具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

如图1所示，本发明的实施例提出一种基于区块链的数据共享系统，包括：

数据生产方节点，用于获取物联网设备上传的签名并加密后的第一数据；对所述第一数据的签名进行验证，验证通过后，将加密后的所述第一数据以及所述第一数据的ID存储于区块链中，并在所述区块链中广播；

数据消费方节点，用于接收数据消费方发送的利用签名私钥签名后的数据申请；利用公钥对所述签名后的数据申请进行验证，验证通过后，从区块链中的数据生产方节点获得申请的数据，并发送给数据消费方；

运营方节点，用于对所述第一数据进行分类，并产生非对称密钥对，将私钥分发给数据消费方节点，将公钥存储于区块链中，分类后的第一数据的存储格式包括：数据大类、数据子类和设备编号。

本发明的一可选的实施例中，基于区块链的数据共享系统，还可以包括：监管方节点，用于查看所述区块链上所有存储的数据以及各节点的状态。

本发明的一可选的实施例中，所述物联网设备具有安全防护能力的存储设备，所述存储设备包括接口、与所述接口连接的控制电路以及与所述控制电路连接的存储介质，所述存储设备存储有所述物联网设备的身份认证私钥，通过所述接口完成签名操作。该实施例中，物联网设备获取安装于物联网设备上的传感器采集的第一数据；对所述第一数据进行加密后，得到加密后的第一数据；将加密后的第一数据上传至区块链中，并由所述区块链中的数据生产方节点将所述第一数据存储于区块链中。

可选的，对所述第一数据进行加密后，得到加密后的第一数据，包括：对所述第一数据采用存储于所述物联网设备中的对称密钥对所述第一数据进行加密，得到加密后的第一数据。

可选的，将加密后的第一数据上传至区块链中，包括：利用签名私钥对加密后的第一数据进行签名，得到签名后的第一数据；

将签名后的第一数据以及所述第一数据的ID，上传到区块链中。

进一步地，若所述对称密钥进行更新，将更新后的对称密钥，分发给所述区块链中的数据消费方。

区块链中的数据生产方节点获取物联网设备上传的签名并加密后的第一数据；对所述第一数据的签名进行验证，验证通过后，将加密后的所述第一数据以及所述第一数据的ID存储于区块链中，并在所述区块链中广播。

进一步地，在区块链中的数据消费方节点对数据消费方发送的签名后的数据申请验证通过后，将所述数据申请请求的数据，返回给所述数据消费方节点，并由所述数据消费方节点送给所述数据消费方。

可选的，将所述数据申请请求的数据，返回给所述数据消费方节点，包括：根据所述数据消费方节点的ID，确定数据申请的数据类型在公钥权限中时，将所述数据申请请求的数据，返回给所述数据消费方节点。

数据消费方节点接收数据消费方发送的利用签名私钥签名后的数据申请；利用公钥对所述签名后的数据申请进行验证，验证通过后，从区块链中的数据生产方节点获得申请的数据，并发送给数据消费方。

进一步地，数据消费方在得到所述申请的数据后，对所述申请的数据，利用存储于自身的对称密钥进行解密，得到解密后的数据。

本发明的上述实施例所述的基于区块链的物联网数据共享系统，最终实现物联网数据的可信上链，多对一和一对多的灵活的数据共享方法，安全高效的数据共享过程，和可靠的监管机制。

本发明的上述实施例中，区块链运营方组建一区块联盟链，参与角色包括区块链运营方、数据生产方、数据消费方、监管方。其中区块链运营方提供区块链数据共享服务，数据生产方出售数据共享服务的源数据，数据消费方购买数据共享服务的源数据，监管方监视区块链服务状态和业务数据。

物联网场景下数据生产方销售的数据来自大数量、多种类的传感器，传感器具备直接数据上链的能力。物联网设备的传感器获取数据上链能力的身份认证方式是安装存储了身份签名用私钥的具有安全防护能力的存储设备，并且所述存储设备从外部可以通过接口完成签名操作，但不能读出密钥。系统中所有涉及的密钥对均有安全中心生成。

如图2所示，物联网设备具有安全防护能力的存储设备，具有安全防护能力(安全防护能力具体指写入私钥出厂后，外部可以通过接口完成签名操作，但不能读出密钥)的存储设备可以是U盾、安全芯片、SIM卡等多种形态。其核心部件应包括存储介质、控制电路逻辑、接口等。其中，存储介质可以是FLASH、EEPROM、OTP、ROM等非挥发性存储器件，主要用来存储身份签名用私钥；控制电路逻辑可以是与存储介质同wafer或者独立的集成电路模块，主要功能逻辑是实现从外部可以完成签名操作，但不能读出密钥；接口可以是USB、UART、SPI等接口形式，用来与硬件电路板完成对接。

区块链运营方按照面向的物联网设备，将分享的数据分类。一种推荐的数据ID表达形式为“数据大类+数据子类+设备编号”。其中，“设备编号”应随身份签名用私钥一起存储于具有安全防护能力的存储设备；可选的，“数据大类+数据子类”可以一同存储于具有安全防护能力的存储设备，也可以由数据生产方自行存储于其物联网设备里。

本发明的上述实施例所述的系统中，主要包括以下主要流程：

一、物联网设备签名用密钥的生成和分发流程，包括：

步骤(1)：区块链运营方使用安全中心产生一对公私钥。

步骤(2)：区块链运营方将私钥烧录于具有安全防护能力的存储设备，将公钥存证于区块链。

二、物联网终端数据上链流程，如图3所示，包括：

步骤(1)：物联网终端安装存储了签名用私钥的具有安全防护能力的存储设备。

步骤(2)：物联网终端用所述具有安全防护能力的存储设备对数据进行签名，并将数据、数据ID、签名通过调用API发予区块链。

步骤(3)：区块链通过所述数据ID中的“设备编号检索到存证的相应公钥，利用所述公钥对签名进行验签。若验签通过，则将数据、数据ID存证于区块链。

三、数据消费方签名用密钥的生成和分发流程，包括：

步骤(1)：区块链运营方使用安全中心产生一对公私钥。

步骤(2)：区块链运营方将私钥分发给数据消费方，将公钥存证于区块链；同时将公钥权限(记录所述数据消费方能否访问的数据类)一同存证于区块链。

四、数据消费方查询链上数据流程，如图4所示，主要包括：

步骤(1)：数据消费方对数据申请用私钥进行签名，并将数据申请、签名通过调用API发予区块链。

步骤(2)：区块链通过数据消费方ID检索到存证的相应公钥，利用所述公钥对签名进行验签。若验签通过，检查申请查看的数据类型是否存在于相应公钥权限中。若检查通过，返回给所述数据消费方申请的数据。

五、数据加解密流程，包括：

步骤(1)：数据生产方利用对称加密算法对敏感数据进行加密(对称密钥存储于物联网终端里，物联网终端对上传数据进行加密)。

步骤(2)：数据生产方和数据消费方链下达成数据解密授权协议，并将对称密钥分发予所述数据消费方。并且所述数据消费方公钥权限应包含所述数据的数据类。

步骤(3)：数据消费方申请获得所述数据后，利用对称密钥对数据进行解密获得数据明文。

步骤(4)：可选的，若数据生产方希望更新加密密钥，只需在业务端远程对该类物联网设备的对称密钥进行更新，同时将更新的对称密钥分发给授权的数据消费方。

六、监管流程，包括：

步骤(1)：可选的，监管方的公钥权限具有查看所有数据类的权限，因此监管方能够查看所有链上存证的数据。

步骤(2)：监管方能够实时查看区块链整体运行状态、每个节点的信息、和底层链所有元数据，以监督区块链运营方的公正性。

本发明的上述实施例所述的系统，不直接对共享的源数据进行加密。区块链直接存证的是经过共识过的原始数据，针对无需加密的数据共享场景数据可以直接上链，针对需要加密的数据共享场景数据生产方可以和数据消费方协商采取灵活的加解密方案。这提高了系统执行效率并降低了系统计算负荷。

每个数据消费方的数据类访问权限由区块链上存证的对应公钥权限决定。每个数据消费方能够访问哪些数据类是该数据消费方和区块链运营方协商的结果，这个结果即公钥权限，存证于防篡改的区块链上，每次数据共享申请只需要通过智能合约检查所述公钥权限即可完成审批。这就降低了操作复杂度。

数据共享过程的数据的隐私性保护在业务端进行。这就使数据生产方能够灵活的对需要加密的数据进行对称或非对称加密，数据消费方进行对应的解密算法，而区块链本身不进行加解密操作。这就降低了网络实体负荷和提高了系统执行效率。

本发明的上述实施例实现了一次数据共享处理，多方数据消费者共享。数据生产方及其物联网设备只需按数据类分类将数据存证于区块链，多方数据消费者只需凭借区块链存证的其公钥权限即可获得所述共享数据的访问权。这就提高了系统资源利用率。

本发明的上述实施例所述的方案适用于大量传感器数据上链的物联网场景应用。物联网传感器根据其类型将共享数据进行分类，数据消费方凭借区块链存证的其公钥权限获得某些数据类的共享数据访问权，避免的点对点的审批流程。这就拓宽了方案场景适应性。

本发明的上述实施例中，对数据共享过程的操作记录由智能合约自动记录在区块链上。数据访问过程都是数据消费方通过调用区块链节点API实现，区块链节点API可以在链上触发智能合约，而智能合约可以实现过程记录这一统一过程。这就降低了节点计算负荷和网络实体负荷。

本发明的上述实施例中实现了数据生产者共享的数据对区块链运营者的隐私保护。数据生产者对共享数据进行对称加密和非对称加密，只需对授权的数据消费者进行协商和密钥授予，可以保证区块链入链时存证的是数据密文。这就提高了系统数据共享的安全性。

本发明的上述实施例中实现了对物联网场景数据上链的身份认证机制。使用具有安全防护能力的存储设备存储物联网设备身份认证私钥，数据生产方将所述存储设备加入在物联网终端里，从而使所述物联网终端有资格上传数据给区块链。提供了物联网数据上链之前来源的可信性。

如图5所示，本发明的实施例还提供一种基于区块链的数据共享方法，应用于物联网设备，所述方法包括：

步骤51，获取安装于物联网设备上的传感器采集的第一数据；

步骤52，对所述第一数据进行加密后，得到加密后的第一数据；

步骤53，将加密后的第一数据上传至区块链中，并由所述区块链中的数据生产方节点将所述第一数据存储于区块链中。

可选的，对所述第一数据进行加密后，得到加密后的第一数据，包括：

对所述第一数据采用存储于所述物联网设备中的对称密钥对所述第一数据进行加密，得到加密后的第一数据。

可选的，将加密后的第一数据上传至区块链中，包括：

利用签名私钥对加密后的第一数据进行签名，得到签名后的第一数据；

将签名后的第一数据以及所述第一数据的ID，上传到区块链中。

可选的，基于区块链的数据共享方法，还包括：若所述对称密钥进行更新，将更新后的对称密钥，分发给所述区块链中的数据消费方。

本发明的该实施例所述的物联网设备侧的方法，与上述系统中的物联网设备相同，上述实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。

如图6所示，本发明的实施例还提供一种基于区块链的数据共享方法，应用于区块链中的数据生产方节点，所述方法包括：

步骤61，获取物联网设备上传的签名并加密后的第一数据；

步骤62，对所述第一数据的签名进行验证，验证通过后，将加密后的所述第一数据以及所述第一数据的ID存储于区块链中，并在所述区块链中广播。

可选的，基于区块链的数据共享方法，还可以包括：

在区块链中的数据消费方节点对数据消费方发送的签名后的数据申请验证通过后，将所述数据申请请求的数据，返回给所述数据消费方节点，并由所述数据消费方节点送给所述数据消费方。

可选的，将所述数据申请请求的数据，返回给所述数据消费方节点，包括：

根据所述数据消费方节点的ID，确定数据申请的数据类型在公钥权限中时，将所述数据申请请求的数据，返回给所述数据消费方节点。

本发明的该实施例所述的区块链中的数据生产方节点的方法，这里的数据生产方节点与上述系统中的数据生产方节点相同，上述实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。

如图7所示，本发明的实施例还提供一种基于区块链的数据共享方法，应用于区块链中的数据消费方节点，所述方法包括：

步骤71，接收数据消费方发送的利用签名私钥签名后的数据申请；

步骤72，利用公钥对所述签名后的数据申请进行验证，验证通过后，从区块链中的数据生产方节点获得申请的数据，并发送给数据消费方。

可选的，基于区块链的数据共享方法，还包括：数据消费方在得到所述申请的数据后，对所述申请的数据，利用存储于自身的对称密钥进行解密，得到解密后的数据。

本发明的该实施例所述的区块链中的数据消费方节点的方法，这里的数据消费方节点与上述系统中的数据消费方节点相同，上述实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。

与上述物联网设备侧的方法对应的，本发明的实施例还提供一种物联网设备，包括：

获取模块，用于获取安装于物联网设备上的传感器采集的第一数据；

加密模块，用于对所述第一数据进行加密后，得到加密后的第一数据；

发送模块，用于将加密后的第一数据上传至区块链中，并由所述区块链中的数据生产方节点将所述第一数据存储于区块链中。

可选的，所述加密模块具体用于：对所述第一数据采用存储于所述物联网设备中的对称密钥对所述第一数据进行加密，得到加密后的第一数据。

可选的，所述发送模块具体用于：利用签名私钥对加密后的第一数据进行签名，得到签名后的第一数据；将签名后的第一数据以及所述第一数据的ID，上传到区块链中。

可选的，所述发送模块还用于若所述对称密钥进行更新，将更新后的对称密钥，发送给数据生产方节点，并由所述数据生产方节点分发给所述区块链中的数据消费方。

本发明的该实施例所述的物联网设备，与上述系统中的物联网设备相同，上述实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。

与上述数据生产方节点的方法对应的，本发明的实施例还提供一种区块链中的数据生产方节点，包括：

获取模块，用于获取物联网设备上传的签名并加密后的第一数据；

存储模块，用于对所述第一数据的签名进行验证，验证通过后，将加密后的所述第一数据以及所述第一数据的ID存储于区块链中，并在所述区块链中广播。

可选的，数据生产方节点还可以包括：发送模块，用于在区块链中的数据消费方节点对数据消费方发送的签名后的数据申请验证通过后，将所述数据申请请求的数据，返回给所述数据消费方节点，并由所述数据消费方节点送给所述数据消费方。

可选的，将所述数据申请请求的数据，返回给所述数据消费方节点，包括：根据所述数据消费方节点的ID，确定数据申请的数据类型在公钥权限中时，将所述数据申请请求的数据，返回给所述数据消费方节点。

本发明的该实施例所述的区块链中的数据生产方节点与上述系统中的数据生产方节点相同，上述实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。

本发明的实施例还提供一种区块链中的数据消费方节点，包括：

获取模块，用于接收数据消费方发送的利用签名私钥签名后的数据申请

验证模块，用于利用公钥对所述签名后的数据申请进行验证；

发送模块，用于在验证通过后，从区块链中的数据生产方节点获得申请的数据，并发送给数据消费方。

可选的，数据消费方在得到所述申请的数据后，对所述申请的数据，利用存储于自身的对称密钥进行解密，得到解密后的数据。

本发明的该实施例所述的区块链中的数据消费方节点与上述系统中的数据消费方节点相同，上述实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。

本发明的实施例还提供一种计算机可读存储介质，包括指令，当所述指令在计算机运行时，使得计算机执行如上所述的方法。上述方法实施例中的所有实现方式均适用于该实施例中，也能达到相同的技术效果。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。