CN113703927A

CN113703927A - 数据处理方法、隐私计算系统、电子装置和存储介质

Info

Publication number: CN113703927A
Application number: CN202111271976.9A
Authority: CN
Inventors: 尹可挺; 方雯璟; 汤泉; 盛峰松; 王延清
Original assignee: Hangzhou Liancheng Digital Technology Co ltd
Current assignee: Hangzhou Liancheng Digital Technology Co ltd
Priority date: 2021-10-29
Filing date: 2021-10-29
Publication date: 2021-11-26
Anticipated expiration: 2041-10-29
Also published as: CN113703927B

Abstract

本申请涉及一种数据处理方法、隐私计算系统、电子装置和存储介质，通过在数据持有方创建虚拟机，其中，数据持有方持有目标数据；生成虚拟机的镜像文件，将镜像文件传输至数据使用方；在数据持有方启动虚拟机，并指示数据使用方基于镜像文件启动虚拟机的镜像；获取计算模型，将目标数据和计算模型输入至数据持有方创建的虚拟机，基于计算模型对目标数据进行计算并输出计算结果，解决了相关技术中的数据处理方法对于隐私数据的保护程度较低的问题，提升了隐私计算的安全性。

Description

数据处理方法、隐私计算系统、电子装置和存储介质

技术领域

本申请涉及隐私计算领域，特别是涉及数据处理方法、隐私计算系统、电子装置和存储介质。

背景技术

当数据、需求、计算模型分布在不同的节点时，会遇到一些协作情景，数据持有方希望运用自身持有的数据进行计算得到结果，或者，数据使用方有需求于数据持有方，采用自身或者第三方提供的计算模型进行计算得到结果。但是囿于数据的隐私保护，数据持有方不便于泄露自己的数据，而数据使用方需要数据持有方的数据基于计算模型来获得结果，如此，导致协作受阻。

针对相关技术中的数据处理方法对于隐私数据的保护程度较低的问题，目前还没有提出有效的解决方案。

发明内容

在本实施例中提供了一种数据处理方法、隐私计算系统、电子装置和存储介质，以解决相关技术中的数据处理方法对于隐私数据的保护程度较低的问题。

第一个方面，在本实施例中提供了一种数据处理方法，应用于隐私计算，所述方法包括：

在数据持有方创建虚拟机，其中，所述数据持有方持有目标数据；

生成所述虚拟机的镜像文件，将所述镜像文件传输至数据使用方；

在所述数据持有方启动所述虚拟机，并指示所述数据使用方基于所述镜像文件启动所述虚拟机的镜像；

获取计算模型，将所述目标数据和所述计算模型输入至所述数据持有方创建的虚拟机，基于所述计算模型对所述目标数据进行计算并输出计算结果。

在其中一些实施例中，在所述数据持有方启动所述虚拟机，并指示所述数据使用方基于所述镜像文件启动所述虚拟机的镜像包括：

在所述数据持有方和所述数据使用方之间确定协商密钥；

生成所述虚拟机的镜像文件，采用所述协商密钥对所述镜像文件进行加密，并将经加密的镜像文件传输至所述数据使用方；

指示所述数据使用方采用所述协商密钥对所述经加密的镜像文件进行解密，得到经解密的镜像文件，并基于所述经解密的镜像文件启动所述虚拟机的镜像。

在其中一些实施例中，所述数据持有方携带有第一公钥和第一私钥，所述数据使用方携带有第二公钥和第二私钥，在所述数据持有方启动所述虚拟机，并指示所述数据使用方基于所述镜像文件启动所述虚拟机的镜像包括：

对所述镜像文件进行哈希计算，采用所述第一私钥对经哈希计算的镜像文件进行签名，得到所述镜像文件的数字签名，并将所述镜像文件的数字签名发送至所述数据使用方；

指示所述数据使用方采用所述第二公钥对所述镜像文件的数字签名进行验签，得到经验签的镜像文件的哈希值，计算所述经解密的镜像文件的哈希值，并将所述经解密的镜像文件的哈希值和所述经验签的镜像文件的哈希值进行匹配；

在所述经解密的镜像文件的哈希值和所述经验签的镜像文件的哈希值一致的情况下，指示所述数据使用方基于所述经解密的镜像文件启动所述虚拟机的镜像。

在其中一些实施例中，所述数据持有方携带有第一公钥和第一私钥，所述数据使用方携带有第二公钥和第二私钥，在所述数据持有方和所述数据使用方之间确定协商密钥包括：

在所述数据持有方获取所述第二公钥，根据所述第二公钥和所述第一私钥生成所述协商密钥；以及，

发送所述第一公钥至所述数据使用方，并指示所述数据使用方基于所述第一公钥和所述第二私钥生成所述协商密钥。

在其中一些实施例中，所述数据使用方持有所述计算模型和计算模型定义，获取计算模型，将所述目标数据和所述计算模型输入至所述数据持有方创建的虚拟机，对所述目标数据进行计算并输出计算结果包括：

获取所述数据使用方发送的所述计算模型和所述计算模型定义；

根据所述计算模型定义确定所述目标数据，并基于所述计算模型对所述目标数据进行计算；

对计算过程数据进行合法性审核，以及对计算结果进行合规性审计，在所述计算过程数据合法且所述计算结果合规的情况下，输出所述计算过程数据和所述计算结果至所述数据使用方。

在其中一些实施例中，在基于所述计算模型对所述目标数据进行计算并输出计算结果之后，所述方法还包括：

按照预设周期启动所述数据持有方创建的虚拟机，并清除沉淀掉该虚拟机中计算过程产生的数据和所述计算结果。

在其中一些实施例中，所述方法还包括：

在所述数据持有方去除所述虚拟机的网络配置和登录配置，并在所述数据持有方配置所述虚拟机的I/O专用数据通道；

基于所述I/O专用数据通道获取所述计算模型，以及基于所述I/O专用数据通道发送所述镜像文件和计算结果至所述数据使用方。

第二个方面，在本实施例中提供了一种隐私计算系统，包括：第一终端、第二终端和传输设备，所述第一终端和所述第二终端通过所述传输设备连接，所述第一终端存储有目标数据，所述第二终端存储有计算模型，所述第一终端用于执行上述第一个方面所述的数据处理方法。

第三个方面，在本实施例中提供了一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行上述第一个方面所述的数据处理方法。

第四个方面，在本实施例中提供了一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现上述第一个方面所述的数据处理方法的步骤。

与相关技术相比，在本实施例中提供的数据处理方法、隐私计算系统、电子装置和存储介质，通过在数据持有方创建虚拟机，其中，数据持有方持有目标数据；生成虚拟机的镜像文件，将镜像文件传输至数据使用方；在数据持有方启动虚拟机，并指示数据使用方基于镜像文件启动虚拟机的镜像；获取计算模型，将目标数据和计算模型输入至数据持有方创建的虚拟机，基于计算模型对目标数据进行计算并输出计算结果，解决了相关技术中的数据处理方法对于隐私数据的保护程度较低的问题，提升了隐私计算的安全性。

本申请的一个或多个实施例的细节在以下附图和描述中提出，以使本申请的其他特征、目的和优点更加简明易懂。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本申请一实施例的数据处理方法的终端的硬件结构框图；

图2是本申请一实施例的数据处理方法的流程图；

图3是本申请一实施例的隐私计算系统的结构框图。

具体实施方式

为更清楚地理解本申请的目的、技术方案和优点，下面结合附图和实施例，对本申请进行了描述和说明。

除另作定义外，本申请所涉及的技术术语或者科学术语应具有本申请所属技术领域具备一般技能的人所理解的一般含义。在本申请中的“一”、“一个”、“一种”、“该”、“这些”等类似的词并不表示数量上的限制，它们可以是单数或者复数。在本申请中所涉及的术语“包括”、“包含”、“具有”及其任何变体，其目的是涵盖不排他的包含；例如，包含一系列步骤或模块（单元）的过程、方法和系统、产品或设备并未限定于列出的步骤或模块（单元），而可包括未列出的步骤或模块（单元），或者可包括这些过程、方法、产品或设备固有的其他步骤或模块（单元）。在本申请中所涉及的“连接”、“相连”、“耦接”等类似的词语并不限定于物理的或机械连接，而可以包括电气连接，无论是直接连接还是间接连接。在本申请中所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。通常情况下，字符“/”表示前后关联的对象是一种“或”的关系。在本申请中所涉及的术语“第一”、“第二”、“第三”等，只是对相似对象进行区分，并不代表针对对象的特定排序。

在本实施例中提供的方法实施例可以在终端、计算机或者类似的运算装置中执行。比如在终端上运行，图1是本申请一实施例的数据处理方法的终端的硬件结构框图。如图1所示，终端可以包括一个或多个（图1中仅示出一个）处理器102和用于存储数据的存储器104，其中，处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置。上述终端还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述终端的结构造成限制。例如，终端还可包括比图1中所示更多或者更少的组件，或者具有与图1所示出的不同配置。

存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如在本实施例中的数据处理方法对应的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输设备106用于经由一个网络接收或者发送数据。上述的网络包括终端的通信供应商提供的无线网络。在一个实例中，传输设备106包括一个网络适配器（NetworkInterface Controller，简称为NIC），其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输设备106可以为射频（Radio Frequency，简称为RF）模块，其用于通过无线方式与互联网进行通讯。

在本实施例中提供了一种数据处理方法，应用于隐私计算，图2是本申请一实施例的数据处理方法的流程图，如图2所示，该流程包括如下步骤：

步骤S201，在数据持有方创建虚拟机，其中，数据持有方持有目标数据。

数据持有方在主机系统里模拟出一个独立的操作系统，得到虚拟机，该虚拟机和目标数据相互隔离，目标数据只在数据持有方启动虚拟机执行计算任务的情况下才被输送至虚拟机。数据持有方可以是分布在不同分支机构的节点，这些节点不可汇聚，且隐私保护力度较高。例如，将多个医院的医疗资源整合在一起，组成一个医疗联合体，相应地，目标数据可以是各个医院内部的数据，包括但不限于病患信息、诊疗结果、医生信息、医疗设备信息。或者，将多个学校的科研资源整合在一起，组成一个高校科研，相应地，目标数据可以是学校内部的数据，包括但不限于师生信息、实验项目信息、实验结果信息、科研成果信息、实验设备信息。

步骤S202，生成虚拟机的镜像文件，将镜像文件传输至数据使用方。

数据持有方创建虚拟机的镜像文件，并将镜像文件传输至数据使用方，以供数据使用方执行该镜像文件，在数据使用方生成虚拟机的镜像。

步骤S203，在数据持有方启动虚拟机，并指示数据使用方基于镜像文件启动虚拟机的镜像。

数据持有方启动虚拟机，并通知数据使用方也启动虚拟机的镜像。

步骤S204，获取计算模型，将目标数据和计算模型输入至数据持有方创建的虚拟机，基于计算模型对目标数据进行计算并输出计算结果。

计算模型可以是由数据使用方提供，也可以是由第三方提供，数据持有方将目标数据和计算模型输入至自身创建的虚拟机，基于计算模型计算目标数据，同时，数据使用方通过虚拟机的镜像查看并获取数据持有方的计算结果，如此，完成两方的协同计算。需要说明的是，只有是输入至该虚拟机中的目标数据，并且在数据持有方启动虚拟机之后，才对数据使用方可见，而其他数据持有方的本地数据和计算过程对数据使用方是不可见的。

在上述步骤S201至S204中，在数据持有方创建虚拟机，并利用镜像技术在数据持有方和数据使用方之间形成一对一映射的“孪生”关系，从而构建数据不动、计算模型动的可信计算环境，在这个可信计算环境中，数据持有方的数据可以放心地基于数据使用方的计算模型进行计算，而数据使用方可以通过镜像查看并获取到计算结果。通过上述步骤，解决了相关技术中的数据处理方法对于隐私数据的保护程度较低的问题，提升了隐私计算的安全性。

在本申请的一个实施例中，在数据持有方启动虚拟机，并指示数据使用方基于镜像文件启动虚拟机的镜像的过程中，数据持有方和数据使用方之间确定协商密钥；数据持有方生成虚拟机的镜像文件，采用协商密钥对镜像文件进行加密，并将经加密的镜像文件传输至数据使用方；数据持有方指示数据使用方采用协商密钥对经加密的镜像文件进行解密，得到经解密的镜像文件，并基于经解密的镜像文件启动虚拟机的镜像。

数据持有方和数据使用方可以基于ECDH（Elliptic Curves Diffie Hellman，椭圆曲线密钥交换）协议进行密钥协商。首先，数据持有方和数据使用方生成各自的私钥和公钥，并且都已经注册获得证书，数据持有方生成第一公钥P1和第一私钥S1，其中，P1=S1*G，数据使用方生成第二公钥P2和第二私钥S2，其中，P2= S2*G；数据持有方将P1发给数据使用方，数据使用方将P2发给数据持有方，这样数据持有方就持有S1、P1、P2，数据使用方就持有S2、P1、P2；数据持有方计算M= S1*P2（即自己的私钥乘上数据使用方的公钥），同样的，数据使用方计算M= S2*P1（自己的私钥乘上数据持有方的公钥）；两方计算的M是相同的，即M=S1*P2 = S1 *(S2*G) = S2*(S1*G) = S2*P1。如此设置，即使P1和P2被第三方获取，也无法计算出共享密钥M。

在本实施例中，数据持有方根据自身私钥S1和对方公钥P2生成共享密钥M，并基于共享密钥M对镜像文件加密；数据使用方需要用相应的共享密钥才能启动该虚拟机的镜像，也就是根据自身私钥S2和对方公钥P1生成共享密钥M，如此设置，进一步提升虚拟机的安全性。

进一步地，在数据持有方启动虚拟机，并指示数据使用方基于镜像文件启动虚拟机的镜像时，数据持有方对镜像文件进行哈希计算，采用第一私钥S1对镜像文件的哈希值进行签名，得到镜像文件的数字签名，并将镜像文件的数字签名发送至数据使用方；数据持有方指示数据使用方采用第二公钥P2对镜像文件的数字签名进行验签，得到经验签的镜像文件的哈希值，计算经解密的镜像文件的哈希值，将经解密的镜像文件的哈希值和经验签的镜像文件的哈希值进行匹配；在经解密的镜像文件的哈希值和经验签的镜像文件的哈希值一致的情况下，数据持有方指示数据使用方基于经解密的镜像文件启动虚拟机的镜像。

其中，定义镜像文件F，镜像文件哈希值Hash（F），则有：

数据持有方签名阶段：S1*Hash（F）；

数据持有方加密阶段：S*F；

数据使用方解密阶段：S*F；

数据使用方验签阶段：P1*S1*Hash（F）= Hash（F）。

在本实施例中，数据持有方分别对镜像文件进行签名和加密，数据使用方分别对其发送过来的文件进行验签和解密，只有在经解密的镜像文件的哈希值和经验签的镜像文件的哈希值一致的情况下，数据使用方才可以启动虚拟机的镜像。如此设置，可以确保数据持有方和数据使用方安全地交换信息。

在本申请的一个实施例中，数据使用方持有计算模型和计算模型定义，数据持有方接收数据使用方发送过来的计算模型和计算模型定义，根据计算模型定义确定目标数据，并基于计算模型对目标数据进行计算，对计算过程数据进行合法性审核，以及对计算结果进行合规性审计，在计算过程数据合法且计算结果合规的情况下，输出计算过程数据和计算结果至数据使用方。

在本实施例中，数据使用方提供计算模型和计算模型定义，在计算过程中，数据持有方根据计算模型的运行逻辑审核计算过程数据是否符预定的审核规则，以管控计算过程数据的合法性。在得到计算结果之后，数据持有方根据预定的审计规则对计算结果的合规性进行审计，以管控计算结果的合规性。只有计算过程数据合法、计算结果合规的情况下，才能将计算过程数据和计算结果带离虚拟机，反馈给数据使用方。其中，计算模型可以是以计算公式的形式提供，计算模型定义可以以数据模板或脚本的形式提供。

在本申请的一个实施例中，数据使用方向数据持有方提出计算模型定义：需要本市初级、中级、高级职称人员数量和全市人口，计算全市人均职称数量。这样，全市人均职称数量就可以作为计算模型的一个参数，将这个计算模型定义作为入参发送给数据持有方，数据持有方就可以确定要提供哪些目标数据、需反馈的计算过程数据和计算结果，其中，计算过程数据可以是本市初级、中级、高级职称人员的数量，计算结果就是全市人均数量，审核规则是只允许输出全市职称总人员数量，不允许输出各级职称人员数量，审计规则是对数据计算过程进行检验，发现有不合规之处就发出提示并阻断计算结果输出。

在本申请的一个实施例中，在基于计算模型对目标数据进行计算并输出计算结果之后，数据持有方还将按照预设周期启动数据持有方创建的虚拟机，并清除沉淀掉该虚拟机中计算过程产生的数据和计算结果。

为了提升数据持有方数据输入/输出的安全性，数据持有方对虚拟机进行“裁剪”，去除虚拟机的网络配置和登录配置，并配置虚拟机的I/O专用数据通道，基于I/O专用数据通道获取计算模型，以及基于I/O专用数据通道发送镜像文件和计算结果至数据使用方。

在本实施例中，数据持有方通过I/O专用数据通道共享文件目录，确保数据在虚拟机内完成计算、运行、分析，而且只允许I/O专用数据通道接收计算模型和输出计算结果，不允许通过其他接口接收计算模型和输出计算结果。如此设置，利用裁剪的虚拟机和镜像技术构建一个安全、封闭的可信计算环境，对数据持有方和数据使用方透明且封闭。

在本申请的一个实施例中，数据持有方在主机系统里模拟出一个独立的操作系统，得到虚拟机，对虚拟机进行“裁剪”，去除网络配置和登录配置，并配置I/O专用数据通道，基于I/O专用数据通道获取计算模型，以及基于I/O专用数据通道发送镜像文件和计算结果至数据使用方，此外，在发送镜像文件至数据使用方时，还对镜像文件分别进行验签和加密，如此设置，可以模拟出一个可信沙盒（sandbox）。

结合上述实施例的数据处理方法，在本实施例中还提供了一种隐私计算系统，图3是本申请一实施例的隐私计算系统的结构框图，如图3所示，该系统包括：第一终端31、第二终端32和传输设备33，第一终端31和第二终端32通过传输设备33连接，第一终端31存储有目标数据，第二终端32存储有计算模型，第一终端31用于执行上述任一实施例所描述的数据处理方法。

在本实施例中还提供了一种电子装置，包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤。

可选地，上述电子装置还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。

可选地，在本实施例中，上述处理器可以被设置为通过计算机程序执行以下步骤：

S1，在数据持有方创建虚拟机，其中，数据持有方持有目标数据；

S2，生成虚拟机的镜像文件，将镜像文件传输至数据使用方；

S3，在数据持有方启动虚拟机，并指示数据使用方基于镜像文件启动虚拟机的镜像；

S4，获取计算模型，将目标数据和计算模型输入至数据持有方创建的虚拟机，基于计算模型对目标数据进行计算并输出计算结果。

需要说明的是，在本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，在本实施例中不再赘述。

此外，结合上述实施例中提供的数据处理方法，在本实施例中还可以提供一种存储介质来实现。该存储介质上存储有计算机程序；该计算机程序被处理器执行时实现上述实施例中的任意一种数据处理方法。

应该明白的是，这里描述的具体实施例只是用来解释这个应用，而不是用来对它进行限定。根据本申请提供的实施例，本领域普通技术人员在不进行创造性劳动的情况下得到的所有其它实施例，均属本申请保护范围。

显然，附图只是本申请的一些例子或实施例，对本领域的普通技术人员来说，也可以根据这些附图将本申请适用于其他类似情况，但无需付出创造性劳动。另外，可以理解的是，尽管在此开发过程中所做的工作可能是复杂和漫长的，但是，对于本领域的普通技术人员来说，根据本申请披露的技术内容进行的某些设计、制造或生产等更改仅是常规的技术手段，不应被视为本申请公开的内容不足。

“实施例”一词在本申请中指的是结合实施例描述的具体特征、结构或特性可以包括在本申请的至少一个实施例中。该短语出现在说明书中的各个位置并不一定意味着相同的实施例，也不意味着与其它实施例相互排斥而具有独立性或可供选择。本领域的普通技术人员能够清楚或隐含地理解的是，本申请中描述的实施例在没有冲突的情况下，可以与其它实施例结合。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对专利保护范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims

1.一种数据处理方法，应用于隐私计算，其特征在于，所述方法包括：

2.根据权利要求1 所述的数据处理方法，其特征在于，在所述数据持有方启动所述虚拟机，并指示所述数据使用方基于所述镜像文件启动所述虚拟机的镜像包括：

在所述数据持有方和所述数据使用方之间确定协商密钥；

3.根据权利要求2所述的数据处理方法，其特征在于，所述数据持有方携带有第一公钥和第一私钥，所述数据使用方携带有第二公钥和第二私钥，在所述数据持有方启动所述虚拟机，并指示所述数据使用方基于所述镜像文件启动所述虚拟机的镜像包括：

对所述镜像文件进行哈希计算，采用所述第一私钥对所述镜像文件的哈希值进行签名，得到所述镜像文件的数字签名，并将所述镜像文件的数字签名发送至所述数据使用方；

4.根据权利要求2所述的数据处理方法，其特征在于，所述数据持有方携带有第一公钥和第一私钥，所述数据使用方携带有第二公钥和第二私钥，在所述数据持有方和所述数据使用方之间确定协商密钥包括：

5.根据权利要求1所述的数据处理方法，其特征在于，所述数据使用方持有所述计算模型和计算模型定义，获取计算模型，将所述目标数据和所述计算模型输入至所述数据持有方创建的虚拟机，对所述目标数据进行计算并输出计算结果包括：

6.根据权利要求1所述的数据处理方法，其特征在于，在基于所述计算模型对所述目标数据进行计算并输出计算结果之后，所述方法还包括：

7.根据权利要求1至6中任一项所述的数据处理方法，其特征在于，所述方法还包括：

8.一种隐私计算系统，其特征在于，包括：第一终端、第二终端和传输设备，所述第一终端和所述第二终端通过所述传输设备连接，所述第一终端存储有目标数据，所述第二终端存储有计算模型，所述第一终端用于执行权利要求1至7中任一项所述的数据处理方法。

9.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至7中任一项所述的数据处理方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的数据处理方法的步骤。