CN1525683A - 标示数据的方法 - Google Patents

Abstract

本发明涉及一种对电子数据的访问进行标示的方法以及一种实施该方法的数据处理装置。在本方法的第一步骤(5)中，进行一个用于确定用户身份的安全询问。在第二步骤(11)中，根据该安全询问的结果分配一个该用户不能看到的、唯一识别该用户的署名。在第三步骤(19)中，根据该安全询问的结果分配一个该用户不能看到的角色署名，该角色署名可以并行地分配给具有相同角色属性的多个用户。在第四步骤(21)中，既根据用户署名又根据角色署名对电子数据的访问进行标示。通过这种多重署名保证了在给出用户和在数据访问时刻的用户角色属性的条件下事后重建完整的数据访问。

Description

标示数据的方法

技术领域

本发明涉及一种通过不同的用户对数据进行标示的方法。此外，本发明还涉及一种实施该方法的数据处理装置以及一种存储介质，在该介质中存储有用于在该数据处理装置中执行该方法的信息。

背景技术

电子数据和通信路径越来越多的使用对用于事后重建完整的数据访问机制提出了越来越多的要求。但是，同时又要保证对数据进行尽可能简单、方便和低廉的访问的可能性。特别是，由于越来越多的相互联网和经常是很多不同用户可以电子地访问同一数据，使得基于电子或软件的文件机制变得不再可以可靠地阻止匿名地篡改或者查看。

由于众多访问的可能性以及由于电子数据访问不能轻易地追查到实际存在的人这样的事实，因此要求将全部的数据访问在给出访问者的署名的条件下进行存储，并由此形成文件。通过真实存在的用户访问数据形成的文件是通过使用每个用户不同的署名实现的，该署名仅仅提供给各自的用户，并且必须验证该署名。

电子数据访问的文件在关于个人的数据(例如地址或者客户数据)、在财政领域中的数据、特别是在健康事业中的数据中起到特别重要的作用。在最严格地要求数据安全的健康事业中数据保护规定要求，对数据的每个使用者明确地进行识别和验证。在此，识别意味着，将每个数据访问以及每个操作明确地与执行的操作者，即实际的人相联系，并利用该人的电子署名进行存档，以便事后重建。验证意味着，对使用者的验证进行实际的检验，只有被验证的使用者才可以被分配到一个署名。在健康事业中文件的功能也被称为“审核(auditing)”，而验证的功能也被称为“访问控制(accesscontrol)”。

电子数据可以供多个使用者使用。这种情况可以是：由银行职员对客户数据进行管理，在人事部门的人员数据，在开发队伍中对数据的共同使用，或者在健康事业中的、可供治疗医生小组或者特定范围医疗专业人员访问的数据。如果多个用户设置来共同使用同一数据，则这些用户在这方面属于同一的角色。该共同的角色属性不在已知的、用户不同的署名中再次出现。迄今为止角色属性不是借助于常规的署名构成，如果其要用于随后的重建，则必须按合适的方式本身进行存储和归档。这点极大地使用于“审核”的存储措施复杂化了。由此，对数据访问以及角色属性的分配事后重建是不方便的。

发明内容

本发明要解决的技术问题是，简化电子署名的使用，并同时保证不同用户和具有不同角色属性者对共同利用过的电子数据的数据访问形成完全事后可重建的文件。

按照本发明，上述技术问题是通过一种对电子数据的访问进行标示的方法，一种实施该方法的数据处理装置以及一种其上存储有可以与所述数据处理装置进行交互作用的信息的存储介质实现的。

在本方法的第一步骤中，进行一个用于确定用户身份的安全询问。在第二步骤中，根据该安全询问的结果分配一个该用户不能看到的、唯一识别该用户的署名。在第三步骤中，根据该安全询问的结果分配一个该用户不能看到的角色署名，该角色署名可以并行地分配给具有共同角色属性的多个用户。在第四步骤中，在输入用户署名和角色署名的条件下对电子数据的访问进行标示。

在本发明的一种具有一署名工具和一安全询问装置的数据处理装置中，在访问应用数据之前可以通过所述安全询问装置进行一个用于确定用户身份的安全询问；通过所述署名工具可以根据该安全询问装置的结果分配一个该用户不能看到的、唯一识别该用户的署名；通过该署名工具根据该安全询问装置的输出信号，可以分配一个该用户不能看到的、可以分配给多个用户的角色署名；以及通过该署名工具在输入用户署名和角色署名的条件下可以对电子数据的访问进行标示。

本发明的一个基本思路是，在对电子数据的访问进行标示之前，首先进行一个用于确定用户身份的安全询问，并根据该安全询问的结果为该用户分配一个明确的用户署名以及一个附加的角色署名，其中，该角色署名分配给多个不同的用户。在给出用户署名和附加的角色署名的条件下对电子数据的访问进行标示。无论用户署名还是角色署名对于用户都是不可看到的。

在既给出用户署名又给出角色署名的条件下对电子数据的访问进行标示具有这样的优点，即，通过署名给出了用于事后重建在数据访问时刻的数据访问者的身份以及角色的所有信息。此外，署名仍然是可以免受篡改的，因为其是根据一个安全询问而分配的并对于用户是不可见的因而不会被用户滥用。另外一个优点在于，本方法仅仅要求用户回答一个安全询问，此外基本上对于用户是不被察觉地运行，因此特别简单以及可以低成本地运用。

在本发明的另外一个优选的结构中，该安全询问通过获取用户的生物数据实现，例如采集眼球虹膜的结构或者指纹。由此产生了这样的优点，即，在不要求用户额外的例如记忆口令的负担的条件下，实现了特别高的防止欺骗的可靠性。

在本发明的另外一个优选的结构中，通过调用一个在空间上远离设置的用户署名存储器来确定用户署名。由此产生了这样的优点，即，该用户署名存储器可以通过一个为此专门设置的管理得到维护并借助于特别严格的保护措施(例如防火墙)得到保护，这些措施不需要占用用户的存储空间。同样，为了实现同样的优点也可以将角色署名存储器在空间上远离设置，其中，其可以与用户署名存储器设置在一起或者分开设置。

本发明的另外一个优选的结构是这样得到的，即，尽管每个用户只分配一个用户署名，但是可以同时分配多个角色署名。这反映了实际的角色署名，因为一个用户可以参与例如担当多种功能或者作为多个各有自身角色的团队的成员。从属于多个角色署名的可能性产生了这样的优点，即，可以将真实的角色完全通过署名来描述。

本发明的另外一个优选的结构是这样得到的，即，在所述安全询问中读出一电子和/或机械钥匙。

本发明的另外一个优选的结构是这样得到的，即，通过一个数据连接进行对所述用户署名存储器和/或角色署名存储器的调用。

本发明的另外一个优选的结构是这样得到的，即，所述数据是医疗上重要的数据，所述用户是医疗专业人士，而所述角色是对应于医疗专业人士内部的工作分组而分配的。

本发明的另外一个优选的结构是这样得到的，即，所述数据处理装置是一个医疗工作站。

附图说明

下面结合附图对本发明的实施方式作进一步说明，图中，

图1是具有实施本发明所需要的方法步骤的流程图，

图2表示适合于实施本发明的***结构。

具体实施方式

图1示出了实施本发明所需要的方法步骤。

在步骤1中启动例如可以是一个医疗计算机工作站的数据处理装置50。在此，进行通常的操作***的启动，并在其上进行登录。但是，按照本发明的标示方法是独立于这种在操作***上的登录的。

在步骤3在操作***运行后启动署名工具51。该署名工具51不必随操作***每次的起动而启动，但是将其在每次对工作站上的应用数据进行数据访问之前进行启动是可靠的。应用数据可以是例如诊断记录、医疗发现、患者的个人信息，也可以是对于研究重要的内容，人口统计信息或者财务信息。在所有这些举例中涉及到要按特殊的方式对其访问形成文件的关键数据。

在步骤5进行一个安全询问，借助于该安全询问应该识别用户。为此，询问用户个人独有的、必须满足所有对数据安全要求的数据。为此，优选地使用一个安全询问装置59，通过该装置对诸如指纹或者眼球虹膜结构的、特有的和尽可能可靠地防止欺骗的数据进行生物学上的采集。此外，安全询问装置59可以读取电子芯片卡或者一电子或机械钥匙。通过该安全询问实现了对验证的要求。

在步骤6中存在着这样的可能性，即，在出现对安全询问的错误提示之后中断该方法，以提高数据安全的要求。

在步骤7中调用一个用户署名存储器61。在该用户署名存储器61中存放这样的信息，借助于这些信息可以根据在前面的安全询问中确定的数据将用户识别为真实存在的个人。用户署名例如可以引用署名和安全询问数据之间的一种表格对应形式，或者是一种与在安全询问结果中识别出来的真实存在的个人的对应。

在步骤9中，从前面的用户署名存储器61询问的结果中确定一个用户署名。在确定该用户署名中防止欺骗的可靠性程度基本上取决于上述安全询问防止欺骗的可靠性以及对用户署名存储器61篡改的可能性。

在步骤11中，将上面确定的用户署名分配给当前的用户，并立刻可供标示该用户的操作使用。该分配对于用户来说基本上是察觉不到的，特别是不会给出查看署名的可能性。由此，一方面用户不会负担对于其不重要的信息，另一方面通过该不可知阻止了其对该署名的滥用。

在步骤13中对角色署名存储器63进行调用。在角色署名存储器63中存放了这样的信息，即，借助于这些信息可以根据在上述安全询问确定的数据识别一个所谓的角色。为此，例如可以访问角色和安全询问数据之间的一个表格形式的对应关系，也可以使用与用户署名的对应或者与在安全询问结果中识别出来的真实存在的个人的对应来替代与安全询问数据的对应。

角色的含义是对于具有一定责任的特定职业圈的属性，例如：“值班医生”，“医疗技术辅助人员”，“处理小组”，“***管理员”，“人事部门”或者“项目负责人”。

角色属性可以要么针对对象得出，即可以出于特定用户的需要利用特点的数据存量处理，要么针对主题得到，即从每个用户根据其可以访问特定级别的分层分级得到。此外，用户可以属于多个角色，这些角色例如表示该用户同时参与工作的不同的“治疗组”。在这种情况下，可以为该用户分配一个表示所有角色属性的唯一角色署名，或者同时为他分配多个角色署名。

在步骤15，在前面的角色署名存储器63询问的结果中确定一个或者必要时多个角色。

在步骤17中根据对一个或者多个角色确定的结果确定一个或者必要时多个所属的角色署名。

上述步骤15和17的划分反映了在确定角色和角色属性中的过程，其中，首先根据工作场合的要求定义角色和角色属性，然后为这样角色定义电子署名。但是，通过放弃确定一个或多个角色的中间步骤而代之以立刻确定角色署名，也可以将步骤15和17集成在一个单一的步骤中。

在步骤19中，将上面确定的一个或多个角色署名分配给当前的用户，这些署名立刻可供标示用户的操作使用。如上面解释的那样，这种分配对于用户基本上是不可察觉的，尤其是不给用户任何查看署名的机会。

在步骤21中，对操作既利用所分配的用户署名又利用所分配的一个或多个角色署名进行标示。这种多重的标示允许对所有标示的数据访问进行完全的事后重建，既对应一个真实存在的人又对应其当时实际的角色属性。由此，充分满足了对数据访问审核的要求，而不必按以往列出的服务计划对额外的信息进行询问，以便能够事后重建以前的角色属性。

在图2中示出了一个可以用于执行本发明方法的电子数据处理装置50。该数据处理装置50包括一个键盘55或一个其它输入设备以及一个显示器53。根据不同的应用也可以处理声学的输入和输出信号。输入和输出设备的类型和规模对于本发明的实施并不重要。数据处理装置50既可以是医疗工作站，例如一个所谓的形态(Modalitaet)，又可以是任何其它的显示器工作站，例如银行的终端。

数据处理装置50具有一个署名工具51。该署名工具51可以模块地集成在数据处理装置50中，例如作为可插拔的卡或者作为计算机程序。通过该署名工具51，数据处理装置50可以访问用于存储应用数据的应用数据存储器57。

署名工具51和数据处理装置50是这样设计的，使得仅仅可以通过该署名工具51访问应用数据存储器57。由此保证了，每个数据访问在不存在饶过可能性的条件下由署名工具51记录和标示。由此使得通过饶过署名过程的篡改和滥用成为不可能。

署名工具51与一个用于确定识别每个用户的数据的安全询问装置59连接。该安全询问装置59可以是一个读出用户专有的芯片卡的芯片卡阅读器。它也可以是一个读出用户专有的钥匙的机械或者电子锁。它特别可以是一个用于确定用户生物数据的传感器，它例如采集用户眼球虹膜的结构、用户指纹或者其语言的频谱。在安全询问时应用生物数据具有这样的优点，即，不必使用用户可能丢失或者被盗走的钥匙或卡。此外，生物数据的防欺骗的可靠性要比其它钥匙***高。

署名工具51另外可以访问一个用户署名存储器61，该存储器含有用于根据安全询问装置59确定的数据识别用户的信息。这些信息使得可以例如根据安全询问数据和署名之间表格形式的对应确定用户署名。此外，可以根据这些信息将各用户识别为真实存在的人。

此外，署名工具51可以访问一个角色署名存储器63，该存储器含有用于根据安全询问装置59确定的数据确定一个或者多个角色署名的信息。这些信息使得可以例如根据署名与安全询问数据、真实存在的人或者用户署名表格形式的对应确定角色署名。

对于署名存储器61，63特别需要安全性的要求，这可以使得该存储器的远离设置的、中心构成特别具有意义。为此目的其可以独立于数据处理装置50和署名工具51定位，并且也可以例如通过保护的数据远程连接访问。数据远程连接可以是指无电缆的或者是电缆连接的调制解调连接，以及因特网或者企业内部网。

署名存储器61，63的独立定位使得一方面对于其它别的数据处理装置或者署名工具可以访问。另一方面这使得与数据处理装置50相比专门为署名存储器61，63设置更为严格的安全防护，例如采用特别限制的防火墙。

使用两个分离的署名存储器61，63使得署名***可以按最大可能的灵活性模块化地构成。由此，可以在署名存储器61，63中随时可以进一步相互独立地变动。依靠在中央信任中心分开的设置，在用户署名存储器61中可以定期地改变用于识别用户的、安全可靠的信息。在角色署名存储器63中可以对角色属性进行改变，其反映了真实的人对于团队或者责任属性的改变。

上面在使用两个不同署名存储器61，63的基础上描述了标示***。这两个存储器代表了在标记方法执行中出现的信息的逻辑分配。首先，用户以及其用户署名必须在安全询问的结果中被识别，其次，必须为其设置一个角色或者确定一个角色。

尽管模块化的结构正确代表了实际的逻辑分配，不过，自然也可以代之以使用一个单一的、集成的署名存储器。该单一的署名存储器可以根据不同的其它要求分开设置，或者集成在署名工具51或者数据处理装置50中。

但是，重要的是通过安全询问装置59的安全询问不对待分配的、用于标示用户操作的署名做出结论。这保证了，所使用的署名不可被篡改并且是可靠的。

署名工具51在给出用户署名和附加的角色署名的条件下记录了对应用数据或者应用数据存储器57的每次访问。如果分配了多个角色署名，则为了文件目的也给出这些角色署名。所有的署名通过署名工具51连同关于所访问的数据以及关于数据访问方式的信息一起被存储。由此，可以随时在事后重建，何人按何种方式访问了数据。此外，可以根据一个或多个角色署名确定数据访问的当前的角色，而不必为此查找其它的信息，例如归档的服务计划或者参加名单。在此，通过安全询问5随时保证了正确分配用于形成文件的署名。

此外，用户无法查看通过署名工具51使用的署名。由此避免了滥用和篡改署名数据的可能性。此外，用户不再碰到署名的分配，而署名工具51的工作是低廉和可以简单处理的。

数据访问的文件通过署名工具51基本上连同在应用数据存储器57中所访问的应用数据一同进行。此外可以设置一个用于对所有用户操作单独形成文件的审计存储器65。由此，使得可以在审计存储器65中例如仅仅存储数据访问的类型以及署名，而放弃存储可能非常广泛的应用数据。特别是医疗图像数据经常具有可观的存储量，其可能使得要求存放在档案***中。单独的审计存储器65可以在这种情况下用来对针对工作场所的应用历史进行标记，以便除了对应用数据的访问外，也利用各工作场所事后重建地形成文件，而不必存储全部存储密度很高的应用数据。

Claims (16)

1.一种对电子数据的访问进行标示的方法，其中，在第一步骤(5)中，进行一个用于确定用户身份的安全询问；在第二步骤(11)中，根据该安全询问的结果分配一个该用户不能看到的、唯一识别该用户的署名；在第三步骤(19)中，根据该安全询问的结果分配一个该用户不能看到的角色署名，该角色署名可以分配给多个用户；在第四步骤(21)中，在输入用户署名和角色署名的条件下对电子数据的访问进行标示。

2.根据权利要求1所述的方法，其特征在于，在所述安全询问中获取用户的生物数据。

3.根据上述权利要求中任何一项所述的方法，其特征在于，在所述安全询问中读出一电子和/或机械钥匙。

4.根据上述权利要求中任何一项所述的方法，其特征在于，可以根据在所述安全询问中确定的数据通过调用用户署名存储器(61)确定待分配的用户署名。

5.根据上述权利要求中任何一项所述的方法，其特征在于，可以根据在所述安全询问中确定的数据通过调用角色署名存储器(63)确定待分配的角色署名。

6.根据权利要求4或5所述的方法，其特征在于，通过一个数据连接进行对所述用户署名存储器(61)和/或角色署名存储器(63)的调用。

7.根据上述权利要求中任何一项所述的方法，其特征在于，可以同时为一个用户分配多个角色署名。

8.根据上述权利要求中任何一项所述的方法，其特征在于，所述数据是医疗上重要的数据，所述用户是医疗专业人士，而所述角色是对应于医疗专业人士内部的工作分组而分配的。

9.一种具有一署名工具(51)和一安全询问装置(59)的数据处理装置(50)，其中，在所述数据处理装置(50)在访问应用数据之前可以通过所述安全询问装置(59)进行一个用于确定用户身份的安全询问；通过所述署名工具(51)可以根据该安全询问装置(59)的输出信号分配一个该用户不能看到的、唯一识别该用户的署名；通过该署名工具(51)根据该安全询问装置(59)的输出信号，可以分配一个该用户不能看到的、可以分配给多个用户的角色署名；以及通过该署名工具(51)在输入用户署名和角色署名的条件下对电子数据的访问进行标示。

10.根据权利要求9所述的数据处理装置(50)，其特征在于，由所述安全询问装置(59)获取用户的生物数据。

11.根据权利要求9或10所述的数据处理装置(50)，其特征在于，由所述安全询问装置(59)可以读出电子和/或机械钥匙。

12.根据权利要求9，10或11所述的数据处理装置(50)，其特征在于，所述署名工具(51)可以访问一个用户署名存储器(61)，可以从该存储器中根据所述安全询问装置(59)的一个输出信号调用待分配的用户署名。

13.根据权利要求9，10，11或12所述的数据处理装置(50)，其特征在于，所述署名工具(51)可以访问一个角色署名存储器(63)，可以从该存储器中根据所述安全询问装置(59)的一个输出信号调用待分配的角色署名。

14.根据权利要求12或13所述的数据处理装置(50)，其特征在于，所述用户署名存储器(61)和/或角色署名存储器(63)与所述数据处理装置(50)远离地设置，而所述署名工具(51)通过一个数据连接可以对它们进行访问。

15.根据权利要求9，10，11，12，13或14所述的数据处理装置(50)，其特征在于，所述数据处理装置是一个医疗工作站。

16.一种存储介质，其上存储有可以与所述数据处理装置(50)进行交互作用的信息，以便执行按照权利要求1至9所述的方法。

Images