态势指标体系与数据基础第2页 / 共8页

01 · 三层指标体系框架

为避免"指标堆砌"，本课题将路由安全态势指标组织为三层：事件层（互联网正在发生什么）、防御层（防御机制部署到什么程度）、治理层（行业协同推进到什么水平）。三层指标相互印证：事件层的恶化应能从防御层找到缺口解释，治理层的投入应能在事件层看到收敛效果。

1.1 事件层核心指标

1.2 防御层核心指标

1.3 治理层核心指标

02 · 指标数据源全景与接入规范

2.1 数据源分层

2.2 多源数据仲裁规则

不同数据源对同一事件的记录可能冲突（时间戳偏差、观测点可见性差异、事件分类不一致）。本课题规定三级仲裁规则：

• 时效优先：实时告警以ris-live等流式数据为准，MRT快照用于事后核验与影响面回溯。
• 多源印证：事件确认需至少两个独立观测源（如RouteViews某观测点 + RIS某RRC）记录到一致的异常宣告；单源事件降级为"待确认"。
• 分类以BGPStream为准入、人工研判为终审：自动事件分类结果须经研判规则（基线库、合法MOAS白名单）过滤，人工确认后写入事件档案库。

03 · 观测偏差与指标解释原则

这是本课题回答KQ-1（指标口径与偏差）的核心章节。所有基于被动收集数据的统计都必须正视以下三类系统性偏差：

04 · 指标可视化与钻取设计

• 全球视图：按RIR区域分面的ROA覆盖率堆叠图 + 劫持事件热力图（地理栅格化，强度为受影响AS数）；突出"高事件×低覆盖"的风险象限。
• 趋势视图：三类指标（事件/防御/治理）的月度时间序列同图展示，支持事件层与防御层指标的滞后相关性观察（如ROV启用率上升后3-6个月劫持成功率的变化）。
• AS钻取视图：单AS的完整画像——宣告前缀清单与ROA状态、历史事件时间线、商业关系概要、MANRS合规状态； drill-down 路径：全球→区域→AS。
• 告警工作台：实时事件流卡片（含置信度、影响面初估、处置状态），支持研判员标记、合并、升级操作。

05 · 指标字典样例（单指标完整定义模板）

以下以"劫持事件频率"为例展示指标字典的完整定义格式。所有指标按此模板建档，保证"一个指标、一套口径、一名责任人"：

{
  "id": "EVT-HIJ-001",
  "name": "劫持事件频率",
  "layer": "事件层",
  "definition": "统计周期内经双源印证确认的路由劫持事件数量",
  "formula": "count(events WHERE type='hijack' AND status='confirmed' AND period=P)",
  "unit": "件/月",
  "data_sources": ["BGPStream事件库", "ris-live实时流", "自研检测管道"],
  "freshness": "实时告警 + 每日批处理校准",
  "breakdown": ["按劫持类型(前缀/子前缀)", "按RIR区域", "按受影响AS数分层"],
  "bias_notes": "观测下界；受收集器拓扑覆盖影响，报表须附口径说明",
  "owner": "指标责任人 + 备份责任人",
  "thresholds": {"warn": "环比上升>30%", "critical": "G1事件≥1件"},
  "review_cycle": "季度口径评审"
}

• 字典治理规则：指标新增/废止须经季度指标评审会；口径变更必须记录版本号并标注统计断点；对外发布仅使用字典内登记的指标。
• 与平台实现的映射：字典id直接对应平台指标API的指标标识，实现"规范—实现—发布"三一致，避免文档与系统"两张皮"。
• 国际可比性：字典中预留与MANRS Observatory、Cloudflare Radar等公开指标的映射字段，支撑跨源数据交叉验证（响应KQ-1）。

本节参考来源（第2页）