YD/T 3641.2-2020 标准解读

一、标准适用范围与执行边界

• 适用主体：持有《基础电信业务经营许可证》或《增值电信业务经营许可证》，且实际提供公众移动通信接入服务的互联网服务提供商（ISP），含三大基础运营商及其全资/控股省级子公司；不适用于仅提供Wi-Fi热点聚合管理但未直接签约用户、不分配IP地址的第三方运营平台。
• 适用场景：用户通过2G/3G/4G/5G无线接入网（含NB-IoT、eMTC等蜂窝物联网）访问互联网时产生的原始日志采集、存储、关联与查询行为；覆盖用户附着、PDP/PDN激活、HTTP/HTTPS请求、DNS解析、FTP连接等关键交互环节。
• 排除条件：纯局域网内设备间通信（如蓝牙直连、Wi-Fi Direct）、未经过核心网UPF/SGW/PGW转发的D2D通信、用户终端本地缓存读取行为、非信令面触发的UE内部日志；不强制要求留存用户终端操作系统日志、APP内埋点数据及加密载荷内容。

二、核心实操技术要求

1. 日志字段强制项：必须包含12项基础字段——时间戳（UTC+8，精度≤1秒）、IMSI、MSISDN、IMEI、接入基站ECI/CGI、服务网元IP（MME/AMF/UPF）、源IP（用户侧）、目的IP（目标服务器）、目的端口、协议类型（TCP/UDP/ICMP）、请求方法（GET/POST等）、响应状态码（HTTP）；其中IMSI与MSISDN须独立存储，禁止哈希脱敏后不可逆还原。
2. 留存周期与存储：原始日志本地存储≥6个月，异地灾备副本≥3个月；单条日志存储格式为ISO 8601标准字符串+UTF-8编码文本，禁止使用二进制封装；日志文件按小时切分，命名规则为“YYYYMMDDHH_log.csv”，首行含字段头，无BOM标记。
3. 关联能力要求：须支持基于IMSI+时间窗口（±30秒）的多网元日志自动关联，UPF侧流量日志与MME侧信令日志关联成功率≥99.99%，关联结果须生成唯一TraceID并写入每条记录的扩展字段“trace_id”。
4. 查询响应规范：接公安/网信部门协查指令后，须在15分钟内完成指定IMSI+时间段（跨度≤7天）的全量日志提取，返回格式为RFC 5424 Syslog标准，单次响应数据量超1GB时启用分卷压缩（ZIP，无密码），传输通道须经省通信管理局认证的专用安全链路。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：多厂商网元日志格式异构：华为UPF输出JSON，中兴MME输出定长二进制，爱立信AMF输出XML。解决方案：部署统一日志适配层（Log Adapter），预置各厂商Schema映射表，强制转换为标准CSV字段集，字段缺失时填“NULL”并记录告警日志至独立审计库。
• 难点2：海量日志实时关联性能瓶颈：单省日均日志量超200TB，IMSI关联耗时超2秒。解决方案：采用布隆过滤器预筛IMSI集合，构建IMSI→ECI+时间戳二级索引，内存中维护最近1小时热数据哈希表，冷数据走SSD加速查询。
• 难点3：HTTPS SNI字段获取受限：TLS 1.3加密导致传统旁路镜像无法提取SNI。解决方案：在UPF用户面部署eBPF程序，在socket connect()系统调用层捕获SNI明文，经gRPC推送至日志采集端，符合标准第4.4.2条“允许通过内核态探针获取必要明文信息”。
• 难点4：跨省用户轨迹断点：用户漫游至外省后，归属省无UPF日志。解决方案：建立省际日志共享协议，漫游发生时由归属省向拜访省发起TraceID订阅请求，拜访省UPF将含该TraceID的日志实时推至归属省汇聚节点，延迟≤500ms。