分區加密與結構化加密相結合實現OLAP的數據安全性

武 彤，漆 媛

(貴州大學 計算機科學與技術學院，貴州 貴陽 550025)

分區加密與結構化加密相結合實現OLAP的數據安全性

武 彤，漆 媛

(貴州大學 計算機科學與技術學院，貴州 貴陽 550025)

隨著數據倉庫、OLAP、數據挖掘技術的普及，基于數據倉庫的決策支持系統在企業得到了廣泛應用。而企業決策支持系統所涉及的數據是企業決策所需的重要數據，這些數據的丟失或泄露將直接影響企業的生存與發展，確保企業決策系統OLAP的安全性從而保護數據安全有其重要的意義。因此OLAP系統的數據安全性已成為數據安全領域的研究熱點。以某“生產線質量控制決策分析系統”為研究平臺，分析了系統的安全需求，針對平臺上OLAP系統的多維數據，結合分區加密及結構化加密的特點，使用分區加密與結構化加密相結合，實現了OLAP系統的數據加密。通過實踐證明，這種混合加密策略既能保證數據的安全性，又不影響OLAP系統的性能。該研究方案在同類系統中具有一定的推廣應用價值。

數據倉庫；OLAP；數據加密；分區加密；結構化加密

0 引 言

隨著數據庫技術的深入發展及普及應用，企業已經在不同的時期針對具體應用建立了大量的數據庫應用系統，這些數據庫應用系統解決了企業在生產、管理中的很多問題，同時推動了數據庫技術的發展。但是面對不斷增加的數據，企業用戶不再滿足于數據庫應用系統提供的功能，而且提出了深層次的應用問題：能不能從數據中提取信息或者知識為決策服務，就數據庫技術而言是無能為力的，由此產生了數據倉庫、OLAP(聯機分析處理)以及數據挖掘技術。隨著數據倉庫、OLAP以及數據挖掘技術的發展，基于數據倉庫的決策支持系統在企業得到了廣泛應用[1]。

數據倉庫是一個綜合的解決方案，主要幫助企業有關主管部門和業務人員做出更符合企業發展規律的決策。而OLAP、數據挖掘與數據倉庫的協同工作，一方面可以迎合和簡化決策分析過程中的重要步驟，提高決策分析的效率和能力，確保決策分析中數據來源的廣泛性和完整性。另一方面，OLAP、數據挖掘技術已經成為數據倉庫應用中極為重要和相對獨立的方面[2]。OLAP是使分析人員、管理人員或執行人員能夠從多角度對信息進行快速、一致、交互地存取，從而獲得對數據的更深入了解的一類軟件技術。數據倉庫中存儲的巨大數據量能夠科學地反映歷史信息，通過OLAP技術對數據進行處理與多維分析，可以幫助企業管理者從數據中獲得支持決策的信息，從而做出正確的決策。這對幫助企業提高市場競爭力，完善企業管理，針對性地制定出相關政策意義重大。由此可以看出，OLAP分析所涉及的數據是決策所需的重要數據，這些數據的丟失或泄露將直接影響企業的生存與發展，因此確保企業決策系統OLAP的安全性從而保護數據安全有其重要的意義。文中以某企業生產線質量控制決策分析系統為研究平臺，研究以分區加密和結構化加密相結合實現OLAP的安全性。

1 分區加密與結構化加密

OLAP系統的數據來源于數據倉庫，確保數據倉庫中數據安全的最有效方法就是數據加密。對數據倉庫內部的數據進行加密時，常用的方法有分區加密和結構化加密。

(1)分區加密。

分區加密就是對數據倉庫的不同部分應用不同的加密模塊。如針對一個數據倉庫，可以根據數據重要程度的不同，將數據劃分成A，B，C，…不同的分區，對不同的分區數據采用不同的加密算法進行加密，當用某一分區的編碼器對另一分區的數據進行解密時，將得到一堆垃圾。即不同的加密/解密過程可以有效地分到不同的分區中，以保證數據的安全性。

(2)結構化加密。

在數據倉庫中，數據的內部結構和數據的類型在加密/解密過程中必須被保護。例如在一個非加密狀態，如果域A在域B之前，域B又在域C之前，那么在加密狀態下，也應該維護這樣的結構。如果一個ASCII域被加密，那么加密值也必須是ASCII。在加密過程中維護域是一個非常復雜的問題，并且加密數據使得像匯總之類的處理很難進行，因此需要選擇性地對數據倉庫中的數據進行加密[3]。通常只有非鍵值，非索引的數據被加密。加密鍵值和索引使得本來復雜的過程更加復雜，還有一些其他的問題要考慮。在決定哪些數據加密時，最簡單的方法就是把一個表中的所有非鍵值，非索引值加密。一種情況是只加密一列數據，所有其他的數據都以原始的狀態存儲。另外一種情況是加密數據的特定行。還有一種情況，加密算法是周期性變化的。因此請求者不僅要使解密算法和加密數據相匹配，而且這個解密算法在這個時刻是正確的[4]。

2 OLAP系統的多維分析及安全需求

文中研究內容基于的平臺是某企業“生產線質量控制決策分析系統”，該系統將對生產線上的電視機產品質量圍繞“基板品質”及“電視機質量”兩個主題進行OLAP分析。

2.1 基板品質分析

“基板品質”分析是通過電視機主板生產環節的各個質量信息采集點的數據處理匯總及分析，可以為決策者們提供事實數據的有力支持，因此，決策分析系統將基板品質分析作為主要分析主題是非常必要的。基板分析主題主要以基板的合格數量、出錯數量來計算基板品質的合格率等，并將其作為基板品質的度量信息。

有如下分析需求：

(1)某段時間內，某種基板類型的合格率。

欲得到查詢結果，需要連接版型維度表、時間維度表以及版型分析事實表三張表。

(2)某段時間內，某個生產線上工作生產的基板合格率。

欲得到查詢結果，需要連接生產線維表、時間維度表以及生產線分析事實表三張表。

(3)某段時間內，某個采集點上的基板合格率。

欲得到查詢結果，需要連接采集點維度表、時間維度表以及基板類型分析事實表三張表。

(4)某段時間內，生產線上工作生產的某種版型的基板合格率。

欲得到查詢結果，需要連接版型維度表、時間維度表、生產線維表、生產線分析事實表四張表。

(5)某段時間內，生產線上工作生產的某種版型的基板合格率。

欲得到查詢結果，需要連接版型維度表、時間維度表、采集點維度表、版型分析事實表四張表。

(6)某段時間內，產生某種故障現象的基板數量。

欲得到查詢結果，需要連接故障現象維表、時間維度表、版型故障現象分析事實表三張表。

(7)某段時間內，產生某種故障類型的基板數量。

欲得到查詢結果，需要連接故障現象維表、時間維度表、版型故障現象分析事實表三張表。

(8)某段時間內，某采集點上，因何種故障原因所致的故障數量。

欲得到查詢結果，需要連接采集點維度表、故障現象維表、時間維度表、版型故障現象分析事實表四張表[5]。

從以上查詢內容可見，企業用戶所關注的查詢大多需要連接3張或以上的維表與事實表。

2.2 電視機質量分析

電視機質量分析主題中，是對主板生產之后一直到電視機成品下線整個生產環節中產品的質量控制數據進行多維分析。包括故障數量、產品直通率等，最終以分析數據說明質量控制情況[6]。該主題分析與基板品質主題分析一樣，按時間粒度(日，月，季，年)進行多角度的切片、切塊、鉆取分析。具體分析需求不再贅述。

2.3 OLAP系統的安全需求

該OLAP系統中的數據是從數據倉庫的海量歷史數據中提取出的具有針對性的決策型數據，以構建OLAP多維分析模型。因此，數據加密是為了防止非法用戶進入OLAP系統后，盜取重要的企業決策數據。由于數據在數據倉庫中的結構、數據類型等在數據進行加/解密過程中都不能有所改變，一旦進行加/解密過程，都將占用一定的機器資源，從而對OLAP系統分析效率造成一定的影響。因此，需要選擇既能保證數據安全性，又對OLAP系統性能影響最小的數據加密安全方案[7]。選擇的加解密方法必須滿足如下要求：

(1)安全性：安全機制須能防止非法訪問數據操作，預防惡意推理。

(2)適用性：安全機制應適用于本生產線質量控制決策分析系統，并能在不需要重大修改的情況下應用在多種環境中。

(3)有效性：安全機制須滿足OLAP系統的在線處理和實時響應的性能要求。該系統中，要求加入安全控制后，系統響應時間不能超過加入安全控制前原響應時間的一半。

(4)可用性：安全機制對于合法用戶來說，數據必須是可訪問的，只在某些情況下才設置合理的訪問約束。

(5)實用性：安全機制不應要求對現存的OLAP系統結構做重大修改，而應能夠利用現存的查詢處理機制和安全機制[8]。

3 OLAP系統的分區加密

由于“生產線質量控制決策分析系統”是一個實際運用的OLAP系統，實施的安全加密方案需滿足OLAP的可用性與快速決策性等需求，這就決定了所采用的加密算法必須具有安全、加密/解密速度快等特點，并且要在數據存儲、實現平臺方面具有較強的可塑性。通過實驗對比分析后，采用SHA-1和AES算法進行分區加密。

3.1 分區加密的設計

在該OLAP系統中，分為系統用戶管理與OLAP查詢分析兩大模塊。用戶管理模塊主要是對USER表中數據進行管理，該模塊用于管理用戶名和密碼、角色的分配、權限的控制等。OLAP查詢分析模塊是對基板品質、電視機質量分析主題進行數據分析與處理。采用兩種不同的加密算法對用戶管理模塊與OLAP查詢分析模塊所涉及數據進行分區加密。

系統用戶管理模塊中，采用SHA-1加密算法對用戶密碼進行加密。由于登錄密碼需要在增加用戶時便存入加密后的密文密碼，而且在系統管理級別的超級管理員用戶對USER維表中Password審查過程中，SHA-1所具有的對同一數據加密后密文相同的特點，當出現兩者以上用戶密文相同的情況時，系統管理級別用戶便可提醒密碼設置重復的用戶更換更為復雜的登錄密碼以保證密碼安全。

OLAP查詢分析模塊對加密算法的加解密速率有較高要求。AES算法由于其加密實現快、加解密效率高的特點[9]，用來加密決策分析查詢的各維表與事實表中重要數據。首先對參與決策查詢分析的各維表與事實表中數據用AES加密后重新導入維表/事實表中，當提交查詢申請后，系統程序調用AES解密算法，對所有表內數據進行解密，然后恢復維表與事實表間連接，從而進行查詢分析，并將結果以直觀的方式顯示。

3.2 分區加密的實現

(1)SHA-1算法加密用戶登錄密碼。

采用SHA-1算法對該OLAP系統中用戶表(USER)的用戶密碼進行加密。超級管理員在添加用戶時，可為該用戶設置原始密碼，用戶可自行進行密碼修改。加密系統對用戶修改后的密碼實施加密，以密文形式直接存入用戶表Password列中，系統管理員級別用戶(即超級管理員)也無法破解用戶的密文密碼。由于SHA-1算法是單一加密，即相同的加密內容能得到相同的密文字符串。當用戶設置密碼后，提交進行存儲時，對顯示相同密文字符串的用戶，可提醒更改為更復雜的密碼[10]。

(2)AES算法加密維表與事實表數據。

該OLAP系統有兩個分析主題，分別是“基板品質”和“電視機質量”，兩個分析主題都采用星座模型進行數據的組織與存儲。“基板品質”主題的OLAP模型如圖1所示。

圖1 基板品質主題分析模型

如圖所示，基板品質分析模型中有5個維表與3個事實表，其中事實表之間共享維表，組成了星座模型[11]。電視機質量分析模型與此相同。對于數據倉庫中存儲的這8張表的數據，采用AES加密算法進行加密存儲。當要進行OLAP查詢分析時，解密系統對多維表數據全部解密后再進行連接查詢。可見查詢數據時需要對全部多維數據進行解密后，再由表間主鍵連接多維表進行查詢操作。系統查詢響應時間花銷主要由查詢請求提交時間、數據解密時間、數據連接查詢時間、數據反饋時間構成，由于請求提交時間與數據反饋時間是一定的，時間花銷的差距可以視為數據解密時間與查詢時間的總和差。由于查詢需求并非對每個維表與事實表數據都要求參與分析運算，對全部數據整體進行解密的環節可能造成時間開銷的浪費，不滿足查詢條件的數據所消耗的解密時間應該是可以被節約的。由此提出如下的結構化加密方法進行改進。

4 OLAP系統的結構化加密

結構化加密方法僅對OLAP系統中部分維表數據以及事實表中重要的敏感數據進行AES加密，而用于連接維表與事實表間的主鍵不予加密。因此，即使在多維表中數據以密文顯示的情況下，也能實現表間的連接。采用結構化加密后，可以通過查詢得到視圖，對視圖內涉及的數據進行解密，解密數據范圍比分區加密方法大大減少，進而加快了查詢響應時間。當用戶提交查詢請求時，系統只需要調用參與查詢的多維表，通過表間聯系，將參與查詢的數據進行解密，最后將查詢結果反饋用戶。這樣可以節約系統對所有維表與事實表數據解密后再進行連接查詢而產生不必要的時間開銷。

當用戶提交查詢分析請求時，系統通過表間主鍵連接，將符合查詢請求的數據查找出后形成物化視圖，解密程序調用AES解密算法只對視圖涉及部分的數據進行解密，并將分析結果反饋用戶。

圖2是沒有進行數據加密和進行結構化加密以及分析加密后OLAP系統查詢分析響應時間的比較。

圖2 加密前系統查詢與采用加密

從圖中可以看出，結構化加密作為改進加密方案，節省了系統用于解密后連接數據再進行查詢分析的時間花銷，采用結構化加密在實現了安全性的同時，降低了對系統查詢性能的影響[7]。

5 結束語

文中研究的“生產線質量控制決策分析系統”是一個OLAP系統，對該OLAP系統中存儲的數據，采用不同的加/解密算法對不同的數據進行分區加/解密，如對用戶信息采用SHA-1算法進行加/解密，對多維數據采用AES算法進行加/解密。而對多維數據進行加密時，采用了結構化加密的思想，只對OLAP系統中部分維表數據以及事實表中重要的敏感數據進行加密，用于連接維表與事實表間的主鍵不予加密，從而保證了進行OLAP分析時，數據加/解密時間開銷不會影響OLAP系統的查詢分析性能。通過實踐證明，這種混合的加/解密方案，既保證了OLAP系統中數據的安全性，又不影響OLAP系統的查詢分析性能。該研究方案在同類系統中有一定的推廣應用價值。

[1] 陳京民.數據倉庫與數據挖掘技術[M].北京：電子工業出版社，2003:12-14.

[2] 李雄飛，杜欽生.數據倉庫與數據挖掘[M].北京：機械工業出版社，2013:18-19.

[3] 王麗珍，周麗華.數據倉庫與數據挖掘原理及應用[M].北京：科學出版社，2005.

[4] 于醒兵.數據庫結構加密理論與技術[D].秦皇島:燕山大學，2006.

[5] 李 華.OLAP技術在生產線質量控制決策系統中的應用[D].貴州:貴州大學，2012.

[6] 武 彤，程 輝.基于決策樹算法的電視機故障維修模型設計[J].計算機技術與發展，2014,24(5):150-152.

[7] 漆 媛,武 彤.基于生產線質量控制系統的OLAP安全性研究[J].計算機技術與發展，2014,24(9):179-182.

[8] 湯姆森.OLAP解決方案-創建多維信息系統[M].朱建秋,譯.第2版.北京:電子工業出版社,2004:8-10.

[9] NIST.Adwanced Encryption Standard (AES)[M].[s.l.]:Federal Information Processing Standards Publication,2001.

[10] JavaScript實現SHA-1加密算法的方法[EB/OL].2014.http://www.jb51.net/article/62035.htm

[11] 武 彤.電視機生產線質量控制決策系統OLAP模型設計[J].微計算機信息，2012(11):283-284.

Implementation of Data Security of OLAP System Combined Partition Encryption with Structured Encryption

WU Tong,QI Yuan

(College of Computer Science & Technology,Guizhou University, Guiyang 550025,China)

With the popularization of data warehouse,OLAP and data mining technology,decision support system based on data warehouse has been widely used in enterprise,and the data involved in enterprise decision support system is important for enterprise decision-making.The loss or disclosure of these data will directly affect the survival and development of enterprises.To ensure the security of the enterprise decision-making system OLAP in order to protect data security has its important significance.Therefore,the data security of OLAP system has become a research hotspot in data security field.The security requirements of the system is analyzed based on a "quality control decision analysis system of production line".According to the multi-dimensional data of the OLAP system on the platform,combined with the characteristics of partition encryption and structured encryption,the combination of them is used to achieve the OLAP system data encryption.The practice shows that this hybrid encryption strategy can not only guarantee the security of data,but also does not affect the performance of OLAP system.The research program has a certain value in the same kind of system.

data warehouse;OLAP;data encryption;partition encryption;structured encryption

2015-11-17

2016-02-25

時間：2017-01-04

貴州省科技計劃工業攻關項目(黔科合GY字[2010]3061)

武 彤(1964-)，女，碩士，教授，CCF會員，研究方向為數據倉庫；漆 媛(1989-)，女，碩士研究生，研究方向為數據庫技術。

http://www.cnki.net/kcms/detail/61.1450.TP.20170104.1023.028.html

TP309.2

A

1673-629X(2017)01-0089-04

10.3969/j.issn.1673-629X.2017.01.020