电子数据侦查

1、从电子数据取证到电子数据侦查摘要从1999年美国出现第一款商用计算机取证工具并随后引入中国，从2013年刑事诉讼法首 次确立“电子数据”作为证据的法律地位至今，电子数据取证技术和产品已经在司法机关得到广泛 应用。然而，电子数据取证以技术为先的理念极大地限制了其自身发展的空间。本文针对电子数据 取证的局限性，提出电子数据侦查的理念：在刑事案件侦查全过程中，以发现和收集案件相关证据、 查明犯罪事实、确定和查获犯罪嫌疑人为目标，围绕以案件要素构成的研判模型，从海量电子数据 中挖掘线索和证据，直至案件侦破终结的一系列案件研判活动。并依此理念提出满足公安机关和检 察机关侦查业务需求的解决方案。关键词：电

2、子数据侦查、案件构成要素、案件研判模型、智能研判什么是电子数据侦查？从电子数据取证起步1991年，在第一届国际计算机调查专家会议上，首次提出“计算机证据(Computer Evidence)”和“计算 机取证(Computer Forensic)”。1999年，美国出现了第一款计算机取证的商用工具EnCase。此后，以计算机取证为代表的电子数据取证的 理念、技术和工具产品开始引入到国内，成为刑事案件侦查的技术手段之一。2013年1月1日施行的中华人民共和国刑事诉讼法首次确立了“电子数据”作为证据的法律地位，电 子数据取证在司法机关迎来了更大的发展机遇。全国公安机关县级以上网安部门、公安机关基层

3、科所队基本完成 智能终端数据取证设备的全面部署，正在逐步形成规范化、常态化的数据采集工作机制，为公安机关电子数据取 证工作奠定了坚实的基础。检察机关已经建成全国的电子数据云平台，并开始覆盖基层检察院，应用服务正在向 侦查办案部门延伸。电子数据取证局限性由于限定于电子数据证据和线索的取证分析，传统电子数据取证以技术为先的理念具有以下不足，限制了其 发展空间：电子数据作为独立的侦查线索和证据来源，没有与传统侦查手段获取的线索和证据关联，不能站在刑事案件 侦查的高度，融合两种线索和证据来源，共同为侦查业务服务。由于定位于技术支持地位，电子数据取证产品为用户提供的是技术性的取证分析功能(例如，关系分析

4、、行 为轨迹、异常分析等)。用户面对的是复杂难懂的功能逻辑。为完成刑事案件侦查任务，他们需要在各种取 证分析功能之间切换，手工输入各种已知的线索信息。研判分析的结果多以技术性的文字、图表形式展现。电子数据取证产品通常限于在特定侦查阶段，为特定具体的侦查任务提供证据和线索，提供技术性研判分析。 研判结果无法直观呈现，不能在侦查团队内部交流共享，不能回溯推演。针对电子数据取证的局限性，本文首次提出电子数据侦查的理念，提出满足公安机关和检察机关两大司法机 关侦查业务需求的解决方案。什么是电子数据侦查电子数据侦查是在以刑事案件侦查为主的各类案件侦查或者调查办理全过程中，以收集和发现案件相关证据、 查明

5、犯罪事实、确定和查获违法犯罪嫌疑人为目标，围绕案件构成要素，从海量的电子数据中挖掘线索和证据， 直至案件侦破终结的一系列案件研判活动。电子数据侦查的核心要素包括：以电子数据取证技术手段，采集并汇聚以手机和个人计算机为主的各种涉案设备的电子数据1（这里的涉 案设备指案件中嫌疑人、被害人或者其他相关人拥有或使用的各种电子终端设备）；融合传统侦查手段获取的案件证据和线索1（通常是已经记录在公安机关或检察机关的网上办案系统、现 场勘验信息系统、询问/讯问笔录信息系统等系统中的电子数据）；整合司法机关（公安机关和检察机关）各种情报信息资源1，整合社会情报信息资源1；建立以犯罪主体、相关人（受害人和知情人

6、）、相关物、作案行为、作案时间、作案空间、作案动机目的、 作案结果等刑事案件要素构成的案件研判模型；在以刑事案件侦查为主的各类案件侦查或调查办理全过程中，以案件研判模型为核心展开的一系列案件研判 活动；案件研判活动的目的是为发现和收集案件证据、查明犯罪事实、确定和查获犯罪嫌疑人等各项侦查任务服务。电子数据侦查活动的本质是利用已知线索和证据，从以电子数据形式存在的海量情报信息1中挖掘出更多新 线索和证据，再利用新线索继续挖掘其它线索，如此循环反复，直至查明违法犯罪行为、动机目的、组织分工以 及违法犯罪结果等相关事实，直至侦查终结。电子数据侦查的理念和优势电子数据侦查的理念下图描述了电子数据侦查的

7、理念和内涵，以下将做详细阐述。普通案件位生电牯大专案班交 专顶斗争也克 士：E可视用的案杵册刊模型？理 广三:嘉:案I、匚土土班:qr.犯不寸,险生,犯心血性工,.，.t .苴三证匣.二二卜俎叩（已知，瞌旃m图1 电子数据侦查概念模型以电子数据取证手段，采集并汇聚各种涉案终端设备上的电子数据截止2015年12月，我国网民规模达 6.88亿，其中手机网民达6.2亿，占网民的90%以上，只使用手机上 网的网民1.3亿，占整体网民的大约18.5%。手机用户数超过13亿户，手机普及率达95.5部/百人。用户规模 超过1亿的网络应用包括：即时通讯、搜索引擎、网络新闻、网络视频、网络音乐、网上支付、网络购

8、物、网络 游戏、网上银行、网络文学、旅行预订、电子邮件、团购、互联网医疗、论坛bbs、在线教育、互联网理财。这 组数字表明：手机已经成为人们日常生活的必需品，以智能手机为主的智能终端设备记录了人们日常沟通交流、 生活工作、娱乐学习、出行购物等等行为。在这个大数据的时代，不论是数字化犯罪还是传统手段犯罪，除非“不 食人间烟火”，否则都将落入“天网恢恢，疏而不漏”的电子数据记录体系。其中，以电子数据取证技术手段、从涉案终端设备上采集并汇聚的电子数据记录着涉案相关人、尤其是犯罪 嫌疑人的日常行为，是电子数据侦查最重要的线索和证据来源。融合传统侦查手段获取的案件证据和线索电子数据侦查整合传统侦查手段获

9、取的案件证据和线索，包括：物证书证，证人证言，被害人陈述，犯罪嫌 疑人、被告人供述和辩解，鉴定意见，勘验检查、辨认、侦查实验等笔录，视听资料。这些线索和证据通常已经 记录在公安机关或检察机关的网上办案系统、人员信息采集系统、现场勘验信息系统、询问/讯问笔录信息系统 等信息系统中，以结构化、半结构化或者非结构化电子数据形式存在。电子数据侦查融合这些传统线索和证据，通过碰撞比对、搜索等传统分析手段，从海量涉案设备电子数据中 挖掘线索和证据，可以大大提高案件侦破成功率。整合司法机关（公安机关和检察机关）各种情报信息资源司法机关情报信息资源通常包括：公安情报平台、警务综合应用平台、警用地理信息平台、网

10、安综合应用平 台、人口信息库、机动车信息库、在逃人员信息系统、被盗抢汽车信息系统、禁毒信息管理系统、电信诈骗案件 侦查破案协助平台、旅馆住宿信息系统、网吧上网信息系统等等。这些海量的情报信息中隐藏着犯罪分子犯罪行为的蛛丝马迹，电子数据侦查整合这些情报信息，使得从中挖掘犯罪线索和证据、查明犯罪事实、确定和查获犯 罪嫌疑人成为可能。整合社会情报信息资源社会情报信息资源是指电信、互联网服务、银行、证券、水电煤公用服务、广电、邮政、快递、医院等各类 社会服务企业单位，以及工商、税务、海关、民政、房地产登记这类行政管理部门所运营维护的各类信息系统中 保存的情报信息。这些情报信息记录了普通社会人群生活、工

11、作、娱乐、购物、出行等日常行为，其中也包括违 法犯罪分子的日常行为以及违法犯罪行为。与司法机关的情报信息资源相比，这些情报信息覆盖的社会人群更加 广泛，记录的社会行为更加全面、详尽。通过整合这些社会信息资源，完全有可能捕捉到犯罪分子更多的蛛丝马 迹，让其无处遁形。电子数据侦查只有整合了社会情报信息资源，将挖掘犯罪线索和证据的数据空间扩展到普通社会人群的日常 行为，才能成为真正意义上的“电子数据侦查”。从下图我们可以看到传统侦查手段获取的线索和证据、涉案设备电子数据、司法机关情报信息资源和社会情 报信息资源在电子数据侦查中的层次关系。电子数据侦查活动的本质就是利用已知线索和证据，从这些以电子数

12、据形式存在的海量情报信息中挖掘出更多新线索和证据。发.新作*f311打有忘口门游三人手中吊：1:球晦JEiiijriaS.旧i WE懊之司法机关情报信息,_ _-案牛二口1 i!i l-飞171；- 联越蛭询据WE*柔，诲以7”运涉案澄苗取证聿二的需图2传统侦查证据线索、涉案设备电子数据、司法机关和社会情报信息的层次关系建立以案件要素构成的案件研判模型电子数据侦查首先需要建立以案件相关人（犯罪分子、受害人和其他知情人）、相关物、作案行为、作案时 间、作案空间、作案动机目的、作案结果等刑事案件要素构成的案件研判模型，包括涉案人关系模型（其中又包 括嫌疑人团伙关系模型），涉案行为模型、涉案时间模型

13、、涉案空间模型、作案动机目的模型、作案结果模型等。涉案人关系空间要素图3刑事案件构成要素案件研判模型具有以下意义和作用：案件研判模型由案件构成要素的组成，记录了案件相关人、相关物、涉案行为的时间和空间、作案动机 目的、作案结果等，成为案件研判分析的基础以案件研判模型为核心展开的案件研判活动。案件研判模型记录了已知线索和证据，并以可视化的形式直观呈现出来。侦查人员可以根据已知线索， 按照其熟悉的侦查思路展开研判分析，发现新线索，新线索可以自动记录在研判模型中。在以刑事案件侦查为主的各类案件侦查或调查办理全过程中，案件研判模型可以记录各个办案阶段的研 判结果，并在侦查团队内部交流共享、推演回溯，使

14、得跨部门、跨警种、跨区域的联合协同侦查成为可 案件研判模型可以记录侦查员的研判行为。通过归纳分析优秀侦查员的研判思路，将其固化为智能研判 算法，转化为系统自动执行的研判功能。可以利用人工智能技术，通过机器学习侦查员研判行为和思路，系统自动生成智能研判算法。案件研判模型既可以是针对所有刑事案件共性的案件要素的通用案件模型，也可以是针对特定案件类型和侦 查模式的特定类型案件模型。由于刑事案件本身的复杂性，没有适合各种案件的通用侦查模式和研判思路。但针对特定类型案件的发案规 律，经过长期刑事侦查实践总结出了科学的侦查模式，优秀的侦查员根据各自侦查办案实践形成了一系列有效的 研判思路。基于特定类型的案

15、件研判模型，完全可以通过归纳分析，将这些侦查模式和研判思路固化形成适合特 定案件类型的智能研判算法。通用案件模型今特定案件模型片观研判3自动智能研判技窠件类型智能在成i 得定奚里窠髻建坦工：.工注，据T恃定类型窠抖校型,例二按做卜三.美辛怛叫口父，：怛理三时三栏q号三唾弓（-?胆理监在成；L WJ 31 FM i满五仙查td不押飞巧斐室今潮摩t汕介智就加利旧廿二型仙查定式由委列人； 士人鼻云.电案M.强.用成智能仙判算法K%；:川+部分行3“划:.m回卜三时,:退土广空柳工业口的处工现曲XH1成I 茸*柒锌奉诵r J侦杳5主!卜三、天携2田界速守其乔利Jt团钊拽型数提 以.口视化形式7叫用户图

16、4证据线索、案件研判模型与研判活动的关系I ,篥人关系捏型案彳亍为模型作舸间握型作篥空间雌动机目的摸型电子数据侦查为刑事案件侦查的全过程提供案情研判服务即使尚未获取涉案设备电子数据，电子数据侦查也可以基于传统手段获取的线索和证据建立案件研判模型， 在刑事案件侦查全过程中开展案件研判活动，循环反复地根据已知线索获取更多线索和证据，直至案件侦查终结。 整个刑事案件侦查过程就是一个涉案线索逐步丰富，涉案证据逐步完整并形成证据链，案件研判模型中案件构成 要素逐步完备的过程。电子数据侦查需要支持各种侦查形式，包括：普通刑事案件侦查、重大特定刑事专案侦查、串并案侦查。电子数据侦查的服务对象已经从电子数据取

17、证分析人员，扩展到侦查员、专业的情报分析人员、专案侦查中 的指挥员，即整个刑事案件侦查团队。电子数字侦查可以为行政违法案件调查服务 以治安案件为主除为刑事案件侦查外，电子数据侦查还可为以治安案件为主的行政违法案件调查服务，为公安机关基层办理 案件服务。电子数据侦查可以为专项斗争的侦查任务服务电子数据侦查还可为专项斗争的全过程提供支撑服务，包括从电子数据中搜集材料、总结犯罪特点、深挖犯 罪事实，查证专项斗争中发现的重大线索，为后续的立案侦查做准备。2电子数据侦查的优势与传统电子数据取证相比，电子数据侦查具有如下优势：传统电子数据取证电子数据侦查1传统侦查手段获取的线索证据不能自动与 电子数据关联

18、，共同为侦查服务通过建立案件研判模型，将传统侦查手段获得的线索证据 与电子数据取证手段获取的信息数据整合在一起，自动关 联，共同为侦查服务2从技术视角为用户提供取证分析或者研判 分析功能，用户面对的是复杂难懂的技术 功能逻辑。技术的门槛限制了推广使用的 范围，实际的应用效果也会大打折扣。案件研判模型反映的是侦查员熟悉的案件构成要素，以侦 查员的思维方式展开案件研判。拆除技术门槛，有利于在 侦查员和侦查指挥员中推广使用，提高研判效率和效果， 最终到达提高破案率和破案时效性的目标。3为达到侦查任务目标，用户需要在各种取 证分析功能之间切换，反复手工选择或输 入已知的线索信息作为输入，研判结果以 技

19、术性的文字、图表等呈现，不能直观反 映案件构成要素。已知的线索信息整合到案件研判模型，无需反复选择或输 入。侦查员可以针对阶段性侦查目标，在熟悉的模型上进 行案件研判活动，系统根据已知线索自动调用研判分析功 能；研判结果直接在模型上体现为更多的线索和证据，并 且以可视化图表呈现。4取证分析通常只能在已经获取涉案设备电 子数据的前提下，在特定的侦查阶段，为 特定的侦查目标服务。即使尚未获取涉案设备电子数据，也可以基于传统手段获 取的线索证据建立案件研判模型，案件研判活动贯穿于案 件侦查或调查办理全过程，是根据已知线索获取更多线索 和证据的过程，是模型中案件构成要素更加完备的过程。5研判结果无法保

20、存并直观推演重现，不能 在侦查团队内部自由交流共享。研判结果记录保存在案件模型中，可在侦查团队内部交流 共享、回溯推演，支持跨部门（警种）、跨区域的团队协作。6没有案件研判模型的概念，无法归纳理解 侦查员研判行为背后的侦查思路。可以针对不同案件类型和侦查模式，建立特定类型的案件 研判模型，归纳分析优秀侦查员研判思路，将其固化为智 能的研判算法，由系统自动执行。最终可以利用人工智能技术，通过学习侦查员研判行为， 由系统自动生成智能研判算法。表1 电子数据侦查与传统电子数据取证的对照3 电子数据侦查解决方案针对公安机关和检察机关两大司法机关实施刑事案件侦查的业务需要，以及公安机关调查办理以治安案件

21、为 主的行政违法案件的业务需要，本文提出一套完整的行业解决方案取证互联通。业务功能定位电子数据侦查解决方案的业务功能定位于：电子数据云平台汇聚、整合电子数据汇聚涉案设备电子数据整合案事件信息数据一检索网上办案系统，整合传统侦查手段获取的线索和证据整合司法机关数据资源 连接司法机关情报信息系统，检索刑嫌管控、阵地控制信息数据，覆盖刑嫌 管控对象；检索基础信息数据（如人口库、卡口库等），覆盖普通人群信息。整合社会数据资源（如电信话单、银行账单等）有机会从涵盖普通人群的全场景电子数据中挖掘线 索，锁定违法犯罪分子。目标用户角色：平台的规划者电子数据取证分析挖掘案件线索和证据，为案件侦查和调查取证提供

22、技术支持 目标用户角色：电子数据取证分析人员、取证技术管理者电子数据侦查研判案件研判分析：在案件侦查全过程中，直接为刑事案件侦查和治安案件调查办理服务 违法犯罪态势分析：分析违法犯罪发生规律、背后动因以及发展态势目标用户角色：侦查员及业务管理者，侦查业务主管领导；基层办案人员及业务管理者2解决方案特点电子数据侦查整体解决方案业务逻辑架构如下图所示：EZLink 同力二:，EZLink询问;讯问的:血上不出01值查北舞首埋者 TH冲T*三理为XX t十I. i- - 主管领导!打.门：I节内二三|U庄癖二二叶3语1_计算机取证分折前踹设备愤觇在审F1?津 山 兰能产，城提四逅三:不背理：亍:打：

23、；!.| 昆 K*,k三；I- .1 金计；七违闾喘 志分守打中h上皿据解外请析it tit；=二一.力/ 部,安全访问 1tMEZliik 匚三三通！+素件出制蕾型*1上下拿甲保 指*彦匚次肘据:L#三口司小升也 粒 4 I .恻“仁二，I.W比苫二道工”1 二上函N三三;四二”二三韦.阵地制惜息 |刑卿f旌信息：W谒丁国 !三：土.；; 恰一梃3-HI IT 一旦1取证分析设苗取证分析设备T - IST1E图5取证互联通业务逻辑架构本解决方案特点：方案设计紧紧围绕提升客户战力目标，符合用户任务场景要求围绕提升客户战力目标，对目标用户群体进行精确细分，将提升战力目标分解到各个用户角色的任务目标， 依据用户任务目标和任务场景进行系统设计。并进一步用量化指标考察用户利用本系统完成任务的情况，通过数 据统计分析定量评估实际案件侦查的运营效果、存在的问题和系统完善方向。例如：评价系统对提高侦查员破案率和破案时效性的实际效果统计取证分析