CN100363856C - 数字创建和数字签署的文档的保存系统 - Google Patents

Abstract

一种在数字数据保存系统(10)中保存数字签署文档(160)的方法。安全保存请求(176)将文档(160)与利用识别标记(172)和文档的相关数字签名(168)产生的保存签名(174)相结合。文档(160)经过数字保存系统供应商鉴定之后，文档(160)和识别标记(172)以人类可读形式记录到保存媒体(210)中。

Description

数字创建和数字签署的文档的保存系统

技术领域

本发明一般涉及数字文档数据的保存，具体地说，涉及用于长期保存数字签署的文档的装置和方法。

背景技术

为了阐明本发明的范围，首先需要说明本申请中如何使用术语“数据归档”和“数据保存”。数字数据归档、也称作数字数据存储的传统方法采用各种各样的存储媒体，诸如磁带或磁盘以及光带或光盘媒体，并且可采用诸如定期带备份、冗余盘存储之类的技术。这些存储媒体和技术的使用提供了一定程度的保证，使得数字数据文件在其最初创建和存储之后至少若干年之内能够可靠地检索。与数字数据归档相比，数字数据保存是用于数据存储的较新概念。只是最近才变得十分明显，非常需要一些有效的允许长期存储数字数据的解决方案，其存储期超过现有数据归档方法所提供的存储期。传统的数据存储和归档系统提供有限期限的解决方案，这些方案允许在大约5-10年期间可靠地检索备份的数字数据。另一方面，数据保存系统必须提供一些解决方案，不仅允许在长得多的时间之后检索数字数据，而且还能够允许数据的可用性期限延长到未来数十年、甚至数百年。这种使用期限在很大程度上取决于保存媒体的设计使用期限，在适当条件下存储时预计可持续数百年。

与传统的数字数据归档相比，数字数据保存提供了大量附加优点。例如，为了今后若干年可读及可用，归档的数字数据需要某种迁移，诸如从一种媒体类型迁移到另一种类型，或者从早期数据格式迁移到较新的数据格式。没有某种迁移，则归档的数字数据随时间推移会逐渐变得不可读，从而丧失其价值。分阶段，首先，随着数据格式、应用软件和操作系统被修改或更换，归档数据变得不可用。然后，随着读取和处理硬件及归档媒体随时间而变得陈旧或老化，归档数据就会变得不可恢复。通过迁移使归档数据保持为可用形式的任务会相当艰巨，经过若干年，就要把归档数据从一种数据格式转换到另一种数据格式，或者从一种存储媒体转移到另一种存储媒体，或者从旧的应用变换到新的应用。经过反复的迁移操作，存在增加的出错以及可解释数据丢失的可能性。根据一些行业估计，在典型的迁移操作过程中，多达5％的存储数据会丢失。因此，长期维护归档数字数据可能成本高而且是劳动密集型的，还会包含数据丢失的风险和数据窜改的可能性。

与数字数据归档存在的这些众所周知的困难相比，数字数据保存将允许在许多年中数字数据能以可读状态取回。在理想情况下，数字数据保存将消除或至少减少对数据迁移的任何需要及其伴随的成本和风险。因此，即使在基础设施严重破坏的情况下，数字数据保存系统的用户也将享受数据窜改、丢失或过时的最低风险的好处。

采用某种逻辑处理器创建且以文件形式保存的数字创建文档通常以数字形式在多个用户之间共享，只有一少部分被写到纸上。数字创建文档通常以诸如TIFF、HTML、JPEG、XML、PDF或.txt之类的开放数据格式作为文件来存储和传递。根据设计，这些开放数据格式中的一些可由运行于多种不同计算机平台上的软件按例程来解释。或者，另一些公用数据格式被设计成专有的，只有使用特定的应用软件才可解释。数字保存的一个目的是保持数据的可用性和原始意义，而不需要数据格式或者数据存储机构的迁移，允许文件在其解释形式中可证明未改变，能够用于例如合法证据等目的。

为了使保存的记录被视为“可证明不可变的”，使得这类记录甚至能够被视为合法证据，保存系统通常需要提供“一次写入/多次读取/一次擦除”功能。一次写入功能将不允许改变已保存数据以及未经授权地向保存媒体中添加记录。多次读取功能将允许以一致的精确性从媒体中检索已保存数据。一次擦除功能将确保根据需要彻底删除特定的数据记录。

当前的数字数据归档方法仅允许存取数字格式的数据，具有许多缺点。在数据归档领域的技术人员熟知的问题之中包括设备老化、磁和光存储媒体的使用寿命的限制以及不可避免的数据格式过时，在数据格式与特定硬件或者与操作系统或编程语言的特定版本密切相关的情况下尤其突出。

数字数据的长期保存要求原始数据被如实地保存以及要求该数据在将来任何时候都能以某种形式来解释。这种要求意味着存储数字数据的机构在将来的某个时间不仅能够提供对屏幕显示、打印输出以及其它系统输出的访问，而且能够提供对用于产生这类输出的原始数据的访问。为了实现这个目的，用于检索已保存数字数据的方法必须在可能的范围内独立于具体设备。虽然已经在为不同类型的文件开发普遍接受的数据格式方面进行了各种尝试，但几乎没有开发出任何标准或者几乎没有任何标准可能被采用。

人类可读性是数据保存系统的一个有用特征。人类可读形式的数据的编码甚至提供了先前在任何数据编码和归档方案中忽略的优点。例如，验证以人类可读形式编码的文档的可靠性有一些基本优点，因此不可辩驳地验证文档对其原始来源的真实性也有一些基本优点。文档的未来用户则可以确定已保存版本是原始文档的真实有效副本。

图1说明数字数据归档的传统方法。数字数据由运行某种操作系统204的中央处理器(CPU)200来处理。使用可从操作系统204得到的实用程序的应用202以某种二进制的机器可读形式提供数字数据输出。这种数字数据输出仅可用于发端应用202、或者与应用202兼容的另一个软件应用。数字数据输出仅当由应用202以某种形式解释和呈现时才具有价值，例如文本或图像的静态显示、交互式计算、具有动态链接的网页或者多媒体演示等形式。在图1的传统模型中，二进制存储硬件装置206把来自应用202的数字数据输出存储到二进制存储媒体208、如磁带、磁盘或光盘中。通过图1的配置，归档数据是与应用相关的形式，因此在发端应用202或操作系统204过时的情况下变得不可用。当二进制存储媒体208随时间而退化时，归档数据也变得不可用。

技术发展使早期系统和软件变得过时并为不断增强功能的工具所取代，这种技术发展也是在数字数据保存方面的一个重要考虑事项。存储和检索所用的数据组网技术、数据接口方法以及成像技术的预期发展很可能导致系统硬件的相应变化，同时系统的各种部件随时间而变得过时。数字数据保存系统解决方案的设计所固有的必须是一种明确的策略，允许逐个部件的不断升级，而不损害已保存的数字数据的完整性和可用性。

模拟保存媒体、如缩微胶片已经广泛用于长期保存文档、图纸以及平面ASCII文件，其中数据在视觉上编码为黑白图像。这种媒体已经证实的好处之中包括长的使用期限、能够得到极高分辨率以及固有的人类可读性。这些模拟保存媒体在传统上用于采用记录和存储模拟数据、通常为文档图像的光学照相机的系统中。随着对保存计算机数据的不断增长的需求，这些模拟媒体也已用于数字文档归档系统中，例如Eastman Kodak Company(Rochester，New York)制造的文件归档记录机4800型。其它计算机输出缩微胶片(COM)记录系统已经采用类似的模拟媒体以打印输出的形式来长期保存经过处理和显示的数据。值得注意的是，现有系统只是把这些类型的模拟保存媒体用于存储可由典型应用202输出的文档的黑白图像(图1)。采用传统的磁或光二进制存储媒体208对来自应用202的数字数据进行存储。

要由数字保存系统保存的数字数据文件可源自多个源中的任一个，并且可包括多个数据类型中的任一种。仅作为若干示例，数字数据文件可从扫描的文档或扫描的图像中产生，其中数据的原始来源是手工准备或处理的。数字数据文件可包括编码的双色图像、灰度图像或者甚至彩色图像，如用于彩色印刷的中间色间距。数字数据文件可以是计算机产生的文件，诸如电子表格、CAD图纸、联机创建的表单、网页或者计算机产生的艺术品。诸如声音和动画之类的交互式和感官刺激也可作为数字数据文件来存储。数字数据文件甚至可能包含源代码或二进制代码格式的计算机软件。总之，会存在对长期保存任何类型的数字数据文件的需求，无论实际文件内容是对观看者有意义、例如在文件包含某种文档时，还是对计算机有意义、例如在文件仅由经编码的计算机程序指令组成时。

数字数据文件的保存通常要求数据文件以某种标准格式来封装，使得至少部分数量的元数据、即有关文件本身的数据能够与该数据一起存储。例如，与CAD文件关联的元数据可能标识发端软件和修订、数据的创建和修订日期、设计者姓名、部门和项目相关标识符、传递或完成日期、工作流程表、访问许可等级等等。元数据内容可以不仅包括基本信息、如文件ID和查找信息，而且还包括优化随后的数据检索和解释的信息、如图像质量量度和媒体/记录器特性。

特定的数据格式可能随时间而过时使数据保存的问题更为复杂。根据数据源的类型和诸如数据文件的特定性质之类的因素，预计许多数据格式会渐渐不能使用，从而危及将来某个时间对数据内容的可能调用。许多机构已经遇到这种问题，知道了大量的存储数据已经损失太多或者甚至无法可靠地检索。

同时，已经提出一些有前途的解决方案，以将来继续可读的形式提供数据。用于实现这个目的的一个方法是可扩展标记语言(XML)倡议。XML、文档类型描述(DTD)以及XML模式结构提供了一定程度的自定义、固有地开放的结构以及计算机平台便携性，还提供了用于使数据成分的定义本身能够作为与数据文件关联的元数据来存储的数据格式化的工具。但是，至今没有进行任何尝试来提供采用支持长期保存和检索数据的可扩展标记语言和技术的解决方案。

已经公开了一些用于以人类观测者可感知的机器可读格式存储文档的方法。PCT申请No.00/28726(Smith，Leonhardt，Frary)公开了在激光可写光存储媒体中存储二维文档，其中文档的图像与表示数字记录的二进制数据一起写入媒体。但是，PCT申请No.00/28726所公开的方案仅限于存储文档数据，这只是可能需要保存的数据类型的整个集合的一个子集。PCT申请No.00/28726系统的明显缺陷在于：它采用利用激光写入的传统光存储媒体、光盘或光带，从而限制了存储数据的使用期限。此外，PCT申请00/28726所公开的系统的多次写入特征使该系统不适合保存可证明不随时间改变的数据记录。在可变激光强度下标记光媒体的可见效果会被经过训练以解释所产生的二进制1和0标记的人类观测者所感知和解释的意义上，采用PCT申请No.00/28726所公开的系统写入的数据可能或多或少是“人可感知的”。但是，在提供采用扫描仪直接可读或者甚至是人类观测者能够从媒体读取的真实“人类可读”数据时，这种编码方法是无效的。没有干预硬件，由于其上层系统的信赖性，存储在如PCT申请No.00/28726中公开的光媒体中的二进制数据将会很难获取。

共同转让、共同未决的欧洲专利申请No.01203996.2公开了利用诸如胶片之类的模拟媒体长期保存存储在虚拟文件夹中的文档数据的方法。如同其它解决方案一样，这种系统不提供整套用于数字文件的可能保存功能。重要的是，欧洲专利申请No.01203996.2所述的方法仅限于保存文档的图像，而没有尝试保存数字创建文档数据本身以及与该文档关联的人类可读形式的元数据。

更狭隘地针对保存一段时期的文档和图像的上述解决方案仅提供了“单点”方案，它们不能够解决较大数据保存的问题。文档本身仅构成必须保存的数字数据的小子集。例如，可能需要保存的除文档以外的数字数据的典型形式包括：灰度、彩色图片和诊断图像；电子表格数据；卫星数据和其它仪表读数；音频、视频和多媒体演示数据；软件；HTML内容；以及数据库记录。可以理解，这种更广泛的数字数据类型的保存和检索要求超出文档保存可能需要的方法的其它方法。例如，对于这个更广类别的数字数据，可能更需要保存和检索其它基本的相关数据，诸如与图像或文档的某部分相关或用于产生这部分的源数据。

传统的归档方案主要以逐段方式来实现。例如，一个机构若认识到需要将特定文档或图像归档，通常会购买记录器和某种形式的兼容存储媒体。随着归档文档和图像主体的不断增多，则将某种形式的读取器可能与打印归档图像或文档的打印机一起结合到系统中。维持某种记录保持类型，以便跟踪所存储的文档以及管理修订和处置周期。随着时间推移，当不同的装置变得过时或者较新的装置可用时，附加部件的更换和实现使传统系统可以发展或升级。通常，要求分配大量劳动力以便与传统系统的部件配合工作，录入新的归档文档和图像以及向归档系统用户发出的检索请求提供服务。

简言之，传统的归档系统必须由其用户来设计、组装以及与不同制造商生产的部件结合。用于系统升级、装置更换、网络互连、以及处理归档信息格式的最终废弃等的策略大部分要专门实现，从而对于这些系统在将来为其用户提供对有价值归档数据的访问产生了许多担忧。

在法律和技术领域中不断地认识到对文档数据真实性鉴定的需要。数字签名已经发展为用于验证电子文档有效性的广泛接受的方法，其中文档数据可能需要通过网络传递或者记录到数据媒体上。数字签名是采用电子文档本身的数据特征以及签署人独有的私有密钥计算的二进制数据元素。NIST(国家标准技术研究所)、联邦信息处理标准出版物186(FIPS 186，1994年5月)的出版物“关于数字签名标准(DSS)的规范”将数字签名命名为“书面签名的电子模拟”。数字签名用于检验文档是由其创始人所签署的而且文档版本与原件相同，没有传输错误、窜改或其它错误。

当数字签署的文档被传送或存储时，其数字签名与文档相联系以供以后检验。许多专利针对采用数字签名、编码时标或类似检验符以验证所存储或传递的文档的系统，其中包括以下专利：

美国专利No.6289460(Haimiragha)公开了一种文档管理系统，它包括用于提供储存文档安全性的数字公证方案。

美国专利No.6263438(Walker等人)公开了一种用于为安全文档数据添加时标的方法和装置。

美国专利No.6185683(Ginter等人)公开了一种提供增强安全性和电子签名的文档分发环境。

美国专利No.5790677(Fox等人)公开了一种采用对安全文档分发的加密的电子商务所用的系统和方法。

美国专利No.5765152(Erickson)公开了一种将数字签名用于数据鉴定的安全联机电子媒体分发系统。

对于上述各个专利，仅涉及数字工作流程，其中数字签署的数据在整个过程中作为二进制数据元素来处理。对于如何能够把数字签署的数据施加和运用于以人类可读形式处理和保存数据的系统中，没有提供任何建议。

虽然已有传统的方法用于在存储、检索和传递操作中采用数字签名确保文档数据的有效性，但没有任何已知的方法用于以人类可读形式保存数字签署的文档。可以理解，用于保存这种附加鉴定信息的可靠方法通过以人类可读形式保存文档数据供近期或将来使用的数字保存系统将具有实际价值。

因此可以看到，需要一种提供保存数字签署文档数据与鉴定的方式的数字数据保存系统，尤其是在以人类可读形式保存文档数据本身的情况下。

发明内容

本发明的一个目的是提供一种用于数字签署的文档的数字文档保存系统。考虑到这个目的，本发明提供一种用于保存由用户提供给保存服务供应商的文档数据文件的方法，其中数字签名与文档数据文件相关联，该方法包括：

(a)对数字签名解码以获得所述文档的第一唯一数据检验符；

(b)处理文档数据文件以产生文档的第二唯一数据检验符；

(c)把第一唯一数据检验符与第二唯一数据检验符进行比较；

(d)把识别标记与文档数据文件相关联以构成保存记录；以及

(e)把保存记录记录到保存媒体中。

另一方面，本发明提供一种用于保存由用户提供给数据保存服务供应商的文档数据文件的方法，其中数字签名与文档数据文件相关联，该方法包括：

(a)通过以下步骤构成安全保存请求：

(a1)采用供应商的公开密钥对数字签名以及来自用户的识别标记进行编码以构成保存签名；

(a2)将文档数据文件与保存签名相关联以构成安全保存请求；

(b)把安全保存请求传递给供应商；

(c)采用供应商的私有密钥对保存签名进行解码以获得数字签名和识别标记；

(d)采用用户的公开密钥对数字签名进行解码以获得第一唯一数据检验符；

(e)处理文档数据文件以获得第二唯一数据检验符；

(f)将第一和第二唯一数据检验符进行比较；以及

(g)把文档数据文件和识别标记以人类可读形式记录到保存媒体中。

本发明的方法修改了常规上用于鉴定站点之间传送的文档数据且在数字存储时不可查看的数字签名的使用，现有支持基础设施当前用于利用以人类可读形式保存的数字签署文档数据的保存所用的数字签名验证文档数据的可靠性。

本发明的一个特征在于，它提供用于发送安全请求以保存数字文档数据的方法，其中请求的一个成分可用于鉴定数字文档数据。

本发明的一个优点在于，它允许用于鉴定所保存的文档数据的来源和完整性的方法。本发明提供用于安全传送供保存的文档数据、用于保存经过鉴定的文档数据以及用于检索经过鉴定的文档数据的方法。

本发明的一个优点在于，它提供用于把文档数据和相关鉴定数据以人类可读形式保存到长期保存媒体中的方法。这使文档数据及其相关鉴定数据能够与特定计算机平台硬件或软件无关，使得将来的计算装置能够使用并验证由此保存的文档数据。

通过结合附图阅读以下说明和描述本发明的说明性实施例的详细说明，本领域的技术人员会理解本发明的这些和其它目的、特征以及优点。

附图说明

虽然本说明以具体指出本发明的主题并明确要求其权益的权利要求书来总结，但通过以下结合附图的说明，相信会更好地理解本发明，其中：

图1是表示传统数字归档系统的功能的框图；

图2是数字数据保存系统的功能与传统数字归档系统的功能对比的框图；

图3是表示本发明的装置部件及其相互关系的框图；

图4是表示用于提供对文档数据的安全保存请求的数据流的框图；

图5是表示用于检验所接收的安全保存请求并由文档数据保存服务供应商把经过鉴定的文档记录到保存媒体中的数据流的框图；

图6是表示用于存在多个文档签署者时提供对文档数据的安全保存请求的另一个数据流的框图；

图7是表示用于存在多个文档签署者时提供对文档数据的安全保存请求的又一个数据流的框图；

图8是表示用于产生文档的数字签名的过程的框图；

图9是表示应用供应商验证标记的另一个过程的框图；

图10是表示识别标记由供应商从安全源获得并附加到记录中供保存的另一个过程的框图；

图11是表示用于提供所保存文档的可证明保存签名的另一个过程的框图；以及

图12是表示用于对采用图11的过程创建的可证明保存签名进行解码的过程的框图。

具体实施方式

此描述特别针对构成根据本发明的装置的组成部分或者更直接地与其合作的单元。应当理解，没有特别标明或者描述的单元可采用本领域的技术人员众所周知的各种形式。

必须强调，虽然本发明的方法的优选实施例适用于如图2所示的数字数据保存系统10，但本发明能够更广泛地适用于一般的文档数据存储系统。虽然本发明提供了文档数据以人类可读形式来保存的独特优点，但这些方法与采用标准数据归档方法或采用人类可读与机器可读数据表示的某种组合的系统配合使用也是有利的。

已编码的人类可读数据记录的定义

定义用于本申请中的术语“人类可读数据记录”是有益的。人类可读数据记录是以可见方式记录在保存媒体中的编码数字数据的单元。人类可读数据记录可具有多个部分，各个部分以不同的方式进行编码。例如，JPEG图片的人类可读数据记录可包括以下成分：

·以人类可读字符、例如ASCII字符编码的JPEG数据；

·在保存媒体上再现的光栅图像；

·以基本形表示为二进制(1/0)数据并在保存媒体上编码为可见的二进制字符集的位图数据文件。这种二进制字符表示可以是1和0、点和空格、或者对二进制数据编码的其它可见标记。但是，优选实施例采用广泛用于因特网上的数据文件传输且与信息领域中类似的Base-64编码，使得编码数据表示为一连串的ASCII字符。

·有关JPEG文件的信息，称作元数据，以人类可读字符、例如ASCII字符编码。

多格式保存JPEG图片保存该图片，使这个图像数据及相关元数据能够很容易被检索。

人类可读数据记录不需要包含传统意义上的“可视图像”的图像数据。任何类型的数字数据都能够以类似方式存储，以可见方式形成于保存媒体上。因此，例如，电子表格、音频文件、多媒体演示或者甚至已编译的操作系统都能够采用本发明的系统和方法来编码并保存为人类可读数据记录。

参照图1和图2，图中表示数字数据保存系统10与传统数字归档系统的对比。如上所述，图1表示传统归档系统的功能。与此相比，图2则表示数字数据保存系统10以及传统数字归档系统。通过数字数据保存系统10，记录器40在人类可读保存媒体210上成像。数字数据保存系统10保存数字数据的人类可读表示，与操作系统204、CPU200以及应用202的相关性无关。重点放在保存从应用202输出的数据的经验表示以及支持该表示所需的数据和元数据。被保存的数据可以是视觉、听觉、触觉或其它感觉数据，或者可以是其它某种人类理解的输出数据。

强调人类可读保存媒体210和传统归档系统所用的二进制存储媒体208之间的差异是有益的。与只是机器可读的数据记录不同，人类可读数据记录最终可由观测人员可能借助于放大光学装置来解释。人类可读保存媒体210采用通常经过放大、在视觉上可辨认的标记来编码。也就是说，读取标准字母数字符号的能力通常视为对于由人或仪器来检索人类可读数据记录的基本要求。由于这种“独立”特征，人类可读数据记录与任何读取数据记录的特定硬件无关。人类可读数据记录一般以特定的数据格式来编码，但是，人类读者能够可能借助于放大来阅读编码数据。

适当的人类可读保存媒体210的示例包括缩微胶片和相关胶片产品以及具有相似的预计长使用期和优秀的图像稳定性的其它类型的媒体。除了基于胶片的媒体之外，可以接受的用作人类可读保存媒体的某种形式的其它媒体类型包括以下各项：

(a)经过适当处理和精加工的电子照相媒体；

(b)热媒体，例如热染料升华媒体；

(c)喷墨媒体，尤其是采用塑料膜或反射材料；以及

(d)金属板材料，采用诸如蚀刻和激光烧蚀之类的方法写入。

用于人类可读保存媒体210的材料的特征在于极长的使用寿命。另一方面，二进制存储媒体208包括磁带或磁盘以及光存储媒体。一般来说，二进制存储媒体208上的标记不是肉眼可读的，无论借助或不借助于放大，并且因其较短的使用期限以及从这些媒体中进行数据存取的硬件、软件依赖性而不适合用于可靠的长期数据存储。对CPU200、操作系统204或者应用202的任何改变都会导致已经记录在二进制存储媒体208上的数据不可用。相反，记录在人类可读保存媒体210上的数据仍然可以被解释，而与CPU 200、操作系统204或应用202的变化无关。

系统10概述

参照图3，图中表示一种数字数据保存系统10，它配置成接受保存编码数据记录的保存请求以及接受提供已保存编码数据记录副本的检索请求。设计中模块化，数字数据保存系统10包括许多部件，其中每一个都具有优选实施例，但允许多个可选实施例。有益的是强调：用于结合各部件的模块化设计允许数字数据保存系统10适当地缩放以适应大量需求，使它能够在单个系统10中提供多个数据保存选项，以及对发展和逐个部件升级提供高度的灵活性。

再参照图3，通常采用计算机工作站终端来实现的前端12提供一个操作员界面，用于接受对于保存装置18管理的编码数据的保存和检索请求。请求处理/数据路由预处理器24用作输入处理器，处理操作员请求，以及对于数据保存请求，接受输入数据以及与前端12所接收的输入数据有关的信息。对于数据保存请求，请求处理/数据路由预处理器24对输入数据提供预处理。这个预处理功能可包括图像优化，以便适合由保存装置18进行再现。请求处理/数据路由预处理器24的关键功能是把输入数据转换成保存装置18接受的标准格式。其它功能可包括一些类型的图像所需的预处理。例如，预处理可调整图像中保存装置18可能无法再现原始线条宽度的细线宽度。其它专用图像预处理功能可提高亮度、锐度或者对比度，缩放图像，保存色彩信息，衰减图像噪声，或者适当地调整灰度值以适应保存装置18的要求。请求处理/数据路由预处理器24还可执行图像的专门版面设计，以便为写输出操作作准备。

必须注意，请求处理/数据路由预处理器24所提供的预处理功能要对数据记录内容是“无害”的。也就是说，预处理操作不改变数据记录中包含的数据。而是，预处理操作修改这种数据的格式以适应保存装置18中的记录器40及其相关保存媒体的特性。

已经完成初始预处理功能之后，请求处理/数据路由预处理器24把输入数据和有关输入数据的信息路由到保存装置18。保存装置18提供用于保存与前端12交互作用的数据的模块部件，但除了所允许的接口命令和响应集之外，它相对前端12作为“黑盒子”工作。保存装置18包含数据处理单元26，它接受已通过前端12中的请求处理/数据路由预处理器24预处理的要保存的记录。当接收到要保存的数据记录时，数据处理单元26在索引数据库30中建立条目。然后，数据处理单元26对输入数据及其相关元数据进行处理和编码，产生用于保存的编码数据记录。例如，元数据可包括关于输入数据的信息、索引条目、编码格式说明、记录器和媒体特性、对优化数据检索有用的其它图像质量信息。然后，数据处理单元26把这个编码数据记录传送给记录器40。在记录器40中，成像装置42把人类可读数据记录到来自媒体源70的一段原始媒体(未标出)中。根据原始媒体的类型，可能需要媒体处理器44在保存媒体上显示最终编码数据记录的图像。物理存储装置50为维护已保存最终编码数据记录的媒体提供安全罩。物理存储装置50可以是气候受控的存储设施、仓库或用于长期保存任务的其它结构。

数据处理单元26的另一个功能结合请求处理/数据路由预处理器24来提供预览功能，这对于图像和文档极有价值。采用以下概述的一系列步骤，数据处理单元26产生一个或多个预览图像，图像可向前端12或另一个发送位置处的观测者显示。预览功能提供了对文件传输和转换操作的可视检查，使操作员能够估计请求处理/数据路由预处理器24所执行的任何图像增强操作。更重要的是，预览功能能够为保存系统10的用户提供选择保存装置18进行的数据存储或检索的质量等级的选项。利用预览功能，用户能够查看数据记录的一个或多个表示，就象数字数据保存系统10所恢复的一样。

来自操作员的检索请求由前端12的组成部分、即检索控制处理器60来接收。检索控制处理器60与控制逻辑处理器20以及物理存储装置50配合以访问物理存储装置50中的保存的记录数据，并把取回的数据提供给保存装置18中的数据恢复处理器62。然后，取回的人类可读的编码数据记录能够以某种形式为正在请求的操作员所访问。例如，取回的编码数据记录能够在打印机上打印或者在前端12的终端上显示。或者，已恢复的人类可读数据记录能够作为数字数据文件来提供，能够传递到连网计算机供进一步处理。后处理操作可由检索控制处理器60适当地应用。例如，可执行图像增强以适合所取回的人类可读数据记录的显示或打印。

前端12能够定制，以便适应数字数据保存系统10的各个用户的保存需要和工作流程要求，并在接收适当格式的输入数据时允许灵活性。接口实用程序的标准工具包便于定制前端12，使得数字数据保存系统10适合用户环境。这样，用户可以使用存储在保存装置18中的保存数据的内容，而不管保存装置18的操作的细节。同时，在其内部操作中，保存装置18具有结构化部件、数据传送格式以及工作流程。从而使保存装置18的操作标准化，以便确保与用户界面差异和特定输入数据格式无关的一致结果。例如，采用这种配置，具有单个保存装置18的单个数字数据保存系统10能够用于多个用户，每个用户使用具有适当的接口工具集的前端12，其中例如为每个客户机定制接口工具。

数据处理部件

再参照图3，可以很容易理解保存装置18中的控制逻辑处理器20的中心作用。控制逻辑处理器20与保存装置18中以及前端12中的多个其它处理器交互作用，以便控制数据编码、记录、保存和检索的各级。数字数据保存系统10的规模以及数字数据保存系统10的各种部件的位置决定如何实现控制逻辑处理器20以及如何实施其相关的数据处理单元26、前端12中的请求处理/数据路由预处理器24、检索控制处理器60。

在一个优选实施例中，控制逻辑处理器20是计算机工作站，如高端Windows NT个人计算机或者基于Unix的工作站。前端12是独立的连网计算机工作站。例如，单个保存装置18能够通过如局域网(LAN)或因特网与一个以上前端12交互作用。这允许采用多个前端12工作站的灵活配置，各工作站能够处理保存请求以及从保存装置18获取保存的数据。

必须注意，对于较小的数字数据保存系统10，单个计算机工作站可用作前端12，执行请求处理/数据路由预处理器24的功能以及控制逻辑处理器20的功能。但是，将连网的前端12的功能与保存装置18中的控制逻辑处理器20的功能分开有明显的优势。能够定制前端12以适合给定用户环境的界面要求和工作流程，使多个前端12能够与单个保存装置18组网。例如，这种配置将允许服务部门操作保存装置18，以便为多个客户机提供服务，各个客户机配备了独立的定制前端12。保存装置18可位于例如可访问前端12客户机的网络的服务器上。

较小的命令功能集将允许前端12与保存装置18通信，以便提供要保存的数据记录以及获得由保存装置18保持的保存数据记录。通过使前端12不同于保存装置18，用户获得相对于硬件、存储装置、扫描装置以及保存装置18的其它方面分离的插入等级的好处。在保存装置18中，可更换老化或过时的部件，配置冗余系统、或者修改内部工作流程序列，所有这一切都不影响前端12上的用户。

可容易理解，请求处理/数据路由预处理器24最好是可以访问大量存储空间、如一个或多个大硬盘，以利于前端12有效地传递大文件。存储容量还将允许保存请求的缓冲，包括待保存数据的缓冲。

数据处理单元26接收和处理最初已经在请求处理/数据路由预处理器24上接收和处理的输入数据。数据处理单元26的主要输出是准备作为已编码的人类可读数据记录成像并提供给记录器40的已处理数据。在一个优选实施例中，数据处理单元26的输出是用于驱动记录器40的光栅数据。

在一个优选实施例中，数据处理单元26是配置成对输入数据执行适当处理程序的独立工作站计算机。或者，例如对于小型保存装置18，数据处理单元26的功能也可由控制逻辑处理器20硬件来执行。或者，前端12中的请求处理/数据路由预处理器24的功能和保存装置18中的数据处理单元26都可由与用作控制逻辑处理器20的计算机工作站分开的计算机工作站来执行。

检索控制处理器60可包括配置成控制和处理检索请求的独立计算机工作站。或者，例如对于小型保存装置18，检索控制处理器60的功能也可由控制逻辑处理器20硬件来执行。

组网配置

再参照图3，可以理解，对于数字数据保存系统10的各种部件的互连，存在大量可能的配置。例如，在一个优选实施例中，高速以太网网络用作数字数据保存系统10的互连基础设施。为了得到最佳性能，前端12利用这种高速连接与保存装置18连接。

组网也可用于连接保存装置18中以及前端12中的各处理器。通过这种配置，能够以适合数字保存装置18的规模和范围的方式、在不同位置设置保存装置18中配置成控制逻辑处理器20、数据处理单元26以及检索控制处理器60的各计算机工作站。例如，使数据处理单元26位于记录器40附近一般是有利的，但是，更好是在不同位置设置其它逻辑控制部件。

但是，网络拓扑不限于以太网或局域网(LAN)方案。例如，把记录器40设置在另一个位置的受保护环境中可能是有利的。在这种情况下，部件互连可采用多种组网类型中的任一种，例如从与因特网连接的高端、高速专用电信链路到拨号调制解调器连接。

组网还允许系统功能和选项的发展的灵活性。例如，使系统10为其用户提供利用成像器42的许多不同技术中任一种来成像的选项可能是有益的。在本发明的一个扩展组网实施例中，可提供成像器42的多个站点。在一个站点，对一种规格的基于卤化银的缩微胶片进行成像，另一个站点采用干法在光敏媒体上打印编码的人类可读数据记录。与这两个站点链接，单个数据处理单元26就能够以一种用于预定数据保存媒体格式的适当方式来准备所需记录。或者，各站点可采用其本身的数据处理单元26。

另外，组网还允许系统规模发展的灵活性。利用本发明的组网系统配置，系统能够被扩大以包括多个记录器40、多个提供物理存储装置50的站点以及多个不同的数据恢复处理器62。

产生数字签名

“数字签署文档”是具有能够被解码以检验文档真实性的相关数字签名文件的电子文档，尤其是针对于文档传送。参照图8，图中表示产生数字签名168的过程。电子形式的文档160通过安全散列函数162来处理。散列函数162产生用作文档160的数字“拇指纹”的散列文件164。数据编码和检验领域中众所周知的散列函数162是一种数据完整性检验变换，它提供唯一数据检验符、如散列文件164作为处理输入文件的结果。输入文件的最细微改变引起所得散列文件164的内容的显著变化。散列函数162从而允许检验接收时的文档160是否与发送时的文档160相同。

如以上背景信息所述，FIPS PUB 180定义了用于数字签名实现的标准安全散列算法(SHA)。在所用的术语中是FIPS PUB 180，散列函数用作“消息摘要”。此消息摘要对应于本发明的散列文件164，如图8所示。

为了允许以后对文档160数据的检验，采用用户私有密钥166对散列文件164编码，提供伴随文档160传送的数字签名168。虽然产生散列文件164的散列函数162是标准类型的数据完整性检验变换，但也可使用提供某种形式的唯一数据检验符的其它类型的较少使用的数据完整性检验变换。但是，必须强调的是，尤其是对于文档数据保存系统，推荐使用公认的数据完整性检验变换，使得任何将来的数据检索请求能够被适当处理，以便采用相同的数据完整性检验变换来鉴定所检索的文档数据。例如，专有数据完整性检验变换的使用会存在将来的系统不增加大量成本就无法应用专有算法的风险。

产生安全保存请求

参照图4，图中表示在一个优选实施例中创建由用户提交给操作数字数据保存系统10的供应商的安全保存请求176的过程。数字签名168与识别标记172结合，其中识别标记172是人类可读的并且唯一地标识向数字数据保存系统10发送文档160的发送方。根据所需的安全和鉴定等级，识别标记172可包含例如以下各项中的任何项：

·明文打字的名称，如电子邮件通信中那样；

·手写签名的数字化图像；

·电子信笺抬头；

·生物统计标记，例如由人体特征导出的唯一指示符、如指纹；或者

·签名印记或图章的数字化图像。

在一个优选实施例中，识别标记172包含手写签名的数字化图像。数字化图像通常为光栅形式，例如光栅TIFF文件。作为备选方案，识别标记172可包含鉴定用户身份的其它某个类型的数字化图像、如以上示例的任一个。如图4的过程图所示，用户采用已经从可信公域公开密钥服务器获取的供应商公开密钥170对组合的数字签名168和识别标记172进行编码。数字签名168和识别标记172在编码之后的这种结合提供保存签名174。仅可由正接收的供应商解码的这个编码保存签名174有助于确保识别标记172及其所附数字签名168的安全传递。保存签名174和文档160的组合从而形成安全保存请求176，它被发送给数字数据保存系统10。作为另一选择，例如，又可采用用户私有密钥166或另一个适当的编码机制对文档160本身进行编码。

图4所示的数据处理步骤通常在用户工作站、例如具有足够计算和存储资源用于编码和所指示的数据操作任务的个人计算机或工作站上执行。采用数据编码领域中众所周知的技术来执行公开密钥/私有密钥编码。公开密钥由公域服务器提供，如当前在传统的安全数据传递中执行的一样。作为图4所示处理步骤的结果，保存签名174有助于进一步鉴定数字签名168以及最初由用户提供的识别标记172的传输。

完成图4所示处理步骤之后，安全保存请求176能够通过网络或者诸如在某种存储媒体上从用户站点传送到数字数据保存系统10。在一个优选实施例中，安全保存请求176在相同的文件操作中作为单一单元被发送。但是，为了提高安全性，保存签名174能够单独利用例如在独立的安全网络上或者在存储媒体上独立的文件传递操作来提供。

鉴定文档160

参照图5，图中表示在已经接收到安全保存请求176之后在数字数据保存系统10上执行的处理。图5中通常由前端12所执行的处理检验已经提供了鉴定文档160。在图5的鉴定步骤之后，文档160及其相关识别标记172能够由数字数据保存系统10写入和保存。

如图5所示，提供数字数据保存系统10服务的供应商接收其中包含文档160和保存签名174的安全保存请求176。在接收站点利用供应商私有密钥180对保存签名174进行解码，从而提供数字签名168和识别标记172。对文档160的鉴定通过第一解码数字签名168采用从公开密钥服务器得到的用户公开密钥178来提供，以便提供解码散列文件164’。以并行方式采用与用户在编码时(参照图8)所用相同的安全散列文件162来处理文档160，以便产生散列文件164。然后，作为检验步骤的一部分，将散列文件164与解码散列文件164’进行比较。当散列文件164和解码散列文件164’相同时，可证明文档160有效。这时，供应商可以放心，对于所有合理的可能性，已接收和解码的文档160是可信的。

除了采用图5所示过程可用的之外，还可提供其它等级的有效性和安全性。例如，在一个备选实施例中，作为安全保存请求176的组成部分接收的文档160可能已经由用户采用用户的私有密钥进行了编码。在这种情况下，必须在通过安全散列函数162处理之前在数字数据保存系统10采用用户公开密钥178对编码文档160进行解码。这个附加处理验证了仅从特定的用户站点接收到文档160。

再参照图2，文档160经过鉴定之后，就可以写入人类可读保存媒体210。在这个优选实施例中，识别标记172通过记录到同一段人类可读保存媒体210上以物理方式与其相关文档160相关联，如图5所示。例如，文档160及其相关识别标记172能够写入胶片的相同段。在记录时，识别标记172提供其所附文档160的可查看和可证明的鉴定，极其类似于数字签名168对于其相关电子文档160的功能，不过优点是识别标记172被记录到人类可读保存媒体210中。这种配置有助于以与特定操作系统或硬件部件无关的形式来保存文档160数据。

在一个优选实施例中，识别标记172及其相关文档160以人类可读格式编码为图像。但是，在本发明的范围之内，也可使用将识别标记172与文档160关联的其它方法或者数字数据保存系统10可提供其它编码方法，例如采用XML表示或者以其它某种普遍认可的标准形式进行编码。

备选实施例

在一些情况下，文档160的完全鉴定可能要求提供一个以上识别标记172作为安全保存请求176的一部分。参照图6，图中表示第一识别标记172a和第二识别标记172b结合到安全保存请求176中的另一个过程。如图6所示以及以类似于图4所示过程的方式，采用数字签名168和供应商公开密钥170对第一和第二识别标记172a、172b进行编码。得出第一保存签名174a和第二保存签名174b，然后再将它们结合到安全保存请求176中。

参照图7，图中表示多个识别标记172能够被结合到同一个保存签名174中的又一个实施例。在此实施例中，第一和第二识别标记172a和172b与数字签名168共同编码，产生保存签名174。如同图6所示的方法那样，图7的方法能够经过扩展，允许任何数量的识别标记172结合到保存签名174中。提供多个识别标记172的解码操作遵循图5所示的相同的全部顺序，其中重复适当的步骤以处理各个独立的识别标记172。已经鉴定文档160之后，所有已提供的识别标记172则与文档160一起被记录到人类可读保存媒体210中。

接收站点上的有效性

在另一个实施例中，如图9所示，有效性标记184、如印记或其它类型的标记可添加到接收文档160的记录数据中，作为由数字数据保存系统10的供应商所维护的有效性指示符。图9的示例表示如参照图5所示、从安全保存请求176中得出的文档160和数字签名168的处理。这里，当解码散列文件164’和散列文件164被检验为相同时，由供应商在接收站点、即数字数据保存系统10上添加有效性标记184。然后，文档160、识别标记172以及有效性标记184均以人类可读形式记录到保存媒体210中，如参照图2所述一样。有效性标记184可包括来自鉴定机构的证明时标，证实文档160已通过鉴定，并且可包括时间、日期，证明机构或位置以及其它关键信息。有效性标记184还可以是图章或者供应商站点特有的其它标记，或者以电子方式产生，每个例示是唯一的。

应当注意，有效性标记方案(如添加时标)能够用作许多不同处理步骤的一部分，例如用于创建数字签名168或者安全保存请求176。例如，时标可作为独立文件附加于识别标记172，或者可以结合为安全保存请求176的组成部分。证明时标也可由供应商获得，以便在某个时间鉴定对完全保存请求176的接收。

在用户不提供识别标记172的另一个实施例中，只有文档160和数字签名168提供给供应商。这种情况如图10所示。供应商采用与优选实施例中所述相同的过程对数字签名168进行解码。在鉴定文档160之后，数字数据保存系统10的供应商从安全源、如数字锁定箱获得用户的识别标记172的副本。然后，将识别标记172附加到文档160以便记录到人类可读保存媒体210中。可选地，有效性标记184也可另外与文档160一起记录到人类可读保存媒体210中。

增强的安全保存请求

在一些情况下，特别注意防止使用文档160的伪造数字签名可能是有利的。参照图11，图中表示用于产生安全保存请求176’经增强以提供附加保护措施的一序列步骤。采用用户私有密钥166对数字签名168和识别标记172共同编码，以形成用户保存检验符190。然后，采用供应商公开密钥170对用户保存检验符190进行编码，产生可证明的保存签名192。然后，可证明的保存签名192与其本身可能可选地被编码的文档160的组合形成增强的安全保存请求176’。通过这种配置，只有预定供应商才能够对可证明保存签名192进行解码。也只有特定用户的公开密钥才能够对用户保存检验符190进行解码。

参照图12，图中表示由供应商在数字数据保存系统10上执行以检验利用图11所示过程得到的增强安全保存请求176的相反过程。采用供应商私有密钥180对可证明保存签名192进行解码，得出用户保存检验符190。然后，采用用户公开密钥178，对用户保存检验符190进行解码以得出数字签名168以及任何提供的识别标记172。采用用户公开密钥178对数字签名168进行解码以得出如图9所示、可与由文档160产生的散列文件164进行比较的解码散列文件164’。当解码散列文件164’和散列文件164相同时，文档160能够与识别标记172一起被记录。

本发明的方法提供多种方法在数字数据保存系统10中保存数字签署的文档160。值得注意的是，虽然本发明的方法最有利地适合于如数字数据保存系统10所提供的长期保存的要求，但这些方法也可通过利用传统的光或磁媒体提供文档或图像归档的系统来实现。虽然本发明的方法提供了文档数据以人类可读形式来表示的显著优点，但也可通过其中可采用传统数据表示方法或采用人类可读和机器可读数据格式的某种结合存储文档的系统来实现这些方法。数据编码领域的技术人员已知的许多不同的编码和解码方案能够代替上述传统的公开密钥/私有密钥配置。

因此，所提供的是一种用于在人类可读媒体上保存数字签署的文档数据的数字保存系统。

Claims (9)

1.一种用于保存用户提供给保存服务供应商的文档数据文件的方法，其中数字签名与所述文档数据文件相关联，所述方法包括：

(a)对所述数字签名解码以获得所述文档数据文件的第一唯一数据检验符；

(b)处理所述文档数据文件以产生所述文档数据文件的第二唯一数据检验符；

(c)将所述第一唯一数据检验符与所述第二唯一数据检验符进行比较，当所述第一唯一数据检验符与所述第二唯一数据检验符相同时，证明所述文档数据文件有效以实现对所述文档数据文件的鉴定；

(d)所述文档数据文件经鉴定之后，把识别标记与所述文档数据文件相关联以构成保存记录；以及

(e)把所述保存记录以人类可读形式记录到保存媒体中，在记录时，所述识别标记提供所述文档数据文件的可查看和可证明的鉴定。

2.如权利要求1所述的保存文档数据文件的方法，其特征在于所述第一唯一数据检验符是散列文件。

3.如权利要求1所述的保存文档数据文件的方法，其特征在于还包括把有效性标记记录到所述保存媒体中的步骤，所述有效性标记用于证实所述文档数据文件已通过鉴定。

4.如权利要求1所述的保存文档数据文件的方法，其特征在于所述识别标记由所述用户提供。

5.如权利要求1所述的保存文档数据文件的方法，其特征在于所述识别标记取自由录入文本、数字化图像、生物统计标记以及扫描数据组成的集合。

6.如权利要求1所述的保存文档数据文件的方法，其特征在于所述识别标记以电子方式产生。

7.如权利要求1所述的保存文档数据文件的方法，其特征在于处理所述文档数据文件的步骤包括对所述文档数据文件进行解码。

8.如权利要求1所述的保存文档数据文件的方法，其特征在于将识别标记与所述文档数据文件相关联的步骤包括把所述识别标记链接到所述文档数据文件的步骤。

9.如权利要求1所述的保存文档数据文件的方法，其特征在于所述识别标记由所述保存服务供应商从安全数字锁定箱获得。

Images