GA/T 1070-2013法庭科学计算机开关机时间检验技术规范.pdf

JCS13.310

A92G

中华人民共和国公共安全行业标准

GA/T1070-2013

法庭科学计算机开关机时间检验技术规范

Tuch皿αl吨阳ificationsforcomputerswitchtimeexaminationinforensics

2013-09-30发布2013-09-30实施

中华人民共和国公安部发布

GA/T1070-2013

前

本标准按照GB/T1.1-2009给出的规则起草．

请注意本文件的某些内容可能涉及专利．本文件的发布机构不承担识别这些专利的责任．

本标准由全国刑事技术标准化技术委员会归口．

本标准起草单位2中国人民公安大学刑事科学技术系、公安部物证鉴定中心．

本标准起草人：丁肇、郭威、邢挂东．

T

GA/T1070-2013

法庭科学计算机开关机时间检验技术规范

1范围

本标准规定了电子物证检验中操作系统为Windows2000、WindowsXP、Windows2003、Windows

Vista、Windows1的计算机开关机时间的检验方法．

本标准适用于法庭科学领域中的电子物证捡验．

2术语和定义

下列术语和定义适用于本文件．

2.1

计算机开机时间timeofswilcltoncomputer

计算机开机进入操作系统时的系统时间．

2.2

计算机关机时间timeofswitchoffcomputer

计算机关机退出操作系统时的系统时间．

3检验工具

3.1硬件

存储介质保全备份设备、具有只读接口的电子物证检验工作站．

3.2软件

3.2.1操作系统zWindows2000、WindowsXP、Windows2003、WindowsVista、Windows7.

3.2.2工具软件＝具有日志查看功能的软件、Windows操作系统提供的事件查署器、具有解析注册表

功能的软件以及文本编辑器．

4撮伟步’

4.1撞材及样本编号

对送栓的栓材〈样本〉进行唯－编号．

4.2植树及样本拍照

对送栓的撞材〈样本〉加上唯－性编号进行拍照．

4.3植树及样本保全

对具备保金条件的撞材〈样本〉进行保金备份．

GA/T1070-2013

4.4检验工作站杀毒

启动杀毒软件对电子物证检验工作站系统进行杀毒．

4.5检材连接方法

将检材〈若己保全，使用保全的存储设备〉通过只读方式连接到电子物证检验工作站－

4.6系统时区检验

4.6.1查找系统注册褒CurrentControlSet键的数据西

使用具有解析注册表功能的工具软件加载YoSYSTEMROOT%\system32\config路径下的system

文件，查找文件包含注册表的HKEY_LOCAL_MACHINE\SYSTEM\Select子键，记录该键中的

Current值，根据Current值确定注册表中HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlS肘

子键的数据源．当Current值为“1”时，CurrentControlSet键的数据源为HKEY_LOCAL_MACHINE\

SYSTEM\Cont:rolSetOO1；当Current值为“2”时，CurrentControlSet键的数据源为