记录访问路径和使用的工具。

最敏感的是个人通讯内容。微信聊天记录在手机里，按第三十四条，先让持有人协助提取。不协助的，县级公安批准后强制提取。电子邮件在服务商那，按第三十九条，审批提到地市级，还得同时拿《决定书》和《调取证据通知书》两份文书。

▎第五关：检查与实验——把数据"看懂"

数据拿回来了，硬盘里的海量文件、数据库里的海量记录，不能全当证据交上去。这步要筛选、关联、分析。

新规第四十条：扣押或提取的电子数据，需要通过"数据搜索、仿真、关联、统计、比对"进一步发现线索和证据的，可以做检查。

检查有几个硬规定：必须通过写保护设备接入（防止改动原始数据），或者先做备份再查备份。无线设备查之前要屏蔽信号。检查前后对封存状态拍照。

出《电子数据检查笔录》，记录检查时间、工具、方法、步骤、结果。

数据量太大的怎么办？新规第四十五条给了一个新工具：抽样取证。数量特别多、同类性质的数据，经县级公安批准，按比例抽样，但要说明科学性。得按国标或行标来，没标准就用统计学随机抽样，全程录像。

另外，为了验证某个操作会不会产生特定结果，可以做实验。比如嫌疑人说某个操作会自动删数据，那就搭个一样的环境跑一遍看是不是真的。实验条件、过程、结果全记在《实验笔录》里。

▎第六关：检验鉴定——AI生成内容怎么判断

这是最后一关。碰到应用程序功能分析、AI生成信息识别这类专门性问题，侦查人员搞不定的，要送检。

委托公安部指定的机构出报告。送检时原始介质要封存、完整性要保护。鉴定机构独立出报告，不受干涉，要承担回避、保密、出庭作证义务。

换句话说，技术鉴定不只是出个结果——出结果的人将来可能要站到法庭上接受交叉询问。

▎一条贯穿六关的线

把这六关串起来看，有一条线索很清楚：每一步都在留痕。

勘验有笔录，扣押有清单和照片，冻结有通知书，提取有笔录和哈希值，检查有笔录，鉴定有报告。几乎每一步都要求见证人在场，见证人不在就全程录像。

这套机制背后是一个朴素的法律逻辑：数字证据天生脆弱，删一行改一行谁也看不出来。靠制度强制留痕，用哈希锁定状态，让每一步操作都可回溯、可验证，电子数据才站得住法庭。

从2016年两高一部的《电子数据若干规定》，到2019年公安部的旧版取证规则，再到2026年这版征求意见稿，十年三步。方向很明确——电子取证正在从"技术操作"变成"程序作业"。

对办案人员来说，流程更复杂了，但拿出来的东西更硬。对普通人来说，你的数据不是谁都能碰的。

很多人理解的数据恢复，是打开软件、选择磁盘、点击扫描、预览文件、导出结果。

但在鉴定场景里，事情远没有这么轻松。

我们真正面对的，往往不是“一个文件误删了”，而是一块正在继续劣化的硬盘，一张被行车记录仪循环写入的存储卡，一个做过 TRIM 的 SSD，一组顺序不明的 RAID 成员盘，或者一个密钥丢失后看起来还完整、实际上已经无法解释的数据池。

数据恢复的第一课，不是“用什么工具”，而是先回答三个问题：

• • 数据还在不在？

• • 存储结构还能不能解释？

• • 操作过程会不会把本来存在的数据进一步破坏？

对鉴定人员来说，数据恢复不是单纯的技术活，而是围绕证据介质、存储结构、恢复方法和结果边界展开的一套判断过程。

一、恢复之前，先别急着“恢复”

数据恢复最怕什么？

不是扫描时间长，也不是文件名丢失，而是还没搞清楚情况，就直接在原始介质上动手。

一块硬盘出现坏道后，继续反复读取，可能导致坏块范围扩大。一个 SSD 如果继续上电，控制器后台的垃圾回收可能让原本还有机会恢复的数据彻底消失。

更常见的风险来自操作系统本身。

接入电脑后，系统可能自动挂载卷，分配盘符，写入索引，生成缩略图，甚至弹出“是否修复磁盘”的提示。如果用户误点，文件系统结构可能被进一步修改。恢复软件本身也可能在扫描过程中持续读取介质，让本来已经不稳定的硬盘加速劣化。

所以，数据恢复的第一动作，不是恢复，而是固定。

能做镜像，先做镜像。

能克隆，先做克隆。

不能稳定读取的介质，先评估风险，再决定是否继续读取。

最危险的做法，就是把原始介质当成实验对象，反复用不同工具扫描、修复、尝试挂载。这样做出来的结果，既可能损坏数据，也可能损害证据解释的可信度。

二、镜像文件和物理克隆，不是一回事

很多人把“制作副本”理解成一件事，其实至少有两种典型路线：制作磁盘镜像文件，或者克隆到另一块物理硬盘。

镜像文件的优点是灵活。它便于校验、归档、复制、备份，也方便在不同恢复软件之间切换。对于电子数据鉴定来说，镜像文件更容易纳入案件管理和复核流程。原始 RAW 镜像尤其常见，因为它结构简单，兼容性好，绝大多数工具都能识别。

但镜像文件也有缺点。

普通 RAW 镜像主要保存扇区内容，不一定保存完整的物理层信息。例如原盘的物理扇区大小、接口转换方式、设备报告特征等信息，如果没有额外记录，后续分析时可能缺失背景。某些场景下，这些信息会影响分区解释、RAID 重组或原环境复现。

物理克隆则更接近“替身盘”。把源盘内容复制到另一块物理硬盘后，可以在某些设备或系统中模拟原盘使用。例如需要放回原 NAS、录像机、工控设备或老旧系统中测试时，物理克隆有时更方便。

但物理克隆同样需要谨慎。目标盘容量、扇区大小、固件表现不一致，都可能影响结果。如果目标盘比源盘大，还要注意尾部残留数据污染；如果目标盘之前使用过，更应该先清零再克隆。

简单说，镜像文件适合证据保存、分析和复核；物理克隆适合模拟原运行环境。两者不是谁替代谁，而是服务于不同目的。

三、写保护很重要，但别把它神化

大家都知道，访问原始介质时要尽量使用写保护。

这个原则没有错。

但要注意，写保护解决的是“主机向介质写入”的问题，并不能解决所有“介质内容变化”的问题。

传统机械硬盘时代，写保护的逻辑比较清楚：只要阻止电脑向硬盘写入，就可以最大限度保持盘面状态。可是 SSD、U 盘、存储卡这类闪存设备并不完全一样。

SSD 内部有控制器，有映射表，有垃圾回收，有磨损均衡，还有 TRIM。文件被删除后，操作系统可能发送 TRIM 指令，告诉 SSD 某些逻辑区域已经不再使用。随后，SSD 控制器可能在后台清理这些物理页面。

这个过程不一定表现为电脑继续写入。即使外部写保护器挡住了主机写命令，SSD 内部仍可能发生状态变化。

这意味着，SSD 取证不能简单套用机械硬盘时代的经验。

对于机械硬盘，删除后未覆盖的数据可能长期存在。对于 SSD，删除后是否还能恢复，往往取决于 TRIM 是否执行、设备是否继续上电、控制器何时进行后台清理，以及目标数据是否已经被物理擦除。

所以，面对 SSD、U 盘和存储卡，鉴定人员不能只问“有没有写保护”，还要问“数据是否已经被控制器内部处理掉”。

四、一个转接器，可能改变你看到的磁盘

现场恢复经常会用到 USB 转 SATA 转接器、硬盘盒、读卡器。

这些设备很方便，但它们不一定完全透明。

有些 USB 转接器遇到坏块时，表现并不稳定。它可能长时间卡死，可能直接重置设备，也可能导致同一个 USB 控制器上的其他设备一起掉线。如果源盘和目标盘接在同一个 USB 控制器下，极端情况下，源盘读不出来，目标盘写入也被中断，最终留下一个不完整甚至零字节的输出文件。

还有一个容易被忽略的问题：扇区大小转换。

有些 USB 转 SATA 芯片会把原本 512 字节扇区的硬盘，呈现为 4096 字节扇区。分区表、卷起始位置和文件系统解释，都依赖扇区地址。一旦扇区大小视角变化，原本正确的地址计算就可能失效。

于是会出现一些看似奇怪的现象：

同一块硬盘，放在原硬盘盒里能读，拆出来直连 SATA 反而读不了；

或者直连 SATA 能看到分区，换一个 USB 盒子就显示未初始化；

又或者镜像文件本身没有问题，但因为当时没有记录扇区大小，后续解释出现偏差。

因此，取证记录里不应只写“读取某硬盘”，还应记录连接方式、接口路径、转接设备、操作系统识别到的逻辑扇区大小和物理扇区大小。

有时候，问题不在硬盘，而在你观察硬盘的方式。

五、文件系统像金字塔，塔尖坏了最麻烦

要理解数据恢复，必须先理解文件系统。

可以把文件系统想象成一座金字塔。

最上层，是少量关键入口信息，例如引导扇区、超级块、卷头、根节点、全局参数等。它们告诉系统：这个卷是什么类型，从哪里开始，元数据在哪里，应该怎样解释后面的内容。

中间层，是主要元数据，例如文件记录、目录结构、inode、MFT、块指针、分配位图等。它们记录文件名、路径、时间戳、属性、大小，以及文件内容存放在哪些位置。

最底层，才是文件内容本身。

正常情况下，操作系统从塔尖开始，沿着元数据结构逐层向下，最终找到文件内容。可一旦发生删除、格式化、分区损坏或系统崩溃，塔尖和中间层可能出现断裂。

最麻烦的是，塔尖通常很小，位置固定，很容易被新的格式化、初始化或系统修复覆盖。一个快速格式化操作，未必会清空整块磁盘，却可能正好重写最关键的入口结构。

这就是为什么很多恢复任务不能只依赖文件系统正常挂载。

真正的数据恢复，往往需要全盘扫描，从残留的中间层元数据、目录项、文件记录、块指针、文件头尾和内容特征中，反向重建原来的结构。

它不是“打开一个坏掉的文件夹”，而是从废墟中重新拼出一张地图。

六、删除、格式化、覆盖写，是三种完全不同的灾难

在案件材料里，常常会看到“数据被删除”“文件丢失”“磁盘被格式化”这样的表述。

但从恢复角度看，这些情况差别很大。

删除文件，通常只是文件系统元数据发生变化。文件名、路径、分配状态可能被修改，文件内容未必立即消失。如果没有覆盖，仍然可能恢复。

快速格式化，通常会重建文件系统的关键结构。原有目录树和文件记录可能部分丢失，但大量文件内容仍可能留在介质上。能否恢复，取决于新文件系统覆盖了多少旧结构。

完全格式化或写零，则危险得多。如果设备真的把大量区域清零，原数据就不再存在。对于存储卡而言，有些相机或设备格式化时会写入大面积零值，这种情况下，恢复软件扫描不到数据并不奇怪。

覆盖写入是另一类问题。已经被新数据覆盖的旧数据，不能靠普通软件恢复。所谓“高级恢复”，也不能把已经被物理覆盖的内容变回来。

SSD 还要单独考虑 TRIM。删除后即使没有明显写入新文件，目标数据也可能已经被控制器清理。

所以，在取证报告中，简单写“经数据恢复未检出相关文件”有时是不够的。更有价值的表达，是说明为什么没恢复出来：

• • 文件系统元数据缺失；

• • 文件内容已经被覆盖；

• • 介质返回大量零值；

• • 存储控制器不再提供原始数据；

• • 加密密钥缺失；

• • 阵列结构无法重建。

恢复失败不是结论，失败原因才是结论的一部分。

七、文件雕复不是魔法，尤其遇到碎片化视频

当文件系统元数据丢失后，常见方法是文件雕复。

最基础的雕复方式，是扫描文件头和文件尾。发现 JPEG 文件头，就往后寻找 JPEG 结束标记；发现 ZIP、PDF、MP4、MOV 等格式特征，就尝试按照格式结构截取数据。

这个方法对连续存储的文件比较有效。

问题是，现实中的文件不一定连续。

文件系统为了利用空闲空间，可能把一个文件拆成多个片段，分散存储在不同位置。这就是碎片化。文件越大，写入越频繁，存储介质越接近满载，碎片化概率越高。

图片文件相对好处理。很多图片体积较小，即使元数据丢失，也有机会通过文件头尾恢复出连续内容。

视频文件就麻烦得多。

行车记录仪、手机、相机生成的视频往往体积较大，写入持续时间长，还可能边录边封装。一个视频文件可能被分成多个片段。传统“从文件头截到文件尾”的方法，一旦遇到碎片，就可能得到一个无法播放、只能播放开头、或者中间断裂的文件。

复杂的文件雕复，需要判断每个候选块是否属于同一文件，还要验证拼接后的结构是否符合格式规则。候选片段越多，组合数量越大，误拼接风险也越高。

因此，面对“删除的视频能不能恢复”，不能只看有没有文件头。还要判断文件是否碎片化，文件系统是否保留簇链，是否发生覆盖，视频格式是否能校验，恢复结果是完整视频、部分可播放片段，还是仅有文件残片。

在交通事故、执法记录、监控录像等案件中，即使只恢复出部分片段，也可能有证明价值。但必须把“能播放”“完整”“连续”“未损坏”区分清楚。

八、行车记录仪不是黑匣子

很多人对行车记录仪有一个误解：事故发生前的视频一定在卡里，只要技术足够强，就能找出来。

实际并非如此。

行车记录仪通常是消费级设备。它的写入机制、断电保护、缓存刷新、文件封装方式，都不能和飞机黑匣子相比。

有些记录仪在录制时，会先把视频数据写入缓存，再分段写入存储卡。索引信息、文件尾、MP4 atom 等结构可能在文件结束时才更新。如果事故发生时设备突然断电，最后一段视频可能尚未完整封装。

还有些情况下，碰撞会导致存储卡瞬间接触不良，电源中断，或者设备重启。这样一来，关键时间段的视频可能根本没有成功写入卡中。

循环录制也会带来解释风险。旧视频可能被新视频覆盖，事故前片段可能被后续开机录制覆盖，锁定文件和普通文件的保存策略也可能不同。

所以，取证时不能把“没有恢复到事故前视频”直接等同于“人为删除”。

更谨慎的解释应当是：未发现目标视频，可能与循环覆盖、断电中断、缓存未刷新、文件未封装、存储卡故障或人为删除等多种因素有关，需要结合设备状态、录制策略、文件时间线、卡内残留数据和外部事实综合判断。

九、RAID 恢复：关键不是有几块盘，而是怎么排

多盘存储的恢复，和单盘恢复完全不是一个难度。

单盘中，逻辑地址和物理位置大致是一一对应的。多盘阵列中，文件系统看到的是一个逻辑卷，而数据实际分布在多块成员盘上。

RAID 恢复的核心，不是把所有盘都插上，而是重建阵列参数。

• • 成员盘有哪些？

• • 盘序是什么？

• • 块大小是多少？

• • 起始偏移是多少？

• • RAID 级别是什么？

• • 奇偶校验如何分布？

• • 是否存在热备盘、掉线盘、过期盘、不同步镜像盘？

这些问题只要有一个判断错误，后面看到的文件系统就可能完全错乱。表面上看是文件系统损坏，实际上可能只是阵列参数拼错了。

传统 RAID 的布局相对规整。只要确定 RAID0、RAID5、RAID6、镜像等结构，再推断盘序、块大小和校验轮转方式，就有机会重建逻辑卷。

但一些现代存储系统并不完全遵循传统 RAID 的思路。

比如 RAIDZ 与文件系统深度耦合。它不是简单地把传统 RAID5/6 放在文件系统下面，而是在文件系统自身的数据块、校验、压缩、块指针等机制中完成分布。脱离文件系统，只按传统 RAID 的方式硬拼，往往难以得到正确结果。

因此，遇到 NAS、存储池、ZFS、Btrfs、LVM、动态磁盘等场景时，鉴定人员必须先画清楚层次结构：底层是物理盘，中间是否有阵列、池、卷、数据集，上层是什么文件系统，是否还有加密或快照。

看不清层次，就谈不上恢复。

十、写时复制文件系统：既保留过去，也制造复杂性

现代文件系统越来越多采用写时复制（CoW）机制。

传统文件系统修改数据时，可能直接在原位置覆盖。写时复制则不同：系统先把新版本写到别处，再更新指针，让文件系统从旧版本切换到新版本。

这样做有明显好处。断电或崩溃时，旧版本通常还在，文件系统一致性更容易保持。快照、版本管理、校验和、自修复等能力，也常常建立在这套机制之上。

但对数据恢复来说，它既是机会，也是麻烦。

机会在于，旧版本的数据和元数据可能还残留在介质上。某些场景下，可以从历史树、旧块、旧指针中找回过去的状态。

麻烦在于，元数据不再固定待在一个位置。一次看似很小的修改，可能导致底层数据块、上层指针、树节点、根节点连续生成新版本。时间一长，磁盘上会留下大量不同时间点的结构片段。

恢复软件要做的，不只是找文件，而是在这些残留版本之间判断关系：哪些块属于同一棵树，哪些指针已经过期，哪个版本更接近目标时间点，哪些数据仍然有效。

所以，对 ZFS、Btrfs、APFS 这类文件系统，不能用 FAT 或 NTFS 的直觉来理解恢复。它们不是简单的“目录表坏了就找文件头”，而是在一片版本化的元数据森林里寻找路径。

十一、加密恢复的关键，不只是密码

加密存储恢复最容易被误解。

很多人以为，只要知道用户密码，就一定能恢复数据；或者只要磁盘还在，找不到密码也还有办法。

现代存储加密通常不是直接用用户密码加密整块磁盘，而是采用多级密钥结构。用户密码、恢复密钥、密钥文件、TPM、系统配置等，往往只是用来保护真正的数据加密密钥。实际数据由主密钥或卷密钥加密。

这样设计有好处。用户改密码时，不需要重新加密整块磁盘，只需要重新保护密钥材料。

但这也带来一个后果：如果真正关键的密钥材料丢失，数据本体即使完好无损，也无法解释。

在 NAS、ZFS、TrueNAS、BitLocker、FileVault 等场景中，不能只盯着数据盘。启动盘、系统配置、密钥文件、恢复密钥、导出的配置备份、外部 USB Key、管理员电脑、密码管理器，都可能成为恢复加密数据的关键。

加密场景下，数据恢复的核心问题不是“文件还在不在”，而是“有没有足够的密钥信息把它解密出来”。

如果密钥缺失，介质镜像再完整，也只是完整地保存了一堆无法解开的密文。

十二、恢复结果不能只看“有没有文件”

鉴定中的数据恢复，最后必须回到结果评价。

恢复出了文件，不等于恢复成功。

文件能打开，不等于完整。

视频能播放，不等于时间连续。

图片有缩略图，不等于原图还存在。

文件名还在，不等于文件内容可恢复。

时间戳存在，不等于文件没有被移动、复制或重建。

一个专业的数据恢复结果，至少应当区分几种情况。

有些文件内容在介质上连续存储，恢复路径清楚，结果通常较可靠。

有些文件是碎片重组的。恢复过程依赖算法判断和格式校验，结果需要进一步验证。

有些文件是部分损坏的。它可能缺少尾部、缺少索引、缺少中间片段，或者被新数据覆盖了一部分。

有些文件只是元数据残留。能看到文件名、路径、大小、时间戳，但文件内容已经无法恢复。

还有些对象属于不可恢复。原因可能是覆盖写入、TRIM、清零、控制器故障、密钥缺失或阵列参数无法确定。

在电子数据鉴定中，真正重要的不是一句“恢复成功”或“恢复失败”，而是讲清楚恢复依据、恢复范围、结果完整性和局限性；导出巨量的无法打开文件对于委托人来说毫无价值。

十三、鉴定人的基本工作思路

做数据恢复，不应从工具开始，而应从介质开始。

先看介质状态。设备是否正常识别？容量是否正确？是否频繁掉线？是否有坏块？是否返回大量零值？是否为 SSD、U 盘、存储卡、机械硬盘、RAID 或 NAS？

再看存储层次。有没有分区表？有没有卷管理？有没有 RAID？有没有存储池？有没有加密？文件系统是什么？是否有快照、压缩、去重、写时复制？

然后再决定恢复策略。是走文件系统恢复，还是文件雕复？是先重建 RAID，还是先提取单盘残留？是需要密钥，还是主要处理坏块？是优先完整文件，还是优先关键时间段片段？

最后评价恢复结果。哪些文件完整？哪些文件损坏？哪些文件只是元数据？哪些结论可以支持？哪些结论不能支持？没有恢复到目标数据，是因为不存在、未写入、被覆盖、被清零、被 TRIM，还是因为条件不足无法判断？

数据恢复不是“把扫出来的文件导出来”这么简单。

在电子数据鉴定中，它更像是一项解释工作：解释数据曾经如何存放，为什么现在无法正常访问，哪些内容仍然可以被重建，哪些内容已经不可逆地消失，以及恢复结果能在多大程度上支持案件事实。

参考文献

[1] Alexey V. Gubin. Disk image files vs. physical disk clones. Klennet Notes, 2017-04-24.
[2] Alexey V. Gubin. Working without a clone - is it safe? Klennet Notes, 2019-01-20.
[3] Alexey V. Gubin. Preventing data changes during the recovery. Klennet Notes, 2023-04-26.
[4] Alexey V. Gubin. Write blockers are not effective with SSDs. Klennet Notes, 2018-04-16.
[5] Alexey V. Gubin. USB and bad blocks. Klennet Notes, 2017-09-28.
[6] Alexey V. Gubin. USB adapters silently change the sector size. Klennet Notes, 2018-04-14.
[7] Alexey V. Gubin. Zero-sized devices. Klennet Notes, 2017-10-06.
[8] Alexey V. Gubin. Filesystem structure and data recovery. Klennet Notes, 2019-02-07.
[9] Alexey V. Gubin. Disks, Partitions, Pools, Volumes, Datasets, and Filesystems. Klennet Notes, 2019-09-05.
[10] Alexey V. Gubin. Carving for fragmented files. Klennet Notes, 2017-07-07.
[11] Alexey V. Gubin. On the complexity of file carving. Klennet Notes, 2017-08-27.
[12] Alexey V. Gubin. Amount of fragmentation on memory cards. Klennet Notes, 2018-03-07.
[13] Alexey V. Gubin. Fragmentation of video files. Klennet Notes, 2017-11-09.
[14] Alexey V. Gubin. Dash cam is not quite a black box. Klennet Notes, 2017-11-10.
[15] Alexey V. Gubin. Contiguous, Fragmented, and Damaged files in Klennet Carver. Klennet Notes, 2019-05-29.
[16] Alexey V. Gubin. Determining RAID block size and starting sector, a simple example. Klennet Notes, 2018-10-01.
[17] Alexey V. Gubin. Analyzing block map in RAID0. Klennet Notes, 2018-10-02.
[18] Alexey V. Gubin. Analyzing a simple RAID5. Klennet Notes, 2018-11-13.
[19] Alexey V. Gubin. ZFS RAIDZ vs. traditional RAID. Klennet Notes, 2019-07-04.
[20] Alexey V. Gubin. Simplified theory of copy-on-write filesystems. Klennet Notes, 2023-04-19.
[21] Alexey V. Gubin. Copy-on-write, wandering trees, and data recovery. Klennet Notes, 2024-06-16.
[22] Alexey V. Gubin. Encryption keys in storage encryption. Klennet Notes, 2023-03-14.
[23] Alexey V. Gubin. FreeNAS, TrueNAS, GELI, and native ZFS encryption. Klennet Notes, 2022-02-22.
[24] Alexey V. Gubin. Encryption is probably a net negative. Klennet Notes, 2025-04-17.
[25] Alexey V. Gubin. Quick test for unrecoverable memory cards. Klennet Notes, 2019-01-15.
[26] Alexey V. Gubin. Reviews, comparison testing, and challenges in data recovery. Klennet Notes, 2018-06-05.
[27] Alexey V. Gubin. Disk imager benchmarks. Klennet Notes, 2023-02-03.

要点速览

• • AI 可以显著加快电子数据取证工作：它能够分析设备数据、识别模式，并在数分钟内关联来自不同来源的证据，而这些工作过去可能需要数天。

• • 取证人员仍然不可替代：AI 可以协助审查和分流，但证据验证、证据处理、证据保管链维护以及法庭呈现，仍然必须由合格人员完成。

• • 成功使用 AI，关键在于方法正确：例如，从熟悉的案件开始，了解数据来源，并把 AI 当作协作式调查工具。

• • 所有 AI 生成的发现都必须独立验证：AI 可能出错，也可能误读数据。

• • AI 正在回应电子数据取证中的现实压力：包括数据量巨大、案件积压、跨设备证据关联困难，以及向取证人员提供可操作线索的延迟。

人工智能正在改变电子数据取证的可能性。

过去，人工审查一次设备提取数据，可能需要数小时，甚至数天。现在，AI 可以在数分钟内完成初步分析。过去需要一组分析人员花费数天才能发现的多设备、多数据源、多嫌疑人之间的关联，现在可能在一次 AI 辅助分析中被识别出来。

不过，真正取得实际效果的机构，并不一定是最早采用 AI 的机构，而是那些有意识、有方法地使用 AI 的机构。它们知道工具的用途，知道如何正确使用，也知道无论技术多先进，哪些取证原则始终不会改变。

以下是面向首次进入 AI 辅助电子数据取证领域的调查人员和检验人员的 10 条实践建议。

什么是电子数据取证中的 AI？

电子数据取证中的 AI，是指将机器学习、自然语言处理和智能体式 AI 应用于电子数据的分析、分流和解释。

AI 取证工具可以分析手机提取数据、便携案件包（Portable Cases）和通话详单（CDRs）等数据。这些信息可以帮助发现可操作的调查线索，例如嫌疑人、时间线、通信模式，以及跨设备之间的关联。

取证人员仍然是专家。AI 的作用，是更快地把他们引向真正重要的内容。

AI 在电子数据取证中应用的 10 条实践建议

1. 从你已经熟悉的案件开始

建立对 AI 取证工具的信心，最快的方法是从熟悉的案件开始测试。

可以先选择你已经处理过的案件，使用你熟悉的数据、已经人工审查过的提取内容，以及可以验证的结果。

当 AI 能够发现你曾经通过人工审查找到的相同关联，并且速度更快时，信任才会逐步建立。

一开始就使用完全陌生的案件，只会给新流程增加额外不确定性。

2. 确认 AI 是在处理本地数据，还是连接互联网

开始之前，必须了解 AI 调查工具运行的环境。

它是在封闭、安全的沙箱环境中，仅分析你提供的电子数据？
还是连接到互联网，并从外部来源获取信息？

对于调查用途而言，你必须准确知道 AI 正在基于哪些数据工作。

如果 AI 工具会从网络获取信息，就可能引入案件材料中原本不存在的内容。正式使用前，必须先区分清楚。

取证场景中的 AI，数据边界必须清楚。

3. 明确 AI 正在使用哪些数据源

你需要基本了解 AI 正在查询哪些数据源。

如果正在分析手机提取数据，就要知道其中包含哪些数据痕迹。
如果正在处理多个数据源，就要知道 AI 能访问哪些数据，不能访问哪些数据。

AI 只能从它看得到的数据中发现关联。

输入数据有缺口，输出结果也会有缺口。

在依赖 AI 输出之前，必须先了解这些缺口在哪里。

4. 把 AI 当作团队成员

使用 AI 调查工具最有效的方式，是把它当作一名同事来协作。

可以询问它如何得出某个结论，也可以质疑它的发现。
如果你不确定某个答案，可以要求它解释理由。
也可以追问它是否考虑过其他角度。

AI 取证分析在互动式使用时效果更好。

AI 不应被当作一次性查询后就离开的搜索引擎。

5. 提问要具体：AI 只会回答你问到的问题

AI 调查工具不会主动提供你没有询问的信息。

如果想得到具体答案，就要提出具体问题。应当向 AI 提供必要背景，例如：

• • 调查对象是谁；

• • 调查性质是什么；

• • 关注的时间范围是什么；

• • 希望确认哪一种关联。

问题越有针对性，输出结果越相关。

使用 AI，更像是在给同事做案情简报，而不是进行关键词搜索。

6. 理解 AI 工具被设计用来做什么，也要理解它不能做什么

每一种 AI 调查工具都有明确的适用范围。

例如，用于定位数据痕迹和安排审查优先级的 AI，并不是为了替代验证流程。证据验证仍然必须由合格人员使用机构批准的工具和程序完成。

理解工具擅长什么，才能在最有价值的环节使用它；同时，也不要要求它完成原本就不是为它设计的工作。

AI 可以提高审查效率，但不能替代证据验证。

7. 理解哪些事情不会改变

对于任何准备在电子数据取证中部署 AI 的机构来说，最重要的原则是：

AI 改变的是审查方法，不改变取证流程。

证据验证仍然由合格人员使用机构批准的工具和流程完成。
文档记录、标记和证据保管链，仍然遵循机构既有程序。
同行复核和专家复核不变。
披露义务、可采性要求和法庭程序，仍然由合格人员根据相关司法辖区处理。

无论是在普通法、大陆法还是混合法律体系下，这一点都成立。

发生变化的是审查阶段：从完全人工审查，转变为 AI 辅助审查。AI 将取证人员更快地引向需要评估的项目。

除此之外，后续流程不变。

8. 验证所有准备采取行动的 AI 结果

AI 辅助分析可以发现原本可能被遗漏的关联、时间线或模式。
但它也可能出错。

任何准备在案件中依赖的 AI 结果，都必须由合格人员使用批准的工具和流程进行独立验证。

这一要求不取决于司法辖区、机构类型，也不取决于 AI 工具本身有多先进。

每一次验证步骤，都应当明确记录。

9. 对语言和翻译保持额外谨慎

如果使用 AI 翻译外语通信、文件或消息，必须理解：AI 翻译并不总是精确的一一对应。

语气、习语和地区方言可能被遗漏，也可能被误解。

因此，AI 翻译只能作为人工审查的起点，不能作为最终结果。

任何进入证据记录的翻译内容，都应由合格的人类译员核验。

10. 了解本机构政策和所在司法辖区法律

电子数据取证中的 AI 使用，受机构政策、当地法律以及部分司法辖区中新兴监管框架的约束。

在真实案件中部署 AI 之前，应咨询本机构的法律、隐私和合规顾问。

同时，还应了解所在司法辖区对法庭程序中披露 AI 辅助分析的要求。

不同规则可能因法律体系、国家、州、省、市以及机构层级而有明显差异。

AI 可以进入流程，但必须先确认规则允许怎样使用。

推动电子数据取证使用 AI 的现实挑战

进入调查流程的电子数据数量不会减少。

在讨论 AI 调查工具如何提供帮助之前，有必要先看清推动 AI 需求增长的几个主要压力。

1. 数据量巨大

一次普通智能手机提取，可能包含数十万个数据痕迹。

一起涉及多个设备、云账户和通话详单的案件，可能产生数百万个数据点。

在这种规模下，完全依赖人工审查已经难以持续。

2. 案件积压

大多数调查团队都面临案件积压。

案件可能需要等待数周或数月才被检查，检材长期无人审查，调查因此停滞。

需求增长速度超过实验室处理能力，而增加人员编制通常并不现实。

3. 跨设备关联困难

将嫌疑人的位置数据、App 活动、通信模式以及多设备之间的关系连接起来，需要关联大量数据。

这些数据往往不是单个从业人员能够同时完整掌握的。

因此，关键关联可能被遗漏。

4. 调查人员获取线索受限

需要电子证据线索的侦查员和调查人员，通常依赖实验室检验人员解释并交付鉴定结果。

这种瓶颈可能导致从证据收集到可操作情报送达办案人员之间，出现数天甚至数周的延迟。

5. 法庭可采性压力

随着 AI 调查工具更加普遍，不同司法辖区的律师会越来越关注 AI 方法。

检验人员不仅要记录发现了什么，还要记录结果是如何得到的，包括：

• • 使用了哪些工具；

• • 工具版本是什么；

• • 结果如何被验证。

AI 越常用，方法记录和验证说明越重要。

AI 驱动的调查工具如果专门面向电子证据设计，就可以回应上述挑战。它们能够原生分析手机提取数据、便携案件包、通话详单和其他取证数据格式，在保持每一项发现来源可追溯的同时，呈现关联和时间线。

整个过程中，取证人员仍然保持控制。

常见问题

AI 能替代取证检验人员或调查人员吗？

不能。

AI 取证工具可以显著减少初步分流和数据痕迹定位所花费的时间。有机构报告称，使用相关工具后，初步分流时间减少超过 80%。

但是，解释发现结果、验证证据、维护证据保管链以及在法庭上呈现证据，仍然是从业人员的责任。

AI 只是更快地把你带到重要内容面前。如何处理这些内容，仍然完全取决于你。

在电子数据取证中使用 AI，会改变证据处理方式吗？

不会。

改变的是审查方法，不是取证流程。

验证、文档记录、证据保管链、同行复核和法庭程序，仍然按照所在司法辖区的框架执行。

AI 改变的是你能够多快定位关键证据。

AI 处理本地数据和从互联网获取信息有区别吗？

有，而且这是调查用途中的关键区别。

在封闭、安全环境中运行的 AI 取证工具，只分析你提供的电子数据。
连接互联网的工具，可能从案件材料之外的外部来源获取信息。

开始之前，始终要确认 AI 取证工具是在本地、案件范围内的数据上运行。

案件中没有的数据，不应被 AI 悄悄带入分析。

如何确保 AI 调查结果经得起法庭审查？

有三件事最重要：

1. 来源可追溯

每一项 AI 生成的发现，都应当能够回到原始电子数据中的具体数据痕迹。

2. 独立验证

每一项准备在案件中依赖的发现，都必须由合格人员独立验证。

3. 明确记录

每一步都要明确记录，包括：

• • 使用了什么工具；

• • 工具版本是什么；

• • 分析了哪些数据；

• • 发现结果如何被验证。

不同司法辖区的法院，正在越来越严格地审查 AI 驱动取证分析的方法。

如果我不确定 AI 翻译是否准确，该怎么办？

把它作为起点，而不是最终结果。

AI 翻译并不总是精确的一一对应。语气、习语和地区方言可能被遗漏，也可能被误解。

任何进入证据记录的内容，都应由合格的人类译员核验。

如何从 AI 调查工具中获得更好的结果？

要具体。

AI 只会回答你提出的问题，不会主动提供你没有要求的信息。

提问前，应提供背景：

• • 调查对象是谁；

• • 调查的目的；

• • 关注什么时间范围；

• • 希望确认什么关联。

如果结果不满意，可以要求 AI 解释理由，并进一步细化问题。

把 AI 当作一名需要背景信息才能做好工作的同事。

一、EDR的数据存储：两个世界

EDR（Event Data Recorder，汽车事件数据记录系统）的碰撞数据存储，并非铁板一块，而是分为两个逻辑分区：

二、为什么同一个品牌，有的能读有的不能？

这正是Public/Private分区带来的实际困惑。

以国内事故鉴定中广泛使用的数证峰EDR取证工具为例，其支持车型列表存在一个让很多鉴定人员头疼的现象：同一车企的不同车型，有的在列表内，有的不在；有的能读到完整数据，有的只能读取部分。

原因很简单：

三、谁在用Private分区？

好消息是：绝大部分车型的EDR数据都存储在Public分区，这也是GB 39732-2020《汽车事件数据记录系统》国标所倡导的开放提取原则——标准明确要求EDR数据应可通过标准诊断接口提取。

但确有少数车企选择了Private分区路线，或在Public数据之外增设了Private数据层。

🔒 现代/起亚（Hyundai/Kia）：Public里有一点，Private里有一堆

现代汽车集团是Private分区使用比例最高的典型代表。从2012年起，现代、起亚和捷尼赛思品牌开始配备EDR，其数据存储策略是：国标强制要求的A级基础数据（如车速、安全带状态等）存储在Public分区，以满足法规最低要求；但B级数据和扩展数据（如制动主缸压力值、ADAS系统状态等更关键的碰撞细节）则存储在Private分区，采用厂商专有的加密协议和认证方式。

这意味着什么？用数证峰等第三方工具，你可能只能读到Public分区里的"骨架数据"——知道车速多少、安全带有没有系，但制动踏板到底踩了多深、ESC有没有介入、辅助驾驶系统当时是什么状态……这些真正决定事故成因的关键信息，全被锁在Private区里。

这也是为什么专业事故重建机构不得不额外购买现代汽车集团的专用EDR提取系统（起亚约6900美元、现代约6300美元，另有每年软件维护费），才能获取完整的碰撞数据。

🔒 奔驰：Public为主，Private为辅的"混搭模式"

梅赛德斯-奔驰的情况更为微妙，也更能说明"同一品牌不同车型"的差异现象。

奔驰官方发布的《汽车事件数据记录系统（EDR）说明》明确指出："使用市场在售的EDR数据读取工具可以读取EDR数据"，并给出了通过OBD端口和直接连接安全气囊控制器两种读取方式，还详细附上了各车型的控制器接口针脚图。据奔驰中国官方EDR说明文件

这意味着奔驰大部分车型的国标A级数据存储在Public分区，数证峰等第三方工具可以正常读取。

但关键的转折出现在其智能驾驶车型上。奔驰EQS和S-Class等搭载L3级自动驾驶系统的车型，其ADS（高级驾驶系统）事件数据长期处于Private分区，第三方取证工具无法获取。直到近两年，随着行业推动和法规要求，这部分数据才逐步向第三方工具开放。在此之前的很长一段时间里，这些车型的驾驶辅助决策数据对鉴定人员而言是完全"黑箱"。

🔒 宝马：看得见的标准数据，看不见的"附加数据"

宝马的EDR架构与奔驰类似，主流车型的国标A级/B级数据存储在Public分区，数证峰可通过标准OBD诊断接口读取。宝马中国官网明确写道，EDR数据可通过"标准车载诊断系统（OBD）连接"读取。据宝马中国官网

然而，宝马在同一份说明中还有一句容易被忽略的注释：

这句看似轻描淡写的话，实际上揭示了Private分区的存在——数证峰能读取的只是国标要求的A级/B级数据元素，而车企出于自身事故分析需要记录的"附加数据"，存储在Private分区，只有宝马自己的专用诊断系统才能访问。

四、Private分区的"双刃剑"

车企选择Private分区，出发点并非没有道理：

加密的正面：

加密的背面：

五、事故鉴定人员的实操建议

面对Public/Private分区的现实差异，从事交通事故EDR数据提取的鉴定人员，可以注意以下几点：

结语

EDR的Public与Private分区之争，本质是数据开放性与数据安全性之间的平衡。

奔驰和宝马的做法代表了一种"中间路线"：国标要求的公开数据通过标准接口可读，但更深层次的驾驶辅助和系统决策数据则锁在Private区。这种做法在合规性和安全性之间找到了一个平衡点，但也给事故鉴定留下了"数据不完整"的隐忧。

作为事故鉴定从业者，我们既需要理解Private分区存在的合理诉求——数据安全和隐私保护确实是刚需；同时也应推动建立第三方可验证、车企可监管、车主可知情的EDR数据治理框架。

遍历之后发现functions.inc.PHP为控制前台用户登录的文件，其中发现登录网站的密码加密盐值不是固定的！！！

在/www/wwwlogs/路径下找到网站登录日志，找到后台登录网址。

图2.7

图2.9

然后点击 “Next”（下一步），软件自动解析。解析结果如图2.10所示：

图2.10