基于全生命周期的数据资产可信溯源方法及系统与流程

本发明涉及数据溯源传输，具体涉及基于全生命周期的数据资产可信溯源方法及系统。

背景技术：

1、在企业数据资产跨节点共享与流转的场景下，原始明文数据在输出至下游业务系统前，必须经过脱敏引擎执行截断或条件过滤等加工操作。正常的脱敏加工操作会改变原始数据的数据位特征，导致加工前后的数据密码学哈希散列值（如md5、sha-256）完全丧失比对关联性。这种哈希校验的失效，使得下游业务节点无法直接验证接收到的文件是否中途遭到替换。

2、为了弥补哈希失效导致的防伪盲区，现有的常规监控方案主要依赖记录脱敏进程的绝对执行耗时，以此作为判断数据是否经过真实计算的依据。然而，在真实的多租户分布式集群环境中，虚拟机内存垃圾回收操作以及不同租户间的cpu资源抢占，会频繁导致脱敏进程发生被动挂起。这些正常的操作系统级环境停顿，会使脱敏进程的宏观时间呈现剧烈的拉伸与数值波动。

3、这种由系统调度引发的时间波动会导致传统的耗时比对方案产生极高的误报率。具有系统权限的内部人员或外部攻击者能够利用该监控盲区，实施旁路数据替换攻击。攻击者在任务执行期间主动熔断真实的计算进程，并直接向下游注入未脱敏或伪造的数据文件。由于宏观耗时的防伪机制因误报过高而被弃用或放宽，下游系统无法有效识别出底层计算被绕过的异常现象。

技术实现思路

1、为了解决现有技术仅根据任务耗时比对数据计算进行验证时产生的较高误报率，无法有效识别伪造或者攻击行为的技术问题，本发明的目的在于提供一种基于全生命周期的数据资产可信溯源方法及系统，所采用的技术方案具体如下：

2、本发明提出了一种基于全生命周期的数据资产可信溯源方法，所述方法包括：

3、在源端获得目标数据加工任务的原始数据记录总行数、预设标准多阶段连边度比例序列以及预设误差阈值；

4、在计算节点中，在每个计算阶段下，设置采样间隔并统计相邻采样时刻之间的指令退役增量，并映射至横坐标为采样时刻纵坐标为指令退役增量的二维空间中；二维空间中时序上相邻的两个数据点存在边连接关系，根据任意两个数据点之间的中间数据点分布，判断两个数据点是否存在边连接关系；统计每个计算阶段下的边连接关系总数量，进行标准化处理后得到实际多阶段连边度比例序列；

5、在下游业务节点中，将接收到的数据资产文件中的行数规模与原始数据记录总行数进行对比，判断是否存在扩充数据；若不存在扩充数据，则获得标准多阶段连边度比例序列以及实际多阶段连边度比例序列之间的数据偏差，结合所述误差阈值判断是否存在针对底层计算引擎的旁路数据替换攻击。

6、进一步地，预设标准多阶段连边度比例序列的获取方法包括：

7、获取原始数据资产绑定的原始加工脚本，对所述原始数据资产进行数据抽样，生成测试数据子集，将原始加工脚本与所述测试数据子集输入至部署于源端的安全沙箱环境中，所述安全沙箱环境为模拟计算节点的独立虚拟运行环境；在安全沙箱环境中进行每个计算阶段的所述边连接关系总数量的统计，并获得每个计算阶段的边连接关系总数量在所有阶段下的占比，获得所述标准多阶段连边度比例序列。

8、进一步地，所述误差阈值的获取方法包括：

9、选取历史未遭遇旁路替换的多个正常数据加工任务样本作为基准任务样本，对于所述基准任务样本在所述安全沙箱环境中进行隔离测试，将隔离测试结果中的所述数据偏差进行正态分布统计计算，从正态分布统计计算的拟合曲线上提取预设百分位数对应的数值作为所述误差阈值。

10、进一步地，所述采样间隔的设置方法包括：

11、统计每个计算阶段的预估耗时数值，若所述预估耗时数值小于预设耗时阈值，则将对应计算阶段记为极短计算阶段；在所有计算阶段中，将极端计算阶段与相邻的下一个计算阶段的预估耗时数值进行合并，获得优化预估耗时序列；基于优化预估耗时序列中的最小元素划分采样间隔。

12、进一步地，所述指令退役增量的统计方法包括：

13、利用硬件性能计数器按照采样间隔计算相邻两次采样时刻之间累积处理器指令总数的差值，获得所述指令退役增量。

14、进一步地，根据任意两个数据点之间的中间数据点分布，判断两个数据点是否存在边连接关系，包括：

15、对于两个数据点之间的任意一个中间数据点，基于可见性不等式判断中间数据点是否满足连通性；若两个数据点之间的所有中间数据点均满足连通性，则判断两个数据点存在边连接关系。

16、进一步地，所述实际多阶段连边度比例序列的构建方法包括：

17、在每个计算阶段下，将二倍的边连接关系总数量作为分子，数据点数量作为分母，获得无向连边平均度数值；

18、依次计算每个计算阶段的无向连边平均度数值在所有计算阶段下的占比，构成所述实际多阶段连边度比例序列。

19、进一步地，所述下游业务节点在判断是否存在扩充数据之前还包括密码学签名核验过程。

20、进一步地，所述数据偏差为标准多阶段连边度比例序列以及实际多阶段连边度比例序列之间的欧氏距离。

21、本发明还提出了一种基于全生命周期的数据资产可信溯源系统，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现任意一项所述一种基于全生命周期的数据资产可信溯源方法的步骤。

22、本发明具有如下有益效果：

23、本发明在源端预先获取目标数据的各项基准信息，为下游业务节点的全生命周期安全判定提供了不可变的客观比对基准，解决了跨节点流转中校验参照系缺失的问题。进一步在计算节点中，通过以设定的采样间隔统计相邻采样时刻之间的指令退役增量，并将其映射至二维空间获得待分析曲线，能够有效捕获底层计算引擎的微观执行状态。针对待分析曲线中非相邻数据点，利用中间数据点分布判断边连接关系的机制，可消除因操作系统调度与进程挂起所引入的时序噪音干扰，实现仅反映脱敏计算本身波动复杂度的稳定特征提取。通过对每个计算阶段下的边连接关系总数量进行统计与标准化处理，生成的实际多阶段连边度比例序列消除了不同计算节点设备基础算力差异带来的量纲偏差，使其能够与预设标准多阶段连边度比例序列进行跨节点同尺度比对。最终在下游业务节点中，通过将接收到的数据资产文件的行数规模与原始数据记录总行数进行第一轮对比，能够直接拦截扩充数据的注入攻击。在通过基础核验后，计算预设标准多阶段连边度比例序列与实际多阶段连边度比例序列之间的数据偏差，并结合预设误差阈值进行第二轮判定，能够精准识别因未经历真实脱敏计算而产生的执行特征断层，从而发现并阻断针对底层计算引擎的旁路数据替换攻击。本发明将防伪视角下沉至不可伪造的硬件指令执行层面，实现从源端基准预置、计算节点特征提取到下游业务节点偏差管控的全闭环可信溯源。

1.一种基于全生命周期的数据资产可信溯源方法，其特征在于，所述方法包括：

2.根据权利要求1所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，预设标准多阶段连边度比例序列的获取方法包括：

3.根据权利要求2所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，所述误差阈值的获取方法包括：

4.根据权利要求1所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，所述采样间隔的设置方法包括：

5.根据权利要求1所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，所述指令退役增量的统计方法包括：

6.根据权利要求1所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，根据任意两个数据点之间的中间数据点分布，判断两个数据点是否存在边连接关系，包括：

7.根据权利要求1所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，所述实际多阶段连边度比例序列的构建方法包括：

8.根据权利要求1所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，所述下游业务节点在判断是否存在扩充数据之前还包括密码学签名核验过程。

9.根据权利要求1所述的一种基于全生命周期的数据资产可信溯源方法，其特征在于，所述数据偏差为标准多阶段连边度比例序列以及实际多阶段连边度比例序列之间的欧氏距离。

10.一种基于全生命周期的数据资产可信溯源系统，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1~9任意一项所述一种基于全生命周期的数据资产可信溯源方法的步骤。