CN114866317A - 多方的数据安全计算方法、装置、电子设备和存储介质 - Google Patents

Abstract

本发明提供一种多方的数据安全计算方法、装置、电子设备和存储介质，该方法包括：基于计算要求，生成检索信息集合，计算要求携带目标用户标识，检索信息集合携带目标用户标识对应的目标存储置乱标识集合；将检索信息集合发送到数据存储装置，以请求数据存储装置从存储数据中提取并返回第一使用数据集合，存储数据包括携带存储置乱标识的使用数据，存储置乱标识是对用户标识进行动态置乱得到的；对第一使用数据集合中目标存储置乱标识进行归一化置乱，得到第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。本发明在保证多方数据计算能够顺利执行的同时，维护了多方数据在数据存储和数据计算时的数据安全，避免了隐私泄露的问题。

Description

多方的数据安全计算方法、装置、电子设备和存储介质

技术领域

本发明涉及计算机、金融、互联网等技术领域，尤其涉及一种多方的数据安全计算方法、装置、电子设备和存储介质。

背景技术

随着信息时代的蓬勃发展，产生了越来越多的各式各样的数据，这些数据通常存储在各个数据采集者的环境中。由于数据包含了大量的用户隐私信息，出于用户隐私保护的考虑，这些数据无法共享也无法统筹使用，很大程度上限制了数据的最大化利用。

如何在保护用户隐私信息的同时，实现多方数据的安全计算，当下仍是亟待解决的问题。

发明内容

本发明提供一种多方的数据安全计算方法、装置、电子设备和存储介质，用以解决现有技术中多方数据难以共享统筹的缺陷。

本发明提供一种多方的数据安全计算方法，包括：

基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识是不同；

将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；

对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

根据本发明提供的一种多方的数据安全计算方法，还包括：

向数据提供方发送数据交换请求，以请求所述数据提供方基于所述数据交换请求确定交换数据并返回；

接收所述交换数据，基于所述交换数据获取使用数据；

基于第一置乱函数，对所述使用数据所携带的用户标识进行动态置乱，得到携带存储置乱标识的使用数据并存入所述数据存储装置。

根据本发明提供的一种多方的数据安全计算方法，所述数据交换请求基于如下步骤确定：

基于数据交换需求，生成数据交换请求；

所述数据交换需求包括数据需求方和/或用户标识，或者，所述数据交换需求包括数据需求方和/或用户标识，还包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围；

所述数据交换请求包括以下一个或多个的任意组合：数据需求方、用户标识、数据提供方，或者，所述数据交换请求包括以下一个或多个的任意组合：数据需求方、用户标识、数据提供方，还包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围、交换时认证控制、认证协议标识、传输密钥生成算法标识、加解密控制、加解密算法标识、校验码生成与验证控制、校验码生成与验证算法标识、数据需求方校验码。

根据本发明提供的一种多方的数据安全计算方法，所述接收所述交换数据，包括：

接收加密交换数据，基于第二密码方案对所述加密交换数据进行解密，得到所述交换数据；

所述加密交换数据是所述数据提供方基于第一密码方案对所述交换数据加密后发送的，所述第一密码方案是所述数据提供方基于所述数据交换请求确定的，所述第一密码方案与所述第二密码方案对应。

根据本发明提供的一种多方的数据安全计算方法，所述得到携带存储置乱标识的使用数据并存入所述数据存储装置，包括：

基于第三密码方案，将所述携带存储置乱标识的使用数据以加密形式存储在所述数据存储装置中；

相应地，所述将所述检索信息集合发送到数据存储装置，之后还包括：

接收所述数据存储装置返回的加密形式的第一使用数据集合，并基于第四密码方案对所述加密形式的第一使用数据集合进行解密，得到所述第一使用数据集合，所述第三密码方案与所述第四密码方案对应。

根据本发明提供的一种多方的数据安全计算方法，所述基于计算要求，生成检索信息集合，包括：

基于第二置乱函数，确定所述计算要求携带的所述目标用户标识对应的存储置乱标识集合；

基于所述存储置乱标识集合和所述存储置乱标识对应的存储索引，或，基于所述存储置乱标识集合，生成所述检索信息集合；

所述第二置乱函数，与对所述用户标识进行动态置乱所应用的第一置乱函数相对应。

根据本发明提供的一种多方的数据安全计算方法，所述对所述第一使用数据集合中的存储置乱标识集合进行归一化置乱，得到携带有归一化标识的第二使用数据集合，包括：

基于第三置乱函数，对所述计算要求中的目标用户标识进行归一化置乱，得到归一化标识；

将所述第一使用数据集合中的目标存储置乱标识替换为所述归一化标识，得到所述第二使用数据集合。

根据本发明提供的一种多方的数据安全计算方法，所述将第二使用数据集合发送到计算装置进行计算，包括：

基于第五密码方案，对所述第二使用数据集合进行加密，并将加密形式的第二使用数据集合发送到所述计算装置，以使所述计算装置基于第六密码方案对所述加密形式的第二使用数据集合解密之后进行计算。

根据本发明提供的一种多方的数据安全计算方法，所述将第二使用数据集合发送到计算装置进行计算，之后还包括：

接收所述计算装置返回的携带有归一化标识的第三使用数据集合；

将所述第三使用数据集合中的所述归一化标识替换为对应的目标用户标识，得到第四使用数据集合。

根据本发明提供的一种多方的数据安全计算方法，所述接收所述计算装置返回的携带有归一化标识的第三使用数据集合，包括：

接收加密形式的第三使用数据集合，所述加密形式的第三使用数据集合是所述计算装置基于第七密码方案对所述第三使用数据集合进行加密后返回的；

基于第八密码方案对所述加密形式的第三使用数据集合进行解密，得到所述第三使用数据集合，所述第七密码方案与所述第八密码方案对应。

根据本发明提供的一种数据安全计算方法，还包括：

接收所述数据提供方发送的删除触发条件和/或删除通知；

执行所述删除触发条件和/或删除通知所指示的使用数据的删除操作；

或者，执行所述删除触发条件和/或删除通知所指示的使用数据及其相关数据的删除操作。

根据本发明提供的一种多方的数据安全计算方法，还包括：

生成在完成所述计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱、操作验证中的至少一种过程中的存证集合；

所述操作验证中的操作包括但不限于：计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱。

根据本发明提供的一种多方的数据安全计算方法，还包括：

接收所述数据提供方发送的验证请求，并返回所述验证请求对应存证集合的验证响应。

本发明还提供一种多方的数据安全计算装置，包括：

信息生成单元，用于基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识不同；

数据提取单元，用于将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；

数据计算单元，用于对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

本发明还提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如上述任一种所述多方的数据安全计算方法。

本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现如上述任一种所述数据安全计算方法。

本发明还提供一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现如上述任一种所述多方的数据安全计算方法。

本发明提供的多方的数据安全计算方法、装置、电子设备和存储介质，通过在使用数据存储之前对用户标识进行动态置乱，在使用数据计算之前对用户标识进行归一化置乱，在保证多方数据计算能够顺利执行的同时，维护了多方数据在数据存储和数据计算时的数据安全，避免了隐私泄露的问题。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明提供的多方的数据安全计算方法的流程示意图之一；

图2是本发明提供的数据存储方法的流程示意图；

图3是本发明提供的数据计算方法的流程示意图；

图4是本发明提供的多方的数据安全计算装置的结构示意图；

图5是本发明提供的电子设备的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明中的附图，对本发明中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为了在保护用户隐私信息的同时，实现多方数据的安全计算，本发明实施例提供了一种数据安全计算方法，该方法可以应用于多方数据源中的任意一方，具体可以是该方布设的数据安全计算装置用于实现数据安全计算。此外，该方还可以布设数据存储装置、计算装置等配合实现数据安全计算。

图1是本发明提供的多方的数据安全计算方法的流程示意图之一，如图1所示，该方法包括：

步骤110，基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识是不同；

步骤120，将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的。

具体地，为了满足多方数据的安全计算，可以将各方的使用数据存储在数据存储装置中，需要说明的是，此处的数据存储装置可以是各方独立的，也可以是各方共享的，本发明实施例对此不作具体限定。

并且，为了保障数据存储装置所存储数据的安全性，针对来自各方的携带有用户标识的使用数据，可以对其中的用户标识进行动态置乱，从而将使用数据中的用户标识替换为存储置乱标识再进行存储。

此处，使用数据中的用户标识，用于反映使用数据所属的用户，可以是用户ID、电话号码、身份证号码、生物特征、门牌号等。例如小明的购物记录数据中，可以携带小明的购物账户名，此处的账户名即小明的用户标识，考虑到用户标识起到用户身份的标记作用，如果直接将携带了用户标识的使用数据存入数据存储装置，则数据存储装置将能够得到多方用户的使用数据，在存储过程中极易由于数据泄露引发信息安全问题，因此，本发明实施例在将使用数据存入数据存储装置之前，对使用数据中的用户标识进行了动态置乱。

此处的动态置乱可以通过置乱函数实现，置乱函数可以是分组密码算法的OFB、CTR等模式、序列密码算法、Hash函数等伪随机函数，通过动态置乱得到的存储置乱标识具备随机性，即便是同一用户在不同时间产生的使用数据，或者是同一用户在相同时间产生的不同类型的使用数据，所对应的存储置乱标识也是可以不同的。通过应用存储置乱标识替换使用数据中携带的用户标识，即可实现隐藏用户标识情况下的数据存储。本发明实施例对此不作具体限定。由此，数据存储装置存储的是携带存储置乱标识的用户数据，由于数据存储装置无从获知存储置乱标识与用户标识之间的关系，因此无从获取自身存储的使用数据对应的用户，极大降低了信息泄露的风险。

计算要求用于反映数据安全计算的相关要求，可以包括对于进行计算所需的数据的相关要求，也可以包括对于进行计算所需的数据的校验方式，还可以包括对应进行计算所需的数据的传输方式等，本发明实施例对此不作具体限定。

计算要求指示了对于计算所需的数据的相关要求，可以据此生成检索信息集合以实现计算所需数据的检索。进一步地，计算要求中携带了计算所需的目标用户标识，目标用户标识即计算所需的数据所属用户的用户标识，此处的目标用户标识可以是一个或者多个。在得到计算要求之后，数据安全计算装置确定出目标用户标识对应的各个存储置乱标识，即目标存储置乱标识，从而生成携带了目标用户标识对应的目标存储置乱标识集合的检索信息集合。由于在存储过程中针对用户标识的置乱是动态随机的，因此一个用户标识会对应多个不同的存储置乱标识，由此生成的目标存储置乱标识集合中包含的目标存储置乱标识也是各不相同。

在得到携带了目标用户标识对应的目标存储置乱标识集合的检索信息集合之后，即可将检索信息集合发送到数据存储装置。数据存储装置在接收到检索信息集合之后，即可在存储数据中查询携带有目标存储置乱标识集合中各个目标存储置乱标识的使用数据，由此得到第一使用数据集合，并将第一使用数据集合返回到数据安全计算装置。此处的第一使用数据集合中，包含了携带有各个目标存储置乱标识的使用数据，第一使用数据集合中包含的使用数据，即计算所需的数据。

随后，数据安全计算装置即可接收到携带了目标存储置乱标识的第一使用数据集合。

步骤130，对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

具体地，考虑到第一使用数据集合中，同一个目标用户标识对应的使用数据，可能携带了多个不同的目标存储置乱标识，如果直接将第一使用数据集合发送到计算装置，则计算装置并不能从第一使用数据集合中确定出哪些使用数据是同一个用户的使用数据，也就无法执行后续的计算流程。

因此，在得到第一使用数据集合之后，需要对第一使用数据集合中的目标存储置乱标识进行归一化置乱，即，将第一使用数据集合中各使用数据中的目标存储置乱标识替换为对应用户标识的归一化标识，从而得到第二使用数据集合。此处的归一化标识与用户标识一一对应，且归一化标识与用户标识不同，以此确保属于同一用户的使用数据所携带的归一化标识为同一标识，不同用户的使用数据所携带的归一化标识为不同标识，从而能够将同一个用户的不同使用数据关联起来。可以理解的是，在第一使用数据集合中可以包括多个用户的使用数据的情况下，用户标识和归一化标识通常一一对应，特别地，还可能存在多人共用一个归一化标识的情况，例如夫妻合计家庭贷款信用，此时夫妻二人也可以共用一个归一化标识。

计算装置在接收到第二使用数据集合之后，可以根据第二使用数据集合中的使用数据所携带的归一化标识，确定出哪些使用数据是同一个用户的使用数据，并且无法通过归一化标识分析出使用数据所属的用户，在保证数据安全计算得以顺利执行的同时，避免在计算装置处发生信息泄露。

并且，由于每次发送进行归一化置乱得到的归一化标识都不相同，即便是同一个用户，在不同次的数据安全计算中，对应的归一化标识也是不同的，因此计算装置在接收到不同次的第二使用数据集合之后，并不能根据不同次的第二数据使用集合中携带的归一化标识，分析不同次的使用数据是否来自同一个用户，进一步保证了用户信息的安全性。

本发明实施例提供的方法，通过在使用数据存储之前对用户标识进行动态置乱，在使用数据计算之前对用户标识进行归一化置乱，在保证多方数据计算能够顺利执行的同时，维护了多方数据在数据存储和数据计算时的数据安全，避免了隐私泄露的问题。

基于上述实施例，该方法还包括：

向数据提供方发送数据交换请求，以请求所述数据提供方基于所述数据交换请求确定交换数据并返回；

接收所述交换数据，基于所述交换数据获取使用数据；

基于第一置乱函数，对所述使用数据所携带的用户标识进行动态置乱，得到携带存储置乱标识的使用数据并存入所述数据存储装置。

具体地，考虑到数据计算时可能会应用到其他参与方的数据，可以在数据计算执行之前就将可能应用到的数据从其他参与方传输到当前方，此种情况下，当前方即数据需求方，其他参与方中一个或多个即数据提供方。

针对具体需要的数据，可以生成数据交换请求，此处的数据交换请求用于表征期望数据提供方提供的数据的相关信息。数据需求方可以将数据交换请求发送到数据提供方，数据提供方在接收到数据交换请求之后，即可根据数据交换请求所指示的所需数据的相关信息，从自身存储的数据中确定出交换数据，并将交换数据返回到数据需求方，此处的交换数据，可以是数据交换请求所需的使用数据本身，也可以是包含了数据交换请求所需的使用数据的数据包，本发明实施例对此不作具体限定。

数据需求方在接收到交换数据之后，即可从中获取数据交换请求所需的使用数据，并对使用数据中携带的用户标识进行动态置乱，由此得到携带了存储置乱标识的使用数据进行存储。

进一步地，基于交换数据获取使用数据的过程中，获取的动作可以从交换数据本身包含的数据中提取使用数据，也可以是在交换数据本身包含的数据基础上生成使用数据，还可以是在交换数据本身包含的数据基础上还原使用数据，本发明实施例对此不作具体限定。

此外，在对使用数据中携带的用户标识进行动态置乱时，可以通过第一置乱函数实现，此处，动态置乱之前的使用数据可以包括数据本身以及用户标识，动态置乱之后得到的可用于存储的使用数据可以包括数据本身以及存储置乱标识。

进一步地，所述第一置乱函数的输入参数包括：用户标识，或，用户标识，以及信息的生成时间、脱敏控制模块信息、脱敏控制参数、信息的接收时间中的至少一种；

其中，所述信息的接收时间为数据需求方从数据提供方获得信息的时间；

所述脱敏控制参数生成方法包括但不限于以下方式：自然排列递增的计数值、伪随机生成函数产生的随机数等。

例如，可以基于Hash函数SM3算法构建第一置乱函数，具体可以将控制参数中的信息主体标识、信息主体名称、信息的生成时间、脱敏控制模块标识、脱敏控制参数作为SM3算法的输入参数，将SM3算法的输出作为存储置乱标识。

在此之后，还可以将上述步骤产生的存储置乱标识在历史存储置乱标识信息集合中进行查重，如有重复，则调整第一置乱函数的脱敏控制参数，重新生成存储置乱标识；随后，即可将存储置乱标识替换使用数据中的用户标识，并将脱敏控制参数添加到历史存储置乱标识信息集合中，此处的历史存储置乱标识信息集合包含但不限于用户标识、信息的生成时间、信息的接收时间、脱敏控制参数、存储置乱标识中至少一个。

基于上述任一实施例，所述数据交换请求基于如下步骤确定：

基于数据交换需求，生成数据交换请求。

此处，数据交换需求用于反映期望数据提供方提供数据的需求，数据交换需求至少包括数据需求方和/或用户标识，此处的用户标识即需要数据提供方提供的数据的用户标识。

并且，数据交换需求在包括数据需求方和/或用户标识的情况下，还可以包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围。

基于数据交换需求生成的数据交换请求，可以理解为基于数据交换需求生成的数据包，数据交换请求至少包括数据需求方、用户标识、数据提供方中的至少一个。

并且，数据交换请求在包括数据需求方、用户标识、数据提供方中的至少一个的情况下，还可以包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围、交换时认证控制、认证协议标识、传输密钥生成算法标识、加解密控制、加解密算法标识、校验码生成与验证控制、校验码生成与验证算法标识、数据需求方校验码。

其中，所述交换时认证控制包括但不限于以下一个或多个的任意组合：不认证、数据需求方对数据提供方单向认证、数据提供方对数据需求方单向认证、数据需求方与数据提供方双向认证等；

所述认证协议标识用于确定数据需求方与数据提供方数据交换时的认证协议；

所述传输密钥生成算法标识用于确定数据需求方与数据提供方数据交换时的传输密钥生成算法；

所述加解密控制包括但不限于以下一个或多个的任意组合：不加密、对称加密、混合加密；

所述加解密算法标识用于确定数据需求方与数据提供方数据交换时的加解密算法；

所述校验码与验证控制包括但不限于以下一个或多个的任意组合：无校验、Hash校验、MAC码校验、数字签名校验、CRC校验；

所述校验码生成与验证算法标识用于确定数据需求方和数据提供方对数据交换请求中校验码生成与验证的算法。

相应地，上述形式的数据交换请求在由数据需求方发送到数据提供方之后，数据提供方可以通过如下方式确定交换数据：

方式一：数据提供方可以根据数据交换请求获取用户标识、数据标识、数据类别、数据精度、数据时间范围中的一个或多个组合，生成满足上述条件的交换数据。

方式二：在数据交换请求中不包含用户标识的情况下，数据提供方可以根据数据交换请求，调用隐私保护集合交集方法，确定数据提供方和数据需求方之间共有的用户标识，进而生成数据交换请求中的用户标识，根据用户标识生成满足条件的交换数据。

由此得到的交换数据可以包括：交换数据标识、数据标识集合、数据内容集合，此外，还可以包括数据提供方校验码。由此得到的交换数据可以是明态数据，也可以是密态数据。本发明实施例对此不作具体限定。

并且，在交换数据中包含校验码的情况下，校验码可以包括但不限于以下一个或多个的任意组合：Hash值、MAC码、签名、CRC校验码；校验码可以通过根据待校验内容和/或密钥调用校验码生成算法生成，校验生成算法包括但不限于：Hash函数、MAC算法、签名算法、CRC校验算法。

并且，在交换数据是密态时，数据提供方将密态交换数据解密后再基于第一密码方案对所述交换数据加密后发送。

基于上述任一实施例，数据交换需求可以由获取数据意图确定，获取数据意图由数据需求方在手机终端、PC客户端、浏览器客户端、数据需求方信息系统中预先设置或用户输入，由数据需求方系统发起；

获取数据意图设置方式包括但不限于物理开关，例如上下拨动键、左右拨动键、屏幕手势(左到右、右到左、上到下、下到上)、弹出界面填写(例如表单录入)、文件(例如XML、JSON格式)导入、语音录入等等。

基于上述任一实施例，所述接收所述交换数据，包括：

接收加密交换数据，基于第二密码方案对所述加密交换数据进行解密，得到所述交换数据；

所述加密交换数据是所述数据提供方基于第一密码方案对所述交换数据加密后发送的，所述第一密码方案是所述数据提供方基于所述数据交换请求确定的，所述第一密码方案与所述第二密码方案对应。

具体地，数据需求方和数据提供方之间的数据传输，可以是加密后执行的，即，数据提供方在确定交换数据之后，可以基于数据交换请求确定第一密码方案，并基于第一密码方案对交换数据进行加密，得到加密交换数据，再将加密交换数据传输到数据需求方。如果数据提供方确定的交换数据为密态的，数据提供方先对交换数据进行解密得到明态的交换数据后，在基于第一密码方案对交换数据进行加密得到加密交换数据。本发明实施例对此不作具体限定。

此处，数据提供方基于数据交换请求确定第一密码方案，可以基于如下方式中的至少一种完成：

数据提供方将数据交换请求发送给数据提供方的密码装置；

数据提供方的密码装置根据数据交换请求中的交换时认证控制和认证协议标识选取认证协议，根据认证协议对数据需求方和数据提供方身份进行认证，并生成第一传输密钥材料，并根据第一传输密钥材料调用第一密码方案中的传输密钥生成算法生成第一传输密钥；或者，数据提供方的密码装置根据数据交换请求中的传输密钥生成算法标识选择传输密钥生成算法，并基于传输密钥生成算法生成第一传输密钥；

数据提供方的密码装置根据数据交换请求中的加解密控制、加解密算法标识选取加解密算法；

数据提供方的密码装置根据数据交换请求中的校验码生成与验证控制、校验码生成与验证算法标识选取校验码生成与验证算法；

数据提供方基于第一密码方案对交换数据进行加密，可以基于如下方式中的至少一种完成：

数据提供方的密码装置根据第一传输密钥调用第一密码方案中的加密算法对交换数据加密生成加密交换数据；

数据提供方的密码装置根据交换数据和/或加密形态的交换数据调用第一密码方案中的校验码生成算法生成校验码，将校验码以及交换数据和/或加密形态的交换数据作为加密交换数据。

由此可见，加密交换数据至少包括交换数据或加密形态的交换数据，此外，加密交换数据还可以包括以下一个或者多个的任意组合：数据需求方、数据提供方、时间戳、校验码。

需要说明的是，第一密码方案的确定、交换数据的加密，均在数据提供方内部实现，由此可以保障外部无法获得第一密码方案和交换数据的明文。

相应地，数据需求方的数据安全计算装置在接收到加密交换数据之后，即可基于第二密码方案进行解密，由此得到交换数据的明文。

与第一密码方案的确定方式对应地，数据需求方的第二密码方案的确定也可以基于如下方式中的至少一种完成：

数据需求方将数据交换请求发送给数据需求方的密码模块；

数据需求方的密码装置根据数据交换请求中的交换时认证控制和认证协议标识选取认证协议，根据认证协议对数据需求方和数据提供方身份进行认证，并生成第一传输密钥材料，并根据第一传输密钥材料调用第二密码方案中的传输密钥生成算法生成第一传输密钥；或者，数据需求方的密码装置根据数据交换请求中的传输密钥生成算法标识选择传输密钥生成算法，并基于传输密钥生成算法生成第一传输密钥；

数据需求方的密码装置根据数据交换请求中的加解密控制、加解密算法标识选取加解密算法；

数据需求方的密码装置根据数据交换请求中的校验码生成与验证控制、校验码生成与验证算法标识选取校验码生成与验证算法。

在确定第二密码方案之后，数据需求方即可对加密交换数据进行解密，具体方式可以是如下方式中的至少一种：

数据需求方从加密交换数据中提取密态交换数据和/或校验码，并将密态交换数据和/或校验码发送给数据需求方的密码装置；

数据需求方的密码装置根据第一传输密钥调用第二密码方案中的解密算法对密态交换数据解密生成交换数据，此处的交换数据可以理解为数据提供方确定的交换数据；

数据需求方的密码装置根据交换数据和/或校验码调用第二密码方案中的校验码验证算法验证校验码，验证通过后将交换数据发送给数据需求方。

本发明实施例提供的方法，在多方数据交换过程中，通过加密的方式进行多方数据传输，保证了多方数据传输的安全性。

基于上述任一实施例，所述得到携带存储置乱标识的使用数据并存入所述数据存储装置，包括：

基于第三密码方案，将所述携带存储置乱标识的使用数据以加密形式存储在所述数据存储装置中；

相应地，所述将所述检索信息集合发送到数据存储装置，之后还包括：

接收所述数据存储装置返回的加密形式的第一使用数据集合，并基于第四密码方案对所述加密形式的第一使用数据集合进行解密，得到所述第一使用数据集合，所述第三密码方案与所述第四密码方案对应。

具体地，针对完成用户标识的动态置乱之后的使用数据，即携带存储置乱标识的使用数据，可以调用第三密码方案对上述使用数据进行加密，并将加密后的使用数据存储到数据存储装置。

此处，调用第三密码方案对上述携带存储置乱标识的使用数据进行加密，可以通过如下步骤实现：

数据需求方的密码装置根据存储密钥生成材料调用第三密码方案中的存储密钥生成算法生成存储密钥；

数据需求方的密码装置根据存储密钥、携带存储置乱标识的使用数据本身和/或其校验码调用第三密码方案中的加密算法生成密态的携带存储置乱标识的使用数据；

其中，携带存储置乱标识的使用数据的校验码可以是在加密之前，由密码装置调用第三密码方案中的校验码生成算法生成的，也可以是在加密后由密码装置调用第三密码方案中的校验码生成算法生成的。本发明实施例对此不作具体限定。

需要说明的是，第三密码方案的确定，携带存储置乱标识的使用数据的加密，均在数据需求方内部实现，由此可以保障外部无法获得第三密码方案和携带存储置乱标识的使用数据的明文。

据此，数据存储装置内的存储数据，是基于第三密码方案加密的使用数据，由此，在数据安全计算过程中，数据安全计算装置从数据存储装置获取到的携带目标存储置乱标识的第一使用数据集合，同样是基于第三密码方案加密的形式。

相应地，数据安全计算装置在获取到加密形式的第一使用数据集合，需要应用与第三密码方案相对应的第四密码方案，对加密形式的第一使用数据集合进行解密，方能够得到明文形式的第一使用数据集合。

所述基于第四密码方案对所述加密形式的第一使用数据集合进行解密，包括以下步骤一个或多个的任意组合：

数据需求方的数据安全计算装置将加密形式的第一使用数据集合发送给数据需求方的密码装置；

数据需求方的密码装置根据存储密钥生成材料调用第四密码方案中的存储密钥生成算法生成存储密钥；

数据需求方的密码装置根据存储密钥、加密形式的第一使用数据集合和/或其校验码调用第四密码方案中的解密算法生成明文形式的第一使用数据集合，并将明文形式的第一使用数据集合发送给数据需求方的数据安全计算装置；

进一步地，数据需求方的密码装置可以调用第四密码方案中的校验码验证算法验证校验码，验证通过后将明文形式的第一使用数据集合发送给数据需求方的数据安全计算装置。

本发明实施例提供的方法，在多方数据存储和应用过程中，通过加密的方式进行多方数据传输，保证了多方数据传输的安全性。

基于上述任一实施例，步骤110，所述基于计算要求，生成检索信息集合，包括：

基于第二置乱函数，确定所述计算要求携带的所述目标用户标识对应的存储置乱标识集合；

基于所述存储置乱标识集合和所述存储置乱标识对应的存储索引，或，基于所述存储置乱标识集合，生成所述检索信息集合；

所述第二置乱函数，与对所述用户标识进行动态置乱所应用的第一置乱函数相对应。

具体地，在使用数据存储之前，可以应用第一置乱函数对使用数据所携带的用户标识进行动态置乱，由此得到用于存储的携带有存储置乱标识的使用数据，并存储于数据存储装置。在此过程中，数据安全计算装置可以记录携带各个存储置乱标识的使用数据在数据存储装置中的存储索引。

相应地，针对计算要求中携带的目标用户标识，可以通过与第一置乱函数相对应的第二置乱函数，确定目标用户标识对应的存储置乱标识集合，此处的第二置乱函数可以反映此前通过第一置乱函数生成的各个存储置乱标识与用户标识之间的关系。

进一步地，第二置乱函数的输入参数包括：用户标识，或，用户标识，以及信息的生成时间、脱敏控制模块信息、脱敏控制参数、信息的接收时间中的至少一种；

在得到目标用户标识对应的存储置乱标识集合之后，即可基于存储置乱标识集合，生成检索信息集合，或者联合存储置乱标识集合，以及预先记录的各个存储置乱标识对应的存储索引，确定存储置乱标识集合中各个存储置乱标识的存储索引，并据此生成检索信息集合。可选地，此处预先记录的各个存储置乱标识对应的存储索引可以表示为存储索引映射表的形式。

计算要求中除了包括目标用户标识，此外还可以包括但不限于包括以下一个或多个任意组合：数据标识、数据类别、数据精度、数据时间范围、加解密控制、加解密算法标识、传输密钥生成算法标识、校验码生成与验证控制、校验码生成与验证算法标识。

相应地，检索信息集合但不限于包括以下一个或多个任意组合：检索信息标识、存储置乱标识、存储索引、数据标识、数据类别、数据精度、数据时间范围。

进一步地，基于计算要求生成检索信息集合包括但不限于以下方式：

方式一：根据计算要求中的目标用户标识，调用第二置乱函数生成目标用户标识对应的存储置乱标识集合，根据存储置乱标识集合和/或存储索引映射表得到存储索引，根据存储索引、计算要求中的数据标识、数据类别、数据精度、数据时间范围生成检索信息集合；

方式二：根据计算要求中的目标用户标识，调用第二置乱函数生成目标用户标识对应的存储置乱标识集合，根据存储置乱标识集合、计算要求中的数据标识、数据类别、数据精度、数据时间范围生成检索信息集合。

基于上述任一实施例，步骤130中，所述对所述第一使用数据集合中的存储置乱标识集合进行归一化置乱，得到携带有归一化标识的第二使用数据集合，包括：

基于第三置乱函数，对所述计算要求中的目标用户标识进行归一化置乱，得到归一化标识；

将所述第一使用数据集合中的目标存储置乱标识替换为所述归一化标识，得到所述第二使用数据集合。

具体地，第三置乱函数用于对目标用户标识进行置乱，并将置乱所得的标识记为归一化标识。在得到归一化标识后，即可将第一使用数据集合中与目标用户标识相对应的各个目标存储置乱标识均替换为归一化标识，得到包含了携带有归一化标识的使用数据的第二使用数据集合。

进一步地，所述第三置乱函数的控制参数包括：用户标识，或，用户标识，以及第三置乱函数调用时间、脱敏控制模块信息、安全计算模块信息、脱敏控制参数中的至少一种。基于第三置乱函数生成归一化标识的过程中，可以将生成的归一化标识在历史归一化标识集合中进行查重，如有重复，则调整第三置乱函数的脱敏控制参数重新生成；确定归一化标识之后，即可基于用户标识、存储置乱标识、归一化标识，生成用户标识与归一化标识之间的映射表。

此处，第二使用数据集合中，相同用户的使用数据，均携带有相同的归一化标识，此处的归一化标识与用户标识一一对应，且归一化标识与用户标识不同，以此确保属于同一用户的使用数据所携带的归一化标识为同一标识，计算装置在接收到第二使用数据集合之后，可以根据第二使用数据集合中的使用数据所携带的归一化标识，确定出哪些使用数据是同一个用户的使用数据，且无法通过归一化标识分析出使用数据所属的用户，在保证数据安全计算得以顺利执行的同时，避免在计算装置处发生信息泄露。

进一步地，通过归一化置乱得到第二使用数据集合的方式包括但不限于：

根据计算要求中的目标用户标识，调用第二置乱函数生成存储置乱标识、调用第三置乱函数生成归一化标识；用归一化标识替换第一使用数据集合中的存储置乱标识，得到第二使用数据集合；

进一步地，根据计算要求中的目标用户标识和第一使用数据集合，调用第三置乱函数生成归一化标识，进而确定目标用户标识与归一化标识之间的映射表；

根据第一使用数据集合、目标用户标识与归一化标识之间的映射表生成第二使用数据集合。

基于上述任一实施例，步骤130中，所述将第二使用数据集合发送到计算装置进行计算，包括：

基于第五密码方案，对所述第二使用数据集合进行加密，并将加密形式的第二使用数据集合发送到所述计算装置，以使所述计算装置基于第六密码方案对所述加密形式的第二使用数据集合解密之后进行计算。

具体地，数据需求方的数据安全计算装置可以将第二使用数据集合发送给数据需求方的密码装置，再由数据需求方的密码装置根据第二传输密钥生成材料调用第五密码方案中的传输密钥生成算法生成第二传输密钥；数据需求方的密码装置根据第二传输密钥、第二使用数据集合和/或其校验码调用第五密码方案中的加密算法生成加密形式的第二使用数据集合，并将加密形式的第二使用数据集合发送给数据需求方的数据安全计算装置，由此实现针对第二使用数据集合的加密。

其中，第二使用数据集合的校验码可以是在加密之前，由密码装置调用第五密码方案中的校验码生成算法生成的，也可以是在加密之后，由密码装置调用第五密码方案中的校验码生成算法生成的。

需要说明的是，第五密码方案的确定，第二使用数据集合的加密，均在数据需求方内部实现，由此可以保障外部无法获得第五密码方案和第二使用数据集合的明文。

数据安全计算装置在得到加密形式的第二使用数据集合之后，即可将加密形式的第二使用数据集合发送到计算装置；

相应地，计算装置在接收到加密形式的第二使用数据集合之后，即可基于与第五密码方案相对应的第六密码方案进行解密，从而得到可用于计算的明文形式的第二使用数据集合。

其中，计算装置基于第六密码方案进行解密，可以包括以下步骤：

计算装置根据第二传输密钥生成材料调用第六密码方案中的传输密钥生成算法，生成第二传输密钥，并根据第二传输密钥、加密形式的第二使用数据集合，调用第六密码方案中的解密算法生成明文形式的第二使用数据集合。

可选地，计算装置还可以调用第六密码方案中的校验码验证算法验证第二使用数据集合的校验码，验证通过才可以根据第二使用数据集合执行后续计算。

本发明实施例提供的方法，在第二使用数据集合的传输过程中进行加密，从而保证数据传输的安全性，本发明实施例对此不作具体限定。

基于上述任一实施例，步骤130之后还包括：

接收所述计算装置返回的携带有归一化标识的第三使用数据集合；

将所述第三使用数据集合中的所述归一化标识替换为对应的目标用户标识，得到第四使用数据集合。

具体地，计算装置基于第二使用数据集合进行计算，由此得到计算结果记为第三使用数据集合，第三使用数据集合中可以包含计算结果的内容，以及计算结果对应的归一化标识。

数据安全计算装置在接收到第三使用数据集合之后，即可将第三使用数据集合中的归一化标识替换为对应的目标用户标识，由此得到的第四使用数据集合中，包含了计算结果的内容，以及计算结果对应的用户标识。

其中，数据安全计算装置将第三使用数据集合中的归一化标识替换为目标用户标识，得到第四使用数据集合，包括但不限于以下方式：

根据归一化标识与用户标识之间的映射表，将第三使用数据集合中的归一化标识映射为用户标识，根据用户标识和第三使用数据集合中的计算结果生成第四使用数据集合。

进一步地，可以基于计算要求和第三置乱函数的控制参数，应用第四置乱函数将归一化标识映射为用户标识，此处的第四置乱函数用于执行第三置乱函数的逆运算。

基于上述任一实施例，所述接收所述计算装置返回的携带有归一化标识的第三使用数据集合，包括：

接收加密形式的第三使用数据集合，所述加密形式的第三使用数据集合是所述计算装置基于第七密码方案对所述第三使用数据集合进行加密后返回的；

基于第八密码方案对所述加密形式的第三使用数据集合进行解密，得到所述第三使用数据集合，所述第七密码方案与所述第八密码方案对应。

具体地，计算装置在得到第三使用数据集合之后，可以先基于第七密码方案对第三使用数据集合进行加密，再将加密形式的第三使用数据集合发送到数据安全计算装置处。

此处，基于第七密码方案对第三使用数据集合进行加密包括以下步骤：

计算装置根据第三传输密钥生成材料调用第七密码方案中的传输密钥生成算法，生成第三传输密钥，再根据第三传输密钥、第三使用数据集合和/或其校验码调用第七密码方案中的加密算法生成加密形式的第三使用数据集合；

可选地，在生成加密形式的第三使用数据集合前，计算装置可以调用第七密码方案中的校验码生成算法生成第三使用数据集合的校验码。

相应地，数据安全计算装置在接收到加密形式的第三使用数据集合之后，即可基于第八密码方案进行解密，此处，基于第八密码方案进行解密包括以下步骤：

数据需求方的数据安全计算装置将加密形式的第三使用数据集合发送给密码装置；

数据需求方的密码装置根据第三传输密钥生成材料调用第八密码方案中的传输密钥生成算法生成第三传输密钥，根据第三传输密钥、将加密形式的第三使用数据集合调用第八密码方案中的解密算法生成将明文形式的第三使用数据集合，并将明文形式的第三使用数据集合发送给数据需求方的数据安全计算装置；

可选地，数据需求方的密码装置调用第八密码方案中的校验码验证算法验证第三使用数据集合的校验码，验证通过后才可以将明文形式的第三使用数据集合发送给数据安全计算装置。

需要说明的是，第三传输密钥的合成、第三使用数据集合的加解密，均在数据提供方内部实现，由此可以保障外部无法获得第三传输密钥和第三使用数据集合的明文。

需要说明的是，上述实施例中提及的第一密码方案、第二密码方案、第三密码方案、第四密码方案、第五密码方案、第六密码方案、第七密码方案、第八密码方案可以相同，也可以不同；可以采用对称加密、非对称加密等常用密码方案构成，本发明实施例对此不作具体限定。

需要说明的是，上述实施例中提及的基于第一密码方案、第二密码方案、第三密码方案、第四密码方案、第五密码方案、第六密码方案、第七密码方案、第八密码方案的加解密过程，均是可选的，例如在数据安全计算的流程中，全程均可不作加解密，仅凭两次置乱保证数据计算安全；又例如在数据安全计算的流程中，在两次置乱的基础上，可以仅在数据提供方和数据需求方的交互过程中，由数据提供方基于第一密码方案对待传输的交换数据加密，由数据需求方基于第二密码方案对接收到的交换数据解密；又例如在数据安全计算的流程中，在两次置乱的基础上，可以在数据提供方和数据需求方的交互过程中，由数据提供方基于第一密码方案对待传输的交换数据加密，由数据需求方基于第二密码方案对接收到的交换数据解密，并且在数据存储的过程中通过数据需求方的密码装置基于第三密码方案，对携带存储置乱标识的使用数据进行加密，之后再由数据存储装置进行存储，对应在数据获取的过程中由密码装置基于第四密码方案对于密态的携带目标存储置乱标识的第一使用数据集合进行解密，本发明实施例对此不作具体限定。

基于上述任一实施例，该方法还包括：

接收所述数据提供方发送的删除触发条件和/或删除通知；

执行所述删除触发条件和/或删除通知所指示的使用数据的删除操作；

或者，执行所述删除触发条件和/或删除通知所指示的使用数据及其相关数据的删除操作。

具体地，删除触发条件包括但不限于以下一种或多种的任意组合：到达删除的约束时间、接收到删除通知、达到使用次数、发生违规使用行为、符合指定信息属性、符合删除执行主体。

删除通知包括以下一个或多个任意组合：删除通知标识、删除指令集合、删除通知发送主体、删除通知发送方式、删除通知确认消息回复主体、删除通知确认消息接收主体、删除通知确认消息回复的要求、删除通知确认消息回复的方式；其中删除通知确认消息回复的要求可以是指定时间之前回复，或者限制回复时间。

数据提供方可以针对自身向数据需求方提供的使用数据提出删除要求，具体可以以删除触发条件和/或删除通知的形式体现。数据需求方在接收到删除触发条件和/或删除通知之后，即可根据删除触发条件和/或删除通知的指示，执行相应的删除操作，并且考虑到数据提供方提供的使用数据，在数据需求方可能经过了加解密、替换存储置乱标识后存储、替换归一化标识后计算等各种操作，存在相关数据，例如替换为存储置乱标识的存储数据，因此删除触发条件和/或删除通知不仅可以用于指示使用数据的删除操作，还可以用于指示使用数据在数据需求方的其他相关数据的删除操作。

基于上述任一实施例，该方法还包括：

生成在完成所述计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱、操作验证中的至少一种过程中的存证集合；

所述操作验证中的操作包括但不限于：计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱。

具体地，针对数据提供方，数据提供方在基于数据交换请求确定交换数据的过程中，可以生成交换数据存证集合。交换数据存证集合包括交换数据标识和/或交换数据，此外，还可以包括但不限于以下至少一个或多个的任意组合：交换数据证据标识、交换数据证据名称、交换数据证据、数据需求方、数据提供方、数据需求提交时间、数据交换时间、证据生成时间、数据需求方校验码、数据提供方校验码、存证集合的校验码。

此外，数据提供方在发送交换数据之前，还可以基于第一密码方案对交换数据进行加密，生成加密形式的交换数据，在此过程中可以生成加密交换数据存证集合。加密交换数据存证集合可以是在交换数据存证集合的基础上生成的，加密交换数据存证集合包括但不限于以下至少一个或多个的任意组合：加密交换数据证据标识、加密交换数据证据名称、加密交换数据证据、数据需求方、数据提供方、数据需求提交时间、数据交换时间、证据生成时间、加密交换数据标识、加密交换数据、数据需求方校验码、数据提供方校验码、存证集合的校验码。

针对数据需求方，在接收到交换数据之后，可以从中提取使用数据，并基于第一置乱函数，对使用数据所携带的用户标识进行动态置乱，得到携带存储置乱标识的使用数据，在此过程中，可以生成存储数据存证集合。存储数据存证集合包括但不限于以下至少一个或多个的任意组合：存储数据存证标识、存储数据存证名称、存储数据存证、数据需求方、数据提供方、数据需求提交时间、存证生成时间、存储数据标识、存储数据信息、密态存储数据标识、密态存储数据、存储置乱标识、存储置乱标识与存储索引的映射表、数据需求方校验码、数据提供方校验码、数据存证集合的校验码。

此外，数据需求方在基于计算要求生成检索信息集合，并通过检索信息集合从数据存储装置中获取到第一使用数据集合并进行归一化置乱得到第二使用数据集合的过程中，可以生成归一化存证集合。归一化存证集合可以包括但不限于以下至少一个或多个的任意组合：归一化存证标识、归一化存证名称、归一化存证、数据需求方、数据提供方、数据需求提交时间、存证生成时间、第二使用数据集合标识、第二使用数据集合、加密第二使用数据集合标识、加密第二使用数据集合、数据需求方校验码、数据提供方校验码、存证集合的校验码。

数据需求方可以将第二使用数据集合发送到计算装置，由计算装置计算得到第三使用数据集合，并返回数据需求方的数据安全计算装置，在此过程中可以生成计算存证集合，计算存证集合可以包括计算存证标识、计算存证名称、计算存证、数据需求方、数据提供方、数据需求提交时间、存证生成时间、第三使用数据集合标识、第三使用数据集合、加密第三使用数据集合标识、加密第三使用数据集合、数据需求方校验码、数据提供方校验码、存证集合的校验码。

在此之后，数据需求方还可以将第三使用数据集合中的归一化标识还原为用户标识，由此得到第四使用数据集合，在此过程中，可以生成结果存证集合，结果存证集合可以包括但不限于以下至少一个或多个的任意组合：结果存证标识、结果存证名称、结果存证、数据需求方、数据提供方、数据需求提交时间、存证生成时间、第三使用数据集合标识、第三使用数据集合、加密第三使用数据集合标识、加密第三使用数据集合、第四使用数据集合标识、第四使用数据集合、数据需求方校验码、数据提供方校验码、存证集合的校验码。

此外，针对执行删除触发条件和/或删除通知所指示的使用数据及其相关数据的删除操作的过程，还可以生成删除数据存证集合，删除数据存证集合包括但不限于以下至少一个或多个的任意组合：删除数据存证标识、删除数据存证名称、删除数据存证、数据需求方、数据提供方、删除触发条件发送时间、和/或删除通知送时间、删除时间、删除数据标识、删除数据分量、删除结果、和/或删除评估结果、证据生成时间、存证集合的校验码。

另外针对数据安全计算过程中的验证过程，还可以生成验证存证集合，验证存证集合包括但不限于以下至少一个或多个的任意组合：验证存证标识、验证存证名称、验证存证、数据需求方、数据提供方、验证请求发送时间、验证请求、验证响应发送时间、验证响应、证据生成时间、存证集合的校验码。

基于上述任一实施例，该方法还包括：

接收所述数据提供方发送的验证请求，并返回所述验证请求对应存证集合的验证响应。

具体地，数据提供方可以向数据需求方发出验证请求，此处的验证请求包括但不限于以下至少一个或多个的任意组合：数据提供方、数据需求方、交换数据存证标识、加密交换数据存证标识、存储数据存证标识、归一化存证标识、计算存证标识、结果存证标识、删除数据存证标识、数据需求方计算环境状态数据标识；其中，数据需求方计算环境状态数据包括但不限于：数据需求方计算环境监控状态单元的当前数值、工作是否正常、是否被侵入、机箱是否被异常打开等；

相应地，数据需求方反馈的验证响应包括但不限于以下至少一个或多个的任意组合：数据提供方、数据需求方、交换数据存证集合、加密交换数据存证集合、存储数据存证集合、归一化存证集合、计算存证集合、结果存证集合、删除数据存证集合、数据需求方计算环境状态数据。

可选地，在验证过程中，验证请求和/或验证响应，同样可以进行加密和/或添加校验码。

基于上述任一实施例，图2是本发明提供的数据存储方法的流程示意图，如图2所示，数据存储方法由数据需求方和数据提供方两方实现，其中数据需求方包括数据安全计算装置210、数据存储装置220、密码装置230，数据提供方包括数据安全计算装置310、数据存储装置320、密码装置330。

数据需求方的数据安全计算装置210可以生成数据交换请求，并通过数据交换管理功能，将数据交换请求发送到数据提供方的数据安全计算装置310。数据提供方的数据安全计算装置310将数据交换请求转发给数据存储装置320，数据存储装置基于数据交换请求确定交换数据并返回数据安全计算装置310，数据安全计算装置310再将交换数据发送给密码装置330，密码装置330根据与数据需求方预先约定好的第一传输密钥材料，生成第一传输密钥，并应用第一传输密钥对交换数据加密，将加密的交换数据返回数据安全计算装置310，随后数据安全计算装置310将加密的交换数据返回到数据需求方的数据安全计算装置210。

特别地，数据安全计算装置310交换数据发送给密码装置330的交换数据可以是明态也可以是密态，在交换数据是明态的情况下，密码装置330可以直接对交换数据加密，在交换数据是密态的情况下，密码装置330可以先对交换数据解密，解密之后再加密。

数据需求方的数据安全计算装置210在接收到加密的交换数据之后，将加密的交换数据发送到密码装置230，密码装置230根据与数据提供方预先约定好的第一传输密钥材料，生成第一传输密钥，并应用第一传输密钥对交换数据解密，将解密后明文形式的交换数据返回数据安全计算装置210。随后，数据安全计算装置210通过数据提取函数，从明文的交换数据中提取使用数据，再应用第一置乱函数对使用数据中的用户标识进行动态置乱，得到携带存储置乱标识的使用数据。接着，数据安全计算装置210将携带存储置乱标识的使用数据发送给密码装置230进行加密，并由密码装置230将加密后的携带存储置乱标识的使用数据返回到数据存储装置220和/或数据安全计算装置210，具体可以是密码装置230直接将加密后的携带存储置乱标识的使用数据返回到数据存储装置220，也可以是密码装置230先将加密后的携带存储置乱标识的使用数据返回到数据安全计算装置210，再由数据安全计算装置210再将加密后的携带存储置乱标识的使用数据作为存储数据存入数据存储装置220，或者也可以是密码装置230将加密后的携带存储置乱标识的使用数据分别发送到数据存储装置220和数据安全计算装置210，本发明实施例对此不作具体限定。

基于上述任一实施例，图3是本发明提供的数据计算方法的流程示意图，如图3所示，数据需求方可以包括数据安全计算装置210、数据存储装置220、密码装置230、计算装置240、作业调度装置250。

首先，作业调度装置250根据业务作业基于计算要求生成函数生成计算要求，并将计算要求发送到数据安全计算装置210。数据安全计算装置210可以基于第二置乱函数，将计算要求中的目标用户标识置乱得到目标存储置乱标识，并基于检索信息生成函数，生成包含目标存储置乱标识的检索信息集合，并将检索信息集合发送到数据存储装置220。

此处，用于生成计算要求的业务作业可以包含一个业务作业也可以包括多个业务作业，可以由一个或多个用户、服务器或者应用程序发起。

数据存储装置220从存储数据中确定出目标存储置乱标识对应的加密形式的第一使用数据集合，并返回数据安全计算装置210。数据安全计算装置210将加密形式的第一使用数据集合发送到密码装置230，由密码装置230进行解密并返回明文形式的第一使用数据集合。

随后，数据安全计算装置210通过第三置乱函数，将第一使用数据集合中的目标存储置乱标识替换为归一化标识，得到第二使用数据集合，并将第二使用数据集合发送到密码装置230，由密码装置230对第二使用数据集合进行加密，并返回加密形式的第二使用数据集合。接着，数据安全计算装置210将加密形式的第二使用数据集合发送到计算装置240。

计算装置240基于密码算法对加密形式的第二使用数据集合进行解密，并基于计算函数，对解密后的第二使用数据集合进行计算，得到第三使用数据集合，并基于密码算法对第三使用数据集合进行加密，将加密后的第三使用数据集合返回到数据安全计算装置210。

数据安全计算装置210在接收到加密后的第三使用数据集合之后，将加密后的第三使用数据集合发送到密码装置230进行解密，再由密码装置230返回明文形式的第三使用数据集合。随后，数据安全计算装置210替换第三使用数据集合中的归一化标识，得到包含了用户标识的第四使用数据集合，即实现了用户标识的还原。

基于上述任一实施例，图4是本发明提供的多方的数据安全计算装置的结构示意图，如图4所示，该装置包括：

信息生成单元410，用于基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的存储置乱标识集合；

数据提取单元420，用于将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；

数据计算单元430，用于对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

本发明实施例提供的装置，通过在使用数据存储之前对用户标识进行动态置乱，在使用数据计算之前对用户标识进行归一化置乱，在保证多方数据计算能够顺利执行的同时，维护了多方数据在数据存储和数据计算时的数据安全，避免了隐私泄露的问题。

基于上述任一实施例，数据安全计算装置还包括数据交换单元，用于：

向数据提供方发送数据交换请求，以请求所述数据提供方基于所述数据交换请求确定交换数据并返回；

接收所述交换数据，基于所述交换数据获取使用数据；

基于第一置乱函数，对所述使用数据所携带的用户标识进行动态置乱，得到携带存储置乱标识的使用数据并存入所述数据存储装置。

基于上述任一实施例，所述数据交换请求基于如下步骤确定：

基于数据交换需求，生成数据交换请求；

所述数据交换需求包括数据需求方和/或用户标识，或者，所述数据交换需求包括数据需求方和/或用户标识，还包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围；

所述数据交换请求包括以下一个或多个的任意组合：数据需求方、用户标识、数据提供方，或者，所述数据交换请求包括以下一个或多个的任意组合：数据需求方、用户标识、数据提供方，还包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围、交换时认证控制、认证协议标识、传输密钥生成算法标识、加解密控制、加解密算法标识、校验码生成与验证控制、校验码生成与验证算法标识、数据需求方校验码。

基于上述任一实施例，数据交换单元具体用于：

接收加密交换数据，基于第二密码方案对所述加密交换数据进行解密，得到所述交换数据；

所述加密交换数据是所述数据提供方基于第一密码方案对所述交换数据加密后发送的，所述第一密码方案是所述数据提供方基于所述数据交换请求确定的，所述第一密码方案与所述第二密码方案对应。

基于上述任一实施例，数据交换单元具体用于：

基于第三密码方案，将所述携带存储置乱标识的使用数据以加密形式存储在所述数据存储装置中；

相应地，所述数据提取单元还用于：

接收所述数据存储装置返回的加密形式的第一使用数据集合，并基于第四密码方案对所述加密形式的第一使用数据集合进行解密，得到所述第一使用数据集合，所述第三密码方案与所述第四密码方案对应。

基于上述任一实施例，所述信息生成单元具体用于：

基于第二置乱函数，确定所述计算要求携带的所述目标用户标识对应的存储置乱标识集合；

基于所述存储置乱标识集合和所述存储置乱标识对应的存储索引，或，基于所述存储置乱标识集合，生成所述检索信息集合；

所述第二置乱函数，与对所述用户标识进行动态置乱所应用的第一置乱函数相对应。

基于上述任一实施例，数据计算单元具体用于：

基于第三置乱函数，对所述计算要求中的目标用户标识进行归一化置乱，得到归一化标识；

将所述第一使用数据集合中的目标存储置乱标识替换为所述归一化标识，得到所述第二使用数据集合。

基于上述任一实施例，数据计算单元具体用于：

基于第五密码方案，对所述第二使用数据集合进行加密，并将加密形式的第二使用数据集合发送到所述计算装置，以使所述计算装置基于第六密码方案对所述加密形式的第二使用数据集合解密之后进行计算。

基于上述任一实施例，数据安全计算装置还包括标识还原单元，用于：

接收所述计算装置返回的携带有归一化标识的第三使用数据集合；

将所述第三使用数据集合中的所述归一化标识替换为对应的目标用户标识，得到第四使用数据集合。

基于上述任一实施例，标识还原单元具体用于：

接收加密形式的第三使用数据集合，所述加密形式的第三使用数据集合是所述计算装置基于第七密码方案对所述第三使用数据集合进行加密后返回的；

基于第八密码方案对所述加密形式的第三使用数据集合进行解密，得到所述第三使用数据集合，所述第七密码方案与所述第八密码方案对应。

基于上述任一实施例，数据安全计算装置还包括删除单元，用于：

接收所述数据提供方发送的删除触发条件和/或删除通知；

执行所述删除触发条件和/或删除通知所指示的使用数据的删除操作；

或者，执行所述删除触发条件和/或删除通知所指示的使用数据及其相关数据的删除操作。

基于上述任一实施例，数据安全计算装置还包括存证单元，用于：

生成在完成所述计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱、操作验证中的至少一种过程中的存证集合；

所述操作验证中的操作包括但不限于：计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱。

基于上述任一实施例，数据安全计算装置还包括验证单元，用于：

接收所述数据提供方发送的验证请求，并返回所述验证请求对应存证集合的验证响应。

图5示例了一种电子设备的实体结构示意图，如图5所示，该电子设备可以包括：处理器(processor)510、通信接口(Communications Interface)520、存储器(memory)530和通信总线540，其中，处理器510，通信接口520，存储器530通过通信总线540完成相互间的通信。处理器510可以调用存储器530中的逻辑指令，以执行多方的数据安全计算方法，该方法包括：基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识是不同；将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

此外，上述的存储器530中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

另一方面，本发明还提供一种计算机程序产品，所述计算机程序产品包括计算机程序，计算机程序可存储在非暂态计算机可读存储介质上，所述计算机程序被处理器执行时，计算机能够执行上述各方法所提供的多方的数据安全计算方法，该方法包括：基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识是不同；将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

又一方面，本发明还提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现以执行上述各方法提供的多方的数据安全计算方法，该方法包括：基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识是不同；将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (16)

1.一种多方的数据安全计算方法，其特征在于，包括：

基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识不同；

将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；

对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

2.根据权利要求1所述的多方的数据安全计算方法，其特征在于，还包括：

向数据提供方发送数据交换请求，以请求所述数据提供方基于所述数据交换请求确定交换数据并返回；

接收所述交换数据，基于所述交换数据获取使用数据；

基于第一置乱函数，对所述使用数据所携带的用户标识进行动态置乱，得到携带存储置乱标识的使用数据并存入所述数据存储装置。

3.根据权利要求2所述的多方的数据安全计算方法，其特征在于，所述数据交换请求基于如下步骤确定：

基于数据交换需求，生成数据交换请求；

所述数据交换需求包括数据需求方和/或用户标识，或者，所述数据交换需求包括数据需求方和/或用户标识，还包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围；

所述数据交换请求包括以下一个或多个的任意组合：数据需求方、用户标识、数据提供方，或者，所述数据交换请求包括以下一个或多个的任意组合：数据需求方、用户标识、数据提供方，还包括以下一个或多个的任意组合：数据标识、数据类别、数据精度、数据时间范围、交换时认证控制、认证协议标识、传输密钥生成算法标识、加解密控制、加解密算法标识、校验码生成与验证控制、校验码生成与验证算法标识、数据需求方校验码。

4.根据权利要求2所述的多方的数据安全计算方法，其特征在于，所述接收所述交换数据，包括：

接收加密交换数据，基于第二密码方案对所述加密交换数据进行解密，得到所述交换数据；

所述加密交换数据是所述数据提供方基于第一密码方案对所述交换数据加密后发送的，所述第一密码方案是所述数据提供方基于所述数据交换请求确定的，所述第一密码方案与所述第二密码方案对应。

5.根据权利要求2所述的多方的数据安全计算方法，其特征在于，所述得到携带存储置乱标识的使用数据并存入所述数据存储装置，包括：

基于第三密码方案，将所述携带存储置乱标识的使用数据以加密形式存储在所述数据存储装置中；

相应地，所述将所述检索信息集合发送到数据存储装置，之后还包括：

接收所述数据存储装置返回的加密形式的第一使用数据集合，并基于第四密码方案对所述加密形式的第一使用数据集合进行解密，得到所述第一使用数据集合，所述第三密码方案与所述第四密码方案对应。

6.根据权利要求1所述的多方的数据安全计算方法，其特征在于，所述基于计算要求，生成检索信息集合，包括：

基于第二置乱函数，确定所述计算要求携带的所述目标用户标识对应的存储置乱标识集合；

基于所述存储置乱标识集合和所述存储置乱标识对应的存储索引，或，基于所述存储置乱标识集合，生成所述检索信息集合；

所述第二置乱函数，与对所述用户标识进行动态置乱所应用的第一置乱函数相对应。

7.根据权利要求1所述的多方的数据安全计算方法，其特征在于，所述对所述第一使用数据集合中的存储置乱标识集合进行归一化置乱，得到携带有归一化标识的第二使用数据集合，包括：

基于第三置乱函数，对所述计算要求中的目标用户标识进行归一化置乱，得到归一化标识；

将所述第一使用数据集合中的目标存储置乱标识替换为所述归一化标识，得到所述第二使用数据集合。

8.根据权利要求1所述的多方的数据安全计算方法，其特征在于，所述将第二使用数据集合发送到计算装置进行计算，包括：

基于第五密码方案，对所述第二使用数据集合进行加密，并将加密形式的第二使用数据集合发送到所述计算装置，以使所述计算装置基于第六密码方案对所述加密形式的第二使用数据集合解密之后进行计算。

9.根据权利要求1所述的多方的数据安全计算方法，其特征在于，所述将第二使用数据集合发送到计算装置进行计算，之后还包括：

接收所述计算装置返回的携带有归一化标识的第三使用数据集合；

将所述第三使用数据集合中的所述归一化标识替换为对应的目标用户标识，得到第四使用数据集合。

10.根据权利要求9所述的多方的数据安全计算方法，其特征在于，所述接收所述计算装置返回的携带有归一化标识的第三使用数据集合，包括：

接收加密形式的第三使用数据集合，所述加密形式的第三使用数据集合是所述计算装置基于第七密码方案对所述第三使用数据集合进行加密后返回的；

基于第八密码方案对所述加密形式的第三使用数据集合进行解密，得到所述第三使用数据集合，所述第七密码方案与所述第八密码方案对应。

11.根据权利要求1至10中任一项所述的多方的数据安全计算方法，其特征在于，还包括：

接收数据提供方发送的删除触发条件和/或删除通知；

执行所述删除触发条件和/或删除通知所指示的使用数据的删除操作；

或者，执行所述删除触发条件和/或删除通知所指示的使用数据及其相关数据的删除操作。

12.根据权利要求1至10中任一项所述的多方的数据安全计算方法，其特征在于，还包括：

生成在完成所述计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱、操作验证中的至少一种过程中的存证集合；

所述操作验证中的操作包括但不限于：计算要求、检索信息、交换数据、使用数据、存储数据、删除数据、动态置乱、归一化置乱。

13.根据权利要求12所述的多方的数据安全计算方法，其特征在于，还包括：

接收数据提供方发送的验证请求，并返回所述验证请求对应存证集合的验证响应。

14.一种多方的数据安全计算装置，其特征在于，包括：

信息生成单元，用于基于计算要求，生成检索信息集合，所述计算要求携带有计算所需的目标用户标识，所述检索信息集合携带有所述目标用户标识对应的目标存储置乱标识集合，所述目标存储置乱标识集合中的目标存储置乱标识不同；

数据提取单元，用于将所述检索信息集合发送到数据存储装置，以请求所述数据存储装置从存储数据中提取并返回携带所述目标存储置乱标识的第一使用数据集合，所述存储数据包括携带存储置乱标识的使用数据，所述存储置乱标识是对用户标识进行动态置乱得到的；

数据计算单元，用于对所述第一使用数据集合中目标存储置乱标识进行归一化置乱，得到携带有归一化标识的第二使用数据集合，将第二使用数据集合发送到计算装置进行计算。

15.一种电子设备，包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至13任一项所述的多方的数据安全计算方法。

16.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至13任一项所述的多方的数据安全计算方法。

Images