取证合法性确定方法、装置、设备及存储介质

技术领域

本申请涉及互联网技术领域，尤其涉及一种取证合法性确定方法、装置、设备及存储介质。

背景技术

网络犯罪是指行为人运用计算机技术，借助于网络对其系统或信息进行攻击，破坏或利用网络进行其他犯罪的总称。

在执法过程中，在确定是否存在网络犯罪时，需要从互联网电子数据中获取证据数据。目前在使用证据数据来证实行为人存在网络犯罪的行为时，该过程容易引发行政诉讼等案件或容易被质疑获取证据数据的操作是否合法，此时需要从取证过程中涉及的相关设备中获取操作信息，从而证明执法过程的合法性。然而，取证过程可能涉及的相关设备较多，导致获取操作信息的过程相当复杂，进而导致证明证据数据的提取操作合法性时需要花费大量的时间。

发明内容

本申请的主要目的在于提供一种取证合法性确定方法、装置、设备及存储介质，如何提高证明证据数据的提取操作合法性时的效率。

为实现上述目的，本申请提供一种取证合法性确定方法，所述方法包括：

在接收到证明证据数据的提取操作合法性的指令时：

获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生；

基于所述取证过程数据，还原所述证据数据的提取过程；

确定所述提取过程是否合法。

示例性的，所述基于所述取证过程数据，还原所述证据数据的提取过程，包括：

基于所述取证过程数据，确定提取所述证据数据时的取证操作；

基于所述取证操作和所述取证操作的时间顺序，还原所述证据数据的提取过程。

示例性的，所述获取黑匣子数据中的取证过程数据之前，包括：

获取设备数据；

响应于检测到取证指令，从所述设备数据中确定证据数据；

存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据。

示例性的，所述存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据，包括：

在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记；

存储所述标记和所述取证过程数据为黑匣子数据。

示例性的，所述在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记，包括：

在从所述设备数据中确定证据数据时，建立在提取证据数据时产生的取证过程数据和所述证据数据的映射关系；

所述存储所述标记和所述取证过程数据为黑匣子数据，包括：

存储所述映射关系和所述取证过程数据为黑匣子数据。

示例性的，所述在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记，包括：

在从所述设备数据中确定证据数据时，获取所述证据数据的存储位置；

基于所述存储位置，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记。

示例性的，所述确定所述提取过程是否合法，包括：

发送所述提取过程至相关单位；

接收所述相关单位针对所述提取过程反馈的判断结果；

基于所述判断结果，确定所述提取过程是否合法。

示例性的，所述确定所述提取过程是否合法，包括：

获取取证合法性判断模型；

输入所述提取过程至所述取证合法性判断模型，得到判断结果；

基于所述判断结果，确定所述提取过程是否合法；

其中，所述取证合法性判断模型是基于预设训练数据集对未训练取证合法性判断模型进行迭代训练后得到的。

示例性的，所述获取取证合法性判断模型之前，包括：

获取预设训练数据集和待训练取证合法性判断模型；

基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练，得到更新后的待训练取证合法性判断模型，并确定所述更新后的待训练取证合法性判断模型是否满足预设迭代结束条件；

若所述更新后的待训练取证合法性判断模型满足所述预设迭代结束条件，则将所述更新后的待训练取证合法性判断模型作为所述取证合法性判断模型；

若所述更新后的待训练取证合法性判断模型未满足所述迭代结束条件，则返回基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练步骤，直至所述更新后的待训练取证合法性判断模型满足所述迭代结束条件。

示例性的，所述基于所述提取过程，确定所述证据数据是否合法之后，包括：

绑定所述判断结果和所述证据数据，得到第二对应关系；

基于所述第二对应关系、所述判断结果和所述证据数据，确定证据网。

示例性的，为实现上述目的，本申请还提供一种取证合法性确定装置，所述取证合法性确定装置包括：

第一获取模块，用于在接收到证明证据数据的提取操作合法性的指令时：获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生；

还原模块，用于基于所述取证过程数据，还原所述证据数据的提取过程；

第一确定模块，用于确定所述提取过程是否合法。

示例性的，所述还原模块包括：

第一确定单元，用于基于所述取证过程数据，确定提取所述证据数据时的取证操作；

还原单元，用于基于所述取证操作和所述取证操作的时间顺序，还原所述证据数据的提取过程。

示例性的，所述装置还包括：

第二获取模块，用于获取设备数据；

第二确定模块，用于响应于检测到取证指令，从所述设备数据中确定证据数据；

存储模块，用于存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据。

示例性的，所述存储模块包括：

标记单元，用于在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记；

存储单元，用于存储所述标记和所述取证过程数据为黑匣子数据。

示例性的，所述标记单元包括：

建立子单元，用于在从所述设备数据中确定证据数据时，建立在提取证据数据时产生的取证过程数据和所述证据数据的映射关系；

所述存储所述标记和所述取证过程数据为黑匣子数据，包括：

第一存储子单元，用于存储所述映射关系和所述取证过程数据为黑匣子数据。

示例性的，所述标记单元包括：

获取子单元，用于在从所述设备数据中确定证据数据时，获取所述证据数据的存储位置；

第二存储子单元，用于基于所述存储位置，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记。

示例性的，所述第一确定模块包括：

发送单元，用于发送所述提取过程至相关单位；

接收单元，用于接收所述相关单位针对所述提取过程反馈的判断结果；

第二确定单元，用于基于所述判断结果，确定所述提取过程是否合法。

示例性的，所述第一确定模块包括：

第一获取单元，用于获取取证合法性判断模型；

输入单元，用于输入所述提取过程至所述取证合法性判断模型，得到判断结果；

第三确定单元，用于基于所述判断结果，确定所述提取过程是否合法；其中，所述取证合法性判断模型是基于预设训练数据集对未训练取证合法性判断模型进行迭代训练后得到的。

示例性的，所述第一确定模块还包括：

第二获取单元，用于获取预设训练数据集和待训练取证合法性判断模型；

训练单元，用于基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练，得到更新后的待训练取证合法性判断模型，并确定所述更新后的待训练取证合法性判断模型是否满足预设迭代结束条件；若所述更新后的待训练取证合法性判断模型满足所述预设迭代结束条件，则将所述更新后的待训练取证合法性判断模型作为所述取证合法性判断模型；若所述更新后的待训练取证合法性判断模型未满足所述迭代结束条件，则返回基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练步骤，直至所述更新后的待训练取证合法性判断模型满足所述迭代结束条件。

示例性的，所述装置还包括：

绑定模块，用于绑定所述判断结果和所述证据数据，得到第二对应关系；

第三确定模块，用于基于所述第二对应关系、所述判断结果和所述证据数据，确定证据网。

示例性的，为实现上述目的，本申请还提供一种取证合法性确定设备，所述取证合法性确定设备包括存储器、处理器和存储在所述存储器上并可在所述处理器上运行的取证合法性确定程序，所述取证合法性确定程序被处理器执行时实现如上所述的取证合法性确定方法的步骤。

示例性的，为实现上述目的，本申请还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有取证合法性确定程序，所述取证合法性确定程序被处理器执行时实现如上所述的取证合法性确定方法的步骤。

与现有技术中，通过从取证过程中涉及的相关设备中获取操作信息，导致证明执法过程的合法性时需要花费大量的时间相比，本申请通过在接收到证明证据数据的提取操作合法性的指令时：获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生；基于所述取证过程数据，还原所述证据数据的提取过程；确定所述提取过程是否合法。本申请通过黑匣子数据来确定提取过程是否合法，该黑匣子数据记录有取证过程数据，该取证过程数据是在提取证据数据时产生的，并且黑匣子数据还包括能够提取证据数据的设备数据，因而实现了黑匣子数据既能够用于证明是否存在网络犯罪，也能够用于证明证据数据的提取操作合法性，从而无需从相关设备中获取操作信息，即可证明证据数据的提取操作合法性，减少了证明证据数据的提取操作合法性所花费的时间，进而提高了证明证据数据的提取操作合法性时的效率。

附图说明

图1是本申请取证合法性确定方法第一实施例的流程示意图；

图2是本申请取证合法性确定装置较佳实施例的功能模块示意图；

图3是本申请实施例方案涉及的硬件运行环境的结构示意图。

本申请目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供一种取证合法性确定方法，参照图1，图1为本申请取证合法性确定方法第一实施例的流程示意图。

本申请实施例提供了取证合法性确定方法的实施例，需要说明的是，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。取证合法性确定方法可用于终端中，该终端为具有相关资质的企业或政府机构中的终端为了便于描述，以下省略执行主体描述取证合法性确定方法的各个步骤，取证合法性确定方法包括：

步骤S110，在接收到证明证据数据的提取操作合法性的指令时：

获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生。

示例性的，证明证据数据的提取操作合法性的指令在特定时间产生，特定时间为依据证据数据的执法行为引发行政诉讼等案件时或被质疑取证操作合法性时。

示例性的，取证过程数据包括执行取证操作时产生的取证日志、系统日志、网络交互信息等动态信息。

示例性的，设备数据包括执法过程涉及的关联设备上的系统信息、软件信息、硬件信息和状态信息(网络地址、运行的应用等)等。

示例性的，虽然证据数据从设备数据中提取得到，但是设备数据与证据数据之间无直接关联，即设备数据并非是根据证据数据的需求进行收集的，设备数据的采集范围是大于证据数据的范围的，即设备数据中除包括可以作为证据数据的数据之外，还包括非证据数据的数据。

示例性的，在从设备数据中提取证据数据时，是通过执行相关操作实现的，即动态信息记录有操作相关的信息，包括操作对应的渠道、操作时间、操作方设备信息等。

步骤S120，基于所述取证过程数据，还原所述证据数据的提取过程。

示例性的，提取过程由提取证据时所使用的取证操作、每个取证操作之间的时间顺序和提取过程涉及的设备信息(设备特征码、设备名称等信息)等组成。

示例性的，所述基于所述取证过程数据，还原所述证据数据的提取过程，包括：

步骤a，基于所述取证过程数据，确定提取所述证据数据时的取证操作；

步骤b，基于所述取证操作和所述取证操作的时间顺序，还原所述证据数据的提取过程。

示例性的，通过取证操作所操作的设备、各被操作的设备的被操作时间以及具体的操作，可以还原提取过程。例如取证操作包括截图、调取系统日志和调取运行的应用的信息，被操作的设备包括手机1、手机2和电脑，被操作时间为13点2分、13点3分和13点4分；其中，手机1对应截图的取证操作、被操作时间为13点4分，手机2对应调取系统日志的取证操作、被操作时间为13点3分，以及电脑对应调取运行的应用的信息的取证操作、被操作时间为13点2分；由此可还原证据数据的提取过程。该提取过程为：在13点2分执行从电脑调取运行的应用的信息的取证操作，在13点3分执行从手机2调取系统日志的取证操作，在13点4分执行从手机1截图的取证操作。可以理解，通过对提取过程进行提取流程层次的还原，可以使得由此确定的提取过程是否合法的结果更加具有可信度。

示例性的，所述获取黑匣子数据中的取证过程数据之前，包括：

步骤c，获取设备数据。

示例性的，设备数据可以是实时获取的，也可以是从历史数据中获取的。实时获取的设备数据包括显示信息、状态信息等，反应了设备运行过程中所产生的数据，可以理解，实时获取的设备数据可信度更高且更加直观；从历史数据中获取的设备数据包括设备的缓存数据、持久化数据等，此类数据不如实时获取的设备数据直观。

步骤d，响应于检测到取证指令，从所述设备数据中确定证据数据。

示例性的，取证指令在有取证需求时由执法人员输入，证据数据是基于取证需求从设备数据中获取的，设备数据包含证据数据。可以理解，不同的取证需求对应不同的证据数据。例如设备数据中包含系统信息1、软件信息1、硬件信息1和状态信息1，系统信息2、软件信息2、硬件信息2和状态信息2，系统信息3、软件信息3、硬件信息3和状态信息3；取证需求1是从设备数据中获取状态信息1、系统信息2和软件信息3，取证需求2是从设备数据中获取系统信息1和软件信息3，取证需求3是从设备数据中获取状态信息1、软件信息2和硬件信息3，等等。

步骤e，存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据。

示例性的，黑匣子数据可以是从设备数据中获取证据数据后，由证据数据和取证过程数据组成的；黑匣子数据还可以是由设备数据和取证过程数据组成的。在黑匣子数据由设备数据和取证过程数据组成时，为便于取证以及进一步通过黑匣子数据证明证据数据的提取操作合法性，可以设计相应的存储规则来存储设备数据和取证过程数据。

示例性的，在设计相应的存储规则来存储设备数据和取证过程数据时，所述存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据，包括：

步骤e1，在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记；

步骤e2，存储所述标记和所述取证过程数据为黑匣子数据。

示例性的，存储规则为通过标记替代设备数据进行存储，本质上还是存储了设备数据，但所需存储的数据量明显少于直接存储设备数据，并且在需要使用证据数据时，通过标记即可确定设备数据中取证过程数据对应的证据数据。例如设备数据为设备数据1、设备数据2和设备数据3，其中设备数据1为证据数据1，设备数据2和设备数据3为非证据数据；取证过程数据为动态信息1，动态信息1为提取设备数据1时产生的数据；为动态信息1和证据数据1的对应关系做标记，并存储标记和动态信息1为黑匣子数据。

示例性的，所述在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记，包括：

步骤e11，在从所述设备数据中确定证据数据时，建立在提取证据数据时产生的取证过程数据和所述证据数据的映射关系；

所述存储所述标记和所述取证过程数据为黑匣子数据，包括：

步骤e21，存储所述映射关系和所述取证过程数据为黑匣子数据。

示例性的，第一对应关系为映射关系，在使用黑匣子数据时，通过取证过程数据和映射关系可以直接定位到证据数据，从而使得在获取了取证过程数据后，间接获取了证据数据。

示例性的，所述在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记，包括：

步骤e12，在从所述设备数据中确定证据数据时，获取所述证据数据的存储位置；

步骤e13，基于所述存储位置，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记。

示例性的，将取证过程数据直接存储于证据数据所在的存储位置，使得在使用黑匣子数据时，定位到该存储位置后，可以直接获取证据数据以及取证过程数据。例如证据数据的存储位置为位置A，则将取证过程数据也存储于位置A中。

步骤S130，确定所述提取过程是否合法；

示例性的，所述确定所述提取过程是否合法，包括：

步骤f，发送所述提取过程至相关单位；

步骤g，接收所述相关单位针对所述提取过程反馈的判断结果；

步骤h，基于所述判断结果，确定所述提取过程是否合法。

示例性的，相关单位为具有相关资质的企业或政府机构，该企业或政府机构能够确定提取过程是否合法。

示例性的，所述确定所述提取过程是否合法，包括：

步骤i，获取取证合法性判断模型；

步骤j，输入所述提取过程至所述取证合法性判断模型，得到判断结果；其中，所述取证合法性判断模型是基于预设训练数据集对未训练取证合法性判断模型进行迭代训练后得到的；

步骤k，基于所述判断结果，确定所述提取过程是否合法。

示例性的，未训练取证合法性判断模型可以由随机森林、人工神经网络和支持向量机等算法构建。以随机森林为例，随机森林是由随机的方式建立的森林，该森林由多棵决策树组成，各决策树之间没有关联，取证合法性判断模型给出判断结果的过程为：在提取过程对应的特征向量输入随机森林后，各决策树分别独立对该特征向量进行分类，即确定提取过程是否合法，分别统计随机森林中分类结果为提取过程合法和分类结果为提取过程不合法的决策树的数量，之后根据数量分别计算提取过程合法对应的概率和提取过程不合法对应的概率来确定判断结果。例如在相应的提取过程对应的特征向量输入随机森林后，判断结果为：提取过程合法的概率为80％、提取过程不合法的概率为20％。由此可确定提取过程合法的概率大于提取过程不合法，即判断结果为提取过程合法。

示例性的，所述获取取证合法性判断模型之前，包括：

步骤l，获取预设训练数据集和待训练取证合法性判断模型；

步骤m，基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练，得到更新后的待训练取证合法性判断模型，并确定所述更新后的待训练取证合法性判断模型是否满足预设迭代结束条件；

步骤n，若所述更新后的待训练取证合法性判断模型满足所述预设迭代结束条件，则将所述更新后的待训练取证合法性判断模型作为所述取证合法性判断模型；

步骤o，若所述更新后的待训练取证合法性判断模型未满足所述迭代结束条件，则返回基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练步骤，直至所述更新后的待训练取证合法性判断模型满足所述迭代结束条件。

示例性的，通过预设训练数据集对未训练取证合法性判断模型进行迭代训练，以得到更新后的未训练取证合法性判断模型，其中，预设训练数据集中包含若干标注好的提取过程。每次得到更新后的未训练取证合法性判断模型之后，都确定该更新后的未训练取证合法性判断模型是否满足预设迭代结束条件，若更新后的未训练取证合法性判断模型满足预设迭代结束条件，则迭代结束，并将最后一个更新后的未训练取证合法性判断模型作为取证合法性判断模型；若更新后的未训练取证合法性判断模型未满足迭代结束条件，则说明更新后的未训练取证合法性判断模型还不满足使用条件，并继续对更新后的未训练取证合法性判断模型进行迭代训练更新，直至更新后的未训练取证合法性判断模型满足迭代结束条件为止。

示例性的，迭代训练为多次通过标注好的提取过程对未训练取证合法性判断模型进行训练的过程，一般地，由未训练取证合法性判断模型得到取证合法性判断模型都需要经过多轮的训练更新。需要说明的是，预设迭代结束条件为输入未训练取证合法性判断模型或更新后的未训练取证合法性判断模型为模型预测准确率达到预设准确率阈值时，迭代结束。

示例性的，除预设训练数据集之外，模型训练过程中还需要使用到测试数据集，同样地，测试数据集中也包含若干标注好的提取过程，其中，预设训练数据集与测试数据集之间的数据量成一定比例，例如10：1。

示例性的，对于迭代训练过程，为提高取证合法性判断模型的敏感度，可以对未训练取证合法性判断模型进行多次训练，具体地，迭代训练过程由多次训练和多次测试组成，例如训练10次后测试1次并循环训练和测试的过程，直至迭代结束。

示例性的，所述基于所述提取过程，确定所述证据数据是否合法之后，包括：

步骤p，绑定所述判断结果和所述证据数据，得到第二对应关系；

步骤q，基于所述第二对应关系、所述判断结果和所述证据数据，确定证据网。

示例性的，证据网能够更加直观地体现判断结果和证据数据之间的关系，通过证据网来证明证据数据的提取操作合法性更加清晰明了，使得执法人员在展示证据网后，提出提取操作合法性质疑的人能够更快地理解并接受。

与现有技术中，通过从取证过程中涉及的相关设备中获取操作信息，导致证明执法过程的合法性时需要花费大量的时间相比，本申请通过在接收到证明证据数据的提取操作合法性的指令时：获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生；基于所述取证过程数据，还原所述证据数据的提取过程；确定所述提取过程是否合法。本申请通过黑匣子数据来确定提取过程是否合法，该黑匣子数据记录有取证过程数据，该取证过程数据是在提取证据数据时产生的，并且黑匣子数据还包括能够提取证据数据的设备数据，因而实现了黑匣子数据既能够用于证明是否存在网络犯罪，也能够用于证明证据数据的提取操作合法性，从而无需从相关设备中获取操作信息，即可证明证据数据的提取操作合法性，减少了证明证据数据的提取操作合法性所花费的时间，进而提高了证明证据数据的提取操作合法性时的效率。

示例性的，参照图2，本申请还提供一种取证合法性确定装置，所述取证合法性确定装置包括：

第一获取模块10，用于在接收到证明证据数据的提取操作合法性的指令时：获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生；

还原模块20，用于基于所述取证过程数据，还原所述证据数据的提取过程；

第一确定模块30，用于确定所述提取过程是否合法。

示例性的，所述还原模块20包括：

第一确定单元，用于基于所述取证过程数据，确定提取所述证据数据时的取证操作；

还原单元，用于基于所述取证操作和所述取证操作的时间顺序，还原所述证据数据的提取过程。

示例性的，所述装置还包括：

第二获取模块，用于获取设备数据；

第二确定模块，用于响应于检测到取证指令，从所述设备数据中确定证据数据；

存储模块，用于存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据。

示例性的，所述存储模块包括：

标记单元，用于在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记；

存储单元，用于存储所述标记和所述取证过程数据为黑匣子数据。

示例性的，所述标记单元包括：

建立子单元，用于在从所述设备数据中确定证据数据时，建立在提取证据数据时产生的取证过程数据和所述证据数据的映射关系；

所述存储所述标记和所述取证过程数据为黑匣子数据，包括：

第一存储子单元，用于存储所述映射关系和所述取证过程数据为黑匣子数据。

示例性的，所述标记单元包括：

获取子单元，用于在从所述设备数据中确定证据数据时，获取所述证据数据的存储位置；

第二存储子单元，用于基于所述存储位置，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记。

示例性的，所述第一确定模块30包括：

发送单元，用于发送所述提取过程至相关单位；

接收单元，用于接收所述相关单位针对所述提取过程反馈的判断结果；

第二确定单元，用于基于所述判断结果，确定所述提取过程是否合法。

示例性的，所述第一确定模块30包括：

第一获取单元，用于获取取证合法性判断模型；

输入单元，用于输入所述提取过程至所述取证合法性判断模型，得到判断结果；

第三确定单元，用于基于所述判断结果，确定所述提取过程是否合法；其中，所述取证合法性判断模型是基于预设训练数据集对未训练取证合法性判断模型进行迭代训练后得到的。

示例性的，所述第一确定模块30还包括：

第二获取单元，用于获取预设训练数据集和待训练取证合法性判断模型；

训练单元，用于基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练，得到更新后的待训练取证合法性判断模型，并确定所述更新后的待训练取证合法性判断模型是否满足预设迭代结束条件；若所述更新后的待训练取证合法性判断模型满足所述预设迭代结束条件，则将所述更新后的待训练取证合法性判断模型作为所述取证合法性判断模型；若所述更新后的待训练取证合法性判断模型未满足所述迭代结束条件，则返回基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练步骤，直至所述更新后的待训练取证合法性判断模型满足所述迭代结束条件。

示例性的，所述装置还包括：

绑定模块，用于绑定所述判断结果和所述证据数据，得到第二对应关系；

第三确定模块，用于基于所述第二对应关系、所述判断结果和所述证据数据，确定证据网。

本申请取证合法性确定装置具体实施方式与上述取证合法性确定方法各实施例基本相同，在此不再赘述。

此外，本申请还提供一种取证合法性确定设备。如图3所示，图3是本申请实施例方案涉及的硬件运行环境的结构示意图(除上述主控制器、从控制器和蜂窝网络模块之外)。

在一种可能的实施方式中，图3即可为取证合法性确定设备的硬件运行环境的结构示意图。

如图3所示，该取证合法性确定设备可以包括处理器301、通信接口302、存储器303和通信总线304，其中，处理器301、通信接口302和存储器303通过通信总线304完成相互间的通信，存储器303，用于存放取证合法性确定程序；处理器301，用于执行存储器303上所存放的程序时，实现取证合法性确定方法的步骤。

上述取证合法性确定设备提到的通信总线304可以是外设部件互连标准(Peripheral ComponentInterconnect,PCI)总线或扩展工业标准结构(ExtendedIndustry StandardArchitecture,EISA)总线等。该通信总线304可以分为地址总线、数据总线和控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口302用于上述取证合法性确定设备与其他设备之间的通信。

存储器303可以包括随机存取存储器(Random Access Memory,RMD),也可以包括非易失性存储器(Non-Volatile Memory,NM)，例如至少一个磁盘存储器。可选的，存储器303还可以是至少一个位于远离前述处理器301的存储装置。

上述的处理器301可以是通用处理器，包括中央处理器(Central ProcessingUnit,CPU)、网络处理器(Network Processor,NP)等；还可以是数字信号处理器(DigitalSignal Processor,DSP)、专用集成电路(Application Specific Integrated Circuit,ASIC)、现场可编程门阵列(Field-Programmable Gate Array,FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

本申请取证合法性确定设备具体实施方式与上述取证合法性确定方法各实施例基本相同，在此不再赘述。

此外，本申请实施例还提出一种计算机可读存储介质，所述计算机可读存储介质上存储有取证合法性确定程序，所述取证合法性确定程序被处理器执行时实现如上所述的取证合法性确定方法的步骤。

本申请计算机可读存储介质具体实施方式与上述取证合法性确定方法各实施例基本相同，在此不再赘述。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，设备，或者网络设备等)执行本申请各个实施例所述的方法。

以上仅为本申请的优选实施例，并非因此限制本申请的专利范围，凡是利用本申请说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本申请的专利保护范围内。

本发明公开了A1、一种取证合法性确定方法，所述方法包括：

在接收到证明证据数据的提取操作合法性的指令时：

获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生；

基于所述取证过程数据，还原所述证据数据的提取过程；

确定所述提取过程是否合法。

A2、如A1所述的方法，所述基于所述取证过程数据，还原所述证据数据的提取过程，包括：

基于所述取证过程数据，确定提取所述证据数据时的取证操作；

基于所述取证操作和所述取证操作的时间顺序，还原所述证据数据的提取过程。

A3、如A1所述的方法，所述获取黑匣子数据中的取证过程数据之前，包括：

获取设备数据；

响应于检测到取证指令，从所述设备数据中确定证据数据；

存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据。

A4、如A3所述的方法，所述存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据，包括：

在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记；

存储所述标记和所述取证过程数据为黑匣子数据。

A5、如A4所述的方法，所述在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记，包括：

在从所述设备数据中确定证据数据时，建立在提取证据数据时产生的取证过程数据和所述证据数据的映射关系；

所述存储所述标记和所述取证过程数据为黑匣子数据，包括：

存储所述映射关系和所述取证过程数据为黑匣子数据。

A6、如A4所述的方法，所述在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记，包括：

在从所述设备数据中确定证据数据时，获取所述证据数据的存储位置；

基于所述存储位置，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记。

A7、如A1所述的方法，所述确定所述提取过程是否合法，包括：

发送所述提取过程至相关单位；

接收所述相关单位针对所述提取过程反馈的判断结果；

基于所述判断结果，确定所述提取过程是否合法。

A8、如A1所述的方法，所述确定所述提取过程是否合法，包括：

获取取证合法性判断模型；

输入所述提取过程至所述取证合法性判断模型，得到判断结果；

基于所述判断结果，确定所述提取过程是否合法；

其中，所述取证合法性判断模型是基于预设训练数据集对未训练取证合法性判断模型进行迭代训练后得到的。

A9、如A8所述的方法，所述获取取证合法性判断模型之前，包括：

获取预设训练数据集和待训练取证合法性判断模型；

基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练，得到更新后的待训练取证合法性判断模型，并确定所述更新后的待训练取证合法性判断模型是否满足预设迭代结束条件；

若所述更新后的待训练取证合法性判断模型满足所述预设迭代结束条件，则将所述更新后的待训练取证合法性判断模型作为所述取证合法性判断模型；

若所述更新后的待训练取证合法性判断模型未满足所述迭代结束条件，则返回基于所述预设训练数据集对所述待训练取证合法性判断模型进行迭代训练步骤，直至所述更新后的待训练取证合法性判断模型满足所述迭代结束条件。

A10、如A7或A8所述的方法，所述基于所述提取过程，确定所述证据数据是否合法之后，包括：

绑定所述判断结果和所述证据数据，得到第二对应关系；

基于所述第二对应关系、所述判断结果和所述证据数据，确定证据网。

B11、一种取证合法性确定装置，所述装置包括：

第一获取模块，用于在接收到证明证据数据的提取操作合法性的指令时：获取黑匣子数据中的取证过程数据；所述黑匣子数据包括所述取证过程数据和设备数据；所述证据数据从所述设备数据中提取得到，所述取证过程数据在提取所述证据数据时产生；

还原模块，用于基于所述取证过程数据，还原所述证据数据的提取过程；

第一确定模块，用于确定所述提取过程是否合法。

B12、如B11所述的装置，所述还原模块包括：

第一确定单元，用于基于所述取证过程数据，确定提取所述证据数据时的取证操作；

还原单元，用于基于所述取证操作和所述取证操作的时间顺序，还原所述证据数据的提取过程。

B13、如B11所述的装置，所述装置还包括：

第二获取模块，用于获取设备数据；

第二确定模块，用于响应于检测到取证指令，从所述设备数据中确定证据数据；

存储模块，用于存储所述证据数据和在提取证据数据时产生的取证过程数据为黑匣子数据。

B14、如B13所述的装置，所述存储模块包括：

标记单元，用于在从所述设备数据中确定证据数据时，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记；

存储单元，用于存储所述标记和所述取证过程数据为黑匣子数据。

B15、如B14所述的装置，所述标记单元包括：

建立子单元，用于在从所述设备数据中确定证据数据时，建立在提取证据数据时产生的取证过程数据和所述证据数据的映射关系；

所述存储所述标记和所述取证过程数据为黑匣子数据，包括：

第一存储子单元，用于存储所述映射关系和所述取证过程数据为黑匣子数据。

B16、如B14所述的装置，所述标记单元包括：

获取子单元，用于在从所述设备数据中确定证据数据时，获取所述证据数据的存储位置；

第二存储子单元，用于基于所述存储位置，在所述设备数据中，为所述证据数据和在提取证据数据时产生的取证过程数据的第一对应关系做标记。

B17、如B11所述的装置，所述第一确定模块包括：

发送单元，用于发送所述提取过程至相关单位；

接收单元，用于接收所述相关单位针对所述提取过程反馈的判断结果；

第二确定单元，用于基于所述判断结果，确定所述提取过程是否合法。

B18、如B11所述的装置，所述第一确定模块包括：

第一获取单元，用于获取取证合法性判断模型；

输入单元，用于输入所述提取过程至所述取证合法性判断模型，得到判断结果；

第三确定单元，用于基于所述判断结果，确定所述提取过程是否合法；其中，所述取证合法性判断模型是基于预设训练数据集对未训练取证合法性判断模型进行迭代训练后得到的。

本发明还公开了C19、一种取证合法性确定设备，所述取证合法性确定设备包括存储器和处理器，所述存储器用于存放取证合法性确定程序，所述处理器用于执行所述存储器上所存放的取证合法性确定程序，以实现如上所述的取证合法性确定方法的步骤。

本发明还公开了D20、一种计算机可读存储介质，所述存储介质内存储有取证合法性确定程序，所述取证合法性确定程序被处理器执行时实现如上所述的取证合法性确定方法的步骤。