CN114462088A - 用于对共享数据进行去标识的方法及装置 - Google Patents

Abstract

本说明书实施例提供了用于对共享数据进行去标识的方法及装置，在该方法中，在用于共享数据的各个数据方处，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；在各个数据方处，将所得到的第一字节数组进行截断处理，以得到第二字节数组；在具有可信执行环境的数据融合设备处，在可信执行环境中对从各个数据方获取的各个第二字节数组分别进行加密处理；以及在数据融合设备处，在可信执行环境中将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

Description

用于对共享数据进行去标识的方法及装置

技术领域

本说明书实施例涉及数据处理技术领域，具体地，涉及用于对共享数据进行去标识的方法及装置。

背景技术

作为法律主体的数据方可以依法采集数据，包括用户数据、运行数据等，每个数据方可以使用所采集的数据，比如，将所采集的数据作为样本进行模型训练。然而，基于隐私数据安全的问题，一般来说，各个数据方仅能使用自己所拥有的数据，无法和其他数据方进行交叉共享。

但数据共享才能够最大化地释放数据的价值，实现数据利用的最大化。为了实现数据价值的最大化，可以在各个数据方之间进行数据共享，但数据共享需要确保隐私数据安全，满足法律法规的要求。为了满足要求，在数据共享之前需要对隐私数据进行去标识化处理，以隐藏隐私信息，避免隐私信息泄漏。目前，主要的去标识化手段是利用数据加密算法进行加密处理。

发明内容

鉴于上述，本说明书实施例提供了用于对共享数据进行去标识的方法及装置。通过本说明书实施例，提供了一种更安全的去标识化手段，提高共享数据中的隐私信息的安全性。

根据本说明书实施例的一个方面，提供了一种用于对共享数据进行去标识的方法，包括：在用于共享数据的各个数据方处，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；在所述各个数据方处，将所得到的第一字节数组进行截断处理，以得到第二字节数组；在具有可信执行环境的数据融合设备处，在所述可信执行环境中对从所述各个数据方获取的各个第二字节数组分别进行加密处理；以及在所述数据融合设备处，在所述可信执行环境中将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

根据本说明书实施例的另一方面，还提供一种用于对共享数据进行去标识的方法，由用于共享数据的各个数据方来执行，所述方法包括：利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；将所得到的第一字节数组进行截断处理，以得到第二字节数组；以及将包括所述第二字节数组的待共享数据发送给具有可信执行环境的数据融合设备，以使所述数据融合设备在所述可信执行环境中对从各个数据方获取的第二字节数组进行加密，并将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

根据本说明书实施例的另一方面，还提供一种用于对共享数据进行去标识的方法，由具有可信执行环境的数据融合设备来执行，所述方法包括：从共享数据的各个数据方获取包括第二字节数组的待共享数据，所述第二字节数组是由各个数据方利用哈希算法对待共享数据中的隐私信息进行哈希计算得到的第一字节数组进行截断处理得到；在所述可信执行环境中对所获取的各个第二字节数组分别进行加密处理；以及在所述可信执行环境中将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

根据本说明书实施例的另一方面，还提供一种用于对共享数据进行去标识的装置，应用于用于共享数据的各个数据方，所述装置包括：哈希计算单元，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；数组截断单元，将所得到的第一字节数组进行截断处理，以得到第二字节数组；以及数据发送单元，将包括所述第二字节数组的待共享数据发送给具有可信执行环境的数据融合设备，以使所述数据融合设备在所述可信执行环境中对从各个数据方获取的第二字节数组进行加密，并将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

根据本说明书实施例的另一方面，还提供一种用于对共享数据进行去标识的装置，应用于具有可信执行环境的数据融合设备，所述装置包括：数据获取单元，从共享数据的各个数据方获取包括第二字节数组的待共享数据，所述第二字节数组是由各个数据方利用哈希算法对待共享数据中的隐私信息进行哈希计算得到的第一字节数组进行截断处理得到；加密单元，在所述可信执行环境中对所获取的各个第二字节数组分别进行加密处理；以及数据融合单元，在所述可信执行环境中将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

根据本说明书实施例的另一方面，还提供一种电子设备，包括：至少一个处理器，与所述至少一个处理器耦合的存储器，以及存储在所述存储器上的计算机程序，所述至少一个处理器执行所述计算机程序来实现如上述任一所述的用于对共享数据进行去标识的方法。

根据本说明书实施例的另一方面，还提供一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的用于对共享数据进行去标识的方法。

根据本说明书实施例的另一方面，还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上任一所述的用于对共享数据进行去标识的方法。

附图说明

通过参照下面的附图，可以实现对于本说明书实施例内容的本质和优点的进一步理解。在附图中，类似组件或特征可以具有相同的附图标记。

图1示出了根据本说明书实施例的各个数据方以及数据融合设备的应用场景的一个示例的示意图。

图2示出了根据本说明书的一个实施例的用于对共享数据进行去标识的方法的一个示例的流程图。

图3示出了根据本说明书的另一实施例的用于对共享数据进行去标识的方法的一个示例的流程图。

图4示出了根据本说明书的另一实施例的用于对共享数据进行去标识的方法的一个示例的流程图。

图5示出了根据本说明书的一个实施例的共享数据去标识装置的一个示例的方框图。

图6示出了根据本说明书的另一个实施例的共享数据去标识装置的一个示例的方框图。

图7示出了本说明书实施例的用于实现共享数据去标识方法的电子设备的方框图。

图8示出了本说明书实施例的用于实现共享数据去标识方法的电子设备的方框图。

具体实施方式

以下将参考示例实施方式讨论本文描述的主题。应该理解，讨论这些实施方式只是为了使得本领域技术人员能够更好地理解从而实现本文描述的主题，并非是对权利要求书中所阐述的保护范围、适用性或者示例的限制。可以在不脱离本说明书实施例内容的保护范围的情况下，对所讨论的元素的功能和排列进行改变。各个示例可以根据需要，省略、替代或者添加各种过程或组件。另外，相对一些示例所描述的特征在其它例子中也可以进行组合。

如本文中使用的，术语“包括”及其变型表示开放的术语，含义是“包括但不限于”。术语“基于”表示“至少部分地基于”。术语“一个实施例”和“一实施例”表示“至少一个实施例”。术语“另一个实施例”表示“至少一个其他实施例”。术语“第一”、“第二”等可以指代不同的或相同的对象。下面可以包括其他的定义，无论是明确的还是隐含的。除非上下文中明确地指明，否则一个术语的定义在整个说明书中是一致的。

作为法律主体的数据方可以依法采集数据，包括用户数据、运行数据等，每个数据方可以使用所采集的数据，比如，将所采集的数据作为样本进行模型训练。然而，基于隐私数据安全的问题，一般来说，各个数据方仅能使用自己所拥有的数据，无法和其他数据方进行交叉共享。

但数据共享才能够最大化地释放数据的价值，实现数据利用的最大化。为了实现数据价值的最大化，可以在各个数据方之间进行数据共享，但数据共享需要确保隐私数据安全，满足法律法规的要求。为了满足要求，在数据共享之前需要对隐私数据进行去标识化处理，以隐藏隐私信息，避免隐私信息泄漏。目前，主要的去标识化手段是利用数据加密算法进行加密处理。

然而，目前的加密处理方式仅使用单一的加密算法，一般的单一加密算法在去标识化处理过程中也存在不同程度的缺点，可能导致去标识化不彻底，甚至能够还原出明文来，这样导致依然存在隐私信息泄漏的风险。例如，MD5哈希算法是一种常见的数据哈希算法，也被常用于对数据进行去标识化处理，但使用单一的MD5哈希算法进行去标识化处理所得到的密文仅通过一张彩虹表便能够还原出原始明文。

鉴于上述，本说明书实施例提供了用于对共享数据进行去标识的方法及装置。在该方法中，在用于共享数据的各个数据方处，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；在各个数据方处，将所得到的第一字节数组进行截断处理，以得到第二字节数组；在具有可信执行环境的数据融合设备处，在可信执行环境中对从各个数据方获取的各个第二字节数组分别进行加密处理；以及在数据融合设备处，在可信执行环境中将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。通过本说明书实施例，提供了一种更安全的去标识化手段，提高共享数据中的隐私信息的安全性。

下面结合附图对本说明书实施例提供的用于对共享数据进行去标识的方法及装置进行详细说明。

图1示出了根据本说明书实施例的各个数据方以及数据融合设备的应用场景的一个示例的示意图。

如图1所示，本说明书实施例提供的去标识方案的应用场景可以包括多个数据方和至少一个数据融合设备。该多个数据方中的每个数据方都拥有各自的数据，各个数据方可以将各自所拥有的全部或者部分数据与其他数据方进行共享。

数据融合设备可以是相对于各个数据方独立的机器，数据融合设备与各个数据方通信连接，能够接收来自各个数据方的数据。数据融合设备可以包括服务器、终端设备等，终端设备可以包括笔记本、电脑、平板等。

数据融合设备可以配置有可信执行环境(Trusted Execution Environment，TEE)，从而使得数据融合设备的处理器具有TEE能力。此外，数据融合设备还可以配置具有通用环境(Rich Execution Environment，REE)，数据融合设备的处理器可以由TEE和REE共享，也可以仅配置成TEE。在一个示例中，数据融合设备中的TEE可以基于TmstZone来实现。TEE隔离于REE，TEE与REE之间可以通信。

图2示出了根据本说明书的一个实施例的用于对共享数据进行去标识的方法的一个示例200的流程图。

如图2所示，在210，在各个数据方处，可以利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组。

在本说明书实施例中，哈希算法可以包括SHA-1、SHA-2、MD5、CRC-32等算法中的至少一种，其中，SHA-2可以包括SHA-224、SHA-256、SHA-384和SHA-512等中的至少一种。

在本说明书实施例中，第一字节数组可以由属于同一种进制的多个数值构成，同一种进制可以包括二进制、十六进制等。比如，第一字节数组可以由多个二进制的字节构成，还可以由多个十六进制的数值构成。

使用不同的哈希算法得到的第一字节数组可以不同。此外，使用不同的哈希算法得到的第一字节数组中包括的数值的数量可以不同。以二进制为例，使用CRC-32哈希算法输出的是32bit，从而得到的包括32位二进制字节的第一字节数组。使用MD5哈希算法输出的是128bit，从而得到的包括128位二进制字节的第一字节数组。使用SHA-256哈希算法输出的是256bit，从而得到的包括256位二进制字节的第一字节数组。

在本说明书实施例中，待去标识化处理的隐私信息可以包括能够指向并确定出特定用户的信息，比如，身份证号、姓名、家庭住址等。每个隐私信息经过哈希计算后可以得到对应的一个第一字节数组，第一字节数组和隐私信息可以是一一对应的关系，每个第一字节数组可以表征对应的隐私信息。

在一个示例中，在各个数据方处，可以根据隐私信息类型的特征、数据血缘以及隐私信息类型对应的字段中的至少一种，从待共享数据中确定待去标识化处理的隐私信息。

针对隐私信息类型的特征，不同类型的隐私信息具有不同的特征，每种类型的隐私信息的特征可以包括至少一个，隐私信息的特征可以是该类型的隐私信息所特有的，从而针对该类型的隐私信息具有较强的指向性，该指向性可以表示通过隐私信息的特征可以推导出该隐私信息的类型。

例如，姓名的特征可以包括姓名中包括的汉字数量，姓名包括的汉字数量在两个汉字以上、六个汉字以下，一般来说，姓名包括两个汉字或者三个汉字。此外，姓名的特征还可以包括常见的姓氏，比如，赵、王、孙、李等。又例如，身份证号的特征包括由18位数字构成，或者由17位数字外加最后一位上的“X”构成。又例如，地址的特征可以包括“市”、“区”、“街道”、门牌号等字样。

在根据隐私信息类型的特征来确定隐私信息时，可以根据隐私信息类型的特征对待共享数据进行扫描，以确定待共享数据中是否存在各个隐私信息类型的相关特征，当扫描出相关特征时，根据各个特征与隐私信息类型的对应关系，可以确定所扫描出的特征所属的隐私信息类型，从而可以确定所扫描出的特征所属的信息是隐私信息。例如，当扫描到存在连续的18位数字时，可以认为该18位数字是身份证号。

针对数据血缘，数据血缘是指数据的来龙去脉，包括数据的来源、数据的加工方式、映射方式以及数据出口等。具有数据血缘的两个信息之间具有一定的关联性，比如，具有数据血缘的两个信息中，下游信息可以继承上游信息的全部或者部分特征。

基于此，在根据数据血缘确定隐私信息时，当具有数据血缘的多个信息中的其中一个信息是隐私信息时，则可以确定该多个信息中的其他信息也是隐私信息。在一个示例中，当从待共享数据中确定出一个信息是隐私信息时，可以检查待共享数据中是否存在与该隐私信息具有数据血缘关系的信息，若存在，则可以确定所检查出存在的该信息也是隐私信息。

针对隐私信息类型对应的字段，在一个示例中，每种类型的隐私信息可以存储在固定的字段中，例如，与姓名相关的隐私信息存储在“姓名”字段中，与身份证号相关的隐私信息存储在“身份证号”字段中。在该示例中，每个字段可以对应存储一种类型的隐私信息，基于此，当根据隐私信息类型对应的字段确定隐私信息时，可以在待共享数据中查找各个隐私信息类型对应的字段，将所查找的字段中的各个信息确定为隐私信息。

在该示例中，在确定出待去标识化处理的隐私信息后，可以利用哈希算法将所确定的各个隐私信息进行哈希计算，以得到对应的第一字节数组。

在220，在各个数据方处，将所得到的第一字节数组进行截断处理，以得到第二字节数组。

在本说明书实施例中，第二字节数组中的数值少于第一字节数组中的数值，第二字节数组中包括的数值的集合是第一字节数组中包括的数值集合的子集。

在截断处理的一个示例中，可以将第一字节数组截断成多个子字节数组，每个子字节数组包括至少一个数值，然后，可以从所截断的多个子字节数组中选取部分子字节数组构合成为第二字节数组。所选取的部分子字节数组的数量可以是随机地，还可以是指定数量。

截断成子字节数组的数量可以随机，也可以指定。当截断成子字节数组的数量指定时，每个子字节数组中的数值数量可以随机分配，还可以均匀分配。例如，在利用SHA256哈希算法得到的第一字节数组中包括有256位二进制字节，截断成子字节数组的指定数量是2，且各个子字节数组均匀分配，则可以将256位二进制字节截断成两个包括128位二进制字节的子字节数组，并将其中一个子字节数组作为第二字节数组。

在一个示例中，截断得到的第二字节数组中的数值数量可以随机，还可以指定。指定的数量小于第一字节数组中的数值数量。在第二字节数组中的数值数量指定的情况下，可以按照指定规则进行截断。在按照指定规则截断的一个示例中，可以按照从前到后或者从后到前的顺序依次从第一字节数组中选取指定数量的数值进行截断。在另一个示例中，可以从第一字节数组中的中间某个位置作为起始点选取指定数量的数值进行截断。

通过截断处理，将隐私信息对应的第二字节数组在所得到的哈希值(即第一字节数组)的基础上进一步地变化，避免根据彩虹表能够还原出隐私信息，从而避免彩虹表的攻击，进一步地加强了隐私信息的安全性。

在230，各个数据方将经过去标识化处理的待共享数据发送给数据融合设备。

这里的经过去标识化处理包括哈希计算和截断处理，从而，经过去标识化处理的待共享数据可以是包括经过哈希计算以及截断处理的待共享数据，相比于未经去标识化处理的待共享数据，经过去标识化处理的待共享数据不包括隐私信息，而包括隐私信息对应的第二字节数组以及未去标识化处理的非隐私信息。各个数据方发送的待共享数据是自身所拥有的、且经过去标识化处理的待共享数据。

例如，在一个数据方所拥有的一组待共享数据中，包括用户的姓名、手机号、上网的时间段信息、经常访问的网站等。其中，姓名和手机号是隐私信息，隐私信息经过去标识化处理后生成对应的第二字节数组，上网的时间段信息以及经常访问的网站信息属于非隐私信息，则该数据方发送给数据融合设备的待共享数据包括姓名和手机号对应的第二字节数组以及上网的时间段信息和经常访问的网站。

在一个示例中，各个数据方在将经过去标识化处理的待共享数据发送给数据融合设备之前，还可以对经过去标识化处理的待共享数据进行针对去标识化完备性的第一检测。

在该示例中，针对去标识化完备性的第一检测是检测待共享数据中的隐私信息是否都经过去标识化处理。在经过去标识化处理的待共享数据中，隐私信息经过哈希计算以及截断处理后都用对应的第二字节数组来替代。

通过去标识化完备性的第一检测，当检测出待共享数据中不存在未去标识化处理的隐私信息时，可以将该待共享数据发送给数据融合设备。当检测出待共享数据中存在未去标识化处理的隐私信息时，需要对该隐私信息进行去标识化处理，即对该隐私信息进行哈希计算以及截断处理，以得到对应的第二字节数组，以避免隐私信息泄漏。在完成去标识化处理后，可以再对待共享数据进行针对去标识化完备性的第一检测，直至待共享数据中的去标识化达到完备性，即待共享数据中的所有隐私信息都经过去标识化处理。

在一个示例中，针对去标识化完备性的第一检测可以包括：根据隐私信息的特征进行扫描检测，和/或对经过去标识化处理的待共享数据进行反向推导检测等。

针对根据隐私信息类型的特征进行扫描的检测方式，在各个数据方处，可以根据各种隐私信息类型的特征对待发送的待共享数据进行扫描，以检测该待共享数据中是否存在各种隐私信息类型对应的特征。若检测到存在隐私信息类型对应的特征，则可以确定该待共享数据中存在未去标识化处理的隐私信息。

在一个示例中，可以实行定制化扫描，即，针对指定的隐私信息类型的特征进行扫描，指定的隐私信息类型可以包括一种或多种。通过定制化扫描，能够有针对性地进行扫描，可以提高完备性检测的效率。

针对反向推导的检测方式，反向推导检测的对象是待发送的经过去标识化处理的待共享数据，反向推导检测是基于该经过去标识化处理的待共享数据检测是否能够反向定位到特定的用户。当通过反向推导检测能够定位到特定的用户时，表示该待共享数据中存在可以指向特定用户的隐私信息，比如，姓名、手机号、身份证号等。

在一种反向推导计算中，可以将经过去标识化处理的待共享数据按照用户以及用户的相关特征信息的数据分布方式进行数据排布，相关特征信息可以包括隐私信息和非隐私信息，每一种隐私信息类型可以作为一种相关特征信息。例如，在基于数据表的数据分布中，每一数据行对应一个用户，每一数据列对应用户的一个相关特征信息。然后，基于待共享数据的数据分布来检测是否达到去标识化的完备性。具体地，当待共享数据中针对各个用户的列数与去标识化处理之前的列数相同时，则可以认为该待共享数据中还存在未去标识化处理的隐私信息。例如，针对一个用户的相关特征信息包括姓名、手机号、身份证号、学历、职业等，即包括有5列的特征信息，而经过去标识化处理后该用户依然对应有5列特征信息，则可以确定针对该用户存在隐私信息。

在240，在数据融合设备处，可以在可信执行环境中对从各个数据方获取的各个第二字节数组分别进行加密处理。

在一个示例中，数据融合设备在从各个数据方接收到经过去标识化处理的待共享数据之后，在对各个第二字节数组进行加密处理之前，可以对所接收的待共享数据进行针对去标识化完备性的第二检测。第二检测的方式可以包括根据隐私信息类型的特征进行扫描检测，和/或对所接收的待共享数据进行反向推导检测等。

在该示例中，第二检测所使用的方式与第一检测所使用的方式可以不同。例如，第一检测所使用的方式是根据隐私信息类型的特征进行扫描检测，则第二检测所使用的方式是对所接收的待共享数据进行反向推导计算。

数据融合设备在对所接收的待共享数据进行加密处理之前，对所接收的待共享数据再一次地进行针对去标识化完备性的第二检测，进一步地确保待共享数据中的隐私信息已经过去标识化处理，从而进一步地提高隐私信息的安全性。此外，第二检测与第一检测使用不同的检测方式，通过两种不同的检测方式交叉地对待共享数据进行多次去标识化的完备性检测，能够进一步地提高针对去标识化完备性的检测的精确度。

在本说明书实施例中，对各个第二字节数组的加密处理是对隐私信息的去标识化进行安全加固的过程。加密处理所采用的加密算法可以包括AES、RSA、DES、国密算法、RC2和RC4等中的至少一种加密算法。针对各个第二字节数组可以采用相同的加密算法进行加密处理，还可以采用不同的加密算法进行加密处理。在采用不同的加密算法的一个示例中，可以针对不同的数据方采用不同的加密算法。通过采用不同的加密算法，可以对隐私信息对应的第二字节数组进一步地进行安全加固，提高第二字节数组的安全性，从而提高隐私信息的安全性。

加密处理所使用的加密算法代码以及密钥都存储在数据融合设备的可信执行环境中，加密算法代码在可信执行环境中运行，结合可信执行环境中的密钥，在可信执行环境中执行加密处理的操作。可信执行环境作为一个独立地运行环境，可以确保可信执行环境中的加密算法代码和密钥的机密性和完整性，以及加密操作在执行过程中的安全性。

在一个示例中，加密处理所使用的密钥和加密算法代码在可信执行环境中分开存储。在可信执行环境中，密钥和加密算法代码可以存储在不同的存储空间中，还可以由不同的应用来对存储的密钥和加密算法代码进行管理。在一个示例中，算法托管应用可以对加密算法代码进行管理，密钥托管应用可以对可信执行环境中存储的密钥进行管理，算法托管应用和密钥托管应用属于可信执行环境中的不同应用。

在一个示例中，在数据融合设备处的可信执行环境中，当需要执行加密操作时，算法托管应用可以从密钥托管应用中获取密钥。在密钥获取的一个示例中，算法托管应用可以向密钥托管应用发送密钥请求，密钥托管应用根据密钥请求从存储空间中获取对应的密钥，并将密钥发送给算法托管应用。

在一个示例中，密钥托管应用响应于密钥请求，可以对发送密钥请求的算法托管应用进行验证，在验证通过的情况下可以将密钥发送给算法托管应用。当验证通过时，可以表示算法托管应用可信。验证的方式可以包括身份验证、密码验证、签名验证等中的至少一种。

当采用身份验证时，算法托管应用发送的密钥请求中可以包括算法托管应用的身份信息，当密钥托管应用接收到密钥请求时，对密钥请求中的身份信息进行验证，以确定发送密钥请求的算法托管应用是可信的。在身份验证的情况下，密钥托管应用可以仅为指定的应用提供密钥服务，从而仅指定的应用可以从密钥托管应用获取密钥来执行加密操作，提高了加密过程的可信度以及安全性。

当采用密码验证时，算法托管应用可以利用私钥对密钥请求进行加密处理，当密钥托管应用接收到密钥请求时，密钥托管应用可以利用私钥对应的公钥对密钥请求进行解密处理。在解密成功时，可以确定发送密钥请求的算法托管应用可信。当采用签名验证时，算法托管应用可以利用私钥对密钥请求进行签名，当密钥托管应用接收到密钥请求时，密钥托管应用可以利用私钥对应的公钥对密钥请求进行签名验证，当签名验证通过时，可以确定发送密钥请求的算法托管应用可信。

算法托管应用在获取到密钥后，可以基于所获取的密钥和加密算法代码执行加密操作，以对从各个数据方获取的各个第二字节数组分别进行加密处理。

通过将密钥和加密算法代码分开存储，提高了加密处理过程的安全性。通过密钥托管应用对算法托管应用进行验证，避免密钥被其他非法应用获取并使用，进一步地提高了加密处理过程的可信度和安全性。

在一个示例中，数据共享可以应用于不同的应用场景下，比如，机器模型训练、联邦学习、用户行为分析等。数据共享在不同的应用场景下所使用的密钥可以不同，这样避免使用相同的密钥进行加密处理，提高加密算法的稳固性。

在该示例中，可以对各个应用场景设置不同的重要等级，对于重要等级低的应用场景，可以使用字符长度相对较短的密钥，对于重要等级高的应用场景，可以使用字符长度更长的密钥。

回到图2，在250，在数据融合设备处，在可信执行环境中可以将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

所得到的共享数据中不包括隐私信息，仅包括隐私信息对应生成的经过加密的第二字节数组以及非隐私信息。数据融合设备在得到共享数据后，可以将共享数据分发给各个数据方，以实现在各个数据方之间的数据共享。

图3示出了根据本说明书的另一实施例的用于对共享数据进行去标识的方法的一个示例300的流程图。图3所示的方法可以由用于共享数据的各个数据方来执行。

如图3所示，在310，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组。

在一个示例中，根据隐私信息类型的特征、数据血缘以及隐私信息类型对应的字段中的至少一种，从待共享数据中确定待去标识化处理的隐私信息；以及利用哈希算法将所确定的隐私信息进行哈希计算，以得到对应的第一字节数组。

在320，将所得到的第一字节数组进行截断处理，以得到第二字节数组。

在330，将包括第二字节数组的待共享数据发送给具有可信执行环境的数据融合设备，以使数据融合设备在可信执行环境中对从各个数据方获取的第二字节数组进行加密，并将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

在一个示例中，在将包括第二字节数组的待共享数据发送给数据融合设备之前，还可以对经过去标识化处理的待共享数据进行针对去标识化完备性的第一检测。

在一个示例中，针对去标识化完备性的第一检测可以包括：根据隐私信息类型的特征进行扫描，和/或对经过去标识化处理的待共享数据进行反向推导计算。

图4示出了根据本说明书的另一实施例的用于对共享数据进行去标识的方法的一个示例400的流程图。图4所示的方法可以由具有可信执行环境的数据融合设备来执行。

在410，从共享数据的各个数据方获取包括第二字节数组的待共享数据。第二字节数组是由各个数据方利用哈希算法对待共享数据中的隐私信息进行哈希计算得到的第一字节数组进行截断处理得到。

在一个示例中，可以对所接收的待共享数据进行针对去标识化完备性的第二检测。在一个示例中，针对去标识化完备性的第二检测可以包括：根据隐私信息类型的特征进行扫描检测，和/或对经过去标识化处理的待共享数据进行反向推导检测。

在420，在可信执行环境中对所获取的各个第二字节数组分别进行加密处理。

在430，在可信执行环境中将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

在一个示例中，加密处理所使用的密钥和加密算法代码在可信执行环境中分开存储。

在一个示例中，在可信执行环境中，算法托管应用从用于管理密钥的密钥托管应用中获取密钥；以及算法托管应用基于所获取的密钥和加密算法代码执行加密操作，以对从各个数据方获取的各个第二字节数组分别进行加密处理。

在一个示例中，在可信执行环境中，算法托管应用向密钥托管应用发送密钥请求；以及密钥托管应用在验证算法托管应用可信时，将密钥发送给算法托管应用。

图5示出了根据本说明书的一个实施例的共享数据去标识装置500的一个示例的方框图。共享数据去标识装置500可以应用于用于共享数据的各个数据方。

如图5所示，共享数据去标识装置500包括哈希计算单元510、数组截断单元520和数据发送单元530。

哈希计算单元510，可以被配置为利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组。

在一个示例中，哈希计算单元510还可以被配置为：根据隐私信息类型的特征、数据血缘以及隐私信息类型对应的字段中的至少一种，从待共享数据中确定待去标识化处理的隐私信息；以及利用哈希算法将所确定的隐私信息进行哈希计算，以得到对应的第一字节数组。

数组截断单元520，可以被配置为将所得到的第一字节数组进行截断处理，以得到第二字节数组。

数据发送单元530，可以被配置为将包括第二字节数组的待共享数据发送给具有可信执行环境的数据融合设备，以使数据融合设备在可信执行环境中对从各个数据方获取的第二字节数组进行加密，并将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

在一个示例中，共享数据去标识装置500还可以包括完备性检测单元，完备性检测单元被配置为：对经过去标识化处理的待共享数据进行针对去标识化完备性的第一检测。

图6示出了根据本说明书的另一个实施例的共享数据去标识装置600的一个示例的方框图。共享数据去标识装置600可以应用于具有可信执行环境的数据融合设备。

如图6所示，共享数据去标识装置600包括：数据获取单元610、加密单元620和数据融合单元630。

数据获取单元610，可以被配置为从共享数据的各个数据方获取包括第二字节数组的待共享数据，第二字节数组是由各个数据方利用哈希算法对待共享数据中的隐私信息进行哈希计算得到的第一字节数组进行截断处理得到。

加密单元620，可以被配置为在可信执行环境中对所获取的各个第二字节数组分别进行加密处理。

在一个示例中，加密单元620还可以被配置为：在可信执行环境中，算法托管应用从用于管理密钥的密钥托管应用中获取密钥；以及算法托管应用基于所获取的密钥和加密算法代码执行加密操作，以对从各个数据方获取的各个第二字节数组分别进行加密处理。

在一个示例中，加密单元620还可以被配置为：在数据融合设备处的可信执行环境中，算法托管应用向密钥托管应用发送密钥请求；以及密钥托管应用在验证算法托管应用可信时，将密钥发送给算法托管应用。

数据融合单元630，可以被配置为在可信执行环境中将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

在一个示例中，共享数据去标识装置600还可以包括完备性检测单元，完备性检测单元被配置为：对所接收的待共享数据进行针对去标识化完备性的第二检测。针对去标识化完备性的第二检测可以包括：根据隐私信息类型的特征进行扫描检测，和/或对经过去标识化处理的待共享数据进行反向推导检测。

以上参照图1到图6，对根据本说明书实施例的用于对共享数据进行去标识的方法及装置的实施例进行了描述。

本说明书实施例的用于对共享数据进行去标识的装置可以采用硬件实现，也可以采用软件或者硬件和软件的组合来实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的处理器将存储器中对应的计算机程序指令读取到内存中运行形成的。在本说明书实施例中，用于对共享数据进行去标识的装置例如可以利用电子设备实现。

图7示出了本说明书实施例的用于实现共享数据去标识方法的电子设备700的方框图。

如图7所示，电子设备700可以包括至少一个处理器710、存储器(例如，非易失性存储器)720、内存730和通信接口740，并且至少一个处理器710、存储器720、内存730和通信接口740经由总线750连接在一起。至少一个处理器710执行在存储器中存储或编码的至少一个计算机可读指令(即，上述以软件形式实现的元素)。

在一个实施例中，在存储器中存储计算机可执行指令，其当执行时使得至少一个处理器710：利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；将所得到的第一字节数组进行截断处理，以得到第二字节数组；以及将包括第二字节数组的待共享数据发送给具有可信执行环境的数据融合设备，以使数据融合设备在可信执行环境中对从各个数据方获取的第二字节数组进行加密，并将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

应该理解，在存储器中存储的计算机可执行指令当执行时使得至少一个处理器710进行本说明书的各个实施例中以上结合图1-6描述的各种操作和功能。

根据一个实施例，提供了一种例如机器可读介质的程序产品。机器可读介质可以具有指令(即，上述以软件形式实现的元素)，该指令当被机器执行时，使得机器执行本说明书的各个实施例中以上结合图1-6描述的各种操作和功能。

图8示出了本说明书实施例的用于实现共享数据去标识方法的电子设备800的方框图。

如图8所示，电子设备800可以包括至少一个处理器810、存储器(例如，非易失性存储器)820、内存830和通信接口840，并且至少一个处理器810、存储器820、内存830和通信接口840经由总线850连接在一起。至少一个处理器810执行在存储器中存储或编码的至少一个计算机可读指令(即，上述以软件形式实现的元素)。

在一个实施例中，在存储器中存储计算机可执行指令，其当执行时使得至少一个处理器810：从共享数据的各个数据方获取包括第二字节数组的待共享数据，第二字节数组是由各个数据方利用哈希算法对待共享数据中的隐私信息进行哈希计算得到的第一字节数组进行截断处理得到；在可信执行环境中对所获取的各个第二字节数组分别进行加密处理；以及在可信执行环境中将包括经过加密的各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

应该理解，在存储器中存储的计算机可执行指令当执行时使得至少一个处理器810进行本说明书的各个实施例中以上结合图1-6描述的各种操作和功能。

根据一个实施例，提供了一种例如机器可读介质的程序产品。机器可读介质可以具有指令(即，上述以软件形式实现的元素)，该指令当被机器执行时，使得机器执行本说明书的各个实施例中以上结合图1-6描述的各种操作和功能。

具体地，可以提供配有可读存储介质的系统或者装置，在该可读存储介质上存储着实现上述实施例中任一实施例的功能的软件程序代码，且使该系统或者装置的计算机或处理器读出并执行存储在该可读存储介质中的指令。

在这种情况下，从可读介质读取的程序代码本身可实现上述实施例中任何一项实施例的功能，因此机器可读代码和存储机器可读代码的可读存储介质构成了本发明的一部分。

本说明书各部分操作所需的计算机程序代码可以用任意一种或多种程序语言编写，包括面向对象编程语言，如Java、Scala、Smalltalk、Eiffel、JADE、Emerald、C++、C#、VB、NET以及Python等，常规程序化编程语言如C语言、Visual Basic 2003、Perl、COBOL2002、PHP以及ABAP，动态编程语言如Python、Ruby和Groovy，或者其他编程语言等。该程序编码可以在用户计算机上运行，或者作为独立的软件包在用户计算机上运行，或者部分在用户计算机上运行另一部分在远程计算机运行，或者全部在远程计算机或服务器上运行。在后一种情况下，远程计算机可以通过任何网络形式与用户计算机连接，比如局域网(LAN)或广域网(WAN)，或连接至外部计算机(例如通过因特网)，或者在云计算环境中，或者作为服务使用，比如软件即服务(SaaS)。

可读存储介质的实施例包括软盘、硬盘、磁光盘、光盘(如CD-ROM、CD-R、CD-RW、DVD-ROM、DVD-RAM、DVD-RW、DVD-RW)、磁带、非易失性存储卡和ROM。可选择地，可以由通信网络从服务器计算机上或云上下载程序代码。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

上述各流程和各系统结构图中不是所有的步骤和单元都是必须的，可以根据实际的需要忽略某些步骤或单元。各步骤的执行顺序不是固定的，可以根据需要进行确定。上述各实施例中描述的装置结构可以是物理结构，也可以是逻辑结构，即，有些单元可能由同一物理实体实现，或者，有些单元可能分由多个物理实体实现，或者，可以由多个独立设备中的某些部件共同实现。

在整个本说明书中使用的术语“示例性”意味着“用作示例、实例或例示”，并不意味着比其它实施例“优选”或“具有优势”。出于提供对所描述技术的理解的目的，具体实施方式包括具体细节。然而，可以在没有这些具体细节的情况下实施这些技术。在一些实例中，为了避免对所描述的实施例的概念造成难以理解，公知的结构和装置以框图形式示出。

以上结合附图详细描述了本说明书的实施例的可选实施方式，但是，本说明书的实施例并不限于上述实施方式中的具体细节，在本说明书的实施例的技术构思范围内，可以对本说明书的实施例的技术方案进行多种简单变型，这些简单变型均属于本说明书的实施例的保护范围。

本说明书内容的上述描述被提供来使得本领域任何普通技术人员能够实现或者使用本说明书内容。对于本领域普通技术人员来说，对本说明书内容进行的各种修改是显而易见的，并且，也可以在不脱离本说明书内容的保护范围的情况下，将本文所定义的一般性原理应用于其它变型。因此，本说明书内容并不限于本文所描述的示例和设计，而是与符合本文公开的原理和新颖性特征的最广范围相一致。

Claims (16)

1.一种用于对共享数据进行去标识的方法，包括：

在用于共享数据的各个数据方处，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；

在所述各个数据方处，将所得到的第一字节数组进行截断处理，以得到第二字节数组；

在具有可信执行环境的数据融合设备处，在所述可信执行环境中对从所述各个数据方获取的各个第二字节数组分别进行加密处理；以及

在所述数据融合设备处，在所述可信执行环境中将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

2.如权利要求1所述的方法，其中，在用于共享数据的各个数据方处，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组包括：

在用于共享数据的各个数据方处，根据隐私信息类型的特征、数据血缘以及隐私信息类型对应的字段中的至少一种，从待共享数据中确定待去标识化处理的隐私信息；以及

利用哈希算法将所确定的隐私信息进行哈希计算，以得到对应的第一字节数组。

3.如权利要求1所述的方法，其中，所述各个数据方将经过去标识化处理的待共享数据发送给所述数据融合设备之前，所述方法还包括：

对经过去标识化处理的待共享数据进行针对去标识化完备性的第一检测。

4.如权利要求3所述的方法，其中，针对去标识化完备性的第一检测包括：根据隐私信息类型的特征进行扫描检测，和/或对所述经过去标识化处理的待共享数据进行反向推导检测。

5.如权利要求3所述的方法，其中，所述数据融合设备在从所述各个数据方接收到经过去标识化处理的待共享数据后，所述方法还包括：

对所接收的待共享数据进行针对去标识化完备性的第二检测，所述第二检测所使用的方式与所述第一检测所使用的方式不同。

6.如权利要求1所述的方法，其中，所述加密处理所使用的密钥和加密算法代码在所述可信执行环境中分开存储。

7.如权利要求6所述的方法，其中，在具有可信执行环境的数据融合设备处，在所述可信执行环境中对从所述各个数据方获取的各个第二字节数组分别进行加密处理包括：

在所述数据融合设备处的所述可信执行环境中，算法托管应用从用于管理密钥的密钥托管应用中获取密钥；以及

所述算法托管应用基于所获取的密钥和所述加密算法代码执行加密操作，以对从所述各个数据方获取的各个第二字节数组分别进行加密处理。

8.如权利要求7所述的方法，其中，在所述数据融合设备处的所述可信执行环境中，算法托管应用从用于管理密钥的密钥托管应用中获取密钥包括：

在所述数据融合设备处的所述可信执行环境中，所述算法托管应用向所述密钥托管应用发送密钥请求；以及

所述密钥托管应用在验证所述算法托管应用可信时，将所述密钥发送给所述算法托管应用。

9.如权利要求6所述的方法，其中，数据共享在不同的应用场景下所使用的密钥不同。

10.一种用于对共享数据进行去标识的方法，由用于共享数据的各个数据方来执行，所述方法包括：

利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组：

将所得到的第一字节数组进行截断处理，以得到第二字节数组；以及

将包括所述第二字节数组的待共享数据发送给具有可信执行环境的数据融合设备，以使所述数据融合设备在所述可信执行环境中对从各个数据方获取的第二字节数组进行加密，并将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

11.一种用于对共享数据进行去标识的方法，由具有可信执行环境的数据融合设备来执行，所述方法包括：

从共享数据的各个数据方获取包括第二字节数组的待共享数据，所述第二字节数组是由各个数据方利用哈希算法对待共享数据中的隐私信息进行哈希计算得到的第一字节数组进行截断处理得到；

在所述可信执行环境中对所获取的各个第二字节数组分别进行加密处理；以及

在所述可信执行环境中将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

12.一种用于对共享数据进行去标识的装置，应用于用于共享数据的各个数据方，所述装置包括：

哈希计算单元，利用哈希算法对待共享数据中的隐私信息进行哈希计算，以得到对应的第一字节数组；

数组截断单元，将所得到的第一字节数组进行截断处理，以得到第二字节数组；以及

数据发送单元，将包括所述第二字节数组的待共享数据发送给具有可信执行环境的数据融合设备，以使所述数据融合设备在所述可信执行环境中对从各个数据方获取的第二字节数组进行加密，并将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

13.一种用于对共享数据进行去标识的装置，应用于具有可信执行环境的数据融合设备，所述装置包括：

数据获取单元，从共享数据的各个数据方获取包括第二字节数组的待共享数据，所述第二字节数组是由各个数据方利用哈希算法对待共享数据中的隐私信息进行哈希计算得到的第一字节数组进行截断处理得到；

加密单元，在所述可信执行环境中对所获取的各个第二字节数组分别进行加密处理；以及

数据融合单元，在所述可信执行环境中将包括经过加密的所述各个第二字节数组的待共享数据进行数据融合，以得到共享数据。

14.一种电子设备，包括：至少一个处理器，与所述至少一个处理器耦合的存储器，以及存储在所述存储器上的计算机程序，所述至少一个处理器执行所述计算机程序来实现如权利要求10或11所述的方法。

15.一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求10或11所述的方法。

16.一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如权利要求10或11所述的方法。

Images