一种基于区块链的电力数据权限分级管理方法

1.本发明涉及一种基于区块链的电力数据权限分级管理方法，属于电力数据管理技术领域。


背景技术：

2.电网系统作为一个涵盖了建设、生产、营销等业务的庞大组织，其产生的电力数据具有数据类型多、业务跨度大、涉及部门广的特点。由于电网系统中存在不同的子系统，它们作为不同的数据生产主体，独立地对各自的生产数据进行生产维护。然而，当需要跨系统进行数据共享时，由于电网系统架构复杂且产生的电力数据量庞大，对数据的权限划分往往不够细致准确，使得子系统间的数据共享存在安全问题。如果直接将一个部门的数据完全开放给另一个部门，存在泄密的风险，如果部门在分享部分数据后各自维护，又会存在一数多源、多源维护、共享效率低的问题，同时，在数据交互过程中，若未设置安全的加密策略，也会出现数据黑客截获敏感电力数据的情况。为了保证数据共享时的安全问题，如何合理地设置数据权限，进行数据隔离成为电力数据管理的重要问题。
3.区块链凭借其去中心化、自治性、数据可溯源等特点，能极好地解决因电网子系统繁多导致的数据共享难题，若在加密过程中引入基于属性的加密方式，利用属性加密细粒度访问控制的特点，为访问人员分配细粒度权限，便能结合区块链和构建一个安全的电力数据共享系统，使得数据分布式存储和管理，提高了数据的安全性。然而，由于电网是一个巨大的闭环系统，其不对外开发的特点导致其需要保证只有授权的参与者才可以参与到区块链的交易和共识过程中，而区块链中的授权证明机制恰好能保证链上节点由共同信任的组织维护和管理。同时，传统的加密依赖单一加密中心，若这一加密中心被攻击者攻破，数据便立刻会被泄露，引入多加密机构组成的加密组织能够拆分加密组织层级分散攻击风险。将基于区块链的属性访问控制方式和多加密机构组成的加密组织运用在电力系统中，给不同系统的不同角色设计相关属性，数据拥有者再根据所有属性及属性之间的关系来设计分级访问策略，满足相关属性的成员将被智能合约自动判决访问相关数据，使得电网中电力数据的共享更加安全高效。


技术实现要素：

4.为了克服上述问题，本发明提供一种基于区块链的电力数据权限分级管理方法，该方法将身份验证、基于属性的访问控制方式与区块链相结合的方法，分级的对客户端用户进行管理和应答，可以更快排除一些不符合要求的用户，并进一步实现去中心化的基于属性的访问控制，它能让资源拥有者根据自己的意愿制定相关访问策略，符合属性条件的数据访问申请者才能在智能合约自动执行时判决成功，并最终访问成功。
5.本发明的技术方案如下：一种基于区块链的电力数据权限分级管理方法，包括：s1、对电力数据进行预处理，所述电力数据包括来自n个不同部门的电力数据，所
述预处理为按照电力数据来源部门进行分类；s2、对区块链进行初始化，并在所述区块链上安置n个组织节点，各所述组织节点对应不同的部门；设置属性授权中心、密钥管理中心、文件管理中心和加密中心；s3、部署区块链智能合约，所述智能合约用于身份管理、密钥管理、文件加密、服务转发和数据查询；s4、用户与区块链上的组织节点建立tls连接，并进行交互，组织节点验证所述用户是否属于组织节点对应的部门，若是，则为所述用户注册身份并分配与区块链交互的权限，作为数据访问的第一级权限，所述注册身份包括赋予用户属性集，所述属性集用于验证用户是否满足访问策略；s5、各所述组织节点分别与所述密钥管理中心建立tls连接，利用dh协议进行密钥协商，生成密钥集合；s6、分别取出各组织节点对应的密钥，加密中心利用密钥加密对应部门i的数据文件，得到加密文件集合，将加密文件存储至所述文件管理中心，将部门i对应的加密文件的文件地址存储至部门i对应的组织节点；s7、根据文件机密等级对各部门的数据文件密钥设置访问策略，所述访问策略具备区分访问者级别的结构；s8、所述组织节点将数据加密请求提交给所述属性授权中心，为数据设置第二级权限，所述属性授权中心对所述密钥集合中的密钥在访问策略下加密，生成加密后的密钥集合，并存储至所述密钥管理中心；s9、用户查询部门i的数据文件时，用户通过分配的第一级权限身份在区块链上查询是否存在所需数据，若是，用户所属部门对应的组织节点向密钥管理中心请求加密密钥集合中对应的密钥ei并返回给用户；s10、判断用户是否具备所需数据的第二级权限，若具备，则解密密钥ei得到所需部门密钥ki，使用所述密钥ki对所需数据的密文解密得到数据明文，所需数据的密文属于加密文件。
6.进一步的，步骤s6中，加密中心利用密钥和aes对称加密算法加密对应部门i的数据文件。
7.进一步的，步骤s8中，所述属性授权中心利用cpabe算法对所述密钥集合中的密钥在访问策略下加密。
8.进一步的，步骤s4包括：用本地证书向区块链请求注册一个管理员身份，所述本地证书利用证书生成文件生成，生成与所属部门组织上相同的证书，当管理员被登记到组织节点后，在客户端拥有管理员身份，并收到管理员使用的签名密钥和证书；管理员用成员相应的信息将部门成员用户注册到组织节点中，组织节点返回一个成员机密；客户端使用所述机密将用户注册到身份管理机构，得到用户的签名密钥和证书，
存储在本地身份钱包中，用于执行与区块链的交互。
9.进一步的，步骤s5包括：组织节点a与密钥管理中心进行协商，协商过程如下：组织节点a与密钥管理中心节点建立tls连接，共享一个素数p以及该素数p的本原根g，2≤g≤p-1；组织节点a产生一个私有的随机数ra，且所述随机数ra满足1≤ra≤p-1，计算,将ka通过tls传输通道发送给所述密钥管理中心；密钥管理中心产生一个私有的随机数rb，且所述随机数rb满足1≤rb≤p-1，计算，将结果kb通过传输通道发送给组织节点a；组织节点a计算，密钥管理中心计算,得到共享密钥k，。
10.进一步的，步骤s7包括：设置文件机密等级l、部门权限等级r和部门属性，机密等级集合为{}，部门权限等级集合为{}，部门i属性，其中t为部门所属公司，r为部门权限等级；对部门i不同机密等级的文件设置不同的访问策略：对于机密等级为l1的文件，设置访问策略；r1r2r31of3表示部门权限等级为r1、r2和r3可查看，表示部门所述公司为a公司可查看，2of2表示需同时满足前面的两个条件；对于l2的文件，设置访问策略；r2r31of2表示部门权限等级为r2和r3可查看；对于l3的文件，设置访问策略；r31of1表示部门权限等级为r3可查看。
11.进一步的，步骤s8包括：对于用户发起的加密请求，所述属性授权中心生成安全参数k，根据cpabe初始化算法setup，以k为输入，计算生成公钥pk：利用步骤s7生成的访问策略，属性授权中心在访问策略下对各部门的密钥集合进行加密，利用cpabe加密算法encrypt输入系统公钥pk、密钥集合和基于属性的访问测量，生成加密后的密钥集合{}，将加密后的密钥集合存放在密钥管理中心。
12.进一步的，步骤s9包括：只有经过身份注册的用户才有操纵智能合约的权限；用户调用查询智能合约查询指定部门的加密密钥时，区块链将查询加密密钥的请求转发给密钥管理中心，密钥管理中心查询出结果后返回给用户。
13.进一步的，步骤s10包括：属性授权中心根据用户属性检查每个通过一级身份验证用户的属性集s，将s作为
cpabe算法密钥生成的一个输入，输出与该属性集对应的用户私钥sk用户调用cpabe解密算法decrypt，以公钥pk、密文ct和用户私钥sk作为输入，若用户属性集符合步骤s7中所述的访问策略，成功解密密钥密文得到解密后的对称密钥，利用对称密钥对文件管理中心存储的加密文件进行对称解密得到所需数据。
14.进一步的，步骤s2采用联盟链hyperledgerfabric作为可信平台。
15.本发明具有如下有益效果：1.本发明使用的电力数据权限分级管理的方法，分级的方式使得用户访问数据的速度比传统的单一基于属性访问控制的方法得到提高，更快地排除了不符合身份的客户端用户，访问效率也有所提高。
16.2.本发明设计了多个密文密钥管理中心，分散了数据泄露的风险。第一次对称加密获得加密密文，存储在文件管理中心，区块链上的属性授权中心用于分配属性加密的密钥，第二次属性加密获得加密后的对称加密密钥，存储在密钥管理中心。攻击者仅仅破解其中的一方，无法得到数据明文。与传统的电力系统访问控制方式相比，安全性更高。
17.3.本发明针对电力数据体系子系统繁多和电力数据种类多的特点，对数据和部门进行定制化分级，设计了分级访问策略，并依照访问策略设计了分级访问树，对不同系统的数据进行数据隔离，防止部门数据直接的交叉修改。
附图说明
18.图1为本发明方法的流程图。
19.图2为本发明实施例的第一级权限设置示意图。
20.图3为本发明实施例的第二级权限设置示意图。
21.图4为本发明实施例的电力部门上传数据流程示意图。
22.图5为本发明实施例的用户访问数据流程示意图。
具体实施方式
23.下面结合附图和具体实施例来对本发明进行详细的说明。
24.参考图1~5，一种基于区块链的电力数据权限分级管理方法，包括：s1、对电力数据进行预处理，所述电力数据包括来自n个不同部门的电力数据，所述预处理为按照电力数据来源部门进行分类；s2、对区块链进行初始化，并在所述区块链上安置n个组织节点，各所述组织节点对应不同的部门；设置属性授权中心、密钥管理中心、文件管理中心和加密中心；s3、部署区块链智能合约，所述智能合约用于身份管理、密钥管理、文件加密、服务转发和数据查询；s4、用户与区块链上的组织节点建立tls连接，并进行交互，组织节点验证所述用户是否属于组织节点对应的部门，若是，则为所述用户注册身份并分配与区块链交互的权限，作为数据访问的第一级权限，所述注册身份包括赋予用户属性集，所述属性集用于验证用户是否满足访问策略；tls即安全传输层协议；s5、各所述组织节点分别与所述密钥管理中心建立tls连接，利用dh协议进行密钥
协商，生成密钥集合；dh协议即diffie-hellman，一种确保共享key安全穿越不安全网络的方法；s6、分别取出各组织结构对应的密钥，加密中心利用密钥加密对应部门i的数据文件，得到加密文件集合，将加密文件存储至所述文件管理中心，将部门i对应的加密文件的文件地址存储至部门i对应的组织节点；s7、根据文件机密等级对各部门的数据文件密钥设置访问策略，所述访问策略具备区分访问者级别的结构；s8、所述组织节点将数据加密请求提交给所述属性授权中心，为数据设置第二级权限，所述属性授权中心对所述密钥集合中的密钥在访问策略下加密，生成加密后的密钥集合，并存储至所述密钥管理中心；s9、用户查询部门i的数据文件时，用户通过分配的第一级权限身份在区块链上查询是否存在所需数据，若是，用户所属部门对应的组织节点向密钥管理中心请求加密密钥集合中对应的密钥ei并返回给用户；s10、判断用户是否具备所需数据的第二级权限，若具备，则解密密钥ei得到所需部门密钥ki，使用所述密钥ki对所需数据的密文解密得到数据明文，所需数据的密文属于加密文件；所述判断用户是否具备所需数据的第二级权限即判断用户是否符合访问策略pi的要求。
25.本发明设计了多个密文密钥管理中心，分散了数据泄露的风险。第一次对称加密获得加密密文，存储在文件管理中心，区块链上的属性授权中心用于分配属性加密的密钥，第二次属性加密获得加密后的对称加密密钥，存储在密钥管理中心。攻击者仅仅破解其中的一方，无法得到数据明文。与传统的电力系统访问控制方式相比，安全性更高。
26.步骤s2中的属性授权中心用于分配属性加密的密钥，密钥管理中心为系统提供密钥的生成，保存，分发、查询和更新等相关操作，文件管理中心将各部门的文件按部门分别存储在此，提供文件的存储和查询等操作，加密中心应用密码学原理，采用aes，cpabe等加密算法对数据和密钥等进行加密。
27.在一种具体实施例中，步骤s5中的密钥集合为各组织节点与密钥管理中心协商后得到的密钥，如为编号为1的部门与密钥管理中心协商后得到的密钥，以此类推。
28.在一种具体实施例中，步骤s6中的加密文件集合为各组织节点对应部门的数据文件加密后的加密文件，如为编号为1的部门的数据文件加密后得到的加密文件。
29.在一种具体实施例中，所述属性授权中心设置在链上，所述密钥管理中心、所述文件管理中心和所述加密中心设置在链下，参考图3。
30.在本发明的一种实施方式中，步骤s6中，加密中心利用密钥和aes对称加密算法加密对应部门i的数据文件。
31.在本发明的一种实施方式中，步骤s8中，所述属性授权中心利用cpabe算法对所述
密钥集合中的密钥在访问策略下加密。
32.在本发明的一种实施方式中，步骤s4包括：用本地证书向区块链请求注册一个管理员身份，所述本地证书利用证书生成文件生成，生成与所属部门组织上相同的证书，当管理员被登记到组织节点后，在客户端拥有管理员身份，并收到管理员使用的签名密钥和证书；管理员用成员相应的信息将部门成员用户注册到组织节点中，组织节点返回一个成员机密；所述机密包含用户的权限信息，在部分实施例中，包括能够访问的机密等级。
33.客户端使用所述机密将用户注册到身份管理机构，得到用户的签名密钥和证书，存储在本地身份钱包中，用于执行与区块链的交互。
34.在本发明的一种实施方式中，步骤s5包括：组织节点a与密钥管理中心进行协商，协商过程如下：组织节点a与密钥管理中心节点建立tls连接，共享一个素数p以及该素数p的本原根g，2≤g≤p-1；因为无论k取何值，0kmod p始终为0，1kmodp始终为1，由本原根定义知，g显然不为0和1，又由于g产生于素数p的一个完全剩余系，{0,1,
…
,p-1}是素数p的一个完全剩余系，故取2≤g≤p-1；组织节点a产生一个私有的随机数ra，且所述随机数ra满足1≤ra≤p-1，计算,将ka通过tls传输通道发送给所述密钥管理中心；由本原根的定义知，g1mod p,g2mod p,
…
,g
p-1
mod p是不同的并且包含1到p-1的整数的某种排列，故取ra满足1≤ra≤p-1，密钥管理中心产生一个私有的随机数rb，且所述随机数rb满足1≤rb≤p-1，计算，将结果kb通过传输通道发送给组织节点a；rb的取值原理与ra相同；组织节点a计算，密钥管理中心计算,得到共享密钥k，。
35.在一种具体实施例中，每次协商包括以下步骤：t1：部门a与密钥管理中心建立tls连接，共享素数p以及p的本原根g（2≤g≤p-1）。
36.t2:部门a产生一个私有的随机数，满足1≤≤p-1，计算modp=t3:结果通过tls传输通道发送给密钥管理中心；t4:与此同时，密钥管理中心产生一个私有的随机数，满足1≤≤p-1，计算modp=，将结果通过传输通道发送给部门a。
37.t5:部门a计算,密钥管理中心计算,得到共享密钥k,。
38.其中，mod为取模运算符。
39.在本发明的一种实施方式中，步骤s7包括：设置文件机密等级l、部门权限等级r和部门属性，机密等级集合为{}，部门权限等级集合为{}，部门i属性，其中t为部门所属公司，r为部门权限等级；
对部门i不同机密等级的文件设置不同的访问策略：对于机密等级为l1的文件，设置访问策略；r1r2r31of3表示部门权限等级为r1、r2和r3可查看，表示部门所述公司为a公司可查看，2of2表示需同时满足前面的两个条件；对于l2的文件，设置访问策略；r2r31of2表示部门权限等级为r2和r3可查看；对于l3的文件，设置访问策略；r31of1表示部门权限等级为r3可查看。
40.在本发明的一种实施方式中，步骤s8包括：对于用户发起的加密请求，所述属性授权中心生成安全参数k，根据cpabe初始化算法setup，以k为输入，计算生成公钥pk：利用步骤s7生成的访问策略，属性授权中心在策略下对各部门的密钥集合进行加密，利用cpabe加密算法encrypt输入系统公钥pk、密钥集合和基于属性的访问策略，生成加密后的密钥集合{}，将加密后的密钥集合存放在密钥管理中心。
41.在本发明的一种实施方式中，步骤s9包括：只有经过身份注册的用户才有操纵智能合约的权限；用户调用查询智能合约查询指定部门的加密密钥时，区块链将查询加密密钥的请求转发给密钥管理中心，密钥管理中心查询出结果后返回给用户。
42.在本发明的一种实施方式中，步骤s10包括：属性授权中心根据用户属性检查每个通过一级身份验证用户的属性集s，将s作为cpabe算法密钥生成的一个输入，输出与该属性集对应的用户私钥sk用户调用cpabe解密算法decrypt，以公钥pk、密文ct和用户私钥sk作为输入，若用户属性集符合步骤s7中所述的访问策略，成功解密密钥密文得到解密后的对称密钥，利用对称密钥对文件管理中心存储的加密文件进行对称解密得到所需数据。
43.在本发明的一种实施方式中，步骤s2采用联盟链hyperledgerfabric作为可信平台。
44.以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

技术特征：
1.一种基于区块链的电力数据权限分级管理方法，其特征在于，包括：s1、对电力数据进行预处理，所述电力数据包括来自n个不同部门的电力数据，所述预处理为按照电力数据来源部门进行分类；s2、对区块链进行初始化，并在所述区块链上安置n个组织节点，各所述组织节点对应不同的部门；设置属性授权中心、密钥管理中心、文件管理中心和加密中心；s3、部署区块链智能合约，所述智能合约用于身份管理、密钥管理、文件加密、服务转发和数据查询；s4、用户与区块链上的组织节点建立tls连接，并进行交互，组织节点验证所述用户是否属于组织节点对应的部门，若是，则为所述用户注册身份并分配与区块链交互的权限，作为数据访问的第一级权限，所述注册身份包括赋予用户属性集，所述属性集用于验证用户是否满足访问策略；s5、各所述组织节点分别与所述密钥管理中心建立tls连接，利用dh协议进行密钥协商，生成密钥集合；s6、分别取出各组织节点对应的密钥，加密中心利用密钥加密对应部门i的数据文件，得到加密文件集合，将加密文件存储至所述文件管理中心，将部门i对应的加密文件的文件地址存储至部门i对应的组织节点；s7、根据文件机密等级对各部门的数据文件密钥设置访问策略，所述访问策略具备区分访问者级别的结构；s8、所述组织节点将数据加密请求提交给所述属性授权中心，为数据设置第二级权限，所述属性授权中心对所述密钥集合中的密钥在访问策略下加密，生成加密后的密钥集合，并存储至所述密钥管理中心；s9、用户查询部门i的数据文件时，用户通过分配的第一级权限身份在区块链上查询是否存在所需数据，若是，用户所属部门对应的组织节点向密钥管理中心请求加密密钥集合中对应的密钥e
i
并返回给用户；s10、判断用户是否具备所需数据的第二级权限，若具备，则解密密钥e
i
得到所需部门密钥k
i
，使用所述密钥k
i
对所需数据的密文解密得到数据明文，所需数据的密文属于加密文件。2.根据权利要求1所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s6中，加密中心利用密钥和aes对称加密算法加密对应部门i的数据文件。3.根据权利要求1所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s8中，所述属性授权中心利用cpabe算法对所述密钥集合中的密钥在访问策略下加密。4.根据权利要求1所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s4包括：用本地证书向区块链请求注册一个管理员身份，所述本地证书利用证书生成文件生成，生成与所属部门组织上相同的证书，当管理员被登记到组织节点后，在客户端拥有管理
员身份，并收到管理员使用的签名密钥和证书；管理员用成员相应的信息将部门成员用户注册到组织节点中，组织节点返回一个成员机密；客户端使用所述机密将用户注册到身份管理机构，得到用户的签名密钥和证书，存储在本地身份钱包中，用于执行与区块链的交互。5.根据权利要求1所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s5包括：组织节点a与密钥管理中心进行协商，协商过程如下：组织节点a与密钥管理中心节点建立tls连接，共享一个素数p以及该素数p的本原根g，2≤g≤p-1；组织节点a产生一个私有的随机数r
a
，且所述随机数r
a
满足1≤r
a
≤p-1，计算,将k
a
通过tls传输通道发送给所述密钥管理中心；密钥管理中心产生一个私有的随机数r
b
，且所述随机数r
b
满足1≤r
b
≤p-1，计算，将结果k
b
通过传输通道发送给组织节点a；组织节点a计算，密钥管理中心计算,得到共享密钥k，；其中，mod为取模运算符。6.根据权利要求3所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s7包括：设置文件机密等级l、部门权限等级r和部门属性，机密等级集合为{}，部门权限等级集合为{}，部门i属性，其中t为部门所属公司，r为部门权限等级；对部门i不同机密等级的文件设置不同的访问策略：对于机密等级为l1的文件，设置访问策略；r1r2r31of3表示部门权限等级为r1、r2和r3可查看，表示部门所述公司为a公司可查看，2of2表示需同时满足前面的两个条件；对于l2的文件，设置访问策略；r2r31of2表示部门权限等级为r2和r3可查看；对于l3的文件，设置访问策略；r31of1表示部门权限等级为r3可查看。7.根据权利要求6所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s8包括：对于用户发起的加密请求，所述属性授权中心生成安全参数k，根据cpabe初始化算法setup，以k为输入，计算生成公钥pk：利用步骤s7生成的访问策略，属性授权中心在访问策略下对各部门的密钥集合进行加密，利用cpabe加密算法encrypt输入系统公钥pk、密钥集合
和基于属性的访问策略，生成加密后的密钥集合{}，将加密后的密钥集合存放在密钥管理中心。8.根据权利要求1所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s9包括：只有经过身份注册的用户才有操纵智能合约的权限；用户调用查询智能合约查询指定部门的加密密钥时，密钥管理中心查询出结果后返回给用户，所述结果为是否存在所需数据，若存在，则返回加密密钥集合中对应的对应部门的密钥。9.根据权利要求7所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s10包括：属性授权中心根据用户属性检查每个通过一级身份验证用户的属性集s，将s作为cpabe算法密钥生成的一个输入，输出与该属性集对应的用户私钥sk；用户调用cpabe解密算法decrypt，以公钥pk、密文ct和用户私钥sk作为输入，若用户属性集符合步骤s7中所述的访问策略，成功解密密钥密文得到解密后的对称密钥，利用对称密钥对文件管理中心存储的加密文件进行对称解密得到所需数据。10.根据权利要求1所述基于区块链的电力数据权限分级管理方法，其特征在于，步骤s2采用联盟链hyperledgerfabric作为可信平台。

技术总结
本发明涉及一种基于区块链的电力数据权限分级管理方法，包括：将电力数据按照部门分类；区块链初始化n个节点，对应n个部门，设置密钥管理中心，文件管理中心和加密中心；验证并注册用户，作为第一级权限；多个加密组织协同对文件和密钥进行双层加密，作为数据防伪的第二级权限；验证用户是否满足所需数据的两级权限。本发明将身份验证、基于属性的访问控制方式与区块链相结合的方法，分级的对客户端用户进行管理和应答，可以更快排除一些不符合要求的用户，并进一步实现去中心化的基于属性的访问控制，它能让资源拥有者根据自己的意愿制定相关访问策略，符合属性条件的数据访问申请者才能在智能合约自动执行时判决成功，并最终访问成功。问成功。问成功。


技术研发人员：蔡宇翔 蒋鑫 倪文书 付婷 刘璐 王川丰 杨启帆 林琛 林德威 肖琦敏 吴茜 谢景瑜
受保护的技术使用者：国网福建省电力有限公司信息通信分公司 厦门大学
技术研发日：2023.06.07
技术公布日：2023/7/18