基于端侧隐私计算的多人健康数据安全管理方法及系统与流程

本技术涉及健康数据安全管理，尤其涉及一种基于端侧隐私计算的多人健康数据安全管理方法及系统。

背景技术：

1、多人体脂秤、家用健康终端等设备常被家庭多名成员共用，多名使用者的测量数据在设备上集中存储。现有设备通常不区分当前测量数据属于哪一名成员，所有使用者的数据混杂存储在同一数据库中，使用者查看测量结果时容易发生数据错配，个人健康数据也缺乏访问隔离。

2、现有部分设备将测量得到的原始健康数据直接上传至云端服务器存储与计算，原始生理数据在网络传输与云端存放过程中存在泄露风险，家庭多名成员的健康隐私缺乏保护。

3、家庭健康管理场景中存在多名成员数据联合分析的需求，但现有方案直接在多名成员之间传输或共享原始健康数据，无法在完成联合计算的同时保护每名成员的原始健康数据不被其他成员获取。

4、因此，亟需一种方法，以解决上述至少一个问题。

技术实现思路

1、本技术提供了一种基于端侧隐私计算的多人健康数据安全管理方法及系统，旨在解决现有部分设备将测量得到的原始健康数据直接上传至云端服务器存储与计算，原始生理数据在网络传输与云端存放过程中存在泄露风险，家庭多名成员的健康隐私缺乏保护的问题。

2、第一方面，本技术实施例提供了一种基于端侧隐私计算的多人健康数据安全管理方法，应用于包括用户识别模块、端侧隐私计算模块、加密存储模块与安全共享模块的健康管理终端，包括：

3、通过用户识别模块采集用户的生理特征数据与行为特征数据，根据生理特征数据与行为特征数据区分当前使用者身份，为每个使用者建立独立的用户身份标识；

4、通过端侧隐私计算模块在终端本地对使用者的健康数据执行加密计算，将加密后的健康数据与对应用户身份标识绑定；通过加密存储模块将绑定用户身份标识的加密健康数据存储至终端本地的加密存储区域，不同使用者的加密健康数据相互隔离；

5、通过安全共享模块在多个使用者之间执行健康数据安全共享时，采用隐私集合求交协议在不泄露原始健康数据的前提下完成联合计算，实现多人健康数据的安全共享与联动管理。

6、在一些实施例中，所述通过用户识别模块采集用户的生理特征数据与行为特征数据，包括：当使用者站立于健康管理终端的测量区域时，通过体重传感器采集体重特征，通过多频生物电阻抗采集模块采集阻抗特征，通过足底压力采集模块采集足底压力分布特征，体重特征、阻抗特征与足底压力分布特征构成生理特征数据；记录使用者上秤测量的时段、终端操作手势与常用功能选择记录，构成行为特征数据；对生理特征数据与行为特征数据执行归一化处理，形成用于身份区分的特征向量。

7、在一些实施例中，所述根据生理特征数据与行为特征数据区分当前使用者身份，为每个使用者建立独立的用户身份标识，包括：将特征向量与终端本地预存的多个用户特征模板逐一执行相似度计算，当特征向量与某一个用户特征模板的相似度达到预设匹配阈值时，将当前使用者识别为对应使用者并调取对应用户身份标识；当特征向量与全部用户特征模板的相似度均低于预设匹配阈值时，判定当前使用者为新使用者，生成新的用户身份标识并将特征向量保存为新使用者的用户特征模板；用户身份标识与用户特征模板在终端本地绑定存储。

8、在一些实施例中，所述通过端侧隐私计算模块在终端本地对使用者的健康数据执行加密计算，将加密后的健康数据与对应用户身份标识绑定，包括：在终端本地的可信执行环境中对使用者的原始健康数据执行健康指标计算，原始健康数据仅在可信执行环境内参与运算，计算完成后不在可信执行环境外保留原始健康数据；为每个用户身份标识生成独立的数据加密密钥，数据加密密钥由终端硬件密钥库保护；在可信执行环境内采用数据加密密钥对健康指标计算结果与原始健康数据执行加密，将加密后的健康数据与对应用户身份标识绑定，绑定关系记录于本地加密索引。

9、在一些实施例中，所述通过加密存储模块将绑定用户身份标识的加密健康数据存储至终端本地的加密存储区域，不同使用者的加密健康数据相互隔离，包括：在终端本地的加密存储区域内为每个用户身份标识划分独立的加密数据分区，每个加密数据分区仅接受对应用户身份标识的加密健康数据写入；维护访问控制列表，读取加密健康数据时先校验当前使用者的用户身份标识与加密数据分区归属标识，用户身份标识与加密数据分区归属标识一致时允许读取，用户身份标识与加密数据分区归属标识不一致时拒绝读取；加密存储区域的分区结构与访问记录仅以加密形式保存。

10、在一些实施例中，所述通过安全共享模块在多个使用者之间执行健康数据安全共享时，采用隐私集合求交协议在不泄露原始健康数据的前提下完成联合计算，实现多人健康数据的安全共享与联动管理，包括：当接收到多个使用者参与的联合计算请求时，每个使用者在可信执行环境内将自身健康数据按联合计算项编码为加密数据集合；多个使用者之间按照隐私集合求交协议交换加密数据集合，采用不经意伪随机函数对加密数据集合执行密文比对，仅得到多个使用者共同计算项的交集结果与联合统计结果；联合计算完成后仅输出交集结果与联合统计结果，不输出任一使用者的原始健康数据与非交集数据，临时交换的加密数据集合在计算结束后删除。

11、在一些实施例中，所述方法还包括：在终端本地基于每个使用者的历史健康数据对健康评估模型执行本地训练，得到每个使用者对应的本地模型更新参数；对本地模型更新参数执行差分隐私扰动，向本地模型更新参数中加入校准噪声，使本地模型更新参数无法反推出单名使用者的原始健康数据；当终端将多个使用者的本地模型更新参数上传至模型聚合端时，采用安全聚合协议使模型聚合端仅得到多个使用者本地模型更新参数的聚合结果，无法得到单名使用者的本地模型更新参数，聚合后的模型参数下发至终端后按用户身份标识分别更新对应用户的健康评估模型。

12、在一些实施例中，所述方法还包括：为临时使用者生成带有有效期限的临时用户身份标识，临时使用者的加密健康数据写入临时加密数据分区；当临时用户身份标识达到有效期限或临时使用者结束测量时，自动删除临时加密数据分区内的加密健康数据与临时用户特征模板；当接收到使用者的注销请求时，校验注销请求携带的用户身份标识，校验通过后销毁对应用户身份标识的数据加密密钥并删除加密数据分区，使对应用户的加密健康数据因数据加密密钥被销毁而不可恢复；数据删除与密钥销毁操作记录于终端本地的安全审计日志。

13、在一些实施例中，所述方法还包括：实时统计每个用户身份标识对加密存储区域的访问时段、访问频率、跨加密数据分区访问尝试次数与身份识别连续失败次数，形成访问行为特征；将访问行为特征输入异常访问检测模型，当跨加密数据分区访问尝试次数或身份识别连续失败次数超过预设安全阈值时，异常访问检测模型判定为越权访问尝试，锁定加密存储区域并冻结对应用户身份标识的数据读取权限；锁定期间仅允许通过重新采集生理特征数据并完成身份复核后解除锁定，异常访问检测结果与锁定、解锁记录写入安全审计日志。

14、第二方面，本技术提供了一种基于端侧隐私计算的多人健康数据安全管理系统，所述系统包括：

15、数据采集单元，用于通过用户识别模块采集用户的生理特征数据与行为特征数据，根据生理特征数据与行为特征数据区分当前使用者身份，为每个使用者建立独立的用户身份标识；

16、数据隔离单元，用于通过端侧隐私计算模块在终端本地对使用者的健康数据执行加密计算，将加密后的健康数据与对应用户身份标识绑定；通过加密存储模块将绑定用户身份标识的加密健康数据存储至终端本地的加密存储区域，不同使用者的加密健康数据相互隔离；

17、联动管理单元，用于通过安全共享模块在多个使用者之间执行健康数据安全共享时，采用隐私集合求交协议在不泄露原始健康数据的前提下完成联合计算，实现多人健康数据的安全共享与联动管理。

18、本技术所提供的方法具有以下有益效果：

19、1.同时利用生理特征数据与行为特征数据识别当前使用者身份，测量数据自动归属对应成员，解决多人共用设备的数据错配问题。

20、2.每名使用者的健康数据经加密计算后与独立身份标识绑定，存储于终端本地的隔离分区，不同使用者的数据互不可见，实现端侧数据隔离。

21、3.原始健康数据留存于终端本地，不上传云端，从源头避免生理数据在网络传输与云端存储过程中的泄露。

22、4.多人联合健康管理采用隐私集合求交协议，在不暴露每名成员原始数据的前提下完成联合计算，兼顾数据联动与隐私保护。

23、5.全部计算在终端本地完成，不依赖持续联网，适配家庭多人健康长期管理场景。

24、应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本技术。