CN101401104A - 用于从服务器取回医疗数据的数字权利管理 - Google Patents

Abstract

本发明涉及一种用于从服务器取回医疗数据的方法和系统，该方法包括：未认证的客户端从服务器请求该医疗数据；在该未认证的客户端上安装已认证的数字权利管理服务；根据所安装的已认证的数字权利管理服务对所请求的医疗数据进行管理，以从服务器取回该医疗数据。该系统包括：用于由未认证的客户端从服务器请求该医疗数据的装置；用于在该未认证的客户端上安装已认证的数字权利管理服务的装置；用于根据所安装的已认证的数字权利管理服务对所请求的医疗数据进行管理、以从服务器取回该医疗数据的装置。

Description

用于从服务器取回医疗数据的数字权利管理

技术领域

本发明涉及一种从服务器取回医疗数据的方法。

本发明还涉及一种用于从服务器取回医疗数据的系统。

本发明还涉及在这种系统中使用的服务器。

本发明还涉及在这种系统中使用的客户端。

本发明还涉及包含这种客户端的医疗工作站。

本发明还涉及包含这种系统的医疗信息管理系统。

本发明还涉及一种在这种方法或系统中使用的数字权利管理服务。

背景技术

当今，大量诸如医疗图像以及诸如姓名、性别、过敏反应等病人数据的医疗数据被数字化存储在专用服务器上的数据库中。一个涉及医疗图像的例子是图像存档和通信系统(PACS)，其用于组织专用服务器上的数据库中图像中央存储。将医疗图像从图像获取系统发送到服务器，并且通过从该服务器取回这些医疗图像并将它们显示到工作站上来观看这些医疗图像。通常将这种体系结构称为客户端—服务器体系结构。

另一个这种医疗信息管理系统的例子是用于组织诸如结算、实验室检查等管理病人数据的医院信息系统(HIS)，或者用于例如组织获取站上病人时间表安排的放射科信息系统(RIS)。

由于医疗数据固有的个人属性，医疗数据受隐私和安全规则的约束，这些数据通常受到国家政府的管制，例如，美国的健康保险可携性和责任法案(HIPAA)。例如，这种安全规则可以包括只有某些人可以访问病人数据并且不可以更改病人数据。

例如，当数据存储在数据库时、当在工作站观看数据时或者数据通过网络传输自或传输到该服务器时，在数据可能存在的不同地方，执行(即，强制执行)这些安全规则，上述网络诸如使用互联网的局域网(LAN)或广域网(WAN)。通常，在医院的范围内，采用诸如企业内部网的私有网络来确保没有从医院范围外部对该网络以及数据的未授权访问。

随着无线网络的引入，网络对公众变得越来越开放。此外，医院和医师们也希望能通过互联网交换病人的医疗数据，这样就需要通过公共互联网来访问私有医疗数据。一个典型的例子就是一些紧急情况，在这些情况下，在物理建筑之外、在私有网络之外乃至在管理所请求数据的组织结构之外的救护车或急救人员需要访问数据。

在US 6,876,985中公开了从服务器取回医疗数据的方法的一个例子，它能使医院或其它组织将病人数据存入公共地方，同时保持其机密性。所公开的病人信息管理方法包括一个存储管理设备，其中，对病人信息进行加密，这使得使用病人识别(ID)信息以及由病人决定的口令时可以对病人信息进行解密。将加密的病人信息存入存储设备中。该存储管理设备向存储设备发出使用请求，以便接收加密的病人信息，以及使用病人ID信息和口令对病人信息解密使用。

通常，这种数字数据(这里是数字医疗数据)保护指的是数字权利管理(DRM)。例如，通过DRM可以保护数字数据的允许拷贝数目，控制访问该数字数据的用户，控制用户如何使用数据，以及控制对该数字数据的修改。用许可证来对这些策略进行管理和说明。这些许可证包含用于表达策略的权利表示，并且伴随着加密内容。在对这些权利表示进行评估之后，采用相关的加密密钥来解码数据。至此，必须在客户端处实现DRM，以便保护服务器的拷贝内容，以便安全地评估权利表示，以便对内容进行解密并且将内容传给可信赖的呈现应用。根据DRM强制执行的规则，执行DRM的客户端可以被认证使用服务器的内容。不执行DRM的客户端不被认证使用服务器的内容。可信赖的呈现应用是使用该内容的应用，并且是DRM的一部分或者是DRM已知的。除了影响例如请求用户鉴权和校验但之后没有后续保护就给出数据的传统访问控制系统以外，DRM控制还影响客户端上内容的使用。客户端上使用DRM使客户端被认证使用专用服务器，因此该服务器同意将数据给这种客户端。DRM系统的例子可参见2003年Springer-Verlag(LNCS2770)出版的S.Guth的“DRM系统样例，数字权利管理：技术、经济、法律和政治方面”或者参见2004年8月20日开放移动联盟(Open Mobile Alliance)的DRM体系结构：草案版本2.0。

结果是，在医院内部或外部使用的、请求访问服务器上所存储的医疗数据的不同设备(即，客户端)必须执行服务器的DRM。然而，不同医疗数据服务器可以要求在客户端上执行不同的DRM，以限制客户端的可用性。例如，因为不执行所要求的DRM，向服务器请求诸如年龄的病人数据的便携心脏监视器设备不能取回该数据。该问题尤其涉及紧急情况下使用不同系统的第三者医疗提供方的组合情况，这种紧急情况下时间和信息可访问性都很危急。

发明内容

本发明的一个目标是提供一种从服务器取回医疗数据以改进客户端可用性的方法。为了达到此目的，本发明提供了一种如本文首段所述的从服务器取回医疗数据的方法，该方法包括：未认证的客户端从服务器请求医疗数据；将已认证的数字权利管理服务安装到未认证的客户端上；根据所安装的已认证的数字权利管理服务对所请求的医疗数据进行管理，以从服务器取回医疗数据。当该客户端从服务器请求医疗数据时通过在未认证的客户端上安装已认证的数字权利管理服务，该未认证的客户端无需知道该服务器需要什么类型的数字权利管理。因此，该客户端可用于多个服务器，每个服务器具有其自己的用于医疗数据的数字权利管理。这样，该服务器提供了一种机制，使得能根据特定服务器的数字权利管理规则保证存储在服务器上的该医疗数据的安全性和整体性。该DRM服务的另一个优点是信任和控制处于服务器的控制下，这是因为服务器这方产生该DRM服务，并且例如可以通过混淆(obfuscation)技术或其它已知技术来控制强壮性。

在根据本发明的方法的一个实施例中，根据访问策略约束对医疗数据的访问，并且根据另一个访问策略约束未认证的客户端对医疗数据的访问，并且已认证的数字权利管理服务基于该访问策略和该另一个访问策略获得结果策略。因此，进一步以灵活的方式对该数据的隐私性和安全性进行控制。根据客户端和DRM服务的安全、信赖和强壮情况，可以定义其它访问策略以及由此产生的结果策略。这带来的优点是，可以将数据用于有意识的使用，而不会用于其它使用，这提高了隐私性和安全性。另一个优点是，可以将其它策略添加到常规的数据访问策略上，并且伴随着数据一起在传给客户端时传出，这具有的优点是，直到在客户端设备处使用的时刻，一直强制执行这些政策。在根据本发明的方法的一个实施例中，管理步骤包括限制未认证的客户端对医疗数据的使用时间段。由此，可以防止医疗数据在无限的时间段中用于该客户端。

在根据本发明的方法的另一个实施例中，管理步骤包括限制所请求医疗数据的取回数量。由此，可以防止一个客户端取回多于服务器允许数量的医疗数据。此外，以灵活的方式对数据的秘密性和安全性进一步进行控制。根据客户端的安全、信赖以及强壮情况、DRM服务、以及进行请求的已鉴权用户，可以给出或多或少的数据。另一个优点是，允许考虑更多的上下文信息来决定为客户端给出数据。例如当信赖一个客户端或用户时系统可以传递更多数据，例如这是因为受到已受信赖的客户端推荐或在过去已作出正确的请求或该用户是已知的。

在根据本发明的方法的另一实施例中，该方法还包括对医疗数据请求进行日志记录。由此，可以跟踪所请求的医疗数据，其可以包括跟踪客户端、数据被请求的次数、请求的是什么数据、医疗数据请求时间等。

在根据本发明的方法另一个实施例中，该方法还包括在安装已认证的数字权利管理服务之前或发送作为请求的一部分的数据之前对用户进行鉴权。通过请求鉴权，类似例如通过信用卡验证、电话号码、用户识别的校验方式，可以控制允许操作该客户端的用户请求该医疗数据。此外，即使在采用较弱形式时，尤其是在用于确定使用策略和/或确定要传递数据数量时，鉴权都会提高信任级别。较弱形式鉴权的一些例子是信用卡号和电子邮件地址。使用较弱形式鉴权具有另一个优点是不需要全局信任的身份体系结构，但是可以使用其它的身份体系结构。

本发明的另一个目标是提供从改进客户端可用性的服务器取回医疗数据的系统。为达到该目标，本发明提供了如本文首段所述的从服务器取回医疗数据的系统，该系统包括：用于由未认证的客户端从服务器请求医疗数据的装置；用于将已认证的数字权利管理服务安装到未确定认的客户端上的装置；用于根据所安装的已认证的数字权利管理服务对所请求的医疗数据进行管理，以从服务器取回医疗数据的装置。

本发明的另一个目标是提供从改进客户端可用性的服务器取回医疗数据的系统中使用的服务器。为达到该目标，本发明提供了在根据本发明的系统中使用的服务器，该服务器包括将已认证的数字权利管理服务安装在未认证客户端上的装置。

本发明的另一个目标是提供从改进客户端可用性的服务器取回医疗数据的系统中的客户端。为达到该目标，本发明提供了在根据本发明的系统中所使用的未认证的客户端，该未认证的客户端包括用于由未认证的客户端从服务器请求医疗数据的装置。

本发明的另一个目标是提供从改进医疗工作站可用性的服务器取回医疗数据的医疗工作站。为达到此目标，本发明提供了包括根据本发明的未认证的客户端的医疗工作站。本发明的另一个目标是提供从改进客户端可用性的服务器取回医疗数据的医疗信息管理系统。为了达到该目标，本发明提供了包括根据本发明的系统的医疗信息管理系统。

本发明还提供了在根据本发明的方法或系统中使用的数字权利管理服务，该数字权利管理服务被设计用于由包括处理单元和存储器的计算机装置载入，该数字权利管理服务在载入之后为处理单元提供把来自未认证客户端的请求和响应管理为服务器的请求和响应的能力。

参考根据本发明的方法说明的系统、服务器、客户端、医疗工作站、医疗信息管理系统以及数字权利管理服务，可以达到同样的优点。

附图说明

参考结合如下列各图所说明的各实施例，本发明的这些和其它方面将会显而易见并被阐明：

图1以示意方式示出了根据本发明的客户端-服务器体系结构；

图2示出了根据本发明的客户端和服务器的基本体系结构；

图3示出了根据本发明的方法的流程图；

图4示出了根据本发明的数字权利管理服务的流程图。

具体实施方式

图1示出了根据本发明的客户端-服务器体系结构100，其包括通过互联网108与服务器106相连的客户端110、112、114以及116。该服务器是在医院102中管理病人信息的医疗信息管理系统104的一部分。客户端110是移动心脏监视器的一部分，客户端112是移动电话的一部分，客户端114是用于家庭医师在家庭医师出诊处查看病人信息的医疗工作站的一部分，以及客户端116是位于另一个医院118中的医疗工作站的一部分。例如，其它诸如个人数字助理的设备也可以具体实现为客户端，而不会偏离本发明的概念。可以将医疗信息管理系统104设计用于管理图像数据，诸如PACS系统，或者可以将其设计用于对管理病人数据进行管理，诸如HIS系统，或者可以将其设计为管理不同图像获取设备上病人时间表安排，诸如RIS系统。例如，图像获取设备是磁共振设备(MR)、超声(US)设备、X射线设备等。将这些客户端设计用于通过互联网与服务器建立连接，将服务器设计用于响应请求以便与客户端建立连接。参考图3还说明了客户端和服务器之间的交互作用。

图2示出了根据本发明的客户端206和服务器202的基本体系结构200。将如下所述的客户端、服务器二者及其各组件实现为可由例如通用计算机的处理器执行的计算机可读代码，通用计算机诸如个人计算机或参考图1所述的设备。服务器202保存有对数据的访问策略204，该数据受到医疗信息管理系统的管理。访问策略可以包括对数据的访问权利，即允许谁观看什么数据以及允许谁改变该数据。作为第一方面，数据中心访问策略之外的另外的访问策略控制未认证客户端以及可下载的DRM服务上的数据使用。将这些策略与原始数据中心策略一起用于产生总的结果访问策略或目标针对客户端请求的许可证。例如，另外的访问策略可以包括数据可使用或可存储的持续时间。作为第二方面，可以有定义了作为对请求的响应要传递什么数据和多少数据的另外一些访问策略。因此，将这些策略用于确定要传递什么数据，但不像属于第一方面的策略那样，这些策略通常不产生传给请求客户端的特定许可证。对于这两方面，注意到要考虑上下文。例如，这些策略可以涉及发起连接的设备的标识或地址、已鉴权用户、先前请求等。此外，服务器含有连接建立器214，建立器214批准并建立与客户端的连接，并且使得当请求的时候，诸如当与未认证的客户端建立连接时，允许安装可下载的DRM服务。

客户端206包括能使客户端建立与服务器的连接的应用程序编程接口(API)208，例如通过实现传输控制协议(TCP)以及根据超文本传输协议(HTTP)发送请求来建立连接。此外，该客户端为DRM客户端提供了一个执行环境210。执行环境210的示例包括诸如Java虚拟机的虚拟机或自保护数字内容(SPDC)，见2003年四月Cryptography Research Inc.的白皮书：PKocher、J Jaffe、B Jun、C Laren、N Lawson的“自保护数字内容”，其提供了或多或少独立于平台的优点。此外，该客户端包括组件212，该组件212处理DRM服务的下载并且使得其能够在执行环境中执行。此外，DRM服务还包括客户端用于通过DRM服务请求访问某些数据的API，其通常涉及许可证评估、数据解密等。该组件以下载DRM服务开始，该下载可以作为协议本身的一部分通过发送请求以及作为响应获得DRM服务二进制代码来进行，或者该下载可以在协议之外通过使用诸如HTTP的标准网络协议将下载请求发送到服务器指示的位置来进行。该组件将DRM服务二进制代码存入可写存储器，例如，硬盘、闪存或随机存取存储器(RAM)。随后，其将DRM服务二进制代码寄存到虚拟机，该虚拟机在其中实现使下面提到的DRM服务API可用于客户端上运行的、需要使用该DRM服务的程序。最终，该组件调用了DRM客户端的初始化方法。客户端通过执行环境将API提供给DRM服务，DRM服务使用该执行环境与终端用户进行通信，以例如显示数据、或请求包括鉴权细节的输入以及诸如网络通信、存储和例如实时时钟的其它平台服务。

图3示出了根据本发明的方法300的流程图。例如，将客户端考虑为家庭医师在病人家访问病人时使用的移动心脏监视器的一部分。出于比较病人心脏有关信息的目的，家庭医师想要从位于医院的服务器取回该病人的历史数据。出于此目的，家庭医师请求移动心脏监视器取回有关信息。作为响应，在步骤302中，安装在移动心脏监视器上的客户端建立了与服务器的连接。在下一步骤304中，客户端使用一般网络(-服务)协议上的专用请求-响应应用协议，诸如TCP/IP上HTTP上的简单对象访问协议(SOAP)，通过互联网向服务器发送请求。服务器接收到该请求并在步骤306中检查该客户端是否按服务器要求实现了DRM。可以用采用公共密钥和包括在DRM服务中的证书的安全挑战-响应鉴权来进行这种检查。如果该客户端并未实现DRM，则服务器将相应的DRM发送给该客户端。可选择地，在步骤308中，在安装之前，或作为步骤312或314的一部分，或在步骤312或314之前，向客户端请求某些用户鉴权。例如，通过请求家庭医师给出他的唯一识别码，如果该医师在之前向该系统进行过注册并且在注册时注册了他的唯一识别码，这种用户鉴权尤其会很起作用，否则启动其它鉴权或注册过程。随后，对该识别码进行评估。可选择地，基于该访问策略和其它访问策略进行第一次评估，以确定是否允许该家庭医师访问所请求的数据，在肯定的评估结果情况下继续进行到下一步骤。在步骤310中该方法继续到安装DRM。如果鉴权是否定的，在步骤316中该方法结束，不再安装DRM并且终止连接。在步骤310中安装了DRM。当安装DRM时认证该客户端按照服务器所要求的DRM与服务器进行交互。然后，在步骤312中，服务器将用内容密钥加密过的所请求信息发送给客户端，在客户端该信息处于所安装的DRM的保护之下。通常，该数据伴随有许可证，该许可证包含根据策略和内容密钥得到的权利表示，对该数据进行加密使得只有客户端上的DRM服务能对其进行解密。此后，完成了取回。作为步骤306到312的一部分，服务器根据起作用的策略进行日志记录，例如，记录请求本身以及相关信息，诸如请求时间、与授予权利表示一起传递的信息、提供的鉴权信息等。可选择地，在步骤310中安装的DRM包括可执行代码或数据中嵌入的策略，可以将其看作对于客户端侧是固定的其它访问策略的具体形式。这些策略通常不是数据中心的(如步骤312的策略那样)，但是一般可以为要使用该DRM释放的任何数据保留这些策略。在步骤312中，该客户端可以使用这些策略，其中可以由DRM服务检查是否允许该用户取回所请求数量的数据，例如，未认证的客户端仅可以取回有限数量的数据。这些策略限制可以施加到一个病人的信息上，但也可以施加到多个病人，即在同时刻允许请求多少病人的信息。当客户端与多个独立服务器交互时，这类强制也起作用。在步骤314中，根据如参考图4更详细说明的DRM，对信息进行管理。现在，该家庭医师已经访问了历史病人信息，在步骤316中该方法终止。

图4示出了根据本发明的数字权利管理服务400的流程图。DRM服务起始于步骤402，在步骤402中进行初始化，之后继续到步骤404。该初始化包括自完整性检查、执行环境检查、通过利用API从执行环境中取得设定和上下文。在步骤404中，检查策略中是否允许进行日志记录。如果允许进行日志记录，DRM服务就开始日志记录事件。所记录的事件是DRM服务处理来自客户端请求的时间和日期。也可以记录其它事件，诸如客户端用户的名称、客户端设备的互联网协议地址(IP地址)等。可以使用通常涉及网络服务技术的事件报告技术将日志记录的事件直接或以成批形式报告给服务器。事件报告技术的一个示例是如作为ISO/IEC工作组的运动图像专家组定义的“MPEG-21事件报告”。在步骤406中，DRM服务检查了该客户端使用该病人数据多长时间。如果该客户端使用该病人数据长于DRM可接受的时间，则在步骤410中阻止该病人数据。可以通过阻止访问该病人数据并且从客户端删除该病人数据来阻止该病人数据。例如，如果使用该病人数据长于2小时，则可以阻止该病人数据。也可以应用其它时间段，并且该时间段也可以取决于病人数据的类型。例如，病人管理数据可使用一天，而病人图像数据可使用5天。在步骤412中，DRM服务评估了所取回的许可证(伴随有数据的取回)中包含的权利表示，其定义了结果产生的访问策略。由此实现了对数据的使用控制。作为该评估的一部分，例如，DRM服务验证：许可证中所指示的用户与前一步骤的已鉴权用户是否相匹配、使用时间段是否仍有效、是否可以打印该数据等。在成功评估之后，客户端使用包含在许可证中的内容密钥对加密的数据进行解密。此后，该数据就准备好被所信赖的呈现器使用。为所信赖的呈现器提供关于可以对该数据进行什么操作的信息，并且当必要时，例如当用户请求打印显示在屏幕上的数据时，所信任的呈现器再次联系DRM服务。进行了一个或多个前述步骤之后，在步骤416中终止DRM服务。

可以将客户端、服务器和DRM实现为被包括处理单元和存储器的计算机装置载入的计算机可读代码，该计算机可读代码在载入后为处理单元提供用于执行根据本发明的方法的能力。

在当前发明方法的所述各实施例中的次序并非必须的，本领域技术人员可以改变这些步骤的次序或者采用线程模式、多处理器系统或多处理来执行这些步骤，而不会偏离当前发明有意的概念。

应注意到上述实施例说明而不是限制本发明，本领域那些技术人员将能够设计很多可替换的实施例，而不会偏离所附权利要求的范围。在权利要求中，不应将任何括号内的参考符号认为是限制该权利要求。词语“包括”并非是排斥出现权利要求中所列内容以外的要素或步骤。一个元素之前的词语“一个”并非排斥出现多个这种要素。可以通过包括几个不同要素的硬件以及通过适当编程的计算机的方式来实现本发明。在系统权利要求中枚举了几种装置，这几种装置可以通过一个相同的计算机可读软件或硬件来具体实现。起码的事实是，在彼此不同的从属权利要求中叙述的某些手段并非表示不能有利使用这些手段的组合。

Claims (12)

1、一种用于从服务器(106、202)取回医疗数据的方法，包括：

未认证的客户端(110、112、114、116、206)从所述服务器请求所述医疗数据；

将已认证的数字权利管理服务安装到所述未认证的客户端上；

根据所安装的已认证的数字权利管理服务对所请求的医疗数据进行管理，以从所述服务器取回所述医疗数据。

2、如权利要求1所述的方法，其中，根据访问策略约束对所述医疗数据的访问，并且根据另一个访问策略约束所述未认证的客户端对所述医疗数据的访问，并且所述已认证的数字权利管理服务基于所述访问策略和所述另一个访问策略获得结果策略。

3、如权利要求1或2所述的方法，还包括限制所述未认证的客户端对所述医疗数据的可用时间段。

4、如权利要求1至3中任何一个所述的方法，还包括限制所请求医疗数据的取回数量。

5、如权利要求1至4中任何一个所述的方法，还包括对所述医疗数据请求进行日志记录。

6、如权利要求1至5中任何一个所述的方法，还包括：在安装所述已认证的数字权利管理服务之前或在从所述服务器取回所述医疗数据之前，对所述未认证的客户端的用户进行鉴权。

7、用于从服务器(106、202)取回医疗数据的系统(200)，包括：

用于由未认证的客户端(110、112、114、116、206)从所述服务器请求所述医疗数据的装置(208)；

用于将已认证的数字权利管理服务安装到所述未确定认的客户端上的装置(214)；

用于根据所安装的已认证的数字权利管理服务对所请求的医疗数据进行管理，以从所述服务器取回所述医疗数据的装置(210)。

8、如权利要求7所述的系统中使用的服务器(106、202)，包括用于在未认证的客户端(110、112、114、116、206)上安装已认证的数字权利管理服务的装置(214)。

9、如权利要求7所述的系统中使用的未认证的客户端(110、112、114、116、206)，包括用于由所述未认证的客户端从所述服务器(106、202)请求所述医疗数据的装置(208)。

10、包括如权利要求9所述的未认证的客户端(110、112、114、116、206)的医疗工作站(118)。

11、包括如权利要求8所述的服务器(106、202)的医疗信息管理系统(104)。

12、如权利要求1至7中任何一个所述的方法或系统中使用的数字权利管理服务，所述数字权利管理服务被设计用于由包括处理单元和存储器的计算机装置载入，所述数字权利管理服务在被载入之后为所述处理单元提供以下能力：将来自未认证的客户端(110、112、114、116、206)的请求和响应管理为服务器(106、202)的请求和响应，以强制执行医疗数据的访问策略。

Images