TWI766430B - 可動態調整資料授權政策的去中心化資料授權控管系統 - Google Patents

Abstract

本發明提供一種去中心化資料授權控管系統，包含：一第三方服務子系統；資料請求者裝置，用於產生包含一訊標識別資料的一第一訊標請求；以及一區塊鏈子系統，可驗證訊標識別資料所對應的一授權訊標的有效性。倘若授權訊標為有效，則區塊鏈子系統可產生一第一取用訊標。資料請求者裝置可在獲取第一取用訊標後，傳送一第一資料請求給第三方服務子系統，並移轉第一取用訊標給第三方服務子系統。倘若第一取用訊標為有效，則第三方服務子系統會找出與第一資料請求相應的一第一組資料，並傳送第一組資料給資料請求者裝置。

Description

可動態調整資料授權政策的去中心化資料授權控管系統

本發明涉及一種區塊鏈技術，尤指一種可動態調整資料授權政策的去中心化資料授權控管系統。

歐盟所制定的一般資料保護規章(General Data Protection Regulation，GDPR)，對於個人資料保護和隱私的規範不僅嚴格，而且涉及的範圍很廣。倘若不能滿足GDPR的規定，許多領域的商業活動都將面臨非常重大的衝擊或阻礙。

由於傳統的OAuth 2.0資料授權框架無法滿足GDPR的各種要求，所以產業界積極地發展各種更複雜的資料授權架構來因應。包括UMA 2.0(User-Managed Access 2.0)在內的各種新近發展的資料授權架構，都是採用集權式授權伺服器(centralized authorization server)來管理個別資料擁有者的資料授權政策。這樣的架構看似可以滿足GDPR的要求，但其實在授權政策的管理上並不透明，而且也難以允許資料擁有者隨時依需要而動態調整其資料授權政策。因此，現有的資料授權架構對於許多日趨複雜的商業應用(例如，開放銀行，Open Banking)而言，並不是非常理想的方案。

有鑑於此，如何讓資料授權控管系統既能滿足歐盟GDPR的各種要求，又能提升在授權政策管理上的透明度，並且允許資料擁有者隨時依需要而動態調整其資料授權政策，實為有待解決的問題。

本說明書提供一種去中心化資料授權控管系統的實施例，其包含：一資料擁有者裝置，設置成可提供目標資料；一第三方服務子系統，設置成可儲存該目標資料；一資料請求者裝置，設置成可產生與一或多個資料項目相應的一第一資料請求，並產生包含一訊標識別資料的一第一訊標請求；以及一區塊鏈子系統，包含多個區塊鏈節點，設置成可獲取該第一訊標請求所對應的一訊標識別資料，並驗證該訊標識別資料所對應的一授權訊標的有效性，且倘若該授權訊標為有效，則該區塊鏈子系統還設置成可產生與該授權訊標相應的一第一取用訊標；其中，該資料請求者裝置還設置成可在獲取該第一取用訊標後，傳送該第一資料請求給該第三方服務子系統，並移轉該第一取用訊標給該第三方服務子系統；其中，倘若該第一取用訊標為有效，則該第三方服務子系統還會從該目標資料中找出與該第一資料請求相應的一第一組資料，並傳送該第一組資料給該資料請求者裝置。

本說明書另提供一種去中心化資料授權控管系統的實施例，其包含：一第三方服務子系統，設置成可儲存目標資料；一資料請求者裝置，設置成可產生與一或多個資料項目相應的一第一資料請求，並產生包含一訊標識別資料的一第一訊標請求；以及一區塊鏈子系統，包含多個區塊鏈節點，設置成可獲取該第一訊標請求所對應的一訊標識別資料，並驗證該訊標識別資料所對應的一授權訊標的有效性，且倘若該授權訊標為有效，則該區塊鏈子系統還設置成可產生與該授權訊標相應的一第一取用訊標；其中，該資料請求者裝置還設置成可在獲取該第一取用訊標後，傳送該第一資料請求給該第三方服務子系統，並移轉該第一取用訊標給該第三方服務子系統；其中，倘若該第一取用訊標為有效，則該第三方服務子系統還會從該目標資料中找出與該第一資料請求相應的一第一組資料，並傳送該第一組資料給該資料請求者裝置。

上述實施例的優點之一，是利用區塊鏈子系統來取代傳統的集權式授權伺服器，可有效提升去中心化資料授權控管系統在授權政策管理上的透明度，進而降低第三方服務子系統與資料擁有者或資料請求者之間發生糾紛的可能性。

上述實施例的另一優點，是去中心化資料授權控管系統的架構能夠滿足歐盟GDPR後續階段的各種要求，並且能夠允許資料擁有者隨時依需要而動態調整其資料授權政策。

本發明的其他優點將搭配以下的說明和圖式進行更詳細的解說。

100:去中心化資料授權控管系統(de-centralized data authorization control system)

110、120:資料擁有者裝置(data owner device)

111、131、151:通信電路(communication circuit)

113、133、153:區塊鏈運算電路(block chain computing circuit)

115、135、155:資料庫(database)

117、137:控制電路(control circuit)

130、140:資料請求者裝置(data requester device)

150:第三方服務子系統(third-party service subsystem)

157:資料伺服器(data server)

160:區塊鏈節點叢集(block chain node cluster)

161~167:區塊鏈節點(block chain node)

170:區塊鏈子系統(block chain subsystem)

362:訊標管理智能合約(token management smart contract)

364:授權政策智能合約(authorization policy smart contract)

366:資料查詢智能合約(data inquiry smart contract)

202~226、402~418、502~522、602~622、702~730、802~822、 902~930、1002~1016:運作流程(operation)

圖1為本發明一實施例的去中心化資料授權控管系統簡化後的功能方塊圖。

圖2為本發明一實施例的資料授權政策管理方法簡化後的流程圖。

圖3為圖1中的區塊鏈子系統與其他成員裝置之間簡化後的功能模組關係示意圖。

圖4為本發明一實施例的檢核區塊鏈子系統中的資料授權政策是否正確的方法簡化後的流程圖。

圖5為本發明一實施例的提供可查詢資料清單的方法簡化後的流程圖。

圖6為本發明一實施例的取用訊標產生方法簡化後的流程圖。

圖7為本發明一實施例的資料請求回應方法簡化後的流程圖。

圖8為本發明另一實施例的取用訊標產生方法簡化後的流程圖。

圖9為本發明另一實施例的資料請求回應方法簡化後的流程圖。

圖10為本發明一實施例的動態更新資料授權政策的方法簡化後的流程圖。

以下將配合相關圖式來說明本發明的實施例。在圖式中，相同的標號表示相同或類似的元件或方法流程。

圖1為本發明一實施例的去中心化資料授權控管系統100簡化後的功能方塊圖。去中心化資料授權控管系統100用來控管個人或企業組織等各種類型的多個資料擁有者(data owner)，對於其他的個人或是企業組織等不同的資料請求者(data requester)的資料授權範圍與授權項目，並可允許資料擁有者依需要而動態調整其資料授權範圍與授權項目。

去中心化資料授權控管系統100包含一或多個資料擁有者裝置(例如，圖1中所繪示的示例性資料擁有者裝置110~120)、一或多個資料請求者裝置(例如，圖1中所繪示的示例性資料請求者裝置130~140)、至少一第三方服務子系統150、一區塊鏈節點叢集160、以及由區塊鏈節點叢集160搭配其他區塊鏈運算電路所共同形成的一區塊鏈子系統170。

去中心化資料授權控管系統100中的多個資料擁有者裝置110~120，分屬於不同的資料擁有者，且個別的資料擁有者可以是個人、各種類型的企業或公司組織、各種財團法人、各種社團法人、各種非營利機構、各種政府機構等等。

去中心化資料授權控管系統100中的多個資料請求者裝置130~140，分屬於不同的資料請求者，且個別的資料請求者可以是個人、各種類型的企業或公司組織、各種財團法人、各種社團法人、各種非營利機構、各種政府機構等等。

第三方服務子系統150是由可提供數位儲存服務的特定服務提供商所運營的系統，用來儲存由個別資料擁有者所提供的各類數位資料，例如，各種數位文件、各種程式檔案、和/或各種多媒體資料等等。

另外，區塊鏈子系統170通常是由多個不同的實體所共同運營與管理的區塊鏈系統，用來控管個別資料請求者裝置對於第三方服務子系統150的資料取用權限，並允許個別的資料擁有者透過相應的資料擁有者裝置動態調整資料授權政策。

在實際應用中，個別的資料擁有者可透過相關的資料擁有者裝置，將要保護的各類數位資料傳送(transmit)給第三方服務子系統150進行儲存。另外，個別的資料擁有者還可透過資料擁有者裝置，將針對不同資料請求者的資料授權政策傳送給區塊鏈子系統170進行儲存與管理，以避免資料授權政策被竄改。前述的資料授權政策可包含授權對象、授權資料標的、授權內容、授權次數上限、授權時段、授權時限、資料所在地理區域、以及保管資料的第三方服務提供者的識別資料(例如，第三方服務提供者部屬在區塊鏈子系統170中的特定智能合約的位址)等多項參數中的局部或全部參數。

另一方面，個別的資料請求者可利用相關的資料請求者裝置，向區塊鏈子系統170申請與特定資料擁有者相對應的資料取用訊標(data read token)。當資料請求者想要取得特定資料擁有者的特定資料時，可操控相關的資料請求者裝置使用區塊鏈子系統170提供的資料取用訊標，向第三方服務子系統150提出資料取用請求(data read request)。

此時，第三方服務子系統150可利用區塊鏈子系統170驗證該資料請求者裝置所提供的資料取用訊標的有效性，以驗證資料請求者的身分。只有在資料取用訊標的有效性能夠通過區塊鏈子系統170驗證的情況下，第三方服務子系統150才會將特定資料擁有者所授權的特定資料內容，分享給該資料請求者裝置。

另外，區塊鏈子系統170也可記錄個別資料取用訊標的相關時間資訊，以做為資料請求者裝置向第三方服務子系統150取用相關資料的佐證。

在去中心化資料授權控管系統100中，個別的資料擁有者還可依需要而動態調整儲存在區塊鏈子系統170中的資料授權政策。例如，當個別的資料擁有者因各種原因而調整針對特定資料請求者或所有資料請求者的資料授權政策後，可利用相關的資料擁有者裝置將更 新後的資料授權政策傳送給區塊鏈子系統170進行儲存與管理，以取代原先版本的資料授權政策。

為了滿足某些商業交易或法律關係管理上的需要，去中心化資料授權控管系統100的不同參與者之間，可利用傳統方式或數位方式簽署各種合適的協議或合約，以進一步明確彼此之間的法律關係。例如，個別的資料擁有者與運營第三方服務子系統150的特定服務提供商之間，可共同簽署各種合適的資料代管協議、線上儲存空間租用合約、服務協議、智慧財產權歸屬協議、資料傳輸協議、隱私保護協議、資料分享協議、和/或個人化廣告播送協議等等。

又例如，個別的資料擁有者與個別的資料請求者之間，可共同簽署各種合適的資料授權協議、資料分享協議、資料使用協議、資料查核協議、和/或資料稽核協議等等。

又例如，個別的資料請求者與運營第三方服務子系統150的特定服務提供商之間，可共同簽署各種合適的資料索引規範協議、資料查詢協議、資料分享協議、資料使用協議、資料傳輸協議、和/或服務協議等等。

如圖1所示，資料擁有者裝置110包含一通信電路111、一區塊鏈運算電路113、一資料庫115、以及一控制電路117。資料請求者裝置130包含一通信電路131、一區塊鏈運算電路133、一資料庫135、以及一控制電路137。第三方服務子系統150包含一通信電路151、一區塊鏈運算電路153、一資料庫155、以及一資料伺服器157。區塊鏈節點叢集160包含有多個區塊鏈節點(node)，例如，圖1中所繪示的示例性區塊鏈節點161~167。

在資料擁有者裝置110中，通信電路111設置成可透過網際網路或其他網路與第三方服務子系統150以及區塊鏈子系統170進行資料通信。區塊鏈運算電路113耦接於通信電路111，用於扮演區塊鏈子系統170的節點之一，並可做為資料擁有者裝置110與區塊鏈子系統170 之間的溝通橋樑。資料庫115用於儲存要傳送給第三方服務子系統150的資料。控制電路117耦接於通信電路111、區塊鏈運算電路113、以及資料庫115，並設置成控制前述裝置的運作。

在資料請求者裝置130中，通信電路131設置成可透過網際網路或其他網路與第三方服務子系統150以及區塊鏈子系統170進行資料通信。區塊鏈運算電路133耦接於通信電路131，用於扮演區塊鏈子系統170的節點之一，並可做為資料請求者裝置130與區塊鏈子系統170之間的溝通橋樑。資料庫135用於儲存從第三方服務子系統150取得的資料。控制電路137耦接於通信電路131、區塊鏈運算電路133、以及資料庫135，並設置成控制前述裝置的運作。

去中心化資料授權控管系統100中的其他資料擁有者裝置(例如，資料擁有者裝置120)，皆可具有與資料擁有者裝置110類似的主要架構，但實作上並不侷限所有資料擁有者裝置都要具有完全相同的電路架構。同樣地，去中心化資料授權控管系統100中的其他資料請求者裝置(例如，資料請求者裝置140)，皆可具有與資料請求者裝置130類似的主要架構，但實作上也不侷限所有資料請求者裝置都要具有完全相同的電路架構。

在第三方服務子系統150中，通信電路151設置成可透過網際網路或其他網路，與區塊鏈子系統170、個別資料擁有者裝置、以及個別資料請求者裝置進行資料通信。區塊鏈運算電路153耦接於通信電路151，用於扮演區塊鏈子系統170的節點之一，並可做為第三方服務子系統150與區塊鏈子系統170之間的溝通橋樑。資料庫155用於儲存不同的資料擁有者所提供的資料。資料伺服器157耦接於通信電路151、區塊鏈運算電路153、以及資料庫155，並設置成控制前述裝置的運作。

在實際應用中，前述的第三方服務子系統150可以是提供單一類型服務(例如，雲端儲存服務、多媒體檔案分享服務、生活紀錄分享 服務、社群服務、財務管理服務、健康資訊管理服務等等)的系統，也可以是提供多種複合型服務的系統(例如，雲端儲存服務搭配電子郵件服務、多媒體資料分享服務搭配即時通訊服務、社群服務搭配多媒體串流服務、企業資源規劃(ERP)雲端服務搭配資料庫服務等等)。

本實施例中的區塊鏈子系統170，是由資料擁有者裝置110中的區塊鏈運算電路113、資料請求者裝置130中的區塊鏈運算電路133、第三方服務子系統150中的區塊鏈運算電路153、以及區塊鏈節點叢集160中的多個區塊鏈節點161~167所共同組成。

實作上，通信電路111、131、與151皆可利用符合相關網路通信、無線通信、或是行動通信規範的各種適當電路來實現，例如網路卡(Network Interface Card，NIC)、無線傳輸(Wi-Fi)電路、或是行動通信電路等等。區塊鏈運算電路113、133、153、與區塊鏈節點161~167，皆可用適合進行區塊鏈的共識決演算法(consensus algorithm)運算的一個或多個處理器模組或電腦系統來實現。資料庫115、135、與155皆可利用各種關聯式資料庫或非關聯式資料庫來實現。控制電路117與137皆可利用具有適當運算能力的一個或多個處理器模組、單一電腦系統、或是多個電腦系統的組合來實現。資料伺服器157可以用單一伺服器來實現，也可以用位於相同地理區域、或是位於不同地理區域的多個伺服器組合來實現。

在某些實施例中，可將區塊鏈運算電路113整合到控制電路117中，和/或將區塊鏈運算電路133整合到控制電路137中。同樣地，也可將區塊鏈運算電路153整合到資料伺服器157中。

請注意，前述的資料擁有者裝置110、資料請求者裝置130、以及第三方服務子系統150，在實際實施時皆可設置供用戶進行操控所需的人機介面裝置(例如，顯示器、鍵盤、滑鼠、觸控螢幕、聲控模組等等)，但為了簡化圖面內容起見，這些人機介面裝置並未繪示 在圖1中。

在資料擁有者裝置110所對應的資料擁有者是個人的應用環境中，資料擁有者裝置110可以利用具備聯網功能與合適運算能力的終端設備來實現，例如，平板電腦、桌上型電腦、筆記型電腦、行動通信裝置(例如，智慧型手機、穿戴式裝置等)、或是其他類似的裝置。同樣地，在資料請求者裝置130所對應的資料請求者是個人的應用環境中，資料請求者裝置130可以利用具備聯網功能與合適運算能力的終端設備來實現，例如，平板電腦、桌上型電腦、筆記型電腦、行動通信裝置(例如，智慧型手機、穿戴式裝置等)、或是其他類似的裝置。

在資料擁有者裝置110所對應的資料擁有者是各種類型的企業或公司組織、財團法人、社團法人、非營利機構、政府機構的應用環境中，資料擁有者裝置110可以利用具備聯網功能與合適運算能力的終端設備或資訊系統來實現，例如，平板電腦、桌上型電腦、筆記型電腦、行動通信裝置、電腦伺服器、管理資訊系統(MIS)、企業資源規劃(ERP)系統、或是其他類似的設備。同樣地，在資料請求者裝置130所對應的資料請求者是各種類型的企業或公司組織、財團法人、社團法人、非營利機構、政府機構的應用環境中，資料請求者裝置130可以利用具備聯網功能與合適運算能力的終端設備或資訊系統來實現，例如，平板電腦、桌上型電腦、筆記型電腦、行動通信裝置、電腦伺服器、管理資訊系統、企業資源規劃系統、或是其他類似的設備。

為了方便說明起見，以下將資料擁有者裝置110所對應的特定資料擁有者稱之為資料擁有者D1，將資料擁有者裝置120所對應的特定資料擁有者稱之為資料擁有者D2，將資料請求者裝置130所對應的特定資料請求者稱之為資料請求者R1，並將資料請求者裝置140所對應的特定資料請求者稱之為資料請求者R2。

實作上，前述的資料擁有者裝置110、資料請求者裝置130、以及第三方服務子系統150，也都可以用設置在各種雲端平台上的虛擬機器、或各種計算實體與儲存實體的組合來實現，並由各自的使用者進行遠端操控。

另外，在某些應用環境中，區塊鏈子系統170可以用各種公有鏈的架構來實現。在另一些應用環境中，則可用私有鏈或聯盟鏈的架構來實現區塊鏈子系統170，以縮短相關運算所需的時間、提升區塊鏈子系統170的運作效率。

以下將搭配圖2至圖3來進一步說明去中心化資料授權控管系統100進行資料授權控管的前期運作流程。圖2為本發明一實施例的資料授權政策管理方法簡化後的流程圖。圖3為去中心化資料授權控管系統100中的區塊鏈子系統170與其他成員裝置之間簡化後的功能模組關係示意圖。

在圖2的流程圖中，位於一特定裝置所屬欄位中的流程，即代表由該特定裝置所進行的流程。例如，標記在「資料擁有者裝置」欄位中的部分，是由資料擁有者裝置110~120的其中之一所進行的流程；標記在「第三方服務子系統」欄位中的部分，是由第三方服務子系統150所進行的流程；標記在「區塊鏈子系統」欄位中的部分，則是由區塊鏈子系統170所進行的流程；其餘依此類推。前述的邏輯也適用於後續的其他流程圖中。

為了方便說明起見，以下將以資料擁有者裝置110所對應的資料擁有者D1要使用去中心化資料授權控管系統100的資料權限控管服務的情境為例，來說明去中心化資料授權控管系統100的前期運作流程。

如圖2所示，每次資料擁有者D1要將特定資料提供給第三方服務子系統150進行儲存時，可利用資料擁有者裝置110進行流程202。在此情況下，第三方服務子系統150會相應進行流程204。換言之，流 程202與流程204可以是間歇性進行的運作。

在流程202中，控制電路117可利用通信電路111將資料擁有者D1所選擇或提供的目標資料，透過各種資料傳輸方式提供給第三方服務子系統150。實作上，前述的目標資料可以是各種數位文件、各種程式檔案、和/或各種多媒體資料等等。

在流程204中，第三方服務子系統150的通信電路151會接收資料擁有者裝置110傳來的目標資料，且資料伺服器157會將接收到的目標資料儲存在資料庫155中。

另一方面，區塊鏈子系統170的運營者或具有權限的特定人員可利用合適的編程方式，將後續進行資料授權控管所需的相關智能合約部署在區塊鏈子系統170中。在實際應用中，前述具有權限的特定人員，可以是由區塊鏈子系統170的運營單位、第三方服務子系統150的運營單位、相關資料擁有者、和/或相關資料請求者所共同組成的工作群組中的特定人員，或是參與去中心化資料授權控管系統100運作的特定人員。

例如，區塊鏈子系統170的運營者或建構人員可編輯並建立包含訊標管理規則的一智能合約，並利用合適的通信裝置(例如，電腦)將該智能合約以交易信息(transaction message)的形式傳送至區塊鏈子系統170，並指示區塊鏈子系統170對該智能合約進行認證。此時，區塊鏈子系統170會進行流程206，利用多個節點執行合適的共識決演算法來對包含訊標管理規則的智能合約進行認證。倘若該智能合約通過區塊鏈子系統170的認證，區塊鏈子系統170便會將該智能合約以資料區塊的形式儲存在區塊鏈子系統170的區塊鏈帳本中，以完成將一訊標管理智能合約362部署到區塊鏈子系統170中的程序。在後續的運作階段中，區塊鏈子系統170可利用訊標管理智能合約362來檢核及控管與個別資料擁有者相應的不同訊標的有效性。

同樣地，區塊鏈子系統170的運營者或建構人員可編輯並建立包含 資料授權政策管理規則的一智能合約，並利用合適的通信裝置(例如，電腦)將該智能合約以交易信息的形式傳送至區塊鏈子系統170，並指示區塊鏈子系統170對該智能合約進行認證。此時，區塊鏈子系統170會進行流程208，利用多個節點執行合適的共識決演算法來對包含資料授權政策管理規則的智能合約進行認證。倘若該智能合約通過區塊鏈子系統170的認證，區塊鏈子系統170便會將該智能合約以資料區塊的形式儲存在區塊鏈子系統170的區塊鏈帳本中，以完成將一授權政策智能合約364部署到區塊鏈子系統170中的程序。在後續的運作階段中，區塊鏈子系統170可利用授權政策智能合約364來進行個別資料擁有者所設定的資料授權政策的版本控制。

如圖2所示，第三方服務子系統150的管理者或操作人員，可利用第三方服務子系統150搭配區塊鏈子系統170進行流程210~214，以在區塊鏈子系統170中部署可供第三方服務子系統150檢核及回應其他資料請求者裝置傳來的資料請求所需的相關智能合約。

在流程210中，第三方服務子系統150的資料伺服器157可在其管理者或操作人員的操控下，依據運營第三方服務子系統150的特定服務提供者(在此稱為第三方服務提供者)與一或多個特定資料請求者共同同意的資料查詢協議，建立一或多個相應的資料查詢智能合約366。實作上，資料伺服器157可針對不同的資料請求者分別建立多個不同的資料查詢智能合約366，或是將多個資料請求者所對應的不同資料查詢協議，都整合在同一資料查詢智能合約366中。

例如，資料伺服器157可針對資料請求者裝置130所對應的資料請求者R1建立一個專用(dedicated)的資料查詢智能合約366，並針對資料請求者裝置140所對應的資料請求者R2建立另一個不同的資料查詢智能合約366。或者，資料伺服器157也可將資料請求者R1所對應的資料查詢協議以及資料請求者R2所對應的資料查詢協議，都整合在同一個資料查詢智能合約366中。

在流程212中，資料伺服器157可利用通信電路151或區塊鏈運算電路153，使用第三方服務提供者所對應的一預定訊標，將產生的一或多個資料查詢智能合約366傳送給區塊鏈子系統170，並指示區塊鏈子系統170對前述的資料查詢智能合約366進行認證。

在此情況下，區塊鏈子系統170會進行流程214，利用多個節點執行合適的共識決演算法來對接收到的資料查詢智能合約366進行認證。倘若資料查詢智能合約366通過區塊鏈子系統170的認證，區塊鏈子系統170便會將前述的資料查詢智能合約366以資料區塊的形式儲存在區塊鏈子系統170的區塊鏈帳本中，以完成將前述的資料查詢智能合約366部署到區塊鏈子系統170中的程序。在後續的運作階段中，區塊鏈子系統170可利用資料查詢智能合約366來對第三方服務子系統150進行身分驗證，而第三方服務子系統150則可利用資料查詢智能合約366來檢核個別資料請求者想要取用的資料是否屬於協議範圍內的資料。只有在第三方服務子系統150能通過資料查詢智能合約366的身分驗證程序的情況下，區塊鏈子系統170才會允許第三方服務子系統150執行授權政策智能合約364或是讀取授權政策智能合約364的內容。

當前述的資料擁有者D1要啟用去中心化資料授權控管系統100的資料權限控管服務時，可利用資料擁有者裝置110進行流程216。在此情況下，區塊鏈子系統170會相應進行流程218。

在流程216中，資料擁有者裝置110的控制電路117會產生一授權服務啟用請求，並利用通信電路111或區塊鏈運算電路113傳送(transmit)該授權服務啟用請求給區塊鏈子系統170。

在流程218中，區塊鏈子系統170會依據該授權服務啟用請求執行前述的訊標管理智能合約362，以產生與資料擁有者裝置110(或其對應的資料擁有者D1)相對應的一授權訊標(authorization token)，並移轉(transfer)該授權訊標給資料擁有者裝置110。在一實施例 中，訊標管理智能合約362還可對該授權訊標設置相應的一或多個有效性查核參數，例如，一適格使用時段(valid time-slots of use)、一有效期限(expiration period)、一適格地理區域(valid geographical region)、一適格擁有者(valid owner)、和/或一適格的來源網路位址(valid source network address)等等。

此時，資料擁有者裝置110的通信電路111或區塊鏈運算電路113會進行流程220，以獲取(acquire)由區塊鏈子系統170移轉過來的授權訊標，使得資料擁有者裝置110成為該授權訊標的當前擁有者(current owner)。

在流程222中，資料擁有者裝置110的控制電路117可在資料擁有者D1的操控下，將資料擁有者D1與個別資料請求者共同同意的資料授權政策進行加密，以產生一相應的資料授權政策密文(encrypted data authorization policy)。控制電路117可依據資料擁有者D1的操控，分別針對不同資料請求者設定不同的資料授權政策，也可以針對不同的資料請求者設定相同的資料授權政策。在運作時，控制電路117可利用預定的加密金鑰對個別的資料授權政策進行加密，以產生一相應的資料授權政策密文。

實作上，控制電路117可分別利用不同的加密金鑰來加密不同資料請求者所對應的資料授權政策，以產生分別對應於多個資料請求者的多個資料授權政策密文。或者，控制電路117也可利用同一加密金鑰來加密不同資料請求者所對應的資料授權政策，以產生分別對應於多個資料請求者的多個資料授權政策密文。換言之，控制電路117在加密不同資料請求者所對應的資料授權政策時，可使用相同的加密金鑰，也可分別使用不同的加密金鑰。

在流程224中，控制電路117可利用通信電路111或區塊鏈運算電路113，使用該授權訊標將所產生的一或多個資料授權政策密文傳送給區塊鏈子系統170。

在流程226中，區塊鏈子系統170可將資料擁有者裝置110傳來的一或多個資料授權政策密文，記錄在授權政策智能合約364中，以做為資料擁有者裝置110所對應的一當前資料授權政策(current data authorization policy)。

由前述圖2的流程圖說明可知，由資料擁有者裝置110所產生、且包含資料授權政策的資料授權政策密文，會被記錄在區塊鏈子系統170中。如此一來，只有具備正確解密金鑰、且有權存取區塊鏈子系統170的裝置，才能從區塊鏈子系統170中讀取並解密該資料授權政策密文。這樣的做法可大幅降低資料擁有者裝置110所設定的資料授權政策被惡意人士竊取或竄改的可能性。

在去中心化資料授權控管系統100中，其他資料擁有者裝置所對應的資料擁有者(例如，對應於資料擁有者裝置120的資料擁有者D2)，可比照前述方式使用相關的資料擁有者裝置，將該資料擁有者與個別資料請求者共同同意的資料授權政策進行加密，以產生一或多個相應的資料授權政策密文，並將產生的資料授權政策密文傳送到區塊鏈子系統170，由區塊鏈子系統170記錄在授權政策智能合約364中。

實作上，區塊鏈子系統170可以只建立單一授權政策智能合約364，並將不同的資料擁有者所產生的多個資料授權政策密文，都記錄在同一授權政策智能合約364中。

或者，區塊鏈子系統170也可以針對不同的資料擁有者分別建立不同的授權政策智能合約364。例如，區塊鏈子系統170可針對資料擁有者D1建立一個專用的授權政策智能合約364，用以記錄資料擁有者D1所產生的一或多個資料授權政策密文，並為資料擁有者D2建立另一個不同的授權政策智能合約364，用以記錄資料擁有者D2所產生的一或多個資料授權政策密文。

請注意，前述圖2中的流程執行順序只是一示範性的實施例，並非 侷限本發明的實際實施方式。例如，流程202、流程206、流程208、與流程214的順序可以任意調整。流程210可以調整到流程202之前進行，也可以和流程202同時進行。流程208也可調整到流程224與流程226之間進行。

另外，區塊鏈子系統170的運營者或建構人員亦可改用其他方式將前述的資料查詢智能合約366部署到區塊鏈子系統170中，在此情況下，則可將流程210與流程212省略。

接著，請參考圖4，其所繪示為本發明一實施例的檢核區塊鏈子系統170中的資料授權政策是否正確的方法簡化後的流程圖。

如前所述，只有具備正確解密金鑰、且有權存取區塊鏈子系統170的裝置，才能從區塊鏈子系統170中讀取並解密資料擁有者裝置110所產生的資料授權政策密文。

在某些應用中，較嚴謹的資料請求者可能會需要檢核儲存在區塊鏈子系統170中、由資料擁有者裝置110所產生的資料授權政策密文的內容，是否跟資料請求者與資料擁有者D1所共同同意的版本相符。

為了方便說明起見，以下將以資料請求者裝置130所對應的資料請求者R1需要檢核資料擁有者裝置110所產生的資料授權政策的正確性的情境為例，來說明去中心化資料授權控管系統100在圖4中的相關運作流程。

為了讓資料請求者裝置130能夠檢核資料擁有者裝置110所產生的資料授權政策的正確性，資料擁有者裝置110可在相應的資料擁有者D1的操控下，進行圖4中的流程402。在此情況下，資料請求者裝置130會相應進行流程404。

在流程402中，資料擁有者裝置110的控制電路117可透過通信電路111，傳送資料擁有者裝置110所對應的授權訊標的一識別資料(以下稱之為訊標識別資料，token identification data)、以及可用來解密對應於資料請求者R1的資料授權政策密文的一目標金鑰，給資料 請求者裝置130。

在流程404中，資料請求者裝置130的通信電路131會接收資料擁有者裝置110傳來的訊標識別資料及目標金鑰，且控制電路137可將接收到的訊標識別資料及目標金鑰，儲存在資料庫135或其他合適的儲存電路(圖中未繪示)中。

當資料請求者裝置130所對應的資料請求者R1想要檢核儲存在區塊鏈子系統170中、由資料擁有者裝置110所產生的資料授權政策密文的正確性時，可利用資料請求者裝置130進行流程406。

在流程406中，資料請求者裝置130的控制電路137可產生與前述的訊標識別資料有關的一授權政策查詢請求(authorization policy inquiry request)，並透過通信電路131或區塊鏈運算電路133將授權政策查詢請求傳送給區塊鏈子系統170。例如，控制電路137可將訊標識別資料填入授權政策查詢請求的合適欄位中，或是將訊標識別資料做為授權政策查詢請求的附加資訊。

在此情況下，區塊鏈子系統170會進行流程408，以接收資料請求者裝置130傳來的授權政策查詢請求。

接著，區塊鏈子系統170會進行流程410，執行授權政策智能合約364，以找出該授權政策查詢請求所對應的資料授權政策密文。例如，區塊鏈子系統170可依據該授權政策查詢請求取得一相應的訊標識別資料，再找出利用該訊標識別資料所對應的授權訊標寫入授權政策智能合約364中的資料授權政策密文。

由於只有資料擁有者裝置110才有權使用該訊標識別資料所對應的授權訊標，所以區塊鏈子系統170可根據該訊標識別資料從授權政策智能合約364中找到由資料擁有者裝置110所產生的資料授權政策密文。

在流程412中，區塊鏈子系統170會傳送該資料授權政策密文給資料請求者裝置130。

在流程414中，資料請求者裝置130的通信電路131或區塊鏈運算電路133會接收區塊鏈子系統170傳來的資料授權政策密文。

在流程416中，控制電路137可利用資料擁有者裝置110提供的目標金鑰對資料授權政策密文進行解密，以獲取解密後的資料授權政策。

接著，控制電路137可進行流程418，以檢核解密後的資料授權政策，是否跟資料擁有者裝置110所對應的資料擁有者D1與資料請求者裝置130所對應的資料請求者R1共同同意的一預定版本相符。

倘若解密後的資料授權政策跟雙方同意的預定版本不符，資料請求者R1便能透過各種管道向資料擁有者D1反映這項問題，以降低後續雙方產生不必要誤會的可能性。

倘若解密後的資料授權政策跟雙方同意的預定版本相符，資料請求者R1便能確認區塊鏈子系統170上所儲存的資料授權政策密文是正確的。

在去中心化資料授權控管系統100中，資料請求者R1可比照前述方式使用資料請求者裝置130，來檢核記錄在區塊鏈子系統170中、由其他資料擁有者(例如，資料擁有者D2)所設定、且對應於資料請求者R1的資料授權政策密文的內容是否正確。

同樣地，去中心化資料授權控管系統100中的其他資料請求者(例如，對應於資料請求者裝置140的資料請求者R2)，也可比照前述方式使用相關的資料請求者裝置，檢核記錄在區塊鏈子系統170中、由資料擁有者D1(或其他資料擁有者)所設定、且對應於該資料請求者的資料授權政策密文的內容是否正確。

請參考圖5，其所繪示為本發明一實施例的提供可查詢資料清單的方法簡化後的流程圖。

在許多的應用環境中，資料擁有者會將不同類型或屬性的許多資料儲存在第三方服務子系統150中，但可能不希望第三方服務子系統150將資料擁有者的全部資料都分享給其他資料請求者。

為了避免資料請求者向第三方服務子系統150要求的資料項目超出資料擁有者願意授權的範圍，而導致資料請求者的資料請求被第三方服務子系統150拒絕的情況發生，資料請求者可先請求第三方服務子系統150提供一份該資料請求者有權取得的資料清單(以下稱之為可查詢資料清單，accessible data list)，以供資料請求者能夠從中挑選想要查詢的資料項目。

為了方便說明起見，以下將以資料請求者裝置130所對應的資料請求者R1，要求第三方服務子系統150提供一份包含資料擁有者裝置110所對應的資料擁有者D1同意讓資料請求者R1查詢的全部資料類型或資料項目的可查詢資料清單的情境為例，來說明去中心化資料授權控管系統100在圖5中的相關運作流程。

如圖5所示，資料請求者裝置130可在資料請求者R1的控制下進行流程502。

在流程502中，資料請求者裝置130的控制電路137可產生包含資料擁有者裝置110所提供的該訊標識別資料及該目標金鑰的一資料清單請求，並透過通信電路131傳送該資料清單請求給第三方服務子系統150。在此情況下，第三方服務子系統150會相應進行流程504。

在流程504中，通信電路151會接收資料請求者裝置130傳來的資料清單請求及目標金鑰。資料伺服器157可從該資料清單請求中取得前述的訊標識別資料。

在流程506中，第三方服務子系統150的資料伺服器157可產生與前述的訊標識別資料有關的一授權政策查詢請求，並透過通信電路151或區塊鏈運算電路153將授權政策查詢請求傳送給區塊鏈子系統170。例如，資料伺服器157可將訊標識別資料填入授權政策查詢請求的合適欄位中，或是將訊標識別資料做為授權政策查詢請求的附加資訊。

在此情況下，區塊鏈子系統170會進行流程508，以接收第三方服務 子系統150傳來的授權政策查詢請求。

接著，區塊鏈子系統170會進行流程510，執行授權政策智能合約364，以找出該授權政策查詢請求所對應的資料授權政策密文。例如，區塊鏈子系統170可依據該授權政策查詢請求取得一相應的訊標識別資料，再找出利用該訊標識別資料所對應的授權訊標寫入授權政策智能合約364中的資料授權政策密文。

由於只有資料擁有者裝置110才有權使用該訊標識別資料所對應的授權訊標，所以區塊鏈子系統170可根據該訊標識別資料從授權政策智能合約364中找到由資料擁有者裝置110所產生的資料授權政策密文。

在流程512中，區塊鏈子系統170會傳送該資料授權政策密文給第三方服務子系統150。

在流程514中，第三方服務子系統150的通信電路151或區塊鏈運算電路153會接收區塊鏈子系統170傳來的資料授權政策密文。

在流程516中，資料伺服器157可利用資料請求者裝置130提供的目標金鑰對資料授權政策密文進行解密，以獲取解密後的資料授權政策。由前述流程222、流程224、流程226、流程402、以及流程502的說明可知，只有在該目標金鑰是由資料擁有者裝置110提供給資料請求者裝置130的正確解密金鑰的情況下，資料伺服器157才能成功解密資料授權政策密文。這樣的做法可以有效確保資料擁有者D1所設定的資料授權政策的機密性，避免第三方服務子系統150或其他裝置在未經適當授權的情況下取得資料擁有者D1所設定的資料授權政策。

在流程518中，資料伺服器157可根據解密後的資料授權政策，透過通信電路151或區塊鏈運算電路153請求區塊鏈子系統170執行資料查詢智能合約366，以產生與資料擁有者D1所提供的目標資料的部分內容(亦即，資料擁有者D1同意讓資料請求者R1查詢的資料類 型或資料項目)相應的一可查詢資料清單。

在流程520中，資料伺服器157可透過通信電路151傳送前述的可查詢資料清單給資料請求者裝置130。在此情況下，資料請求者裝置130會相應進行流程522，以接收第三方服務子系統150傳來的可查詢資料清單。

如此一來，資料請求者R1便可從該可查詢資料清單中清楚得知資料擁有者D1同意讓資料請求者R1查詢的資料範圍、資料類型、或資料項目的相關資訊。

同樣地，資料請求者裝置130可比照前述方式向第三方服務子系統150查詢其他資料擁有者(例如，資料擁有者D2)同意讓資料請求者R1查詢的資料範圍、資料類型、資料項目的相關資訊。

在去中心化資料授權控管系統100中，其他資料請求者(例如，對應於資料請求者裝置140的資料請求者R2)，也可比照前述方式使用相關的資料請求者裝置，向第三方服務子系統150查詢資料擁有者D1(或其他資料擁有者)同意讓該資料請求者查詢的資料範圍、資料類型、資料項目的相關資訊。

如前所述，個別的資料請求者可利用相關的資料請求者裝置，向區塊鏈子系統170申請與特定資料擁有者相對應的資料取用訊標。當資料請求者想要取得特定資料擁有者的特定資料時，可操控對應的資料請求者裝置使用區塊鏈子系統170所提供的資料取用訊標，向第三方服務子系統150提出資料取用請求。

第三方服務子系統150則可利用區塊鏈子系統170驗證該資料請求者裝置所提供的資料取用訊標的有效性，以驗證資料請求者的身分。只有在資料取用訊標的有效性能夠通過區塊鏈子系統170驗證的情況下，第三方服務子系統150才會將特定資料擁有者所授權的特定資料內容，分享給該資料請求者裝置。

以下將搭配圖6與圖7來進一步說明資料請求者利用資料請求者裝置 向區塊鏈子系統170申請資料取用訊標，並使用該資料取用訊標向第三方服務子系統150提出資料取用請求的運作方式。圖6為本發明一實施例的取用訊標產生方法簡化後的流程圖。圖7為本發明一實施例的資料請求回應方法簡化後的流程圖。

為了方便說明起見，以下將以資料請求者R1利用資料請求者裝置130向區塊鏈子系統170申請資料取用訊標，並使用該資料取用訊標請求第三方服務子系統150提供資料擁有者D1的部分資料的情境為例，來說明去中心化資料授權控管系統100在圖6與圖7中的相關運作流程。

如圖6所示，資料請求者裝置130可在資料請求者R1的控制下進行流程602與流程604。

在流程602中，資料請求者裝置130的控制電路137可依據資料請求者R1的設定或選擇，產生與一或多個資料項目相應的一第一資料請求(first data request)。例如，控制電路137可將該一或多個資料項目以各種合適的資料格式排列或整理後，以可解譯(interpretable)的形式填入該第一資料請求的適當欄位中、做為該第一資料請求的附件、或是直接做為該第一資料請求。

在流程604中，控制電路137可產生包含資料擁有者裝置110所對應的訊標識別資料的一第一訊標請求(first token request)，並透過通信電路131傳送該第一訊標請求給第三方服務子系統150。在此情況下，第三方服務子系統150會相應進行流程606。

在流程606中，通信電路151會接收資料請求者裝置130傳來的第一訊標請求。

在流程608中，資料伺服器157會透過通信電路151或區塊鏈運算電路153，轉傳該第一訊標請求給區塊鏈子系統170。在此情況下，區塊鏈子系統170會相應進行流程610，以接收第三方服務子系統150傳來的第一訊標請求。

在流程612中，區塊鏈子系統170會執行訊標管理智能合約362，以獲取該第一訊標請求所對應的一訊標識別資料。

在流程614中，區塊鏈子系統170還會執行訊標管理智能合約362，以驗證該訊標識別資料所對應的一授權訊標的有效性。例如，訊標管理智能合約362可檢核該授權訊標的相關參數，是否與訊標管理智能合約362先前在流程218中所設置的有效性查核參數相符。

在一實施例中，訊標管理智能合約362可以在該授權訊標的局部參數不符合前述流程218中所設置的有效性查核參數的情況下，便將該授權訊標判定為無效(inactive)訊標。在另一實施例中，訊標管理智能合約362會在該授權訊標的全部參數都不符合前述流程218中所設置的有效性查核參數的情況下，才將該授權訊標判定為無效，否則便會將該授權訊標判定為有效(active)訊標。

倘若訊標管理智能合約362判定該授權訊標為無效訊標，則訊標管理智能合約362會進行流程616。反之，倘若訊標管理智能合約362判定該授權訊標為有效訊標，則訊標管理智能合約362會進行流程618。

在流程616中，訊標管理智能合約362會拒絕該第一訊標請求，並可傳送相應的通知信息給第三方服務子系統150。在此情況下，第三方服務子系統150會傳送一相應的失敗通知給資料請求者裝置130。

在流程618中，訊標管理智能合約362會產生與該授權訊標相應的一第一取用訊標(first read token)，並可為該第一取用訊標設定一相應的有效期限，例如，5天、10天、1個星期、2個星期、1個月等等。訊標管理智能合約362為該第一取用訊標所設定的有效期限，會等於或短於該授權訊標的有效期限。實作上，訊標管理智能合約362可在第一取用訊標與該授權訊標之間建立適當的資料關聯性、或是有效性關聯性，並可在該授權訊標失效時，連帶註銷(deactivate)該第一取用訊標。

在流程620中，區塊鏈子系統170可直接或間接移轉(transfer)該第一取用訊標給資料請求者裝置130。例如，區塊鏈子系統170可將該第一取用訊標移轉給第三方服務子系統150，再由第三方服務子系統150移轉給資料請求者裝置130。或者，區塊鏈子系統170亦可將該第一取用訊標直接移轉給資料請求者裝置130。

在此情況下，資料請求者裝置130的通信電路131或區塊鏈運算電路133可進行流程622，以獲取由第三方服務子系統150或區塊鏈子系統170移轉過來的該第一取用訊標。

由圖6的流程圖說明可知，只有在訊標管理智能合約362於前述流程218中移轉給資料擁有者裝置110的授權訊標為有效訊標的情況下，區塊鏈子系統170中的訊標管理智能合約362才會產生與該授權訊標具有關聯性的第一取用訊標，並移轉該第一取用訊標給資料請求者裝置130。

換言之，倘若區塊鏈子系統170因各種原因(例如，資料擁有者D1終止使用去中心化資料授權控管系統100的服務，或是被停權)而將資料擁有者裝置110所對應的授權訊標註銷(deactivate)，則區塊鏈子系統170便不會再提供可取用資料擁有者D1的相關資料的取用訊標給其他資料請求者。很明顯地，這樣的機制可避免資料擁有者D1的相關資料被不當取用的可能性，有助於提升對於資料擁有者D1的相關資料的保護程度。

在資料請求者裝置130獲取了前述的第一取用訊標之後，資料請求者R1便得以在想向第三方服務子系統150請求資料擁有者D1的相關資料時，利用資料請求者裝置130進行圖7中的流程702。

在流程702中，資料請求者裝置130的控制電路137可將在流程602中產生的第一資料請求，透過通信電路131傳送給第三方服務子系統150，並利用通信電路131或區塊鏈運算電路133將第一取用訊標移轉給第三方服務子系統150。此時，第三方服務子系統150會相應的 進行流程704。

在流程704中，第三方服務子系統150的通信電路151會接收資料請求者裝置130傳來的第一資料請求，且通信電路151或區塊鏈運算電路153會獲取資料請求者裝置130移轉過來的第一取用訊標。

接下來，第三方服務子系統150可利用區塊鏈子系統170來驗證該第一資料請求的適格性(validity)，以及驗證該第一取用訊標的有效性(activity)。

例如，資料伺服器157可進行流程706，請求區塊鏈子系統170執行資料查詢智能合約366，以驗證第一資料請求的適格性。實作上，資料查詢智能合約366可檢查第一資料請求所對應的一或多個資料項目，是否都屬於前述在流程518中所產生的該可查詢資料清單的涵蓋範圍之內。

倘若第一資料請求所對應的該一或多個資料項目，都在該可查詢資料清單的涵蓋範圍之內，則資料查詢智能合約366會判定第一資料請求為適格(valid)的資料請求，接著，第三方服務子系統150會進行流程708。

反之，倘若第一資料請求所對應的部分資料項目超出該可查詢資料清單的涵蓋範圍，則資料查詢智能合約366會判定第一資料請求為不適格(invalid)的資料請求，接著，第三方服務子系統150會進行流程710。

在流程708中，資料伺服器157會透過通信電路151或區塊鏈運算電路153，移轉該第一取用訊標給區塊鏈子系統170。在此情況下，區塊鏈子系統170會相應進行流程712。

在流程710中，資料伺服器157會拒絕該第一資料請求，並可傳送一相應的拒絕通知給資料請求者裝置130。

在流程712中，區塊鏈子系統170會獲取第三方服務子系統150移轉過來的第一取用訊標。

接著，區塊鏈子系統170會進行流程714，執行訊標管理智能合約362，以驗證第一取用訊標的有效性。如前所述，訊標管理智能合約362在前述的流程618中，可為該第一取用訊標設定一相應的有效期限。在流程714中，訊標管理智能合約362可查核區塊鏈子系統170獲取該第一取用訊標的時間，是否超過在流程618中所設定的有效期限。

倘若區塊鏈子系統170獲取該第一取用訊標的時間，已超過訊標管理智能合約362在流程618中所設定的有效期限，則訊標管理智能合約362會將該第一取用訊標判定為無效(inactive)訊標，並進行流程716。

反之，倘若區塊鏈子系統170獲取該第一取用訊標的時間，尚未超過訊標管理智能合約362在流程618中所設定的有效期限，則訊標管理智能合約362會將該第一取用訊標判定為有效(active)訊標，並進行流程720。

在另一實施例中，區塊鏈子系統170在執行訊標管理智能合約362以驗證第一取用訊標的有效性時，會檢核第一取用訊標在移轉給區塊鏈子系統170前，是否是由資料請求者裝置130移轉給第三方服務子系統150，並且還會檢核第三方服務子系統150移轉第一取用訊標給區塊鏈子系統170的一時間點，是否超過該有效期限。在本實施例中，只有在區塊鏈子系統1700獲取該第一取用訊標的時間尚未超過該有效期限、且第一取用訊標在移轉給區塊鏈子系統170前是由資料請求者裝置130移轉給第三方服務子系統150的情況下，訊標管理智能合約362才會將第一取用訊標判定為有效訊標，並進行流程720。否則，訊標管理智能合約362便會將第一取用訊標判定為無效訊標，並進行流程716。

在流程716中，訊標管理智能合約362會產生及傳送一驗證失敗通知給第三方服務子系統150。在此情況下，第三方服務子系統150會相 應進行流程718，以接收該驗證失敗通知，並傳送一相應的拒絕通知給資料請求者裝置130。

在流程720中，訊標管理智能合約362會產生及傳送一驗證成功通知給第三方服務子系統150，並註銷(deactivate)該第一取用訊標。在此情況下，第三方服務子系統150會相應進行流程722，以接收該驗證成功通知。

接著，第三方服務子系統150的資料伺服器157會進行流程724，從資料庫155所儲存的目標資料中找出與該第一資料請求相應的一或多個資料項目的內容，以形成一第一組資料。

在流程726中，資料伺服器157會透過通信電路151傳送該第一組資料給資料請求者裝置130。此時，資料請求者裝置130的通信電路131會相應進行流程728，以接收第三方服務子系統150提供的第一組資料。

另一方面，如圖7所示，訊標管理智能合約362在判定該第一取用訊標為有效訊標後，還會進行流程730，以記錄該第一取用訊標的一獲取時間(例如，流程712的發生時間)或一驗證時間(例如，流程714或流程720的發生時間)。

區塊鏈子系統170在流程730中所記錄的該第一取用訊標的相關時間資訊，可以用來做為第三方服務子系統150提供資料擁有者D1的相關資料給資料請求者裝置130的佐證。

由圖7的流程圖說明可知，只有在區塊鏈子系統170中的資料查詢智能合約366判定該第一資料請求為適格的資料請求、且訊標管理智能合約362也判定該第一取用訊標為有效訊標的情況下，第三方服務子系統150才會將該第一資料請求所對應的第一組資料提供給資料請求者裝置130。

換言之，只要該第一資料請求不適格或該第一取用訊標無效，第三方服務子系統150就不會提供資料擁有者D1的相關資料給資料請求 者裝置130。因此，前述第三方服務子系統150利用區塊鏈子系統170來驗證該第一資料請求的適格性、並驗證該第一取用訊標的有效性的方式，可有效避免資料擁有者D1的相關資料被不當取用的可能性，有助於大幅提升對於資料擁有者D1的相關資料的保護程度。

另外，基於區塊鏈子系統170的特性，記錄在區塊鏈子系統170中的該第一取用訊標的相關時間資訊很難被竄改，所以可以用來做為第三方服務子系統150提供資料擁有者D1的相關資料給資料請求者裝置130的佐證，有助於降低第三方服務子系統150與資料請求者裝置130兩方發生爭議難以釐清的可能性。

請注意，前述圖6與圖7中的流程執行順序只是一示範性的實施例，並非侷限本發明的實際實施方式。例如，圖6中的流程602可調整到流程604到流程702之間的任意時間點進行。又例如，資料請求者裝置130在前述流程702中的兩個動作，可以同時進行，也可以先後進行。又例如，圖7中的流程730可調整到流程712到流程720之間的任意時間點進行。又例如，圖7中的流程724可調整到流程704到流程722之間的任意時間點進行。

在前述的流程604中，資料請求者裝置130亦可改將該第一訊標請求直接傳送給在區塊鏈子系統170。在此情況下，便可將圖6中的流程606與流程608省略。

另外，在可確保資料請求者裝置130會按照的第三方服務子系統150所提供的可查詢資料清單來產生前述的第一資料請求的某些實施例中，則可將圖7中的流程706與流程710省略。

在去中心化資料授權控管系統100中，區塊鏈子系統170移轉給資料請求者裝置130的每個資料取用訊標，都只允許資料請求者裝置130向第三方服務子系統150請求一次資料，且區塊鏈子系統170會記錄每一個資料取用訊標被使用的時間點資訊。因此，在資料請求者裝置130藉由前述圖6與圖7的方式成功取得第三方服務子系統150所提 供的第一組資料之後，倘若資料請求者裝置130想要再一次請求第三方服務子系統150提供資料擁有者D1的相關資料，則必需進行圖8與圖9中的運作流程。

圖8與圖9的運作流程與前述圖6與圖7的運作流程很類似，差別在於前述圖6與圖7的運作流程中提到的第一資料請求、第一訊標請求、第一取用訊標、以及第一組資料，在圖8與圖9的運作流程分別被第二資料請求、第二訊標請求、第二取用訊標、以及第二組資料所取代。

與前述圖6與圖7的情況類似，只有在訊標管理智能合約362於前述流程218中移轉給資料擁有者裝置110的授權訊標為有效訊標的情況下，區塊鏈子系統170中的訊標管理智能合約362才會產生與該授權訊標具有關聯性的第二取用訊標，並移轉該第二取用訊標給資料請求者裝置130。

換言之，在該授權訊標的有效期間內，訊標管理智能合約362可針對同一資料請求者或不同資料請求者所提出的多個訊標請求，分別產生與該授權訊標具有關聯性的多個取用訊標，且個別取用訊標的有效期間可以有所不同。

同樣地，只有在區塊鏈子系統170中的資料查詢智能合約366判定該第二資料請求為適格的資料請求、且訊標管理智能合約362也判定該第二取用訊標為有效訊標的情況下，第三方服務子系統150才會將該第二資料請求所對應的第二組資料提供給資料請求者裝置130。

基於區塊鏈子系統170的特性，記錄在區塊鏈子系統170中的該第二取用訊標的相關時間資訊很難被竄改，所以可以用來做為第三方服務子系統150再一次提供資料擁有者D1的相關資料給資料請求者裝置130的佐證。

請注意，由前述說明可知，資料請求者裝置130每次使用的資料取用訊標(例如，前述的第一取用訊標及第二取用訊標)，最後是由 區塊鏈子系統170註銷，相當於最後是由區塊鏈子系統170回收這些資料取用訊標，而非由第三方服務子系統150來回收這些資料取用訊標。這樣的架構才能有效降低第三方服務提供者與資料請求者兩方之間發生糾紛的可能性。

資料請求者R1所對應的資料請求者裝置130可比照前述圖6至圖9的方式，透過第三方服務子系統150向區塊鏈子系統170申請(或是直接向區塊鏈子系統170申請)查詢其他資料擁有者(例如，資料擁有者D2)的相關資料所需的資料取用訊標，並使用該資料取用訊標向第三方服務子系統150請求取用相關的資料。

在去中心化資料授權控管系統100中，其他資料請求者裝置(例如，資料請求者R2所對應的資料請求者裝置140)，也可比照前述方式透過第三方服務子系統150向區塊鏈子系統170申請(或是直接向區塊鏈子系統170申請)查詢資料擁有者D1(或其他資料擁有者)的相關資料所需的資料取用訊標，並使用該資料取用訊標向第三方服務子系統150請求取用相關的資料。

同樣地，第三方服務子系統150都可利用區塊鏈子系統170來檢核相關資料請求者裝置所產生的取用訊標請求的有效性、資料請求的適格性、以及取用訊標的有效性。

請參考圖10，其所繪示為本發明一實施例的動態更新資料授權政策的方法簡化後的流程圖。

如前所述，在去中心化資料授權控管系統100中，個別的資料擁有者可依需要而動態調整儲存在區塊鏈子系統170中的資料授權政策。另外，個別的資料擁有者與第三方服務提供者也可動態調整雙方之間的資料查詢協議，並修改相應的資料查詢智能合約。

為了方便說明起見，以下將以資料擁有者D1利用資料擁有者裝置110動態調整儲存在區塊鏈子系統170中的資料授權政策的情境為例，來說明去中心化資料授權控管系統100在圖10中的相關運作流程。

當資料擁有者D1與前述的第三方服務提供者決定修改原先的資料查詢協議時，資料擁有者D1可利用資料擁有者裝置110進行圖10中的流程1002。

在流程1002中，控制電路117可產生一協議更新通知，並透過通信電路111將該協議更新通知傳送給第三方服務子系統150。此時，第三方服務子系統150的通信電路151會相應進行流程1004，以接收資料擁有者裝置110傳來的協議更新通知。

接著，第三方服務子系統150的資料伺服器157可在其管理者或操作人員的操控下進行流程1006，以依據第三方服務提供者與某一資料請求者A共同同意的新資料查詢協議，建立一更新後的資料查詢智能合約366。

在流程1008中，資料伺服器157可利用通信電路151或區塊鏈運算電路153，使用第三方服務提供者所對應的一預定訊標，將更新後的資料查詢智能合約366傳送給區塊鏈子系統170，並指示區塊鏈子系統170對更新後的資料查詢智能合約366進行認證。

在此情況下，區塊鏈子系統170會進行流程1010，利用多個節點執行合適的共識決演算法來對更新後的資料查詢智能合約366進行認證。倘若更新後的資料查詢智能合約366通過區塊鏈子系統170的認證，區塊鏈子系統170便會將更新後的資料查詢智能合約366以資料區塊的形式儲存在區塊鏈子系統170的區塊鏈帳本中，以完成將更新後的資料查詢智能合約366部署到區塊鏈子系統170中的程序。在後續的運作階段中，第三方服務子系統150可利用更新後的資料查詢智能合約366來檢核及判斷個別的資料請求者有權取用的資料的範圍、類型、屬性、或項目。

另一方面，當資料擁有者D1認為其資料授權政策需要調整時，可利用資料擁有者裝置110進行圖10中的流程1012。

在流程1012中，控制電路117會將資料擁有者D1與相關資料請求者 共同同意的新資料授權政策、或是資料擁有者D1自行調整後的新資料授權政策進行加密，以產生更新後的資料授權政策密文。

接著，控制電路117可進行流程1014，以利用通信電路111或區塊鏈運算電路113，使用資料擁有者D1所對應的授權訊標將更新後的資料授權政策密文傳送給區塊鏈子系統170。

此時，區塊鏈子系統170會進行流程1016，以將資料擁有者裝置110傳來的更新後的資料授權政策密文，記錄在授權政策智能合約364中，以替代原先的資料授權政策密文成為資料擁有者裝置110所對應的當前有效的資料授權政策密文。

由前述說明可知，由資料擁有者裝置110所產生、且包含資料授權政策的資料授權政策密文的歷史版本，會被記錄在區塊鏈子系統170中。具備正確解密金鑰、且有權存取區塊鏈子系統170的裝置，可從區塊鏈子系統170中讀取並解密由資料擁有者D1所設定的資料授權政策密文的歷史版本。這樣的機制一方面可確保資料擁有者的資料授權政策具有足夠的保密性，另一方面又能提升資料擁有者的資料授權政策對於利害關係人的透明度，是個兩全其美、不會過於偏向任何一方的平衡架構。

第三方服務子系統150可比照前述圖10的方式，動態調整其他資料請求者(例如，資料請求者R2)所對應的資料查詢智能合約366的內容，藉此更新個別資料請求者所對應的資料查詢協議。如此一來，第三方服務子系統150便可彈性調整其他資料請求者能夠請求的資料範圍、資料類型、和/或資料內容。

另一方面，去中心化資料授權控管系統100中的其他資料擁有者(例如，對應於資料擁有者裝置120的資料擁有者D2)，則可比照前述圖10的方式使用相關的資料擁有者裝置，以動態調整記錄在授權政策智能合約364中的相關資料授權政策密文，藉此更新該資料擁有者針對特定資料請求者或全部資料請求者所設定的資料授權政 策。如此一來，該資料擁有者便可彈性調整授權給第三方服務子系統150向特定資料請求者或全部資料請求者提供資料時的資料範圍、資料類型、和/或資料內容。

由前述說明可知，有權存取區塊鏈子系統170、具備正確解密金鑰的裝置，可對記錄在區塊鏈子系統170中的資料授權政策密文進行解密與查核。因此，利用區塊鏈子系統170來取代傳統的集權式授權伺服器，可有效提升去中心化資料授權控管系統100在授權政策管理上的透明度，進而降低第三方服務子系統150與資料擁有者或資料請求者之間發生糾紛的可能性。

前述去中心化資料授權控管系統100的另一優點是能夠滿足歐盟GDPR的各種要求，並且能夠允許資料擁有者隨時依需要而動態調整其資料授權政策，具有更高的授權政策調整彈性。

另外，個別資料擁有者的資料授權政策是以加密形式儲存在區塊鏈子系統170中，且只有具備正確解密金鑰、且有權存取區塊鏈子系統170的裝置，才能從區塊鏈子系統170中讀取並解密相關的資料授權政策密文。這樣的做法可大幅降低個別資料擁有者所設定的資料授權政策被惡意人士竊取或竄改的風險。

再者，個別資料請求者裝置每次使用的資料取用訊標(例如，前述的第一取用訊標及第二取用訊標)，最後是由區塊鏈子系統170註銷。換言之，這些資料取用訊標最後是由區塊鏈子系統170回收，而非由第三方服務子系統150來回收。這樣的架構能有效降低第三方服務提供者與資料請求者兩方之間發生糾紛的可能性。

另一方面，去中心化資料授權控管系統100採用的授權政策控管方法，是利用區塊鏈搭配智能合約的架構來自動完成資料取用訊標的申請與移轉程序、授權訊標的有效性驗證程序、資料請求的適格性驗證程序、以及取用訊標的有效性驗證程序，所以能夠大幅提升資料授權控管流程的效率與正確性，並同時大幅減少所需的人力與時 間，更能有效避免儲存在區塊鏈子系統170中的相關授權政策密文與取用訊標的時間記錄被惡意人士事後竄改的風險。

實作上，前述去中心化資料授權控管系統100中的第三方服務子系統的數量，可依實際應用環境的需要而增加，並不侷限於前述實施例所繪示的態樣。

在某些實施例中，可將前述資料擁有者裝置110中的資料庫115和/或區塊鏈運算電路113省略，或是將資料庫115和/或區塊鏈運算電路113獨立於資料擁有者裝置110之外。

另外，在某些實施例中，可將前述資料請求者裝置130中的資料庫135和/或區塊鏈運算電路133省略，或是將資料庫135和/或區塊鏈運算電路133獨立於資料請求者裝置130之外。

同樣地，在某些實施例中，可將前述第三方服務子系統150中的資料庫155和/或區塊鏈運算電路153省略，或是將資料庫155和/或區塊鏈運算電路153獨立於第三方服務子系統150之外。

在說明書及申請專利範圍中使用了某些詞彙來指稱特定的元件，而本領域內的技術人員可能會用不同的名詞來稱呼同樣的元件。本說明書及申請專利範圍並不以名稱的差異來做為區分元件的方式，而是以元件在功能上的差異來做為區分的基準。在說明書及申請專利範圍中所提及的「包含」為開放式的用語，應解釋成「包含但不限定於」。另外，「耦接」一詞在此包含任何直接及間接的連接手段。因此，若文中描述第一元件耦接於第二元件，則代表第一元件可通過電性連接或無線傳輸、光學傳輸等信號連接方式而直接地連接於第二元件，或通過其它元件或連接手段間接地電性或信號連接至第二元件。

在說明書中所使用的「和/或」的描述方式，包含所列舉的其中一個項目或多個項目的任意組合。另外，除非說明書中特別指明，否則任何單數格的用語都同時包含複數格的含義。

以上僅為本發明的較佳實施例，凡依本發明請求項所做的等效變化與修改，皆應屬本發明的涵蓋範圍。

100:去中心化資料授權控管系統

110、120:資料擁有者裝置

111、131、151:通信電路

113、133、153:區塊鏈運算電路

115、135、155:資料庫

117、137:控制電路

130、140:資料請求者裝置

150:第三方服務子系統

157:資料伺服器

160:區塊鏈節點叢集

161~167:區塊鏈節點

170:區塊鏈子系統

Claims (19)

1. 一種去中心化資料授權控管系統(100)，包含：一資料擁有者裝置(110)，設置成可提供目標資料；一第三方服務子系統(150)，設置成可儲存該目標資料；一資料請求者裝置(130)，設置成可產生與一或多個資料項目相應的一第一資料請求，並產生包含一訊標識別資料的一第一訊標請求；以及一區塊鏈子系統(170)，包含多個區塊鏈節點(161~167)，設置成可獲取該第一訊標請求所對應的一訊標識別資料，並驗證該訊標識別資料所對應的一授權訊標的有效性，且倘若該授權訊標為有效，則該區塊鏈子系統(170)還設置成可產生與該授權訊標相應的一第一取用訊標；其中，該資料請求者裝置(130)還設置成可在獲取該第一取用訊標後，傳送該第一資料請求給該第三方服務子系統(150)，並移轉該第一取用訊標給該第三方服務子系統(150)；其中，該第三方服務子系統(150)還設置成可在接收到該第一資料請求後，移轉該第一取用訊標給該區塊鏈子系統(170)；其中，該區塊鏈子系統(170)還設置成可驗證該第一取用訊標的有效性，且在該區塊鏈子系統(170)判定該第一取用訊標為有效訊標後，該區塊鏈子系統(170)還會產生及傳送一驗證成功通知給該第三方服務子系統(150)；其中，該第三方服務子系統(150)還會從該目標資料中找出與該第一資料請求相應的一第一組資料，並且只有在接收到該驗證成功通知後，該第三方服務子系統(150)才會傳送該第一組資料給該資料請求者裝置(130)；其中，該資料擁有者裝置(110)不會接收該第一資料請求，不會 涉入該第一資料請求的處理過程，不會產生該第一取用訊標，不會獲取該第一取用訊標，也不會涉入該第一取用訊標的有效性的驗證過程。
2. 如請求項1所述的去中心化資料授權控管系統(100)，其中，在該區塊鏈子系統(170)判定該第一取用訊標為有效訊標後，該區塊鏈子系統(170)還會註銷該第一取用訊標。
3. 如請求項2所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)還設置成可在產生該第一取用訊標時，為該第一取用訊標設定一相應的有效期限；其中，在驗證該第一取用訊標的有效性時，該區塊鏈子系統(170)會檢核該第一取用訊標在移轉給該區塊鏈子系統(170)前，是否是由該資料請求者裝置(130)移轉給該第三方服務子系統(150)，且該區塊鏈子系統(170)還會檢核該第三方服務子系統(150)移轉該第一取用訊標給該區塊鏈子系統(170)的一時間點，是否超過該有效期限。
4. 如請求項3所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)還會記錄該第一取用訊標的一獲取時間或一驗證時間。
5. 如請求項2所述的去中心化資料授權控管系統(100)，其中，該資料請求者裝置(130)所產生的該第一訊標請求，是先由該資料請求者裝置(130)傳送給該第三方服務子系統(150)，再由該第三方服務子系統(150)轉傳給該區塊鏈子系統(170)。
6. 如請求項2所述的去中心化資料授權控管系統(100)，其中，該資料請求者裝置(130)所產生的該第一訊標請求，是由該資料請求者裝置(130)傳送給該區塊鏈子系統(170)。
7. 如請求項2所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)所產生的該第一取用訊標，是先由該區塊鏈 子系統(170)移轉給該第三方服務子系統(150)，再由該第三方服務子系統(150)移轉給該資料請求者裝置(130)。
8. 如請求項2所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)所產生的該第一取用訊標，是由該區塊鏈子系統(170)移轉給該資料請求者裝置(130)。
9. 如請求項2所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)還設置成執行一訊標管理智能合約(362)，以產生並移轉該授權訊標給該資料擁有者裝置(110)，其中，該資料擁有者裝置(110)會使用該授權訊標將一資料授權政策密文傳送給該區塊鏈子系統(170)，而該區塊鏈子系統(170)則會將該資料授權政策密文記錄在一授權政策智能合約(364)中。
10. 如請求項9所述的去中心化資料授權控管系統(100)，其中，該資料擁有者裝置(110)還設置成可傳送該訊標識別資料及一目標金鑰給該資料請求者裝置(130)；該資料請求者裝置(130)還設置成可產生及傳送與該訊標識別資料有關的一授權政策查詢請求給該區塊鏈子系統(170)；該區塊鏈子系統(170)還設置成可執行該授權政策智能合約(364)，以找出並傳送該授權政策查詢請求所對應的該資料授權政策密文給該資料請求者裝置(130)；其中，該資料請求者裝置(130)會利用該目標金鑰對該資料授權政策密文進行解密，以獲取一解密後的資料授權政策，並檢核解密後的資料授權政策，是否與一預定版本相符。
11. 如請求項9所述的去中心化資料授權控管系統(100)，其中，該資料擁有者裝置(110)還設置成可傳送該訊標識別資料及一目標金鑰給該資料請求者裝置(130)；該資料請求者裝置(130)還設置成可產生及傳送包含該訊標識別資料及該目標金鑰的一資料清單請求給該第三方服務子系統(150)；該第三方服務子系統(150) 還設置成產生及傳送與該訊標識別資料有關的一授權政策查詢請求給該區塊鏈子系統(170)；該區塊鏈子系統(170)還設置成可執行該授權政策智能合約(364)，以找出並傳送該授權政策查詢請求所對應的該資料授權政策密文給該第三方服務子系統(150)；其中，該第三方服務子系統(150)會利用該目標金鑰對該資料授權政策密文進行解密，以獲取一解密後的資料授權政策，並根據該解密後的資料授權政策，請求該區塊鏈子系統(170)執行一資料查詢智能合約(366)，以產生與該目標資料的部分內容相應的一可查詢資料清單。
12. 一種去中心化資料授權控管系統(100)，包含：一第三方服務子系統(150)，設置成可儲存一資料擁有者裝置(110)所提供的目標資料；一資料請求者裝置(130)，設置成可產生與一或多個資料項目相應的一第一資料請求，並產生包含一訊標識別資料的一第一訊標請求；以及一區塊鏈子系統(170)，包含多個區塊鏈節點(161~167)，設置成可獲取該第一訊標請求所對應的一訊標識別資料，並驗證該訊標識別資料所對應的一授權訊標的有效性，且倘若該授權訊標為有效，則該區塊鏈子系統(170)還設置成可產生與該授權訊標相應的一第一取用訊標；其中，該資料請求者裝置(130)還設置成可在獲取該第一取用訊標後，傳送該第一資料請求給該第三方服務子系統(150)，並移轉該第一取用訊標給該第三方服務子系統(150)；其中，該第三方服務子系統(150)還設置成可在接收到該第一資料請求後，移轉該第一取用訊標給該區塊鏈子系統(170)；其中，該區塊鏈子系統(170)還設置成可驗證該第一取用訊標的有效性，且在該區塊鏈子系統(170)判定該第一取用訊標為 有效訊標後，該區塊鏈子系統(170)還會產生及傳送一驗證成功通知給該第三方服務子系統(150)；其中，該第三方服務子系統(150)還會從該目標資料中找出與該第一資料請求相應的一第一組資料，並且只有在接收到該驗證成功通知後，該第三方服務子系統(150)才會傳送該第一組資料給該資料請求者裝置(130)；其中，該第一資料請求的處理過程以及該第一取用訊標的有效性的驗證過程，都無需該資料擁有者裝置(110)涉入。
13. 如請求項12所述的去中心化資料授權控管系統(100)，其中，在該區塊鏈子系統(170)判定該第一取用訊標為有效訊標後，該區塊鏈子系統(170)還會註銷該第一取用訊標。
14. 如請求項13所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)還設置成可在產生該第一取用訊標時，為該第一取用訊標設定一相應的有效期限；其中，在驗證該第一取用訊標的有效性時，該區塊鏈子系統(170)會檢核該第一取用訊標在移轉給該區塊鏈子系統(170)前，是否是由該資料請求者裝置(130)移轉給該第三方服務子系統(150)，且該區塊鏈子系統(170)還會檢核該第三方服務子系統(150)移轉該第一取用訊標給該區塊鏈子系統(170)的一時間點，是否超過該有效期限。
15. 如請求項14所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)還會記錄該第一取用訊標的一獲取時間或一驗證時間。
16. 如請求項13所述的去中心化資料授權控管系統(100)，其中，該資料請求者裝置(130)所產生的該第一訊標請求，是先由該資料請求者裝置(130)傳送給該第三方服務子系統(150)，再由該第三方服務子系統(150)轉傳給該區塊鏈子系統(170)。
17. 如請求項13所述的去中心化資料授權控管系統(100)，其中，該資料請求者裝置(130)所產生的該第一訊標請求，是由該資料請求者裝置(130)傳送給該區塊鏈子系統(170)。
18. 如請求項13所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)所產生的該第一取用訊標，是先由該區塊鏈子系統(170)移轉給該第三方服務子系統(150)，再由該第三方服務子系統(150)移轉給該資料請求者裝置(130)。
19. 如請求項13所述的去中心化資料授權控管系統(100)，其中，該區塊鏈子系統(170)所產生的該第一取用訊標，是由該區塊鏈子系統(170)移轉給該資料請求者裝置(130)。

Images