CN110447034B - 安全地访问数据的方法 - Google Patents

Abstract

本发明提供用于安全地访问数据的一种***和一种方法，其中‑所述数据包括多个数据集，其中‑将所述数据集分别分配给一个实体，优选一个用户，以及‑将所述数据集加密存储在数据库中，其中为将分配给所述相应实体的数据集解密，使用分配给所述相应实体的第一解密密钥，‑将所述第一解密密钥存储在易失性存储器中，‑用分配给所述相应实体的加密密钥来将分配给所述相应实体的所述第一解密密钥加密，并将所述加密的第一解密密钥存储在永久性存储器中，以及‑在将所述易失性存储器删除后‑将所述加密的第一解密密钥从所述永久性存储器复制到所述易失性存储器，以及‑在所述易失性存储器中，用分配给所述相应实体的第二解密密钥来将所述第一解密密钥解密。

Description

安全地访问数据的方法

技术领域

本发明涉及的是用于安全地访问数据的一种方法和一种***。本发明尤其涉及的是用于在访问数据的访问准则变更后进一步安全地访问这些数据的一种方法和一种***。

背景技术

企业将越来越多的客户(或者其他自然人或法人)数据存储起来。现有技术中已知的是，对这些客户数据进行加密。但这类客户数据越来越多地不仅由数据收集企业例如在Big Data Analyse(大数据分析)框架内进行评价，而且也由第三方进行评价。

为以符合数据保护的方式进行评价，已知方式是将数据匿名化。但无论是由数据收集企业还是第三方实施的这类评价均只能或者只应在客户许可的情况下进行。客户可以向数据收集企业授予进行特定类型的评价的明确许可。根据已知方案，这些数据只有用相应客户的解密密钥才能解密，以便随后对其进行评价。但只有在这些解密密钥被提供给数据收集企业的情况下才能实施评价。出于纯粹物流方面的理由，在评价时间点上由客户来解密数据是不可能的。

上述方案的缺点在于，尽管企业仅针对某种类型的评价获得客户的明确许可，企业也能针对其他用途进行数据评价，因为该企业拥有了该解密密钥。这样一来，数据就可能在未经客户同意的情况下针对另一类型受到评价。

发明目的

有鉴于此，本发明的目的是避免现有技术中的上述缺点，特别是提供相应解决方案，使得针对其他用途的评价也只能在客户或数据所有人的控制下进行。

发明内容

本发明用以达成上述目的的解决方案为独立权利要求所述的一种方法和一种***。本发明的有利技术方案和改进方案参阅从属权利要求。结合本发明的方法所描述的特征和细节也适用于本发明的***，反之亦然，因此，关于各发明方面的揭示内容总是能够起交替参照作用的。

本发明提供一种安全地访问数据的方法，其中

-所述数据包括多个数据集，其中

-将所述数据集分别分配给一个实体，优选一个用户，以及

-将所述数据集加密存储在数据库中，其中为将分配给所述相应实体的数据集解密，使用分配给所述相应实体的第一解密密钥，

-将所述第一解密密钥仅存储在易失性存储器中，

-用分配给所述相应实体的加密密钥来将分配给所述相应实体的所述第一解密密钥加密，并将所述加密的第一解密密钥存储在永久性存储器中，以及

-在将所述易失性存储器删除后

-将所述加密的第一解密密钥从所述永久性存储器复制到所述易失性存储器，以及

-在所述易失性存储器中，用分配给所述相应实体的第二解密密钥来将所述第一解密密钥解密。

这样就能例如在数据评价的用途发生变更的情况下，将用于解密这些数据的未加密的第一解密密钥删除或销毁。但同时，通过将第一解密密钥加密和将加密的第一解密密钥存储下来，就能在数据所有人许可后重建这些第一解密密钥。对大数据分析而言非常有利的是，不仅能根据新用途对未来将收集的数据进行评价，而且能对数据评价的用途变更前就已收集的数据进行评价。

根据有利方案，用所述相应实体所提供的秘密来产生用于将所述第一解密密钥加密的加密密钥和用于将所述加密的第一解密密钥解密的第二解密密钥，其中所述秘密由所述相应实体分别针对产生所述加密密钥与产生所述第二解密密钥而提供。亦即，既针对产生所述加密密钥而提供该秘密，又以分离的方式针对产生所述第二解密密钥而提供该秘密。

通过针对产生所述第二解密密钥而提供该秘密，相应实体，如客户，就能作出许可以便根据新的用途而将数据解密和对数据进行评价。

根据有利方案，在产生所述加密密钥和产生所述第二解密密钥后分别将所述秘密弃置或删除。从而确保加密的第一解密密钥无法在未经相应实体同意的情况下重建。

可以在将所述第一解密密钥加密后将所述加密密钥删除或者仅存储在所述易失性存储器中。

可以在将所述加密的第一解密密钥解密后将所述第二解密密钥删除或者仅存储在所述易失性存储器中。

根据有利方案，通过访问控制装置来实施访问在所述数据库中加密的数据集，其中在所述访问控制装置中存储有若干访问准则，所述访问准则给出了谁可以出于何种用途而访问所述加密的数据集。

根据特别有利的方案，在所述访问准则发生变更的情况下，将所述易失性存储器的全部内容删除。从而确保在数据库中加密存储的数据集无法未经相应实体同意而被访问。因为只有在重建第一解密密钥的情况下才能进行访问，而重建的前提条件是相应实体同意。在易失性存储器已被删除的情况下，相应实体通过提供该秘密而给出这种同意。

在加密密钥和/或第二解密密钥仅存储在易失性存储器中的情况下，就能确保例如在数据评价的用途变更的情况下，上述密钥连同第一解密密钥一起被删除或销毁。

根据特别有利的方案，所述访问控制装置在物理上(即硬件连接地)与所述易失性存储器耦合，其中在所述访问准则发生变更的情况下，将所述访问控制装置重启并且基于所述物理耦合也将所述易失性存储器重启。亦即，所述访问控制装置的重启引起所述易失性存储器同样重启。在易失性存储器重启时，该易失性存储器的全部内容均被删除，即存储在易失性存储器中的所有密钥均被删除或销毁。此外在易失性存储器重启时，该易失性存储器的所有可能存在的备份文件同样被删除。根据有利方案，在所述易失性存储器重启时不产生所述易失性存储器的备份文件(如转储)。

根据有利方案，所述数据库、所述易失性存储器、所述永久性存储器和所述访问控制装置是一个安全环境的部分。所述安全环境确保无论基本设施运营商还是其他第三方均无法访问这些数据。只有通过特殊接口才能访问这些数据。根据有利方案，在该安全环境中进行数据评价(大数据分析)，并且只有评价结果才能向外输出即离开该安全环境。

本发明还提供一种***，所述***适于实施本发明的方法。

附图说明

下面结合附图对本发明的细节和特征以及本发明的具体实施例进行描述，但本发明不局限于下文所描述的实施例。图中：

图1为用于安全地访问数据的本发明的***的一个示例；以及

图2为安全地访问数据的本发明的方法的流程图。

具体实施方式

图1为本发明的***或本发明的结构的一个示例。

在数据库DB中存储有某个实体U的数据。实体U例如可以是企业的客户、***的用户或者是某个其他自然人或法人。实体U提供存储在数据库DB中的数据。可以通过不同方式收集实体U的数据。例如可以由分配给实体U的终端设备来传输这些数据。该终端设备例如可以是手机或车辆。如果是车辆，则可以采集车辆数据并存储在数据库中。车辆数据可以包括行驶路线、行驶风格(被动/好斗)、行驶时间等等，也可以包括车道损坏、路牌、障碍物等等。这样一来，例如就能将传感器检测到的路牌与存储在地图数据中的路牌进行比较，以便校正错误的地图数据。可以利用这些车辆数据和其他车辆数据来对移动数据进行长期研究。

根据本发明，只有在用户许可相应使用这些数据的情况下，才能访问存储在数据库DB中的用户相关数据。

在下面的示例中涉及的是这些数据的第一使用和第二使用，其中这些数据的第二使用不同于这些数据的第一使用。第一使用例如可以是这些数据的特定的第一评价，第二使用可以是相同数据的特定的第二评价。本发明整体上并非仅限于两个使用，而是也可以以类似的方式沿用于n个使用。

将这些数据加密存储在数据库DB中。一旦由实体U初次采集数据，该实体必须许可第一使用。在本发明的一种技术方案中，实体U的许可可以在初次采集数据前实施。用于第一使用的许可意味着：为解密存储在数据库中的数据而产生相应的第一解密密钥VK。根据本发明，将这些第一解密密钥VK存储在易失性存储器VMEM中。优选地，每个实体U分配有其他的第一解密密钥VK。

为访问存储在数据库DB中的数据，从易失性存储器VMEM读取相应的第一解密密钥VK并传输给访问数据库的单元。在图1所示***中，这个访问单元可以是实施评价(大数据分析)的单元，或者是访问控制装置PGU，其对访问数据库DB中的数据进行监控。替代地，也可以将第一解密密钥VK提供给数据库DB，后者随后内部地在访问数据过程中将其解密。

在产生第一解密密钥VK的同时(或实时)，将其加密。为加密第一解密密钥VK，需要加密密钥K1。基于秘密S来产生分别分配给一个实体的加密密钥K1。每个实体U将一个相应的秘密S提供给该***。秘密S可以是密码、口令、符记或者是其他隐秘且只有该实体U才了解的信息。

在此情况下，第一解密密钥VK最终以解密形式(VK)和加密形式VKK存在。随后，将加密的第一解密密钥VKK存储在永久性存储器PMEM中，参阅图1中的箭头1。在产生加密密钥K1后，将秘密S删除或弃置。

在此情况下，该***或访问数据库DB的相应单元可以根据该第一使用来从该数据库DB读取数据，并使用第一解密密钥VK来将这些数据解密。

在此情况下，应根据该第二使用来访问存储在数据库DB中的数据。但实体U目前仅许可了第一使用。

为使得实体U或者实体U的至少部分明确许可第二使用，根据本发明，将存储在易失性存储器VMEM中的第一解密密钥VK删除或销毁。可以通过以下方式来实现这一点：例如通过在某个时间段内(如5秒)中断该易失性存储器的供能来删除该易失性存储器VMEM。从而也将加密密钥K1删除。在这个时间点上，该***具有某种状态，在该状态下，存储在数据库DB中的数据可以被读取但无法被解密。因为以解密形式存储在易失性存储器VMEM中的第一解密密钥VK已被删除。

如果访问数据库DB的单元中存储有或暂存有第一解密密钥VK，则也将这些第一解密密钥VK删除或销毁。

出于性能方面的考虑，例如可以将提供给访问控制装置PGU的第一解密密钥VK存储在该访问控制装置中，以免每次重新向易失性存储器VMEM要求这个密钥。在此情形下，存储在访问控制装置中的第一解密密钥VK也会被删除或销毁。

根据本发明，从永久性存储器PMEM读取加密的第一解密密钥VKK并写入易失性存储器VMEM，参阅图1中的箭头2。为将加密的第一解密密钥VKK解密，相应实体U必须重新将秘密S提供给***。重新提供秘密S可以视为相应实体U同意这些数据的第二使用。

随后，在该***中根据该重新提供的秘密S而产生第二解密密钥K2，其用来将加密的第一解密密钥VKK解密。优选在易失性存储器VMEM中将加密的第一解密密钥VKK解密。在将加密的第一解密密钥VKK解密后，可以将该易失性存储器中的加密的第一解密密钥VKK删除，使得在该易失性存储器中仅存储有解密的第一解密密钥VK。加密的第一解密密钥VKK仍然存储在永久性存储器PMEM中。

此时，该***可以在第二使用的范围内访问存储在数据库DB中的数据，前提是实体U通过重新提供秘密S而许可了这个第二使用。

为了数据的第三使用和每另一使用，需要重新执行前述步骤，即以下主要步骤：

-删除易失性存储器VMEM

-从实体U接受秘密S

-基于秘密S产生相应的第二解密密钥K2

-用相应的第二解密密钥K2将加密的第一解密密钥VKK解密并将解密的第一解密密钥VK存储在易失性存储器VMEM中。

该***还具有访问控制装置PGU(Policy Gate Unit，策略门闸单元)，通过其来访问数据库DB中的数据。访问控制装置PGU基于多个可以存储在该访问控制装置PGU中的访问准则来规定谁可以以何种方式访问数据库DB中的数据。亦即，这些访问准则定义了数据的使用。

在这些访问准则变更的情况下，数据的使用相应发生变更。

为了促使相应实体U或者实体U的至少部分许可这些变更后的访问准则和变更后的数据使用，一方面在访问准则变更后重新启动访问控制装置PGU。另一方面，访问控制装置PGU在物理上，即优选硬件连接地，与易失性存储器VMEM耦合(Boot Coupling BC，启动耦合)，使得访问控制装置PGU的重启引起易失性存储器VMEM的重启。

例如可以通过以下方式来引起易失性存储器VMEM的重启：在一定时间内中断易失性存储器VMEM的供电。这样一来，易失性存储器VMEM的内容以及第一解密密钥VK丢失或者被删除。易失性存储器VMEM的可能存在的备份文件同样被删除。易失性存储器VMEM重启后，如前所述，只有通过提供相应秘密S才能实施相应实体U的用于进一步使用数据的许可。

图1所示***的这些单元可以是某个安全环境VI的组成部分，该安全环境确保***运营商和其他第三方均无法访问这些数据或密钥。只有通过专设接口才能实施访问。

安全环境VI可以包括网络区域、至少一个处理区域和存储区域，其中网络区域、处理区域和存储区域在物理上相互分离。网络区域与处理区域以及处理区域与存储区域可以分别通过一个内部通信网络相耦合。

此外，安全环境VI还可以具有访问控制器，其适于对访问网络区域、处理区域和存储区域进行监控和控制并阻止访问未加密的数据。该访问控制器可以包括一个访问控制单元和多个与该访问控制单元耦合的传感器/致动器单元，其中每个网络区域、处理区域和存储区域分别分配有至少一个传感器/致动器单元，其中每个传感器/致动器单元具有至少一个传感器和/或致动器，且其中该访问控制单元适于对这些传感器/致动器单元进行控制。该至少一个传感器和/或致动器可以选自至少包括抓持控制器、电源开关、齿条传感器、门传感器和上述的组合的群组。

网络区域可以适于通过通信网络来实现***VI与外部***(如客户端)间的通信，其中该网络区域还可以适于发送和接收加密形式的数据。

根据有利方案，处理区域适于从存储区域和/或从网络区域接收数据、对所接收的数据进行处理以及将处理后的数据传输给存储区域和/或网络区域。可以事先将需要传输给网络区域的数据加密。

这样就能完全在安全环境内实施大数据分析并且只有分析结果才能离开该安全环境。

在本发明的***中，易失性存储器VMEM可以采用冗余方案。为此而设置一或多个冗余的易失性存储器VMEMr，其通过安全网络连接而与该易失性存储器VMEM耦合。冗余的易失性存储器VMEMr和该易失性存储器VMEM可以布置在同一安全环境VI中。替代地，冗余的易失性存储器VMEMr也可以布置在另一安全环境VI中，参阅图1。在又一替代方案中，将这些冗余的易失性存储器VMEMr中的每个均布置在一个自有安全环境中。

冗余的易失性存储器VMEMr例如可以用来在***故障后借其来重建该易失性存储器VMEM。

但是，在访问控制装置PGU重启时，不仅将易失性存储器VMEM重启且将存储在其中的密钥VK删除，而且将所有冗余的易失性存储器VMEMr重启。亦即，存储在冗余的易失性存储器VMEMr中的所有第一解密密钥VK均被删除或销毁。

图2为安全地访问数据的本发明的方法的一个示例的流程图。

在本发明的方法的图2所示流程中，在数据库DB中已加密存储有数据，并且针对每个实体U的相应第一解密密钥VK仅存储在易失性存储器VMEM中。

在第一步骤S1中，实体U提供秘密S，该秘密被提供给***或传输给***。

在第二步骤S2中，该***使用秘密S来产生加密密钥K1，该加密密钥适于将第一解密密钥VK加密。随后可以将秘密S删除或弃置(步骤S2.1)。

可选地，可以将加密密钥K1存储在易失性存储器VMEM中(步骤S3)。

在下一步骤S4中，使用加密密钥K1来将分配给相应实体的第一解密密钥VK加密，从而产生加密的第一解密密钥VKK。这里需要注意的是，每个实体均可能分配有多个第一解密密钥VK。这样一来，例如就能定期(如每小时、每天或每周)针对每个实体U产生用于将数据库DB中的数据加密的新密钥和新的第一解密密钥VK。

随后在步骤S5中将加密的解密密钥VK存入永久性存储器PMEM。

针对每个在易失性存储器VMEM中新产生的第一解密密钥VK实施步骤S4和S5，优选在产生新的第一解密密钥VK后立即实施。此举的优点在于，在每个时间点上，针对每个存储在易失性存储器VMEM中的第一解密密钥VK，在永久性存储器PMEM中均存在一个对应的加密的第一解密密钥VKK。这样就能在任何时间删除易失性存储器VMEM，而不必引起第一解密密钥VK的实际丢失。

根据特别有利的方案，在易失性存储器VMEM中产生第一解密密钥VK以及步骤S4和S5是作为原子动作(atomare Aktion)而实施的。这里的原子动作指的是：产生第一解密密钥VK直至步骤S5的过程不允许中断，以免在易失性存储器VMEM中的第一解密密钥VK与永久性存储器PMEM中的加密的第一解密密钥VKK间存在不一致。

为此，可以将结合图1所描述的易失性存储器VMEM重启延迟至产生第一解密密钥VK后以及相关步骤S4和S5结束后。例如可以通过以下方式来实现这种延迟：易失性存储器的控制单元或驱动器阻止该易失性存储器的重启，直至原子动作结束。

在产生第一解密密钥VK的过程中，可以在该易失性存储器中或者在控制单元的寄存器中设置对应的标记，其只能被步骤S5重新复位。只有在所有标记均被复位的情况下才能重启易失性存储器VMEM。作为标记的替代方案，也可以设置计数器，其在产生第一解密密钥VK时向上计数，并且被步骤S5向下计数，使得易失性存储器VMEM只有在以下情况下才能重启：计数器具有数值零或其原始状态。为防止死锁或死循环，在易失性存储器VMEM要求重启后无法再产生新的第一解密密钥VK-只能结束原子动作。

在步骤A中，变更结合图1所描述的访问准则，此举直接引起访问控制装置PGU的重启和易失性存储器VMEM的重启，其中易失性存储器VMEM优选如此构建，使得首先结束所有原子动作，而后再重启易失性存储器VMEM从而将存储在该易失性存储器VMEM中的所有第一解密密钥VK删除。

该易失性存储器的重启引起以下操作：在步骤S6中将易失性存储器VMEM删除。

该易失性存储器重启后，在步骤S7中要求实体U，向***运营商授予进行数据的新的/下一使用的许可。通过以下方式来授予许可：实体U在步骤S8中重新将秘密S通知该***。

由实体U重新通知/传输该秘密S后，在步骤S9中，将分配给实体U的加密的第一解密密钥VKK从永久性存储器PMEM复制到易失性存储器VMEM。

随后，在步骤S10中，基于重新传输的秘密S来产生第二解密密钥K2，在步骤S11中，用该第二解密密钥将复制到易失性存储器VMEM的加密的第一解密密钥VKK解密。在此情况下，分配给实体U的第一解密密钥在易失性存储器VMEM中重新以解密形式存在(VK)，并且可以用来将分配给实体U且存储在数据库DB中的数据解密，以便进行下一使用。

这样一来，一方面用户必须许可数据的新的/下一使用，另一方面已存在的数据能够提供给该新的/下一使用。这样还能防止这些数据因访问准则变更而遭受潜在滥用，因为在访问准则变更的情况下，易失性存储器VMEM中的第一解密密钥VK被自动删除，这些密钥只有在相应实体许可的情况下才能重建。

除了准则变更以外，对***的攻击也能引起易失性存储器VMEM的删除。在此情形下，第一解密密钥VK同样只有在相应实体许可的情况下才能重建(通过重新传输秘密S)。

附图标记表

BC启动耦合(易失性存储器VMEM与访问控制装置PGU间的物理耦合)DB(加密)存储有数据的数据库

K1用于将第一解密密钥VK加密的加密密钥

K2用于将加密的第一解密密钥VKK解密的第二解密密钥PGU访问控制装置(策略门闸单元)

PMEM永久性存储器

S秘密，如密码、符记等等

S1-S11本发明的方法的步骤

U拥有数据的实体，如用户

VI安全环境

VK用于将数据解密的第一解密密钥

VKK加密的第一解密密钥

VMEM易失性存储器

VMEMr冗余的易失性存储器VMEM。

Claims (11)

1.一种安全地访问数据的方法，其中

-所述数据包括多个数据集，其中

-将所述数据集分别分配给一个实体（U），所述实体（U）是一个用户，以及

-将所述数据集加密存储在数据库（DB）中，其中为将分配给相应实体（U）的数据集解密，使用分配给所述相应实体（U）的第一解密密钥（VK），

-将所述第一解密密钥（VK）存储在易失性存储器（VMEM）中，

-用分配给所述相应实体（U）的加密密钥（K1）来将分配给所述相应实体（U）的所述第一解密密钥（VK）加密（S4），并将所述加密的第一解密密钥（VKK）存储在永久性存储器（PMEM）中（S5），以及

-在将所述易失性存储器（VMEM）删除（S6）后

-将所述加密的第一解密密钥（VKK）从所述永久性存储器（PMEM）复制到所述易失性存储器（VMEM）（S9），以及

-在所述易失性存储器（VMEM）中，用分配给所述相应实体（U）的第二解密密钥（K2）来将所述第一解密密钥（VKK）解密，

-通过访问控制装置（PGU）来实施访问在所述数据库（DB）中加密的数据集，其中

-在所述访问控制装置（PGU）中存储有若干访问准则，所述访问准则给出了谁可以出于何种用途而访问所述加密的数据集，

-在所述访问准则发生变更的情况下，将所述易失性存储器（VMEM）的全部内容删除。

2.根据权利要求1所述的方法，其中用所述相应实体（U）所提供的秘密（S）来产生所述加密密钥（K1）和所述第二解密密钥（K2），其中所述秘密（S）由所述相应实体（U）分别针对产生所述加密密钥（K1）（S1）与产生所述第二解密密钥（K2）（S8）而提供。

3.根据权利要求2所述的方法，其中在产生（S2）所述加密密钥（K1）和产生（S10）所述第二解密密钥（K2）后分别将所述秘密（S）弃置或删除（S2.1）。

4.根据权利要求1至3任一项所述的方法，其中在将所述第一解密密钥（VK）加密（S4）后将所述相应的加密密钥（K1）删除或者仅存储在所述易失性存储器（VMEM）中。

5.根据权利要求1至3任一项所述的方法，其中在将所述加密的第一解密密钥（VKK）解密（S11）后将所述相应的第二解密密钥（K2）删除或者仅存储在所述易失性存储器（VMEM）中。

6.根据权利要求4所述的方法，其中在将所述加密的第一解密密钥（VKK）解密（S11）后将所述相应的第二解密密钥（K2）删除或者仅存储在所述易失性存储器（VMEM）中。

7.根据权利要求1-3任一项所述的方法，其中所述访问控制装置（PGU）在物理上与所述易失性存储器（VMEM）耦合，其中在所述访问准则发生变更的情况下，将所述访问控制装置（PGU）重启并且基于所述物理耦合也将所述易失性存储器（VMEM）重启并且将存储在所述易失性存储器（VMEM）中的第一解密密钥（VK）删除。

8.根据权利要求4所述的方法，其中所述访问控制装置（PGU）在物理上与所述易失性存储器（VMEM）耦合，其中在所述访问准则发生变更的情况下，将所述访问控制装置（PGU）重启并且基于所述物理耦合也将所述易失性存储器（VMEM）重启并且将存储在所述易失性存储器（VMEM）中的第一解密密钥（VK）删除。

9.根据权利要求5所述的方法，其中所述访问控制装置（PGU）在物理上与所述易失性存储器（VMEM）耦合，其中在所述访问准则发生变更的情况下，将所述访问控制装置（PGU）重启并且基于所述物理耦合也将所述易失性存储器（VMEM）重启并且将存储在所述易失性存储器（VMEM）中的第一解密密钥（VK）删除。

10.根据权利要求6所述的方法，其中所述访问控制装置（PGU）在物理上与所述易失性存储器（VMEM）耦合，其中在所述访问准则发生变更的情况下，将所述访问控制装置（PGU）重启并且基于所述物理耦合也将所述易失性存储器（VMEM）重启并且将存储在所述易失性存储器（VMEM）中的第一解密密钥（VK）删除。

11.一种用于安全地访问数据的***，其中所述***至少包括

-用于存储第一解密密钥（VK）的易失性存储器（VMEM），

-用于存储加密的第一解密密钥（VKK）的永久性存储器（PMEM），

-用于存储加密的并可用所述第一解密密钥（VK）解密的数据的数据库（DB），和

-访问控制装置（PGU），其适于对访问所述数据库（DB）中的数据进行监控和/或调节和/或控制，其中所述访问控制装置分配有至少一个访问准则，且其中所述访问控制装置还适于在所述至少一个访问准则发生变更的情况下将所述易失性存储器（VMEM）删除，

且其中所述***适于实施根据上述权利要求1-10任一项所述的方法。

Images