一种面向计量平台的云端数据加密存储与访问控制方法及系统与流程

本发明涉及云计算访问控制的，尤其涉及一种面向计量平台的云端数据加密存储与访问控制方法及系统。

背景技术：

1、计量平台广泛应用于能源、水务、市政等领域，采集的电压、电流、流量、能耗等数据具备高频时序性、多源异构性以及高实时性特点，需上传云端集中存储。

2、然而，对于这些需要存储的数据，传统方案直接采用rsa/aes整体加密，未结合时序特征分片，加密时延高、存储冗余大，无法适配高频采集需求；静态基于角色的访问控制无法适配多节点、多时段、多类型数据的动态访问，权限管控精度低；仅采用单一哈希校验，无链式追溯结构，数据篡改无法定位；密钥与数据同域存储，泄露风险高，且直接使用非对称算法加密数据，密钥更新后历史数据无法解密；缺乏抗量子攻击能力，审计日志无防篡改机制，未建立密钥版本管理机制，历史数据解密逻辑存在缺口，整体方案无法满足工业级计量平台安全需求等。

技术实现思路

1、鉴于上述现有存在的问题，提出了本发明。因此，本发明提供了一种面向计量平台的云端数据加密存储与访问控制方法及系统解决现有方法加密低效、权限僵化、防篡改弱以及密钥管理缺失的问题。

2、为解决上述技术问题，本发明提供如下技术方案：

3、第一方面，本发明实施例提供了一种面向计量平台的云端数据加密存储与访问控制方法，包括：响应于计量终端的数据采集操作，获取原始计量数据；

4、对所述原始计量数据按时间戳排序并提取时间戳属性、节点标识属性、数据类型属性组成的三维特征，根据固定时间窗对所述原始计量数据进行时序分片并对不足所述固定时间窗的数据补零填充，得到计量数据分片；

5、基于所述三维特征拼接后的哈希运算结果作为密钥派生盐值，对格基封装生成的第一共享密钥进行派生，将数据加密密钥与所述第一共享密钥密码学绑定；

6、根据密钥加密密钥中的公钥对所述数据加密密钥封装得到数据加密密钥密文，并将所述密钥加密密钥中的私钥存入可信执行环境隔离区；

7、对所述时序分片加密得到加密后的计量数据分片，基于所述加密后的计量数据分片构建前向哈希链序列，将所述前向哈希链序列的根哈希同步存入硬件安全模块；

8、响应于访问请求，提取所述访问请求中的主体身份属性、访问时段属性、目标数据类型属性与预设策略进行三维匹配；

9、当所述三维匹配通过时，在所述可信执行环境内通过所述私钥解封装所述数据加密密钥密文得到明文数据加密密钥，对所述加密后的计量数据分片解密并比对所述前向哈希链序列。

10、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：还包括：

11、响应于预设安全周期更新触发信号，生成第二密钥加密密钥对；

12、将历史密钥加密密钥对中的历史私钥归档存储于所述可信执行环境隔离区；

13、基于所述第二密钥加密密钥对中的第二公钥对新生成的第二数据加密密钥执行封装操作；

14、保持历史数据加密密钥密文不变，将新产生的第二数据加密密文与所述第二密钥加密密钥对的版本索引绑定存储。

15、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：还包括：

16、响应于非法访问拦截操作，获取访问主体标识、访问时间、数据类型、访问结果；

17、将所述访问主体标识、访问时间、数据类型、访问结果组合为当前日志内容；

18、获取前序第若干减一条日志的前序日志哈希值；对所述前序日志哈希值与所述当前日志内容执行拼接后执行第四哈希运算，得到第若干条日志哈希值；

19、将所述第若干条日志哈希值与所述当前日志内容同步至可信第三方节点。

20、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：根据固定时间窗对所述原始计量数据进行时序分片并对不足所述固定时间窗的数据补零填充，包括：

21、获取第一预设时长阈值区间，根据所述第一预设时长阈值区间内的选定值对所述原始计量数据执行切割操作，保持时间戳时序有序；

22、对切割后的所述原始计量数据中不足所述选定值的部分执行补零操作，得到计量数据分片；

23、当所述时序分片的数据量大于第一预设字节阈值时，截断所述时序分片至所述第一预设字节阈值内。

24、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：基于所述三维特征拼接后的哈希运算结果作为密钥派生盐值，对格基封装生成的第一共享密钥进行派生，包括：

25、对所述三维特征执行字符串拼接操作，得到第一拼接序列；

26、对所述第一拼接序列执行第二哈希运算，得到加密关联因子；

27、将所述加密关联因子作为哈希密钥派生函数的盐值输入；

28、基于所述哈希密钥派生函数对格基密钥封装操作生成的所述第一共享密钥进行派生计算；

29、当所述时序分片的加密处理时延超过第一预设时长时，调整所述格基密钥封装操作的并行度。

30、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：基于所述加密后的计量数据分片构建前向哈希链序列，包括：

31、对首个所述时序分片加密后的所述加密后的计量数据分片执行第三哈希运算，得到第一哈希节点值；

32、获取前序第若干减一个所述时序分片对应的前序哈希节点值；

33、对第若干个所述时序分片加密后的所述加密后的计量数据分片执行所述第三哈希运算，得到当前哈希节点值；

34、将所述前序哈希节点值与所述当前哈希节点值执行拼接操作后再次执行所述第三哈希运算，得到第若干个哈希节点值；

35、将所述第一哈希节点值至第末个哈希节点值顺序链接，得到所述前向哈希链序列。

36、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：提取所述访问请求中的主体身份属性、访问时段属性、目标数据类型属性与预设策略进行三维匹配，包括：

37、通过策略执行点接收所述访问请求并转发至策略决策点；

38、在所述策略决策点提取所述访问请求中的所述主体身份属性、所述访问时段属性、所述目标数据类型属性；

39、将所述主体身份属性、所述访问时段属性、所述目标数据类型属性同时与可扩展访问控制标记语言格式的所述预设策略执行比对；

40、若所述主体身份属性、所述访问时段属性、所述目标数据类型属性中存在至少一项与所述预设策略不一致，拦截所述访问请求。

41、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：在所述可信执行环境内通过所述私钥解封装所述数据加密密钥密文得到明文数据加密密钥，对所述加密后的计量数据分片解密并比对所述前向哈希链序列，包括：

42、在所述可信执行环境内执行远程认证操作；

43、根据密钥版本索引匹配对应版本的所述私钥对所述数据加密密钥密文执行解封装操作，得到所述明文数据加密密钥；

44、对所述加密后的计量数据分片执行解密操作后，实时计算当前分片哈希值；

45、将所述当前分片哈希值与所述前向哈希链序列中的对应节点执行一致性比对；

46、若比对不一致，定位至被篡改的所述时序分片并调取云端同步备份分片执行数据恢复。

47、作为本发明所述的面向计量平台的云端数据加密存储与访问控制方法的一种优选方案，其中：根据密钥版本索引匹配对应版本的所述私钥对所述数据加密密钥密文执行解封装操作，得到所述明文数据加密密钥之后，包括：

48、对所述明文数据加密密钥在所述可信执行环境内的内存区域执行覆写操作；

49、当解密后的所述时序分片包含补零填充段时，识别所述补零填充段的位置区间；

50、将所述补零填充段从解密后的所述时序分片中剔除，保留有效计量数据；

51、将所述有效计量数据写入会话临时缓存区参与业务计算。

52、第二方面，本发明提供了一种面向计量平台的云端数据加密存储与访问控制系统，包括：

53、所述计量数据采集预处理模块用于响应于计量终端的数据采集操作，获取原始计量数据，对所述原始计量数据按时间戳排序并提取时间戳属性、节点标识属性、数据类型属性组成的三维特征，根据固定时间窗对所述原始计量数据进行时序分片并对不足所述固定时间窗的数据补零填充，得到计量数据分片；

54、所述双层密钥加密模块用于基于所述三维特征拼接后的哈希运算结果作为密钥派生盐值，对格基封装生成的第一共享密钥进行派生，将数据加密密钥与所述第一共享密钥密码学绑定，根据密钥加密密钥中的公钥对所述数据加密密钥封装得到数据加密密钥密文，并将所述密钥加密密钥中的私钥存入可信执行环境隔离区；

55、所述数据完整性校验模块用于对所述时序分片加密得到加密后的计量数据分片，基于所述加密后的计量数据分片构建前向哈希链序列，将所述前向哈希链序列的根哈希同步存入硬件安全模块；

56、所述三维属性访问控制模块用于响应于访问请求，提取所述访问请求中的主体身份属性、访问时段属性、目标数据类型属性与预设策略进行三维匹配；

57、所述可信密钥管理模块用于当所述三维匹配通过时，在所述可信执行环境内通过所述私钥解封装所述数据加密密钥密文得到明文数据加密密钥，对所述加密后的计量数据分片解密并比对所述前向哈希链序列。

58、与现有技术相比，本发明的有益效果：本发明采用双层密钥架构，确保密钥更新不影响历史数据的正常解密；结合具备抵御肖尔算法能力的格基后量子密码算法与高效对称加密机制，兼顾安全性与加解密效率；通过时序固定窗口分片与补零填充对齐策略，降低云端存储冗余，相较传统整体加密存储方式具有明显优势；基于三维属性与可扩展访问控制标记语言策略实现动态细粒度访问控制，有效提升非法访问拦截能力并保障授权响应的实时性；密钥加密密钥的私钥部分严格存放在可信执行环境的物理隔离区域，降低密钥泄露风险；引入前向哈希链机制，支持高效、精准的篡改检测与定位，可精确至单个数据分片；审计日志采用单向哈希级联结构，具备强防篡改能力；整体系统稳定性高，可直接部署于现有计量平台，无需额外硬件改造。