刘品新：电子证据的审查技巧

电子证据的审查技巧

作者：刘品新，中国人民大学法学院教授、博士生导师，中国人民大学刑事法律科学研究中心、未来法治研究院研究员。

来源：《国家检察官》2021年第7月。

　　电子证据审查犹如出兵作战，只有深度体察证据理论，把握证据审查的客观规律，办案人员才能胜战。此谓《三十六计·总说》：“数中有术，术中有数。阴阳变理，机在其中。机不可设，设则不中。”电子证据有效审查的核心是电子证据理论基础在司法实践领域的延伸和应用，不但可以指导审证实践，而且可以帮助人们认识电子证据这种新型证据。电子证据审查并非处于绝对的变化之中，受到“对立统一”规律的指导。本文提出的十一种电子证据有效审查技巧是在“变易”中寻求“不易”，拓展、深化办案人员对电子证据审查领域的认识。

一、无效审查与有效审查之辨

　　2021年1月22日，最高人民检察院发布了《人民检察院办理网络犯罪案件规定》，该规定同先前颁布的打击治理网络犯罪的法律相比较，最大的不同在于凸显了电子证据的重要地位。例如，该规定第7条明确规定：“人民检察院办理网络犯罪案件应当加强对电子数据收集、提取、保全、固定等的审查，充分运用同一电子数据往往具有的多元关联证明作用，综合运用电子数据与其他证据，准确认定案件事实。”此外，该法在第三章中从第27-45条专门规定了如何对电子证据进行有效审查，主要包括：注重审查电子证据的客观性、合法性、关联性;注重挖掘同一电子证据往往具有多元关联证明作用;注重加强电子证据与其他证据的相互印证;注重加强对瑕疵电子证据的审查。

　　从司法实践层面来看，当前司法人员在运用电子证据办理案件过程中，普遍存在着无效审查问题。这主要表现在以下三个方面：

　　第一，司法人员、执法人员、律师等在办案过程中只审查纸面材料(案卷笔录、打印材料、情况说明等)，对光盘材料熟视无睹、不做审查。笔者在一线调研时，一位公安机关的同志曾经反映，在一起网络犯罪案件中，他们向检察机关移送了很多光盘，后来发现光盘移送错了，但此时案子已作出了判决。由此观之，该案办理过程中，法官、检察官、律师并未审查过光盘。

　　第二，司法实践中仅侧重于审查电子证据是否违法或违规，忽视对其关联性、客观性等的审查。到目前为止，我国关于电子证据审查运用的法律法规数量可观，这些规定作为审查电子证据的法律依据是否妥当值得人们思考。《最高人民法院关于适用〈中华人民共和国民事诉讼法〉的解释》第97条规定：“人民法院调查收集证据，应当由两人以上共同进行。调查材料要由调查人、被调查人、记录人签名、捺印或者盖章。”《监察法》第41条第1款规定：“调查人员采取讯问、询问、留置、搜查、调取、查封、扣押、勘验检查等调查措施，均应当依照规定出示证件，出具书面通知，由二人以上进行，形成笔录、报告等书面材料，并由相关人员签名、盖章。”从法条表述来看，这意味着笔录中收集提取电子证据的人员签名处必须有两人，实践中很多取证笔录关于指挥人、勘验人、记录人、见证人等的记录并不规范，例如只有一个勘验人签字，这显然违反了很多规范性文件的规定，但此类审查在诉讼中并没有什么实际意义。

　　第三，完全不审查电子证据。一些办案人员会以电子证据属于专业证据需要专门知识等为说辞，完全不对其加以审查，这在涉众型犯罪案件中尤为突出。笔者时常会遇到办案人员咨询电子证据专门知识的情形，一些人提出现在很多电子证据鉴定意见书动辄几百页，内容描述上使用了python语句等专业术语，利用图表绘出了传销组织层级，但自己看不懂这些是什么意思。一些办案人员表示，他们有时会以电子证据专门性太强为由不看电子证据相关的案卷。在一起组织、领导传销活动罪案件[1]二审中，上诉人寻求专业人士对电子证据进行了审查并出具专家论证意见，二审法院最终撤销了一审法院判决，并决定发回重审，因为该案原判确实存在“事实不清、证据不足”的问题。

　　由无效审查迈向有效审查，这是电子证据审查运用的必然趋势。对此，办案人员需要避免只审查纸面材料、侧重审查是否违法违规、完全不审查等问题，寻求电子证据有效审查之路径。本文介绍了十一种有效审查电子证据的基本图式，即：聚焦式审查、还原式审查、实验式审查、勘验式审查、辅助式审查、对照式审查、错位式审查、递进式审查、体系式审查、关联式审查、组合式审查。这些审查方式的共同特点是：真审、拷盘审、读数据、掌握技能。拷盘审是指不能只看纸面材料，要把数据拷走审查，这一般要求镜像拷盘。镜像是指将一个介质中的数据精确复制到另一个介质中，且两者数据是完全一样的。用简单的技术术语来描述就是把数据在0 和 1 的层面去拷贝，它对应的是在windows 系统中进行拷贝，在 windows 拷贝能做到内容是一致的， 但是在属性上是不同的;而在 0 和 1 的底层进行精确复制，镜像不仅能做到内容一致，还能做到文件生成的痕迹属性也是一样的。镜像的工具很多，鉴定机构有专门的硬件设备，普通民众可以使用 FTK 等免费软件到公检法机关拷贝光盘中的数据。拷盘时需计算校验值，以此保障电子证据的完整性。

二、电子证据的聚焦式审查

　　“聚”字不见于甲骨、金文，当属晚出。《说文》云：“聚，会也。从乑取声。邑落云聚。”聚焦，顾名思义，就要求人们将审查的注意力或焦点集中于某处。聚焦式审查要求避免松散无序的审查，即避免“从头到尾”地流水账式阅卷，避免泛泛地审查，要聚焦于有争议的案件事实或待证事实进行审查。案件的争点可能是法律上的争点，也可能是事实上的争点。凡是与争点相关的电子证据，办案人员都应当重点审查;反之，则不需审查。

　　所有刑事案件控辩双方都有可能形成争点，其中一部分是法律上的争点，更多的是事实上的争点。凡是电子证据有利于确定事实上的争点，就是办案人员应当着力审查的方向，不在该范围的，不要审查。例如，在一起侵入计算机系统犯罪案件中，教育部网站被人入侵修改了数据，检察机关以破坏计算机系统罪审查起诉，根据犯罪构成四要件明确争点。主要的争点可能是：(1)危害行为。被告人是否有侵入计算机信息系统的行为，不是侵入就不构成犯罪;被告人是通过刷机的方式还是后台侵入账号密码进入系统;若两种行为都存在，怎么区分两种行为的比例各占多少;(2)危害结果。本案中同时存在刷机和入侵的行为，要审查入侵造成了多少犯罪收益或者财产损失;(3)犯罪客体/侵害对象。本案是嫌疑人替考生入侵托福考试网站报名，托福考试报名网站是否为教育部网站尚存疑虑，因此本案的侵害对象是什么、社会危害性有多大就难下定论。笔者建议办案人员查询工信部网站域名备案管理系统、工商局注册信息、质监局的网站信息。查询结果是该网站并不是教育部网站，也不是事业单位网站，而是独立运行的子公司的网站。这会导致犯罪社会危害性的差异。

三、电子证据的还原式审查

　　还原式审查的理论依据是“场”理论，即把电子证据看成一个信息“场”，据此还原案件事实。人们可以根据电子证据的时间信息重建案件事实，也可以根据电子证据的身份信息刻画嫌疑人形象。在一起微信诈骗案件中，被告人冒充不存在的人诈骗其闺蜜，二审法院认为证据不足发回重审，后来被告人被判了4年刑期，此案以聊天时间和地点为轴可以还原微信聊天记录和聊天时长。最简单的方法就是通过微信还原四个人的案件事实，四个账号是不是真的存在、是否聊过天，在何地聊天，是否存在聊天时间地点与其本人出差时间不一致。如果没有异常，就不大可能是冤枉的。如果破绽百出， 证据可能存在造假。笔者曾经接受委托协助审查电子证据，发现所谓的四个被冒充者中有三个人是不存在的， 第四个人是存在的故不存在被冒充的情况，原一二审法院并没有查清事实;同时，该手机存在多人登陆微信的情况。从控诉的角度来说，办案人员需要举证证明是被告人而非其他人实施的诈骗。

　　这同样适用于日常生活，信息革命以前的经典著作《易经》《论语》《史记》具有穿透时空的思想力，但这些著作的具体完成过程是怎样的，人们则只能看史书的记载。当今社会，一些伟大的作品由作者使用电脑写完，读者看到的只是呈于纸上的知识，然而若查看其word版本，就会发现关于文件头和文件尾的二进制信息远远大于文件内容的二进制信息。word 文档还会产生很多临时文件和日志文件，看 word 文档时相当于到了另一个现场去看 word 文档的形成过程。所有的电子证据都是在虚拟场中出现的，人们通过审查电子证据能够还原虚拟空间这些文件的编辑过程。笔者在人民大学指导学生写论文，就发现学生提交的毕业论文(电子版)均存在文档的创建时间、编辑时间、修订次数等信息，假若写作的时间太短(通常表现为文档编辑时间与创建时间的间差太少)或者修订次数过低，那么这篇文章就不值得费心指导了，可以要求学生下功夫“重写”。

　　在实践中，办案人员有许多简单办法进行还原式审查。例如，在 windows系统中用*.doc/*.docx搜索文档存储，把所有文件排个序，可以重建word文档的形成过程;对于手机里的许多条通话记录，可以按照发送/ 拨打时间排序。这些做法都能够实现“还原”。只要认识到电子数据有虚拟场的存在，人们通过时间顺序或者其他条件(如用户身份等)还原案件事实，就很简单。

四、电子证据的实验式审查

　　侦查实验是指侦查人员在刑事诉讼过程中按照科学的原则和方法，在模拟案件原有条件基础上所设计、实施的，旨在查明与案件有关的事实的存在、发生的可能性或其状态、过程的法科学活动。[2]刑事诉讼法第135条规定：“为了查明案情，在必要的时候，经公 安机关负责人批准，可以进行侦查实验。侦查实验的 情况应当写成笔录，由参加实验的人签名或者盖章。侦查实验，禁止一切足以造成危险、侮辱人格或者有 伤风化的行为。”《最高人民法院关于适用〈中华人民共和国刑事诉讼法〉的解释》第 106条规定：“对侦查 实验笔录应当着重审查实验的过程、方法，以及笔录 的制作是否符合有关规定。”该司法解释第 107 条规定：“侦查实验的条件与事件发生时的条件有明显差异，或者存在影响实验结论科学性的其他情形的，侦查实验笔录不得作为定案的根据。”比如过去人们不知道活着跳楼和死后被人抛尸创口有何区别，这是通过抛猪来进行模拟的。

　　电子证据的实验式审查是指对于案件中难以依照常规判断电子证据或其相关证据，办案人员可以进行模拟性质的侦查实验，以验证相关情况发生的可能性。对不太熟悉的电子证据专业知识，办案人员可以像传统实验那样进行模拟，了解专业知识后再进行审查。在一起案件中有一个很重要的证据是侦查人员打印了被告人淘宝订单。这个证据是不是对的呢?办案人员可以自己登录淘宝订单，把淘宝账户数据打印下来。在该案中，侦查人员提交给公诉人淘宝订单的文件格式是xls.。而实验表明，淘宝网“批量导出功能”生成的均为“.csv”属性的数据文件，不可能是“.xls”属性，这说明侦查人员提交的证据可能是编辑过的。再用鼠标右键点击文件属性，发现文件创建时间是2015/6/9 14:56，就是勘验笔录的时间，最后保存时间是2015/6/11 15:05，是勘验后两天的时间。说明侦查人员在6月9日勘验后又对文件进行了操作。这么做显然不符合法律规定。

　　另一个实验是用网上的取证软件对 docx 文件的创建时间、修改时间进行篡改，篡改软件的时间只能精确到秒钟，而原始文件则可精确到了百纳秒，做了这个实验就很容易判断word 文档是否造假。办案人员也要掌握这种实验式审查的技巧。

五、电子证据的勘验式审查

　　刑事诉讼法第128条规定：“侦查人员对于与犯罪有关的场所、物品、人身、尸体应当进行勘验或者检查。在必要的时候，可以指派或者聘请具有专门知识的人，在侦查人员的主持下进行勘验、检查。”“两高一部”《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》(以下简称《电子数据若干问题的规定》)第9条第3款规定：“为进一步查明有关情况，必要时，可以对远程计算机信息系统进行网络远程勘验。进行网络远程勘验，需要采取技术侦查措施的，应当依法经过严格的批准手续。”公安部发布的《公安机关办理刑事案件电子数据取证规则》第27条规定：“网络在线提取时需要进一步查明下列情形之一的，应当对远程计算机信息系统进行网络远程勘验：(一)需要分析、判断提取的电子数据范围的;(二)需要展示或者描述电子数据内容或者状态的;(三)需要在远程计算机信息系统中安装新的应用程序的;(四)需要通过勘验行为让远程计算机信息系统生成新的除正常运行数据外电子数据的;(五)需要收集远程计算机信息系统状态信息、系统架构、内部系统关系、文件目录结构、系统工作方式等电子数据相关信息的;(六)其他网络在线提取时需要进一步查明有关情况的情形。”上述法律规范为侦查机关、检察机关运用勘验手段收集提取证据提供了法律依据。

　　电子证据的勘验式审查是指对案件中含有电子证据的光盘进行勘验，收集、提取有利于本方的电子文件、痕迹等。这种方法能够实现向证据最集中处(如抛尸地点、杀人现场等)“挖矿”的目标。这种审查要求办案人员把含有电子证据的光盘当作二进制现场， 找到有利于证明案件事实的电子文件或者电子痕迹。司法人员、执法人员、辩护律师等开始愈来愈多地使用这种方法，而不再仅仅停留于关注鉴定意见书说了什么的阶段。通过审查光盘，可以发现鉴定意见书没有指明的内容，可以发现侦查人员是否遗漏了数据，这些可以作为后续认罪认罚从宽程序的依据。这种方法对办案人员的证据审查更有实际意义，不仅互联网公司的数据是大数据，侦查机关提供的光盘也可能是大数据，对案件中含有电子数据的光盘等进行勘查，也许能找到大量证实被告人罪行的证据。

　　在一起网络赌博案件，侦查机关对300多部手机和100多台电脑进行提取，但提取数据刻录的光盘最后没有纳入指控的证据目录里， 因为没有找到有利于指控的证据。笔者接受委托对其中的三份鉴定意见书进行审查， 认为在限定的三份鉴定意见书范围内进行审查的意义仍然不够大， 遂建议以勘验的思维对300多部手机和100多台电脑所复制的电子文档进行审查，比如审查有无设置敏感词不允许其他用户使用它的平台、有无接受公安机关要求协查的请求、有无接受老百姓的举报对账号进行封禁、有没无禁止赌博政策等情形。结果本案中很快找到了几百份这样的证据。它们对于准确认定案件事实、衡量案件性质具有重要意义。

六、电子证据的辅助式审查

　　我国立法虽未明示，但却以多个具体法条确立了“诉讼中专门性问题由具有专门知识的人来解决”这一基本原则，该原则的确立源自“术业专攻”。[3]2012 年刑事诉讼法第192条第2款规定：“公诉人、当事人 和辩护人、诉讼代理人可以申请法庭通知有专门知识的人出庭，就鉴定人作出的鉴定意见提出意见。”这首 次构建了我国刑事诉讼中的专家辅助人制度，有利于解决与案件争点相关的专门性问题。《电子数据若干问题的规定》第17条针对电子证据涉及的专门性问题，规定了由有关机关出具鉴定意见或报告这一“两条腿” 走路方式。该规定第 31条规定了控辩双方向法庭提交的电子数据需要展示的，必要时，可以聘请具有专门知识的人进行操作，并就相关技术问题作出说明。该 规定第26条则对有专门知识的人出庭作证作出了规范。

　　电子证据的辅助式审查是指在遇到难以依照常规判断电子证据或其相关证据的情形时，请有专门知识的人进行咨询、论证、审查、鉴定和辅助举证、质证、申请等。这一方式有利于司法人员、执法人员、律师等养成专业审查能力。在前述“托福”案件中，因为涉案订单和淘宝数据出现了很多问题，笔者建议聘请专门机构出一份鉴定意见书。这样的鉴定意见书实际上是对侦查机关的勘验笔录是如何形成的、勘验笔录记载的数据和鉴定检材是否一致等进行的专业判断。

　　电子证据的辅助式审查需要掌握一些技巧。例如， 在提出鉴定申请时，如果只空泛地提出申请鉴定涉案服务器时间是否被修改、某些文件是否被修改及修改时间等，鉴定机构一般会以无法判断为由拒绝接纳这种鉴定请求。此等情形下，可以改为申请鉴定重要文件的形成过程(即判断其何时形成、何时修改)，而非直接申请鉴定其真实性。

七、电子证据的对照式审查

　　对照式审查是指对案件中证明同一案件事实的两个以上的证据进行比较和对照，审查其内容是否相一致，是否能合理地共同证明案件事实。它主要适用于存在两次以上的鉴定、勘验等的案件中。其优势在于通过将电子证据与其他证据对照审查，有利于从中发现问题，澄清案件事实。

　　在一起提供侵入、非法控制计算机信息系统程序、工具案中，侦查人员对同一台电脑做了两次勘验，两份勘验笔录记载的时间分别是2018年和2019年，将这两份勘验笔录进行对照，找出其中差别，就知道侦查人员为什么要在2019 年重新做勘验笔录了。2018年勘验笔录记载的是“拆封物证袋”，2019年记载的是“打开物证袋”。这表明，侦查人员在 2019 年进行勘验时，电脑硬盘未处于封存状态，故而不能排除硬盘是 后来放进去的可能性，该证据的证据效力就存有疑问。《电子数据若干问题的规定》第 8 条规定，收集、提取电子数据，能够扣押电子数据原始存储介质的，应当扣押、封存原始存储介质，并制作笔录，记录原始存储介质的封存状态。封存电子数据原始存储介质，应当保证在不解除封存状态的情况下，无法增加、删除、修改电子数据。封存前后应当拍摄被封存原始存储介质的照片，清晰反映封口或者张贴封条处的状况。本案中侦查人员第二次勘验时违背了上述法律规定。

八、电子证据的错位式审查

　　错位式审查是指将案件中电子证据或电子证据鉴定意见等存在的疑点划分为“可以补正的疑点”和“不能补正的疑点”，结合诉讼策略进行审查和提交。如此审查的优点在于避免实务中可疑伪造证据的情形发生。我国法律规定，侦查人员可以对有疑点的电子证据进行补正或出具情况说明。根据错位式审查， 控辩双方对于进行过补正或出具情况说明电子证据，依然要进行审查，若依然存在疑点的仍然要指出。经过多轮交锋后，电子证据的疑点即很可能属于“不能补正的疑点”，这还会产生有关电子证据被排除的后果。

　　在某个案子中进行了两次勘验、四次鉴定，可以将每次勘验和鉴定的开始时间、结束时间、刻盘时间、压缩包修改时间、文件最早修改时间、文件最晚修改时间做了个排序表格(见表 1)。为什么本案在第一次勘验后又做了第二次勘验?在第一次鉴定后又做了第二、三、四次鉴定?笔者在参与本案电子证据审查的过程中就使用了错位式审查方式，即在发现电子证据的问题时，没把所有的疑点都提出来，而是逐次提出问题，待对方补证到第四次时依然存在问题。

九、电子证据的递进式审查

　　在错位式审查的基础上可以进一步提炼出递进式审查技巧。递进式审查指的是对案件中来源不明的电子证据或电子数据鉴定意见等，先行初步审查，待侦查人员补充来源信息后进行后续审查，以此不断地逼近真相。在案卷材料信息不充分的时候，先初步审查校验值，待侦查人员补充证据后，再进一步审查电子证据取证过程，最后通过审查存储介质能够验证判断侦查人员补充的信息是否真实。

　　以一起网络犯罪案件为例， 鉴定机构对名为“××8085”的软件进行功能性鉴定，发现该软件具有侵入功能。第一步，校验值审查。检察人员要审查鉴定意见书里“××8085”的校验值和勘验笔录中记载的校验值是否一致，发现不一致。说明检材来源不明，检察人员可以要求侦查人员进行补证，方式是重新做一份 勘验，补充勘验的校验值和鉴定意见书的校验值一致。补证后发现鉴定意见书是 2018 年出具的，补充勘验是2019年出具的，检察人员有合理怀疑认为新的勘验是把鉴定意见书中的文件放进了电脑里，对此可以进行下一步审查。第二步，校验值 + 取证过程审查。对 2019 年的勘验过程进行审查，审查的方式是将2018年的鉴定意见书和2019年的勘验笔录进行对比，比对后发现第一行字不同、附件中工作照片完全相同，说明第二次勘验没做。侦查人员又补充了情况说明，说是照片贴错了。第三步，校验值+ 取证过程+ 数据/介质审查。虽然侦查人员勘验时有全程录像，但录像只能证明侦查人员当时进行了勘验，勘验后文件的状态如何等很多信息无法得知，因此需要查看硬盘，那么如何判断硬盘里的数据是否是后来放进去的?最简单的技巧就是在电脑的硬盘里用*.* 搜索所有文件。本案第二次勘验的数据提取时间是自2019年2月27日10时34分开始，至2019年 2 月 27 日 10 时 40分结束，检察人员需要重点审查硬盘里是否有该时间段之后的文件，事实上检察人员找到了大量2019年2月27日之后产生的文件，这表明硬盘没有封存，取证过程不规范，检材来源不明。

十、电子证据的体系式审查

　　根据结构主义，只有在证据的相互解释和相互界定的结构中，证明才有价值。电子证据的体系式审查即指“鉴、数、取”一体式审查：“数”是指电子证据，通常其不能孤立地发挥证明作用;“取”是指各种来源笔录;“鉴”是指电子证据司法鉴定意见等，用于证明案件事实。

　　与单独审查电子数据、来源笔录、鉴定意见相比， 将三者构成一个体系加以审查往往能起到意想不到的效果。任何电子证据要发挥作用，通常是数、取、鉴结合在一起，审查的时候若单独看某一个，会出现看不懂的问题。“鉴、数、取”一体式审查可以产生奇效，这要求办案人员首先要审查清楚鉴定检材。检材来源是否清楚不能只看鉴定意见，还要看来源笔录和光盘。光盘中记载的数据会有创建、修改、访问时间， 如果这些时间与勘验笔录对得上，说明确实做了勘验。如果数据的校验值和鉴定意见书里的校验值一致，说明鉴定的确实是该数据。

十一、电子证据的关联式审查

　　关联性审查有三层含义，一是指将指向同一案件事实的电子证据同其他证据进行关联审查;二是指将指向同一案件事实的不同电子证据进行关联审查;三是指将电子证据的内容、属性、痕迹进行关联审查。

　　在一起侵犯著作权案中，被告人系于 2010 年 4 月从 A 公司离职到 B 公司工作，涉嫌侵犯著作权。本案争议事实是源代码是什么，鉴定机构对侦查人员提交的游戏软件进行源代码鉴定，表明被告人从 2011 年离职后到了 B 公司开发的新软件很多源代码与原公司的一致，构成侵犯著作权。把鉴定意见书、不同的游戏软件源代码、询问笔录、讯问笔录这四份材料结合在一起审查，发现鉴定意见书记载的游戏软件程序源代码系 2011 年 8 月之后修改形成，而本案指控的事实是被告人盗窃了 2010 年离职之前的源代码，这表明作为比对的鉴定检材是不当的，其他部分材料也存在来源不明等问题，据此得出的鉴定意见不具有证据资格。检察人员在提起公诉时难以将之作为证据使用。

十二、电子证据的组合式审查

　　组合式审查要求考察是否构成电子证据定案的完整证据体系：其一，若干份电子证据同传统证据如物证、书证、证人证言等相印证，构成一个虚拟空间与物理空间证据相结合的锁链;其二，若干份电子证据相印证，构成一个虚拟空间证据相结合的锁链。这需要尽可能围绕电子证据的形成过程收集取证，将电子证据衍生出来的各种附属信息证据组合起来共同证明案件事实。组合式审查是对印证证明模式和证据体系理论的进一步发展。

　　在一起入侵计算机信息系统案中，被告人是否存在入侵行为、入侵的社会危害性大小等需要通过IP地址证据证明。公安部的情况说明记载，“对 ××考试报名网站被攻击中涉及我市的30000余条共计100多个相关网络IP进行落地核查，发现100多个相关网络IP均为：ADSL：877 ……使用”，而鉴定意见书里有 3000多个IP 地址，很多IP地址与被告人无关。另外，讯问笔录里特别强调入侵会留下IP地址，表明IP地址要对应起来，也说明没有对IP地址进行匹配分析。特别是有许多证人证言也涉及IP地址，被害人单位的人提供的IP 地址还涉及到天津外的IP 地址，这些证据组合起来存在疑问， 检察人员在办案时要警惕由此导致的证据瑕疵问题。

结论

　　本文提出的十一种有效审查的技巧均源自实践， 有大量的案例支撑，更重要的是有法学理论支撑。过去证据审查特别强调专业的审查方法：先单独审查， 再比较审查，最后进行综合审查。这是具有专业范式的审查三阶段。本文提出的聚焦式审查、还原式审查、实验式审查、勘验式审查、辅助式审查可以归结为单独审查阶段;对照式审查、递进式审查、错位式审查可以归结为比较审查阶段;体系式审查、关联式审查、组合式审查可以归结为综合审查阶段。这些审查方法是对传统证据学理论的一种推陈出新。

注释：

　　[1]内蒙古自治区赤峰市中级人民法院刑事裁定书，(2019)内04刑终第126号。

　　[2]杨东亮：《侦查实验笔录简论》，《证据科学》2011 年第 5 期。

　　[3]参见李学军：《诉讼中专门性问题的解决之道——兼论我国鉴定制度和法定证据形式的完善》，《政法论坛》2020年第6期。