CN101379507B - 基于角色的访问控制 - Google Patents

Abstract

用户接口和连接到用户接口的处理器，其中，处理器通过用户接口接收访问请求，并且通过用户接口来授权访问。处理器将权限请求与基于角色的策略进行关联以确定访问权限，根据与特定用户和记录相关的例外列表来修改所确定的访问权限，并且基于修改后的所确定的访问权限来授权对记录的访问。

Description

基于角色的访问控制

相关参考的交叉引用

本专利申请要求2005年9月16日提交的临时申请No.60/718,180的优先权。

技术领域

本系统(个性化的基于角色的访问控制模型(PRBAC))涉及改进的基于角色的访问控制模型。

背景技术

传统上说，在医疗领域中数据安全和隐私问题是重要的。然而，近期诸如医疗记录数字化、中心健康记录数据库创建以及个人保健领域的外部应用(例如，保险公司的访问)的发展对医疗数据的保护提出了新挑战。与能够吸收系统滥用的代价的其它领域(诸如金融领域)相反，保健领域不能吸收系统滥用的代价。一旦有关个人健康问题的敏感信息被公开，就已经造成了社会损害，无法撤回该信息或赔偿该个人。

另外，医疗信息数据具有某些特殊的特点，诸如，医疗数据应当只能被经授权的人访问，这些人是诸如全科医师、急诊医生、护士等，在医疗领域分配了某种角色的人。这不同于用于保护数据的典型系统，在这些典型系统中，通常基于人对人原则来提供访问。

为了支持这些要求，该访问控制系统为每个用户分配了给定的角色，同时为给定的角色分配了访问数据的权限，这与为个人分配权限的情况相反。通过这样的方式，为需要访问患者电子健康记录(HER)的医生或其它人员提供不同的权限和不同的访问，这取决于这些人员的专业(角色)或在给定时间内该人员所履行的特定职能。因为这种称为基于角色访问控制(RBAC)的方法在便于使用的实践基础上，还通过立法在保健领域中强制实施(例如，美国的HIPAA(1996年健康保险便利及责任法案)；见互联网hipaa.org上的HIPAA)，所以该方法在保健领域非常重要。

2004年5月20日Fleming等人提出的题为“System and Method forCreating Role-Based Access Profiles”的美国专利公开第2004/0098594公布了一种从与组织内现有计算机资源访问组有关的信息来创建这种档案(Profile)的方法。在操作中，保护数据的团体访问成员列表，并从该列表中选择成员以规范访问权限。作为参考将该公开整体合并于此。然而，在该方法中没有考虑患者输入，这样就不可以按照患者个人意愿来定制访问权限。

2002年11月28日Griffin等人提出的题为“Method and System for aRole-Based Access Control Model with Active Roles”的美国专利公开第2002/0178119公布了一种通过包括使用角色过滤器和能力过滤器的动态更新来管理资源访问的RBAC方法和系统。对每个角色过滤器进行评价以确定哪个用户将会是该角色。每个角色过滤器还包括访问能力、访问条件权限以及这些权限的资格。作为参考将该公开整体合并于此。在该方法中，仍未考虑患者输入，这样就不可以按照患者个人意愿来定制访问权限。

2000年2月8日Kuhn提出的题为“Implementation of Role-Based AccessControl in Multi-Level Secure Systems”的美国专利第6,023,765公布了一种在RBAC系统的权限与多级别安全系统内的多对级别和划分(compartment)之间创建关系的方法。该专利用于控制对分类文献的访问，这些分类文献具有以工作状态等作为基础的如美国政府中使用的三种分类等级。用户主体通过可信中介请求访问，该可信中介根据该用户是允许访问角色的成员而确定允许该主体访问分类文献。作为参考将该公开整体合并于此。与上述参考中的问题类似，没有为主体提供定制该系统访问权限的能力。

2005年9月20日Gullotta等人提出的题为“System and Method forProvisioning Resources to Users Based on Policies，Roles，OrganizationInformation，and Attributes”的美国专利第6,947,989公布了一种为用户提供资源的方法。该方法采用了属性、组织信息、用户角色以及基于属性和用户角色的资源供应策略。通过该方法，为用户提供了某些资源，这些资源包括诸如计算机、电话的硬资源以及诸如对数据库、文件、文件夹等的访问的软资源。该方法不允许用户控制这样的处理过程，诸如对不在预定组织角色中的其它用户或人员进行数据库访问的限制。

这样，需要个性化的基于角色的访问控制系统，该系统考虑了可以由患者支配和定制的访问控制。

保健部门的近来趋势是朝向个性化、以用户为中心的保健发展，这也要求更多用户(例如，患者)参与到所有保健级别中。在近期，患者通过获得疾病信息、与医生讨论问题、跟踪症状以及管理他们的疾病，而在他们自已的保健管理中扮演更积极的角色。因此，患者也更多地参与到保存和管理他们可以访问并且也希望限制其它人访问的重要医疗文档。

访问电子保健记录的能力引起了立法者的注意，根据哪些患者有权要求对访问患者个人健康记录进行限制，立法者已制定了HIPPA法案。例如，患者可以要求对某些涉及他们保健的个人额外限制公开他们的记录，如果不进行额外限制(就保健机构管理的基于角色访问控制而言)这些人会被允许访问记录。不需要保健提供方同意患者的要求。然而，如果保健提供方同意患者的要求，则要求保健提供方遵守协议，(除非在某些情况下可以不遵守，例如，如果在紧急情况下需要治疗患者时需要该信息)。

就健康记录而言这对机密性和访问控制提出了额外要求。也就是说，在某些情况下访问是基于角色的；在其它情况下，不仅基于角色而且还基于个人的限制。此外，患者应该能够将访问扩展到他或她的个人记录并允许访问某些家庭成员或朋友。因此，明显需要一种基于角色的访问控制和患者管理的访问控制的组合。

现在，保护所有权信息的解决方案大部分都基于静态的RBAC模型。当前法制下的保健业更多地要求包含灵活性和授权实施。

发明内容

本系统的目标是克服现有技术中这些和其它缺陷。

本系统提供了改进的基于角色的访问控制系统和方法，它们可以用于保健业，并且可以有效地处理例外情况，以满足保健应用和立法针对电子医疗记录安全的安全性要求。

本系统可以包括策略库和例外列表。最初，该策略库包括由基于角色的系统所定义的默认策略。之后，患者可以通过限制权限或添加权限来提出例外，由此可以定义个性化的策略并添加到策略库中。该系统通常具有默认策略集，但是如果它们受到个人策略的修改，则这些个人策略将会替换默认策略，也就是在策略库内进行适当的替换。

在这种情况下个性化策略可以是动态的，因为老的个性化策略可以被新的个性化策略所替换。例外列表作为当前个性化策略来工作，可以将该例外列表定义为与默认策略相冲突、或者与替换了默认策略的个性化策略(当前的个性化策略)相冲突的所有用户的列表。在一个实施例中，可以将例外列表作为黑名单和白名单的合并，例如，这些名单可用于减少在获得对医疗数据的访问以及帮助确保对医疗数据进行适当访问的过程中对计算机资源和时间的需求。

从对下列本系统优选实施例和有关附图的详细说明来看，本系统的这些和很多其它目标、特点和优势对于有关技术领域中的技术人员是显而易见的。

附图说明

应当清楚地理解所包括的各图是用于示例性说明目的，而并非代表本系统的范围。以示例的方式参考所附各图来更详细说明本系统，其中：

图1根据本系统实施例说明了一种患者具有相似的个性化策略和例外列表的模型；

图2根据本系统实施例说明了一种患者具有相似的个性化策略但具有不同例外列表的模型；以及

图3是根据本系统实施例的一种个性化的基于角色的访问控制系统的方框图。

具体实施方式

本文将就保健领域内的医疗记录来示例性说明本系统。如对本领域普通技术人员显而易见的，本系统能适用于限制对任何类型的电子记录保存系统内的任何类型记录的访问。

在本系统的范围内，通常有两种类型的用户。第一类用户是有权定义记录访问控制规则的用户，包括添加或修改/影响保健提供方(例如，医院)的默认策略所定义的访问规则。在保健领域，这些记录应用于患者用户。患者用户可以定义或修改对该患者用户保健记录的访问权限，因而可以按照意愿允许或限制访问。第二类用户是根据患者用户定义的权限访问这些记录的用户。当讨论不同用户时，为了在这里便于区分，示例性地采用了患者用户和保健用户以及诸如此类的术语。

根据本系统实施例，可以采用策略库和例外列表来控制保健用户对记录的访问。最初，策略库可以包含系统基于角色定义的默认策略(DP)。因此，这些DP定义了特定分类记录与希望访问记录的潜在保健用户的角色之间的关系。通常通过组合数据的基本块(atomic block)来定义默认策略，以创建访问策略。将基本块定义为看起来能否完全执行的最小XACML(可扩展的访问控制标记语言)元素。基本块作为逻辑单位出现。例如，默认策略(DP)可以涉及全科医师(GP)对患者的员工健康记录(EHR)的访问。一个示例性DP可以是：

DP：GP可以访问任何患者的所有EHR

作为另一个例子，外科医师(SP)比GP具有更受限制的权限。对于SP的示例性DP可以是：

DP：SP可以访问任何患者的所有外科EHR

以这种方式，仅仅通过默认的基于角色的访问控制(RBAC)，可能为不同的医学专家潜在地提供关于特定医学专业的HER分类的访问。

根据本系统，患者之后可以通过限制权限或者添加权限来创造例外以创建个性化策略，将个性化策略添加到策略库，并且将个性化策略代替默认策略至少应用于创建个性化策略的患者。以这种方式，本系统具有默认策略集，可以通过个性化策略改变默认策略集。至少对于创建了给定个性化策略的患者来说，这些个性化策略替换了默认策略，并且将个性化策略适当地放置于策略库中以便控制对患者记录的访问。

个性化策略一般类似于默认策略，并且定义了保健用户的角色或者内容的分类，可以通过在默认策略中移除或添加基本块以创建个性化策略来移除或者添加保健用户的角色或者内容的分类。用户可以通过从默认策略开始并且简单地在基本块级别或者记录级别上移除或者添加限制，来创建个性化策略。例如，在策略库中由个性化策略(PP)所替代的默认策略(DP)可以是：

DP：GP可以访问患者的EHR

用户A的PP：GP可以访问患者的除了妇产科EHR之外的EHR

该系统提供了如通过个性化策略所修改的、基于RBAC来控制记录访问的简化方法。此外，因为患者可以决定用新的个性化策略替换旧的个性化策略，所以在该情况下的个性化策略可以是动态的。在为特定患者创建个性化策略的情况下，新的个性化策略可以简单地替换策略库中旧的个性化策略。在将个性化策略应用于患者组的情况下，那么，将待应用于特定患者的新的个性化策略简单地添加到策略库，并且应用于创建该新的个性化策略的患者。

在创建个性化策略的情况下，这些策略是占主导的，至少对于创建个性化策略的患者或者被应用个性化策略的患者组来说，这些个性化策略替换默认策略。结果，至少对于创建个性化策略的患者或者被应用个性化策略的患者组来说，个性化策略成为默认策略。

根据另一个实施例，可以将保健用户的例外列表(EL)定义为与默认策略或者所定义的当前个性化策略冲突的所有保健用户或者角色的列表。当例外列表提供更多或更少权限时，可能存在冲突。可以使用“+”代表保健用户具有额外权限，而使用“-”代表保健用户具有受限制权限。例外列表将某些权限授于在例外列表中出现的保健用户，或者是使这些权限对于在例外列表中出现的保健用户无效。

根据本系统的实施例，可以使用两种算法如上所述运行该系统。当患者创建例外列表时，可以使用第一种算法，即“创建个性化策略”。在另一个实施例中，创建个性化策略算法还可以确定是否期望由个性化策略替换默认策略。在该实施例中，在存在于例外列表中的相同限制或额外权限涉及一半以上保健用户的情况下，可以分别由个性化策略或者新的个性化策略替换默认策略或者当前个性化策略。在操作中，一旦用户创建了例外列表，创建个性化策略算法可以计算在相同例外下的保健用户的数目是否占大多数。在相同例外下的保健用户的数目是大多数的情况下，这意味着该例外几乎是通用原则，并且该算法可以分别通过将默认策略或者旧的个性化策略与该相同例外进行组合来定义或修改个性化策略。

在操作中，当保健用户请求患者记录时，第二种算法即“请求权限”可以首先检查默认策略。随后，请求权限算法可以检查是否存在用于该记录和保健用户的个性化策略或者至少可应用的个性化策略。最后，请求权利算法可以在例外列表中查找该保健用户的出现。请求权利算法返回该保健用户的权限。

作为本发明实施例的说明性例子，具有名字Anna、Bart、Charles、Daniel和Emma的5个特定的全科医师(GP)。Frank是这些GP工作的医院的患者。在该例子中，Frank耻于他的医疗记录的一部分，并且决定拒绝Frank自己认识的名为Charles的GP对他的关于性疾病部分的电子健康记录的访问。由于所有的访问权限(策略)是按照基本块定义的，所以Frank可以限制对与Frank性疾病有关的基本块的访问。作为示例，关于Frank性疾病的基本块是块17和18。对Frank的访问可以是以下形式：

DP：GP可以访问患者的EHR

PP：空(Frank没有PP)

EL：GP(Charles，-17/-18)

在该例子上进行扩展，在某些考虑之后，Frank决定不仅限制Charles访问该数据，而且限制除了治疗Frank的名为Bart的GP之外的所有GP访问该数据。如果不存在个性化策略，例外列表可以是以下形式：

DP：GP可以访问患者的EHR

PP：空

EL：GP(Charles，-17/-18)

GP(Anna，-17/-18)

GP(Daniel，-17/-18)

GP(Emma，-17/-18)

然而，根据本系统的实施例，可以将上述访问控制表达式化简为：

DP：GP可以访问患者的EHR

PP：GP可以访问患者的除了块17和18之外的HER

EL：GP(Bart，+17/+18)

在该实施例中，由于个性化策略可以替换默认策略，现在(实际上)默认的是，除了Bart外没有GP可以访问块17和18。以这种方式，可以将例外列表大大简化为仅具有1个而不是4个元素。

在另一个实施例中，个性化策略可以如前述由与不同数据块或者数据块组(例如，之前例子中的块17和18)相关联的多个基本策略块组成。作为具有一个覆盖所有基本策略块的例外列表的替代，还可以将这些块中的每个块与涉及该块的独立例外列表进行关联。

当必须知道正在请求患者数据的具有特定角色的保健用户的权限时，可以询问个性化策略。根据本系统的实施例，可以修改角色策略，以尽可能轻便(小)地维持例外列表。在根据该实施例的例子中，假定当管理员(或者患者)决定将相同的例外应用于新的保健用户时，恰好有一半用户具有该相同的例外。采用该添加的例外，现在该例外(限制)对大多数起作用。根据该实施例，为了避免在例外列表中具有大多数用户，可以创建新的个性化策略，其与默认策略加该公共例外/限制相同。一旦更新例外列表，该例外列表现在将包括少数具有访问限制或额外权限同时有特定角色的保健用户。例外列表中的每行可以涉及一个保健用户，并且可以包含该保健用户的角色、标识符或者对相关保健用户进行识别的其它措施、以及与多个患者之一和一个或多个基本块有关的保健用户的限制或额外权限。当创建新的个性化策略时，更新具有受影响角色的保健用户的所有权限和限制。

虽然这个所讨论的实施例与一个患者和限制访问该患者记录的多个策略有关，但是其它实施例可以包括将患者分组成具有相同的策略(默认策略或者个性化策略)。以这种方式，可以将患者的访问策略加入，作为它们的个性化策略和例外列表的功能。

图1是根据该实施例的说明性例子，其中，分类的患者具有相同的个性化策略(个性化策略在某些情况下可以为空)以及相同的例外列表。当然，虽然未示出，但是每个患者共享相同的默认策略。在图1中，患者P1、P2、PM共享相同的个性化策略λ和例外列表λ，而患者P3具有个性化策略θ和例外列表θ，患者PN具有个性化策略ξ和例外列表ξ。

图2是根据另一个实施例的说明性例子，其中，患者具有相同的个性化策略，但是具有不同的例外列表。在图2中，患者P1、P2、PM共享相同的个性化策略λ，但是各自具有患者专用的例外列表。患者P3、PN各自具有分别是θ和ξ的独立的个性化策略和独立的例外列表。

图3示出了可以根据上述所说明的本系统的一个或多个实施例进行操作的系统300。系统包括显示设备350，显示设备350包含用户接口310，用户接口310用于患者创建策略和例外列表。用户接口310还用于保健用户根据策略和例外来访问记录的请求。将显示设备350连接到处理器330，将处理器330配置为单独地生成用户接口310或者与显示设备350的性能一起生成用户接口310。处理器330还接收关于策略、例外和访问请求的指令。将存储器340连接到处理器330，并且存储器340能够存储必要的指令和数据，诸如处理器用于执行上述操作的操作指令。存储器340还存储策略、例外和记录，患者和保健用户可以通过用户接口310和处理器330访问这些策略、例外和记录。处理器330和存储器340一起作为基于服务器的记录访问系统320工作。应该注意，显示设备350、处理器330和存储器340之间的互连可以经由任何通信链路，诸如直接的有线或无线通信或者通过网络。例如，诸如使用蓝牙^TM通信协议的短距离无线通信也可以像通过因特网或者内联网链路的有线通信那样，适于处理器330和显示设备350之间以及存储器340和处理器330之间的通信。

还可以按所需提供用于通过有线或无线接口发送和接收信号的收发机，在无线通信的情况下，该收发机包括天线。还可以使用调制器、解调器和滤波器从载波信号中提取信息或控制信号，用于进一步处理。

处理器330可以是用于处理电子信号的任意类型的控制器或者处理器，该处理器330包括微处理器、微控制器、精简指令集控制器、以及能提供控制信号以响应来自用户接口310的输入信号的其它设备，处理器330执行存储在存储器340上的指令，存储器340可以是RAM、ROM、可移动存储器、光介质、电磁介质等的任意类型的存储器。应该理解，虽然将显示设备350、处理器330和存储器340表示为系统300的组成部分，但是它们可以是独立的单元或者与其它单元组合。例如，处理器330和存储器340可以是个人计算机的组成部分，而用户显示设备350可以是与之分离或集成的单元。可以在个人计算机或者任何能够实现用户接口310的设备中实现显示设备自身，以接受用户输入并且将控制信号提供给处理器330，例如个人数字助理(PDA)、蜂窝电话等。

已经参考附图对本发明的实施例进行了说明，应该理解，本系统不受限于特定的实施例，并且本领域的技术人员可以实施各种变化和修改，而不脱离如所附权利要求中所定义的范围或精神。

在对所附权利要求的说明中，应该理解：

a)词语“包括”不排除给定权利要求内所列的元素或动作之外的其它元素或动作的存在；

b)元素之前的词语“一个”不排除多个这种元素的存在；

c)权利要求中的任何参考标号不限制它们的范围；

d)若干个“模块”可以由同一物品、硬件或软件所实现的结构或功能来表示；

e)任意所公开的元素可以包括硬件部分(例如，包括分立和集成的电子电路)、软件部分(例如，计算机编程)、以及其任何组合；

f)硬件部分可以包括模拟和数字部分之一或二者；

g)除非特别声明，否则可以将任意所公开的设备或其部分组合在一起或者分离成更多部分；以及

h)除非特别指出，否则不要求特定的动作或步骤顺序。

Claims (13)

1.一种使用基于角色的访问控制(RBAC)系统来控制对记录保存系统中的受保护资源的访问权限的方法，所述方法包括步骤：

将权限请求与基于角色的策略进行关联，以确定访问权限；

根据与特定用户和记录相关的例外列表，修改所确定的访问权限；

基于修改后的所确定的访问权限，授权对记录的访问；

确定例外是否应用于包含至少一个用户和记录的大多数；以及

如果所述例外应用于所述包含至少一个用户和记录的大多数，则将所述基于角色的策略修改为包含所述例外；

将所述例外列表修改为应用于之前由所述基于角色的策略所控制的少数用户权限。

2.如权利要求1所述的方法，其中，所述基于角色的策略是被修改为个性化策略的默认策略。

3.如权利要求1所述的方法，包括步骤：将所述基于角色的策略与所述例外列表进行关联。

4.如权利要求1所述的方法，其中，所述例外列表是多个例外列表之一，所述方法包括步骤：将多个基于角色的策略中的每个与所述多个例外列表中的一个或多个进行关联。

5.如权利要求1所述的方法，其中，所述基于角色的策略是多个基于角色的策略之一，并且所述例外列表是多个例外列表之一，所述方法包括步骤：将所述多个基于角色的策略中的每个与所述多个例外列表中的一个进行关联。

6.如权利要求1所述的方法，包括步骤：将额外的访问权限和受限制的访问权限与所述例外列表进行关联。

7.一种使用基于角色的访问控制(RBAC)系统来控制对记录保存系统中的受保护资源的访问权限的装置，所述装置包括：

配置为将权限请求与基于角色的策略进行关联以确定访问权限的部分；

配置为根据与特定用户和记录相关的例外列表来修改所确定的访问权限的部分；

配置为基于该修改后的所确定的访问权限来授权对记录的访问的部分；

配置为确定例外是否应用于包含至少一个用户和记录的大多数的部分；

配置为如果所述例外应用于所述包含至少一个用户和记录的大多数则将所述基于角色的策略修改为包括所述例外的部分；

配置为将所述例外列表修改为应用于之前由所述基于角色的策略所控制的包含至少一个用户权限和记录的少数的部分。

8.如权利要求7所述的应用，其中，所述基于角色的策略是被修改为个性化策略的默认策略。

9.如权利要求7所述的装置，包括配置为将所述基于角色的策略与所述例外列表进行关联的部分。

10.如权利要求7所述的装置，其中，所述例外列表是多个例外列表之一，所述装置包括配置为将多个基于角色的策略中的每个与所述多个例外列表中的一个或多个进行关联的部分。

11.如权利要求7所述的装置，其中，所述基于角色的策略是多个基于角色的策略之一，所述例外列表是多个例外列表之一，所述装置包括配置为将所述多个基于角色的策略中的每个与所述多个例外列表中的一个进行关联的部分。

12.如权利要求7所述的装置，包括配置为将额外的访问权限和受限制的访问权限与所述例外列表进行关联的部分。

13.如权利要求7所述的装置，包括：

配置为确定例外是否应用于具有相同策略的大多数基本块的部分；

配置为如果所述例外应用于所述大多数基本块则将所述基于角色的策略修改为包括所述例外的部分；以及

配置为将所述例外列表修改为应用于之前由所述基于角色的策略所控制的少数基本块的部分。

Images