《IEEE Access》：A Comparative Study of Forensic File Type Identification Methods for Tool Type Identification
编辑推荐：
为解决数字文档真实性验证难题，本研究首次系统比较了文件类型识别方法在创建工具鉴别中的适用性。研究人员通过提取PDF文档的字节级结构特征，结合CNN、XGBoost等机器学习算法，实现了对5种常见PDF创建工具的高精度识别（最高准确率达97%）。该研究为数字文档取证提供了不依赖元数据的轻量化分析方案，推动了 questioned digital document examination（QDDE）领域的发展。
随着数字化通信的普及，数字文档的篡改和来源伪造问题日益严重。与传统物理文档可通过纸张质地、墨水成分等物理特征进行鉴定不同，数字文档缺乏可直接验证的物理标记，其真实性鉴定面临巨大挑战。尤其在法律、金融等关键领域，确定数字文档的创建工具（如软件类型）成为验证文档真实性的核心环节。然而，现有研究多集中于文件类型识别（file type identification），对创建工具鉴别（tool type identification）的系统性探索尚属空白。为此，研究团队在《IEEE Access》发表了一项开创性研究，首次将文件类型识别的技术框架应用于数字文档创建工具鉴别，并通过多维度实验验证了该方法的可行性。
本研究主要采用四种关键技术方法：
- 1.
多位置片段分析：从PDF文件头部、中部和尾部提取64字节至4096字节的片段，消除文件头/元数据依赖；
- 2.
多模态特征提取：包括字节频率分布（byte frequency distribution）、n-gram序列（最高4-gram）、熵值计算（entropy computation）和灰度图像转换；
- 3.
机器学习模型优化：对比CNN（卷积神经网络）、XGBoost（极端梯度提升）和SVM（支持向量机）在相同特征下的性能，采用PCA（主成分分析）降维处理高维特征；
- 4.
跨数据集验证：基于GovDocs和SafeDocs数据集构建含5类工具（Microsoft Word、Adobe InDesign等）的平衡样本库，严格去除元数据以模拟真实取证场景。
研究结果
1. 片段大小与位置对分类性能的影响
实验表明，4096字节的头部片段在CNN模型中达到最高准确率（91%），显著优于中部（70%）和尾部片段（86%）。扩大片段尺寸可提升模型捕捉长范围模式的能力，但中部片段因缺乏工具特异性特征而表现最差。
2. 特征提取方法的有效性比较
- •
n-gram分析：2-gram特征在XGBoost模型中准确率提升至90%，4-gram结合PCA后CNN准确率达97%；
- •
灰度图像转换：将字节序列转换为64×64像素图像后，CNN对Adobe InDesign和Apple Pages的识别率最高（85%），但Microsoft Word与Acrobat PDFMaker因结构相似易被混淆；
- •
字节频率与熵值融合：加入熵特征使CNN准确率从88%提升至92%，SHAP分析显示字节范围30-80和100-140为关键判别区域。
3. 模型性能对比
CNN在多数实验中表现最优（10折交叉验证置信区间达95%），XGBoost在结构化特征处理中接近CNN水平（90%），SVM模型依赖核函数选择（RBF核准确率85%）。混淆矩阵证实，工具间结构相似性（如Word与PDFMaker共用PDF对象标准）是误分类主因。
结论与讨论
本研究首次证实文件类型识别方法可迁移至工具类型鉴别任务，其中结构特征分析（如字节频率、n-gram）与深度学习模型（CNN）的结合最具潜力。通过消除对元数据的依赖，该方法为数字文档取证提供了可复现、轻量化的解决方案。未来工作将聚焦于异构工具间的细微特征挖掘、Transformer模型的应用，以及在实际司法鉴定流程中的集成验证。该研究为Forensic Digital Document Examination（FDDE）建立了新技术范式，对数字证据的可采性（admissibility）标准制定具有重要参考价值。
