一种电力系统数据血缘追踪方法及装置

本发明属于电力系统网络安全领域，更具体地，涉及一种电力系统数据血缘追踪方法及装置。

背景技术：

1、数据血缘追踪是电力监控系统网络安全监测的核心需求。在电力系统中，数据涵盖发电、输电、变电、配电、用电各个环节，包括scada（‌supervisory control and dataacquisition，数据采集与监视控制系统）系统实时运行数据、继电保护定值、智能电表用户信息及调度控制指令，其传输安全性直接关系到电网稳定运行。

2、然而，现有的数据血缘追踪方法存在时间窗口适应性不足、集中式查询延迟高、跨区部署合规风险、数据同步可靠性不足的缺陷。

3、由此可见，如何实现自适应网络环境、分层边缘计算、符合安全合规要求且具备同步故障容错能力的血缘追踪，是当前亟待解决的问题。

技术实现思路

1、现有的数据血缘追踪方法存在的时间窗口适应性不足主要体现在：固定时间窗口无法适应隔离装置深度检测、加密网关处理等场景导致的延迟抖动。现有自适应方案试图通过跨区匹配计算"实测延迟"，但单向隔离装置阻断返回通道，该计算包含队列等待与处理延迟，非真实网络rtt（round-trip time，往返时间），导致窗口收敛错误；

2、现有的数据血缘追踪方法存在的集中式查询延迟高主要体现在：每个流量均查询中心数据库，网络往返延迟不可控，高并发下形成性能瓶颈；

3、现有的数据血缘追踪方法存在的跨区部署合规风险主要体现在：生产控制大区采集代理直连管理信息大区数据库，可能违反物理隔离要求；跨区信息传输不应违反gb/t36572-2018《电力监控系统网络安全防护导则》第6.2.4条"只允许单向数据传输"的强制性规定；

4、现有的数据血缘追踪方法存在的数据同步可靠性不足主要体现在：现有方案采用固定时间淘汰策略，若隔离装置故障导致同步延迟超过保留周期，数据被删除后永远无法补齐，导致血缘关系永久断裂。

5、针对现有技术的以上缺陷或改进需求，本发明提供了一种电力系统数据血缘追踪方法及装置，该方法及装置采用改进的延迟测量机制动态适应网络抖动、采用边缘缓存降低查询延迟、采用双隔离装置组架构满足安全合规、采用多级匹配提升关联准确率、采用同步状态感知保留策略确保同步失败时血缘不丢失的血缘追踪。

6、为实现上述目的，按照本发明的第一方面，提供了一种电力系统数据血缘追踪方法，应用于电力监控系统的多安全分区环境，其特征在于，该方法包括：

7、镜像采集电力业务的数据流并接入其所在安全区的采集代理，各数据流的源端安全区的采集代理生成各数据流的血缘信息并同步至中心血缘数据库及该源端安全区的血缘数据库；

8、其中，所述血缘信息包括血缘特征、流id、节点标识及匹配状态；所述源端安全区的采集代理生成的数据流血缘信息中，流id为随机生成；

9、各数据流的非源端安全区的采集代理在检测到跨区域数据流时，查询该非源端安全区的血缘数据库中存储的该跨区域数据流的前向安全区的数据流的血缘特征进行多级级联匹配，若匹配成功则生成该跨区域数据流的血缘信息，否则构造异步关联任务写入待确认队列，查询中心血缘数据库中所有数据流的血缘特征进行再次进行所述多级级联匹配，若匹配成功则生成其血缘信息，否则将该非源端安全区视为该跨区域数据流的源端安全区生成其血缘信息；

10、其中，所述跨区域数据流的血缘信息中，流id为匹配数据流的流id；生成该跨区域数据流的血缘信息后，还将其同步至中心血缘数据库及该非源端安全区的血缘数据库；

11、数据流目的端安全区的采集代理查询中心血缘数据库获取与目标数据流的流id相同的所有数据流的血缘信息，将其中的节点标识按时间先后顺序排序后连接得到目标数据流流经的设备序列，以还原目标数据流的传输路径。

12、优选地，所述查询该非源端安全区的血缘数据库中所有数据流的血缘特征进行所述多级级联匹配之前，还包括：

13、若在该非源端安全区的本地缓存查询到与待匹配的跨区域数据流的socket四元组信息及报文载荷特征均一致、匹配状态为“已匹配”的第一数据流，且查询到与第一数据流的匹配对象的socket四元组信息及报文载荷特征均一致的第二数据流，则匹配成功，否则查询该非源端安全区的血缘数据库中所有数据流的血缘特征进行多级级联匹配；

14、其中，所述本地缓存用于存储其所在安全区的匹配状态为“已匹配”跨区域数据流及其匹配对象，以及相邻安全区的数据流血缘信息；所述源端安全区的采集代理生成的数据流血缘信息中，匹配状态为“未匹配”；所述跨区域数据流的血缘信息中，匹配状态为“已匹配”。

15、优选地，所述血缘特征包括socket四元组信息、硬件时间戳及报文载荷特征；

16、所述多级级联匹配的流程包括：

17、a1，若查询到与待匹配的跨区域数据流的socket四元组完全一致且时间戳差值在自适应时间窗口内的数据流则匹配成功，否则进入a2；

18、a2，当socket四元组因地址转换发生变化时，若查询到与待匹配的跨区域数据流的目的地址一致、源地址符合预设网段范围、时间戳差值在自适应时间窗口内的数据流则匹配成功，否则进入a3；

19、a3，从待匹配的跨区域数据流的载荷中提取电力通信协议关键字段，若查询到与待匹配的跨区域数据流的字段相似度达到预设相似度阈值的数据流则匹配成功，否则匹配失败。

20、优选地，所述自适应时间窗口的计算公式为：a=bc；

21、其中，a为自适应时间窗口的数值，b=d+e+f，d为延迟样本的统计分位数及离散度度量的加权之和，所述延迟样本为同安全区内相似路径的历史延迟，e为初始的跨区传输时延参数，f为协议解析时间补偿；c为保守余量系数。

22、优选地，在所有安全区的血缘数据库中，仅一个安全区的血缘数据库为中心血缘数据库，其它安全区的血缘数据库均为边缘血缘数据库；

23、所有边缘血缘数据库中的数据通过第一横向隔离装置异步同步至中心血缘数据库；中心血缘数据库周期性将确认数据标识列表通过第二横向隔离装置传输至边缘血缘数据库以同步上传状态，边缘血缘数据库通过比对本地待同步数据队列与收到的确认数据标识列表，自主更新数据状态；未被确认已同步的数据保留至收到确认标识或触发容量告警；

24、其中，所述确认数据标识列表包括多个确认数据标识，所述确认数据标识为中心血缘数据库成功接收到同步数据后生成；所述本地待同步队列为边缘血缘数据库中未收到确认数据标识的数据；所述未被确认已同步的数据为边缘血缘数据库中已上传但未收到对应确认数据标识的数据。

25、优选地，若所述中心血缘数据库所在安全的安全等级低于所述边缘血缘数据库所在安全区的安全等级，则所述第一横向隔离装置为正向隔离装置，所述第二横向隔离装置为反向隔离装置；否则所述第一横向隔离装置为反向隔离装置，所述第二横向隔离装置为正向隔离装置。

26、优选地，所述边缘血缘数据库采用分层存储结构：

27、第一级缓存用于采集代理本地内存存储，保留第一预设时段内的流量记录；

28、第二级缓存用于本安全区网络节点存储，保留第二预设时段内的流量记录，所述第二预设时段大于第一预设时段；

29、第三级缓存用于本安全区持久化存储，按同步状态分级保留：已确认同步数据保留预设保留周期，未确认同步数据保留至收到反向确认标识或触发容量告警；所述第三级缓存的数据淘汰策略为：优先移除已确认同步的前n个高置信度记录，未确认同步记录在容量告警时按时间顺序移除，并生成同步失败告警日志。

30、优选地，所述构造异步关联任务写入待确认队列，查询中心血缘数据库中所有数据流的血缘特征进行再次进行所述多级级联匹配，包括：

31、构造待确认关联任务；所述待确认关联任务包括待匹配的跨区域数据流的出向流量特征信息及候选入向流量的血缘特征记录标识；其中，所述候选入向流量为待匹配的跨区域数据流的前向安全区流入的数据流；

32、将待确认关联任务写入待确认队列并设置超时管理机制；

33、拉取待确认关联任务并查询中心血缘数据库进行多级级联匹配；

34、匹配成功后，在下一同步周期通过反向隔离装置传输确认标识；

35、中心血缘数据库不可用时，触发同步健康度告警，并将待确认关联任务持续本地持久化，同时标记超时时间，超时后自动重试或转入审核队列；恢复后重试，重试成功后通过反向隔离装置补发确认标识。

36、按照本发明的第二方面，提供了一种电力系统数据血缘追踪装置，应用于电力监控系统的多安全分区环境，该装置包括：

37、镜像采集模块，部署在各安全区的数据链路的边界隔离装置的前后两侧，用于镜像采集电力业务的数据流并接入其所在安全区的采集代理，各数据流的源端安全区的采集代理生成各数据流的血缘信息并同步至中心血缘数据库及该源端安全区的血缘数据库；

38、处理模块，部署于每一个数据流的源端安全区的采集代理，分别用于生成各数据流的血缘信息并同步至中心血缘数据库及该源端安全区的血缘数据库；

39、其中，所述血缘信息包括血缘特征、流id、节点标识及匹配状态；所述源端安全区的采集代理生成的数据流血缘信息中，流id为随机生成；

40、匹配关联模块，部署于每一个数据流的非源端安全区的采集代理，用于在检测到跨区域数据流时，查询该非源端安全区的血缘数据库中存储的该跨区域数据流的前向安全区的数据流的血缘特征进行多级级联匹配，若匹配成功则生成该跨区域数据流的血缘信息，否则构造异步关联任务写入待确认队列，查询中心血缘数据库中所有数据流的血缘特征进行再次进行所述多级级联匹配，若匹配成功则生成其血缘信息，否则将该非源端安全区视为该跨区域数据流的源端安全区生成其血缘信息；

41、其中，所述跨区域数据流的血缘信息中，流id为匹配数据流的流id；生成该跨区域数据流的血缘信息后，还将其同步至中心血缘数据库及该非源端安全区的血缘数据库；

42、追踪模块，部署于数据流目的端安全区的采集代理，用于查询中心血缘数据库获取与目标数据流的流id相同的所有数据流的血缘信息，将其中的节点标识按时间先后顺序排序后连接得到目标数据流流经的设备序列，以还原目标数据流的传输路径。

43、优选地，所述匹配关联模块查询该非源端安全区的血缘数据库中所有数据流的血缘特征所述进行多级级联匹配之前，还包括：

44、若在该非源端安全区的本地缓存查询到与待匹配的跨区域数据流的socket四元组信息及报文载荷特征均一致、匹配状态为“已匹配”的第一数据流，且查询到与第一数据流的匹配对象的socket四元组信息及报文载荷特征均一致的第二数据流，则匹配成功，否则查询该非源端安全区的血缘数据库中所有数据流的血缘特征进行多级级联匹配；

45、其中，所述本地缓存用于存储其所在安全区的匹配状态为“已匹配”跨区域数据流及其匹配对象，以及相邻安全区的数据流血缘信息；所述源端安全区的采集代理生成的数据流血缘信息中，匹配状态为“未匹配”；所述跨区域数据流的血缘信息中，匹配状态为“已匹配”。

46、所述血缘特征包括socket四元组信息、硬件时间戳及报文载荷特征；

47、所述多级级联匹配的流程包括：

48、a1，若查询到与待匹配的跨区域数据流的socket四元组完全一致且时间戳差值在自适应时间窗口内的数据流则匹配成功，否则进入a2；

49、a2，当socket四元组因地址转换发生变化时，若查询到与待匹配的跨区域数据流的目的地址一致、源地址符合预设网段范围、时间戳差值在自适应时间窗口内的数据流则匹配成功，否则进入a3；

50、a3，从待匹配的跨区域数据流的载荷中提取电力通信协议关键字段，若查询到与待匹配的跨区域数据流的字段相似度达到预设相似度阈值的数据流则匹配成功，否则匹配失败。

51、优选地，所述自适应时间窗口的计算公式为：a=bc；

52、其中，a为自适应时间窗口的数值，b=d+e+f，d为延迟样本的统计分位数及离散度度量的加权之和，所述延迟样本为同安全区内相似路径的历史延迟，e为初始的跨区传输时延参数，f为协议解析时间补偿；c为保守余量系数。

53、优选地，在所有安全区的血缘数据库中，仅一个安全区的血缘数据库为中心血缘数据库，其它安全区的血缘数据库均为边缘血缘数据库；

54、所有边缘血缘数据库中的数据通过第一横向隔离装置异步同步至中心血缘数据库；中心血缘数据库周期性将确认数据标识列表通过第二横向隔离装置传输至边缘血缘数据库以同步上传状态，边缘血缘数据库通过比对本地待同步数据队列与收到的确认数据标识列表，自主更新数据状态；未被确认已同步的数据保留至收到确认标识或触发容量告警；

55、其中，所述确认数据标识列表包括多个确认数据标识，所述确认数据标识为中心血缘数据库成功接收到同步数据后生成；所述本地待同步队列为边缘血缘数据库中未收到确认数据标识的数据；所述未被确认已同步的数据为边缘血缘数据库中已上传但未收到对应确认数据标识的数据。

56、优选地，若所述中心血缘数据库所在安全的安全等级低于所述边缘血缘数据库所在安全区的安全等级，则所述第一横向隔离装置为正向隔离装置，所述第二横向隔离装置为反向隔离装置；否则所述第一横向隔离装置为反向隔离装置，所述第二横向隔离装置为正向隔离装置。

57、优选地，所述边缘血缘数据库采用分层存储结构：

58、第一级缓存用于采集代理本地内存存储，保留第一预设时段内的流量记录；

59、第二级缓存用于本安全区网络节点存储，保留第二预设时段内的流量记录，所述第二预设时段大于第一预设时段；

60、第三级缓存用于本安全区持久化存储，按同步状态分级保留：已确认同步数据保留预设保留周期，未确认同步数据保留至收到反向确认标识或触发容量告警；所述第三级缓存的数据淘汰策略为：优先移除已确认同步的前n个高置信度记录，未确认同步记录在容量告警时按时间顺序移除，并生成同步失败告警日志。

61、优选地，所述匹配关联模块构造异步关联任务写入待确认队列，查询中心血缘数据库中所有数据流的血缘特征进行再次进行所述多级级联匹配，包括：

62、构造待确认关联任务；所述待确认关联任务包括待匹配的跨区域数据流的出向流量特征信息及候选入向流量的血缘特征记录标识；其中，所述候选入向流量为待匹配的跨区域数据流的前向安全区流入的数据流；

63、将待确认关联任务写入待确认队列并设置超时管理机制；

64、拉取待确认关联任务并查询中心血缘数据库进行多级级联匹配；

65、匹配成功后，在下一同步周期通过反向隔离装置传输确认标识；

66、中心血缘数据库不可用时，触发同步健康度告警，并将待确认关联任务持续本地持久化，同时标记超时时间，超时后自动重试或转入审核队列；恢复后重试，重试成功后通过反向隔离装置补发确认标识。

67、按照本发明的第三方面，提供了一种电子设备，包括：计算机可读存储介质和处理器；

68、所述计算机可读存储介质用于存储可执行指令；

69、所述处理器用于读取所述计算机可读存储介质中存储的可执行指令，执行如第一方面所述的方法。

70、按照本发明的第四方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行如第一方面所述的方法。

71、按照本发明的第五方面，提供了一种计算机程序产品，包括计算机程序或指令，所述计算机程序或指令被处理器执行时实现如第一方面所述的方法。

72、总体而言，通过本发明所构思的以上技术方案与现有技术相比，能够取得下列有益效果：

73、本发明提供的方法，严格遵循gb/t 36572-2018《电力监控系统网络安全防护导则》及《电力监控系统安全防护规定》关于安全分区、物理隔离与单向传输的强制性要求，具有以下优点：

74、1、完全无侵入：基于流量复制设备对电力业务流量进行旁路镜像采集，不修改业务系统代码，不介入传输链路。

75、2、自适应性强：基于同区可靠延迟样本与隔离装置参数计算动态窗口，避免跨区测量悖论，显著提升匹配准确率；并引入保守余量系数覆盖时钟漂移与处理延迟。

76、3、实时性优：采用边缘缓存架构优先本地查询，边缘缓存命中时关联延迟大幅降低，较集中查询提升响应速度。

77、4、合规性优：双隔离装置组架构严格遵循gb/t 36572-2018关于物理隔离与单向传输的强制性要求，正向与反向数据流物理独立，无双向通信通道。

78、5、可靠性增强：同步状态感知保留策略确保隔离装置故障时数据不丢失，满足关键基础设施审计追溯完整性要求。

79、6、可追溯性全：同步失败告警日志补充故障时段血缘记录。

80、综上，本发明采用旁路部署模式，避免串联接入对电力实时业务的影响，实现了电力监控系统数据流的自动化血缘标识与追踪，有效应对apt攻击、数据篡改及跨区非法访问风险，提升了网络安全监测的精确性和故障溯源能力。