CN115269880B - 一种基于知识图谱的隐私计算审计方法和装置 - Google Patents

Abstract

本发明公开了一种基于知识图谱的隐私计算审计方法和装置，涉及隐私计算技术领域。该方法的一具体实施方式包括：获取隐私计算系统的信息；其中，隐私计算系统的信息包括：应用服务信息、服务调用信息和隐私处理服务信息；根据隐私计算系统的信息，确定实体、实体属性和实体关系；根据实体、实体属性和实体关系，构建隐私计算知识图谱；基于隐私计算知识图谱，对隐私计算系统进行审计。该实施方式能够高效地对隐私计算系统进行审计。

Description

一种基于知识图谱的隐私计算审计方法和装置

技术领域

本发明涉及隐私计算技术领域，尤其涉及一种基于知识图谱的隐私计算审计方法和装置。

背景技术

在“数字经济”蓬勃发展的今天，数据要素的安全流通成为了一个重要需求。隐私计算这一新型技术能够有效打通数据孤岛，充分促进数据要素的流动与共享。为了提高隐私数据的安全性，通常需要对隐私计算系统进行审计，以确定隐私计算过程中数据使用是否合规，隐私数据是否存在泄露风险等。而隐私计算技术的本质是用额外的计算和通信来换取安全性，隐私计算系统通常具有较为复杂的构筑或交互流程，对于非技术人员而言，理解难度较高。因此，如何对隐私计算系统进行高效地审计，成为技术人员亟待解决的问题。

发明内容

有鉴于此，本发明实施例提供一种基于知识图谱的隐私计算审计方法和装置，能够高效地对隐私计算系统进行审计。

第一方面，本发明实施例提供了一种基于知识图谱的隐私计算审计方法，包括：

获取隐私计算系统的信息；其中，所述隐私计算系统的信息包括：应用服务信息、服务调用信息和隐私处理服务信息；

根据所述隐私计算系统的信息，确定实体、实体属性和实体关系；

根据所述实体、所述实体属性和所述实体关系，构建隐私计算知识图谱；

基于所述隐私计算知识图谱，对所述隐私计算系统进行审计。

第二方面，本发明实施例提供了一种基于知识图谱的隐私计算审计装置，包括：

获取模块，配置为获取隐私计算系统的信息；其中，所述隐私计算系统的信息包括：应用服务信息、服务调用信息和隐私处理服务信息；

确定模块，配置为根据所述隐私计算系统的信息，确定实体、实体属性和实体关系；

构建模块，配置为根据所述实体、所述实体属性和所述实体关系，构建隐私计算知识图谱；

审计模块，配置为基于所述隐私计算知识图谱，对所述隐私计算系统进行审计。

第三方面，本发明实施例提供了一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如上述任一实施例所述的方法。

第四方面，本发明实施例提供了一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如上述任一实施例所述的方法。

上述发明中的一个实施例具有如下优点或有益效果：基于隐私计算系统的信息构建隐私计算知识图谱，能够深入挖掘数据、隐私处理服务和应用服务等相互之间的语义关联关系，进而对隐私计算系统进行数据合规、数据泄漏风险等更深层次的审计。同时，通过查询隐私计算知识图谱，可以获取各个实体的信息以及实体之间的关系，无需人工逐一对隐私计算系统中各个模块的数据流向进行核对，能够提高审计效率。

上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

附图用于更好地理解本发明，不构成对本发明的不当限定。其中：

图1是本发明的一个实施例提供的一种隐私计算系统的架构图；

图2是本发明的一个实施例提供的一种基于知识图谱的隐私计算审计方法的流程图；

图3是本发明的一个实施例提供的基于多方安全计算得到的隐私计算知识图谱；

图4是本发明的一个实施例提供的基于联邦学习得到的隐私计算知识图谱；

图5是本发明的一个实施例提供的一种基于知识图谱的隐私计算审计装置的结构示意图；

图6是适于用来实现本发明实施例的终端设备或服务器的计算机系统的结构示意图。

具体实施方式

以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

如图1所示，是一种隐私计算系统的架构图，应用服务基于容器的框架和语言运行时运行。容器基于操作系统和硬件资源运行，应用服务可以通过调用隐私处理服务和其他应用服务进行隐私计算，容器网络可以采集与应用服务相关联的流量信息。隐私处理服务可以包括密码学服务、密钥管理服务和数据库服务等。密码学服务用于通过秘密共享等方式，使数据产生隐私性。密钥管理服务用于提供密钥存储服务，数据库服务用于提供数据的存储服务，如存储用于调用密码学服务的数据。

为了防止隐私计算过程中，数据被滥用，通常需要对隐私计算系统进行审计，如，对隐私计算过程的参与方、数据的使用等进行审计，以提高隐私计算系统的安全性。

如图2所示，本发明实施例提供了一种基于知识图谱的隐私计算审计方法，包括：

步骤201：获取隐私计算系统的信息；其中，隐私计算系统的信息包括：应用服务信息、服务调用信息和隐私处理服务信息。

隐私计算系统的信息可以包括隐私计算系统中模块的信息，如应用服务信息、隐私处理模块信息，还可以包括模块之间的交互信息，如服务调用信息。服务调用信息可以包括应用服务调用其他应用服务的信息，也可以是应用服务调用隐私处理服务的信息。应用服务指的是对隐私数据进行加工利用的服务。

应用服务信息可以包括：应用服务的标识、应用服务的开发方、应用服务的运营方、应用服务的类型，应用服务所在的信息域、应用服务所用的隐私计算后端、应用服务的输入、应用服务的输出、以及应用服务与其他信息域中组织实体交换的数据中任意一种或多种。

信息域指的是应用服务所在的管辖主体，该管辖主体可以为组织实体，如应用服务的运营方或开发方等。参考图3，信息域为org1，其同时也是应用服务的运营方，密钥管理服务、数据库服务均位于信息域org1中。

服务调用信息可以包括：应用服务调用的其他应用服务或隐私处理服务；用于调用其他应用服务或隐私处理服务的数据以及该数据的描述信息，如数据标识、数据量、数据所属的信息域等；密码学服务采用的加密算法。

隐私处理服务信息可以包括：密钥存储的类型及路径，数据存储的路径，隐私处理服务所在的信息域。

步骤202：根据隐私计算系统的信息，确定实体、实体属性和实体关系。

确定的实体可以包括应用服务、隐私处理服务、目标数据和组织实体中任意一种或多种，在实际应用场景中，可以结合具体的审计需求，确定实体。例如，确定的实体包括：应用服务、隐私处理服务、目标数据。

步骤203：根据实体、实体属性和实体关系，构建隐私计算知识图谱。

实体及实体属性构成隐私计算知识图谱的节点，实体关系为连接节点的边，该隐私计算知识图谱为有向图。

步骤204：基于隐私计算知识图谱，对隐私计算系统进行审计。

具体地，可以通过图数据库查询语言查询隐私计算知识图谱，根据查询结果确定隐私计算系统是否符合审计要求。

基于隐私计算系统的信息构建隐私计算知识图谱，能够深入挖掘数据、隐私处理服务和应用服务等相互之间的语义关联关系，进而对隐私计算系统进行数据合规、数据泄漏风险等更深层次的审计。同时，通过查询隐私计算知识图谱，可以获取各个实体的信息以及实体之间的关系，无需人工逐一对隐私计算系统中各个模块的数据流向进行核对，能够提高审计效率。

在本发明的一个实施例中，实体包括：应用服务、隐私处理服务、目标数据和组织实体；

目标数据包括：应用服务的输入数据、应用服务输出的隐私计算结果、用于调用隐私处理服务的数据和调用隐私处理服务得到的加密数据中任意一种或多种；

组织实体包括：目标数据的权属方、应用服务的开发方和应用服务的运营方中任意一种或多种。

本发明实施例重点关注隐私计算系统中的目标数据，即将调用隐私处理服务、应用服务的计算过程作为审计重点。将目标数据与应用服务等作为实体，能够更加深入地挖掘目标数据与应用服务、隐私处理服务和组织实体的关系，提高审计质量。

在本发明的一个实施例中，实体关系包括：应用服务与目标数据之间的关系，应用服务或目标数据与当前信息域中组织实体之间的关系，应用服务与其他信息域中组织实体之间的关系，目标数据之间的关系，目标数据与隐私处理服务之间的关系，以及目标数据与其他信息域中组织实体之间的关系。

本发明实施例通过上述实体关系，可以从数据在当前信息域中的流通、数据在不同信息域之间的流通等维度构建隐私计算知识图谱，以便于从上述多维度，对隐私计算系统进行审计，提高审计质量。当然，在实际应用场景中，可以仅关注数据在当前信息域中的流通，此时，实体关系包括：应用服务与目标数据之间的关系，应用服务或目标数据与当前信息域中组织实体之间的关系，目标数据之间的关系，目标数据与隐私处理服务之间的关系。以下实施例将对实体关系的类型进行具体地描述。

在本发明的一个实施例中，应用服务与目标数据之间的关系，包括：输入数据与应用服务之间的输入关系，和/或，应用服务与隐私计算结果之间的输出关系。

应用服务与目标数据之间的关系可以根据应用服务信息确定。

在本发明的一个实施例中，应用服务与当前信息域中组织实体之间的关系，包括：应用服务与其开发方之间的权属关系，和/或，应用服务与其运营方之间的权属关系。

应用服务与当前信息域中组织实体之间的关系可以根据应用服务信息确定。

在本发明的一个实施例中，应用服务与其他信息域中组织实体之间的关系，包括：应用服务与其他信息域中组织实体的数据交换关系。

应用服务与其他信息域中组织实体之间的关系可以根据应用服务信息确定。

在本发明的一个实施例中，隐私处理服务包括：密码学服务、密钥管理服务和数据库服务中任意一种或多种；

在本发明的一个实施例中，目标数据与当前信息域中组织实体之间的关系，包括：用于调用密码学服务的数据与目标数据的权属方之间的隐私披露必要关系，用于调用密码学服务的数据与目标数据的权属方的权属关系，以及隐私计算结果与目标数据的权属方的权属关系中任意一种或多种。

隐私计算结果与目标数据的权属方的权属关系根据应用服务信息确定。用于调用密码学服务的数据与目标数据的权属方之间的隐私披露必要关系、用于调用密码学服务的数据与目标数据的权属方的权属关系，根据服务调用信息确定。

用于调用密码学服务的数据与目标数据的权属方之间存在隐私披露必要关系，则说明目标数据的权属方是披露用于调用密码学服务的数据的必要条件，也就是说，目标数据的权属方需要与其他参与方结合，才能够披露用于调用密码学服务的数据。用于调用密码学服务的数据和其他信息域中组织实体的隐私披露必要关系，与之类似，此处不再赘述。

在本发明的一个实施例中，目标数据之间的关系，包括：用于调用密码学服务的数据与调用密码学服务得到的加密数据之间的隐私生成关系。

目标数据之间的关系根据服务调用关系确定。调用密码学服务对数据A进行加密，得到加密数据，则数据A与加密数据存在隐私生成关系。

在本发明的一个实施例中，目标数据与隐私处理服务之间的关系，包括：用于调用密码学服务的数据与数据库服务之间的隐私披露充分关系，和/或，隐私计算结果与密钥管理服务之间的隐私披露充分关系。

目标数据与隐私处理服务之间的关系根据服务调用信息确定。用于调用密码学服务的数据与数据库服务之间存在隐私披露充分关系，说明数据库服务可以单独披露用于调用密码学服务的数据，也就是说，数据库服务不需要与其他参与方结合即可披露用于调用密码学服务的数据。隐私计算结果与密钥管理服务之间的隐私披露充分关系，与其类似，此处不再赘述。

在本发明的一个实施例中，目标数据与其他信息域中组织实体之间的关系，包括：用于调用密码学服务的数据和其他信息域中组织实体的隐私披露必要关系，和/或，隐私计算结果与其他信息域中组织实体的权属关系。

用于调用密码学服务的数据和其他信息域中组织实体的隐私披露必要关系，可以根据服务调用信息确定；隐私计算结果与其他信息域中组织实体的权属关系，可以根据应用服务信息确定。

在本发明的一个实施例中，隐私处理服务包括：密码学服务；

组织实体为目标数据的权属方；

实体关系，包括：输入数据与应用服务之间的输入关系，应用服务与隐私计算结果之间的输出关系，应用服务与其他信息域中组织实体的数据交换关系，用于调用密码学服务的数据与目标数据的权属方的权属关系，隐私计算结果与目标数据的权属方的权属关系，以及隐私计算结果与其他信息域中组织实体的权属关系；

基于隐私计算知识图谱，对隐私计算系统进行审计，包括：

基于隐私计算知识图谱中的实体关系，确定当前信息域中的数据是否传输至其他信息域中的限制组织实体。

以Cypher查询语言为例：

MATCH (:entity{name: ‘org1’}) <- [:owned_by] – (b:key_data) –[:service_input|service_exchange] –> (c :service {domain : ‘org_limit’})

WHERE b.name STARTS WITH ‘03a1-39b2’

RETURN b.name, c.name

其中，org_limit为限制组织实体，该查询语句能够查询，有哪些归属于org1且源自03a1-39b2的数据，被传送到其他信息域的org_limit中，如果存在，则返回数据名称和应用服务名称。

本发明实施例可以对数据的合规性进行校验，确定数据是否流入被限制的组织实体中。

在本发明的一个实施例中，隐私处理服务包括：密码学服务、密钥管理服务和数据库服务；

组织实体为目标数据的权属方；

实体关系，包括：输入数据与应用服务之间的输入关系，应用服务与隐私计算结果之间的输出关系，应用服务与其他信息域中组织实体的数据交换关系，用于调用密码学服务的数据与数据库服务之间的隐私披露充分关系，以及隐私计算结果与密钥管理服务之间的隐私披露充分关系；

基于隐私计算知识图谱，对隐私计算系统进行审计，包括：

查询隐私计算知识图谱，以确定是否存在能够独立披露目标数据的其他消息域。

以Cypher查询语言为例：

MATCH (a) -[:recover_suff]-> (:keydata {name: ‘03a1-39b2-03’})

WHERE a.domain NOT ‘org1’

RETURN a.domain

其中，通过该查询语言可以查询能够独立披露“03a1-39b2”这条数据的其他信息域，如果存在，则返回该其他信息域的标识，否则，可以返回不存在满足条件的其他信息域。

通过本发明实施例，可以确定数据在其他信息域中是否存在被独立泄露的风险。

在本发明的一个实施例中，隐私处理服务包括：密码学服务、密钥管理服务和数据库服务；

组织实体为目标数据的权属方；

实体关系，包括：输入数据与应用服务之间的输入关系，应用服务与隐私计算结果之间的输出关系，应用服务与其他信息域中组织实体的数据交换关系，用于调用密码学服务的数据与目标数据的权属方之间的隐私披露必要关系，以及用于调用密码学服务的数据和其他信息域中组织实体的隐私披露必要关系；

基于隐私计算知识图谱，对隐私计算系统进行审计，包括：

查询隐私计算知识图谱，以确定是否存在能够共同披露目标数据的至少两个其他消息域。

即确定是否存在位于不同其他信息域中的至少两个组织实体，能够共同披露目标数据。

以Cypher查询语言为例：

MATCH (a) -[:recover_req]-> (p:keydata {name: ‘03a1-39b2-04’})

WHERE a.domain IN [‘org2’, ‘org3’]

RETURN count(*) >= p.recover_assit

其中，通过该查询语言可以查询，是否存在能够共同披露“03a1-39b2-04”这条数据的“org2”和“org3”，如果存在，则返回披露目标数据需要的组织实体的数量，否则，可以返回不存在满足条件的其他信息域。当然，查询语言也可以仅确定是否存在至少两个其他消息域。

通过本发明实施例，可以确定数据是否存在被其他信息域联合泄露的风险。

在本发明的一个实施例中，隐私计算系统的信息还包括：软件环境信息和硬件环境信息；

实体还包括：软件环境和硬件环境；

实体关系还包括：软件环境与应用服务之间的关系、硬件环境与应用服务之间的关系。

软件环境信息包括：应用服务使用的软件框架、应用服务使用的语言、应用服务使用的容器系统和应用服务的国产化程度中任意一种或多种。

硬件环境信息包括：硬件类型、硬件的架构分类和硬件的国产化程度中任意一种或多种。

通过本发明实施例，可以对应用服务依赖的软件环境和硬件环境进行审计，以确定其是否满足业务要求。如，审计要求包括硬件的国产化程度达到60%。当然，可以仅对软件环境或硬件环境进行审计。

在本发明的一个实施例中，通过表1对实体及实体属性进行进一步说明。

表1 实体及实体属性

在本发明的一个实施例中，通过表2对实体关系进行进一步说明。

表2

在本发明的一个实施例中，org1和org2利用多方安全计算协议，进行隐私集合求交，以org1为被审计方，得到的隐私计算知识图谱如图3所示。在org1本地运行的即为“match_32”这一多方安全计算应用程序，软件环境信息和硬件环境信息通过对操作系统和硬件资源的读取获得，应用程序的开发方等信息通过公开的程序说明信息获得。

密码学服务中的函数基于原始数据3a89-7865进行秘密共享的处理，密码学服务记录了相应的秘密共享参数，以便于后期进行秘密复原关系的推断。为了在知识图谱中表达衍生数据与原始数据的依赖关系，通过秘密共享处理得到的数据id为3a89-7865-01。需要说明的是，可以基于衍生数据与原始数据之间的依赖关系，确定获取到的目标数据的id。

match_32运行在org1的虚拟机、容器或裸机上，容器网络会通过端口号关联应用程序与其对应的网络流量，在隐私计算过程中监控发生的数据交换量，交换的数据内容主要根据match_32这一程序的实现获得。例如，本发明实施例中的交换数据内容 context为多项式运算结果碎片。

match_32运算完成后得到隐私计算结果，即名单交集。match_32通过再次调用密码学服务对名单交集进行128bit强度的AES（Advanced Encryption Standard，高级加密标准）加密，并将密钥存储在sstable数据库中。由于数据库能够独立泄露名单交集，因而，名单交集对sstable产生了依赖recover_suff。同理，原始数据3a89-7865存储在list_table中，也对其产生了依赖recover_suff。由于原始数据3a89-7865以秘密共享的形式分享给了org2，而原始数据依靠org1和org2的碎片拼接才能复原，因此，在隐私计算知识图谱中，原始数据3a89-7865对org1和org2存在依赖recover_req。由于交集名单是双方共有，因此数据3a89-7865-02和org1以及org2都具有权属关系。通过图3的隐私计算知识图谱可以审计3a89-7865及其衍生数据是否流入指定的限制组织实体中。

在本发明的一个实施例中，org1，org2，org3在公有云的TEE环境中进行联邦学习，以org1为被审计方，得到的隐私计算知识图谱如图4所示。软件环境信息和硬件环境信息通过对操作系统和硬件资源的读取获得，应用程序的开发方等信息通过公开的程序说明信息获得。

org1本地的原始数据3b20-7465，在本地的机器学习服务中进行参数的训练，因此，service中的priv_backend为none。训练后，机器学习服务调用密码学服务，将参数以AES算法进行加密后送至TEE环境中进行聚合。密码学服务记录了加密参数和密文数量。加密密钥被存储在sstable中，因此，目标数据3b20-7465-01对sstable产生了依赖。

公有云TEE环境中运行aggregation_11聚合程序，该程序是对收集的参数进行快速聚合后再分发。因此，该服务与其他方在运算过程中交换的数据为参数数据，信息采集系统通过流量关联确定交换数据量。

参数聚合完成后，TEE以非对称加密的形式将聚合结果分发给各参与方。org1的私钥被存储在sstable中，因此，该聚合结果对sstable存在依赖recover_suff。由于聚合参数是三方共有，因此，数据3b20-7465-03和org1、org2以及org3都具有权属关系。

通过图4的隐私计算知识图谱可以审计是否存在能够独立披露3b20-7465的其他信息域。需要说明的是，图3和图4中，密钥管理服务、应用服务和数据库服务均具有消息域标签，该标签还可以以key-value的形式存储在实体节点中。

如图5所示，本发明实施例提供了一种基于知识图谱的隐私计算审计装置，包括：

获取模块501，配置为获取隐私计算系统的信息；其中，隐私计算系统的信息包括：应用服务信息、服务调用信息和隐私处理服务信息；

确定模块502，配置为根据隐私计算系统的信息，确定实体、实体属性和实体关系；

构建模块503，配置为根据实体、实体属性和实体关系，构建隐私计算知识图谱；

审计模块504，配置为基于隐私计算知识图谱，对隐私计算系统进行审计。

在本发明的一个实施例中，实体包括：应用服务、隐私处理服务、目标数据和组织实体；

目标数据包括：应用服务的输入数据、应用服务输出的隐私计算结果、用于调用隐私处理服务的数据和调用隐私处理服务得到的加密数据中任意一种或多种；

组织实体包括：目标数据的权属方、应用服务的开发方和应用服务的运营方中任意一种或多种。

在本发明的一个实施例中，实体关系包括：应用服务与目标数据之间的关系，应用服务或目标数据与当前信息域中组织实体之间的关系，应用服务与其他信息域中组织实体之间的关系，目标数据之间的关系，目标数据与隐私处理服务之间的关系，以及目标数据与其他信息域中组织实体之间的关系。

在本发明的一个实施例中，应用服务与目标数据之间的关系，包括：输入数据与应用服务之间的输入关系，和/或，应用服务与隐私计算结果之间的输出关系；

应用服务与当前信息域中组织实体之间的关系，包括：应用服务与其开发方之间的权属关系，和/或，应用服务与其运营方之间的权属关系；

应用服务与其他信息域中组织实体之间的关系，包括：应用服务与其他信息域中组织实体的数据交换关系。

在本发明的一个实施例中，隐私处理服务包括：密码学服务、密钥管理服务和数据库服务中任意一种或多种；

目标数据与当前信息域中组织实体之间的关系，包括：用于调用密码学服务的数据与目标数据的权属方之间的隐私披露必要关系，用于调用密码学服务的数据与目标数据的权属方的权属关系，以及隐私计算结果与目标数据的权属方的权属关系中任意一种或多种；

目标数据之间的关系，包括：用于调用密码学服务的数据与调用密码学服务得到的加密数据之间的隐私生成关系；

目标数据与隐私处理服务之间的关系，包括：用于调用密码学服务的数据与数据库服务之间的隐私披露充分关系，和/或，隐私计算结果与密钥管理服务之间的隐私披露充分关系；

目标数据与其他信息域中组织实体之间的关系，包括：用于调用密码学服务的数据和其他信息域中组织实体的隐私披露必要关系，和/或，隐私计算结果与其他信息域中组织实体的权属关系。

在本发明的一个实施例中，隐私处理服务包括：密码学服务；

组织实体为目标数据的权属方；

实体关系，包括：输入数据与应用服务之间的输入关系，应用服务与隐私计算结果之间的输出关系，应用服务与其他信息域中组织实体的数据交换关系，用于调用密码学服务的数据与目标数据的权属方的权属关系，隐私计算结果与目标数据的权属方的权属关系，以及隐私计算结果与其他信息域中组织实体的权属关系；

审计模块504，配置为基于隐私计算知识图谱中的实体关系，确定当前信息域中的数据是否传输至其他信息域中的限制组织实体。

在本发明的一个实施例中，隐私处理服务包括：密码学服务、密钥管理服务和数据库服务；

组织实体为目标数据的权属方；

实体关系，包括：输入数据与应用服务之间的输入关系，应用服务与隐私计算结果之间的输出关系，应用服务与其他信息域中组织实体的数据交换关系，用于调用密码学服务的数据与数据库服务之间的隐私披露充分关系，以及隐私计算结果与密钥管理服务之间的隐私披露充分关系；

审计模块504，配置为查询隐私计算知识图谱，以确定是否存在能够独立披露目标数据的其他消息域。

在本发明的一个实施例中，隐私处理服务包括：密码学服务、密钥管理服务和数据库服务；

组织实体为目标数据的权属方；

实体关系，包括：输入数据与应用服务之间的输入关系，应用服务与隐私计算结果之间的输出关系，应用服务与其他信息域中组织实体的数据交换关系，用于调用密码学服务的数据与目标数据的权属方之间的隐私披露必要关系，以及用于调用密码学服务的数据和其他信息域中组织实体的隐私披露必要关系；

审计模块504，配置为查询隐私计算知识图谱，以确定是否存在能够共同披露目标数据的至少两个其他消息域。

在本发明的一个实施例中，隐私计算系统的信息还包括：软件环境信息和硬件环境信息；

实体还包括：软件环境和硬件环境；

实体关系还包括：软件环境与应用服务之间的关系、硬件环境与应用服务之间的关系。

本发明实施例提供了一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当一个或多个程序被一个或多个处理器执行，使得一个或多个处理器实现如上述任一实施例的方法。

本发明实施例提供了一种计算机可读介质，其上存储有计算机程序，其特征在于，程序被处理器执行时实现如上述任一实施例的方法。

下面参考图6，其示出了适于用来实现本发明实施例的终端设备的计算机系统600的结构示意图。图6示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

如图6所示，计算机系统600包括中央处理单元（CPU）601，其可以根据存储在只读存储器（ROM）602中的程序或者从存储部分608加载到随机访问存储器（RAM）603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有系统600操作所需的各种程序和数据。CPU 601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出（I/O）接口605也连接至总线604。

以下部件连接至I/O接口605：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管（CRT）、液晶显示器（LCD）等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。

特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分609从网络上被下载和安装，和/或从可拆卸介质611被安装。在该计算机程序被中央处理单元（CPU）601执行时，执行本发明的系统中限定的上述功能。

需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括发送模块、获取模块、确定模块和第一处理模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，发送模块还可以被描述为“向所连接的服务端发送图片获取请求的模块”。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (11)

1.一种基于知识图谱的隐私计算审计方法，其特征在于，包括：

获取隐私计算系统的信息；其中，所述隐私计算系统的信息包括：应用服务信息、服务调用信息和隐私处理服务信息；

根据所述隐私计算系统的信息，确定实体、实体属性和实体关系；

根据所述实体、所述实体属性和所述实体关系，构建隐私计算知识图谱；

基于所述隐私计算知识图谱，对所述隐私计算系统进行审计；

所述实体包括：应用服务、隐私处理服务、目标数据和组织实体中任意一种或多种；

所述目标数据包括：所述应用服务的输入数据、所述应用服务输出的隐私计算结果、用于调用所述隐私处理服务的数据和调用所述隐私处理服务得到的加密数据中任意一种或多种；

所述组织实体包括：所述目标数据的权属方、所述应用服务的开发方和所述应用服务的运营方中任意一种或多种。

2.如权利要求1所述的方法，其特征在于，

所述实体关系包括：所述应用服务与所述目标数据之间的关系，所述应用服务或所述目标数据与当前信息域中组织实体之间的关系，所述应用服务与其他信息域中组织实体之间的关系，所述目标数据之间的关系，所述目标数据与所述隐私处理服务之间的关系，以及所述目标数据与其他信息域中组织实体之间的关系。

3.如权利要求2所述的方法，其特征在于，

所述应用服务与所述目标数据之间的关系，包括：所述输入数据与所述应用服务之间的输入关系，和/或，所述应用服务与所述隐私计算结果之间的输出关系；

所述应用服务与当前信息域中组织实体之间的关系，包括：所述应用服务与其开发方之间的权属关系，和/或，所述应用服务与其运营方之间的权属关系；

所述应用服务与其他信息域中组织实体之间的关系，包括：所述应用服务与其他信息域中组织实体的数据交换关系。

4.如权利要求3所述的方法，其特征在于，

所述隐私处理服务包括：密码学服务、密钥管理服务和数据库服务中任意一种或多种；

所述目标数据与当前信息域中组织实体之间的关系，包括：用于调用所述密码学服务的数据与所述目标数据的权属方之间的隐私披露必要关系，用于调用所述密码学服务的数据与所述目标数据的权属方的权属关系，以及所述隐私计算结果与所述目标数据的权属方的权属关系中任意一种或多种；

所述目标数据之间的关系，包括：用于调用所述密码学服务的数据与调用所述密码学服务得到的加密数据之间的隐私生成关系；

所述目标数据与所述隐私处理服务之间的关系，包括：用于调用所述密码学服务的数据与所述数据库服务之间的隐私披露充分关系，和/或，所述隐私计算结果与所述密钥管理服务之间的隐私披露充分关系；

所述目标数据与其他信息域中组织实体之间的关系，包括：用于调用所述密码学服务的数据和所述其他信息域中组织实体的隐私披露必要关系，和/或，所述隐私计算结果与所述其他信息域中组织实体的权属关系。

5.如权利要求1所述的方法，其特征在于，

所述隐私处理服务包括：密码学服务；

所述组织实体为所述目标数据的权属方；

所述实体关系，包括：所述输入数据与所述应用服务之间的输入关系，所述应用服务与所述隐私计算结果之间的输出关系，所述应用服务与其他信息域中组织实体的数据交换关系，用于调用所述密码学服务的数据与所述目标数据的权属方的权属关系，所述隐私计算结果与所述目标数据的权属方的权属关系，以及所述隐私计算结果与所述其他信息域中组织实体的权属关系；

基于所述隐私计算知识图谱，对所述隐私计算系统进行审计，包括：

基于所述隐私计算知识图谱中的实体关系，确定当前信息域中的数据是否传输至其他信息域中的限制组织实体。

6.如权利要求1所述的方法，其特征在于，

所述隐私处理服务包括：密码学服务、密钥管理服务和数据库服务；

所述组织实体为所述目标数据的权属方；

所述实体关系，包括：所述输入数据与所述应用服务之间的输入关系，所述应用服务与所述隐私计算结果之间的输出关系，所述应用服务与其他信息域中组织实体的数据交换关系，用于调用所述密码学服务的数据与所述数据库服务之间的隐私披露充分关系，以及所述隐私计算结果与所述密钥管理服务之间的隐私披露充分关系；

基于所述隐私计算知识图谱，对所述隐私计算系统进行审计，包括：

查询所述隐私计算知识图谱，以确定是否存在能够独立披露所述目标数据的其他消息域。

7.如权利要求1所述的方法，其特征在于，

所述隐私处理服务包括：密码学服务、密钥管理服务和数据库服务；

所述组织实体为所述目标数据的权属方；

所述实体关系，包括：所述输入数据与所述应用服务之间的输入关系，所述应用服务与所述隐私计算结果之间的输出关系，所述应用服务与其他信息域中组织实体的数据交换关系，用于调用所述密码学服务的数据与所述目标数据的权属方之间的隐私披露必要关系，以及用于调用所述密码学服务的数据和其他信息域中组织实体的隐私披露必要关系；

基于所述隐私计算知识图谱，对所述隐私计算系统进行审计，包括：

查询所述隐私计算知识图谱，以确定是否存在能够共同披露所述目标数据的至少两个其他消息域。

8.如权利要求2所述的方法，其特征在于，

所述隐私计算系统的信息还包括：软件环境信息和硬件环境信息；

所述实体还包括：软件环境和硬件环境；

所述实体关系还包括：所述软件环境与所述应用服务之间的关系、所述硬件环境与所述应用服务之间的关系。

9.一种基于知识图谱的隐私计算审计装置，其特征在于，包括：

获取模块，配置为获取隐私计算系统的信息；其中，所述隐私计算系统的信息包括：应用服务信息、服务调用信息和隐私处理服务信息；

确定模块，配置为根据所述隐私计算系统的信息，确定实体、实体属性和实体关系；

构建模块，配置为根据所述实体、所述实体属性和所述实体关系，构建隐私计算知识图谱；

审计模块，配置为基于所述隐私计算知识图谱，对所述隐私计算系统进行审计；

所述实体包括：应用服务、隐私处理服务、目标数据和组织实体中任意一种或多种；

所述目标数据包括：所述应用服务的输入数据、所述应用服务输出的隐私计算结果、用于调用所述隐私处理服务的数据和调用所述隐私处理服务得到的加密数据中任意一种或多种；

所述组织实体包括：所述目标数据的权属方、所述应用服务的开发方和所述应用服务的运营方中任意一种或多种。

10.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-8中任一所述的方法。

11.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-8中任一所述的方法。

Images