当重组碎片JPEG图像时使用的方法和设备技术

本发明专利技术涉及到当重组碎片JPEG图像时使用的方法和设备。本发明专利技术涉及碎片文件的恢复。特别是，本发明专利技术涉及为了重组JPEG图像的目的而找到碎片JPEG图像的碎裂点和继续点。通过使用相应于待重组的JPEG图像的JPEG缩略图图像来找到碎裂点。

【技术实现步骤摘要】

本专利技术涉及碎片文件的恢复。特别是，本专利技术涉及为了重组JPEG图像的目的而找到碎片JPEG图像的碎裂点和继续点。专利技术背景随着越来越多地使用数字存储介质，对更复杂的数据恢复和取证恢复产品的需要也增加了。大部分文件系统和存储设备通过将数据分成很多簇并通过维持用于存储每个文件的数据的簇的列表(文件-表格)来存储数据。例如，在文件系统FAT-32中，具有文件名的根表格条目将指向文件的第一簇，其又指向下一簇，依此类推，直到指向文件的最后一个簇为止。当访问文件时，从簇的这个列表依次取回数据。类似地，一般通过从文件表格移除文件的条目来实现文件的删除。传统文件恢复和取证产品试图通过分析文件系统并提取由文件系统指向的数据来恢复数据。当文件系统被毁坏、不是当前的或具有缺少的条目时，传统恢复技术恢复数据失败。所谓的“文件雕复”被引入以从磁盘的“未分配”空间(不被文件系统指向的磁盘的区域)恢复文件。当文件未被存储在数据扇区的连续区域上时，文件被认为是“碎裂的”。(术语“数据扇区”的含义旨在包括“簇”或“数据块”。)例如，当文件未以正确的顺序被存储在磁盘上的连续数据扇区上时，文件碎片被认为出现。换句话说，如果文件碎裂，则从文件的开始部分到文件的末尾的数据扇区的顺序将导致文件的部分的和/或不正确的重建。可能对从取证观点恢复有意义的一个文件是JPEG图像。因为JPEG图像可包含很多数据，JPEG碎裂的风险可能相当大。Martin Karresand的“Completing the Picture—Fragments and Back Again”建议用于重组JPEGr>
图像的一种方法，其中，使用被包括在JPEG图像中的数据扇区中的RST标记，以便确定当重组JPEG图像时被组合的可能的数据扇区。因为JPEG压缩由在频域中存储数据组成，数据的两个扇区的组合通过比较单独的数据扇区的DC系数而被确认。然而，这是复杂的方法，且可能例如难以手动地验证结果的正确性，因为用户不可能理解在频域中的数据。本专利技术的实施方式在这个上下文内产生。专利技术概述在鉴于上述内容，本专利技术的目的是解决或至少减小上面讨论的一个或几个缺点。通常，上述目的由所附独立专利权利要求实现。根据第一方面，本专利技术由当从包括多个连续数据扇区的数据扇区的集合重组碎片JPEG图像时使用的方法实现，其中，多个连续数据扇区中的至少一些包括相应的重新开始标记值。数据扇区一般由512个字节组成，但不同类型的存储器可包括其它尺寸的数据扇区。重新开始标记(RST)是JPEG文件格式的特征，并可用于检测图片的碎片或损坏。存在被称为RST0–RST7的、用十六进制表示为0xFFD0–0xFFD7的八个不同的RST值。使用重新开始标记的JPEG文件将具有包括RST值的数据扇区，所述RST可能跟随有不包括RST值的一个或多个数据扇区，即JPEG最小编码单位(MCU)，且然后是包括下一RST值的数据扇区，依此类推。在RST7之后，下一标记是RST0。在一个数据扇区内可以有几个RST标记值也是可能的。本方法包括在多个连续数据扇区中找出包括JPEG文件签名的数据扇区。从包括JPEG文件签名的数据扇区和至少一个连续数据扇区中，可接着提取相应于待重组的JPEG图像的JPEG缩略图。缩略图图像是包含在JPEG文件中的小图像，且一般是低分辨率，例如在尺寸上是160x128个
像素。缩略图是主要图像、即待重组的图像的小版本。它们通常位于JPEG文件的前几千字节中，且获取非碎片缩略图的可能性比在没有碎片的情况下提取主要图像的可能性高得多。应注意，可以只从与包括JPEG文件签名的数据扇区连续的数据扇区提取JPEG缩略图。换句话说，包括JPEG文件签名的数据扇区在一些实施方式中可以不包括构成JPEG缩略图的任何数据。最常见的情况是，JPEG缩略图将不在文件的第一扇区、即包括JPEG文件签名的数据扇区内开始。通常，诸如时间戳、孔径设置和可能GPS坐标的其它EXIF元数据出现在实际缩略图之前。本方法还包括从与包括JPEG文件签名的数据扇区连续的数据扇区确定属于待重组的JPEG图像的数据扇区和第一碎裂点数据扇区，其中，第一碎裂点数据扇区相应于重新开始标记值。例如，首先找出包括扫描开始(SoS)十六进制值的扇区。在JPEG图像文件中，图片的编码数据刚好出现在SoS扇区之后。在SoS段之后，在第一碎裂点数据扇区之前并包括第一碎裂点数据扇区的所有数据段被确定为属于待重组的JPEG图像。当在存储器中的数据的集合——在这种情况下是待重组的JPEG图像——分裂成不在连续的顺序中(例如，在多个连续数据扇区中)的很多小片时，碎片出现。如在本文使用的，术语“第一碎裂点数据扇区”应被理解为意指在连续数据扇区当中的被确定为不属于待重组的JPEG图像的数据扇区之前的最后一个数据扇区。通常，在JPEG编码图像中，包括RST标记的数据扇区跟随有不包括RST标记的一个或多个数据扇区，即JPEG最小编码单元(MCU)。不包括RST标记的一个或多个扇区的数量可在JPEG图像中改变。如先前提到的，在一个数据扇区内遇到多个RST标记是可能的，虽然这不是常见的情况。存在被称为DRI的JPEG标记，DRI规定在重新开始标记之间的MCU的数量。因为MCU本身尺寸是可变的，不存在看到重新开始标记之间的字节(或扇区)数量的可容易地预测的方式。在第一碎裂点数据扇区被确定为不包括RST标记值的数据扇区的情况下，第一碎裂点数据扇区被确定
为相应于紧接着包括RST标记的前一数据扇区的重新开始标记值。在多个RST标记存在于紧接着包括RST标记的前一数据扇区中的情况下，第一碎裂点数据扇区被确定为相应于在多个RST标记中的最后一个的值。本方法还可包括基于相应于第一碎裂点数据扇区的重新开始标记值来在多个数据扇区中的所述至少一些当中选择包括相应的重新开始标记值的多个候选数据扇区。在数据扇区包括几个RST标记的情况下，在选择候选数据扇区时使用在数据扇区中的第一RST标记。本方法的下一步骤是对每个候选数据扇区通过以下操作确定继续点数据扇区：·通过将至少候选数据扇区附加到属于待重组的JPEG图像的数据扇区来形成数据扇区的候选组，以及·通过将数据扇区的候选组和JPEG缩略图用作为在适应度函数中的参数来计算候选数据扇区的适应度分数。换句话说，每个候选数据扇区被测试以查看它是否适合已经被确定为属于待重组的JPEG图像的数据扇区，且这个测试涉及与JPEG缩略图的比较，该JPEG缩略图是不碎裂的并因此代表待重组的实际JPEG图像的下采样版本。将JPEG缩略图用作为线索，可计算每个候选数据扇区的适应度分数。从这些所计算的适应度分数中，具有在所计算的适应度分数当中的最高适应度分数的候选数据扇区可接着有利地被选择为用于确定属于待重组的JPEG图像的另外的数据扇区的最佳继续点数据扇区。应注意，特征“最高适应度分数”应被理解为相应于在候选数据扇区和已经被确定为属于待重组的JPEG图像的数据扇区当中的最佳匹配。根据一些实施方式，确定属于待重组的JPEG图像的数据扇区和第一碎裂点数据扇区的步骤包括下列操作中的至少一个：·确定数据扇区包括不紧接着前一数据扇区的重新开始标记值的重新开始本文档来自技高网...

【技术保护点】
一种方法(300)，当从包括多个连续数据扇区(100、200)的数据扇区的集合重组碎片JPEG图像时使用所述方法(300)，其中，所述多个连续数据扇区中的至少一些包括相应的重新开始标记值，所述方法包括：a)在所述多个连续数据扇区当中找出(S302)包括JPEG文件签名(102)的数据扇区，b)从包括所述JPEG文件签名的所述数据扇区和至少一个连续数据扇区中提取(S304)相应于待重组的JPEG图像的JPEG缩略图,c)从与包括所述JPEG文件签名的所述数据扇区连续的数据扇区确定(S306)属于待重组的所述JPEG图像的数据扇区和第一碎裂点数据扇区，其中，所述第一碎裂点数据扇区相应于重新开始标记值，d)基于相应于所述第一碎裂点数据扇区的所述重新开始标记值来在所述多个数据扇区中的所述至少一些当中选择(S308)包括相应的重新开始标记值的多个候选数据扇区，e)针对每个候选数据扇区通过以下操作确定(S310)继续点数据扇区，f)通过将至少所述候选数据扇区附加到属于待重组的所述JPEG图像的所述数据扇区来形成(S312)数据扇区的候选组，以及g)通过将数据扇区的所述候选组和所述JPEG缩略图用作为在适应度函数中的参数来计算(S314)所述候选数据扇区的适应度分数，h)选择(S318)在所述所计算的适应度分数当中的具有最高适应度分数的所述候选数据扇区作为用于确定属于待重组的所述JPEG图像的另外的数据扇区的继续点数据扇区。...

【技术特征摘要】
2015.05.11 EP 15167080.91.一种方法(300)，当从包括多个连续数据扇区(100、200)的数据扇区的集合重组碎片JPEG图像时使用所述方法(300)，其中，所述多个连续数据扇区中的至少一些包括相应的重新开始标记值，所述方法包括：a)在所述多个连续数据扇区当中找出(S302)包括JPEG文件签名(102)的数据扇区，b)从包括所述JPEG文件签名的所述数据扇区和至少一个连续数据扇区中提取(S304)相应于待重组的JPEG图像的JPEG缩略图,c)从与包括所述JPEG文件签名的所述数据扇区连续的数据扇区确定(S306)属于待重组的所述JPEG图像的数据扇区和第一碎裂点数据扇区，其中，所述第一碎裂点数据扇区相应于重新开始标记值，d)基于相应于所述第一碎裂点数据扇区的所述重新开始标记值来在所述多个数据扇区中的所述至少一些当中选择(S308)包括相应的重新开始标记值的多个候选数据扇区，e)针对每个候选数据扇区通过以下操作确定(S310)继续点数据扇区，f)通过将至少所述候选数据扇区附加到属于待重组的所述JPEG图像的所述数据扇区来形成(S312)数据扇区的候选组，以及g)通过将数据扇区的所述候选组和所述JPEG缩略图用作为在适应度函数中的参数来计算(S314)所述候选数据扇区的适应度分数，h)选择(S318)在所述所计算的适应度分数当中的具有最高适应度分数的所述候选数据扇区作为用于确定属于待重组的所述JPEG图像的另外的数据扇区的继续点数据扇区。2.如权利要求1所述的方法，其中，步骤c)包括下列操作中的至少一个：确定数据扇区包括不紧接着前一数据扇区的重新开始标记值的重新开始标记值，以及确定数据扇区包括低熵数据。3.如权利要求1所述的方法，其中，步骤f)包括：从与所述候选数据扇区连续的数据扇区中确定属于同一JPEG图像的数据扇区和第二碎裂点数据扇区，其中，属于所述同一JPEG图像的所述数据扇区包括所述候选扇区，以及通过将属于所述同一JPEG图像的所述数据扇区附加到属于待重组的所述JPEG图像的所述数据扇区来形成数据扇区的所述候选组。4.如权利要求3所述的方法，其中，确定属于同一JPEG图像的数据扇区和第二碎裂点数据扇区的步骤包括下列操作中的至少一个：确定数据扇区包括不紧接着前一数据扇区的重新开始标记值的重新开始标记值，以及确定数据扇区包括低熵数据。5.如权利要求1所述的方法，其中，步骤g)包括：对数据扇区的所述候选组进行解码以形成候选JPEG图像，以及其中，所述适应度函数包括将所述候选JPEG图像与所述JPEG缩略图进行比较。6.如权利要求5所述的方法，其中，步骤g)包括：重放缩所述候选JPEG图像以匹配所述JPEG缩略图的尺寸。7.如权利要求6所述的方法，其中，步骤g)包括：将所述候选JPEG图像和所述JPEG缩略图转换成灰度图，其中，所述适应度函数包括：计算在所述候选JPEG图像中的每个像素与在所述JPEG缩略图中的相应像素之间的差异，以及将所述差异与阈值进行比较，对于满足所述阈值的每个差异，使计数器值递增，其中，所述适应度分数相应于所述计数器值。8.如权利要求6所述的方法，其中，步骤g)包括：将所述候选JPEG图像和所述JPEG缩略图转换成灰度图，其中，所述适应度函数包括：计算在所述候选JPEG图像中的像素与在所述JPEG缩略图中的相应像素之间的差异，将所计算的差异与第一阈值进行比较，且对于不满足所述第一阈值的每个差异，使计数器值递增，其中，如果所述...

【专利技术属性】
技术研发人员：克里斯多佛·罗萨尔，
申请(专利权)人：米克罗西斯特美信公司，
类型：发明
国别省市：瑞典;SE