CN114567422A - 一种基于隐私保护的公开验证真值确定方法 - Google Patents

Abstract

本发明涉及一种基于隐私保护的公开验证真值确定方法。在真值发现阶段，任务执行者和平台使用基于阈值的Paillier同态加密体系，在保护任务执行者隐私数据前提下完成真值发现。同时，任务执行者在真值发现阶段产生与自身数据相关的同态哈希值以及对应的随机数和承诺值，并将承诺值发送给平台，保留同态哈希值和随机数，平台将这些承诺值发送给验证者。在验证阶段，任务执行者通过平台将所有同态哈希值和随机数均发送给验证者，验证者利用随机数和同态哈希值验证从平台接受到的承诺值，防止平台篡改数据。通过验证后，具备计算能力的个体可使用平台公开的计算数据验证真值发现结果。本方法在保护用户隐私的情况下，降低了用户和平台的计算开销和通信开销。

Description

一种基于隐私保护的公开验证真值确定方法

技术领域

本发明涉及一种可公开验证计算任务结果正确性的方法，具体涉及一种基于隐私保护的公开验证真值结果正确性的方法，属于可验证计算、隐私保护技术和真值发现计算领域。

技术背景

近年来，随着移动智能设备的快速增加，以及物联网技术与通讯技术的高速发展，万物互联已经越来越近。在此基础上，一种名为群智感知的商业模式被开发出来。该模式利用移动智能设备的移动性、可感知性以及数据收集性，使得某个体(任务发起者)可以在相关平台上向移动智能设备拥有者(任务执行者)发布感知任务，任务执行者随即上传其设备感知并将生成的数据给平台。任务发起者可以通过平台获取消息，之后任务请求者可以通过平台向任务执行者支付佣金。在该模式中，任务发起者、各任务执行者之间不能通信，他们只能与平台进行通信，同时允许任务执行者同时执行多个感知任务。

由于任务发起者和平台无法规避部分任务执行者发送虚假数据，因此，真值发现算法被引入进来。真值发现可以从一堆没有前验知识的数据中得出一个接近真值的数据(即，能够对应感知任务的感知对象真正情况的数据)，可以很好地解决部分数据虚假的问题。真值发现要求平台执行两个迭代计算——权重更新计算和真值更新计算，在执行完规定迭代次数后，或某次迭代结束时的真值与上一次迭代结束时的真值的差在某个设定阈值内，即可结束迭代。在这个迭代过程中，平台需要承担一定的计算开销和通信开销。

但是，平台通常是带有盈利性质的。一方面，在能够完成真值发现的前提下，平台希望能够降低自己的运营成本，例如返回随机值给任务发起者，从而降低计算开销。另一个方面，平台也对任务发起者和任务执行者的身份信息、收集的数据等信息感兴趣，因为这些信息都带有一定的商业价值。由此引发了真值发现中的两个安全问题：一是隐私保护问题，即如何保护任务发起者和任务执行者的个人隐私信息以及收集到的数据，不被平台知晓；二是如何确保平台正确执行了真值发现算法，而不是返回一个随机值。

目前，第一个安全问题已经有许多方法可以解决，但如果要同时解决这两个安全问题，难度很大。一个已知的方法是：使用多源数据多项式验证方法与差分隐私方法。然而，这种方法的缺点是计算开销与通信开销很大，任务发起者与平台往往需要承担比巨大的开销，并且验证者只能是任务发起者，导致本方法应为存在很大的局限性。

发明内容

本发明的目的是针对现有技术存在安全漏洞、计算开销过高等技术缺陷，为了同时解决真值发现中的隐私保护和保证平台能够正确执行真值发现算法等技术问题，创造性地提出一种基于隐私保护的公开验证真值确定方法。

本发明的核心思想为：将整个过程分为真值发现阶段和验证阶段。

在真值发现阶段，任务执行者和平台使用基于阈值的Paillier同态加密体系，在保护任务执行者的隐私数据的前提下，完成真值发现算法。同时，任务执行者在真值发现阶段产生与自身数据相关的同态哈希值以及对应的随机数和承诺值，并将承诺值发送给平台，保留同态哈希值和随机数，平台将这些承诺值发送给验证者。

在验证阶段，任务执行者通过平台，将所有同态哈希值和随机数均发送给验证者，验证者首先利用这些随机数和同态哈希值，验证之前从平台接受到的承诺值，防止平台篡改数据。通过验证后，具备计算能力的个体均可使用平台之前公开出来的计算数据验证真值发现的结果。

为了达到上述目的，本发明采取如下技术方案。

一种基于隐私保护的公开验证真值确定方法，包括三个主体对象：用户、平台以及验证者。

其中，用户是指在平台上注册过的持有移动智能感知设备的注册用户，简称为用户，分为任务发起者和任务执行者。任务发起者，简称为发起者；任务执行者，简称为执行者。

发起者负责将自己的感知任务上传到平台。之后，发起者可以成为执行者上传数据给平台，也可以成为验证者验证最终的结果。最后，发起者会收到平台返回的任务结果和验证者返回的验证结果。

执行者从平台领取到感知任务，利用自身设备获取感知数据，并加密上传给平台。随后，执行者辅助平台完成真值发现算法，并产生验证阶段所需的数据；

验证者从平台获取到验证所需的数据后，验证平台的计算结果，最后将验证结果通过平台安全传递给发起者和执行者。

步骤1：初始化。首先，由一个可信第三方机构，简称可信机构，生成支持阈值的Paillier同态加密体系的公钥和一个完整私钥，同时为平台及其所有用户生成各自的一部分私钥。之后，该可信机构公开公钥，通过安全通道向平台和各个用户传递对应的另一部分私钥，并将两部分汇总后完整的私钥进行保存且保密。然后，该可信机构公开同态哈希算法的参数。最后，可信机构选取一条曲线作为椭圆曲线迪菲-赫尔曼秘钥交换(即ECDH算法，Elliptic Curve Diffi e–Hellman key Exchange)的加密曲线，并为每个用户生成椭圆曲线迪菲-赫尔曼秘钥交换的私钥。

本发明进一步给出步骤1的一种具体实现方法，包括以下步骤：

步骤1.1：可信机构选取两个素数δ和β，使得δ＝2δ′+1,β＝2β′+1，其中，δ′和β′均为素数。令τ＝δβ，γ＝δ′β′，令

能够整除γ，同时还满足

除以τ后余1，

即为完整私钥。此时，生成支持阈值的Paillier同态加密体系的一个公钥PK＝(θ,τ)，其中θ＝τ+1。此时，可信机构选取一个大于用户数量U的数X，设X是用户数量U的两倍，生成如式1所示的多项式：

其中，x表示当满足至少有x个部分私钥解密密文C的部分明文，密文C是明文M用PK加密的密文，即可得到C对应的明文M；a₀、a_i均为X的系数，且

a_i∈{0,1,…,τ(γ-1)}，0<i<x；用户和平台各自私钥为s_i，根据式1，s_i＝f(i),1≤i≤U+1。

可信机构将PK＝(θ,τ)公开。可信机构将各用户和平台所对应的私钥s_i通过安全通信通道发送给他们，且不让第三方知道。可信机构将完整私钥

保密。

步骤1.2：可信机构根据安全参数κ选定一个生成元g。阶数为q的循环群

q是一个素数，

g、q即为被公开的公共参数Lpp。设真值发现的最大迭代次数为L，单次真值发现中的感知任务的数量上限为T。设T>L，此时可信机构选取T个参数：

并公开。

步骤1.3：可信机构选取一条椭圆曲线α作为ECDH的加密曲线，然后为每个用户生成一个ECDH的私钥sk_i，并通过安全通信通道发给每个用户。

步骤2：用户进行密钥协商。

具体地，每个用户u_i以平台为中间通信者，与其他用户U_j使用ECDH方法进行密钥交换,得到对称密钥k_i,j。之后，用户在平台上发布/接收感知任务。

步骤3：权重更新。

用户在平台上接受感知任务并获悉感知任务的数据精度P，即本次任务中所有数据的精度到小数点后P位。每位用户将自己的感知数据处理后，加密发送给平台。平台使用基于支持阈值的Paillier同态加密安全聚合方法聚合所有用户的密文，并得到聚合后的明文。最后，平台更新每个用户的权重。

其中，基于支持阈值的Paillier同态加密安全聚合方法，简称安全聚合方法，具体如下：

输入：每个用户u_i的加密数据c_i,与c_i对应的明文m_i，其中i∈[1,U]；

输出：所有用户的明文聚合值

首先，每个用户u_i向平台发送加密数据c_i；

然后，平台将所有的密文相乘得到聚合值：

平台选取至少x-1个用户，向其发送聚合值

被选中的用户使用自己的部分私钥解密

并将得到的部分明文A发送给平台。平台最后收到至少x-1份部分明文A，加上自己计算得出的部分明文B，使用支持阈值的Paillier同态加密联合解密方法得到完整明文，即

其中，基于支持阈值的Paillier同态加密安全聚合方法简称为安全聚合方法。

本发明进一步给出了步骤3的一种具体实现方法，包括以下步骤。

步骤3.1：用户u_i在获得自己的感知数据

后，计算自己的感知数据与初始的真值的距离

其中，

表示感知数据向量

的第t个数据，

表示第一轮迭代的第t个感知任务的真值,1≤t≤T，T表示一共T个任务。然后，U_i获得聚合值

最后，u_i计算两个Piallier同态加密的密文：Enc(Disk_i*10^2P)与Enc(log(Disk_i)*10^2P)，其中，log(Disk_i)的精度为P。

步骤3.2：用户u_i计算同态哈希值h_i：

产生一个随机值r_i，通过被SHA-256实例化的承诺方法COM.Commit()获得承诺值c_i←COM.Commit(h_i,r_i)，其中，g₁表示第一轮迭代取的同态哈希参数，第l轮选取的参数为g_l，P表示log(Disk_i)的精度。之后，u_i将Enc(Disk_i*10^2P)以及Enc(log(Disk_i)*10^2P)发送给平台，将c_i通过平台发送给验证者。

步骤3.3：平台聚合所有用户发过来的Enc(Disk_i*10^2P)密文：

然后通过安全聚合算法得到聚合值的明文Sum，其中

平台计算得出Enc(log(Sum)*10^2P)，之后通过计算Enc(w_i*10^2P)＝Enc(log(Sum)*10^2P)·Enc(log(Disk_i)*10^2P)^-1得到用户u_i加密后的权重。最后，平台将所有得到的加密权重Enc(w_j*10^2P)和承诺值c_j发送给用户U_i,其中i,j∈[1,U]。

步骤4：权重解密。各用户在自己的权重明文不泄露的前提下，通过平台作为中间通信者，对自身权重密文进行解密。

本发明进一步给出步骤4的一种具体实现方法，包括以下步骤：

步骤4.1：用户u_i用自己的部分私钥s_i对其他用户u_j的加密权重进行一一解密，得到部分明文HalfDec(w_j*10^2P)_i。同时，使用对应用户U_j的对称密钥k_i,j通过AES-OFB对称加密方法加密上述部分明文，得到C_HalfDec(w_j*10^2P)_i,其中j∈[1,U]∩i≠j。用户u_i将上述密文发送给平台。平台接收到后，将密文发送给对应的用户。

步骤4.2：用户u_i从平台接收到其他用户给其发送的密文C_HalfDec(w_i*10^2P)_j后,通过k_i,j解密还原得到至少x份部分密文：(HalfDec(w_i*10^2P)₁,…,HalfDec(w_i*10^2P)_x)，之后，通过支持阈值的Paillier同态加密方法中的联合解密方法得到明文w_i*10^2P，之后u_i得到自己的权重明文w_i。

步骤5：真值更新。各用户在不泄露自己权重和感知数据的前提下，与平台一起完成感知任务的真值更新。

本发明进一步给出步骤5的一种具体实现方法，包括以下步骤：

步骤5.1：用户u_i计算权重与各感知数据的乘积后进行加密，得到Pilllier同态密文

其中i∈[1,U],t∈[1,T]。u_i将这些密文发送给平台。

步骤5.2：用户u_i计算两个同态哈希值：

与

产生两个随机数rr_i与rw_i，之后通过被SHA-256实例化的承诺方法COM.Commit()，获得两个承诺值cc_i←COM.Commit(hh_i,rr_i)与cw_i←COM.Commit(hw_i,rw_i)。u_i将cc_i与cw_i通过平台发送给验证者。

步骤5.3：平台在收到步骤5.1和步骤5.2中所有用户发过来的数据后，计算

和

得到T+1个聚合值。之后，通过安全聚合方法得到T+1个聚合值明文：

和

其中t∈[1,T]。之后，平台通过式2更新下轮中第t个感知任务的真值：

步骤6：迭代。循环执行步骤3至步骤5，直到所有感知任务的真值收敛(即：

)，或者达到循环次数上限L，即停止循环。

步骤7：验证。所有用户将自己的每一轮产生的同态哈希值h_i、hh_i与hw_i以及对应的随机数r_i、rr_i与rw_i通过平台发送给验证者。验证者先验证每一个承诺值，如果某一项验证不通过，则可以判定平台真值结果不正确；否则进行后续的验证计算。

本发明进一步给出步骤7的一种具体实现方法，包括以下步骤：

步骤7.1：所有用户将自己的每一轮产生的同态哈希值h_i、hh_i与hw_i以及对应的随机数r_i、rr_i与rw_i通过平台发送给验证者。验证者通过被SHA-256实例化的解承诺方法COM.Deommit()验证每一个承诺值：

1←COM.Deommit(c′_i,h′_i,r′_i)

1←COM.Deommit(cc′_i,hh′_i,rr′_i)

1←COM.Deommit(cw′_i,hw′_i,rw′_i)

其中，h′_i、hh′_i、hw′_i表示平台转发给验证者的用户u_i的同态哈希值；r′_i、rr′_i、rw′_i表示平台转发给验证者的用户u_i的随机数；c′_i、cc′_i、cw′_i表示平台转发给验证者的用户u_i的承诺值。如果所有的承诺值都通过验证，则继续进行验证操作；否则判定平台的真值结果不正确。

步骤7.2：验证者通过式3与式4验证权重更新的结果：

w_i,l＝log(Sum′_l)-log(Disk_i,l),0<l≤L (4)

其中，h_i,l、w_i,l、分别表示第l轮迭代中用户u_i产生的同态哈希值、权重明文和获得的聚合值Disk,Sum′_l是第l轮迭代中平台公开的Sum，g_l表示可信机构产生的T中的第l个参数。

验证者先计算式3，如果式3不成立，则验证者返回结果“0”，表示验证不通过；否则验证式4，如果式4不成立，则验证者返回结果“0”；以上情况都视作验证失败，平台的真值结果不正确；最后如果式3和式4均成立，返回结果“1”，表示验证通过。

其中，验证者的结果均需经过平台转发给用户。为防止平台篡改结果，验证者给用户发送的消息先计算出对应承诺值，随后先发送承诺值，等到用户接收到承诺值，再发送对应的结果和随机数，该方法同样适用在之后的步骤。用户接收验证者发送过来的验证结果，均再次验证式3。唯有全部用户通过验证，才进行下一步验证，否则验证失败。

步骤7.3：验证者通过式5、式6和式7验证真值更新的结果：

其中，Swd′_t,l和Sw′_l表示第l轮迭代中平台公开的Swd_t和Sw；hh_i,l,hw_i,l分别表示第l轮迭代中用户u_i的在步骤6.2产生的两个同态哈希值，

表示第l轮迭代的第t个任务的真值；g_l、g_t分别表示步骤1.2中可信机构产生的T中的第l个和第t个参数，α_t是验证者生成的第t个随机正整数。

验证者先计算式5，如果式5不成立，则验证者返回结果“0”，表示验证不通过；否则验证公式6，如果式6不成立，则验证者返回结果“0”；否则验证式7，如果式7不成立，则验证者返回结果“0”；以上情况都视作验证不通过。

最后，如果式5、式6和式7均成立，则返回结果“1”，表示验证通过，平台的真值结果正确。

有益效果

本发明方法，与现有技术相比，具有如下优点：

1.本方法实现了公开验证，即任何第三方拿到所有的公开数据，都可以验证结果；

2.本方法使用同态哈希算法，使得验证者可以任何一次迭代结束时验证平台的计算结果，增加了验证的灵活性；

3.本方法使用同态加密方法和同态哈希方法，在保证保护用户隐私的情况下，降低了用户和平台的计算开销和通信开销。

附图说明

图1为本发明方法的模型示意图。

图2为本发明方法与同类型方法的计算开销对比实验图。

图3为本发明方法与同类型方法的通信开销对比实验图。

具体实施方式

下面结合附图和实施例对本发明做进一步详细说明。

实施例

如图1所示，一种基于隐私保护的公开验证真值确定的方法，包括采集感知数据，对应图1中的“1”；权重更新，对应图1中的“2”、“3”、“4”；真值更新，对应图1中的“5”、“6”；验证阶段，对应图1中的“7”、“8”四个阶段。图1省略了系统的初始化与各用户的密钥协商过程。

打车业务是车联网的出行应用场景。打车平台可以制作一款集支付、发布任务与领取任务的APP，司机在车上的设备上安装该APP即可注册成为打车平台的用户(任务执行者)。某研究机构也可以作为该平台的用户(任务请求者)在该平台上发布感知任务。例如为了进行调研，该机构需要了解S市司机的平均收入，因此在该平台上发布针对性的感知任务，仅限S市的打车司机可以通过平领取该任务。S市的打车司机在领取该任务后，作为执行者向平台发送加密数据，并与平台保持通信，直到验证阶段结束。

这种任务的执行时间应该尽可能短，执行者显然不愿意任务的执行时间过长；而且收入作为一种隐私信息，执行者也是不愿意外泄的；与此同时，执行者使用的是车载设备，计算能力有限。所以，一种快速、低消耗、具备隐私保护功能的真值发现与验证方法才具有实际应用意义。

具体的实施过程如下：

设现在平台上有3个感知任务，一共有3个用户，分别为u₁,u₂,u₃,真值发现只迭代一轮。

设支持阈值的Paillier同态加密要求至少要有3份不同部分明文才能还原出完整的明文，且一共有3份部分密钥，在此实例中，平台不被分发密钥。

为方便计算，假设同态哈希中的3个底数g₁＝g₂＝g₃＝2。设0x(Y)代表一个十六进制数，Y代表具体数值。

假设感知数据的数据精确为小数点后三位，即P＝3。

假设每位用户的初始权重为100。

在系统初始化中，选定安全参数为256。选取两个大素数

和

使得：

其中

和

也是素数。因此可以得到该方法中支持阈值的Paillier同态加密的公钥

其中：

完整私钥：

因此产生的三份部分私钥分别为：

·s₁＝0x(5b07868e120d1091d0fd3556d2c1accf6bbdd15a6fed68c38a34dc4cd6fa4c727ac5cf99930f4f992ce3fd8c4d8acef1dbded33daec2d419702f11708b559958)；

·s₂＝0x(6417420d42c67bbd7202701b98d779da6b918722b6443e7dbaebcdbf0a69fed06afeb03a74a17f6b2178fac85873477990d0da5a20f997b90246da3529126fee)；

·s₃＝0x(179034a069916634a51130c49f951f7c8909868735b06f0de1c8fc1c4161497816bee3cfc18108c84c9a2e79c2872641ae0690587b0cac213d20b4feb15b6776)；

选取同太哈希的三个底数g₁＝g₂＝g₃＝2。选取NIST256p作为ECDH方法的加密曲线。每个用户在经过密钥交换后得到两份256位的对称密钥，假设这三位用户的对称密钥分别为：

·k_1,2＝k_2,10x(0bf00f351eb684907cae0531c375ef0cf81961a23add2220a8afa8707737c6f4)；

·k_1,3＝k_3,10x(1a2e612291e83072e368ed24babb4f4af1cd86fc669a7e967c5014b2f620c164)；

·k_2,1＝k_1,20x(0bf00f351eb684907cae0531c375ef0cf81961a23add2220a8afa8707737c6f4)；

·k_2,3＝k_3,20x(91e60db7a3bdb23c04bc64ca605690dc048ad5ad7e278758d4b1bd26130f58dc)；

·k_3,1＝k_1,30x(91e60db7a3bdb23c04bc64ca605690dc048ad5ad7e278758d4b1bd26130f58dc)；

·k_3,2＝k_2,30x(ba6939b62bfa179c3739763655a1366d225e4d2232b78709904b945edadd8785)；

初始化完成。

三位用户领取平台上的三个感知任务，其中给定的初始真值为：

用户开始收集感觉数据，对应图1。设这三位用户的感知数据为：

在收集到数据后，进入权重更新阶段，如图1中的“2”、“3”、“4”。

用户执行计算，对应图1中的“2”。首先得到自己的感知数据与初始的真值的距离：

之后用户聚合自己的

得到

Disk₁＝479.103235，Disk₂＝709.476074，Disk₃＝903.447569；

加密后得到：

·Enc(Disk₁*10^2P)＝0x(1b6fd12b0b0c6117f34eb8baaeb4908b80a820317a312408dbf84ee660ab3840ef43dbac801bffbb5b58fcc80c95521c865151ced8219a42dcae862b7155e7c7b)；

·Enc(Disk₂*10^2P)＝0x(119a86e17a99cac1b47dad0c09617726f2e42878524ff88e65ec2f243fd28f1629d665a0c226f406fb026124b0f3954c4330a1f0a898b09f832fe9e42bcc0f4a8)；

·Enc(Disk₃*10^2P)＝0x(10d09bddcc12673c496542350e369cf3fa39dfa90d98b62109b7c80bfe04d05454218f497badb2372388209e794b278ba231b2a1b4ba4a2d3985b63f63f59adae)；

同时对Disk_i取对数，保留三位小数得到：

log(Disk₁)＝6.172，log(Disk₂)＝6.565，log(Disk₃)＝6.806；

加密后得到：

·Enc(log(Disk₁)*10^2P)＝0x(62e0d4ff3660f798d9f51029b23d0d514a111135d6a556c7c88950cc291a1cd3ec173a69e7ea5f3260e0dcf88a160636931d203d073869e34afe6bf98068b921)；

·Enc(log(Disk₁)*10^2P)＝0x(4591568f15264ce4fbc57b2692f98b7ebd95d287dd3fb1dfd300985192526e562760b7df762320c2c28cfb103164dfd95685384f9cfcf62a49ba028e7e0bc2fc)；

·Enc(log(Disk₂)*10^2P)＝0x(1710c8256a4cb4b7a7e52a333910cf6eac74819bc2c4615068f43faf9d09723a7ef25e4d3f2528e04df9be9d1886a886c0e23c1acd0cdbc8808c6be26309f7ec2)；

完成上述计算后，用户生成同态哈希值h_i，并同时计算出承诺值c_i＝SHA256(str(h_i)+str(r_i))，如h_i＝13，r_i＝5，str(h_i)+str(r_i)＝135；则：

·h₁＝0x(d14e53da6c6311846e314b2985ca90c15e66dc17d2c038384ba362ed263889c5)；

·h₂＝0x(2ae91469b761383c7816b69fe98ada8520e4ca71c5e8a182f755c95ec49e77e)；

·h₃＝0x(133360f0acac31605aea4404680a63063e6a9d100ea41e228068c3ed455bc6486)；

·r₁＝861608164813，r₂＝32613963466，r₃＝272815919628

·c₁＝0x(334eb8b6c09b60f8730d798145bdb4562378dff41bb81205512c510d4241de3f)；

·c₂＝0x(db0306c432d076d10e4b91ca0502b47cd71012c8ec101b0b47a49343f5104355)；

·c₃＝0x(765884ee03a52f73248706ebd17a0458a8e0e82859b13142ef56c931e0de20c6)；

完成承诺的计算后，用户将Enc(Disk_i*10^2P)以及Enc(log(Disk_i)*10^2P)发送给平台，将c_i通过平台发送给验证者。

该过程对应图1中的“3”。平台接收到用户的数据后，使用安全聚合方法求聚合值，其中，平台得到的密文聚合值为：

平台将该聚合密文发送给三位用户，用户分别进行解密，得到三份部分明文part_paintext_i：

·part_paintext₁＝0x(125912503d48d5f03236ac47da05d113054814868ef9e80848ee216eabe2406c41428de7ee4a13132526461a66b383dae0e29a5344f95ce17f93ad810ab82f9e9)；

·part_paintext₂＝0x(d1109ee62a430fd80f9580f5c63e17c6a26b0c1a0a022c41174f05bda043ebe5abefb732123058de410317bf127417f83b404ae2f1e923d3afa0ee75763c287f)；

·part_paintext₃＝0x(7a9239eb2d1ee7563cc1aa895dee3dee00feda52c7c7dcff05288562e437993be987ec19fdffe5e27bf840f0ab1bc49cf12bfe258f4aa2de11e7a758e6003e1a)；

最后，平台使用支持阈值的Paillier同态加密联合解密方法得到完整明文的对数值

加密得Enc(log(Sum)*10^2P)＝0x(9674f86b16f227bba8f58e805ea8f92b668ba082a3d8158e6b6f9185ca79822a5fc67da199c15a880654f85f3d6d3f1d77606978c77d9ad249edef84716df0db)，之后再计算得出每位用户的权重密文：Enc(w_i*10^2P)，并发给每位用户，其中：

·Enc(w₁*10^2P)＝0x(11e31fe5fb3dfbedef88ce56fa8f5e341932e4ed30981118d22dfd725d3708c4bbb268b5c4c8cfe2a6e41c96f45f31f6cecce334a80b95be68d5ba2a354cacd05)；

·Enc(w₂*10^2P)＝0x(18965f350ea6d69598ab17ce07b01d2089dc0eac9ec4ceac0da14501322e3c142dd604b6a7b2408f740927020239f271d0b9c9ec61263d7b8e0b82cdc0dbccf0f)；

·Enc(w₃*10^2P)＝0x(10b740a4a1af32d31ab87ec47409e0e2a944acc6ebea1ebfe6603260f9eea291bc88f8f9349a7a16b0995c86a67ecca41ee924fcdf07f12b2a9eefbd595abb1f7)。

用户进行权重解密，对应图1中的“4”。每位用户u_i用自己的部分私钥s_i解密其他用户u_j和自己的加密权重，得到部分明文HalfDec(w_j*10^2P)_i：

·HalfDec(w₁*10^2P)₁＝0x(130670a19011edcd2855e8fb9ee250a8bdd57b4f8dfbb0721d51343b75f05f6da2d0c15bb73bd917d19d8fb2f6c17289aa570a78f9d26833e59d03c60c3614c82)；

·HalfDec(w₁*10^2P)₂＝0x(97bf729a1ddbaf40883814dabca4059460402fb80b00ad4eaee27a6fafc9827c5f12237c66556a5ecfdc1b28f6f1ad9c77c66f3cfeb4c83b285c948bbbbf88d3)；

·HalfDec(w₁*10^2P)₃＝0x(1318091dcc492e72ab54ef6cda1e4f49fdfd2c7d26ab4df1275bb0941c9f3ab30dd07e5c9ad9f68773c33fb9d520b1bcf9ad7742b31a25f6eb5382de3cbcb5b14)；

·HalfDec(w₂*10^2P)₁＝0x(d979291267e7c30770666b26b46c790e86231685a3f3b77ddbf600abf0fb76ce1ae771de2bde5823d93b96138be59ca21be6130cfe7b0d61476fc22a781b8391)；

·HalfDec(w₂*10^2P)₂＝0x(206631da83047e2c27a7b1080eeacdf3c8772012648b45930726bd14e8f9141b55096f47bd548667a4d914db45a0999668692db25850fa5d4bf73af562f42013)；

·HalfDec(w₂*10^2P)₃＝0x(1448e00ebb2e585d3370288fd7c397ed8783192f85e2f6867a3f40ea0f2a9741e7746926adf621af507512d6d51cff47e49f0ae744c642ca7bfcfa3aa22706d31)；

·HalfDec(w₃*10^2P)₁＝0x(1b6ee6e4ceed5e00885410bbf2cac41be726c0082ae5834872016f56d9b8f30ab0861cc0b3390e8b25a03c7a0331b29b14b4db9588f9d8bf6726dcbf873565f30)；

·HalfDec(w₃*10^2P)₂＝0x(27a175341107386862e11dbed83ce2844b48c4da55754ba10f8f195d69556d15764b4ec8d64b7fc06767b913ca943ed76b80577c367137d949803cfc9cd52490)；

·HalfDec(w₃*10^2P)₃＝0x(2baf0956615abbfe66ac622fd20b8a82613b8cc72a6a50486496f8f6416b4ccb6426f75ae899f84ab389ff6350b2ce98c6254788f5a53dc97c1ee05161474ad)；

并使用对称密钥k_i,j加密，得到用户u_j的密文C_HalfDec(w_j*10^2P)_i，其中i≠j：

·C_HalfDec(w₁*10^2P)₂＝0x(332621a6866e0e9268d344bb323eaa1e02fb8f14802784a48d960d0e9cb1a8d980b1d1c3e7df0495f45353f0f066f9a710f700010c138a2bd6ae5d9c1b7f669344011beb6f04d127c424eb74b23e3e25dd289a1e03a5147562256c4274744ff8c6352db1e8ad247091c817a7a9fbd187102682f8d2297ad5d262bd415cf5aae15fc0eefc23b7e929fbb7646b82489b47db3592c4c073697a3a8e)；

·C_HalfDec(w₁*10^2P)₃＝0x(c8fad5fc971eba3b338e71ca6ee587c474c79f7785ac3ae83f2ad503b03c7dbffb2203298cb8fd0cfae0184a27c992fe36697e7a588062333f758735a4cf5b36c6327f98c93ebf4d94fe376ee9219b977a44325a8cdada235cb54a3542e6ed50770b2419fbc2670826ba24b506d8f02add994d6304f1f8365f55b6e2f3b69e99a1ef46165f2eccf34e5607c0d594c7a315c6316fa13c2162319659)；

·C_HalfDec(w₂*10^2P)₁＝0x(352e26a88069079161d546b7323fa31501f58d1f832183a08d970f0f9cbbaedb85b1dec1e3db0094f0565ff0f167faa411f600060a158427daad549e1b79619044041ce86a04da20c621e878b33f3f25da2c901b05a51a7d63206e4472754efdc5332eb3eca9277099ca16a1a9f7dd85112788fddf287ed7d165b54a53f4a1e15fc0eef02fb9e22dffb7696d81499a40df3a98cdc07c6f7a368d11)；

·C_HalfDec(w₂*10^2P)₃＝0x(0c86a1722d9536eddf0e82f682ceea8c2b45ae9a894ad00920ce958ef893b2c855c0b36e0d15a17721d9aedf3e966b6e29757ae867092051ca2dbbf4096ea088864b3dc8374648d52a5d6894c7b5ac7dcf617090ada2cf83357a6573149ccf6a253aee883cce820895b5f687dcc591c27d1d7cb6fa6cd391c09c517400835095fbff0fb5578b91299bbd1aa54fe15c14c38a4930a65215768e717f)；

·C_HalfDec(w₃*10^2P)₁＝0x(cbfedcf49f1dbe33398a7cc265e284cf70c6967085a23ae83928d20bb33074bbf3250c2688bbfd0cf3e51e4e2cca90f338617a7e588c633132728432a2c65b3dc1317892cb3fbd4097fc316ae9289d937941325c8cddd62459bb4c3f42efed577b0d2819f6c2610e26bc24b500dbf02ed59a4e6703f8fb335c52b9eefeb7989aa4e640175d2dcaf6495000c4de94c3aa1dc33c6fa63a2964329855)；

·C_HalfDec(w₃*10^2P)₂＝0x(0f80af7e239431eddf018ef685cde2852d44a99b814ddb0a20cd978ffd96b7c958c5b36d0a16a67628d8aed83e916264237074ed6f0e2258c02cb7f70669a68c854f39ca36434cd82b51689bc1b9ad7bce607094aba6ce8432776d771d9ac86b2a3ae18c3cc5830491b7f58dd7cd9ac7781075b5fa64d690cf9f5f7908855391fbf309b5558a972491bb18a74ee15a1cc58c4a31a65710788a76)；

之后，将C_HalfDec(w_j*10^2P)_i发送给平台。平台在收到上述密文后，发送给对应用户。用户u_i先用自己解密C_HalfDec(w_j*10^2P)_i，得到(HalfDec(w_i*10^2P)₁,…,HalfDec(w_i*10^2P)₃)，再通过支持阈值的Paillier同态加密方法中的联合解密方法即可得到明文w_i*10^2P，即可得到自己的权重：w₁＝15.289，w₂＝14.896，w₃＝14.655。

进入真值更新阶段，对应图1中的“5”、“6”。

用户u_i计算权重与各感知数据的乘积后并加密，得到Pilllier同态密文：

对应图1中的“5”，其中：

·

·

·

·

·

·

·

·

·

然后，用户u_i计算两个同态哈希值hh_i与hw_i,产生两个随机数rr_i与rw_i，并计算出两个承诺值cc_i与cw_i。u_i将cc_i与cw_i通过平台发送给验证者，将

发送给平台，其中：

·hh₁＝0x(cf337865e62b94347383fdb23bbe16929073993cbf56bd04e1c7250a9686622d)；

·hh₂＝0x(9ebc1b760148ad0077cafbd0e8c93fc341e229b30bdfac2e3563efef67104bc5)；

·hh₃＝0x(1bd726d0c6a6981401229fc995295013f8021ba35b78d066358dbc905e9c4dbd)；

·rr₁＝376560732090，rr₂＝69356426186，rr₃＝119385276438

·cc₁＝0x(2324f48d90ff7af585c758e65191ae10282be6ba3d3148d5a3b4d96c9e147737)；

·cc₂＝0x(0de4bb28c6356884ef826da5d59d5ac82033d8d450acb28667f3513712816ab6)；

·cc₃＝0x(d1b330ba969bff941a2bb748765f5c418f0b1dd2e169d1173e3018ed83dc7e9e)；

·hw₁＝0x(fd6d6db960833d04dd88ec3bd1cedc10dcf08f8a3e940517760e1559ef08c7fe)；

·hw₂＝0x(63e69d6ae2588f3fe5644129d55f2a60b5322a7182eca73813325c8827f82d3a)；

·hw₃＝0x(12f02a86460baca5fed11b3b178e37955ee65835c5b88d1ccc896499189ddbc97)；

·rw₁＝709713389571，rw₂＝587096844930，rw₃＝487399542919

·cw₁＝0x(d3056583955823f790aa76c930cbf15b011909ba249726b0e2b0d27ac4dd4596)；

·cw₂＝0x(7eeac1b6d3bef5322a30ed613fda0564a50de05cfcb925b7e37f5acb1105bb84)；

·cw₃＝0x(af28f2284e61fc1344fe7ac92cc2825ddcb7ee54338000cfc00c295f8dfabace)；

该步对应图1中的“6”。平台计算聚合值

和

得到T+1个聚合值：

·Enc(Swd₁)＝0x(13feca3033435175344c04eed36d7683234ec5498c0ab92c8f62be81c2939cc1b27215d8a70856f6aa0d3c1d5e67615e220174563b274b16ad61f4cf3d9ed6342)；

·Enc(Swd₂)＝0x(9cc38d1d7d5b941207ea1a5e37270ff5c4fe0ece994cb62c2684ed04a1ac869ddb8da7e674ab4bd7f8263554d42ef8dcb87792481b06aa8da89cb62bf761113c)；

·Enc(Swd₃)＝0x(d9b6f0ade01af49fb85fe8a7ecd44a7c4bed86cbbed087a65e230ad3383ca1c86d883313e2df4bf986436bf425ef07576612cc1b8fa353d1406b18e3fb7ebfbd)；

·Enc(Sw)＝0x(2412f27458029cd2c507d57138e7c0655ee5c79042d39ffc2afc066fd1512cc7c633896ff2a5bee1ca93c4544c156d69060af447caf7f40ce7a8aaa0a2e1590f)；

之后，通过安全聚合方法得到T+1个聚合值明文：Swd₁＝1268466017，Swd₂＝958087459，Swd₃＝1367260321，Sw＝44840000，之后平台通过公式(1)更新最终每个感知任务的真值：

并公开。

进入验证阶段，对应图1中的“7”、“8”。

所有用户将自己的同态哈希值：h_i,hh_i与hw_i以及对应的随机数：r_i,rr_i与rw_i通过平台发送给验证者。验证者验证每一个承诺值，即c′_i＝SHA256(h′_i+r′_i)，cc′_i＝SHA256(hh′_i+rr′_i),cw′_i＝SHA256(hw′_i+rw′_i)是否成立。

若承诺验证通过，则计算：

若上述验证通过，则用户计算：

w_1,1＝log(Sum′₁)-log(Disk_1,1)＝15.289；

w_2,1＝log(Sum′₂)-log(Disk_2,1)＝14.896；

w_3,1＝log(Sum′₃)-log(Disk_3,1)＝14.655；

若上述验证通过，则权重计算结果正确。分别验证：

若上述通过验证，则验证每一个真值：

至此，验证过程结束。

在本发明中，若任何第三方拿到了每一轮迭代过程的中如下数据：h′_i,hh′_i,hw′_i,r′_i,rr′_i,rw′_i,c′_i,cc′_i,cw′_i,Sum′,Sw′,Swd′_t，就可以通过计算式3、5、6和7验证平台的计算结果，实现了公开验证，有益效果1可证；

在本发明中，式3、5和6可以更改参数L的值为

其中

也可以更改l的初始值，公式仍然成立；有益效果2可证；

图2与图3展示了在此实施例中将感知任务数量与用户数量分别固定到50时，本发明与同类型方法的对比实验图。其中图例名为V-EPTD为本发明对应曲线；图2.(a)-图2.(c)固定感知任务数量为50，分别对应单个用户、平台、单个验证者的计算开销；图2.(d)-图2.(e)固定用户数量为50，分别对应单个用户、平台、单个验证者的计算开销。图3.(a)-图3.(c)固定感知任务数量为50，分别对应单个用户、平台、单个验证者的通信开销；图3.(d)-图3.(e)固定用户数量为50，分别对应单个用户、平台、单个验证者的通信开销。图2与图3显示，本发明单个用户的通信与计算开销极低。在本发明中，平台与单个验证者的通信与计算开销都远低于同类型方法的。有益效果3可证。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种基于隐私保护的公开验证真值确定方法，其特征在于，包括真值发现阶段和验证阶段；

在真值发现阶段，任务执行者和平台使用基于阈值的Paillier同态加密体系，在保护任务执行者的隐私数据的前提下，完成真值发现算法；同时，任务执行者在真值发现阶段产生与自身数据相关的同态哈希值以及对应的随机数和承诺值，并将承诺值发送给平台，保留同态哈希值和随机数，平台将这些承诺值发送给验证者；

在验证阶段，任务执行者通过平台，将所有同态哈希值和随机数均发送给验证者，验证者首先利用这些随机数和同态哈希值，验证之前从平台接受到的承诺值，防止平台篡改数据；通过验证后，具备计算能力的个体能够使用平台之前公开出来的计算数据，验证真值发现的结果；

其中，用户是指在平台上注册过的持有移动智能感知设备的注册用户，简称为用户，分为任务发起者和任务执行者；任务发起者，简称为发起者；任务执行者，简称为执行者；

发起者负责将自己的感知任务上传到平台；之后，发起者作为执行者上传数据给平台，或作为验证者验证最终的结果；最后，发起者收到平台返回的任务结果和验证者返回的验证结果；

执行者负责从平台领取到感知任务，利用自身设备获取感知数据，并加密上传给平台；随后，执行者辅助平台完成真值发现算法，并产生验证阶段所需的数据；

验证者负责从平台获取到验证所需的数据后，验证平台的计算结果，最后将验证结果通过平台安全传递给发起者和执行者。

2.如权利要求1所述的一种基于隐私保护的公开验证真值确定方法，其特征在于，具体实现过程如下：

步骤1：首先，由一个可信第三方机构，简称可信机构，生成支持阈值的Paillier同态加密体系的公钥和一个完整私钥，同时为平台及其所有用户生成各自的一部分私钥；

之后，该可信机构公开公钥，通过安全通道向平台和各个用户传递对应的另一部分私钥，并将两部分汇总后完整的私钥进行保存且保密；

然后，该可信机构公开同态哈希算法的参数；

最后，可信机构选取一条曲线作为椭圆曲线迪菲-赫尔曼秘钥交换的加密曲线，并为每个用户生成椭圆曲线迪菲-赫尔曼秘钥交换的私钥；

步骤2：用户进行密钥协商；

每个用户u_i以平台为中间通信者，与其他用户U_j使用椭圆曲线迪菲-赫尔曼秘钥交换方法进行密钥交换，得到对称密钥k_i，j；之后，用户在平台上发布/接收感知任务；

步骤3：进行权重更新；

用户在平台上接受感知任务并获悉感知任务的数据精度P，即本次任务中所有数据的精度到小数点后P位；每位用户将自己的感知数据处理后，加密发送给平台；平台使用基于支持阈值的Paillier同态加密安全聚合方法聚合所有用户的密文，并得到聚合后的明文；最后，平台更新每个用户的权重；

其中，基于支持阈值的Paillier同态加密安全聚合方法，具体如下：

输入：每个用户u_i的加密数据c_i，与c_i对应的明文m_i，其中i∈[1，U]；

输出：所有用户的明文聚合值

首先，每个用户u_i向平台发送加密数据c_i；

然后，平台将所有的密文相乘得到聚合值：

平台选取至少x-1个用户，向其发送聚合值

被选中的用户使用自己的部分私钥解密

并将得到的部分明文A发送给平台；平台最后收到至少x-1份部分明文A，加上自己计算得出的部分明文B，使用支持阈值的Paillier同态加密联合解密方法得到完整明文，即

步骤4：各用户在自己的权重明文不泄露的前提下，通过平台作为中间通信者，对自身权重密文进行解密；

步骤5：各用户在不泄露自己权重和感知数据的前提下，与平台一起完成感知任务的真值更新；

步骤6：循环执行步骤3至步骤5，直到所有感知任务的真值收敛或者达到循环次数上限L，即停止循环；

步骤7：所有用户将自己的每一轮产生的同态哈希值h_i、hh_i与hw_i以及对应的随机数r_i、rr_i与rw_i通过平台发送给验证者；验证者先验证每一个承诺值，如果某一项验证不通过，则可以判定平台真值结果不正确；否则进行后续的验证计算。

3.如权利要求2所述的一种基于隐私保护的公开验证真值确定方法，其特征在于，步骤1具体包括以下步骤：

步骤1.1：可信机构选取两个素数δ和β，使δ＝2δ′+1，β＝2β′+1，其中，δ′和β′均为素数；令τ＝δβ，γ＝δ′β′，令

能够整除γ，同时还满足

除以τ后余1，

即为完整私钥；此时，生成支持阈值的Paillier同态加密体系的一个公钥PK＝(θ，τ)，其中θ＝τ+1；此时，可信机构选取一个大于用户数量U的数X，设X是用户数量U的两倍，生成如式1所示的多项式：

其中，x表示当满足至少有x个部分私钥解密密文C的部分明文，密文C是明文M用PK加密的密文，即可得到C对应的明文M；a₀、a_i均为X的系数，且

a_i∈{0，1，...，τ(γ-1)}，0＜i＜x；用户和平台各自私钥为s_i，根据式1，s_i＝f(i)，1≤i≤U+1；

可信机构将PK＝(θ，τ)公开；可信机构将各用户和平台所对应的私钥s_i通过安全通信通道发送给他们，且不让第三方知道；可信机构将完整私钥

保密；

步骤1.2：可信机构根据安全参数κ选定一个生成元g；阶数为q的循环群

q是一个素数，

g、q即为被公开的公共参数Lpp；设真值发现的最大迭代次数为L，单次真值发现中的感知任务的数量上限为T；设T＞L，此时可信机构选取T个参数：

并公开；

步骤1.3：可信机构选取一条椭圆曲线α作为椭圆曲线迪菲-赫尔曼秘钥交换的加密曲线，然后为每个用户生成一个椭圆曲线迪菲-赫尔曼秘钥交换的私钥sk_i，并通过安全通信通道发给每个用户。

4.如权利要求2所述的一种基于隐私保护的公开验证真值确定方法，其特征在于，步骤3具体包括以下步骤：

步骤3.1：用户u_i在获得自己的感知数据

后，计算自己的感知数据与初始的真值的距离

其中，

表示感知数据向量

的第t个数据，

表示第一轮迭代的第t个感知任务的真值，1≤t≤T，T表示一共T个任务；然后，U_i获得聚合值

最后，u_i计算两个Piallier同态加密的密文：Enc(Disk_i*10^2P)与Enc(log(Disk_i)*10^2P)，其中，log(Disk_i)的精度为P；

步骤3.2：用户u_i计算同态哈希值h_i：

产生一个随机值r_i，通过承诺方法COM.Commit()获得承诺值c_i←COM.Commit(h_i，r_i)，其中，g₁表示第一轮迭代取的同态哈希参数，第l轮选取的参数为g_l，P表示log(Disk_i)的精度；之后，u_i将Enc(Disk_i*10^2P)以及Enc(log(Disk_i)*10^2P)发送给平台，将c_i通过平台发送给验证者；

步骤3.3：平台聚合所有用户发过来的Enc(Disk_i*10^2P)密文：

然后通过安全聚合算法得到聚合值的明文Sum，其中

平台计算得出Enc(log(Sum)*10^2P)，之后通过计算Enc(w_i*10^2P)＝Enc(log(Sum)*10^2P)·Enc(log(Disk_i)*10^2P)^-1得到用户u_i加密后的权重；最后，平台将所有得到的加密权重Enc(w_j*10^2P)和承诺值c_j发送给用户U_i，其中i，j∈[1，U]。

5.如权利要求2所述的一种基于隐私保护的公开验证真值确定方法，其特征在于，步骤4具体包括以下步骤：

步骤4.1：用户u_i用自己的部分私钥s_i对其他用户u_j的加密权重进行一一解密，得到部分明文HalfDec(w_j*10^2P)_i；同时，使用对应用户U_j的对称密钥k_i，j加密上述部分明文，得到C_HalfDec(w_j*10^2P)_i，其中j∈[1，U]∩i≠j；用户u_i将上述密文发送给平台；平台接收到后，将密文发送给对应的用户；

步骤4.2：用户u_i从平台接收到其他用户给其发送的密文C_HalfDec(w_i*10^2P)_j后，通过k_i，j解密还原得到至少x份部分密文：(HalfDec(w_i*10^2P)₁，...，HalfDec(w_i*10^2P)_x)，之后，通过支持阈值的Paillier同态加密方法中的联合解密方法得到明文w_i*10^2P，之后u_i得到自己的权重明文w_i。

6.如权利要求2所述的一种基于隐私保护的公开验证真值确定方法，其特征在于，步骤5具体包括以下步骤：

步骤5.1：用户u_i计算权重与各感知数据的乘积后进行加密，得到Pilllier同态密文

其中i∈[1，U]，t∈[1，T]；u_i将这些密文发送给平台；

步骤5.2：用户u_i计算两个同态哈希值：

与

产生两个随机数rr_i与rw_i，之后通过承诺方法COM.Commit()，获得两个承诺值cc_i←COM.Commit(hh_i，rr_i)与cw_i←COM.Commit(hw_i，rw_i)；u_i将cc_i与cw_i通过平台发送给验证者；

步骤5.3：平台在收到步骤5.1和步骤5.2中所有用户发过来的数据后，计算

和

得到T+1个聚合值；之后，通过安全聚合方法得到T+1个聚合值明文：

和

其中t∈[1，T]；之后，平台通过式2更新下轮中第t个感知任务的真值：

7.如权利要求2所述的一种基于隐私保护的公开验证真值确定方法，其特征在于，步骤7具体包括以下步骤：

步骤7.1：所有用户将自己的每一轮产生的同态哈希值h_i、hh_i与hw_i以及对应的随机数r_i、rr_i与rw_i通过平台发送给验证者；验证者通过解承诺方法COM.Deommit()验证每一个承诺值：

1←COM.Deommit(c′_i，h′_i，r′_i)

1←COM.Deommit(cc′_i，hh′_i，rr′_i)

1←COM.Deommit(cw′_i，hw′_i，rw′_i)

其中，h′_i、hh′_i、hw′_i表示平台转发给验证者的用户u_i的同态哈希值；r′_i、rr′_i、rw′_i表示平台转发给验证者的用户u_i的随机数；c′_i、cc′_i、cw′_i表示平台转发给验证者的用户u_i的承诺值；如果所有的承诺值都通过验证，则继续进行验证操作；否则判定平台的真值结果不正确；

步骤7.2：验证者通过式3与式4验证权重更新的结果：

w_i，l＝log(Sum′_l)-log(Disk_i，l)，0＜l≤L (4)

其中，h_i，l、w_i，l、分别表示第l轮迭代中用户u_i产生的同态哈希值、权重明文和获得的聚合值Disk，Sum′_l是第l轮迭代中平台公开的Sum，g_l表示可信机构产生的T中的第l个参数；

验证者先计算式3，如果式3不成立，则验证者返回结果“0”，表示验证不通过；否则验证式4，如果式4不成立，则验证者返回结果“0”；以上情况都视作验证失败，平台的真值结果不正确；最后如果式3和式4均成立，返回结果“1”，表示验证通过；

其中，验证者的结果均需经过平台转发给用户；为防止平台篡改结果，验证者给用户发送的消息先计算出对应承诺值，随后先发送承诺值，等到用户接收到承诺值，再发送对应的结果和随机数，该方法同样适用在之后的步骤；用户接收验证者发送过来的验证结果，均再次验证式3；唯有全部用户通过验证，才进行下一步验证，否则验证失败；

步骤7.3：验证者通过式5、式6和式7验证真值更新的结果：

其中，Swd′_t，l和Sw′_l表示第l轮迭代中平台公开的Swd_t和Sw；hh_i，l，hw_i，l分别表示第l轮迭代中用户u_i的两个同态哈希值，

表示第l轮迭代的第t个任务的真值；g_l、g_t分别表示可信机构产生的T中的第l个和第t个参数，α_t是验证者生成的第t个随机正整数；

验证者先计算式5，如果式5不成立，则验证者返回结果“0”，表示验证不通过；否则验证公式6，如果式6不成立，则验证者返回结果“0”；否则验证式7，如果式7不成立，则验证者返回结果“0”；以上情况都视作验证不通过；

最后，如果式5、式6和式7均成立，则返回结果“1”，表示验证通过，平台的真值结果正确。

Images