采集策略冲突检测方法、装置、电子设备和存储介质

摘要

本发明实施例提供一种采集策略冲突检测方法、装置、电子设备和存储介质，其中方法包括：确定多个采集策略对应的采集策略决策图；所述采集策略决策图中的任一节点表示一个策略元素，所述策略元素包括采集对象、采集代理、采集项、采集频率、采集时间和采集动作中的至少一种；基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果。本发明实施例提供的方法、装置、电子设备和存储介质，能够在多采集管理中心的情况下，对采集策略集中的策略元素进行合并存储，形成了状态空间的隐式表示和搜索，对多种类型的采集策略冲突进行统一检测，提高了多种类型的采集策略冲突检测时间和空间复杂度，保证了域内、域间采集策略的一致性。

权利要求

1.一种采集策略冲突检测方法，其特征在于，包括：基于任一采集策略的每一策略元素，确定所述任一采集策略的每一策略元素对应节点的三元组；任一节点的三元组包括节点变量序号、节点变量值和所述任一节点的下级节点及两者间的边的二元组集合；

基于所述任一采集策略的每一策略元素对应节点的三元组，确定所述任一采集策略对应的单策略决策图；

基于每一采集策略对应的单策略决策图，确定多个采集策略对应的采集策略决策图；

所述采集策略决策图中的任一节点表示一个策略元素，所述策略元素包括采集对象、采集代理、采集项、采集频率、采集时间和采集动作中的至少一种；

基于所述采集策略决策图，确定所述多个采集策略的采集策略符号冲突检测结果、重复采集冲突检测结果和资源约束冲突检测结果中的至少一种。

2.根据权利要求1所述的采集策略冲突检测方法，其特征在于，任一采集策略是由安全态势分析单元或安全服务能力编排单元生成的。

3.根据权利要求2所述的采集策略冲突检测方法，其特征在于，所述基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果，之后包括：基于所述冲突检测结果，调整所述多个采集策略；

基于所述多个采集策略，采集安全数据；

基于所述安全数据，确定威胁预警和/或威胁报警和/或安全态势信息。

4.根据权利要求1所述的采集策略冲突检测方法，其特征在于，所述基于每一采集策略对应的单策略决策图，确定所述多个采集策略对应的采集策略决策图，具体包括：将所述任一采集策略对应的单策略决策图与当前的采集策略决策图进行合并，得到更新后的采集策略决策图。

5.根据权利要求1所述的采集策略冲突检测方法，其特征在于，所述基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果，具体包括：若生成新采集策略和/或外界资源水平大幅变化，则基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果。

6.根据权利要求1或5所述的采集策略冲突检测方法，其特征在于，所述基于所述采集策略决策图，确定所述多个采集策略的采集策略符号冲突检测结果，具体包括：将新生成的采集策略对应的单策略决策图在所述采集策略决策图中自顶向下进行策略匹配；

若匹配到采集动作不一致的叶子节点，则确定新生成的采集策略与已有策略存在符号冲突。

7.根据权利要求1或5所述的采集策略冲突检测方法，其特征在于，所述基于所述采集策略决策图，确定所述多个采集策略的采集策略符号冲突检测结果，具体包括：在所述采集策略决策图搜索从根节点到冲突叶子节点的所有简单路径，确定全局策略符号冲突检测结果。

8.根据权利要求1或5所述的采集策略冲突检测方法，其特征在于，所述基于所述采集策略决策图，确定所述多个采集策略的重复采集冲突检测结果，具体包括：确定所述采集策略决策图中采集代理节点到代表采集的叶子节点的所有简单路径；

对于所述所有简单路径进行逐一检查，若任意简单路径上有至少2个采集代理，则将所述任意简单路径作为重复采集冲突检测结果；

和/或，对所有简单路径进行两两比较，若任意两个不同采集代理的简单路径的采集时间和采集项均有交集，则将所述任意两个不同采集代理的简单路径作为重复采集冲突检测结果。

9.根据权利要求1或5所述的采集策略冲突检测方法，其特征在于，所述基于所述采集策略决策图，确定所述多个采集策略的资源约束冲突检测结果，具体包括：获取所述采集策略决策图中指定采集代理在指定时间的累计资源消耗值；所述累计资源消耗值是基于采集项和采集频率确定的；

若所述累计资源消耗值大于预设阈值，则确定资源约束冲突检测结果为发生资源约束冲突。

10.一种采集策略冲突检测装置，其特征在于，包括：决策图生成单元，用于基于任一采集策略的每一策略元素，确定所述任一采集策略的每一策略元素对应节点的三元组；任一节点的三元组包括节点变量序号、节点变量值和所述任一节点的下级节点及两者间的边的二元组集合；基于所述任一采集策略的每一策略元素对应节点的三元组，确定所述任一采集策略对应的单策略决策图；基于每一采集策略对应的单策略决策图，确定多个采集策略对应的采集策略决策图；所述采集策略决策图中的任一节点表示一个策略元素，所述策略元素包括采集对象、采集代理、采集项、采集频率、采集时间和采集动作中的至少一种；

冲突检测单元，基于所述采集策略决策图，确定所述多个采集策略的采集策略符号冲突检测结果、重复采集冲突检测结果和资源约束冲突检测结果中的至少一种。

11.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至9中任一项所述的采集策略冲突检测方法的步骤。

12.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至9中任一项所述的采集策略冲突检测方法的步骤。

说明书

采集策略冲突检测方法、装置、电子设备和存储介质

技术领域

[0001] 本发明涉及网络防护技术领域，具体涉及一种采集策略冲突检测方法、装置、电子设备和存储介质。

背景技术

[0002] 在大规模复杂信息系统中，为了及时准确地获取当前或预测未来的安全态势，需要若干分布于不同地理位置甚至全球部署的采集器/采集组件(以下统称为采集代理)来实
时采集数据。由于数据采集灵活性、管理低复杂性等需求，现有的采集模式中，采集策略独
立于采集业务，即，利用采集策略来描述“在何网络情况何资源条件下何种采集主体在何时
间以何频率以何种参数采集何内容”，利用采集业务来解析采集策略，并按照采集策略所规
定的方式实施数据采集。但是因为如下原因，采集策略可能存在冲突：采集策略生成源不一
致会导致采集策略存在横向协同冲突，为了降低采集代理的部署成本，在实际应用中部署
的采集代理将接收多个采集管理中心的采集策略，由于不同采集管理中心具有不同采集目
的，因此不同采集管理中心的采集策略可能是不一致甚至是冲突的，此外，即使同一个采集
管理中心，其采集策略也可能是由若干采集策略管理者生成的，不同管理者可能由于主观/
客观错误生成冲突策略；采集策略语义的复杂性导致采集策略存在单机纵向关联冲突，采
集策略涉及采集目的、采集代理、大量的采集对象、通用采集参数(如采集时间、采集频率
等)、特定采集参数等，新生成的采集策略和历史采集策略具有不同的采集目标，不同的采
集代理具有不同的采集能力，这些错综复杂的关系可能导致即使对于同一个采集策略管理
者，也可能生成冲突的策略。

[0003] 现有采集策略多采用链表、数组等顺序存储结构，将一条采集策略存储为一个链表节点或一个数组元素，在进行冲突检测时会涉及状态空间或变量组合的显式枚举，导致
求解受到了组合爆炸复杂性的制约。例如，假设分层分域管理中共有m个采集管理中心，每
个采集管理中心生成n条采集策略，每条采集策略具有t个策略元素，由于在各层的管理中
心存在指令式采集和协作式采集，某一采集管理中心会收到来自上级采集管理中心和同层
采集管理中心的采集策略，导致每个采集管理中心为进行策略间的冲突检测，使用常规的
顺序比较方法进行冲突检测，需要 复杂度的时间开销。

[0004] 在分层分域的大规模复杂信息系统中，数据采集面临多种类型的冲突，但是现有的采集策略冲突检测大多仅考虑单一场景和单一冲突类型，例如，仅考虑采集项和/采集频
率之间的符号冲突，未考虑多个采集代理在同一时间对同一采集对象上的采集项执行相同
的采集动作等造成的重复采集冲突，以及采集代理在指定时间的资源消耗值是否超出系统
资源限制等资源约束冲突，导致现有采集策略冲突检测方案在检测多种类型冲突时，因策
略顺序存储和内存组织的问题，具有重复的基础数据组织和比较的成本，使得冲突检测效
率低下。

发明内容

[0005] 本发明实施例提供一种采集策略冲突检测方法、装置、电子设备和存储介质，用以解决现有的采集策略冲突检测效率低下的问题。

[0006] 第一方面，本发明实施例提供一种采集策略冲突检测方法，包括：

[0007] 确定多个采集策略对应的采集策略决策图；所述采集策略决策图中的任一节点表示一个策略元素，所述策略元素包括采集对象、采集代理、采集项、采集频率、采集时间和采
集动作中的至少一种；

[0008] 基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果。

[0009] 可选地，任一采集策略是由安全态势分析单元或安全服务能力编排单元生成的。

[0010] 可选地，所述基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果，之后包括：

[0011] 基于所述冲突检测结果，调整所述多个采集策略；

[0012] 基于所述多个采集策略，采集安全数据；

[0013] 基于所述安全数据，确定威胁预警和/或威胁报警和/或安全态势信息；其中，所述威胁预警和/或威胁报警用于调整所述多个采集策略，和/或生成处置策略；所述安全态势
信息用于供所述安全服务能力编排单元生成和/或调整安全服务编排预案。

[0014] 可选地，所述确定多个采集策略对应的采集策略决策图，具体包括：

[0015] 基于任一采集策略的策略元素，确定任一采集策略对应的单策略决策图；

[0016] 基于每一采集策略对应的单策略决策图，确定所述多个采集策略对应的采集策略决策图。

[0017] 可选地，所述基于任一采集策略的策略元素，确定任一采集策略对应的单策略决策图，具体包括：

[0018] 基于任一采集策略的每一策略元素，确定所述任一采集策略的每一策略元素对应节点的三元组；任一节点的三元组包括节点变量序号、节点变量值和所述任一节点的下级
节点及两者间的边的二元组集合；

[0019] 基于所述任一采集策略的每一策略元素对应节点的三元组，确定所述任一采集策略对应的单策略决策图。

[0020] 可选地，所述基于每一采集策略对应的单策略决策图，确定所述多个采集策略对应的采集策略决策图，具体包括：

[0021] 将所述任一采集策略对应的单策略决策图与当前的采集策略决策图进行合并，得到更新后的采集策略决策图。

[0022] 可选地，所述基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果，具体包括：

[0023] 若生成新采集策略和/或外界资源水平大幅变化，则基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果。

[0024] 可选地，所述基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果，具体包括：

[0025] 基于所述采集策略决策图，确定所述多个采集策略的采集策略符号冲突检测结果、重复采集冲突检测结果和资源约束冲突检测结果中的至少一种。

[0026] 可选地，所述基于所述采集策略决策图，确定所述多个采集策略的采集策略符号冲突检测结果，具体包括：

[0027] 将新生成的采集策略对应的单策略决策图在所述采集策略决策图中自顶向下进行策略匹配；

[0028] 若匹配到采集动作不一致的叶子节点，则确定新生成的采集策略与已有策略存在符号冲突。

[0029] 可选地，所述基于所述采集策略决策图，确定所述多个采集策略的采集策略符号冲突检测结果，具体包括：

[0030] 在所述采集策略决策图搜索从根节点到冲突叶子节点的所有简单路径，确定全局策略符号冲突检测结果。

[0031] 可选地，所述基于所述采集策略决策图，确定所述多个采集策略的重复采集冲突检测结果，具体包括：

[0032] 确定所述采集策略决策图中采集代理节点到代表采集的叶子节点的所有简单路径；

[0033] 对于所述所有简单路径进行逐一检查，若任意简单路径上有至少2个采集代理，则将所述任意简单路径作为重复采集冲突检测结果；和/或，对所有简单路径进行两两比较，
若任意两个不同采集代理的简单路径的采集时间和采集项均有交集，则将所述任意两个不
同采集代理的简单路径作为重复采集冲突检测结果。

[0034] 可选地，所述基于所述采集策略决策图，确定所述多个采集策略的资源约束冲突检测结果，具体包括：

[0035] 获取所述采集策略决策图中指定采集代理在指定时间的累计资源消耗值；所述累计资源消耗值是基于采集项和采集频率确定的；

[0036] 若所述累计资源消耗值大于预设阈值，则确定资源约束冲突检测结果为发生资源约束冲突。

[0037] 第二方面，本发明实施例提供一种采集策略冲突检测装置，包括：

[0038] 决策图生成单元，用于确定多个采集策略对应的采集策略决策图；所述采集策略决策图中的任一节点表示一个策略元素，所述策略元素包括采集对象、采集代理、采集项、
采集频率、采集时间和采集动作中的至少一种；

[0039] 冲突检测单元，用于基于所述采集策略决策图，确定所述多个采集策略的冲突检测结果。

[0040] 第三方面，本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面中所述
的采集策略冲突检测方法的步骤。

[0041] 第四方面，本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如第一方面中所述的采集策略冲突检测方法的
步骤。

[0042] 本发明实施例提供的采集策略冲突检测方法、装置、电子设备和存储介质，通过确定多个采集策略对应的采集策略决策图，将策略元素间的比较问题转换为决策图的搜索问
题，能够在多采集管理中心的情况下，以较低的时间和空间复杂度检测采集策略的冲突(例
如，实现十万级采集策略时单条策略符号冲突检测时间为微秒级、全局符号冲突检测时间
为百微秒级、重复采集冲突检测时间为百毫秒级、资源约束冲突检测时间为百微秒级)，与
顺序比较、决策树等方案对比，在冲突检测效率方面呈现数量级优势，有效保证了采集策略
的一致性。

附图说明

[0043] 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明
的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据
这些附图获得其他的附图。

[0044] 图1为本发明实施例提供的采集策略冲突检测方法的流程示意图；

[0045] 图2为本发明实施例提供的采集策略决策图单一节点示意图；

[0046] 图3为本发明实施例提供的安全态势分析单元与网络安全防护系统关系示意图；

[0047] 图4为本发明实施例提供的单策略决策图示意图；

[0048] 图5为本发明实施例提供的单策略决策图合并示意图；

[0049] 图6为本发明实施例提供的又一单策略决策图合并示意图；

[0050] 图7为本发明实施例提供的单条策略符号冲突检测示意图；

[0051] 图8为本发明实施例提供的全局策略符号冲突检测示意图；

[0052] 图9为本发明实施例提供的全局策略符号冲突检测结果示意图；

[0053] 图10为本发明实施例提供的重复采集冲突检测示意图；

[0054] 图11为本发明实施例提供的冲突检测时间随采集策略决策图顶点数量变化趋势图；

[0055] 图12为本发明实施例提供的又一冲突检测时间随采集策略决策图顶点数量变化趋势图；

[0056] 图13为本发明实施例提供的单条策略符号冲突检测时间随采集策略数量的变化趋势图；

[0057] 图14为本发明实施例提供的全局策略符号冲突检测时间随采集策略数量的变化趋势图；

[0058] 图15为本发明实施例提供的另一全局策略符号冲突检测时间随采集策略数量的变化趋势图；

[0059] 图16为本发明实施例提供的重复采集冲突检测时间随采集策略数量的变化趋势图；

[0060] 图17为本发明实施例提供的资源约束冲突检测时间随采集策略数量的变化趋势图；

[0061] 图18为本发明实施例提供的采集策略冲突检测装置的结构示意图；

[0062] 图19为本发明实施例提供的电子设备的结构示意图。

具体实施方式

[0063] 为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是
本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员
在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

[0064] 在信息系统中，采集策略被用来描述“在何网络情况何资源条件下何种采集主体在何时间以何频率以何种参数采集何内容”。由于以下两方面原因，采集策略可能存在冲
突。

[0065] 一方面，采集策略生成源不一致导致横向协同冲突。具体地，在实际应用中部署的采集代理将接收多个采集管理中心的采集策略，并依据采集策略来采集数据。由于不同采
集管理中心具有不同采集目的，因此不同采集管理中心的采集策略可能是不一致甚至是冲
突的。此外，即使同一个采集管理中心，其采集策略也可能是由若干采集策略管理者生成
的，不同管理者可能由于主观/客观错误生成冲突策略。

[0066] 另一方面，采集策略语义的复杂性导致采集策略存在单机纵向关联冲突。具体地，采集策略涉及采集目的、采集设备/采集组件、大量的采集对象、通用采集参数(如采集时
间、采集频率等)、特定采集参数等，新生成的采集策略和历史采集策略具有不同的采集目
标，不同的采集设备/采集组件具有不同的采集能力，这些错综复杂的关系可能导致即使对
于同一个采集策略管理者，也可能生成冲突的策略。

[0067] 现有的复杂网络环境下依然存在以下问题：

[0068] (1)网络安全防护系统中各单元缺乏联动，导致态势分析准确性低、威胁处置效果差。通常安全态势分析单元仅关注于数据采集和全网安全态势分析，生成的态势分析结果
仅用于展示，未进行高层级的威胁联动、自动处置；威胁处置指挥和响应仅接收网络局部的
威胁报警，着眼于细节，无法统筹处理全网的、具有关联关系的组合攻击；威胁处置结果信
息和效果研判信息亦不反馈给安全态势分析系统，导致攻击和威胁升级，但是数据采集、威
胁分析未随之迭代，所谓“魔高一丈”后，“道未高一尺”。

[0069] (2)盲目采集导致采集数据有效性低、采集资源浪费。网络安全领域的数据采集包括全量采集和抽样采集，虽然全量采集可准确地采集全部数据，但是可能采集到大量无效
的冗余数据，将消耗系统中的计算、存储和传输资源；抽样采集通过采集部分安全数据来分
析和预测威胁，虽然能有效的降低资源开销，但是若缺乏准确的数据分析和预测技术，将导
致关键数据缺失。因此，需要将自适应采集转化为灵活的采集策略生成问题，以达到采集数
据有效性和采集资源消耗间的平衡。但是，采集策略间又不可避免地出现策略冲突问题。

[0070] (3)多中心多策略元素导致冲突检测状态空间组合爆炸。现有采集策略多采用链表、数组等顺序存储结构，将一条采集策略存储为一个链表节点或一个数组元素，在进行冲
突检测时难免涉及状态空间或变量组合的显式枚举，导致求解受到了组合爆炸复杂性的制
约。例如，假设分层分域管理中共有m个采集管理中心，每个采集管理中心生成n条采集策
略，每条采集策略具有t个策略元素，由于在各层的采集管理中心存在指令式采集和协作式
采集，某一采集管理中心会收到来自上级采集管理中心和同层采集管理中心的采集策略，
导致每个采集管理中心为进行策略间的冲突检测，最坏情况下，需要进行 次策略元素
的比较，因此，需要研究状态空间或变量组合的隐式表示和搜索，从而改善冲突检测的求解
效率。

[0071] (4)多类型冲突重复搜索导致冲突检测效率低。在分层分域的复杂网络环境中，数据采集面临多种类型的冲突。首先，可能面临语义上的不一致，例如，策略“采集代理A每间
隔5分钟采集数据c一次”和策略“采集代理A每间隔3分钟采集数据c一次”，其次，在运行过
程中，也会出现因资源制约导致的“采集代理A和B不能同时采集数据c”、“采集代理A的采集
项数不能超过n项”、“采集代理A在执行多个采集策略时不能超出计算/存储/通信等方面的
约束”。然而，现有冲突检测算法大多仅考虑单一场景、单一冲突类型(例如，采集项和/采集
频率之间的符号冲突)，导致系统中存在多种类型冲突时，因策略顺序存储和内存组织的问
题，具有重复的基础数据组织成本。

[0072] 因此，需要一种高效简洁的策略集合及策略元素的表示和组织方法，使得检测不同类型冲突时，减少重复的策略元素集合求交等基础操作，实现“一举多得”，提高冲突检测
效率。

[0073] 图1为本发明实施例提供的采集策略冲突检测方法的流程示意图，如图1所示，该方法包括：

[0074] 步骤101，确定多个采集策略对应的采集策略决策图；采集策略决策图中的任一节点表示一个策略元素，策略元素包括采集对象、采集代理、采集项、采集频率、采集时间和采
集动作中的至少一种；

[0075] 具体地，采集策略可以采用如下多元函数表现形式：

[0076] f:D1×D2×…×Dn→{collect,donotcollect,conflict}

[0077] 其中，f为单个采集策略或采集策略集，Di可以表示采集策略f中的策略元素，包括但不限于采集对象、采集代理、采集项、采集频率、采集时间，其中，采集对象、采集代理、采
集项为离散型变量，采集时间、采集频率为连续型变量。

[0078] {collect,donotcollect,conflict}表示采集策略f中的采集动作这一策略元素，分别对应于采集、不采集和冲突。

[0079] 该函数的输入使用向量形式表示为X＝{xi|i＝1…n,xi∈Di}，因此，采集策略对应的多元函数又可以表示为：

[0080] f(X)→{collect，donotcollect，conflict}。

[0081] 在上述采集策略的表现形式中，对于连续型变量，数据区间I是定义域内由起始值和终止值构成的一段范围，可以为开区间、闭区间或半开半闭区间，例如，采集时间数据区
间可以是[8:00，17:00]或(17:00，21:00]；对于离散型变量，数据区间是定义域内一个或多
个值组成的集合，例如，采集项的数据区间可以是{1，2，3}，其中，1、2、3均为采集项ID值，数
据区间形式化表示为

[0082] 区间划分是定义域内互不相交的区间集合。例如，在[8:00，12:00]和[13:00，17:00]范围内定义代表采集时间的变量，time∈{[8:00，12:00]，[13:00，17:00]}，该采集时间
time的区间划分包括2个互不相交的区间。

[0083] 给定一个区间划分P，如果变量属于该区间划分中的某一个区间，则称该变量属于区间划分P。因此，采集策略多元函数可以分解为对某一变量是否在区间划分P中的谓词判
断。

[0084] 每一个采集策略多元函数都可以对xi∈X进行分解，因此，可以将函数f形式化为一个或多个采集策略对应的决策图。

[0085] 图2为本发明实施例提供的采集策略决策图单一节点示意图，如图2所示，外出边表示该变量值在[8:00，17:00]范围内。

[0086] 根据每一个采集策略对应的单策略决策图，合并生成多个采集策略对应的采集策略决策图。

[0087] 步骤102，基于采集策略决策图，确定多个采集策略的冲突检测结果。

[0088] 具体地，根据多个采集策略对应的采集策略决策图，可以结合简单路径搜索等图遍历算法，灵活求解冲突策略集合，实现多种采集策略冲突的高效检测。

[0089] 使用采集策略决策图来组织采集策略，在策略规模增加时，图的顶点数和边数远小于策略数，例如，多个采集对象因为部署位置、功能类似，其采集时间、采集项及对应的采
集频率可能相同，在用采集策略决策图表示时，相同的采集时间、采集项及对应的采集频率
在顶点和边上都会合并，极大地减少了策略存储的空间，形成了策略的隐式表示，所以基于
采集策略决策图进行策略的冲突检测，将策略元素间的比较转化为决策图的搜索问题可大
幅降低采集策略冲突检测时间。

[0090] 本发明实施例提供的采集策略冲突检测方法，通过确定多个采集策略对应的采集策略决策图，将策略元素间的比较问题转换为决策图的搜索问题，能够在多采集管理中心
的情况下，以较低的时间和空间复杂度检测采集策略的冲突，提高了检测效率，保证了采集
策略的一致性。

[0091] 基于上述实施例，任一采集策略是由安全态势分析单元或安全服务能力编排单元生成的。

[0092] 具体地，图3为本发明实施例提供的安全态势分析单元与网络安全防护系统关系示意图。如图3所示，安全态势分析单元、安全服务能力编排单元、安全管理与处置指挥单元
和网络安全对象(包括但不限于网络中的安全设备、安全系统、安全组件、安全动态库、安全
模块和安全代理，安全设备包括但不限于高速航天器终端、天基骨干网地面终端、网络互联
安全网关、接入安全网关、无线信道密码机、IP网络密码机、高性能服务器密码机、单向/双
向数据隔离设备，安全系统包括但不限于身份认证管理系统、接入鉴权系统、网间互联安全
控制系统、密码资源管理系统、数据流转监测系统、可编排应用防护系统、物联网拓扑测绘
系统，安全组件包括但不限于安全加密组件、安全通信组件、安全认证组件、安全防护组件，
安全动态库包括但不限于加密动态库、威胁检测动态库，安全模块包括但不限于安全加密
模块、安全通信模块、安全认证模块、安全防护模块，安全代理包括但不限于数据交换应用
代理、安全威胁感知代理)共同组成网络安全防护系统。网络安全防护系统从全局出发洞察
全网整体安全风险，动态按需调配差异化安全防护资源，对威胁进行及时有效处理，对数据
采集进行柔性自适应调整。安全态势分析单元、安全服务能力编排单元均可对采集策略进
行生成和调整，相当于采集管理中心，或执行采集管理中心的功能。

[0093] 采集策略生成与冲突检测子单元作为安全态势分析单元中的核心模块，负责在产生威胁预警和/或威胁报警后，或者感知到网络异常时，根据威胁类型、威胁严重程度、采集
代理运行状态、采集代理采集能力等信息生成采集策略。同时，安全服务能力编排单元也会
对采集代理的采集功能进行重构，对采集策略进行调整。

[0094] 新生成的采集策略与网络中已有的采集策略可能存在纵向关联冲突，安全态势分析单元生成的采集策略与安全服务能力编排单元生成的采集策略可能存在横向协同冲突，
因此，需要进行采集策略冲突检测。

[0095] 基于上述任一实施例，基于采集策略决策图，确定多个采集策略的冲突检测结果，之后包括：

[0096] 基于冲突检测结果，调整多个采集策略；

[0097] 基于多个采集策略，采集安全数据；

[0098] 基于安全数据，确定威胁预警和/或威胁报警和/或安全态势信息；其中，威胁预警和/或威胁报警用于调整多个采集策略，和/或生成处置策略；安全态势信息用于供安全服
务能力编排单元生成和/或调整安全服务编排预案。

[0099] 具体地，如图3所示，根据多个采集策略的冲突检测结果调整多个采集策略，运用调整后的采集策略，通过采集代理从包括但不限于网络中的安全设备、安全系统、安全组
件、安全动态库、安全模块和安全代理等网络安全对象中采集运行状态、日志和流量信息中
的至少一种，采集数据通过威胁情报汇集子单元进行并发分层汇聚到安全态势分析单元中
的态势分析子单元；态势分析子单元依据当前的所采集的安全数据和/或历史安全数据进
行关联融合分析，得到威胁预警和/或威胁报警和/或安全态势信息。

[0100] 威胁预警和/或威胁报警一方面发送至采集策略生成与冲突检测子单元，用于调整网络中的采集策略。另一方面发送至安全管理与处置指挥单元，用于生成网络中的处置
策略，以消除或缓解网络中的安全威胁，在处置策略生成和下发后，安全态势分析单元向安
全管理与处置指挥单元转发来自网络安全对象的威胁处置结果。同时，安全态势分析单元
基于威胁处置结果，通过对新一轮采集的安全数据进行综合分析，得到态势综合分析结果，
并将态势综合分析结果发送至安全管理与处置指挥单元；安全态势分析单元对来自安全管
理与处置指挥单元的处置研判结果和态势综合分析结果进行一步效果研判，得到融合分析
结果，基于来自安全管理与处置指挥单元的处置研判结果、当前安全数据和历史安全数据
生成态势研判结果，将融合分析结果和/或态势研判结果发送至安全服务能力编排单元。

[0101] 安全态势信息发送至安全服务能力编排单元，用于安全服务编排预案的生成与调整，以对网络中包括但不限于安全设备、安全系统、安全组件、安全动态库、安全模块和安全
代理的安全功能进行调整。

[0102] 基于上述任一实施例，确定多个采集策略对应的采集策略决策图，具体包括：

[0103] 基于任一采集策略的策略元素，确定任一采集策略对应的单策略决策图；

[0104] 基于每一采集策略对应的单策略决策图，确定多个采集策略对应的采集策略决策图。

[0105] 具体地，多个采集策略对应的采集策略决策图是由每一个采集策略对应的单策略决策图生成的，任一采集策略对应的单策略决策图是根据该采集策略对应的策略元素确定
的。在得到针对于单一采集策略的单策略决策图后，可以将多个采集策略的单策略决策图
进行合并，从而得到多个采集策略对应的采集策略决策图。

[0106] 基于上述任一实施例，基于任一采集策略的策略元素，确定任一采集策略对应的单策略决策图，具体包括：

[0107] 基于任一采集策略的每一策略元素，确定任一采集策略的每一策略元素对应节点的三元组；任一节点的三元组包括节点变量序号、节点变量值和任一节点的下级节点及两
者间的边的二元组集合；

[0108] 基于任一采集策略的每一策略元素对应节点的三元组，确定任一采集策略对应的单策略决策图。

[0109] 具体地，任一采集策略对应的单策略决策图是由该采集策略的每一策略元素对应节点组成的。决策图中任一节点m可以用三元组(index，val，C)表示。其中，index表示节点
变量的序号，val表示节点变量的值，C表示二元组(p，c)的集合，每个(p，c)代表由当前节点
到其对应的下级节点及两者间的边，所述边是一个最简区间划分。

[0110] 节点分为内部节点和叶子节点2种类型。内部节点表示策略参数，包括但不限于采集对象、采集代理、采集时间、采集项、采集频率，节点变量的值val可为该变量对于连接其
下级节点的区间划分的并集，即m.val:＝γ{p，(p，c)∈m.C}；叶子节点表示采集动作，节点
变量的值val可为采集、不采集、冲突等，可以表示为val∈{collect，donotcollect，
conflict}。

[0111] 在表示策略时，从根节点开始，如果变量xi在区间划分p中，则选择(p，c)这条边。

[0112] 单策略决策图的生成可以采用单策略决策图生成算法。单条策略决策图生成算法将策略参数、采集动作等策略元素生成一条单策略决策图，单策略决策图中由根节点到叶
子节点，按照节点变量序号顺序排列。

[0113] 下面通过举例来说明单策略决策图的生成。ID为1的采集代理在[8:00，17:00]，以每5秒钟的频率采集IP地址为192.168.90.24的采集对象的采集项，采集项的ID为1。该采集
策略逻辑表示为：

[0114] (obj＝192.168.90.24)∧(agt＝1)∧(8:00≤time≤17:00)∧(item＝1)∧(freq＝5)

[0115] 图4为本发明实施例提供的单策略决策图示意图。如图4所示，该采集策略对应的单策略决策图P1示意图是调用单策略决策图生成算法生成的。

[0116] 基于上述任一实施例，基于每一采集策略对应的单策略决策图，确定多个采集策略对应的采集策略决策图，具体包括：

[0117] 将任一采集策略对应的单策略决策图与当前的采集策略决策图进行合并，得到更新后的采集策略决策图。

[0118] 具体地，若已存在当前的采集策略决策图，则将新生成的每一采集策略对应的单策略决策图依次与其合并，同时利用合并规则对其进行化简，得到更新后的采集策略决策
图，将最终得到的采集策略决策图作为多个采集策略对应的采集策略决策图。

[0119] 特别地，不存在当前的采集策略决策图，则将新生成的任一采集策略对应的单策略决策图作为当前的采集策略决策图。

[0120] 多个采集策略对应的采集策略决策图的生成可以采用决策图合并算法。

[0121] 决策图合并算法将当前的采集策略决策图与新生成的单策略决策图由根节点通过递归方式合并为一个决策图，同时利用合并规则对其进行化简。

[0122] 对决策图合并算法关键步骤解释如下，其中，m1和m2为当前待合并节点。

[0123] (1)如果m1和m2均为叶子节点，则新生成的叶子节点根据表1计算叶子节点值。

[0124] 表1叶子节点运算表

[0125]

[0126]

[0127] (2)如果m1和m2均为非叶子节点，且m1.index＝m2.index，则新建节点m，m的下级节点取决于m1和m2的无覆盖区间划分，对于每一新区间，将m1和m2在该区间下的下级节点进行
策略合并的递归运算。

[0128] (3)如果m1和m2均为非叶子节点，且m1.index≠m2.index，新建节点m，按照index值较小的节点的区间，将index值较小的下级节点与index较大的节点在该区间下进行策略合
并的递归运算。

[0129] (4)为降低算法的复杂度，引入计算表的存储结构，存放的表项，表示由m1和m2生成新节点m，用计算表保证任意一对节点至多计算一次。在算法入口，首先以m1和m2
为关键字搜索该表项是否存在，如果存在，则直接返回节点m，在算法最后，将新生成节点m，
以m1和m2为关键字存储在计算表中。

[0130] (5)为保证生成的决策图最简，在构造决策图的过程中同时应用了化简规则进行化简。具体地，引入唯一表的二维链表存储结构，每一链表存储相同index值的节点信息，生
成新节点后，以新生成节点的区间划分和下级节点为搜索条件，在对应index值的链表中进
行搜索，如果找到区间划分和下级节点均相同的节点，则返回该节点，否则，在唯一表中存
储新生成的节点，以及新生成节点的区间划分和下级节点。

[0131] 进一步地，化简规则为：对于决策图中的节点u和v，如果v.val＝u.val且则删除节点u，将u的上级节点直接连接至节点v，上级节点的区间
为u.P∪v.P。

[0132] 下面通过举例来说明。图5为本发明实施例提供的单策略决策图合并示意图，如图5所示，单策略决策图P1和P2中各策略元素是齐全的，P1和P2的策略元素中，采集对象、采集
代理、采集频率和采集时间均一致，仅采集项不同，在P1、P2的合并结果中，采集项节点对应
的值表示为{1，2}。图6为本发明实施例提供的又一单策略决策图合并示意图，如图6所示，
单策略决策图P1中各策略元素是齐全的，单策略决策图P3中策略元素缺失采集时间，故在
合并P1和P3时，在合并后的采集策略决策图P1∨P3中新建采集时间对应的节点，采集时间
对应的节点的下级节点根据P1和P3中采集时间的无覆盖区间划分，新生成的区间划分为
[8:00，17:00]和{(0:00，8:00)，(17:00，24:00)}，对每一新区间，将P1和P3中采集时间对应
节点在该区间下的下级节点进行策略合并，合并的策略元素为采集动作{collect}。

[0133] 决策图生成算法是依次调用单策略决策图生成算法和决策图合并算法，以渐进式方式生成采集策略决策图。

[0134] 根据每一采集策略对应的单策略决策图，通过调用决策图生成算法，确定多个采集策略对应的采集策略决策图。其中，决策图生成算法包含了单策略决策图生成算法和决
策图合并算法。

[0135] 基于上述任一实施例，基于采集策略决策图，确定多个采集策略的冲突检测结果，具体包括：

[0136] 若生成新采集策略和/或外界资源水平大幅变化，则基于采集策略决策图，确定多个采集策略的冲突检测结果。

[0137] 具体地，采集策略冲突检测的时机包括新采集策略的生成和/或外界资源水平大幅变化。

[0138] 新采集策略的生成会触发采集策略冲突检测。触发新采集策略生成的事件包括外部因素触发和内部因素触发，其中，外部因素触发是采集管理中心接收到外部威胁预警，导
致需要进行采集策略的调整；内部因素触发是采集管理中心感知到采集数据异常，进而自
适应地调整采集策略。

[0139] 外界资源水平大幅变化会触发采集策略冲突检测。采集设备或采集代理资源水平变化导致运行过程中的采集策略不适用，需要在运行时执行采集策略冲突检测。

[0140] 基于上述任一实施例，基于采集策略决策图，确定多个采集策略的冲突检测结果，具体包括：

[0141] 基于采集策略决策图，确定多个采集策略的采集策略符号冲突检测结果、重复采集冲突检测结果和资源约束冲突检测结果中的至少一种。

[0142] 其中，采集策略符号冲突检测是针对两条或多条采集策略针对同一采集对象/代理上的采集项具有不同的采集动作，或者采集动作相同，但是采集参数不一致的情况。采集
参数不一致分为采集时间不一致和采集频率不一致。根据检测时机不同，分为单条策略符
号冲突和全局策略符号冲突。

[0143] 基于上述任一实施例，基于采集策略决策图，确定多个采集策略的单条策略符号冲突检测结果，具体包括：

[0144] 将新生成的采集策略对应的单策略决策图在采集策略决策图中自顶向下进行策略匹配；

[0145] 若匹配到采集动作不一致的叶子节点，则确定新生成的采集策略与已有策略存在符号冲突。

[0146] 具体地，单条策略符号冲突检测由新生成采集策略触发，需要将新生成的采集策略在已有的全局采集策略决策图中自顶向下进行策略匹配，具体来说，将新生成采集策略
从全局采集策略决策图的根节点开始，在具有相同序号的节点处进行匹配，若新生成采集
策略的节点值与全局采集策略决策图中对应节点的下层节点的区间划分有交集，则选择该
下层节点继续匹配，直到匹配到叶子节点，若匹配到采集动作不一致的叶子节点，则确定新
生成的采集策略与已有策略存在符号冲突；否则确定无冲突。

[0147] 图7为本发明实施例提供的单条策略符号冲突检测示意图，如图7所示，系统中已有的采集策略决策图为P3，新生成的采集策略决策图为P4，运行单条策略冲突检测算法后，
发现P4与已有的采集策略决策图P3在进行匹配时，由于有交集的采集对象
(192.168.90.24)、有交集的采集代理(ID为1)、有交集的采集时间([8:00,9:00])、有交集
的采集项(ID为1)，但是两者的采集动作不一致，将确定存在单条策略符号冲突。

[0148] 基于上述任一实施例，基于采集策略决策图，确定多个采集策略的全局策略符号冲突检测结果，具体包括：

[0149] 在采集策略决策图搜索从根节点到冲突叶子节点的所有简单路径，确定全局策略符号冲突检测结果。

[0150] 具体地，在系统初始化阶段或运行过程中，可触发全局策略符号冲突检测。在采集策略决策图搜索从根节点到冲突叶子节点的所有简单路径，并将其作为全局策略符号冲突
检测结果。

[0151] 图8为本发明实施例提供的全局策略符号冲突检测示意图，如图8所示，根据全局策略符号冲突检测算法，在采集策略决策图中从根节点搜索到代表冲突的叶子节点，由于
在决策图合并过程中已通过叶子节点值合并为conflict判定为冲突，所以到代表conflict
的叶子节点的所有简单路径上的策略即为冲突策略集合，图9为本发明实施例提供的全局
策略符号冲突检测结果示意图，图9为图8中从根节点到冲突叶子节点的所有简单路径，即
全局策略符号冲突检测算法的输出结果。

[0152] 基于上述任一实施例，基于采集策略决策图，确定多个采集策略的重复采集冲突检测结果，具体包括：

[0153] 确定采集策略决策图中采集代理节点到代表采集的叶子节点的所有简单路径；

[0154] 对于所有简单路径进行逐一检查，若任意简单路径上有至少2个采集代理，则将该简单路径作为重复采集冲突检测结果；和/或，对所有简单路径进行两两比较，若任意两个
不同采集代理的简单路径的采集时间和采集项均有交集，则将任意两个不同采集代理的简
单路径作为重复采集冲突检测结果。

[0155] 具体地，重复采集冲突是多个采集代理在同一时间对同一采集对象上的采集项执行相同的采集动作，虽然不会造成策略的符号冲突，但是会导致采集系统资源浪费。

[0156] 在系统初始化阶段或运行过程中，对每一个采集代理，确定采集策略决策图中该采集代理节点到代表采集的叶子节点的所有简单路径，对于所有简单路径进行逐一检查，
若任意简单路径上有至少2个采集代理，则将该简单路径作为重复采集冲突检测结果；和/
或，对所有简单路径进行两两比较，若任意两个不同采集代理的简单路径的采集时间和采
集项均有交集，则将这两个不同采集代理的简单路径作为重复采集冲突检测结果。

[0157] 图10为本发明实施例提供的重复采集冲突检测示意图，如图10所示，图10中的(a)为不同采集代理相同时间采集同一内容，属于重复采集冲突；图10中的(b)为不同采集代理
不同时间采集同一内容，不属于重复采集冲突；图10中的(c)为不同采集代理在不同时间采
集不同内容，不属于重复采集冲突；图10中的(d)为同一采集代理不同时间采集不同内容，
不属于重复采集冲突。

[0158] 基于上述任一实施例，基于采集策略决策图，确定多个采集策略的资源约束冲突检测结果，具体包括：

[0159] 获取采集策略决策图中指定采集代理在指定时间的累计资源消耗值；累计资源消耗值是基于采集项和采集频率确定的；

[0160] 若累计资源消耗值大于预设阈值，则确定资源约束冲突检测结果为发生资源约束冲突。

[0161] 具体地，资源约束冲突是某一时段采集代理因采集内容增多导致超出自身资源约束；某一时段多个采集代理各自未超出自身资源约束，但是整体超出资源约束。

[0162] 在新生成采集策略时、系统初始化阶段或运行过程中，获取采集策略决策图中指定采集代理在指定时间的采集项和采集频率，以计算对于采集这些采集项的累计资源消耗
值，具体地，在采集策略决策图中，通过遍历序号为采集代理层的节点，获取与指定采集代
理有交接的节点，对于这些节点的下级节点，继续遍历序号为采集时间层的节点，获取与指
定采集时间有交集的节点，得到节点集合，计算该节点集合中每一节点到代表采集的叶子
节点的简单路径，根据该路径的采集项数和采集频率，计算采集该路径上的采集项的资源
消耗，累加到总资源消耗。若累计资源消耗值大于预设阈值，则确定资源约束冲突检测结果
为发生资源约束冲突。

[0163] 预设阈值的设置根据实际情况设置，本发明实施例对此不做具体限定。

[0164] 基于采集策略决策图进行策略的冲突检测，将策略元素间的比较转化为决策图的搜索问题可大幅降低采集策略冲突检测时间，基于多类型区间决策图进行冲突检测的时间
开销主要与决策图的顶点数和边数相关。图11为本发明实施例提供的4类冲突检测算法的
冲突检测时间随多类型区间决策图顶点数量变化趋势图，为清晰看出各类算法检测时间变
化趋势，图12为本发明实施例提供的又一冲突检测时间随多类型区间决策图顶点数量变化
趋势图，需要说明的是图12去掉了重复采集冲突检测，以更清晰表示单条策略符号冲突检
测、全局策略符号冲突检测和资源约束冲突检测对应的检测时间随多类型区间决策图顶点
数量变化趋势。

[0165] 由图11和图12可知，单条采集策略冲突检测算法的执行时间与多类型区间决策图顶点变化大致呈常数，在理论上进行单条策略的符号冲突检测时，算法的复杂度为O(|E|)，
是在决策图中进行策略匹配的时间开销。其中，|E|为采集策略决策图中边的数量。

[0166] 全局策略符号冲突检测算法和资源约束冲突检测算法的执行时间与采集策略规模变化大致呈线性增长，在理论上算法的复杂度为O(|V|+|E|)，是基于决策图深度优先搜
索简单路径的时间开销。其中，|V|为采集策略决策图中节点的数量，|E|为采集策略决策图
中边的数量。在多类型区间决策图顶点数达到3000个时，全局策略符号冲突检测时间不超
过0.3s，资源约束冲突检测时间不超过0.1s。

[0167] 重复采集冲突检测算法的执行时间与采集策略规模变化呈多项式增长，其时间复2
杂度为O(|V|)，在多类型区间决策图顶点数达到2000个时，其检测时间达到8s左右，其原
因是，进行重复采集冲突检测，需要将系统中所有策略两两比较，即使是通过决策图组织策
略，也有难以避免的计算开销。

[0168] 为说明本方案采集策略冲突检测的高效性，采用常规的策略间顺序比较方案和决策树方案作为对比实验。

[0169] 图13为本发明实施例提供的单条策略符号冲突检测时间随采集策略数量的变化趋势图。对于单条策略符号冲突检测，3类单条策略符号冲突检测算法的冲突检测时间随策
略数量的变化趋势如图13所示，具体检测时间见表2。基于决策图的单条策略符号冲突检测
算法的执行时间与采集策略数量变化大致呈常数，并且随着策略数量增加，冲突检测时间
基本不增加。顺序比较方案的执行时间与采集策略数量变化大致呈线性增长，是待检测策
略与全部策略顺序比较的时间开销，算法的复杂度为O(n×m)，其中，n为策略数量，m为策略
元素数量。决策树方案的执行时间介于决策图方案和顺序比较方案之间，算法的复杂度为O
(t×m)，其中t是决策树中叶子节点的最大策略数。

[0170] 表2本方案与其他方案在单条策略符号冲突检测上的时间对比表

[0171]

[0172] 图14为本发明实施例提供的全局策略符号冲突检测时间随采集策略数量的变化趋势图，图15为本发明实施例提供的另一全局策略符号冲突检测时间随采集策略数量的变
化趋势图。在全局策略符号冲突检测方面，3类全局策略符号冲突检测算法的冲突检测时间
随策略数量的变化趋势如图14和图15所示，具体检测时间见表3。基于决策图的全局策略符
号冲突检测算法的执行时间与采集策略数量变化在理论上呈线性，在策略规模为2万、10万
和20万时，检测时间分别为530微秒、703毫秒、1162毫秒。顺序比较方案的执行时间与采集
策略数量变化大致呈指数增长，是全部策略两两顺序比较的时间开销，算法的复杂度为O
m
(n)，其中，n为策略数量，m为策略元素数量，在策略规模为2万时，检测时间约为30秒，在策
略规模为20万时，检测时间达到50分钟。决策树方案进行全局策略冲突比较时，算法的复杂
m
度为O(t)，其中，t是决策树中叶子节点的最大策略数，由于将各策略元素逐个分割，导致
冲突策略被限制在各叶子节点中，所以只需将各叶子节点中的策略进行顺序比较，大幅降
低了顺序比较的次数，在策略数量小于600时，与决策图方案的检测时间相当，但是随着策
略数量的增加，决策图方案的检测时间优势变得明显，在5万以上采集策略时，决策图方案
是决策树方案检测时间的千分之一。

[0173] 表3本方案与其他方案在全局策略符号冲突检测上的时间对比表

[0174]

[0175]

[0176] 图16为本发明实施例提供的重复采集冲突检测时间随采集策略数量的变化趋势图。2类重复采集冲突检测算法的检测时间随策略数量的变化趋势如图16所示，具体检测时
间见表4。基于决策图的资源约束冲突检测算法执行时间与采集策略数量变化大致呈多项
2
式级，算法的复杂度为O(|V|)，是因为在简单路径搜索后，后续仍有策略元素比较的时间
开销。顺序比较方案的执行时间与采集策略数量变化大致呈指数增长，是全部策略两两顺
序比较的时间开销，其时间复杂度与顺序比较方案进行全局符号冲突检测类似，均为O
m
(n)。

[0177] 表4本方案与其他方案在重复采集冲突检测上的时间对比表

[0178]

[0179]

[0180] 图17为本发明实施例提供的资源约束冲突检测时间随采集策略数量的变化趋势图。2类资源约束冲突检测算法的检测时间随策略数量的变化趋势如图17所示，具体检测时
间见表5。基于决策图的资源约束冲突检测算法执行时间与采集策略数量变化大致呈线性
关系，算法的复杂度为O(|V|+|E|)，是基于决策图深度优先搜索简单路径的时间开销，在策
略数量小于20万条时，检测时间未超过360微秒。顺序比较方案的执行时间与采集策略数量
变化亦呈现出线性关系，但是在采集策略为20万时，其检测时间为决策图方案检测时间的
70倍左右。

[0181] 表5本方案与其他方案在资源约束冲突检测上的时间对比表

[0182]

[0183]

[0184] 基于上述任一实施例，图18为本发明实施例提供的采集策略冲突检测装置的结构示意图，如图18所示，该装置包括：

[0185] 决策图生成单元1801，用于确定多个采集策略对应的采集策略决策图；采集策略决策图中的任一节点表示一个策略元素，策略元素包括采集对象、采集代理、采集项、采集
频率、采集时间和采集动作中的至少一种；

[0186] 冲突检测单元1802，用于基于采集策略决策图，确定多个采集策略的冲突检测结果。

[0187] 具体地，决策图生成单元1801用于确定多个采集策略对应的采集策略决策图。每一采集策略可以采用如下多元函数表现形式：

[0188] f:D1×D2×…×Dn→{collect,donotcollect,conflict}

[0189] 其中，f为单个采集策略或采集策略集，Di可以表示采集策略f中的策略元素，包括但不限于采集对象、采集代理、采集项、采集频率、采集时间，其中，采集对象、采集代理、采
集项为离散型变量，采集时间、采集频率为连续型变量。

[0190] {collect,donotcollect,conflict}表示采集策略f中的采集动作这一策略元素，分别对应于采集、不采集和冲突。

[0191] 该函数的输入使用向量形式表示为X＝{xi|i＝1…n,xi∈Di}，因此，采集策略对应的多元函数又可以表示为：

[0192] f(X)→{collect,donotcollect,conflict}。

[0193] 每一个采集策略多元函数都可以对xi∈X进行分解，因此，可以将函数f形式化为一个或多个采集策略对应的决策图。

[0194] 冲突检测单元1802用于根据多个采集策略对应的采集策略决策图，结合简单路径搜索等图遍历算法，灵活求解冲突策略集合，实现多个采集策略冲突的高效检测。

[0195] 本发明实施例提供的采集策略冲突检测装置，通过确定多个采集策略对应的采集策略决策图，将策略元素间的比较问题转换为决策图的搜索问题，能够在多采集管理中心
的情况下，以较低的时间和空间复杂度检测采集策略的冲突，提高了检测效率，保证了采集
策略的一致性。

[0196] 基于上述任一实施例，任一采集策略是由安全态势分析单元或安全服务能力编排单元生成的。

[0197] 基于上述任一实施例，该装置还具体用于将冲突检测结果发送至安全态势分析单元，供其调整并分发多个采集策略至网络安全对象，供网络安全对象基于分发的多个采集
策略进行安全数据的采集；

[0198] 其中，安全数据用于安全态势分析单元确定威胁预警和/或威胁报警和/或安全态势信息；威胁预警和/或威胁报警用于安全态势分析单元调整多个采集策略，和/或生成处
置策略；安全态势信息用于供安全服务能力编排单元生成和/或调整安全服务编排预案。

[0199] 基于上述任一实施例，决策图生成单元1801具体包括：

[0200] 单策略决策图生成子单元，用于基于任一采集策略的策略元素，确定任一采集策略对应的单策略决策图；

[0201] 采集策略决策图生成子单元，用于基于每一采集策略对应的单策略决策图，确定多个采集策略对应的采集策略决策图。

[0202] 基于上述任一实施例，单策略决策图生成子单元具体包括：

[0203] 三元组确定模块，用于基于任一采集策略的每一策略元素，确定任一采集策略的每一策略元素对应节点的三元组；任一节点的三元组包括节点变量序号、节点变量值和任
一节点的下级节点及两者间的边的二元组集合；

[0204] 单策略决策图确定模块，用于基于任一采集策略的每一策略元素对应节点的三元组，确定任一采集策略对应的单策略决策图。

[0205] 基于上述任一实施例，采集策略决策图生成子单元具体用于将任一采集策略对应的单策略决策图与当前的采集策略决策图进行合并，得到更新后的采集策略决策图。

[0206] 基于上述任一实施例，冲突检测单元1802具体用于：

[0207] 若生成新采集策略和/或外界资源水平大幅变化，则基于采集策略决策图，确定多个采集策略的冲突检测结果。

[0208] 基于上述任一实施例，冲突检测单元1802包括单条策略符号冲突检测子单元，全局策略符号冲突检测子单元，重复采集冲突检测子单元和资源约束冲突检测子单元。

[0209] 基于上述任一实施例，采集策略符号冲突检测子单元具体用于：

[0210] 将新生成的采集策略对应的单策略决策图在采集策略决策图中自顶向下进行策略匹配；

[0211] 若匹配到采集动作不一致的叶子节点，则确定新生成的采集策略与已有策略存在符号冲突。

[0212] 基于上述任一实施例，全局策略符号冲突检测子单元具体用于：

[0213] 在采集策略决策图搜索从根节点到冲突叶子节点的所有简单路径，确定全局策略符号冲突检测结果。

[0214] 基于上述任一实施例，重复采集冲突检测子单元具体用于：

[0215] 确定采集策略决策图中采集代理节点到代表采集的叶子节点的所有简单路径；

[0216] 对于所有简单路径进行逐一检查，若任意简单路径上有至少2个采集代理，则将该简单路径作为重复采集冲突检测结果；和/或，对所有简单路径进行两两比较，若任意两个
不同采集代理的简单路径的采集时间和采集项均有交集，则将任意两个不同采集代理的简
单路径作为重复采集冲突检测结果。

[0217] 基于上述任一实施例，资源约束冲突检测子单元具体用于：

[0218] 获取采集策略决策图中指定采集代理在指定时间的累计资源消耗值；累计资源消耗值是基于采集项和采集频率确定的；

[0219] 若累计资源消耗值大于预设阈值，则确定资源约束冲突检测结果为发生资源约束冲突。

[0220] 基于上述任一实施例，图19为本发明实施例提供的电子设备的结构示意图，如图19所示，该电子设备可以包括：处理器(processor)1901、通信接口(Communications 
Interface)1904、存储器(memory)1902和通信总线1903，其中，处理器1901，通信接口1904，
存储器1902通过通信总线1903完成相互间的通信。处理器1901可以调用存储器1902中的逻
辑指令，以执行如下方法：确定多个采集策略对应的采集策略决策图；采集策略决策图中的
任一节点表示一个策略元素，策略元素包括采集对象、采集代理、采集项、采集频率、采集时
间和采集动作中的至少一种；基于采集策略决策图，确定多个采集策略的冲突检测结果。

[0221] 此外，上述的存储器1902中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本
发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以
软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以
使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施
例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，
Read‑Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种
可以存储程序代码的介质。

[0222] 本发明实施例提供的非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时上述各实施例提供的方法，例如包括：确定多个采集策略对应的
采集策略决策图；采集策略决策图中的任一节点表示一个策略元素，策略元素包括采集对
象、采集代理、采集项、采集频率、采集时间和采集动作中的至少一种；基于采集策略决策
图，确定多个采集策略的冲突检测结果。

[0223] 以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单
元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其
中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性
的劳动的情况下，即可以理解并实施。

[0224] 通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上
述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该
计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指
令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施
例或者实施例的某些部分所述的方法。

[0225] 最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可
以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；
而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和
范围。