一种分布式数据库搭建配套的数据分级加密存储系统的制作方法

本发明涉及数据库安全，尤其涉及一种分布式数据库搭建配套的数据分级加密存储系统。

背景技术：

1、分布式数据库通常将业务数据拆分存储在多个节点中。现有技术多采用字段加密、访问控制、脱敏处理或规则匹配方式识别并保护敏感数据，也有方案引入自然语言处理模型识别文本中的敏感片段，按预设等级进行加密存储。

2、现有方案通常以单个字段或单个片段为处理对象，难以识别固定格式片段中隐含属性与其他数据之间的派生关系，也难以发现多个低等级片段组合后能够推断高敏信息的情况。现有模型主要依赖文本上下文或外部词典，缺少重构风险反馈；现有加密方式也容易忽略同一主体下敏感片段之间的关联暴露风险，导致分级加密的准确性和安全性不足。

3、因此，如何提供一种分布式数据库搭建配套的数据分级加密存储系统是本领域技术人员亟需解决的问题。

技术实现思路

1、本发明的一个目的在于提出一种分布式数据库搭建配套的数据分级加密存储系统，本发明结合规则识别、lebert模型、关系闭包和重构风险反馈，详细描述了敏感数据识别、关联风险判断和分级加密存储过程，具备敏感识别准确、组合风险可控、加密成本较低和存储安全性高的优点。

2、根据本发明实施例的一种分布式数据库搭建配套的数据分级加密存储系统，包括如下模块：

3、数据接入模块，用于接收待写入分布式数据库的入库数据，提取待保护文本并绑定来源标签，形成入库序列；

4、规则识别模块，用于按照预设格式模板扫描入库序列，对命中的固定格式片段执行逐位核验，解析编码段承载的隐含属性，将核验通过的片段写入敏感标记；

5、lebert识别模块，用于将入库序列输入lebert模型，将敏感标记转换为lexiconadapter候选向量，将风险词典中的重构支撑转换为风险候选向量，嵌入字符表示后输出语义标记；

6、等级融合模块，用于把语义标记回填至敏感标记，确定统一敏感等级；

7、关系闭包模块，用于从统一敏感等级中的高敏标记出发，沿编码派生链和主体关联链逐跳扩展，合并能够互相到达的标记，直至敏感簇集合停止扩大；

8、重构反馈模块，用于遮蔽敏感关联集合中的目标标记，对保留内容执行可推导信息恢复和主体匹配验证，驱动lebert模型判断语义残留，形成重构支撑并更新风险词典；

9、加密存储模块，用于根据敏感标记、敏感关联集合和重构支撑配置加密参数，将分级加密后的入库数据写入分布式数据库。

10、可选的，所述数据接入模块具体包括：

11、接收待写入分布式数据库的入库数据，读取入库数据中的字段内容和写入位置；

12、将字段内容中的文本型内容提取为待保护文本，将写入位置转换为来源标签，把待保护文本与来源标签按照字符顺序绑定，形成入库序列。

13、可选的，所述规则识别模块具体包括：

14、以入库序列为处理对象，按照预设格式模板在入库序列中移动匹配窗口，将匹配窗口覆盖的连续字符组合为候选片段；

15、对候选片段执行逐位核验时，按照预设格式模板限定的位序关系校验候选片段的字符排列，根据候选片段中的校验位判断候选片段是否有效；

16、候选片段有效时，规则识别模块按照预设格式模板确定编码段位置，从编码段提取隐含属性，将候选片段、隐含属性和候选片段在入库序列中的位置写入敏感标记。

17、可选的，所述lebert模型具体包括：

18、字符编码层、敏感标记适配层、风险支撑适配层、lexicon adapter、融合表示层和序列标注层；

19、字符编码层用于对入库序列中的字符及来源标签进行编码；

20、敏感标记适配层用于接收敏感标记，按照敏感标记在入库序列中的位置确定覆盖字符，将敏感标记的片段内容、隐含属性和敏感等级映射为lexicon adapter候选向量；

21、风险支撑适配层用于接收风险词典中的重构支撑，按照重构支撑涉及的字符区间生成风险候选向量；

22、lexicon adapter用于把lexicon adapter候选向量和风险候选向量注入覆盖字符对应的编码位置；

23、融合表示层用于对注入后的字符编码执行上下文融合；

24、序列标注层用于输出语义标记。

25、可选的，所述lebert识别模块中的将风险词典中的重构支撑转换为风险候选向量具体包括：

26、将风险词典中的重构支撑解析为支撑模式，按照支撑模式记载的目标标记和支撑片段类型，在入库序列中查找与支撑片段类型对应的敏感标记；

27、当同一入库序列中存在能够共同满足支撑模式的敏感标记时，确定各敏感标记在入库序列中的起止位置，以最前起始位置和最后结束位置限定组合覆盖区间；

28、将组合覆盖区间内各敏感标记的片段内容、片段类型、目标标记和重构风险类型转换为同一向量空间下的编码表示，将编码表示映射为风险候选向量；

29、将风险候选向量写入组合覆盖区间内各字符对应的lexicon adapter输入位置，lebert模型在对组合覆盖区间执行序列标注时输出对应的语义标记和组合风险等级。

30、可选的，所述等级融合模块具体包括：

31、按照语义标记在入库序列中的起止位置查找敏感标记，当语义标记与敏感标记的覆盖区间重叠时，将语义标记的实体类型和语义等级写入对应敏感标记；

32、当语义标记未命中已有敏感标记时，在敏感标记中新增一条对应语义标记的标记项；

33、对覆盖同一字符区间的多个标记项，等级融合模块保留等级最高的标记项作为主标记，将其余标记项作为辅助标记关联至主标记；

34、完成全部语义标记回填后，按照主标记的等级确定统一敏感等级。

35、可选的，所述关系闭包模块具体包括：

36、从统一敏感等级为高敏等级的敏感标记中选取起始标记；

37、生成编码派生链时，将固定格式片段的隐含属性与其他敏感标记的片段内容或隐含属性进行一致性比对，比对一致的两个敏感标记之间建立派生连接；

38、生成主体关联链时，将来源标签属于同一入库序列且能够指向同一主体的敏感标记之间建立主体连接；

39、逐跳扩展是指以起始标记为当前标记，查找与当前标记存在派生连接或主体连接的相邻敏感标记，将相邻敏感标记作为新的当前标记继续查找；

40、每查找到未归入集合的相邻敏感标记，将相邻敏感标记与起始标记归入同一敏感簇集合；

41、敏感簇集合为通过编码派生链或主体关联链能够从同一起始标记到达的敏感标记集合；

42、当连续一轮逐跳扩展未新增敏感标记时，判定敏感簇集合停止扩大。

43、可选的，所述对保留内容执行可推导信息恢复和主体匹配验证具体包括：

44、从敏感关联集合中选取一个敏感标记作为目标标记，将目标标记在入库序列中的字符替换为遮蔽符，保留敏感关联集合中除目标标记以外的敏感标记及其来源标签；

45、对保留内容执行可推导信息恢复时，重构反馈模块按照编码派生链反向查找能够生成目标标记隐含属性的保留标记，将查找结果作为候选恢复内容；

46、对保留内容执行主体匹配验证时，重构反馈模块按照主体关联链查找与目标标记指向同一主体的保留标记，将同一主体下的候选恢复内容与目标标记进行一致性验证；

47、一致性验证通过时，将参与恢复和匹配的保留标记确定为目标标记的重构支撑。

48、可选的，所述形成重构支撑并更新风险词典具体包括：

49、将遮蔽目标标记后的入库序列输入lebert模型，由lebert模型在保留内容中标出仍然指向目标标记的语义残留；

50、重构反馈模块将语义残留与候选恢复内容进行合并验证，当合并后的内容能够恢复、定位或推断目标标记时，将合并后的内容确定为初始重构支撑；

51、重构反馈模块从初始重构支撑中逐一删除支撑内容并重复验证，删除任一支撑内容后不能恢复时，将当前初始重构支撑确定为重构支撑，将重构支撑写入风险词典。

52、可选的，所述加密存储模块具体包括：

53、读取敏感标记的统一敏感等级，为不同统一敏感等级的敏感标记配置对应加密参数；

54、加密存储模块读取敏感关联集合，将同一敏感关联集合内的敏感标记写入同一簇标识，保留各敏感标记自身的统一敏感等级；

55、加密存储模块读取重构支撑，对参与重构支撑的敏感标记配置关联加密参数；

56、完成加密参数配置后，对入库数据中对应字符区间执行分级加密，将分级加密后的入库数据写入分布式数据库。

57、本发明的有益效果是：

58、（1）本发明通过规则识别与lebert模型结合，对固定格式片段和复杂语义片段分别进行识别，并将识别结果融合为统一敏感等级，能够减少单一规则识别或单一模型识别造成的漏识别，提高分布式数据库入库数据中敏感内容的识别准确性。

59、（2）本发明通过编码派生链、主体关联链和敏感簇集合，将存在派生关系或主体关联关系的敏感标记归并处理，并通过重构反馈判断多个片段组合后是否能够恢复、定位或推断高敏信息，能够发现单个片段等级不高但组合后存在泄露风险的情况，提高关联敏感风险的识别能力。

60、（3）本发明根据敏感标记、敏感关联集合和重构支撑配置加密参数，在保留各敏感标记自身等级的基础上执行分级加密，避免将同一敏感簇内全部数据统一按最高等级加密，能够降低加密存储成本，兼顾组合访问、密钥轮换和审计管理的安全需求。