CN114969832A

CN114969832A - 一种基于无服务器架构的隐私数据管理方法和系统

Info

Publication number: CN114969832A
Application number: CN202210901546.9A
Authority: CN
Inventors: 邢炬; 左磊
Original assignee: Tianju Dihe Suzhou Technology Co ltd
Current assignee: Tianju Dihe Suzhou Technology Co ltd
Priority date: 2022-07-28
Filing date: 2022-07-28
Publication date: 2022-08-30
Anticipated expiration: 2042-07-28
Also published as: CN114969832B; CN115630392A

Abstract

本发明公开了一种基于无服务器架构的隐私数据管理方法和系统，涉及计算机技术领域。该方法的一具体实施方式包括：接收上游计算服务应用发送的服务请求；根据所述服务请求中目标计算服务应用的标识，确定所述服务请求对应的目标生命周期规则；将添加有所述目标生命周期规则的服务请求路由至所述目标计算服务应用，以使所述目标计算服务应用将所述服务请求中的目标隐私数据存储至内存中，在所述内存的数据满足所述目标生命周期规则时，控制所述目标隐私数据对所述目标计算服务应用的计算逻辑不可见。该实施方式基于隐私数据所在的内存控制隐私数据的可见性，能够降低性能开销，避免密钥安全性问题，具有较高的管理效率。

Description

一种基于无服务器架构的隐私数据管理方法和系统

技术领域

本发明涉及计算机技术领域，尤其涉及一种基于无服务器架构的隐私数据管理方法和系统。

背景技术

近年来，云计算技术快速发展，各类应用能够在云中为用户提供便捷的在线数据服务。无服务器架构作为云计算的新型范式，一方面极大地降低了应用开发者的开发和维护成本，另一方面也提高了云计算提供方对云资源的利用率，逐渐成为了在线数据服务构建的重要技术选型。在享受这些服务带来便利的同时，用户的隐私数据却存在泄露的风险。因此，如何在无服务器架构下持续保障隐私数据的安全成为了一个重要问题。

现有方法基于密码学对隐私数据进行加密，通过对密钥可见性的管理达到对隐私数据生命周期的管理，利用秘密共享技术对密钥进行分布式散列存储。

但是，该方法需要基于密码学对隐私数据进行动态加解密，性能开销较大，且密钥管理面临安全性问题。

发明内容

有鉴于此，本发明实施例提供一种基于无服务器架构的隐私数据管理方法和系统，基于隐私数据所在的内存控制隐私数据的可见性，能够降低性能开销，避免密钥安全性问题，具有较高的管理效率。

第一方面，本发明实施例提供了一种基于无服务器架构的隐私数据管理方法，应用于计算网关，包括：

接收上游计算服务应用发送的服务请求；

根据所述服务请求中目标计算服务应用的标识，确定所述服务请求对应的目标生命周期规则；

将添加有所述目标生命周期规则的服务请求路由至所述目标计算服务应用，以使所述目标计算服务应用将所述服务请求中的目标隐私数据存储至内存中，在所述内存的数据满足所述目标生命周期规则时，控制所述目标隐私数据对所述目标计算服务应用的计算逻辑不可见。

第二方面，本发明实施例提供了一种基于无服务器架构的隐私数据管理方法，应用于目标计算服务应用，包括：

接收计算网关发送的服务请求；

将所述服务请求中的目标隐私数据存储至内存中；

获取所述内存的数据；

确定所述内存的数据是否满足所述服务请求中的目标生命周期规则，如果满足，则控制所述目标隐私数据对所述目标计算服务应用的计算逻辑不可见；其中，所述目标生命周期规则，由所述计算网关根据上游计算服务应用发送的服务请求中目标计算服务应用的标识确定。

第三方面，本发明实施例提供了一种基于无服务器架构的隐私数据管理方法，应用于基于无服务器架构的隐私数据管理系统，包括：

计算网关接收上游计算服务应用发送的服务请求；根据所述服务请求中目标计算服务应用的标识，确定所述服务请求对应的目标生命周期规则；将添加有所述目标生命周期规则的服务请求路由至所述目标计算服务应用；

所述目标计算服务应用将所述服务请求中的目标隐私数据存储至内存中；获取所述内存的数据；确定所述内存的数据是否满足所述服务请求中的目标生命周期规则，如果满足，则控制所述目标隐私数据对所述目标计算服务应用的计算逻辑不可见。

第四方面，本发明实施例提供了一种计算网关，包括：

接收模块，配置为接收上游计算服务应用发送的服务请求；

确定模块，配置为根据所述服务请求中目标计算服务应用的标识，确定所述服务请求对应的目标生命周期规则；

请求路由模块，配置为将添加有所述目标生命周期规则的服务请求路由至所述目标计算服务应用，以使所述目标计算服务应用将所述服务请求中的目标隐私数据存储至内存中，在所述内存的数据满足所述目标生命周期规则时，控制所述目标隐私数据对所述目标计算服务应用的计算逻辑不可见。

第五方面，本发明实施例提供了一种目标计算服务应用，包括：请求处理器、服务实例和策略执行器；所述服务实例包括：计算逻辑和语言解释器；

所述请求处理器，配置为接收计算网关发送的服务请求；将所述服务请求中的目标隐私数据存储至内存中；

所述语言解释器，配置为基于内置的读写监控模块获取所述内存的数据；

所述策略执行器，配置为确定所述内存的数据是否满足所述服务请求中的目标生命周期规则，如果满足，则控制所述目标隐私数据对所述计算逻辑不可见；

其中，所述目标生命周期规则，由所述计算网关根据上游计算服务应用发送的服务请求中目标计算服务应用的标识确定。

第六方面，本发明实施例提供了一种基于无服务器架构的隐私数据管理系统，包括：计算网关和目标计算服务应用；

所述计算网关，用于接收上游计算服务应用发送的服务请求；根据所述服务请求中目标计算服务应用的标识，确定所述服务请求对应的目标生命周期规则；将添加有所述目标生命周期规则的服务请求路由至所述目标计算服务应用；

所述目标计算服务应用，用于将所述服务请求中的目标隐私数据存储至内存中；获取所述内存的数据；确定所述内存的数据是否满足所述服务请求中的目标生命周期规则，如果满足，则控制所述目标隐私数据对所述目标计算服务应用的计算逻辑不可见。

第七方面，本发明实施例提供了一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如上述任一实施例所述的基于无服务器架构的隐私数据管理方法。

第八方面，本发明实施例提供了一种计算机可读介质，其上存储有计算机程序，所述程序被处理器执行时实现如上述任一实施例所述的基于无服务器架构的隐私数据管理方法。

上述发明中的一个实施例具有如下优点或有益效果：根据目标计算服务应用的标识，确定用于管理目标计算服务应用中隐私数据的目标生命周期规则，目标生命周期规则基于隐私数据所在的内存控制隐私数据的可见性，不依赖于密钥，能够降低性能开销，避免密钥安全性问题，具有较高的管理效率。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是本发明的一个实施例提供的一种应用于计算网关的基于无服务器架构的隐私数据管理方法的流程图；

图2是本发明的一个实施例提供的一种隐私数据的生命周期的示意图；

图3是本发明的一个实施例提供的一种应用于目标计算服务应用的基于无服务器架构的隐私数据管理方法的流程图；

图4是本发明的一个实施例提供的一种应用于基于无服务器架构的隐私数据管理系统的基于无服务器架构的隐私数据管理方法的流程图；

图5是本发明的一个实施例提供的一种计算网关的示意图；

图6是本发明的一个实施例提供的一种目标计算服务应用的示意图；

图7是本发明的一个实施例提供的一种基于无服务器架构的隐私数据管理系统的示意图；

图8是本发明的另一个实施例提供的一种应用于基于无服务器架构的隐私数据管理系统的基于无服务器架构的隐私数据管理方法的流程图；

图9是本发明的另一个实施例提供的一种基于无服务器架构的隐私数据管理系统示意图；

图10是本发明的另一个实施例提供的一种计算网关的示意图；

图11是本发明的另一个实施例提供的一种目标计算服务应用的示意图；

图12是本发明的一个实施例提供的一种链路图；

图13是适于用来实现本发明实施例的终端设备或服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

现有的隐私数据管理方法包括以下四种：

方法1：基于动态污点跟踪和规则执行

针对应用运行的底层软硬件（如处理器、虚拟机）进行污点传播和控制规则的设计，进而对运算过程中可能产生的隐私数据泄露进行阻断，达到控制隐私数据生命周期的目的。

但是，该方法需要进行指令级别的实时跟踪和判断，性能开销较大，不适合在实际场景中应用。

方法2：基于静态污点跟踪和控制代码植入

针对应用进行源码层面的分析，对计算过程中可能出现隐私泄露的代码路径进行标记和加固，从而在实际执行过程中避免隐私数据的泄露，进而达到控制隐私数据生命周期的目的。

但是，该方法需要对程序源码的静态逻辑进行分析，预处理开销高，且将源程序整体视为白盒降低了源码资产的私密性。

方法3：基于层级化软件接口数据清理

在承载应用的软件栈（虚拟机、容器或操作系统等）各层针对关键的软件层调用（如数据清理、内存回收释放等）进行数据清理。该类数据清理不对数据的隐私性进行判别，进而达到控制数据生命周期的目的。

但是，该方法需要修改软件栈中处理隐私数据的各层接口，存在冗余问题，且由于接口对数据的隐私性无感，因此，管理准确性会受到极大影响。

方法4：基于密码学协议和密钥管理

基于密码学对隐私数据进行加密，通过对密钥可见性的管理达到对隐私数据生命周期的管理，利用秘密共享技术对密钥进行分布式散列存储。

鉴于此，如图1所示，本发明实施例提供了一种基于无服务器架构的隐私数据管理方法，应用于计算网关，包括：

步骤101：接收上游计算服务应用发送的服务请求。

云端应用为用户提供服务时，通常需要多个计算服务应用协同工作，这些计算服务应用构成一条调用路径，上游计算服务应用会将得到的计算结果（即隐私数据）发送给下游计算服务应用进行计算。因此，下游计算服务应用需要对上游计算服务应用传入的隐私数据进行生命周期的管理。

步骤102：根据服务请求中目标计算服务应用的标识，确定服务请求对应的目标生命周期规则。

预先存储与计算服务应用的标识对应的生命周期规则，生命周期规则可以保存在缓存中，还可以保存在其他存储区域。

本发明实施例基于隐私数据计算相关的空间特性对隐私数据的生命周期进行定义。如图2所示，给定隐私数据D以及使用该隐私数据的计算服务应用S（图2中计算服务），时间轴t与S的计算进程相对应。当隐私数据D经过计算成为D*，且S的后续计算均不依赖D时，隐私数据D被认为已到达其生命周期。其中，D→D*对应的程序空间中的程序片段P被称为隐私数据D在计算服务应用S中的强相关路径。强相关路径由计算服务应用提供方确定。

计算服务应用提供方在所属的云计算提供方处进行隐私数据强相关路径的注册，具体地，计算服务应用提供方以程序字节码方式提交注册。云计算提供方对强相关路径进行访存行为侧写，形成与计算服务应用对应的生命周期规则。

考虑到一个计算服务应用可能对应多种数据规格，计算服务应用提供方还可以向云计算提供方提交与强相关路径对应的数据规格。云计算提供方对强相关路径进行访存行为侧写，形成与计算服务应用和数据规格对应的生命周期规则。数据规格包括数据的大小、类型等。

步骤103：将添加有目标生命周期规则的服务请求路由至目标计算服务应用。

目标计算服务应用将服务请求中的目标隐私数据存储至内存中，在内存的数据满足目标生命周期规则时，控制目标隐私数据对目标计算服务应用的计算逻辑不可见。

本发明实施例根据目标计算服务应用的标识，确定用于管理目标计算服务应用中隐私数据的目标生命周期规则，目标生命周期规则基于隐私数据所在的内存控制隐私数据的可见性，不依赖于密钥，能够降低性能开销，避免密钥安全性问题，具有较高的管理效率。

另外，本发明实施例提出的生命周期管理规则只需要计算服务提供与隐私数据相关片段的底层代码（如字节码），整体效率较高，安全敞口较小。基于空间的生命周期管理规则在实施时的判断指标维度较少，加上基于硬件特性的隐私数据可见性控制方式，整体效率较高。

在本发明的一个实施例中，根据服务请求中目标计算服务应用的标识，确定服务请求对应的目标生命周期规则，包括：

根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询，得到服务请求对应的目标生命周期规则；

元信息管理模块中存储与计算服务应用的标识和数据规格对应的生命周期规则。

在本发明实施例，通过元信息管理模块存储生命周期规则，相比于计算网关的缓存，其能够提供更大的存储空间，降低对计算网关资源的占用。

在本发明的一个实施例中，在根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询之前，进一步包括：

根据目标计算服务应用的标识和目标数据规格，查询计算网关的缓存中是否存在目标生命周期规则，如果存在，执行将添加有目标生命周期规则的服务请求路由至目标计算服务应用，否则，执行根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询；

在得到服务请求对应的目标生命周期规则之后，进一步包括：

将目标生命周期规则、目标计算服务应用的标识和目标数据规格对应存储到缓存中。

通过本发明实施例，可以将计算过程中使用过的生命周期规则存储至计算网关的缓存中，提高隐私数据的管理效率。

在本发明的一个实施例中，该方法还包括：

如果服务请求中包括目标数据规格，则执行根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询，否则，终止当前流程。

本发明基于数据规格判断是否在计算服务应用中启动隐私数据的生命周期管理，如果对隐私数据安全性要求较高，可以在服务请求中添加数据规格，以触发生命周期管理，如果对隐私数据安全性要求较低，可以不启动生命周期管理。因此，本发明实施例可以应用于不同的业务场景。

如图3所示，本发明实施例提供了一种基于无服务器架构的隐私数据管理方法，应用于目标计算服务应用，包括：

步骤301：接收计算网关发送的服务请求。

步骤302：将服务请求中的目标隐私数据存储至内存中。

步骤303：获取内存的数据。

内存的数据可以为内存的读写数据、容量数据等。例如，计算逻辑从内存中读取隐私数据的次数。

步骤304：确定内存的数据是否满足服务请求中的目标生命周期规则，如果满足，执行步骤305，否则，间隔一段时间后执行步骤303。

目标计算服务应用可以按照预设的周期获取内存的数据，以确定是否需要对隐私数据进行生命周期管理。

步骤305：控制目标隐私数据对目标计算服务应用的计算逻辑不可见。

其中，目标生命周期规则，由计算网关根据上游计算服务应用发送的服务请求中目标计算服务应用的标识确定。对计算逻辑不可见后，计算逻辑无法再访问隐私数据，能够防止隐私数据被滥用。

本发明实施例基于隐私数据所在的内存控制隐私数据的可见性，不依赖于密钥，能够降低性能开销，避免密钥安全性问题，具有较高的管理效率。

在本发明实施例中，将服务请求中的目标隐私数据存储至内存中，包括：

将服务请求中的目标隐私数据存储至隐私数据内存页；

获取内存的数据，包括：

获取隐私数据内存页的数据和其他内存页的数据；

目标生命周期规则，包括：

隐私数据内存页的数据在第一阈值范围内，且其他内存页的数据在第二阈值范围内。

本发明实施例将隐私数据与其他数据分别存储，隐私数据被存储在访问权限可编辑的隐私数据内存页，计算服务应用产生的其他数据可以存储在其他内存页中。隐私数据内存页可以基于芯片提供的内存页面隔离功能实现。相比于在同一个内存中存储，本发明实施例采用的内存隔离方式能够提高管理效率和准确度。另外，本发明实施例不仅考虑隐私数据内存页的数据，还考虑了其他内存页的数据，能够提高管理的精确性。

在本发明的一个实施例中，内存的数据包括一下任意一种或多种：

计算逻辑对隐私数据内存页的读次数和/或读容量，计算逻辑对其他内存页的写次数和/或写容量，在每一次访问隐私数据内存页后，计算逻辑对其他内存页的写次数和/或写容量。

例如，内存的数据为计算逻辑对隐私数据内存页的读次数，生命周期规则为计算逻辑对隐私数据内存页的读次数大于10。

在本发明的一个实施例中，该方法还包括：

根据隐私数据，获得计算结果；

通过计算网关，向下游计算服务应用发送目标服务请求；目标服务请求中包括：计算结果和下游计算服务应用的标识。

在本发明实施例中，下游计算服务应用可以自动开启隐私数据的生命周期管理，还可以通过目标服务请求中携带的数据规格等其他标识，开启隐私数据的生命周期管理。例如，目标计算服务应用在目标服务请求中添加目标数据规格。本发明实施例可以根据业务需求，确定是否启动对于隐私数据的生命周期管理。

在本发明的一个实施例中，服务请求中还包括：目标隐私数据的标识；

该方法还包括：

根据目标隐私数据的标识、目标隐私数据的标识对应的多个计算服务应用的标识、计算服务应用的标识对应的生命周期规则及其确定结果，生成调用路径的链路图；

其中，多个计算服务应用均在调用路径上。

鉴于调用路径可能涉及多个计算服务应用，本发明实施例将隐私数据的标识等信息展示在链路图中，通过链路图，用户可以更加直接地查看各条调用路径中计算服务应用的生命周期管理结果。生命周期管理结果即上述确定结果，表征内存的数据是否满足生命周期规则。用户可以通过链路图查看各个计算服务应用是否违规使用隐私数据，进一步提高隐私数据的安全性。

在本发明实施例中，目标计算服务应用与上游计算服务应用分别属于不同的云服务提供方。

本发明实施例适用于跨域场景下的隐私数据保护。需要说明的是，调用路径中的计算服务应用可以对应同一个云计算提供方，即计算服务应用运行在同一个云中，还可以对应不同的云计算提供方，即计算服务应用运行在不同的云中，计算服务应用跨域交互。

如图4所示，本发明实施例提供了一种基于无服务器架构的隐私数据管理方法，应用于基于无服务器架构的隐私数据管理系统，包括：

步骤401：计算网关接收上游计算服务应用发送的服务请求。

步骤402：根据服务请求中目标计算服务应用的标识，确定服务请求对应的目标生命周期规则。

步骤403：将添加有目标生命周期规则的服务请求路由至目标计算服务应用。

步骤404：目标计算服务应用将服务请求中的目标隐私数据存储至内存中。

步骤405：获取内存的数据。

步骤406：确定内存的数据是否满足服务请求中的目标生命周期规则，如果满足，则控制目标隐私数据对目标计算服务应用的计算逻辑不可见，否则，执行步骤405。

关于计算网关和目标计算服务应用的描述参见上述实施例，以下实施例不再赘述。本发明实施例由计算网关根据目标计算服务应用的标识，确定目标计算服务应用管理隐私数据采用的规则，进而使目标计算服务应用基于隐私数据所在的内存控制隐私数据的可见性，提高隐私数据管理效率。

如图5所示，本发明实施例提供了一种计算网关，包括：

接收模块501，配置为接收上游计算服务应用发送的服务请求；

确定模块502，配置为根据服务请求中目标计算服务应用的标识，确定服务请求对应的目标生命周期规则；

请求路由模块503，配置为将添加有目标生命周期规则的服务请求路由至目标计算服务应用，以使目标计算服务应用将服务请求中的目标隐私数据存储至内存中，在内存的数据满足目标生命周期规则时，控制目标隐私数据对目标计算服务应用的计算逻辑不可见。

在本发明的一个实施例中，确定模块502，配置为根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询，得到服务请求对应的目标生命周期规则；元信息管理模块中存储与计算服务应用的标识和数据规格对应的生命周期规则。

在本发明的一个实施例中，确定模块502，配置为根据目标计算服务应用的标识和目标数据规格，查询计算网关的缓存中是否存在目标生命周期规则，如果存在，执行将添加有目标生命周期规则的服务请求路由至目标计算服务应用，否则，执行根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询；将目标生命周期规则、目标计算服务应用的标识和目标数据规格对应存储到缓存中。

在本发明的一个实施例中，确定模块502，配置为如果服务请求中包括目标数据规格，则执行根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询，否则，终止当前流程。

如图6所示，本发明实施例提供了一种目标计算服务应用，包括：请求处理器601、服务实例602和策略执行器603；服务实例包括：计算逻辑6021和语言解释器6022；

请求处理器601，配置为接收计算网关发送的服务请求；将服务请求中的目标隐私数据存储至内存中；

语言解释器6022，配置为基于内置的读写监控模块获取内存的数据；

策略执行器603，配置为确定内存的数据是否满足服务请求中的目标生命周期规则，如果满足，则控制目标隐私数据对计算逻辑6021不可见；

其中，目标生命周期规则，由计算网关根据上游计算服务应用发送的服务请求中目标计算服务应用的标识确定。

在本发明的一个实施例中，请求处理器601，配置为将服务请求中的目标隐私数据存储至隐私数据内存页；

语言解释器6022，配置为基于内置的读写监控模块获取隐私数据内存页的数据和其他内存页的数据；

目标生命周期规则，包括：

在本发明的一个实施例中，计算逻辑6021，配置为根据隐私数据，获得计算结果；请求处理器601，配置为通过计算网关，向下游计算服务应用发送目标服务请求；目标服务请求中包括：计算结果和下游计算服务应用的标识。

目标计算服务应用还包括：审计模块；

审计模块，配置为根据目标隐私数据的标识、目标隐私数据的标识对应的多个计算服务应用的标识、计算服务应用的标识对应的生命周期规则及其确定结果，生成调用路径的链路图；

其中，多个计算服务应用均在调用路径上。

在实际应用场景中，审计模块可以位于每个计算服务应用中，多个计算服务应用还可以共用一个审计模块。

在本发明的一个实施例中，目标计算服务应用与上游计算服务应用分别属于不同的云服务提供方。

如图7，本发明实施例提供了一种基于无服务器架构的隐私数据管理系统，包括：计算网关701和目标计算服务应用702；

计算网关701，用于接收上游计算服务应用发送的服务请求；根据服务请求中目标计算服务应用的标识，确定服务请求对应的目标生命周期规则；将添加有目标生命周期规则的服务请求路由至目标计算服务应用702；

目标计算服务应用702，用于将服务请求中的目标隐私数据存储至内存中；获取内存的数据；确定内存的数据是否满足服务请求中的目标生命周期规则，如果满足，则控制目标隐私数据对目标计算服务应用的计算逻辑不可见。

需要说明的是，隐私数据管理系统中，可以包括多个计算网关和计算服务应用。

如图8所示，本发明实施例提供了一种基于无服务器架构的隐私数据管理方法，包括：

步骤801：计算网关接收上游计算服务应用发送的服务请求。

服务请求中包括：目标隐私数据、目标隐私数据的标识、目标计算服务的标识和目标数据规格。

本发明实施例以图9所示的基于无服务器架构的隐私数据管理系统为例进行说明，该系统包括元信息管理模块、2个计算网关、4个计算服务应用（图9中简称计算服务）和审计模块（即图9中的端到端生命周期审计），其中，计算网关和计算服务应用属于底层设施。需要说明的是，元信息管理模块可以作为系统外的模块，即该系统仅包括计算网关、计算服务应用和审计模块，审计模块可以作为计算服务应用中的内嵌模块，也可以作为独立的模块。

在本发明实施例中，计算服务由4个计算服务应用协作完成。计算服务应用1和2位于云服务提供商1提供的云上，计算服务应用3和4位于云服务提供商2提供的云上。计算服务应用1为入口计算服务应用（简称入口服务），计算服务应用部署在运行时中。需要说明的是，运行时是一种虚拟机，计算服务应用还可以在其他虚拟机或容器中运行。

元信息管理模块中存储与计算服务应用的标识和数据规则对应的生命周期规则。如图9中所示，计算服务应用1存在三种数据规格，为spec1、spec2、spec3，这三种数据规格分别对应一种生命周期规则，分别为rule1、rule2、rule3。

例如，一个面向图片处理的计算服务应用，其允许的数据规格包括：规格1：JPEG,20kB-50kB；规格2：PNG, 50kB-80kB。元信息管理模块中分别存储与规格1、规格2对应的生命周期规则。

本发明实施例的计算服务应用为内存型在线计算应用，基于对强相关路径中内存访问行为的量化来制定隐私数据的生命周期规则，生命周期规则支持如表1所示几类语义，也就是说，内存的数据包括：计算逻辑对隐私数据内存页的读次数和读容量，计算逻辑对其他内存页的写次数和写容量，在每一次访问隐私数据内存页后，计算逻辑对其他内存页的写次数和写容量。

表1 生命周期管理规则的形式及其说明

步骤802：当服务请求中存在目标数据规格时，计算网关根据目标计算服务应用的标识和目标数据规格，查询计算网关的缓存中是否存在目标生命周期规则，当缓存中存在目标生命周期规则时，执行步骤804，否则，执行步骤803。

步骤803：计算网关根据服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询，得到服务请求对应的目标生命周期规则，将目标生命周期规则、目标计算服务应用的标识和目标数据规格对应存储到缓存中。

如图10所示，srv_m用于表征上游计算服务应用（图10中简称上游计算服务），srv_n用于表征下游计算服务应用（图10中简称下游计算服务），计算网关（即图10中无服务计算网关）的缓存中保存热点规则，即使用过的生命周期管理规则，隐私数据生命周期规则库位于元信息管理模块，规则库中存储的是非热点规则。规则库中存储的生命周期规则还可以与隐私数据的标识和数据规格对应，并不局限于前述提到的存储方式，类似地，缓存中的生命周期规则还可以与隐私数据的标识和计算服务应用的标识对应。

隐私数据的标识由入口服务生成，如图9中所示，计算服务应用1作为入口服务，为隐私数据生成对应的标识，计算服务应用1将获得的计算结果通过计算网关发送给计算服务应用2，计算结果则作为计算服务应用2需要管理的隐私数据。隐私数据的标识随着服务请求流转，即同一个调用路径中的计算服务应用具有相同的隐私数据的标识。

步骤804：计算网关将添加有目标生命周期规则的服务请求路由至目标计算服务应用。

步骤805：请求处理器接收计算网关发送的服务请求，将服务请求中的目标隐私数据存储至隐私数据内存页。

步骤806：语言解释器基于内置的读写监控模块获取隐私数据内存页的数据和其他内存页的数据。

步骤807：策略执行器确定内存的数据是否满足服务请求中的目标生命周期规则，如果满足，执行步骤808，否则，间隔预设时间段后执行步骤806。

步骤808：控制目标隐私数据对目标计算服务应用的计算逻辑不可见。

如图11所示，请求处理器接收计算服务请求（即服务请求），将服务请求中的目标隐私数据存储至隐私数据内存页，将目标生命周期管理规则载入策略执行器。访问权限可编辑内存页即为隐私内存页，普通内存页即为其他内存页。读写监控模块可以监控得到隐私内存页和其他内存页的数据，策略执行器可以从读写监控模块中获取内存的数据，并将内存的数据与目标生命周期规则中的相应阈值进行对比，已确定隐私数据的生命周期是否终止，如果终止，则关闭对隐私数据的调用，即控制隐私数据对计算逻辑不可见。计算服务应用运行在运行时环境中。

具体地，可以通过图11中计算逻辑与隐私内存页之间的开关进行控制，打开数据显式申请，则隐私数据对计算逻辑可见，否则，对计算逻辑不可见。图11中的隐私数据存储抽象提供计算逻辑访问隐私数据的入口。计算逻辑可以通过表2所示的接口对隐私数据进行访问。读写监控模块可以通过监控读写指令，获得内存的数据。如表3所示，是Python的语言解释器中的相关指令。读写监控模块还可以记录计算失败或不满足生命周期管理规则的情况，以便于后续用户对计算服务进行审计和分析。

策略执行器和服务实例位于不同的进程空间，能够避免恶意的计算服务侵扰。

表2 调用接口及其功能

表3 内存读写指令

步骤809：计算逻辑根据隐私数据，获得计算结果。

计算逻辑在获取计算结果的过程中，可能多次访问隐私数据，本发明实施例通过生命周期管理规则防止隐私数据在此过程中被滥用。

步骤810：请求处理器通过计算网关，向下游计算服务应用发送目标服务请求；目标服务请求中包括：计算结果和下游计算服务应用的标识。

步骤811：审计模块根据目标隐私数据的标识、目标隐私数据的标识对应的多个计算服务应用的标识、计算服务应用的标识对应的生命周期规则及其确定结果，生成调用路径的链路图，展示模块展示链路图。

审计模块可以在一条调用路径完成后，生成链路图，也可以在计算服务执行过程中生成链路图。通过链路图，用户可以直观地查看各个计算服务应用是否发生不满足生命周期管理规则的情况。如图12所示。是一种链路图，图中展示了两条调用路径，每一条对应一个隐私数据的标识，即，0x3ec5、0x3ec6。上面一条调用路径包括4个计算服务应用，下面一条调用路径包括3个计算服务应用。每个计算服务应用阶段下面展示管理隐私数据使用的生命周期管理规则。链路图中还展示了生命周期管理异常情况。

本发明结合空间特征确定隐私数据的生命周期规则，将隐私数据的生命周期管理从计算服务应用中显式剥离，同时结合系统设计将其下沉为云计算基础设施提供的底层通用能力。通过链式的隐私数据生命周期管理，为隐私数据服务提供了端到端的安全防护，并且用户可以根据隐私数据的标识获取到隐私数据的生命周期管理情况，极大提高了管理过程的可解释性和可存证性。计算服务应用利用芯片提供的内存页面隔离特性，能够快速地切换计算逻辑对隐私数据的访问权限，使得生命管理周期特性的引入对计算服务的运行影响较小。

本发明实施例提供了一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上述任一实施例的基于无服务器架构的隐私数据管理方法。

本发明实施例提供了一种计算机可读介质，其上存储有计算机程序，程序被处理器执行时实现如上述任一实施例的基于无服务器架构的隐私数据管理方法。

下面参考图13，其示出了适于用来实现本发明实施例的终端设备的计算机系统1300的结构示意图。图13示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图13所示，计算机系统1300包括中央处理单元（CPU）1301，其可以根据存储在只读存储器（ROM）1302中的程序或者从存储部分1308加载到随机访问存储器（RAM）1303中的程序而执行各种适当的动作和处理。在RAM 1303中，还存储有系统1300操作所需的各种程序和数据。CPU 1301、ROM 1302以及RAM 1303通过总线1304彼此相连。输入/输出（I/O）接口1305也连接至总线1304。

以下部件连接至I/O接口1305：包括键盘、鼠标等的输入部分1306；包括诸如阴极射线管（CRT）、液晶显示器（LCD）等以及扬声器等的输出部分1307；包括硬盘等的存储部分1308；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分1309。通信部分1309经由诸如因特网的网络执行通信处理。驱动器1310也根据需要连接至I/O接口1305。可拆卸介质1311，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器1310上，以便于从其上读出的计算机程序根据需要被安装入存储部分1308。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分1309从网络上被下载和安装，和/或从可拆卸介质1311被安装。在该计算机程序被中央处理单元（CPU）1301执行时，执行本发明的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括发送模块、获取模块、确定模块和第一处理模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，发送模块还可以被描述为“向所连接的服务端发送图片获取请求的模块”。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims

1.一种基于无服务器架构的隐私数据管理方法，其特征在于，应用于计算网关，包括：

接收上游计算服务应用发送的服务请求；

2.如权利要求1所述的方法，其特征在于，

根据所述服务请求中目标计算服务应用的标识，确定所述服务请求对应的目标生命周期规则，包括：

根据所述服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询，得到所述服务请求对应的目标生命周期规则；

所述元信息管理模块中存储与计算服务应用的标识和数据规格对应的生命周期规则。

3.如权利要求2所述的方法，其特征在于，

在所述根据所述服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询之前，进一步包括：

根据所述目标计算服务应用的标识和所述目标数据规格，查询所述计算网关的缓存中是否存在所述目标生命周期规则，如果存在，执行所述将添加有所述目标生命周期规则的服务请求路由至所述目标计算服务应用，否则，执行所述根据所述服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询；

在所述得到所述服务请求对应的目标生命周期规则之后，进一步包括：

将所述目标生命周期规则、所述目标计算服务应用的标识和所述目标数据规格对应存储到所述缓存中。

4.如权利要求2或3所述的方法，其特征在于，进一步包括：

如果所述服务请求中包括所述目标数据规格，则执行所述根据所述服务请求中目标计算服务应用的标识和目标数据规格，在元信息管理模块中进行查询，否则，终止当前流程。

5.一种基于无服务器架构的隐私数据管理方法，其特征在于，应用于目标计算服务应用，包括：

接收计算网关发送的服务请求；

将所述服务请求中的目标隐私数据存储至内存中；

获取所述内存的数据；

6.如权利要求5所述的方法，其特征在于，

将所述服务请求中的目标隐私数据存储至内存中，包括：

将所述服务请求中的目标隐私数据存储至隐私数据内存页；

获取所述内存的数据，包括：

获取所述隐私数据内存页的数据和其他内存页的数据；

所述目标生命周期规则，包括：

所述隐私数据内存页的数据在第一阈值范围内，且所述其他内存页的数据在第二阈值范围内。

7.如权利要求6所述的方法，其特征在于，

所述内存的数据包括一下任意一种或多种：

所述计算逻辑对所述隐私数据内存页的读次数和/或读容量，所述计算逻辑对其他内存页的写次数和/或写容量，在每一次访问所述隐私数据内存页后，所述计算逻辑对其他内存页的写次数和/或写容量。

8.如权利要求5所述的方法，其特征在于，进一步包括：

根据所述隐私数据，获得计算结果；

通过所述计算网关，向下游计算服务应用发送目标服务请求；所述目标服务请求中包括：所述计算结果和所述下游计算服务应用的标识。

9.如权利要求5所述的方法，其特征在于，

所述服务请求中还包括：所述目标隐私数据的标识；

该方法进一步包括：

根据所述目标隐私数据的标识、所述目标隐私数据的标识对应的多个计算服务应用的标识、所述计算服务应用的标识对应的生命周期规则及其确定结果，生成调用路径的链路图；

其中，所述多个计算服务应用均在所述调用路径上。

10.如权利要求5所述的方法，其特征在于，

所述目标计算服务应用与所述上游计算服务应用分别属于不同的云服务提供方。

11.一种基于无服务器架构的隐私数据管理方法，其特征在于，应用于基于无服务器架构的隐私数据管理系统，包括：

12.一种计算网关，其特征在于，包括：

接收模块，配置为接收上游计算服务应用发送的服务请求；

13.一种目标计算服务应用，其特征在于，包括：请求处理器、服务实例和策略执行器；所述服务实例包括：计算逻辑和语言解释器；

14.一种基于无服务器架构的隐私数据管理系统，其特征在于，包括：计算网关和目标计算服务应用；

15.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-10中任一所述的方法。

16.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-10中任一所述的方法。