CN118153081A - 一种数据加密管理系统及数据加密方法 - Google Patents

Abstract

本发明公开了一种数据加密管理系统及数据加密方法，包括：若干台应用服务器，用于接收用户传输的待加密的数据以及系统返回的解密后的数据；访问控制层，用于对传输至访问控制层的数据进行安全策略校验；加解密网关，所述加解密网关采用预设的算法对通过安全策略校验的数据进行加密或解密操作；数据库，用于存储加密后的数据；加解密插件模块，用于对进入数据库的数据执行函数级的加解密操作，包括用户自定义函数UDF，实现加密和解密功能；密钥管理模块，密钥管理模块与加解密网关和UDF插件采取独立并行配置，用于生成、分发、管理及保存加解密密钥。本发明能够根据数据的敏感度综合评分动态调整加密算法和密钥，满足不同数据的安全需求。

Description

一种数据加密管理系统及数据加密方法

技术领域

本发明涉及信息安全技术领域，特别涉及一种数据加密管理系统及数据加密方法。

背景技术

随着信息技术的飞速发展，数据已经成为现代社会不可或缺的宝贵资源，无论是企业运营、政府管理，还是个人生活，都离不开大量数据的产生、交换和利用。然而，数据价值的提升也伴随着安全风险的加剧，数据泄露、篡改、滥用等安全事件频发，对个人隐私、商业利益乃至社会稳定构成严重威胁。在此背景下，数据加密作为保障数据安全的核心手段，其技术进步与系统优化至关重要。

申请号为201710127008 .8的专利公开了一种通用数据库透明加密系统，该系统对已有的数据表进行加密改造：记加密字段P1所在表为T1，首先，基于加密字段P1建立密文索引字段I1；然后，基于保序哈希函数将待加密字段内容映射到哈希值，并将其作为索引值插入I1字段。系统包括SQL网关模块和加密插件模块，SQL网关模块用于接收并重写客户端发起的SQL语句，然后发送到数据库服务器，并将数据库服务器返回的结果转发到客户端；加密插件模块位于数据库内，主要包括一系列用户自定义函数UDF，根据重写后的SQL语句，实现加密、解密以及密文索引功能。该系统忽视了不同类型数据（如敏感数据与非敏感数据、静态数据与动态数据）的安全需求差异，未能实现对数据精准、高效地加密。

在包括上述专利的现有技术中，现有数据加密技术尽管在一定程度上提供了数据保护，但仍存在两方面的局限。第一，传统加密系统通常采用固定或单一的加密算法和密钥管理策略，无法根据数据的实际敏感度动态调整加密强度，可能导致敏感数据保护不足或非敏感数据过度加密，造成资源浪费和安全防护效率低下。第二，现有加密方法往往忽视对数据内在敏感性的深入分析，仅依据数据类型或用户指定的标签进行粗略分类，难以准确识别数据中隐藏的敏感信息，使得加密策略不够精确，无法针对性地实施有效的加密保护。

发明内容

有鉴于此，本发明提供了一种数据加密管理系统及数据加密方法，本发明将密钥管理和数据加解密过程分离，并且加解密网关中的数据分析单元能够对数据的敏感度进行评分，从而对不同敏感度的数据采取不同的加密处理方式，确保既能满足不同级别数据的安全需求，又能合理分配系统资源，优化性能，增强数据在静态存储状态下抵御非法访问的安全保护。

本发明解决其技术问题所采用的技术方案是：提供一种数据加密管理系统，其特征在于，包括：

若干台应用服务器，用于接收用户传输的待加密的数据以及系统返回的解密后的数据；

访问控制层，与所述应用服务器连接，用于对传输至访问控制层的数据进行安全策略校验，包括但不限于检查数据格式、类型、长度和数值范围；

加解密网关，与所述访问控制层连接，所述加解密网关采用预设的算法对通过安全策略校验的数据进行加密或解密操作；

数据库，与所述加解密网关连接，用于存储加密后的数据；

加解密插件模块，所述加解密插件模块配置在数据库内部，用于对进入数据库的数据执行函数级的加解密操作，包括用户自定义函数UDF，实现加密和解密功能；

所述用户自定义函数UDF包括：

ENC( )、数据加密函数，接收待加密数据、密钥、敏感度综合评分及加密模式参数，根据敏感度综合评分值动态调整加密算法和/或加密密钥对数据进行加密；

DEC( )、数据解密函数，接收加密数据、密钥及与加密时相同的模式参数，使用对应的解密算法恢复原始数据；

密钥管理模块，与所述加解密网关和UDF插件分别进行连接，密钥管理模块与加解密网关和UDF插件采取独立并行配置，用于生成、分发、管理及保存加解密密钥。

进一步地，所述加解密网关包括：

数据分析单元，用于对数据的敏感度进行分析并评分；

加解密处理单元，与数据分析单元和密钥管理模块分别进行连接，用于下发密钥生成指令并接收密钥，利用所述密钥对数据内容执行加密或解密操作；

数据转发单元，与加解密处理单元进行连接，完成处理后的数据发送至应用服务器或数据库。

进一步地，所述数据分析单元包括：

特征提取子单元，用于对所述待识别数据进行特征提取，得到至少一个特征信息；所述特征信息包括但不限于数据内容、数据类型、数据来源、数据关联性、数据更新频率、数据生命周期、数据使用场景中的至少一项；

权重分配子单元，用于为每个特征信息赋予一个权重值；

评分计算子单元，用于根据所赋予的权重值，对每个特征信息进行评分计算，得到各特征信息的特征值；

综合评分子单元，用于将所有特征信息的特征值按照各自权重加权求和，得到所述待识别数据的综合评分；

敏感度判定子单元，用于根据所述综合评分，判定所述待识别数据为敏感数据或非敏感数据。

进一步地，所述密钥管理模块包括密钥生成单元、密钥分发单元和密钥管理单元；所述密钥生成单元，与所述加解密网关的加解密处理单元和加解密插件模块分别进行连接，用于接收密钥生成指令并根据密钥生成策略创建至少一个加密或解密密钥；所述密钥分发单元与密钥生成单元连接，用于将由密钥生成单元产生的密钥按照预定的规则和时间点分发给需要进行数据加密或解密操作的加解密网关或加解密插件模块；所述密钥管理单元与密钥分发单元连接，负责对密钥的整个生命周期进行管理，包括密钥的启用、暂停使用、替换、备份和销毁。

进一步地，所述密钥生成单元包括：

密钥策略配置子单元，预先存储有不同数据复杂度等级与密钥复杂度之间的映射关系表，所述映射关系表规定了从低复杂度数据至高复杂度数据对应的不同密钥生成策略，包括但不限于密钥长度、加密算法类型、密钥使用周期及更新频率；

密钥生成引擎子单元，根据接收到的数据分析结果，在映射关系表中检索对应密钥生成策略，并据此生成相应的密钥。

一种数据加密方法，应用于上述方案所述的数据加密管理系统，包括以下步骤：

S1、通过若干台应用服务器接收来自用户的待加密数据，并将系统解密后的数据返回给用户；

S2、将待加密数据传输至访问控制层，该访问控制层与应用服务器相连，依据预设的安全策略对数据进行校验，校验内容包括但不限于数据格式、类型、长度和数值范围；

S3、将通过安全策略校验的数据送至加解密网关，所述加解密网关通过数据分析单元对待加密数据进行特征提取，对待加密数据的敏感度进行综合评分；通过加解密处理单元将待加密数据的敏感度综合评分送至密钥管理模块的密钥生成单元生成相应的密钥，加解密处理单元在接收到密钥后使用预设加密算法对接收到的数据执行加密或解密操作；通过数据转发单元将加密后的数据转发至与加解密网关相连接的数据库内；

S4、对于非敏感数据，经网关加密后转入数据库直接进行存储；对于敏感数据，经网关加密后需要由数据库内置的加解密插件模块再次进行加密；通过加解密插件模块将数据的敏感度综合评分和数据特征信息传送至密钥管理模块的密钥生成单元生成相应的密钥，加解密插件模块以相应的加解密函数对进出数据库数据执行加解密操作；其中，ENC( )函数接收待加密数据、密钥、敏感度综合评分及加密模式参数，采用指定加密算法对数据进行加密处理，支持初始化向量IV的提供或自动生成；DEC( )函数接收加密后的数据、密钥及与加密时匹配的模式参数，利用相应的解密算法还原原始数据。

进一步地，所述步骤S3的数据分析单元执行以下步骤：

F1、通过特征提取子单元对所述待识别数据进行特征提取，得到至少一个特征信息，所述特征信息包括但不限于数据内容、数据类型、数据来源、数据关联性、数据更新频率、数据生命周期、数据使用场景中的至少一项；

F2、通过权重分配子单元为每个特征信息赋予一个权重值，所述权重值根据特征信息在确定数据敏感度中的重要程度预先设定；

F3、评分计算子单元根据所赋予的权重值，对每个特征信息进行评分计算，得到各特征信息的特征值；

F4、综合评分子单元将所有特征信息的特征值按照各自权重加权求和，得到所述待识别数据的敏感度综合评分x，所述敏感度综合评分的值为0＜x≤1；

F5、若所述敏感度综合评分x大于或等于预设阈值y，则判定所述待识别数据为敏感数据；否则，判定所述待识别数据为非敏感数据；所述预设阈值y的值为0＜y≤1，预设阈值y的值可以根据用户的需求自主设定。

进一步地，所述步骤F1包括：

对文本数据进行关键词提取、主题分析或情感分析，以确定数据内容的敏感性；对图像或视频数据进行视觉内容识别、人脸识别、物体检测或行为分析，以确定视觉内容的敏感性；对结构化数据进行数值范围判断、数据格式检查或关联关系分析，以确定数据属性的敏感性。

进一步地，所述步骤F3包括：

对于离散型特征信息，采用预设敏感度等级与评分映射表进行评分；对于连续型特征信息，采用Sigmoid函数对原始值进行转换，得到评分值。

进一步地，所述密钥管理模块内的密钥生成单元执行以下步骤：

H1、根据获取到的数据敏感度评分，密钥生成引擎子单元在映射关系表中找到与该评分对应的敏感度等级，从而确定适用的密钥生成策略；所述映射关系表规定了不同敏感度综合评分下的密钥生成策略，所述密钥生成策略包括密钥长度、加密算法类型、密钥使用周期以及更新频率；

H2、基于选定的密钥生成策略，密钥生成引擎子单元执行相应的密钥生成算法，创建与数据敏感度匹配的加密或解密密钥。

与现有技术相比，本发明的有益效果是：

（1）本发明的数据加密管理系统引入数据分析单元，通过对数据进行多维度特征提取和敏感度评分，实现了数据敏感度的精准识别。根据数据的敏感度综合评分，系统能动态调整加密算法和密钥，确保敏感数据采用更高级别的加密保护，而非敏感数据则采用适当强度的加密措施，既满足了不同数据的安全需求，又避免了过度加密导致的资源浪费，实现了加密策略的精细化与高效化。

（2）本发明数据加密管理系统的密钥生成单元预先存储的映射关系表以及用户可自主设定的敏感度阈值，使得系统能够灵活应对不同业务场景和用户需求，动态调整加密策略和密钥管理规则。离散型特征信息和连续型特征信息采用不同的评分方法，确保评分体系既能覆盖广泛的特征类型，又能精确反映各类特征的敏感性差异。

（3）对于敏感数据，系统不仅在加解密网关处进行加密，还通过数据库内置的加解密插件模块进行二次加密，形成了层次化的加密防护机制。这一设计增强了对敏感数据保护的深度和广度，有效抵御潜在的数据泄露风险，提高了整体数据安全保障水平。

（4）本发明数据加密管理系统的密钥管理模块采用独立并行配置，实现密钥的生成、分发、管理和保存。根据数据敏感度评分确定密钥生成策略，确保密钥的复杂度与数据敏感度相匹配，增强了数据加密的有效性。密钥的全生命周期管理，包括启用、暂停、替换、备份和销毁，确保了密钥的安全使用和及时更新，降低了密钥泄露或过期的风险。这种智能密钥管理体系显著提升了数据加密系统的安全性与可靠性。

（5）本发明能够使用户通过统一的应用服务器接口提交待加密数据和接收解密数据，简化了数据加密操作流程，提高了系统的易用性。同时，数据库内部集成加解密插件模块，确保数据在进出数据库时自动进行加解密处理，无需用户在应用程序中额外编写复杂的加密逻辑，降低了开发成本，提高了系统的集成性和扩展性。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图；

图1为本发明数据加密管理系统所具有的模块结构示意图；

图2为本发明数据加密管理系统加解密网关的结构示意图；

图3为本发明数据加密管理系统加解密网关数据分析单元的结构示意图；

图4为本发明数据加密管理系统密钥管理模块的结构示意图；

图5为本发明数据加密方法的数据加密流程图；

图6为本发明数据加密方法数据分析单元的流程结构示意图；

图7为本发明数据加密管理系统密钥管理模块不同数据复杂度等级与密钥复杂度之间的映射关系表的一个示例图；

图8为本发明数据加密管理系统的架构图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例1：

如图1所示，本发明提供了一种数据加密管理系统，旨在实现数据的安全存储和传输，确保敏感信息在整个生命周期中的机密性和完整性，包括：

若干台应用服务器，用于接收用户传输的待加密的数据以及系统返回的解密后的数据；这些服务器作为系统的前端接口，与用户端应用程序进行交互，确保数据的正常收发。

访问控制层，与应用服务器紧密集成，对从应用服务器接收到的待加密数据进行安全策略校验。校验内容包括但不限于数据的格式、类型、长度和数值范围，确保数据符合系统规定的标准和规范，防止非法或异常数据流入后续处理环节。

加解密网关，与所述访问控制层连接，所述加解密网关采用预设的算法对通过安全策略校验的数据进行加密或解密操作；

数据库，与所述加解密网关连接，用于存储加密后的数据；

加解密插件模块，所述加解密插件模块配置在数据库内部，用于对进入数据库的数据执行函数级的加解密操作，包括用户自定义函数UDF，实现加密和解密功能；

所述用户自定义函数UDF包括：

ENC( )、数据加密函数，接收待加密数据、密钥、敏感度综合评分及加密模式参数，根据敏感度综合评分值动态调整加密算法和/或加密密钥对数据进行加密；

DEC( )、数据解密函数，接收加密数据、密钥及与加密时相同的模式参数，使用对应的解密算法恢复原始数据；

密钥管理模块，与所述加解密网关和UDF插件分别进行连接，密钥管理模块与加解密网关和UDF插件采取独立并行配置，用于生成、分发、管理及保存加解密密钥。

所述加解密网关包括：

如图2和图3所示，数据分析单元，用于对数据的敏感度进行分析并评分；所述数据分析单元包括：特征提取子单元，用于对所述待识别数据进行特征提取，得到至少一个特征信息；所述特征信息包括但不限于数据内容、数据类型、数据来源、数据关联性、数据更新频率、数据生命周期、数据使用场景中的至少一项；权重分配子单元，用于为每个特征信息赋予一个权重值；评分计算子单元，用于根据所赋予的权重值，对每个特征信息进行评分计算，得到各特征信息的评分值；综合评分子单元，用于将所有特征信息的评分值按照各自权重加权求和，得到所述待识别数据的综合评分；敏感度判定子单元，用于根据所述综合评分，判定所述待识别数据为敏感数据或非敏感数据。

加解密处理单元，根据数据分析单元提供的敏感度综合评分，向密钥管理模块发出密钥生成指令，并接收生成的密钥。利用这些密钥，加解密处理单元对数据内容执行相应的加密或解密操作。

数据转发单元，与加解密处理单元进行连接，完成处理后的数据发送至应用服务器或数据库。

如图4所示，所述密钥管理模块包括密钥生成单元、密钥分发单元和密钥管理单元；所述密钥生成单元，与所述加解密网关的加解密处理单元和加解密插件模块分别进行连接，用于接收密钥生成指令并根据密钥生成策略创建至少一个加密或解密密钥；所述密钥分发单元与密钥生成单元连接，用于将由密钥生成单元产生的密钥按照预定的规则和时间点分发给需要进行数据加密或解密操作的加解密网关或加解密插件模块；所述密钥管理单元与密钥分发单元连接，负责对密钥的整个生命周期进行管理，包括密钥的启用、暂停使用、替换、备份和销毁。

所述密钥生成单元包括：

密钥策略配置子单元，预先存储有不同数据复杂度等级与密钥复杂度之间的映射关系表，所述映射关系表规定了从低复杂度数据至高复杂度数据对应的不同密钥生成策略，包括但不限于密钥长度、加密算法类型、密钥使用周期及更新频率；

密钥生成引擎子单元，根据接收到的数据分析结果，在映射关系表中检索对应密钥生成策略，并据此生成相应的密钥。

通过上述实施例，本发明的数据加密管理系统实现了对不同类型敏感数据的精细化安全管理，确保数据在传输、存储和使用过程中始终受到有效保护，同时通过对密钥的严格管理和灵活策略配置，增强了系统的整体安全性和适应性。

实施例2：

如图5所示，一种数据加密方法，应用于实施例1所述的数据加密管理系统，包括以下步骤：

S1、通过若干台应用服务器接收来自用户的待加密数据，并将系统解密后的数据返回给用户；

S2、将待加密数据传输至访问控制层，该访问控制层与应用服务器相连，依据预设的安全策略对数据进行校验，校验内容包括但不限于数据格式、类型、长度和数值范围；

S3、将通过安全策略校验的数据送至加解密网关，所述加解密网关通过数据分析单元对待加密数据进行特征提取，对待加密数据的敏感度进行综合评分；通过加解密处理单元将待加密数据的敏感度综合评分送至密钥管理模块的密钥生成单元生成相应的密钥，加解密处理单元在接收到密钥后使用预设加密算法对接收到的数据执行加密或解密操作；通过数据转发单元将加密后的数据转发至与加解密网关相连接的数据库内；

S4、对于非敏感数据，经网关加密后转入数据库直接进行存储；对于敏感数据，经网关加密后需要由数据库内置的加解密插件模块再次进行加密；通过加解密插件模块将数据的敏感度综合评分和数据特征信息传送至密钥管理模块的密钥生成单元生成相应的密钥，加解密插件模块以相应的加解密函数对进出数据库数据执行加解密操作；其中，ENC( )函数接收待加密数据、密钥、敏感度综合评分及加密模式参数，采用指定加密算法对数据进行加密处理，支持初始化向量IV的提供或自动生成；DEC( )函数接收加密后的数据、密钥及与加密时匹配的模式参数，利用相应的解密算法还原原始数据。

所述步骤S3的数据分析单元执行以下步骤：

F1、通过特征提取子单元对所述待识别数据进行特征提取，得到至少一个特征信息，所述特征信息包括但不限于数据内容、数据类型、数据来源、数据关联性、数据更新频率、数据生命周期、数据使用场景中的至少一项；

F2、通过权重分配子单元为每个特征信息赋予一个权重值，所述权重值根据特征信息在确定数据敏感度中的重要程度预先设定；

F3、评分计算子单元根据所赋予的权重值，对每个特征信息进行评分计算，得到各特征信息的特征值；

F4、综合评分子单元将所有特征信息的特征值按照各自权重加权求和，得到所述待识别数据的敏感度综合评分x，所述敏感度综合评分的值为0＜x≤1；

F5、若所述敏感度综合评分x大于或等于预设阈值y，则判定所述待识别数据为敏感数据；否则，判定所述待识别数据为非敏感数据；所述预设阈值y的值为0＜y≤1，预设阈值y的值可以根据用户的需求自主设定。

针对不同类型的数据，步骤F1中数据分析单元的特征提取子单元采用特定的方法进行深入分析，以准确评估其敏感性。

对于文本数据，运用关键词提取技术识别关键信息，结合主题分析揭示数据主题内容，通过情感分析判断数据中蕴含的情感倾向。这些分析结果共同构成文本数据的特征信息，用于评估其内容的敏感性。

对于图像或视频数据，运用视觉内容识别技术识别图像中的对象和场景，通过人脸识别技术确定涉及的个体身份，利用物体检测技术定位特定物品，结合行为分析理解视频中人物的行为举止。这些分析结果共同描绘出图像或视频数据的敏感特征。

对于结构化数据，对数值范围进行判断，确保数据值在合理区间内；进行数据格式检查，确保数据遵循预设的格式规范；进行关联关系分析，识别数据间的逻辑联系及其可能引发的信息泄露风险。这些分析有助于评估结构化数据属性的敏感性。

针对不同类型的特征信息，步骤F2的评分计算子单元采用适宜的评分方法。

离散型特征信息：采用预设的敏感度等级与评分映射表进行评分。映射表中已预先定义好各类离散特征（如数据类型、来源、使用场景等）与不同敏感度等级的对应关系，评分计算子单元只需查询映射表即可快速得出特征的评分。

连续型特征信息：使用Sigmoid函数对原始值进行非线性转换，将连续数值映射到[0, 1]区间内，得到反映该特征敏感度的评分值。Sigmoid函数具有良好的单调性和饱和特性，适用于对连续数据进行归一化评分。

所述密钥管理模块内的密钥生成单元执行以下步骤：

H1、根据获取到的数据敏感度评分，密钥生成引擎子单元在映射关系表中找到与该评分对应的敏感度等级，从而确定适用的密钥生成策略；如图6示例所示，所述映射关系表规定了不同敏感度综合评分下的密钥生成策略，所述密钥生成策略包括密钥长度、加密算法类型、密钥使用周期以及更新频率；

H2、基于选定的密钥生成策略，密钥生成引擎子单元执行相应的密钥生成算法，创建与数据敏感度匹配的加密或解密密钥。

密钥生成策略的确定：当密钥生成单元接收到数据敏感度综合评分后，会在预存的映射关系表中查找与该评分对应的敏感度等级。映射表规定了从低复杂度数据到高复杂度数据对应的不同密钥生成策略，包括密钥长度、加密算法类型、密钥使用周期以及更新频率。找到与数据敏感度等级匹配的策略后，确定适用于当前数据的密钥生成规则。

密钥生成：基于选定的密钥生成策略，密钥生成引擎子单元执行相应的密钥生成算法。例如，根据策略指定的密钥长度和加密算法类型，使用RSA、AES、DES等加密算法的密钥生成算法生成密钥。同时，遵循策略中关于密钥使用周期和更新频率的规定，确保生成的密钥具有适当的时效性和更新规律，以适应数据敏感度变化带来的安全需求。

密钥分发：密钥生成单元产生的密钥由密钥分发单元按照预定的规则和时间点分发给需要进行数据加密或解密操作的加解密网关或加解密插件模块。分发过程中采用安全通道传输、数字签名验证等方式保证密钥在传输过程中的保密性和完整性。

密钥管理：密钥管理单元对密钥的整个生命周期进行管理，包括密钥的启用、暂停使用、替换、备份和销毁。当密钥达到使用期限、发生安全事件或根据策略需要更新时，密钥管理单元会触发相应的密钥替换流程。此外，定期进行密钥备份以防范意外丢失，并在密钥不再需要或出现安全隐患时执行严格的销毁操作，确保密钥生命周期各阶段的安全管控。

综上所述，本实施例提供了一种数据加密方法，实现了数据的自动敏感度分析、动态密钥生成、多层次加密以及密钥全生命周期管理，有效提高了数据的安全防护能力，能够适应不同场景下的数据保护需求。

显然，上述实施例仅仅是为清楚地说明所作的举例，而并非对实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其他不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。而由此所引申出的显而易见的变化或变动仍处于本发明创造的保护范围之中。

Claims (10)

1.一种数据加密管理系统，其特征在于，包括：

若干台应用服务器，用于接收用户传输的待加密的数据以及系统返回的解密后的数据；

访问控制层，与所述应用服务器连接，用于对传输至访问控制层的数据进行安全策略校验，包括但不限于检查数据格式、类型、长度和数值范围；

加解密网关，与所述访问控制层连接，所述加解密网关采用预设的算法对通过安全策略校验的数据进行加密或解密操作；

数据库，与所述加解密网关连接，用于存储加密后的数据；

加解密插件模块，所述加解密插件模块配置在数据库内部，用于对进入数据库的数据执行函数级的加解密操作，包括用户自定义函数UDF，实现加密和解密功能；

所述用户自定义函数UDF包括：

ENC( )、数据加密函数，接收待加密数据、密钥、敏感度综合评分及加密模式参数，根据敏感度综合评分值动态调整加密算法和/或加密密钥对数据进行加密；

DEC( )、数据解密函数，接收加密数据、密钥及与加密时相同的模式参数，使用对应的解密算法恢复原始数据；

密钥管理模块，与所述加解密网关和UDF插件分别进行连接，密钥管理模块与加解密网关和UDF插件采取独立并行配置，用于生成、分发、管理及保存加解密密钥。

2.根据权利要求1所述的数据加密管理系统，其特征在于，所述加解密网关包括：

数据分析单元，用于对数据的敏感度进行分析并评分；

加解密处理单元，与数据分析单元和密钥管理模块分别进行连接，用于下发密钥生成指令并接收密钥，利用所述密钥对数据内容执行加密或解密操作；

数据转发单元，与加解密处理单元进行连接，完成处理后的数据发送至应用服务器或数据库。

3.根据权利要求2所述的数据加密管理系统，其特征在于，所述数据分析单元包括：

特征提取子单元，用于对所述待识别数据进行特征提取，得到至少一个特征信息；所述特征信息包括但不限于数据内容、数据类型、数据来源、数据关联性、数据更新频率、数据生命周期、数据使用场景中的至少一项；

权重分配子单元，用于为每个特征信息赋予一个权重值；

评分计算子单元，用于根据所赋予的权重值，对每个特征信息进行评分计算，得到各特征信息的特征值；

综合评分子单元，用于将所有特征信息的特征值按照各自权重加权求和，得到所述待识别数据的综合评分；

敏感度判定子单元，用于根据所述综合评分，判定所述待识别数据为敏感数据或非敏感数据。

4.根据权利要求1所述的数据加密管理系统，其特征在于：所述密钥管理模块包括密钥生成单元、密钥分发单元和密钥管理单元；所述密钥生成单元，与所述加解密网关的加解密处理单元和加解密插件模块分别进行连接，用于接收密钥生成指令并根据密钥生成策略创建至少一个加密或解密密钥；所述密钥分发单元与密钥生成单元连接，用于将由密钥生成单元产生的密钥按照预定的规则和时间点分发给需要进行数据加密或解密操作的加解密网关或加解密插件模块；所述密钥管理单元与密钥分发单元连接，负责对密钥的整个生命周期进行管理，包括密钥的启用、暂停使用、替换、备份和销毁。

5.根据权利要求4所述的数据加密管理系统，其特征在于，所述密钥生成单元包括：

密钥策略配置子单元，预先存储有不同数据复杂度等级与密钥复杂度之间的映射关系表，所述映射关系表规定了从低复杂度数据至高复杂度数据对应的不同密钥生成策略，包括但不限于密钥长度、加密算法类型、密钥使用周期及更新频率；

密钥生成引擎子单元，根据接收到的数据分析结果，在映射关系表中检索对应密钥生成策略，并据此生成相应的密钥。

6.一种数据加密方法，应用于上述权利要求1-5任一项所述的数据加密管理系统，其特征在于，包括以下步骤：

S1、通过若干台应用服务器接收来自用户的待加密数据，并将系统解密后的数据返回给用户；

S2、将待加密数据传输至访问控制层，该访问控制层与应用服务器相连，依据预设的安全策略对数据进行校验，校验内容包括但不限于数据格式、类型、长度和数值范围；

S3、将通过安全策略校验的数据送至加解密网关，所述加解密网关通过数据分析单元对待加密数据进行特征提取，对待加密数据的敏感度进行综合评分；通过加解密处理单元将待加密数据的敏感度综合评分送至密钥管理模块的密钥生成单元生成相应的密钥，加解密处理单元在接收到密钥后使用预设加密算法对接收到的数据执行加密或解密操作；通过数据转发单元将加密后的数据转发至与加解密网关相连接的数据库内；

S4、对于非敏感数据，经网关加密后转入数据库直接进行存储；对于敏感数据，经网关加密后需要由数据库内置的加解密插件模块再次进行加密；通过加解密插件模块将数据的敏感度综合评分和数据特征信息传送至密钥管理模块的密钥生成单元生成相应的密钥，加解密插件模块以相应的加解密函数对进出数据库数据执行加解密操作；其中，ENC( )函数接收待加密数据、密钥、敏感度综合评分及加密模式参数，采用指定加密算法对数据进行加密处理，支持初始化向量IV的提供或自动生成；DEC( )函数接收加密后的数据、密钥及与加密时匹配的模式参数，利用相应的解密算法还原原始数据。

7.根据权利要求6所述的数据加密方法，其特征在于，所述步骤S3的数据分析单元执行以下步骤：

F1、通过特征提取子单元对所述待识别数据进行特征提取，得到至少一个特征信息，所述特征信息包括但不限于数据内容、数据类型、数据来源、数据关联性、数据更新频率、数据生命周期、数据使用场景中的至少一项；

F2、通过权重分配子单元为每个特征信息赋予一个权重值，所述权重值根据特征信息在确定数据敏感度中的重要程度预先设定；

F3、评分计算子单元根据所赋予的权重值，对每个特征信息进行评分计算，得到各特征信息的特征值；

F4、综合评分子单元将所有特征信息的特征值按照各自权重加权求和，得到所述待识别数据的敏感度综合评分x，所述敏感度综合评分的值为0＜x≤1；

F5、若所述敏感度综合评分x大于或等于预设阈值y，则判定所述待识别数据为敏感数据；否则，判定所述待识别数据为非敏感数据；所述预设阈值y的值为0＜y≤1，预设阈值y的值可以根据用户的需求自主设定。

8.根据权利要求7所述的数据加密方法，其特征在于，所述步骤F1包括：

对文本数据进行关键词提取、主题分析或情感分析，以确定数据内容的敏感性；对图像或视频数据进行视觉内容识别、人脸识别、物体检测或行为分析，以确定视觉内容的敏感性；对结构化数据进行数值范围判断、数据格式检查或关联关系分析，以确定数据属性的敏感性。

9.根据权利要求7所述的数据加密方法，其特征在于，所述步骤F3包括：

对于离散型特征信息，采用预设敏感度等级与评分映射表进行评分；对于连续型特征信息，采用Sigmoid函数对原始值进行转换，得到评分值。

10.根据权利要求6所述的数据加密方法，其特征在于，所述密钥管理模块内的密钥生成单元执行以下步骤：

H1、根据获取到的数据敏感度评分，密钥生成引擎子单元在映射关系表中找到与该评分对应的敏感度等级，从而确定适用的密钥生成策略；所述映射关系表规定了不同敏感度综合评分下的密钥生成策略，所述密钥生成策略包括密钥长度、加密算法类型、密钥使用周期以及更新频率；

H2、基于选定的密钥生成策略，密钥生成引擎子单元执行相应的密钥生成算法，创建与数据敏感度匹配的加密或解密密钥。