▎这份标准是什么
SF/T 0105—2021《存储介质数据镜像技术规程》是司法行政行业标准，由司法鉴定科学研究院提出，公安部第三研究所、上海市人民检察院、厦门市美亚柏科等参与起草，2021年11月17日发布实施。标准规定了存储介质数据镜像获取的仪器设备、程序、过程要求和记录内容，适用于司法鉴定和法庭科学领域中存储介质数据镜像的获取和使用。
▎先认识几个术语
标准第3章定义了六个术语，实务中最常用的是这几个：
源、目标。 镜像获取过程的输入叫源，输出叫目标。源可以是一块硬盘、一个分区，也可以是一台整机；目标可以是镜像文件，也可以是另一块存储介质。
镜像文件。 从数据源复制生成、能重新构建源数据比特流的目标文件。注意是"比特流"——镜像还原的不是文件清单，而是数据在介质上的原始排布，删除的、残留的都在里面。
坏块与合理填充。 坏块是物理故障导致无法读取的数据区域。遇到读不出来的区域，标准允许向镜像对应位置填充指定数据，如全0、全1或"BADBLOCK"标识，并记录填充内容与位置，避免与其他数据混淆。
在线镜像获取。 在电子设备运行状态下，以其中的存储介质、分区为源获取镜像。
▎仪器设备：只读设备打底，屏幕录像软件在列
标准第5章把设备分成硬件、软件两类。硬件包括电子数据鉴定专用计算机、存储介质复制设备、存储介质只读设备、多功能只读读卡器、免拆机硬盘复制工具、数码照相机、数码摄像机等；软件包括只读软件、镜像获取软件、完整性校验值计算工具、镜像文件格式转换工具、镜像挂载工具、屏幕录像软件等。
这个清单里有个关键组合：标准同时写进了"只读设备"和"屏幕录像软件"，正好对应下面两种镜像路径——能只读就只读，不能只读就录像。
▎镜像获取程序：常规与免拆机两条路
标准第6章把镜像程序分成两类。
常规镜像获取方式，五步：把源存储介质从电子设备上断开；准备目标介质并做清洁性检查；把源、目标连接至检验设备，采取只读措施防止改变源数据；逐比特复制到镜像文件或目标介质；校验镜像完整性。
免拆机镜像获取方式，适用于不满足常规条件的情形：断电关机可能导致数据源无法访问、介质不便拆卸、介质加密且不具备独立解密条件（如TPM、Apple T2保护）、特殊接口或特殊数据组成方式等。具体有四种：在线镜像获取，用运行中的操作系统环境获取；引导获取，用系统引导盘启动后挂载源和目标；网络获取，通过网络访问或挂载源介质；外部加载获取，把整机当外部存储接过来，如苹果电脑的目标磁盘模式。
▎过程要求：只读与录像，二选一但有讲究
标准7.1.4.6写得很直接：具备只读条件的，应采取只读措施，避免改变源存储介质数据；不具备只读条件的，应对镜像获取过程进行录像。
也就是说，只读连接是首选，不是唯一。遇到无法写保护的介质——在线镜像的服务器、加密整机、特殊接口设备——标准给出的替代保障就是全程录像，把镜像过程完整记录下来，作为程序合规的证据。设备清单里的屏幕录像软件、数码摄像机，就是为这条服务的。
准备阶段还有不少实操要求：通过接口、BIOS、操作系统、RAID控制器识别源介质；用S.M.A.R.T.信息判断介质状态（正常、稳定损坏、不稳定损坏、无法读取）；宜选用介质原有接口连接；检验设备全程持续稳定供电，关闭自动休眠和屏幕保护程序。
针对各类介质，标准另有专门要求：固态硬盘宜抑制TRIM指令（禁用自动挂载、工厂访问模式等），防止镜像过程触发垃圾回收改动数据；RAID可按卷整体镜像，或记录磁盘排列顺序、RAID类型和条带大小后逐成员盘镜像；加密介质可在运行状态下在线镜像、获取物理内存提取密钥、使用委托人提供的口令，或在其他载体上查找密钥；损坏介质先修复硬件故障再镜像，读不出的区域合理填充，并采用分段校验确保可读区域完整。
▎记录内容：16项要素，全程可回溯
标准第8章列出镜像过程记录宜包含的16项内容：案件信息；源介质的品牌、型号、序列号；送检时的性状；照片；唯一性标识；设备内部时钟时间；镜像获取方式及镜像类型；工具名称、版本号、运行方式及参数；操作人员；开始和结束时间；镜像源的起始和终止物理地址；源和目标的完整性校验值；镜像文件名及保存位置；错误或异常情况；口令或密钥等解密信息；合理填充的内容及起止位置。
检验设备自动生成的日志文件若包含上述要素，也可以导出作为记录使用。这套记录下来，镜像的每一步都能在法庭上还原。
▎结语
镜像看着是复制，实际是证据保全的第一道工序。SF/T 0105—2021把这道工序的设备、程序、过程要求和记录全部标准化：能只读就只读，不能只读就全程录像，哈希两头比对，记录十六项要素。鉴定机构照此执行，辩护方据此审查，电子数据能不能站住脚，第一步就在这里。