CN110929288B - 生成公钥证书的方法、证书授权中心和介质 - Google Patents

Abstract

本公开提供了一种在区块链网络中生成公钥证书的方法和证书授权中心。所述方法由所述区块链网络中的证书授权中心执行，所述方法包括：接收从认证中心发送的针对所述区块链网络中节点的公钥证书生成请求，所述公钥证书生成请求中含有所述节点的标识和特定于所述节点的私钥；针对所述公钥证书生成请求中所述节点的标识，以及根据所述公钥证书请求中特定于所述节点的私钥，生成特定于所述节点的公钥；根据所述公钥证书生成请求中所述节点的标识、和生成的特定于所述节点的公钥，生成所述节点的公钥证书。本公开实施例能够保障非共识节点查询区块链上交易信息的安全性，且不会降低效率。

Description

生成公钥证书的方法、证书授权中心和介质

本申请是2018年12月07日提交的、申请号为201811495782.5、发明名称为“在区块链网络中查询交易信息的方法、代理节点和介质”的分案申请。

技术领域

本公开涉及区块链领域，具体涉及一种在生成公钥证书的方法、证书授权中心和介质。

背景技术

传统的联盟区块链网络中，对加入的成员节点要进行全局管理维护。一般通过认证中心来维护成员的身份信息。但是，在频繁连接和共识时，需要进行频繁的身份识别，会大大降低区块链的性能和运行效率。另外，当区块链用于政府或商业机构的一些场景中时，并非所有的节点都有足够的资源和必要性成为参与区块链共识的节点，而让不参与共识的非共识节点能够充分信任这些共识的节点，成为一个挑战。

因此，如何在并非所有的节点都有足够的资源和必要性成为参与区块链共识的节点的情况下，能够保障非共识节点查询区块链上交易信息的安全性，又不会降低效率，是现有技术面临的一个问题。

发明内容

本公开的一个目的在于在并非所有的节点都有足够的资源和必要性成为参与区块链共识的节点的情况下，保障非共识节点查询区块链上交易信息的安全性，且不会降低效率。

根据本公开实施例的一方面，公开了一种在区块链网络中生成公钥证书的方法，所述区块链网络包括认证中心和证书授权中心，所述所述认证中心用于对所述区块链网络中节点的身份进行认证，并在认证通过后向所述证书授权中心发起公钥证书生成请求，所述方法由所述证书授权中心执行，所述方法包括：接收从所述认证中心发送的针对所述区块链网络中节点的公钥证书生成请求，所述公钥证书生成请求中含有所述节点的标识和特定于所述节点的私钥；针对所述公钥证书生成请求中所述节点的标识，以及根据所述公钥证书请求中特定于所述节点的私钥，生成特定于所述节点的公钥；根据所述公钥证书生成请求中所述节点的标识、和生成的特定于所述节点的公钥，生成所述节点的公钥证书。

根据本公开实施例的一方面，公开了一种区块链网络中的证书授权中心，所述所述区块链网络包括认证中心和所述证书授权中心，所述所述认证中心用于对所述区块链网络中节点的身份进行认证，并在认证通过后向所述证书授权中心发起公钥证书生成请求，所述证书授权中心包括：公钥证书生成请求接收单元，用于接收从所述认证中心发送的针对所述区块链网络中节点的公钥证书生成请求，所述公钥证书生成请求中含有所述节点的标识和特定于所述节点的私钥；公钥生成单元，用于针对所述公钥证书生成请求中所述节点的标识，以及根据所述公钥证书请求中特定于所述节点的私钥，生成特定于所述节点的公钥；公钥证书生成单元，用于根据所述公钥证书生成请求中所述节点的标识、和生成的特定于所述节点的公钥，生成所述节点的公钥证书。

根据本公开实施例的一方面，公开了一种区块链网络中的证书授权中心，包括：存储器，存储有计算机可读指令；处理器，读取存储器存储的计算机可读指令，以执行如上所述的方法。

根据本公开实施例的一方面，公开了一种计算机程序介质，其上存储有计算机可读指令，当所述计算机可读指令被计算机的处理器执行时，使计算机执行如上所述的方法。

本公开实施例中，为保证查询交易信息的而安全性，设置有公钥证书，公钥证书由区块链网络中的证书授权中心颁发，响应于区块链网络中的节点对公钥证书的请求而生成，含有特定于节点的公钥。在进行交易信息查询时，基于区块链网络中节点的公钥证书即可轻便地实现节点身份的管理，在并非所有的节点都有足够的资源和必要性成为参与区块链共识的节点的情况下，能够保障非共识节点查询区块链上交易信息的安全性，且不会降低效率。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本公开。

附图说明

通过参照附图详细描述其示例实施例，本公开的上述和其它目标、特征及优点将变得更加显而易见。

图1A-1C示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法的三种体系构架图。

图2A-2C示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在供应链金融、电子发票、法定数字货币三种不同的应用场景下的场景构架图。

图3A-3I示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在供应链金融应用场景下的业务节点显示界面图，这些界面图表示了供应链金融应用场景下从交易信息上链到查询交易信息并验证数据区块内容的大体过程。

图4A-4I示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在电子发票应用场景下的业务节点显示界面图，这些界面图表示了电子发票应用场景下从交易信息上链到查询交易信息并验证数据区块内容的大体过程。

图5A-5I示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在法定数字货币应用场景下的业务节点显示界面图，这些界面图表示了法定数字货币应用场景下从交易信息上链到查询交易信息并验证数据区块内容的大体过程。

图6示出了根据本公开一个实施例的由代理节点执行的在区块链网络中查询数据区块中的交易信息的方法的流程图。

图7示出了根据本公开一个实施例的由认证授权中心执行的生成公钥证书的具体流程图。

图8示出了根据本公开一个实施例的由记账节点执行的根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息的具体流程图。

图9示出了根据本公开一个实施例的由业务节点执行的对数据区块的区块头中的签名进行签名验证的具体流程图。

图10示出了根据本公开一个实施例的步骤320的详细流程图。

图11示出了根据本公开一个实施例的步骤320的详细流程图。

图12示出了根据本公开一个实施例的确定将查询请求发送到的记账节点的详细流程图。

图13示出了根据本公开一个实施例的图12中步骤730的详细流程图。

图14示出了根据本公开一个实施例的图13中步骤7303的详细流程图。

图15示出了根据本公开一个实施例的确定将查询请求发送到的记账节点的详细流程图。

图16示出了根据本公开一个实施例的图15中步骤760的详细流程图。

图17示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的代理节点的模块框图。

图18示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的代理节点的硬件结构图。

具体实施方式

现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些示例实施方式使得本公开的描述将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。

此外，所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多示例实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的示例实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、步骤等。在其它情况下，不详细示出或描述公知结构、方法、实现或者操作以避免喧宾夺主而使得本公开的各方面变得模糊。

附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。

下面先参照图1A-1C描述一下本公开实施例所应用的体系构架和整体流程。

图1A示出了本公开实施例所应用的一种区块链网络的体系构架。区块链网络包括记账节点子网络2和业务节点子网络1。记账节点子网络2包括将数据区块记录到区块链上的记账节点21。业务节点子网络1包括对记账节点记录到区块链上的数据区块进行验证的业务节点11。记账节点子网络2和业务节点子网络1之间通过代理节点12连接。代理节点12是业务节点子网络1的一个业务节点，但是比较特殊的一个业务节点。它负责将记账节点21要向业务节点11传递的信息传递给业务节点11。业务节点11是产生各种需上链的交易信息的交易方的终端。它们产生了交易信息，但没有权利直接记录到区块链上，必须通过一个记账节点21将交易信息记录到区块链上。由少数记账节点21统一记账，也有利于事务的统一处理和监管，而业务节点11能够通过记账节点21经由代理节点12发送来的信息进行交易信息上链的监督和见证。这在某些既需要统一监管、但又怕监管的节点集体作弊因而需要民众监督的场景中有十分重要的意义。记账节点子网络2中，每个记账节点21产生一个数据区块后，广播到其它记账节点21进行共识，然后进行上链。图1A中，业务节点子网络1采用P2P网络模式。P2P网络是一种在对等者(Peer)之间分配任务和工作负载的分布式应用架构，是对等计算模型在应用层形成的一种组网或网络形式，即“点对点”或者“端对端”网络。其可以定义为：网络的参与者共享他们所拥有的一部分硬件资源(处理能力、存储能力、网络连接能力、打印机等)，这些共享资源通过网络提供服务和内容，能被其它对等节点直接访问而无需经过中间实体。在此网络中的参与者既是资源、服务和内容的提供者，又是资源、服务和内容的获取者。因此，在业务节点子网络1中，当代理节点12接收到从记账节点21传递过来的消息，向周围的业务节点11传播。周围的业务节点11接收到该消息，再向其周围的业务节点11传递，层层传播，达到了该消息在业务节点子网络1的每个业务节点11的传播。

图1B示出了本公开实施例所应用的另一种区块链网络的体系构架。该体系构架与图1A的体系构架不同之处在于，在业务节点子网络1中，没有采取P2P网络模式，采取广播网络的模式。代理节点12接收到从记账节点21传递过来的消息，将该消息广播到业务节点子网络1中的其它业务节点11。这样，也实现了该消息在业务节点子网络1的每个业务节点11的传播。

图1C示出了本公开实施例所应用的另一种区块链网络的体系构架。该体系构架与图1A的体系构架不同之处在于，其记账节点子网络2分成了多个分支记账节点子网络。每个分支记账节点子网络可以负责某一种类型的交易信息的记录。例如，某一企业可能具有供应链金融业务，可能需要将供销过程中产生的合同信息、货款赊欠等信息记录到区块链上，同时该企业还要开具发票，也要把开票信息、发票报销信息等记录到区块链上。这时，为了有利于记账节点被同一部门监管的需要，可能记录供应链金融业务交易的记账节点和记录发票流转过程中的交易的记账节点要分属于不同部门。例如，记录供应链金融业务交易的记账节点是银行设置的记账终端，而记录发票流转过程中的交易的记账节点是国税局设置的记账终端。而供应链金融业务交易和记录发票流转过程中的交易可能也最终会记录在不同的子区块链上。这时，代理节点12要根据从业务节点11发来的交易信息中携带的交易类型，将该交易信息发送到与该交易类型对应的分支记账节点子网络中。

图2A示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在供应链金融的应用场景下的场景构架图。

供应链金融是这样一种业务：制造企业生产一个设备或产品，往往不一定是自己的企业生产该设备或产品的所有零件或组成部分，其中一些零件或组成部分的生产需要外包到其它企业去生产。制造企业虽然与订货方提前订立了供销合同，但只有在生产出来整个设备或产品时才能够拿到货款，而在这个过程中采购零件或组成部分的钱需要自己垫付，造成制造企业资金周转困难。因此，产生了这样一种需求，即制造企业可以凭整个设备或产品订立的总采购合同(其中有价款和订购方信息)到银行进行担保，当需要进行零件或组成部分的采购时，以在银行担保过的整个设备或产品的总采购合同为依据，从该设备或产品的总采购合同中价款中划转出一部分用于该零件或组成部分的采购的担保。这样，生成零件或组成部分的企业可以放心进行该零件或组成部分的生产，由于由银行担保，不用担心该划转出的一部分货款收不到。同时，制造企业此时并没有真正拿出这笔钱，而是等到得到整个设备或产品的采购方的实际货款时才将相应一部分付给零件或组成部分的生产商。

在传统的区块链网络中，由于由银行设置了所有的记账节点，而这个网络是封闭的，供销链上的各节点企业是与供应链金融的数据区块上链利益相关的节点，却不能监督和见证，只能完全信任这个利益无关方的由记账节点组成的记账网络。例如，制造企业与整个设备或产品的订购方订立了总采购合同，或者与零件或组成部分的生成方签订了分采购合同，都需要将这些合同传给银行设置的记账节点上链。这时，银行设置的各记账节点可以互相监督和见证，但供销链上的各节点企业却不能监督和见证。另外，在传统的区块链网络中，与当前供销链无关的其它任何企业节点，也可能通过对应的记账节点查询到当前供销链上的企业节点上链的任何交易信息。因此，带来了极大的交易信息泄露隐患。

然而，在图2A中，由于记账节点子网络2与业务节点子网络1分开，记账节点子网络2专用于记账，而业务节点子网络1包含了供销链上的各节点企业终端，对记账节点21的记账进行见证。一旦记账节点21集体作弊，见证的各业务节点11会保留有具体记账节点作恶的证据。业务节点11需要查询交易信息时，不需要在记账节点子网络2中维护其身份，只在证书授权中心维护一个业务节点的公钥证书即可。在代理节点12验证时代理节点12获得该公钥证书，从中取出特定于业务节点11的公钥进行签名验证。对业务节点11的签名验证不惊动记账节点子网络2，只在代理节点12进行。这样，在不影响记账节点子网络的效率的基础上，业务节点子网络中的业务节点可以大规模扩展，同时保证查询上链交易信息的安全性。

在一个汽车供应链金融的例子中，如图2A所示，各业务节点11包括汽车制造商终端、轮胎制造商终端、橡胶生产商终端、车零部件供应商终端、银行终端等。汽车制造商与汽车订购方订立了总采购合同，从总采购合同的价款中拨出一部分用于轮胎的采购，再拨出相应的部分用于车零部件的采购。轮胎制造商以与汽车制造商订立的合同为依据，再从该合同的价款中拨出一部分用于制造轮胎所需橡胶的采购。这样，就建立起了层层采购关系。

当汽车制造商与汽车订购方订立了总采购合同，或者汽车制造商与轮胎制造商、车零部件供应商订立分采购合同，或者轮胎制造商与橡胶生产商订立分采购合同时，将相应的交易信息传递给代理节点12，由代理节点12选择一个记账节点21。代理节点12将相应的交易信息发送给选择的记账节点21缓存。记账节点21一般不会单独为一条交易信息打包成一个数据区块上链，而是按照区块打包要求(例如凑齐足够的条数或大小)，打包成一个数据区块。记账节点21生成特定于该记账节点的私钥，利用特定于该记账节点的私钥，基于要添加到区块链上的一个数据区块中所要包括的交易信息，生成签名。生成签名的方法是先对数据区块中的交易信息生成摘要，再用特定于该记账节点的私钥对摘要加密，得到签名。记账节点21将所述交易信息放入数据区块的区块体，将生成的摘要和签名加入所述数据区块的区块头，在所有记账节点21之间进行共识后上链，同时将区块头通过代理节点12发送到业务节点子网络中的每个业务节点11。

记账节点21生成特定于记账节点21的私钥后，还请求证书授权中心(CA，未示)发放特定于该记账节点21的公钥证书。具体方法可以是：请求认证中心(未示)对记账节点21的身份进行认证。认证通过后，将公钥证书生成请求发送到认证授权中心。该公钥证书生成请求中有特定于该记账节点的私钥。证书授权中心根据特定于该记账节点的私钥生成特定于该记账节点的公钥，并据此生成公钥证书，发送给业务节点11。

业务节点11接收到区块头后，获取该记账节点21的公钥证书，从中取出特定于该记账节点的公钥。业务节点11用特定于该记账节点的公钥对所述签名进行解密，得到所述数据区块中的交易信息的摘要。如果区块头中的摘要与解密得到的摘要一致，则签名验证成功。

业务节点11得到了数据区块的区块头，但没有得到该数据区块的区块体，因此，业务节点11是看不到每个交易信息的。业务节点11要查看交易信息时，需要向代理节点12请求。为了保证查询的安全性，业务节点11要生成特定于该业务节点的私钥，对该查询请求生成签名。签名的方法是先对查询请求按照预定摘要算法生成摘要，然后对摘要利用特定于该业务节点的私钥加密，得到签名。

业务节点21生成特定于业务节点21的私钥后，还请求证书授权中心(CA，未示)发放特定于该业务节点21的公钥证书。具体方法可以是：请求认证中心(未示)对业务节点21的身份进行认证。认证通过后，将公钥证书生成请求发送到认证授权中心。该公钥证书生成请求中有特定于该业务节点的私钥。证书授权中心根据特定于该业务节点的私钥生成特定于该业务节点的公钥，并据此生成公钥证书，发送给代理节点11。

当代理节点12接收到查询请求后，对业务节点11的权限进行验证，方法是从公钥证书获取特定于该业务节点的公钥，然后用该特定于该业务节点的公钥对该签名进行验证。具体地，代理节点12用该特定于该业务节点的公钥对该签名进行解密，得到查询请求的摘要，再按照签名时同样的预定加密算法对所述查询请求重新计算摘要，如果重新计算的摘要与解密得到的摘要一致，则验证成功，业务节点11身份合法，将查询请求发送到记账节点21，以便记账节点21根据业务节点的目标业务节点权限数据，确定是否向该业务节点11返回数据区块中的交易信息。

下面结合图3A-3I说明供应链金融应用场景下从交易信息上链到查询并验证的大体过程。图3A-3I是根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在供应链金融应用场景下的业务节点显示界面图。

如图3A所示，B汽车厂以A销售商采购B汽车厂1000万采购订单为基础，用1000万中的200万作保，委托C轮胎厂生产200万售价的轮胎。B汽车厂的业务员在B汽车厂的业务节点11录入以上交易信息后，点击“提交到记账节点”选项，交易信息通过代理节点12发送到记账节点21。记账节点21将要添加到区块链上的一个数据区块中所要包括的交易信息放在一个区块体中。记账节点21还生成这些交易信息的摘要，如图3B的默克尔树根。记账节点21生成特定于该记账节点的私钥，利用该私钥对该数据区块中的交易信息生成签名。记账节点21将摘要、签名以及区块链上前一数据区块的摘要一同放在区块头中，将交易信息方在区块体中。区块头和区块体组成上链的数据区块，经所有记账节点21共识后上链。

记账节点21还将区块头发送到每个业务节点11。在业务节点11的屏幕上显示当前数据区块中交易信息的摘要(例如默克尔树根)、签名以及区块链上前一数据区块的摘要，如图3B所示。由于记账节点21生成特定于记账节点21的私钥后，还由证书授权中心生成公钥证书，里面有特定于记账节点21的公钥。记账节点21获取公钥证书，并利用其中的特定于记账节点21的公钥对所述签名进行解密，得到所述数据区块中的交易信息的摘要。如果接收到的区块头中的摘要与解密得到的摘要不一致，则签名验证失败，显示如图3C所示的界面。如果接收到的区块头中的默克尔树根与解密得到的默克尔树根一致，则签名验证成功，显示如图3D所示的界面。由于在以上的过程中，业务节点11仅获得了数据区块的区块头，还没有获得区块头中的交易信息。此时，在图3D的界面中询问用户是否请求该数据区块中的交易信息。

如果用户选择“是”，业务节点11生成一个查询请求，并利用特定于业务节点11的私钥对其签名。同时，如图3E所示，在屏幕上显示是否请求业务节点11的公钥证书的提示。如果用户选择“是”，认证授权中心为其生成公钥证书，公钥证书中有特定于该业务节点11的公钥。当代理节点12接收到查询请求后，从公钥证书中获取特定于该业务节点的公钥，然后用该特定于该业务节点的公钥对该签名进行验证。如果验证失败，显示如图3F的界面，业务节点不能继续进行交易信息查询。

如果验证成功，业务节点11身份合法，代理节点12将查询请求发送到记账节点21，以便记账节点21根据业务节点的目标业务节点权限数据，确定是向该业务节点11返回数据区块中的交易信息还是交易信息的哈希值。图3G的界面上显示了记账节点21返回的交易信息以及交易信息的哈希值。

当用户在图3G的界面上选择“进行内容验证”后，业务节点11根据图3G上的交易信息以及交易信息的哈希值计算数据区块中交易信息的摘要(如默克尔树根)，与区块头中包含的摘要(如默克尔树根)进行比较，从而进行内容验证。如果记账节点21篡改过数据区块的内容，则计算出的摘要与区块头中包含的摘要不一致，显示如图3H所示的“内容验证失败”的界面。如果计算出的摘要与区块头中包含的摘要一致，显示如图3I所示的“内容验证成功”的界面。

图2B示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在电子发票的应用场景下的场景构架图。

在传统的电子发票的区块链应用场景中，地税局向开票企业发放发票，开票企业向领票人开出发票，领票人向领票人所在的报销单位报销发票。所有这些交易都需要上链，即记录到区块链上。但是，地税局、开票企业、报销单位这些节点不是记账节点21。它们要委托对应的记账节点或超级节点将这些交易记录在区块链上。所有这些记账节点或超级节点都是国税部门统一设置的。它们之间可以互相监督和见证，但地税局、开票企业、报销单位这些节点是发票的直接关系人，却不能监督和见证，只能完全信任记账节点21。另外，任何企业都可以通过其对应的记账节点查询区块链上任何交易信息。但在某些情况下，企业的发票相关信息并不希望被其它企业获知。在本公开实施例中，由于记账节点子网络2与业务节点子网络1分开，记账节点子网络2专用于记账，而业务节点子网络1包含了这些发票利益相关的节点，对记账节点21的记账进行见证。一旦记账节点21集体作弊，见证的各业务节点11会保留有具体记账节点作恶的证据。

在一个电子发票的例子中，如图2B所示，各业务节点11包括开票单位终端、报销人手机、报销单位终端、地税局终端等。

当地税局为开票单位发放发票，或者开票单位开出发票，或者报销人到报销单位报销时，将相应的交易信息(发票所有权的转移)传递给代理节点12，由代理节点12选择一个记账节点21。代理节点12将相应的交易信息发送给选择的记账节点21缓存。然后，记账节点21按照区块打包要求打包成数据区块。记账节点21生成特定于记账节点21的私钥，基于数据区块中的交易信息，生成摘要和签名，将摘要和签名加入数据区块的区块头，将交易信息加入数据区块的区块体后上链并将区块头发送给业务节点11，这些过程与结合图2A所示的过程类似。在业务节点11处利用记账节点21的公钥证书中的公钥进行签名验证。签名验证通过后，如果需要查看交易信息的内容，生成对交易信息的查询请求，并生成特定于业务节点的私钥以对查询请求生成签名，发送到代理节点12。同时，请求认证授权中心生成业务节点11的公钥证书，其中有特定于业务节点11的公钥。代理节点12对该签名利用从认证中心获得的特定于业务节点11的公钥进行签名验证。验证成功后，将查询请求发送到记账节点21，由记账节点21返回交易信息或交易信息的哈希值。业务节点11利用交易信息或交易信息的哈希值进行内容验证，验证过程也与上面结合图2A所示的过程类似，故不赘述。

图4A-4I示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在电子发票应用场景下的业务节点显示界面图，这些界面图表示了电子发票应用场景下交易信息上链、查询并验证的大体过程。

如图4A所示，在2018年10月22日，刘山到彩虹电脑公司为所在单位宏生公司购买一台电脑，花了3000元。彩虹电脑公司为刘山开具了一张发票，交易ID为000083。彩虹电脑公司的工作人员录入以上信息后，点击“提交到记账节点”选项，交易信息通过代理节点12发送到记账节点21。记账节点21将要添加到区块链上的一个数据区块中所要包括的交易信息放在一个区块体中。记账节点21还生成摘要和签名，将摘要、签名以及区块链上前一数据区块的摘要一同放在区块头中。记账节点21将数据区块上链，并将区块头发送到每个业务节点11。在业务节点11的屏幕上显示摘要、签名以及区块链上前一数据区块的摘要，如图4B所示。

然后，记账节点21进行签名验证，根据验证结果显示图4C或图4D的界面。如果需要向记账节点21查询交易信息，生成查询请求并显示图4E的询问是否请求公钥证书的界面。如请求，则证书授权中心为记账节点发放公钥证书，其中有特定于记账节点的公钥。代理节点12接收到该签名后，从公钥证书中获取特定于业务节点11的公钥进行签名验证。如果验证失败，显示图4F的界面。如果验证成功，将查询请求转发到记账节点21根据业务节点11的权限数据向业务节点11返回交易信息或交易信息的哈希值，如图4G所示。业务节点11进行内容验证，然后根据内容验证的验证结果，分别显示图4H-4I的界面。这些过程与图3C-3I所示的过程类似，故不赘述。

图2C示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在法定数字货币的应用场景下的场景构架图。

在传统的例如比特币的民间数字货币的场景以下，比特币的流转过程中的每一笔交易，都由交易的当事方进行上链。每个当事方既可以作为记账节点进行上链操作，也可以见证其它节点上链的数据区块。由于每个节点既作为记账节点，又作为见证节点，使得公众对于这种数字货币的使用比较信赖。然而，在法定数字货币的场景下，该数字货币由官方发行，必须由官方进行监管，而公众又需要对其信任，防止官方记账节点集体作弊，产生了现有网络体系面对政府监管和民众信任的平衡方面的问题。而且，现有比特币区块链网络中，每个节点既作为记账节点，又作为见证节点，这样每个节点的用户都能看到区块链上记录的所有交易信息，而有些单位的交易信息是不希望暴露给所有人的，又产生了隐私保护的问题。

在这种情况下，本公开实施例的记账节点子网络和业务节点子网络分开的方案，完全避免了这一问题。记账节点子网络的每个记账节点属于官方。任一业务节点处发生了法定数字货币的交易，都要将该法定数字货币的交易通过对应的记账节点记录到区块链上。但是,业务节点子网络中的每个业务节点可以对记账节点21的记账进行见证。一旦记账节点21集体作弊，见证的各业务节点11会保留有具体记账节点作恶的证据，兼顾了政府监管和民众信任。

在一个法定数字货币的例子中，如图2C所示，各业务节点11包括法定数字货币流通中涉及的各个交易终端。当发送法定数字货币的交易信息时，交易终端将相应的交易信息(法定数字货币所有权的转移)传递给代理节点12，由代理节点12选择一个记账节点21。代理节点12将相应的交易信息发送给选择的记账节点21缓存。然后，记账节点21按照区块打包要求打包成数据区块。记账节点21生成特定于记账节点21的私钥，基于数据区块中的交易信息，生成摘要和签名，将摘要和签名加入数据区块的区块头，将交易信息加入数据区块的区块体后上链，并将区块头发送给业务节点11，这些过程与结合图2A所示的过程类似。

记账节点21生成特定于记账节点21的私钥后，还请求证书授权中心对生成记账节点21的公钥证书，其中含有特定于记账节点21的公钥。业务节点11接收到区块头后，进行签名验证、查询具体交易信息、对数据区块中内容进行内容验证的过程也与上面结合图2A所示的过程类似，故不赘述。

图5A-5I示出了根据本公开一个实施例的在区块链网络中查询数据区块中的交易信息的方法应用在法定数字货币应用场景下的业务节点显示界面图，这些界面图表示了电子发票应用场景下记账和见证的大体过程。如图5A所示，在2018年8月29日，因X公司从Y公司买入一台售价3000单位法定数字货币的家具，付给Y公司法定数字货币3000单位。X公司的经办人录入以上信息后，点击“提交到记账节点”选项，交易信息通过代理节点12发送到记账节点21。记账节点21将要添加到区块链上的一个数据区块中所要包括的交易信息放在数据区块的区块体中。记账节点21还生成数据区块中交易信息的摘要和签名，将摘要、签名以及区块链上前一数据区块的摘要一同放在数据区块的区块头中。记账节点21将数据区块上链，并将区块头发送到每个业务节点11。在业务节点11的屏幕上显示摘要、签名以及区块链上前一数据区块的摘要，如图5B所示。

然后，业务节点11进行签名验证，根据验证结果显示图5C或图5D的界面，并向代理节点12查询交易信息。业务节点11用特定于业务节点11的私钥对查询请求进行签名。显示如图5E所示的界面，询问是否请求公钥证书。如果请求，证书授权中心生成业务节点11的公钥证书，其中包含有特定于业务节点11的公钥。代理节点12验证签名时用该公钥证书获取特定于业务节点11的公钥，对该签名进行验证。如果验证失败，业务节点11显示如图5F所示的界面。如果验证成功，代理节点12将查询请求发送到记账节点21，以便记账节点21根据业务节点11的目标业务节点权限数据，确定向该业务节点11返回数据区块中的交易信息还是交易信息的摘要值。图5G示出了业务节点11显示接收到的交易信息或交易信息的摘要值的界面。业务节点11根据这些交易信息或交易信息的摘要值进行数据区块的内容验证。根据内容验证结果，显示图5H或图5I的界面。

如图6所示，根据本公开的一个实施例，提供了一种在区块链网络中查询数据区块中的交易信息的方法。如图1A-1C所示，所述区块链网络包括记账节点子网络2和业务节点子网络1。所述记账节点子网络2包括将数据区块记录到区块链上的记账节点21。所述业务节点子网络1包括对记账节点记录到区块链上的数据区块进行验证的业务节点11。记账节点子网络2与业务节点子网络1通过代理节点12进行通信，所述代理节点12是业务节点子网络1中的一个业务节点。所述方法由代理节点12执行，所述方法包括：

步骤310、接收业务节点对数据区块中的交易信息的查询请求、和用特定于该业务节点的私钥对该查询请求生成的签名；

步骤320、获取该业务节点的公钥证书，所述公钥证书响应于业务节点对公钥证书的请求而生成，含有特定于该业务节点的公钥；

步骤330、从该业务节点的公钥证书中，获取特定于该业务节点的公钥；

步骤340、用该特定于该业务节点的公钥对该签名进行验证；

步骤350、在验证成功的情况下，将查询请求发送到记账节点，以便记账节点根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息，所述目标业务节点权限数据指示该业务节点有权查询的目标业务节点。

在一个实施例中，业务节点向代理节点发送对数据区块中的交易信息的查询请求，是在业务节点接收到数据区块的区块头之后发生的。即，带有交易信息的数据区块上链后，记账节点会将区块头发送给业务节点，通知数据区块已经上链了，如果需要查询具体交易信息的话，可以通过代理节点向记账节点查询。因此，在描述步骤310-340的详细过程之前，有必要对所述业务节点发送对数据区块中的交易信息的查询请求前该业务节点的操作进行描述。

在该实施例中，所述业务节点对数据区块中的交易信息的查询请求在所述业务节点对该数据区块的区块头中的签名进行签名验证后发送。如图9所示，对该数据区块的区块头中的签名进行签名验证包括：

步骤610、接收由记账节点发送的该数据区块的区块头，所述区块头中含有对该数据区块中的交易信息生成的摘要和签名，所述签名由该记账节点利用特定于该记账节点的私钥对所述摘要进行加密而生成；

步骤620、获取记账节点的公钥证书，所述公钥证书响应于记账节点对公钥证书的请求而生成，含有特定于该记账节点的公钥；

步骤630、从该记账节点的公钥证书中，获取特定于该记账节点的公钥；

步骤640、利用该特定于该记账节点的公钥，对所述签名进行解密，将解密结果与区块头中的摘要比对，从而实现签名验证。

步骤610-640由业务节点执行。下面对步骤610-640进行详细描述。

在步骤610中，接收由记账节点发送的该数据区块的区块头，所述区块头中含有对该数据区块中的交易信息生成的摘要和签名，所述签名由该记账节点利用特定于该记账节点的私钥对所述摘要进行加密而生成。

一般来说，签名的过程是这样的：将待签名的消息施加摘要运算，得到待签名的消息的摘要，然后用签名使用的密钥对摘要加密，得到了签名。对签名进行验证时，需要利用解签名使用的密钥对签名解密，得到了待签名的消息的摘要，然后对待签名的消息重新施加同样的摘要运算，得到重新确定的摘要。如果解密得到的摘要与重新确定的摘要一致，则签名验证成功。通过签名验证，能够验证出待签名的消息是否是签名者所发出的、以及消息是否完整。如果该消息不是签名者所发，或者消息在传输过程中丢失了一部分，签名验证均不通过。

在非对称密钥的情形中，可以由记账节点利用预定摘要算法对数据区块中的交易信息生成摘要。然后，生成一个特定于该记账节点的私钥，利用其对该摘要加密，生成签名。可以将摘要、签名、区块链上前一数据区块的摘要放进数据区块的区块头，将交易信息放入数据区块的区块体，将数据区块在所有记账节点之间共识后上链。

在步骤620中，获取记账节点的公钥证书，所述公钥证书响应于记账节点对公钥证书的请求而生成，含有特定于该记账节点的公钥。

该公钥证书由证书授权中心(CA)响应于认证中心的请求而生成。在一个实施例中，所述记账节点的公钥证书由证书授权中心按照以下方式生成：

接收从认证中心发送的针对记账节点的公钥证书生成请求，所述公钥证书生成请求中含有记账节点的标识和特定于该记账节点的私钥；

针对所述公钥证书生成请求中记账节点的标识，根据所述公钥证书生成请求中特定于该记账节点的私钥，生成特定于该记账节点的公钥；

根据所述公钥证书生成请求中记账节点的标识、和生成的特定于该记账节点的公钥，生成该记账节点的公钥证书。

公钥证书生成请求是认证中心针对记账节点的身份进行认证通过后，向证书授权中心发出的一个请求证书授权中心发放公钥证书的请求。所述公钥证书生成请求中含有记账节点的标识和特定于该记账节点的私钥。前者的作用是为了在公钥证书中找到公钥证书的持有者节点。后者的作用是方便证书授权中心生成相应的特定于记账节点的公钥，以便生成公钥证书。

然后，针对所述公钥证书生成请求中记账节点的标识，证书授权中心就可以根据所述公钥证书生成请求中特定于该记账节点的私钥，生成特定于该记账节点的公钥。之后，其可以根据所述公钥证书生成请求中记账节点的标识、和生成的特定于该记账节点的公钥，生成该记账节点的公钥证书。生成公钥证书采用已有方法。生成公钥证书的意义在于，它不同于一般的公钥，该公钥证书是由认证中心对用户的权限进行认证后，由证书授权中心统一发放的，其更具有可靠性。该实施例通过由证书授权中心统一发放公钥证书的方式，提高了业务节点签名验证时的可靠性。

在一个实施例中，所述针对记账节点的公钥证书生成请求由认证中心按照以下方式生成：

接收记账节点发送的认证请求，所述认证请求中具有记账节点的标识和注册信息；

将所述注册信息与记账节点在区块链网络注册时的注册信息进行比对，如一致，则认证成功，生成所述公钥证书生成请求，以发送给所述证书授权中心。

当记账节点生成特定于记账节点的私钥后，其向认证中心发送认证请求，所述认证请求中具有记账节点的标识和注册信息。认证中心是一个对记账节点的身份进行验证从而确保安全性的节点。在认证请求中还可以具有记账节点生成的特定于记账节点的私钥。认证中心存储有节点在区块链网络注册时的注册信息。其将所述注册信息与记账节点在区块链网络注册时的注册信息进行比对，如一致，则认证成功，生成所述公钥证书生成请求，以发送给所述证书授权中心。该公钥证书生成请求中含有记账节点的标识和特定于记账节点的私钥。

该实施例的优点是，通过认证中心的身份验证，提高公钥证书发放的安全性。

步骤630中，由于公钥证书中，记账节点的标识和特定于记账节点的公钥是对应存储的，可以从中获取特定于该记账节点的公钥。

在步骤640中，利用该特定于该记账节点的公钥，对所述签名进行解密，应该得到数据区块中交易信息的摘要。其应该与签名时对数据区块中的交易信息确定出的摘要是一样的。将解密结果与区块头中的摘要比对，如果一致，则说明签名验证通过。业务节点可以据此进一步查询交易信息。

上述签名验证的过程的好处是，通过签名验证，业务节点可以对记账节点的记账行为进行验证。如果记账节点记账时集体作弊，则通过签名验证，业务节点就保留了记账节点集体作弊的证据，达到了虽然业务节点没有实际参与数据区块的上链，但仍然对数据区块的上链起到了见证的作用。

下面对步骤310-350进行详细描述。

在步骤310中，接收业务节点对数据区块中的交易信息的查询请求、和用特定于该业务节点的私钥对该查询请求生成的签名。

如上所述，记账节点将数据区块上链后，业务节点仅仅得到了数据区块的区块头。如果业务节点想要查询具体交易信息的话，需要向代理节点发送查询请求。业务节点生成一个特定于业务节点的私钥，对该查询请求签名。签名的过程包括：先用预定摘要算法对查询请求确定摘要，然后用该特定于业务节点的私钥对该摘要加密，得到该查询请求的签名。

业务节点将查询请求和生成的签名向代理节点发送。

在步骤320中，获取业务节点的公钥证书，所述公钥证书响应于业务节点对公钥证书的请求而生成，含有特定于该业务节点的公钥。

该公钥证书由证书授权中心(CA)响应于认证中心的请求而生成。在一个实施例中，所述公钥证书由证书授权中心按照以下方式生成：

接收从认证中心发送的针对业务节点的公钥证书生成请求，所述公钥证书生成请求中含有业务节点的标识和特定于该业务节点的私钥；

针对所述公钥证书生成请求中业务节点的标识，根据所述公钥证书生成请求中特定于该业务节点的私钥，生成特定于该业务节点的公钥；

根据所述公钥证书生成请求中业务节点的标识、和生成的特定于该业务节点的公钥，生成该业务节点的公钥证书。

公钥证书生成请求是认证中心针对业务节点的身份进行认证通过后，向证书授权中心发出的一个请求证书授权中心发放公钥证书的请求。所述公钥证书生成请求中含有业务节点的标识和特定于该业务节点的私钥。前者的作用是为了在公钥证书中找到公钥证书的持有者节点。后者的作用是方便证书授权中心生成相应的特定于业务节点的公钥，以便生成公钥证书。

然后，针对所述公钥证书生成请求中业务节点的标识，证书授权中心就可以根据所述公钥证书生成请求中特定于该业务节点的私钥，生成特定于该业务节点的公钥。之后，其可以根据所述公钥证书生成请求中记账节点的标识、和生成的特定于该业务节点的公钥，生成该业务节点的公钥证书。生成公钥证书采用已有方法。生成公钥证书的意义在于，它不同于一般的公钥，该公钥证书是由认证中心对用户的权限进行认证后，由证书授权中心统一发放的，其更具有可靠性。该实施例通过由证书授权中心统一发放公钥证书的方式，提高了代理节点签名验证时的可靠性。

在一个实施例中，所述针对业务节点的公钥证书生成请求由认证中心按照以下方式生成：

接收业务节点发送的认证请求，所述认证请求中具有业务节点的标识和注册信息；

将所述注册信息与业务节点在区块链网络注册时的注册信息进行比对，如一致，则认证成功，生成所述公钥证书生成请求，以发送给所述证书授权中心。

当业务节点生成特定于业务节点的私钥后，其向认证中心发送认证请求，所述认证请求中具有记账节点的标识和注册信息。认证中心是一个对业务节点的身份进行验证从而确保安全性的节点。在认证请求中还可以具有业务节点生成的特定于业务节点的私钥。认证中心存储有业务节点在区块链网络注册时的注册信息。其将所述注册信息与业务节点在区块链网络注册时的注册信息进行比对，如一致，则认证成功，生成所述公钥证书生成请求，以发送给所述证书授权中心。该公钥证书生成请求中含有业务节点的标识和特定于业务节点的私钥。

该实施例的优点是，通过认证中心的身份验证，提高公钥证书发放的安全性。

在一个实施例中，如图10所示，步骤320包括：

步骤3201、接收所述证书授权中心向代理节点发出的公钥证书生成通知；

步骤3202、向所述证书授权中心发送对所述公钥证书的请求；

步骤3203、从所述证书授权中心接收所述公钥证书。

该实施例采用由证书授权中心向代理节点通知，代理节点根据需要对公钥证书进行拉取这种方式。也就是说，证书授权中心一旦生成了公钥证书，就会发出相应的公钥证书生成通知。如果代理节点对该公钥证书有兴趣，可以采取拉取并存储在本地这种方式。代理节点从认证授权中心发出对公钥证书的请求，认证授权中心将该公钥证书发送给代理节点存储。

该实施例中，只要证书授权中心生成了一个公钥证书，就通知代理节点来拉取。当代理节点接收到查询请求和签名，需要对签名进行验证时，其已经获取了公钥证书，可以直接用其中的特定于该业务节点的公钥进行验证，加快了签名验证的速度。

在一个实施例中，如图11所示，步骤320包括：

步骤3204、向记账节点发送所述公钥证书的请求，以便所述记账节点从区块链上包含有所述公钥证书的数据区块中，获取所述公钥证书，其中，所述证书授权中心生成所述公钥证书后将该公钥证书发送到记账节点，由记账节点加入数据区块后记录在区块链上；

步骤3205、接收记账节点返回的所述公钥证书。

在该实施例中，公钥证书是在区块链上维护的。证书授权中心生成特定于该业务节点的公钥后，由于证书授权中心不是记账节点子网络中的记账节点，其无法进行公钥证书的上链。其要通过记账节点子网络中的对应的一个记账节点来上链。因此，证书授权中心将该公钥证书发送到记账节点，在记账节点子网络中的所有记账节点之间进行共识后，记录在区块链上。当代理节点需要获取该公钥证书来进行签名验证时，由于其不是记账节点子网络中的一个记账节点，也要向相应的一个记账节点发送获取该公钥证书的请求。记账节点接收到该请求后，从区块链上包含有该公钥证书的数据区块中，获取该公钥证书，并向代理节点返回。

在一个实施例中，所述公钥证书的请求中含有业务节点的标识。由于公钥证书中含有特定于业务节点的公钥、以及业务节点的标识，记账节点可以在区块链上找到带有所述业务节点的标识的公钥证书，向代理节点返回。

上链维护公钥证书的优点是，减少对代理节点存储空间的占用，而且，上链的公钥证书安全性较高，防止被篡改。

在步骤330中，用该特定于该业务节点的公钥对该签名进行验证。

在一个实施例中，步骤330包括：

利用所述特定于该业务节点的公钥对所述签名进行解密，得到所述查询请求的摘要；

利用预定摘要算法对该查询请求计算摘要，该预定摘要算法与业务节点用特定于该业务节点的私钥对该查询请求生成签名时所用的摘要算法相同；

如果计算出的摘要与解密得到的摘要一致，则验证成功。

如上所述，签名包括对查询请求利用预定摘要算法生成摘要，然后利用利用所述特定于该业务节点的私钥进行加密的过程。签名验证时，首先利用所述特定于该业务节点的公钥对所述签名进行解密，得到所述查询请求的摘要。如果该签名是记账节点的真实签名，且中途无丢失，该摘要应该与生成签名时生成的那个摘要是一样的。因此，再用与生成所述签名时同样的预定摘要算法，对查询请求生成一遍摘要，如果两个摘要一致，则说明该签名是记账节点的真实签名，且中途无丢失，签名验证成功。

在一个实施例中，步骤310仅在签名验证成功的情况下执行，在签名失败的情况下，业务节点不得进行交易信息的查询，保证了交易信息查询的安全性。

在步骤340中，在验证成功的情况下，将查询请求发送到记账节点，以便记账节点根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息，所述目标业务节点权限数据指示该业务节点有权查询的目标业务节点。

在一个实施例中，如图8所示，所述根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息，包括由记账节点执行的以下步骤：

步骤510、获取该业务节点对应的目标业务节点权限数据；

步骤420、针对该数据区块中的每个交易信息，确定交易信息的施动方或受动方是否是所述目标业务节点权限数据中指示的目标业务节点之一，其中，如果交易信息的施动方或受动方是所述目标业务节点权限数据中指示的目标业务节点之一，则向该业务节点返回该交易信息。

在一个实施例中，在每个记账节点事先维护一种业务节点与目标业务节点权限数据的对应关系表。记账节点可以通过查询该对应关系表，获取该业务节点对应的目标业务节点权限数据。

在另一个实施例中，每个业务节点与区块链运营方事先订立有智能合约。可以从业务节点与区块链运营方的智能合约中，获取该业务节点对应的目标业务节点权限数据。

众所周知，交易是一方引起另一方的行为。引起行为的一方就是施动方，被引起行为的一方就是受动方。例如，在开出电子发票的交易中，开票单位终端就是施动方，领票人终端就是受动方。在法定数字货币的转移交易中，法定数字货币的转出方终端就是施动方，法定数字货币的转入方终端就是受动方。

目标业务节点权限数据指示着该业务节点有权查询的目标业务节点。如果交易信息的施动方或受动方是所述目标业务节点权限数据中指示的目标业务节点之一，都是可以向其返回交易信息的。例如，业务节点A所属的单位有两个子公司，这两个子公司的业务节点为A1和A2。业务节点A的目标业务节点权限数据可能指示业务节点A有权查询的目标业务节点是A、A1和A2。如果交易信息的施动方或受动方有A、A1和A2中的一个，则业务节点A有权限查询这条交易信息。

交易信息中的施动方有两种表示方式，一种是直接用施动方名称表示，另一种是用其它交易信息表示，表示本交易信息的施动方是该其它交易信息的受动方。这样，如果该交易信息的施动方是后一种表示方式，即该交易信息的施动方是另一交易信息的受动方，该另一交易信息的受动方是所述目标业务节点权限数据中指示的目标业务节点之一，这种情况下也变相相当于该交易信息的施动方其实也是所述目标业务节点权限数据中指示的目标业务节点之一，该业务节点也应该有权查询该目标业务节点交易信息。

例如，交易信息TX4的施动方用TX1+TX2表示，即交易信息TX4的施动方是交易信息TX1的受动方、和交易信息TX2的受动方。例如，交易信息TX4是电子发票报销的交易信息，交易信息TX1和TX2分别是两个电子发票开票的交易信息。交易信息TX1中，A1是领票人。交易信息TX2中，B是领票人。TX4的施动方TX1+TX2表示TX1的受动方(即领票人A1)和TX2的受动方(即领票人B)一起报销。因此，表面上交易信息TX4的施动方用TX1+TX2表示，实际上，它的施动方是A1+B。这样，如果目标业务节点权限数据指示该业务节点A有权查询业务节点A和A1(A1是A的一个子公司)的交易信息，则A1+B中的A1是业务节点A针对其有权查询交易信息的。因此，可以向该业务节点返回交易信息。

该实施例克服了在是交易信息的施动方用其它交易信息表示(即，本交易信息的施动方是该其它交易信息的受动方)时，有可能单独从交易信息的施动方或受动方来判断是否是所述目标业务节点权限数据中指示的目标业务节点之一不正确的问题，因为在这种情况下，交易信息的施动方实质上是所述目标业务节点权限数据中指示的目标业务节点之一，但形式上不是，因此造成误判。该实施例提高了确定是否应向业务节点返回交易信息的准确性。

在一个实施例中，如果交易信息的施动方或受动方既不是所述目标业务节点权限数据中指示的目标业务节点之一，也不是另一交易信息的受动方，而该另一交易信息的受动方是所述目标业务节点权限数据中指示的目标业务节点之一，则向该业务节点返回该交易信息的哈希值。

即，在上述两种情形中(第一种情形是交易信息的施动方或受动方本身是所述目标业务节点权限数据中指示的目标业务节点之一，第二种情形是该交易信息的施动方是另一交易信息的受动方，而该另一交易信息的受动方是所述目标业务节点权限数据中指示的目标业务节点之一)，都应当认为该业务节点有权查询该交易信息。如果不属于这两种情形，即交易信息的施动方或受动方既不是所述目标业务节点权限数据中指示的目标业务节点之一，也不是另一交易信息的受动方，而该另一交易信息的受动方是所述目标业务节点权限数据中指示的目标业务节点之一，则认为该业务节点无权查询该交易信息，这时是不应向该业务节点返回交易信息的，为了内容验证，可以仅返回交易信息的哈希值。

在一个实施例中，事先生成业务节点与区块链运营方的智能合约，并将生成的智能合约同步到记账节点子网络中的各记账节点存储。这样，步骤340中的目标业务节点权限数据，就可以从该记账节点存储的该业务节点与区块链运营方的智能合约中获取。

该实施例中，每个业务节点与区块链运营方的智能合约都会存储在记账节点子网络中的各记账节点中。该实施例的好处是，由于智能合约都在各个记账节点本地存储，大大提高了向业务节点返回交易信息或哈希值的处理速度。

在另一个实施例中，智能合约不是事先存储在记账节点子网络的每个记账节点中，而是上链记录。这样，每个记账节点需要从智能合约中获取权限数据时，可以上链查找。该实施例的优点是，相比于每个记账节点内部维护一个数据库存储每个业务节点的智能合约，节省了节点内部存储空间的占用。

在该实施例中，事先生成业务节点与区块链运营方的智能合约，并将生成的智能合约加入与该业务节点对应的智能合约区块，记录在区块链上。这样，步骤340中的目标业务节点权限数据，就可以从区块链上与该业务节点对应的智能合约区块中的该业务节点与区块链运营方的智能合约中获取。

如图12所示，根据本公开一个实施例在步骤350中将查询请求发送到的记账节点从记账节点子网络中按照以下方式选出：

步骤710、获取记账节点子网络中每个记账节点的处理负荷；

步骤720、确定记账节点子网络中每个记账节点到发送所述查询请求的业务节点的距离；

步骤730、基于所述处理负荷和所述距离，确定将查询请求发送到的记账节点。

处理负荷是表示记账节点正在处理的任务的负担的参数。在一个实施例中，处理负荷可以用记账节点未处理完的任务数来衡量。这里的任务包括交易信息上链任务和查询任务。这些未处理完的任务数就能够代表记账节点的处理负荷。

在一个实施例中，步骤710包括：

获取每个记账节点定期发送的处理负荷并存储；

将记账节点最近一次存储的记账节点的处理负荷作为获取的该记账节点的处理负荷。

也就是说，在该实施例中，处理负荷可以由各记账节点定期(例如，每隔5秒)发送给代理节点。代理节点维护一张处理负荷表，该处理负荷表中记录接收到的各记账节点定期广播的处理负荷。这样，代理节点就可以将记账节点最近一次存储的记账节点的处理负荷作为获取的该记账节点的处理负荷。

在该实施例中，代理节点被动接收记账节点定期发送的处理负荷。在另一个实施例中，代理节点主动查询记账节点的处理负荷。在该实施例中，步骤710包括：

向记账节点子网络中每个记账节点发送处理负荷查询请求；

接收每个记账节点发送来的该记账节点的处理负荷。

在一个实施例中，步骤720中，确定记账节点子网络中每个记账节点到发送所述查询请求的业务节点的距离，包括：

向记账节点子网络中每个记账节点、以及发送所述查询请求的业务节点发出定位信息请求；

从各记账节点、以及发送所述查询请求的业务节点接收各记账节点、以及发送所述查询请求的业务节点的定位信息；

利用各记账节点、以及发送所述查询请求的业务节点的定位信息，确定各记账节点到发送所述查询请求的业务节点的距离。

每个业务节点和记账节点都可以具有GPS等定位系统，因此，它们从自身具有的GPS定位系统中就能够获得自身的定位信息。当接收到代理节点发来的定位信息请求时，将从GPS系统中获得的自身的定位信息发送给代理节点。当代理节点获得了各记账节点、以及发送所述查询请求的业务节点的定位信息后，利用这些定位信息，就能够确定出各记账节点到发送所述查询请求的业务节点的距离。

在上述实施例中，获得定位信息采用的是由代理节点主动请求的方式，与处理负荷一样，该定位信息也可以采用由各记账节点、以及发送所述查询请求的业务节点定期向代理节点发送的方式，故不赘述。

该实施例的优点是，在确定执行所述方法的记账节点时，不仅考虑到每个记账节点的处理负荷，还考虑到每个记账节点离发送所述查询请求的业务节点的距离。虽然，可能某一记账节点的处理负荷最小，但是该记账节点离发送所述查询请求的业务节点可能非常远，将其选为执行所述方法的记账节点，增加了网络传输负担，也降低了查询处理速度。该实施例综合考虑了距离和处理负荷，比单纯根据距离或处理负荷来确定执行查询的记账节点的方案，既能大致均衡每个记账节点的处理负荷，又不给网络造成太大传输负担。

在一个实施例中，如图13所示，步骤730可以包括：

步骤7301、基于记账节点子网络中每个记账节点的所述处理负荷，确定每个记账节点的第一分数；

步骤7302、基于记账节点子网络中每个记账节点的所述距离，确定每个记账节点的第二分数；

步骤7303、基于每个记账节点的第一分数和第二分数，确定将查询请求发送到的记账节点。

在步骤7301中，基于记账节点子网络中每个记账节点的所述处理负荷，确定每个记账节点的第一分数可以采取查找预先设置的处理负荷与第一分数对应关系表的形式。该处理负荷与第一分数对应关系表预先设置，其中处理负荷越大，第一分数越低。例如：

表1处理负荷与第一分数对应关系表

步骤7302中，基于记账节点子网络中每个记账节点的所述距离，确定每个记账节点的第二分数可以采取查找预先设置的距离与第二分数对应关系表的形式。该距离与第二分数对应关系表预先设置，其中距离越大，第二分数越低。例如：

距离	第二分数
		50米之内	5
50-200米	4
		200-1000米	3
1000-5000米	2
		5000-20000米	1
20000米以上	0

表2距离与第二分数对应关系表

有了每个记账节点的第一分数和第二分数，就可以根据第一分数和第二分数确定执行所述方法的记账节点。该实施例的优点在于，将记账节点子网络中每个记账节点的所述处理负荷、和记账节点子网络中每个记账节点的所述距离这两个因素对选择执行所述方法的记账节点的影响分数化，提高了选择执行所述方法的记账节点的精确性。

在一个实施例中，如图14所示，步骤7303包括：

步骤73031、确定每个记账节点的第一分数和第二分数的加权和；

步骤73032、基于所述加权和，确定将查询请求发送到的记账节点。

在步骤73031中，确定加权和时，为第一分数和第二分数分配的权重可以是根据经验预设的。

在步骤73032中，可以将所述加权和最大的记账节点，确定为接收所述待上链交易信息的记账节点，也可以将加权和大于预定加权和阈值的记账节点中任选一个，作为接收所述待上链交易信息的记账节点。可以认为，只要加权和大于预定加权和阈值，其都是负荷不算太大且距离发送待上链交易信息的业务节点不算太远的，选取哪一个作为执行所述方法的记账节点都是一样的。按照后一种方式，还有利于负载的均衡，防止在相同时间都选择加权和最大的记账节点，又造成该加权和最大的记账节点显然超负荷状态。

该实施例的优点是，基于每个记账节点的第一分数和第二分数的加权和，确定将查询请求发送到的记账节点，相比于基于第一分数和第二分数的和或平均值确定将查询请求发送到的记账节点的方案，充分考虑到了第一分数和第二分数对于确定将查询请求发送到的记账节点的贡献的差异性，提高了确定将查询请求发送到的记账节点的合理性。

上述确定将查询请求发送到的记账节点的实施例主要针对图1A-1B的在记账节点子网络端没有分支记账节点子网络的情况。但在图1C所示的记账节点子网络端分为分支记账节点子网络的实施例中，则是另外一种情况。

在该实施例中，查询请求中带有交易信息类型，例如是供应链金融交易，或电子发票交易，或法定数字货币交易。记账节点子网络中的记账节点预先按照处理的交易信息类型分类，分成的每一类的记账节点分别组成相应的一个分支记账节点子网络，例如，供应链金融交易分支记账节点子网络，或电子发票交易分支记账节点子网络，或法定数字货币交易分支记账节点子网络，每个分支记账节点子网络专门处理与一种交易类型对应的交易类型。因此，代理节点要根据查询请求中携带的交易信息类型，将该查询请求发到相应类型的分支记账节点子网络中的一个记账节点中。为了达到这一点，在代理节点中存储记账节点标识和交易信息类型对应关系表，记账节点标识和处理的交易信息类型对应记录在记账节点标识和交易信息类型对应关系表中。

在该实施例中，如图15所示，将查询请求发送到的记账节点从记账节点子网络中按照以下方式选出：

步骤740、获取查询请求中的交易信息类型；

步骤750、从记账节点标识和交易信息类型对应关系表中，查找与查询请求中的交易信息类型对应的记账节点标识；

步骤760、从找到的记账节点标识的记账节点中，确定将查询请求发送到的记账节点。

该实施例的好处是，对于图1C所示的记账节点子网络端分为分支记账节点子网络的体系构架，提出了一种适合该体系构架的合理选择将查询请求发送到的记账节点的方式。

在一个实施例中，查询请求中的交易信息类型字段中包含交易信息类型。步骤740中，可以直接从该交易信息类型字段读出交易信息类型。

由于代理节点上设置有记账节点标识和交易信息类型对应关系表，在一个实施例中，步骤740中，从该表中，可以查找到与查询请求中的交易信息类型对应的记账节点标识。

如图16所示，在一个实施例中，步骤760包括：

步骤7601、确定每个找到的记账节点标识的记账节点的处理负荷；

步骤7602、确定每个找到的记账节点标识的记账节点到发送所述查询请求的业务节点的距离；

步骤7603、基于所述处理负荷和所述距离，确定将查询请求发送到的记账节点。

步骤7601-7603的具体实现过程与步骤710-730的具体实现过程类似，区别仅在于图16的实施例中确定处理负荷和到发送所述查询请求的业务节点的距离的记账节点的范围仅限于步骤750中找到的与查询请求中的交易信息类型对应的记账节点标识的记账节点，不是记账节点子网络中的所有记账节点，故不赘述。

根据本公开的一个实施例，如图17所示，还提供了一种在区块链网络中查询数据区块中的交易信息的代理节点，所述区块链网络包括记账节点子网络和业务节点子网络，所述记账节点子网络包括将数据区块记录到区块链上的记账节点，所述业务节点子网络包括对记账节点记录到区块链上的数据区块进行验证的业务节点，记账节点子网络与业务节点子网络通过代理节点进行通信，所述代理节点是业务节点子网络中的一个业务节点，所述代理节点包括：

查询请求和签名接收单元910，用于接收业务节点对数据区块中的交易信息的查询请求、和用特定于该业务节点的私钥对该查询请求生成的签名；

公钥证书获取单元920，用于获取该业务节点的公钥证书，所述公钥证书响应于业务节点对公钥证书的请求而生成，含有特定于该业务节点的公钥；

业务节点公钥获取单元930，用于从该业务节点的公钥证书中，获取特定于该业务节点的公钥；

业务节点签名验证单元940，用于用该特定于该业务节点的公钥对该签名进行验证；

查询请求发送单元950，用于在验证成功的情况下，将查询请求发送到记账节点，以便记账节点根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息，所述目标业务节点权限数据指示该业务节点有权查询的目标业务节点。

在一个实施例中，所述公钥证书由证书授权中心按照以下方式生成：

接收从认证中心发送的针对业务节点的公钥证书生成请求，所述公钥证书生成请求中含有业务节点的标识和特定于该业务节点的私钥；

针对所述公钥证书生成请求中业务节点的标识，根据所述公钥证书生成请求中特定于该业务节点的私钥，生成特定于该业务节点的公钥；

根据所述公钥证书生成请求中业务节点的标识、和生成的特定于该业务节点的公钥，生成该业务节点的公钥证书。

在一个实施例中，所述公钥证书生成请求由认证中心按照以下方式生成：

接收业务节点发送的认证请求，所述认证请求中具有业务节点的标识和注册信息；

将所述注册信息与业务节点在区块链网络注册时的注册信息进行比对，如一致，则认证成功，生成所述公钥证书生成请求，以发送给所述证书授权中心。

在一个实施例中，所述业务节点签名验证单元940进一步用于：

利用所述特定于该业务节点的公钥对所述签名进行解密，得到所述查询请求的摘要；

利用预定摘要算法对该查询请求计算摘要，该预定摘要算法与业务节点用特定于该业务节点的私钥对该查询请求生成签名时所用的摘要算法相同；

如果计算出的摘要与解密得到的摘要一致，则验证成功。

在一个实施例中，所述根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息，包括：

获取该业务节点对应的目标业务节点权限数据；

针对该数据区块中的每个交易信息，确定交易信息的施动方或受动方是否是所述目标业务节点权限数据中指示的目标业务节点之一，其中，如果交易信息的施动方或受动方是所述目标业务节点权限数据中指示的目标业务节点之一，则向该业务节点返回该交易信息。

在一个实施例中，如果该交易信息的施动方是另一交易信息的受动方，而该另一交易信息的受动方是所述目标业务节点权限数据中指示的目标业务节点之一，则向该业务节点返回该交易信息。

在一个实施例中，如果交易信息的施动方或受动方既不是所述目标业务节点权限数据中指示的目标业务节点之一，也不是另一交易信息的受动方，而该另一交易信息的受动方是所述目标业务节点权限数据中指示的目标业务节点之一，则向该业务节点返回该交易信息的哈希值。

在一个实施例中，所述业务节点对数据区块中的交易信息的查询请求在所述业务节点对该数据区块的区块头中的签名进行签名验证后发送，对该数据区块的区块头中的签名进行签名验证包括：

接收由记账节点发送的该数据区块的区块头，所述区块头中含有对该数据区块中的交易信息生成的摘要和签名，所述签名由该记账节点利用特定于该记账节点的私钥对所述摘要进行加密而生成；

获取记账节点的公钥证书，所述公钥证书响应于记账节点对公钥证书的请求而生成，含有特定于该记账节点的公钥；

从该记账节点的公钥证书中，获取特定于该记账节点的公钥；

利用该特定于该记账节点的公钥，对所述签名进行解密，将解密结果与区块头中的摘要比对，从而实现签名验证。

在一个实施例中，所述记账节点的公钥证书由证书授权中心按照以下方式生成：

接收从认证中心发送的针对记账节点的公钥证书生成请求，所述公钥证书生成请求中含有记账节点的标识和特定于该记账节点的私钥；

针对所述公钥证书生成请求中记账节点的标识，根据所述公钥证书生成请求中特定于该记账节点的私钥，生成特定于该记账节点的公钥；

根据所述公钥证书生成请求中记账节点的标识、和生成的特定于该记账节点的公钥，生成该记账节点的公钥证书。

在一个实施例中，所述针对记账节点的公钥证书生成请求由认证中心按照以下方式生成：

接收记账节点发送的认证请求，所述认证请求中具有记账节点的标识和注册信息；

将所述注册信息与记账节点在区块链网络注册时的注册信息进行比对，如一致，则认证成功，生成所述公钥证书生成请求，以发送给所述证书授权中心。

在一个实施例中，所述公钥证书获取单元进一步用于：

接收所述证书授权中心向代理节点发出的公钥证书生成通知；

向所述证书授权中心发送对所述公钥证书的请求；

从所述证书授权中心接收所述公钥证书。

在一个实施例中，所述公钥证书获取单元进一步用于：

向记账节点发送所述公钥证书的请求，以便所述记账节点从区块链上包含有所述公钥证书的数据区块中，获取所述公钥证书，其中，所述证书授权中心生成所述公钥证书后将该公钥证书发送到记账节点，由记账节点加入数据区块后记录在区块链上；

接收记账节点返回的所述公钥证书。

根据本公开实施例的在区块链网络中查询数据区块中的交易信息的方法可以由图18的在区块链网络中查询数据区块中的交易信息的记账节点21实现。下面参照图18来描述根据本公开实施例的在区块链网络中查询数据区块中的交易信息的记账节点21。图18显示的在区块链网络中查询数据区块中的交易信息的记账节点21仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图18所示，在区块链网络中查询数据区块中的交易信息的记账节点21以通用计算设备的形式表现。在区块链网络中查询数据区块中的交易信息的记账节点21的组件可以包括但不限于：上述至少一个处理单元810、上述至少一个存储单元820、连接不同系统组件(包括存储单元820和处理单元810)的总线830。

其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元810执行，使得所述处理单元810执行本说明书上述示例性方法的描述部分中描述的根据本发明各种示例性实施方式的步骤。例如，所述处理单元810可以执行如图6中所示的各个步骤。

存储单元820可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)8201和/或高速缓存存储单元8202，还可以进一步包括只读存储单元(ROM)8203。

存储单元820还可以包括具有一组(至少一个)程序模块8205的程序/实用工具8204，这样的程序模块8205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线830可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

在区块链网络中查询数据区块中的交易信息的记账节点21也可以与一个或多个外部设备700(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该在区块链网络中查询数据区块中的交易信息的在区块链网络中查询数据区块中的交易信息的记账节点21交互的设备通信，和/或与使得该在区块链网络中查询数据区块中的交易信息的记账节点21能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口650进行。并且，在区块链网络中查询数据区块中的交易信息的记账节点21还可以通过网络适配器860与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器860通过总线830与在区块链网络中查询数据区块中的交易信息的记账节点21的其它模块通信。应当明白，尽管图中未示出，可以结合在区块链网络中查询数据区块中的交易信息的记账节点21使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种计算机程序介质，其上存储有计算机可读指令，当所述计算机可读指令被计算机的处理器执行时，使计算机执行上述方法实施例部分描述的方法。

根据本公开的一个实施例，还提供了一种用于实现上述方法实施例中的方法的程序产品，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施方式的方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由所附的权利要求指出。

Claims (8)

1.一种在区块链网络中生成公钥证书的方法，其特征在于，所述区块链网络包括认证中心和证书授权中心，所述认证中心用于对所述区块链网络中节点的身份进行认证，并在认证通过后向所述证书授权中心发起公钥证书生成请求，所述区块链网络还包括记账节点子网络和业务节点子网络，所述记账节点子网络包括将数据区块记录到区块链上的记账节点，所述业务节点子网络包括对记账节点记录到区块链上的数据区块进行验证的业务节点，所述记账节点子网络与所述业务节点子网络通过代理节点进行通信，所述代理节点是所述业务节点子网络中的一个业务节点，所述方法由所述证书授权中心执行，所述方法包括：

接收从所述认证中心发送的针对所述区块链网络中节点的公钥证书生成请求，所述公钥证书生成请求中含有所述节点的标识和特定于所述节点的私钥；

针对所述公钥证书生成请求中所述节点的标识，以及根据所述公钥证书请求中特定于所述节点的私钥，生成特定于所述节点的公钥；

根据所述公钥证书生成请求中所述节点的标识、和生成的特定于所述节点的公钥，生成所述节点的公钥证书；

其中，所述证书授权中心生成的公钥证书包括业务节点的公钥证书，所述业务节点的公钥证书用于所述代理节点对所述业务节点发送的数据区块中含有的签名进行验证，所述代理节点对所述签名进行验证的方式如下：

接收所述业务节点对所述数据区块中的交易信息的查询请求、和用特定于该业务节点的私钥对该查询请求生成的签名；

获取所述业务节点的公钥证书，所述公钥证书响应于业务节点对公钥证书的请求而生成，含有特定于该业务节点的公钥；

从所述业务节点的公钥证书中获取特定于所述业务节点的公钥；

用所述特定于该业务节点的公钥对所述数据区块中的签名进行验证；

在验证成功的情况下，将查询请求发送到记账节点，以便记账节点根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息，所述目标业务节点权限数据指示该业务节点有权查询的目标业务节点。

2.根据权利要求1所述的方法，其特征在于，所述公钥证书生成请求由所述认证中心按照以下方式生成：

接收所述区块链网络中节点发送的认证请求，所述认证请求中具有所述节点的标识和注册信息；

将所述注册信息与节点在所述区块链网络注册时的注册信息进行比对，如一致，则认证成功，生成所述公钥证书生成请求，以发送给所述证书授权中心。

3.根据权利要求1或2所述的方法，其特征在于，所述证书授权中心根据所述认证中心发送的针对业务节点的公钥证书生成请求生成所述业务节点的公钥证书，所述证书授权中心还根据所述认证中心发送的针对记账节点的公钥证书生成请求生成所述记账节点的公钥证书。

4.根据权利要求3所述的方法，其特征在于，所述证书授权中心生成的所述记账节点的公钥证书，用于所述业务节点对所述记账节点发送的数据区块的区块头中的签名进行签名验证，所述业务节点执行所述签名验证的方式如下：

接收由所述记账节点发送的数据区块的区块头，所述区块头中含有对该数据区块中的交易信息生成的摘要和签名，所述签名由该记账节点利用特定于该记账节点的私钥对所述摘要进行加密而生成；

获取所述记账节点的公钥证书，所述公钥证书响应于记账节点对公钥证书的请求而生成，含有特定于该记账节点的公钥；

从该记账节点的公钥证书中，获取特定于该记账节点的公钥；

利用该特定于该记账节点的公钥，对所述签名进行解密，将解密结果与所述区块头中的摘要比对，从而实现签名验证。

5.根据权利要求1所述的方法，其特征在于，所述用所述特定于该业务节点的公钥对所述数据区块中的签名进行验证，包括：

利用所述特定于该业务节点的公钥对所述签名进行解密，得到所述查询请求的摘要；

利用预定摘要算法对该查询请求计算摘要，该预定摘要算法与业务节点用特定于该业务节点的私钥对该查询请求生成签名时所用的摘要算法相同；

如果计算出的摘要与解密得到的摘要一致，则验证成功。

6.一种区块链网络中的证书授权中心，所述区块链网络包括认证中心和所述证书授权中心，所述认证中心用于对所述区块链网络中节点的身份进行认证，并在认证通过后向所述证书授权中心发起公钥证书生成请求，所述区块链网络还包括记账节点子网络和业务节点子网络，所述记账节点子网络包括将数据区块记录到区块链上的记账节点，所述业务节点子网络包括对记账节点记录到区块链上的数据区块进行验证的业务节点，所述记账节点子网络与所述业务节点子网络通过代理节点进行通信，所述代理节点是所述业务节点子网络中的一个业务节点，所述证书授权中心包括：

公钥证书生成请求接收单元，用于接收从所述认证中心发送的针对所述区块链网络中节点的公钥证书生成请求，所述公钥证书生成请求中含有所述节点的标识和特定于所述节点的私钥；

公钥生成单元，用于针对所述公钥证书生成请求中所述节点的标识，以及根据所述公钥证书请求中特定于所述节点的私钥，生成特定于所述节点的公钥；

公钥证书生成单元，用于根据所述公钥证书生成请求中所述节点的标识、和生成的特定于所述节点的公钥，生成所述节点的公钥证书；

其中，所述证书授权中心生成的公钥证书包括业务节点的公钥证书，所述业务节点的公钥证书用于所述代理节点对所述业务节点发送的数据区块中含有的签名进行验证，所述代理节点对所述签名进行验证的方式如下：

接收所述业务节点对所述数据区块中的交易信息的查询请求、和用特定于该业务节点的私钥对该查询请求生成的签名；

获取所述业务节点的公钥证书，所述公钥证书响应于业务节点对公钥证书的请求而生成，含有特定于该业务节点的公钥；

从所述业务节点的公钥证书中获取特定于所述业务节点的公钥；

用所述特定于该业务节点的公钥对所述数据区块中的签名进行验证；

在验证成功的情况下，将查询请求发送到记账节点，以便记账节点根据业务节点的目标业务节点权限数据，确定是否向该业务节点返回数据区块中的交易信息，所述目标业务节点权限数据指示该业务节点有权查询的目标业务节点。

7.一种区块链网络中的证书授权中心，其特征在于，包括：

存储器，存储有计算机可读指令；

处理器，读取存储器存储的计算机可读指令，以执行权利要求1-5中的任一项所述的方法。

8.一种计算机程序介质，其上存储有计算机可读指令，当所述计算机可读指令被计算机的处理器执行时，使计算机执行权利要求1-5中的任一项所述的方法。

Images