CN100490371C - 提高开放业务中隐私数据安全性的方法 - Google Patents

Abstract

本发明公开了一种提高开放业务中隐私数据安全性的方法，该方法预先在开放业务系统中设置用于存储记录的用户隐私数据与出消息的映射关系，以及对应出消息中隐私数据的安全控制策略的隐私数据控制单元；在开放业务需要向第三方业务传输包含隐私数据的出消息时，先将该出消息发送给所述隐私数据控制单元，该隐私数据控制单元根据隐私数据与出消息的映射关系和安全控制策略，通知开放业务传输、不传输该出消息或传送该出消息到另一个与该第三方业务有着相同能力的可信第三方业务。本发明方法不仅能防止隐私数据泄漏给不信任的第三方业务，且控制机制非常灵活、具有较好的可扩充性和性能，并且易于集成到已有的业务执行环境中。

Description

提高开放业务中隐私数据安全性的方法

技术领域

本发明涉及在开放业务中的数据安全技术，特别涉及一种提高开放业务中隐私数据安全性的方法。

背景技术

目前，随着计算机技术和电信技术的发展，在计算机、电信等领域中提出了将本领域相关的业务能力开放的问题。

在计算机领域中，出现了各种中间件技术，使得软件可以作为一种业务(服务)进行开放，其能力可非常方便地供用户或者其它程序使用。如CORBA对象、Web服务和Grid服务等，它们部署在网络上，能够接受其它本地的或者远端程序的访问，进行相应的处理并返回结果。

在电信领域，下一代网络以位于控制层的软交换为核心，能够向业务层提供屏蔽各种下层网络细节的标准化协议甚至可编程接口API，使得网络能力能够像软件服务一样开放，以供位于业务层的业务(即程序)使用。

此外，随着不断涌现的新的业务需求，一次呼叫/会话过程中涉及的业务特征已扩展到了诸如业务质量控制、分布式专有业务数据访问、业务代码的携带性等，这就需要为分布在业务层的属于同一或不同业务运营商的计算资源、业务能力资源的复用提供支持。

新的业务可通过继承部分已有开放的业务能力来实现，从而不但可以进一步提高新业务的提供速度，降低新业务的提供成本，而且可以向终端用户提供单一业务运营商难以独自提供的，需要使用多个业务运营商独特业务特征的业务。

业务通常表示一个应用程序，它能够为客户提供服务。这里的客户可以是人，也可以是其它的程序。一个业务能够提供的服务包括网上定票、股票信息查询、多方多媒体会议建立、移动用户位置信息提供、业务的计费信息查询等。一个业务可以只响应一个客户的请求，也可以同时响应多个客户的请求，对于后面这种情况，有状态业务(即需要在多个请求中间维护会话状态，客户发出的同一个请求，在不同的会话状态下响应结果可能是不一样的。)需要为这些客户维持并管理会话信息。简单地说，会话就是由同一个客户在一定的时间内发出的一系列请求，而会话的管理就是为了维持会话状态以便保存某个客户在多个请求中都要使用的数据。

业务运行在业务执行环境中。业务执行环境运行在计算机平台上。它可以是一个操作系统，一个在操作系统上运行的中间件系统如EJB容器，也可以是为特定业务类型开发的为业务运行提供各种特殊支持的应用软件系统，如支持电信业务的业务执行环境需要为业务的执行提供统计、费率等支持。

业务能力的开放会带来一系列的安全问题，用户的隐私保护就是众多安全问题中的一个。一般，用户在定购或者使用业务时，会隐含、显式、静态或者动态地与业务提供商签订隐私保护协定。可能的隐私数据多种多样，如信用卡号、帐户余额、客户目前的地理位置、客户使用的终端物理地址等。

使用开放业务的基本原理参见图1，图1为开放业务的使用示意图。其中，客户业务(ClientS)代表客户程序，ClientS可能直接被用户使用，也可能是被另一个被用户使用的业务使用，这都可统一称为ClientS被用户调用。ClientS在运行过程中需要访问开放业务(OpenS)。OpenS代表开放了自己的业务能力供客户使用的业务。OpenS针对ClientS的请求进行处理的时候，需要访问第三方业务(ThirdS)的业务能力。ThirdS代表另一个开放了业务能力的业务。在一次会话中涉及的ThirdS可能有多个。

会话过程中，业务之间的调用是通过消息流实现的，图1中举几个消息传输的示例。本文中从ClientS以及ThirdS到OpenS的消息称为入消息，从OpenS到ThirdS的消息称为出消息。其中入消息1包含参数a和参数b；入消息2包含参数c和参数d；出消息1包含参数d和参数e；出消息2包含参数g；从ThirdS到OpenS的返回消息包含参数h和参数I，该消息也是一条进入OpenS的入消息；从OpenS到ClientS的返回消息包含参数j。

在执行业务过程中，如果入消息1的参数a包含了某用户的隐私数据A，而且在出消息2的参数g中也包含了该隐私数据A。那么，在ClientS调用OpenS业务能力的一次会话过程中，如果ClientS向OpenS发送了入消息1，则OpenS就具有了该隐私数据A。在此次会话中，如果OpenS需要向ThirdS发送出消息2，则说明此次会话将会导致隐私数据被发送到第三方。

可见，在现有技术的开放业务中，没有对隐私数据做任何的安全处理，这种情况下，隐私数据很可能被泄漏给不信任的第三方业务，由此带来了隐私数据的安全隐患。

发明内容

有鉴于此，本发明的主要目的在于提供一种提高开放业务中隐私数据安全性的方法，防止隐私数据泄漏给不信任的第三方业务。

为达到上述目的，本发明的技术方案具体是这样实现的：

一种提高开放业务中隐私数据安全性的方法，在开放业务系统中设置隐私数据控制单元，将预先记录的客户业务的隐私数据与出消息的映射关系，以及设置的对出消息中隐私数据的安全控制策略存储到所述隐私数据控制单元；在开放业务需要向第三方业务传输包含隐私数据的出消息时，先将该出消息发送给所述隐私数据控制单元，该隐私数据控制单元根据隐私数据与出消息的映射关系和安全控制策略，通知开放业务传输、不传输该出消息或传送该出消息到另一个与该第三方业务有着相同能力的可信第三方业务，开放业务按照该通知传输、不传输该出消息或传送给可信第三方业务。

该方法可以进一步包括：预先记录客户业务的隐私数据与入消息的映射关系；

在开放业务收到入消息时，根据隐私数据与入消息的映射关系，判断该入消息是否包含隐私数据，如果包含，提取出该入消息涉及的隐私数据，根据隐私数据与出消息映射关系，提取出该隐私数据涉及的出消息并记录。

本发明中可以将客户业务的隐私数据与入消息的映射关系存储到所述隐私数据控制单元中；

所述将该出消息发送给所述隐私数据控制单元的操作进一步包括：

将该出消息的目的第三方业务名发送给隐私数据控制单元；

所述隐私数据控制单元根据隐私数据与出消息的映射关系和安全控制策略，通知开放业务传输、不传输该出消息或传送该出消息给可信第三方业务的方法包括：

A、开放业务在接收包含客户业务的隐私数据的入消息之前，先将该客户业务的隐私保护请求发送给所述隐私数据控制单元；

B、所述隐私数据控制单元根据该隐私保护请求、所述隐私数据与入消息映射关系、接收的包含客户业务的隐私数据的入消息、以及所述隐私数据与出消息映射关系，确定哪些出消息涉及了隐私数据；

C、隐私数据控制单元接收到来自开放业务的出消息和该出消息的目的第三方业务名时，根据确定的隐私数据与出消息的映射关系和安全控制策略，通知开放业务传输、不传输该出消息或传输给可信第三方业务。

本发明还可以在隐私数据控制单元中设置隐私数据范围表；

所述隐私数据范围表存储客户业务涉及的隐私数据和对每种隐私数据在出消息中的安全控制策略；

所述隐私数据与出消息的映射关系和隐私数据与入消息的映射关系是隐私数据控制单元根据该隐私数据范围表生成的。

所述设置隐私数据范围表的方法可以为：将客户业务涉及的隐私数据和安全控制策略输入文件；或提供GUI图形界面，通过该界面输入客户业务涉及的隐私数据和安全控制策略。

生成隐私数据与出消息的映射关系和隐私数据与入消息的映射关系的方法可以为：

建立隐私数据的命名规则与出入消息中参数的命名规则间的对应关系，由隐私数据控制单元针对隐私数据范围表中的每个隐私数据自动搜索开放业务的每条出消息和入消息的参数，根据命名的对应关系自动生成；或者将隐私数据与出、入消息的对应关系输入文件，由隐私数据控制单元读取该文件生成；或者提供GUI界面，通过该界面输入隐私数据与出、入消息的对应关系。

所述隐私数据与入消息的映射关系存储在隐私与入消息映射表中；步骤B所述确定哪些出消息涉及隐私数据的方法可以为：

B01、隐私数据控制单元根据所述客户业务的隐私保护请求，结合隐私数据范围表、隐私与入消息映射表，生成会话相关隐私与入消息映射表；

B02、开放业务将该业务会话的入消息发送给隐私数据控制单元；

B03、隐私数据控制单元收到该业务会话的入消息后，根据会话相关隐私与入消息映射表，判断该入消息是否包含隐私数据，如果包含，提取出该入消息涉及的隐私数据，根据隐私数据与出消息映射关系，提取出该隐私数据涉及的出消息，将该隐私数据与该出消息的映射关系添加到预先生成的会话相关隐私数据与出消息映射表中。

所述客户业务的隐私保护请求是在业务定购时由客户业务发送并记录在隐私数据控制单元的；或是由开放业务将隐私保护请求随会话开始请求发送给隐私数据控制单元的；或是由开放业务在会话过程中发送给隐私数据控制单元的。

若所述客户业务的隐私保护请求是在业务定购时发送到隐私数据控制单元的，则隐私数据控制单元收到客户业务的隐私保护请求后，根据该隐私保护请求，查找隐私数据范围表，判断隐私保护请求中请求保护的隐私数据是否在隐私数据范围表中，如果是，则记录，并在该客户业务请求的每个会话开始后，执行步骤B01；如果不是，则通知业务执行环境，此次业务定购不能成功。

若所述客户业务的隐私保护请求是由开放业务随会话开始请求发送给隐私数据控制单元的，或是由开放业务在会话过程中发送给隐私数据控制单元的，则

隐私数据控制单元收到客户业务的隐私保护请求后，根据该隐私保护请求，查找隐私数据范围表，判断隐私保护请求中请求保护的隐私数据是否在隐私数据范围表中，如果是，则通知开放业务在本次会话中隐私保护请求可达，执行步骤B01；否则通知开放业务在本次会话中隐私保护请求不可达，开放业务可通知客户业务此会话无法成功建立。

所述隐私数据与出消息的映射关系存储在隐私与出消息映射表中；所述步骤C中，隐私数据控制单元收到开放业务发送的出消息和该消息的目的第三方业务名时，对收到的每条出消息进行分析，如果该出消息是所述会话相关隐私与出消息映射表中的一条出消息，或者该消息的目的第三方业务属于所述隐私与出消息映射表，则根据针对本消息的安全控制策略，通知开放业务将该出消息传输给第三方业务、不传输给第三方业务或传输给另一个与该第三方业务有着相同能力的可信第三方业务。

所述隐私数据控制单元可以包含隐私生成模块和隐私控制模块；

所述隐私生成模块根据隐私数据范围表生成隐私数据与出消息的映射关系和隐私数据与入消息的映射关系并存储；

所述隐私控制模块接收开放业务发送的出消息和该消息的目的第三方业务名，根据隐私数据与出消息的映射关系和隐私数据范围表中的安全控制策略，通知开放业务将该出消息传输给第三方业务、不传输给第三方业务或传送该出消息到另一个与该第三方业务有着相同能力的可信第三方业务。

所述隐私生成模块可以是在业务执行环境加载业务时，按照业务执行环境发送的命令生成隐私数据与出消息的映射关系和隐私数据与入消息的映射关系并存储的。

所述隐私数据与出消息的映射关系存储在隐私与出消息映射表中；所述隐私控制模块可以根据客户业务的隐私保护请求，结合隐私数据范围表、隐私数据与入消息映射关系，生成会话相关隐私与入消息映射表；

并对收到的每条入消息进行分析，如果该消息是本会话相关隐私与入消息映射表中的一条入消息，则该入消息包含隐私数据，提取出该入消息涉及的隐私数据，根据该隐私数据与出消息映射关系，提取出该隐私数据涉及的出消息，将该隐私数据与该出消息的映射关系添加到预先生成的会话相关隐私数据与出消息映射表中；

且对收到的每条出消息进行分析，如果该出消息是所述会话相关隐私与出消息映射表中的一条出消息，或者该出消息的目的第三方业务属于所述隐私与出消息映射表，则根据针对本出消息的安全控制策略，通知开放业务将该出消息传输给第三方业务、不传输给第三方业务或传输给另一个与该第三方业务有着相同能力的可信第三方业务。

所述隐私数据范围表、隐私数据与入消息映射关系、隐私与出消息映射表、会话相关隐私数据与入消息映射表、会话相关隐私数据与出消息映射表：

采用数据结构、XML语言、数据库表单描述；采用内存、文件或数据库方式存储；采用集中存储或通过网络连接采用分布式存储。

所述的隐私数据控制单元可以设置在业务执行环境中，或单独设置在业务系统中；

所述隐私生成模块和隐私控制模块采用集中部署，或通过网络连接采用分布部署。

由上述的技术方案可见，本发明的这种提高开放业务中隐私数据安全性的方法，预先记录下各用户隐私数据与出消息的映射关系，并设置对出消息中隐私数据的安全控制策略；在开放业务需要向第三方业务传输包含隐私数据的出消息时，根据隐私数据与出消息的映射关系和安全控制策略，传输或不传输该出消息。也就是在开放业务向第三方业务传输包含隐私数据的出消息时，按照安全控制策略进行了安全控制，增加了安全处理的步骤，能够防止隐私数据泄漏给不信任的第三方业务。而且，本发明通过各种映射关系，可以非常容易地计算出某个出消息是否涉及隐私数据，具有较好的性能。由于本发明方法独立于具体的隐私控制策略，因此，新的保护策略可以很方便地加入，还具有较好的可扩充性。

附图说明

图1为开放业务的使用示意图；

图2为本发明一较佳实施例的隐私控制架构及原理示意图；

图3为图2所示实施例中隐私控制第一种流程图；

图4为图2所示实施例中隐私控制第二种流程图。

具体实施方式

为使本发明的目的技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明进一步详细说明。

本发明这种提高开放业务中隐私数据安全性的方法，预先记录下各用户隐私数据与出消息的映射关系，并设置对出消息中隐私数据的安全控制策略；在开放业务需要向第三方传输包含隐私数据的出消息时，根据隐私数据与出消息的映射关系和安全控制策略，传输、不传输该出消息，或传送该出消息到另一个与该第三方业务有着相同能力的可信第三方业务。

本发明方法可以通过在业务系统中设置一个隐私数据控制单元来实现，该隐私数据控制单元可以设置在业务执行环境中，也可以在业务执行环境外单独设置。隐私控制单元的各个模块可以集中部署，也可以采用分布部署。分布部署时互相之间可以通过网络连接使用对方的功能。

参见图2，图2为本发明一较佳实施例的隐私控制架构及原理示意图。本实施例中，隐私控制单元210单独设置在业务执行环境200外，且各个模块集中部署。本实施例的隐私数据控制单元210包含隐私控制模块211、隐私生成模块212、隐私数据范围表213、隐私数据与入消息映射表214和隐私数据与出消息映射表215。另外，在对会话中传输的出消息进行隐私控制时，隐私控制模块211还会生成针对每个会话的会话相关隐私数据与入消息映射表216和会话相关隐私数据与出消息映射表217。

其中，隐私数据范围表213中存储了业务涉及的隐私数据和对每种隐私数据在出消息中安全控制策略。隐私数据是业务入消息流中所有输入参数集合的一个子集。隐私保护策略是每一个隐私数据的在需要送到第三方时可支持的实时控制策略。隐私保护策略可以是但不限于这几种：不许送到第三方、只允许送到可信第三方、使用替代数据、可送到任意第三方等。

这些隐私数据和安全控制策略可以是业务提供者直接输入隐私数据范围表文件；或提供GUI图形界面，业务提供者通过该界面输入业务涉及的隐私数据和安全控制策略。

隐私数据与入消息映射表214中存储了隐私数据范围表213中的各项隐私数据与入消息间的映射关系，可以包括但不限于以下内容：该隐私数据对应的入消息的名字、与每个消息中的哪个或哪些参数对应。

隐私数据与出消息映射表215中存储了隐私数据范围表213中的各项隐私数据与出消息的映射关系。可以包括但不限于以下内容：该隐私数据对应的出消息名字、每个出消息对应的目的第三方业务以及与该出消息中哪一个或一些参数对应。此外还包含：针对每个控制项，如消息名、第三方业务、参数等应该实施的控制策略。

隐私数据与入消息映射表214和隐私数据与出消息映射表215可以由隐私生成模块212生成。

隐私生成模块212在业务执行环境加载业务时，按照业务执行环境发送的命令，根据隐私数据范围表213按照隐私数据的命名规则与出、入消息中参数的命名规则间的对应关系，或者描述隐私数据与出、入消息对应关系的输入文件，或者通过GUI界面输入的隐私数据与出、入消息的对应关系，生成隐私数据与出消息映射表214和隐私数据与入消息映射表215。

隐私生成模块212可以根据隐私数据范围表213自动生成隐私数据与出消息映射表214和隐私数据与入消息映射表215；也可以由隐私生成模块212生成一部分数据，其它数据由业务提供者补充完成；或者业务提供者手工生成隐私数据与出消息映射表214和隐私数据与入消息映射表215。

隐私控制模块211对涉及隐私数据的出消息进行实时的控制。其根据客户业务的隐私保护请求，结合隐私数据范围表213、隐私数据与入消息映射表214，生成会话相关隐私与入消息映射表216。

并对收到的每条入消息进行分析，如果该消息是本会话相关隐私与入消息映射表216中的一条入消息，则该入消息包含隐私数据，提取出该入消息涉及的隐私数据，根据该隐私数据从隐私数据与出消息映射表215中，提取出涉及入消息的隐私数据对应的出消息，将隐私数据与该出消息的映射关系添加到会话相关隐私数据与出消息映射表217中。

且对收到的每条出消息进行分析，如果该消息是会话相关隐私与出消息映射表217中的一条出消息，或者该消息的目的第三方业务属于隐私与出消息映射表215，则根据针对本消息的安全控制策略，将该出消息传输给第三方业务、不传输给第三方业务或传输给另一个与该第三方业务有着相同能力的可信第三方业务。

会话相关隐私数据与入消息映射表216中存储本次会话要求的各项隐私数据及其与入消息间的映射关系，以及每项隐私数据要求的控制策略。它是隐私与入消息映射表214的子集。是隐私控制模块211根据客户业务发送的隐私保护请求以及隐私数据范围表213和隐私与入消息映射表214的内容自动生成的。

所述客户业务的隐私保护请求可以在业务定购时客户业务发送并记录在隐私控制模块211；也可以是开放业务将隐私保护请求随会话开始请求发送给隐私控制模块211；还可以是开放业务在会话过程中发送给隐私控制模块211的。

其中，隐私数据控制模块211收到业务定购时客户业务发送的隐私保护请求后，根据该隐私保护请求，查找隐私数据范围表，判断隐私保护请求中请求保护的隐私数据是否在隐私数据范围表中，如果是，则记录，并在该客户业务请求的每个会话开始后，对出消息进行隐私控制；如果不是，则通知业务执行环境200，此次业务定购不能成功。因此，业务定购时记录的隐私保护请求可以对该客户业务发起的所有会话进行隐私控制。

在会话开始请求发送的隐私保护请求可以对该客户业务发起的本次会话进行隐私控制，在会话过程中发送的隐私保护请求则只能对该次会话后续的出消息进行隐私控制。

会话相关隐私数据与出消息映射表217中存储隐私数据范围表213中的各项隐私数据与出消息的映射关系，它是隐私数据与出消息映射表214的子集。其内容根据本次会话中客户业务发来的每条入消息与隐私数据的关系而动态添加。

对于在同一时刻可支持多个会话的业务来说，每个会话都有相应的会话相关隐私数据与入消息映射表216和会话相关隐私数据与出消息映射表217。

本实施例中，隐私控制模块211在访问隐私数据范围表213、隐私数据与入消息映射表214和隐私数据与出消息映射表215时，可以通过隐私生成模块212访问，也可以直接访问。

本实施例中的隐私数据范围表213、隐私数据与入消息映射表214、隐私数据与出消息映射表215、会话相关隐私数据与入消息映射表216、会话相关隐私数据与出消息映射表217，可以采用数据结构、XML语言、数据库表单等各种方法描述；可以采用内存、文件或数据库等各种方式存储；可以采用集中存储或通过网络连接采用分布式存储。

采用图2所示的架构，在业务过程中进行隐私控制有两种结果，一种是由于隐私控制会话异常结束，另一种是会话正常结束，以下分别进行说明。

参见图3，图3为图2所示实施例中隐私控制第一种流程图。本流程中涉及隐私数据对ThirdS发送，由于对该隐私数据的控制策略为不可外传至第三方，因此会话会异常结束。

该流程包括以下步骤：

步骤301，客户业务(ClientS)向开放业务(OpenS)发出创建一个新会话的请求，并在请求参数中包含本次会话的隐私保护请求。

这样，对同一个用户来说，在不同的会话中可以有不同的隐私保护请求，实现了隐私保护请求的动态灵活定制。

步骤302：OpenS将本次会话的隐私保护请求发送给隐私控制模块。

步骤303：隐私控制模块查找隐私数据范围表，判断隐私保护请求中请求保护的隐私数据是否在隐私数据范围表中，如果是，则执行步骤304；否则通知OpenS在本次会话中隐私保护请求不可达，则OpenS将通知ClientS本次会话的隐私保护请求不可达，本次会话无法成功建立。

步骤304：隐私控制模块通知OpenS本次会话的隐私保护请求可以达到。

步骤305：OpenS通知ClientS会话成功建立。

步骤306：OpenS发出一个业务请求消息。

步骤307：OpenS收到这个消息，将该消息送到隐私控制模块。

步骤308：隐私控制模块根据隐私数据与入消息映射表中的内容，判断本消息是否涉及隐私数据。假设不涉及执行步骤309。

步骤309：隐私控制模块通知OpenS继续处理。

步骤310：OpenS处理完成后，向ClientS发送响应消息。

步骤311：ClientS向OpenS发送一个新的消息。

步骤312：OpenS收到这个消息，将该消息送到隐私控制模块。

步骤313：隐私控制模块根据隐私数据与入消息映射表中的内容，判断本消息是否涉及隐私数据。假设涉及，则根据本消息涉及的隐私数据以及隐私与出消息映射表，提取出涉及本消息的隐私数据对应的出消息及相应数据，添加到会话相关隐私数据与出消息映射表中。

步骤314：隐私控制模块通知OpenS继续处理。

步骤315：OpenS进行处理，需要发一条消息到第三方，先发送一条隐私控制请求消息到隐私控制模块中，该消息的参数是将要发送到第三方的消息及其第三方业务名。

步骤316：隐私控制模块判断本消息是否涉及隐私数据，如果该消息是会话相关隐私与出消息映射表中的一条出消息，或者该消息的目的第三方业务属于隐私与出消息映射表，则根据针对本消息的控制策略实施控制。这里假设控制策略为不能发送。

步骤317：隐私控制模块通知OpenS：本消息不能发送。

步骤318：OpenS向ClientS发出请求响应失败的消息。

步骤319：ClientS不希望继续此次会话，向OpenS发出会话结束消息。

这样本次会话就异常结束了。

参见图4，图4为图2所示实施例中隐私控制第二种流程图。本流程中虽然涉及隐私数据对ThirdS发送，但由于对该隐私数据的控制策略为可外传至可信第三方，且其目的第三方确实是可信第三方，因此会话能够继续进行，直至会话正常结束。

该流程包括以下步骤：

步骤401～步骤415，与图3所示步骤301～步骤315完全相同，这里不再重复说明。

步骤416，隐私控制模块判断本消息是否涉及隐私数据，如果该消息是会话相关隐私与出消息映射表中的一条出消息，或者该消息的目的第三方业务属于隐私与出消息映射表，则根据针对本消息的控制策略实施控制。

这里假设控制策略为只能发送到可信第三方，则隐私控制模块判断本消息的目的第三方Thirds是否为可信第三方，本实施例中假设是可信第三方，执行步骤417。

步骤417：隐私控制模块通知OpenS继续处理。

步骤418：OpenS将此消息发送到ThirdS。

步骤419：ThirdS接收消息进行处理，将响应消息送到OpenS。

步骤420：OpenS向ClientS发送响应消息。

步骤421：ClientS确定本次会话已经结束，通知OpenS会话正常结束。

本流程中，会话只涉及2个消息交互，实际应用中，一次会话可能有更多的消息交互，也可能只有1个消息交互。每次传输的过程是相同的，这里不再赘述。

上述实施例中，是由业务OpenS直接与隐私控制模块实施交互，实际上也可由业务执行环境截获业务的所有入消息和出消息，并与隐私控制模块实施交互，而使得在设计OpenS时可以不考虑隐私控制功能而只考虑对业务逻辑的控制。

由上述的实施例可见，本发明的这种提高开放业务中隐私数据安全性的方法，不仅能够防止隐私数据泄漏给不信任的第三方业务，而且通过各种映射关系，可以非常容易地计算出某个出消息是否涉及隐私数据，具有较好的性能。

由于本发明方法独立于具体的隐私控制策略，因此，新的保护策略可以很方便地加入，具有较好的可扩充性。

同一个用户同样的隐私控制要求，在不同的会话中，由于业务处理分支的多样性，也可能因为会话状态的不同而执行到不同的业务分支，从而有的会话涉及隐私控制，有的不涉及隐私控制，本发明方法可以根据上述会话的动态处理情况，在需要时进行隐私控制，在不需要时不进行隐私控制，所以机制非常灵活。

另外，本发明可以与已有的业务执行环境分离实现，易于集成到已有的业务执行环境中。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (16)

1、一种提高开放业务中隐私数据安全性的方法，其特征在于：在开放业务系统中设置隐私数据控制单元，将预先记录的客户业务的隐私数据与出消息的映射关系，以及设置的对出消息中隐私数据的安全控制策略存储到所述隐私数据控制单元；在开放业务需要向第三方业务传输包含隐私数据的出消息时，将该出消息发送给所述隐私数据控制单元，该隐私数据控制单元根据隐私数据与出消息的映射关系和安全控制策略，通知开放业务传输、不传输该出消息或传送该出消息到另一个与该第三方业务有着相同能力的可信第三方业务，开放业务按照该通知传输、不传输该出消息或传送给可信第三方业务。

2、如权利要求1所述的方法，其特征在于，该方法进一步包括：预先记录客户业务的隐私数据与入消息的映射关系；

在开放业务收到入消息时，根据隐私数据与入消息的映射关系，判断该入消息是否包含隐私数据，如果包含，提取出该入消息涉及的隐私数据，根据隐私数据与出消息映射关系，提取出该隐私数据涉及的出消息并记录。

3、如权利要求2所述的方法，其特征在于：将客户业务的隐私数据与入消息的映射关系存储到所述隐私数据控制单元中；

所述将该出消息发送给所述隐私数据控制单元的操作进一步包括：

将该出消息的目的第三方业务名发送给隐私数据控制单元；

所述隐私数据控制单元根据隐私数据与出消息的映射关系和安全控制策略，通知开放业务传输、不传输该出消息或传送该出消息给可信第三方业务的方法包括：

A、开放业务在接收包含客户业务的隐私数据的入消息之前，先将该客户业务的隐私保护请求发送给所述隐私数据控制单元；

B、所述隐私数据控制单元根据该隐私保护请求、所述隐私数据与入消息映射关系、接收的包含客户业务的隐私数据的入消息、以及所述隐私数据与出消息映射关系，确定哪些出消息涉及了隐私数据；

C、隐私数据控制单元接收到来自开放业务的出消息和该出消息的目的第三方业务名时，根据确定的隐私数据与出消息的映射关系和安全控制策略，通知开放业务传输、不传输该出消息或传输给可信第三方业务。

4、如权利要求3所述的方法，其特征在于：在隐私数据控制单元中设置隐私数据范围表；

所述隐私数据范围表存储客户业务涉及的隐私数据和对每种隐私数据在出消息中的安全控制策略；

所述隐私数据与出消息的映射关系和隐私数据与入消息的映射关系是隐私数据控制单元根据该隐私数据范围表生成的。

5、如权利要求4所述的方法，其特征在于，所述设置隐私数据范围表的方法为：将客户业务涉及的隐私数据和安全控制策略输入文件；或提供GUI图形界面，通过该界面输入客户业务涉及的隐私数据和安全控制策略。

6、如权利要求4所述的方法，其特征在于，生成隐私数据与出消息的映射关系和隐私数据与入消息的映射关系的方法为：

建立隐私数据的命名规则与出、入消息中参数的命名规则间的对应关系，由隐私数据控制单元针对隐私数据范围表中的每个隐私数据自动搜索开放业务的每条出消息和入消息的参数，根据命名的对应关系自动生成；或者将隐私数据与出、入消息的对应关系输入文件，由隐私数据控制单元读取该文件生成；或者提供GUI界面，通过该界面输入隐私数据与出、入消息的对应关系。

7、如权利要求4所述的方法，其特征在于：所述隐私数据与入消息的映射关系存储在隐私与入消息映射表中；

步骤B所述确定哪些出消息涉及隐私数据的方法为：

B01、隐私数据控制单元根据所述客户业务的隐私保护请求，结合隐私数据范围表、隐私与入消息映射表，生成会话相关隐私与入消息映射表；

B02、开放业务将该业务会话的入消息发送给隐私数据控制单元；

B03、隐私数据控制单元收到该业务会话的入消息后，根据会话相关隐私与入消息映射表，判断该入消息是否包含隐私数据，如果包含，提取出该入消息涉及的隐私数据，根据隐私数据与出消息映射关系，提取出该隐私数据涉及的出消息，将该隐私数据与该出消息的映射关系添加到预先生成的会话相关隐私数据与出消息映射表中。

8、如权利要求7所述的方法，其特征在于：所述客户业务的隐私保护请求是在业务定购时由客户业务发送并记录在隐私数据控制单元的；或是由开放业务将隐私保护请求随会话开始请求发送给隐私数据控制单元的；或是由开放业务在会话过程中发送给隐私数据控制单元的。

9、如权利要求8所述的方法，其特征在于：若所述客户业务的隐私保护请求是在业务定购时发送到隐私数据控制单元的，则隐私数据控制单元收到客户业务的隐私保护请求后，根据该隐私保护请求，查找隐私数据范围表，判断隐私保护请求中请求保护的隐私数据是否在隐私数据范围表中，如果是，则记录，并在该客户业务请求的每个会话开始后，执行步骤B01；如果不是，则通知业务执行环境，此次业务定购不能成功。

10、如权利要求8所述的方法，其特征在于：若所述客户业务的隐私保护请求是由开放业务随会话开始请求发送给隐私数据控制单元的，或是由开放业务在会话过程中发送给隐私数据控制单元的，则

隐私数据控制单元收到客户业务的隐私保护请求后，根据该隐私保护请求，查找隐私数据范围表，判断隐私保护请求中请求保护的隐私数据是否在隐私数据范围表中，如果是，则通知开放业务在本次会话中隐私保护请求可达，执行步骤B01；否则通知开放业务在本次会话中隐私保护请求不可达，开放业务通知客户业务此会话无法成功建立。

11、如权利要求7所述的方法，其特征在于：所述隐私数据与出消息的映射关系存储在隐私与出消息映射表中；所述步骤C中，隐私数据控制单元收到开放业务发送的出消息和该消息的目的第三方业务名时，对收到的每条出消息进行分析，如果该出消息是所述会话相关隐私与出消息映射表中的一条出消息，或者该消息的目的第三方业务属于所述隐私与出消息映射表，则根据针对本消息的安全控制策略，通知开放业务将该出消息传输给第三方业务、不传输给第三方业务或传输给另一个与该第三方业务有着相同能力的可信第三方业务。

12、如权利要求4所述的方法，其特征在于：所述隐私数据控制单元包含隐私生成模块和隐私控制模块；

所述隐私生成模块根据隐私数据范围表生成隐私数据与出消息的映射关系和隐私数据与入消息的映射关系并存储；

所述隐私控制模块接收开放业务发送的出消息和该消息的目的第三方业务名，根据隐私数据与出消息的映射关系和隐私数据范围表中的安全控制策略，通知开放业务将该出消息传输给第三方业务、不传输给第三方业务或传送该出消息到另一个与该第三方业务有着相同能力的可信第三方业务。

13、如权利要求12所述的方法，其特征在于：所述隐私生成模块是在业务执行环境加载业务时，按照业务执行环境发送的命令生成隐私数据与出消息的映射关系和隐私数据与入消息的映射关系并存储的。

14、如权利要求12所述的方法，其特征在于：所述隐私数据与出消息的映射关系存储在隐私与出消息映射表中；

所述隐私控制模块根据客户业务的隐私保护请求，结合隐私数据范围表、隐私数据与入消息映射关系，生成会话相关隐私与入消息映射表；

并对收到的每条入消息进行分析，如果该消息是本会话相关隐私与入消息映射表中的一条入消息，则该入消息包含隐私数据，提取出该入消息涉及的隐私数据，根据该隐私数据与出消息映射关系，提取出该隐私数据涉及的出消息，将该隐私数据与该出消息的映射关系添加到预先生成的会话相关隐私数据与出消息映射表中；

且对收到的每条出消息进行分析，如果该出消息是所述会话相关隐私与出消息映射表中的一条出消息，或者该出消息的目的第三方业务属于所述隐私与出消息映射表，则根据针对本出消息的安全控制策略，通知开放业务将该出消息传输给第三方业务、不传输给第三方业务或传输给另一个与该第三方业务有着相同能力的可信第三方业务。

15、如权利要求14所述的方法，其特征在于：所述隐私数据范围表、隐私数据与入消息映射关系、隐私与出消息映射表、会话相关隐私数据与入消息映射表、会话相关隐私数据与出消息映射表：

采用数据结构、XML语言、数据库表单描述；采用内存、文件或数据库方式存储；采用集中存储或通过网络连接采用分布式存储。

16、如权利要求12所述的方法，其特征在于：所述的隐私数据控制单元设置在业务执行环境中，或单独设置在业务系统中；

所述隐私生成模块和隐私控制模块采用集中部署，或通过网络连接采用分布部署。

Images