CN102067509A - 分布式数据存储设备 - Google Patents

Abstract

本发明涉及一种分布式数据存储设备（1），包括：多个分别具有存储装置（15）和访问控制（14）的存储器单元（2）、具有存储装置（11）和验证设备（47）的鉴权设备（9）、具有流程控制模块（13）和访问检查设备（6）的流程控制（4），其中流程控制（4）与存储器单元（2）和鉴权设备（9）通信连接。在鉴权设备（9）的存储装置（11）中保存有至少一个明确的电子密钥（12），访问检查设备（6）具有访问控制模块（7）和存储器单元（8），在存储器单元（2）中保存有与鉴权设备（9）的所保存密钥（12）对应的明确的第一密钥（10），并且在存储器单元（8）的存储装置（18）中保存有分配表（26）。本发明还涉及一种用于运行分布式数据存储设备（1）的方法。

Description

分布式数据存储设备

技术领域

本发明涉及一种分布式数据存储设备，包括：多个分别具有存储装置和访问控制的存储器单元、具有存储装置和验证设备的鉴权设备、具有流程控制模块和访问检查设备的流程控制，其中流程控制与存储器单元和鉴权设备以通信方式连接。

背景技术

在数据处理设备的领域中公知有多种不同的设备，以便存放数据或信息并且以后可以访问所述数据或信息。在所谓的单个位置系统中，数据存储器单元大多与访问控制检查一起被集成式地构造，并且因此也大多允许使用者或流程控制直接访问所保存的数据。但是如果对要管理的数据量的要求提高，或因此应考虑多个使用者应可以在最大程度上同时访问所保存的数据，则单个的数据存储器单元大多不再能够满足提高的要求和提供足够的工作效率或处理速度。因此大多采用多个数据存储器单元，并且将要存放的或要管理的信息分配到各个存储器单元上。在此情况下，中央访问控制承担了对于各个存储器单元的访问的协调以及检查和控制，并且因此确保分布式结构对于使用者保持隐蔽。

由于可将要管理的信息单元分配到多个存储器单元上，所以需要预防措施，以便示出和管理在这些存储器单元之间的关系。为此，例如WO 95/22111公开了一种分布式数据库系统，该分布式数据库系统具有多个互相连接的计算单元，这些计算单元管理数据库系统的各个数据库。在此，每一个数据库包括在其中保存有计算单元的全局结构的关系的数据组。附加地在局部分配规则中保存，在自身的计算单元中的各个数据单元被保存在何处。

因此借助于全局信息单元确定了数据存储器单元的粗略结构，还通过局部信息单元确定了每个存储器单元的结构。

在分布式数据存储设备中重要的是，保护所存放的信息免受未授权访问的问题，尤其是因为该信息存放在分布式系统上，其中必要时地点上的分离也是可行的。因此应确保，只有在相应的授权之后才可以访问所保存的信息。

为此例如US 6,098,056 A公开了用于在采用不对称加密系统的情况下在分布式信息系统中控制和检查访问权的一种系统和一种方法。网络包括至少一个服务器，该服务器与存储器单元耦合和被构造用于存放访问受限的文件。为此生成随机的文件密钥，该文件密钥被用服务器的公共密钥进行编码，并作为元信息存放在数据容器中。在访问控制设备的鉴权之后，用访问控制设备的公共密钥将文件密钥进行编码，由此确保只有访问控制设备可以保存文件密钥和访问内容。随后将文件的译码内容显示给客户端处的使用者。

US 2007/0289026 A1也公开了一种在分布式系统中用于保护信息或用于信息交换的系统。该系统包括数据存储设备和安全的信息管理设备。在将信息单元传输给经过鉴权的客户端之前，可将这些信息单元进行编码和数字式签字。

WO 2008/021075 A2公开了一种用于在数据网络中保护消息通信的方法。分布式存放的安全保险证书（Sicherheitspolizze）分别表明安全组，其中每个这样的安全组包括至少一个本地的和一个远程的数据节点。如果应将新的安全组接纳到联合体中，则由本地的认证机构设置一系列的请求，以便对新的安全组中的本地节点进行识别和鉴权。在此之后，安全认证机构可以通过交换安全信息来保护在本地节点和远程节点之间的数据通信。

从现有技术中公知的装置或方法被构造用于，在分布式网络中保护对数据的访问，以及例如以所鉴权的安全组的形式来确定网络中分布式节点之间的数据交换的界限。在公知的装置或方法中，主要注意力在于保护在各个网络节点之间的数据通信，或在于保护对网络节点的访问。对于高安全性的数据存储设备，尤其是当该数据存储设备应满足金融业的要求时，不仅需要保护数据通信，而且尤其是数据本身的提高了的防护也是必要的。尤其是在必要时由于冗余或负荷分布的原因也可以分配到多个位置的分布式数据存储器单元中，对每个单个的存储器单元的保护获得特别的重要性。特别重要的尤其是，即使在知道数据存储器单元的内容时，也不能访问或推断出另外的数据存储器单元的内容。

发明内容

本发明的任务在于，找出一种将数据单元存放在多个分布式存储器单元上的数据存储设备，其中数据组到存储器单元的分配和对存储器单元访问的控制互相分开地存放，并且因此只有在对访问模块进行明确鉴权之后才能访问数据单元。本发明的任务还有将数据存储设备构造为使得可以访问只有一个明确识别的访问模块组的存储器单元。

本发明的任务尤其是通过如下方式解决：在鉴权设备的存储装置中保存有至少一个明确的电子密钥。该构造方案使得鉴权设备能够承担全部可能的允许的电子密钥的集中管理的任务。鉴于高的数据安全性，该特征所具有的很特别的优点是：鉴权设备和尤其是鉴权设备的存储装置可以布置在高安全性的环境中，并因此具备所保存的电子密钥的非常高的保护。此外可以将鉴权设备构造为使得不再能够事后改变或更新所保存的电子密钥，这是另一重要的安全益处。在任何情况下，鉴权设备被构造为使得只能通过尤其是由鉴权设备监控或控制的精确定义的通信路径来访问存储装置。

作为用于解决本发明任务的另外的特征，访问检查设备具有访问控制模块和存储装置，使得也在这里确保了，即使对于流程控制的流程控制模块也不能直接访问存储装置并因此通过访问控制模块来进行或由该访问控制模块来管理每一个访问。这里将访问控制模块理解为如下的技术设备：该技术设备接收和相应地整理通过通信连接进入的请求并且执行用于从存储装置中提取相关信息单元所需要的技术步骤。所述信息单元然后被相应地整理并且被返回传送给请求模块。

本发明的任务还通过一种特征来解决，按照该特征，在存储器单元中保存有与鉴权设备的所保存密钥相对应的明确的第一密钥。因此确保了，存储器单元和鉴权设备具有共同的特征性的和尤其是明确的特征，通过该特征建立有在存储器单元和鉴权设备之间的明确的关系。由于鉴权设备已保存有电子密钥，所以只有其密钥与所保存的密钥相对应的那个存储器单元可以建立与鉴权设备之间的关系。

在这里和在下文中可将密钥视为电子密钥的所有公知的构造方案，这些构造方案使得能够通过共同特征将两个互相分开的系统相互明确地分配。例如可以在两个模块中存放一个密钥，利用该密钥覆盖明确分配的基本要求。但是不对称的密钥系统也是可能的，这所具有的优点是，该密钥系统同时可利用于编码任务。

在分布式数据存储设备中要求，对各个数据单元之间的关系进行管理，以便随后可以访问这些分布式数据单元。在已知的数据存储设备中，总是与有用数据单元一起也在存储器单元中保存分配，这所具有的缺点是，在对存储器单元的滥用访问时，总是也可获取可用来访问其它存储器单元的信息。因此，在访问检查设备的存储装置中保存有分配表的特征是特别重要的，因为由此实现了数据单元和这些数据单元之间的关系的分开。在保护所保存数据的意义上，决定性重要的是，即使在知道存储器单元的数据单元的内容时也不能访问另外存储器单元的数据单元，并且尤其是也不能推断出其它数据单元的内容。该发明特征现在以非常特别有利的方式确保了，可将本发明分布式数据存储设备的存储器单元构造为各个功能性的单元并且必要时也可以布置在不同的位置处。

本发明数据存储设备的非常重要的优点也在于，可以针对性地控制或确定在各个部件之间的通信。由于流程控制与存储器单元和鉴权设备通信连接，也就是在各个存储器单元之间不存在直接的通信连接，所以基本上防止了一个存储器单元对另一个存储器单元的直接访问。尤其是因此也可以针对性地控制访问，因为基本上通信通过流程控制来进行并且该流程控制可以在必要时让每一个访问附加地由鉴权设备来鉴权。因此可以在流程控制中保存访问规则，但是鉴权设备也可以承担对访问的控制或检查。

例如可以存在附加的监控设备，该监控设备监控每一个访问，并在出现与允许的访问尝试的偏差时，例如触发对正在进行的访问的立即终止。这样的监控设备也可以监控各个模块的整体性，以便因此识别操纵尝试。

以下的扩展方案目标在于相同的方向，在该扩展方案中，访问检查设备具有另一存储单元，在该另一存储单元的存储装置中保存有实施指示。通过该扩展方案实现了数据单元、关系结构、以及访问和实施控制的基本分开。尤其是因此可以分开地构造本发明数据存储设备的每个单个的部件，由此实现防止对数据单元进行未授权访问的最大保护。因此潜在的侵犯者必须获得通过多个单个的保险部件的检查，以便获得对于其感兴趣的或可以滥用的数据单元。

对于本发明分布式数据存储设备的构造和运行来说，有利的是如下扩展方案：其中存储器单元和流程控制通过第一通信连接互相通信连接。该第一通信连接可以通过任意的数据技术的通信网络、例如通过内部网或因特网来形成。该通信连接尤其是可以由点对点连接来形成，这所具有的特别优点是，在通信路径上存在的中继节点或转发节点没有能够以滥用的方式访问所传输信息或数据的可能性。但是该构造方案尤其是也具有可以检验存储器单元的运行状态的优点，这对于数据存储设备的可靠性是特别重要的。例如可以由固定连接的通信路径或所谓的VPN连接来形成点对点连接。

鉴于对在存储器单元和流程控制之间的通信的保护，如下的扩展方案是有利的：其中存储器单元和流程控制具有编码模块。将该编码模块构造用于对存储器单元和流程控制之间的通信进行保护，使得可将原则上不安全的通信连接用于存储器单元和流程控制的通信耦合。编码模块例如可以基于公共密钥系统来起作用，由此在密钥伙伴（Schlüsselpartner）之间的通信是简单地可能的，但是基本上防止了对所传输信息的滥用侦听。当然可采用根据权利要求的编码模块的其它已知的编码方法。尤其是可以将编码形成为使得例用单独的编码系统来保护每一个通信连接。已知的编码方法大多基于有时可被侵犯者侦察出的伪随机代码，该侵犯者由此可以获得对于所传输信息的访问。一种扩展方案现在例如可以在于采用多级的编码方法。在此在第一步骤中，建立通过伪随机代码保护的连接。通过该连接，例如通过不对称的代码确保了，对然后用于进一步建立端对端编码的密钥进行交换。因此除了第一信道编码之外，潜在的侵犯者也还必须对在交换密钥时的同步机制进行操纵，以便获得滥用访问的机会。通过该多重保护，侵犯变得极其费事，或用当今已知的译码方法在信息的相关时间内不能实现。

根据本发明，通过保存在存储器单元中的明确的密钥和保存在访问检查设备中的分配表，建立了在各个存储器单元之间的关系。通过一种根据权利要求的扩展方案，在该扩展方案中在存储器单元中保存有与鉴权设备的所保存密钥相对应的明确的第二密钥，现在以有利的方式确保，除了存储器单元互相之间的关系，建立有在存储器单元和鉴权设备之间的关系。因此，尤其是所谓的返回检查也是可能的，也就是访问控制例如可以检查流程控制的真实性。

根据本发明所采用的电子密钥获得很特别的重要性，因为这些电子密钥必须实现明确的分配，并且因此每一个密钥或每一个密钥组合必须是特别明确的，而且未授权者不能猜出密钥。因此鉴权设备具有用于生成电子密钥的模块是特别有利的。由于根据本发明在鉴权设备的存储装置中保存有至少一个明确的电子密钥，因此根据权利要求的扩展方案所具有的特别的优点是，可以完全在鉴权设备上进行电子密钥的生成和随后的保存，而不用为此需要外部设备，这例如又意味着一个安全技术上的薄弱环节。因此可由中央设备来生成和管理明确的电子密钥。

在本发明分布式数据存储设备中采用多个密钥，以便建立在数据存储设备的各个模块之间的明确的关系。在此优选将这些密钥构造为使得对于例如存储器单元密钥的模块密钥，在密钥存储器中总是存在相对应的密钥。该对应性尤其是意味着由这些密钥本身来建立所述关系。在一种构造方案中，一个模块密钥可以分别与一个参考密钥一致。但是也可以从密钥存储器中的所谓的参考密钥中推导出多个模块密钥，这些模块密钥在检查时与参考密钥建立关系。优选一种构造方案，其中可将一个模块密钥明确分配给一个参考密钥，但是不能推断出该参考密钥。因此侵犯者不能生成伪造的模块密钥，以便用此获得滥用的访问。

在密钥存储器中现在可以保存多个参考密钥，在需要时从这些参考密钥中生成模块密钥。这具有可以特别保护密钥存储器的优点，例如防止对于存储器的变化访问。

如下的扩展方案也是有利的，其中由数据库系统形成存储器单元的存储装置，因为以很好的方式将这样的数据库系统构造用于可以接收和管理大量的数据单元。这样的存储装置具有另一优点：这些存储装置被根据习惯构造用于提供所存放数据的非常高的保存安全性并且尤其是也提供非常高的供应安全性。用于保存数据单元的该存储装置被优选构造用于对大量信息单元的尽可能多的同时访问。用于保存分配表或实施指示的存储装置应优选提供尽可能高的应答速度，因为对于其它存储器单元的基本上所有其它的访问都与此有关。因此也可以由大多提供特别高的处理速度的数据处理系统来形成这些存储器单元的存储装置。

一种扩展方案也可以在于，可以由铁磁性存储介质、尤其是所谓的硬盘来形成物理存储介质，其中利用数据编码来构造该硬盘。在这样的编码情况下，以编码方式在存储介质上保存数据，其中编码和译码系统常驻地保存在访问控制中。因此侵犯者必须窃取整个存储器单元，因为单独从编码的存储介质中不能获悉有用信息。即使当侵犯者克服了存储介质的编码，所获得的信息收益也是极其小的，因为通过信息单元的分布式存放基本上防止了对于其它信息单元的访问。侵犯者尤其是缺少关于存储器单元之间的关联的信息。例如还可以如下来扩展该数据编码，使得只有在正在进行的运行中可以有效地访问所保存的数据，也就是侵犯者必须通过维持正在进行的运行来窃取存储介质。

尤其是可将存储装置理解为专业人员用于保存信息单元所公知的所有设备。这里也示例性地列举半导体存储器以及表格式的数据文件。

根据按照权利要求的扩展方案，在分配表的存储器单元中或在实施指示的存储器单元中保存有与保存在鉴权设备中的密钥相对应的明确的第一密钥和/或第二密钥。该扩展方案的优点已经在上面予以说明，尤其是可以以此检查存储器单元以及流程控制的真实性。

如果访问检查设备被构造为使得访问控制模块和存储器单元通过第二通信连接互相通信连接，则获得一种特别有利的扩展方案。流程控制以及访问检查设备的存储器单元是安全技术保护和对于数据单元的存储器单元的访问保护的主要部件。因此这些单元优选布置在封闭的设备中，其中非常重视确保防止未授权的接入。通过优选由点对点连接形成的第二通信连接来进行存储器单元与访问检查设备的访问控制模块的通信连接，该点对点连接根据构造方案受到特别是防止滥用访问的保护。又可将每一个数据技术通信网络用作为用于构成第二通信连接的通信介质，但是其中该通信网络必须满足有关保护第二通信连接的特别的要求。

该扩展方案使得能够构造另一访问保护，因为由此也可以确定请求指令或事务的通信路径。因此也可以通过例如在部件上出现通过不允许通信路径的请求来立即识别滥用的侵犯尝试。

在已知的数据存储设备中，在对访问权进行了鉴权或检查之后，由流程控制大多直接访问存储器单元并且尤其是访问所保存的数据单元。鉴于对数据的防止滥用的高度保护，该访问方式具有以下缺点：潜在的侵犯者可能成功地在规避鉴权预防措施时能够直接访问所保存的数据单元。用一种在流程控制模块中保存有多个分级结构化的流程的根据权利要求的扩展方案，现在防止了这样的直接访问，因为只有借助所保存的流程才可以访问存储器单元，并且尤其是中断对存储器单元的直接访问。

一种在分配表中保存有分级流程与存储器单元的联系的扩展方案也用来保护所保存的数据，因为由此构成了另一安全层面。因此，利用根据权利要求的扩展方案，可以将分级流程的存储器地点和实施地点完全分开，并因此对于潜在的侵犯者形成另一安全障碍。

按照其将鉴权设备、流程控制和存储器单元构造为第一安全区或将流程控制、分配表和实施指示构造为第二安全区的根据权利要求的扩展方案是特别重要的。这些安全区是本发明分布式数据存储设备的非常主要的概念方案，因为由此防止了潜在的侵犯者可以通过操纵单个部件来获得对整个系统的访问。这些安全区中的每一个例如可由监控和检查设备持久地检查，以便因此可以立即识别不允许的过程。潜在的侵犯者尤其是必须总是同时和尤其是时间上同步地操纵安全区的至少两个部件，以便可以掩饰滥用的访问尝试。由于在本发明数据存储设备中也很主要地依靠访问顺序，所以潜在的侵犯者必须拥有内部关联的极其准确的细节，以便用对多个部件的有针对性的和同步的侵犯来获得成功的机会。

通过对访问的检查或控制，利用根据权利要求的扩展方案例如也可以确保，基本上阻止了第一安全区的模块对第二安全区的模块或其它模块的直接访问。由于只有通过准确确定的通信路径和通过遵守确定的流程才可以访问，所以每一个偏离于此的访问尝试可以立即被识别为潜在的侵犯并借助相应的反制措施来阻止。尤其是也可以循环地改变正确的通信路径的确定。例如可以确定与迄今为止发生的访问有关的算法和/或基于时间上的关系来确定分别有效的通信路径，这对于侵犯者是另一障碍，因为会将通过无效的通信路径到达的请求识别为操纵尝试。

在一种扩展方案中可以引入其它的保护区，以便因此将诸如存储器单元的各个技术单元汇总在一个固有的保护区中。因此可以对于侵犯者重新提高要跨越的障碍，因为要跨越多个不同的保护系统，但是这些保护系统全部由相对于彼此的依赖性互相交织并因此防止了单个侵犯或使得可以很容易识别单个侵犯。

本发明的任务还通过一种用于运行分布式数据存储设备的方法来解决。在第一方法步骤中生成明确的电子密钥，其中也可由密钥对或一组明确互相从属的密钥来形成该密钥。与此有关地，其它的密钥系统对于专业人员是公知的。该密钥或部分密钥被保存在存储器单元中以及鉴权设备中，并因此使得能够明确地对存储器单元进行鉴权。在其它的步骤中，在访问检查设备中保存有分配表和实施指示。

通过本发明的方法步骤确保了，将保存在存储器单元中的数据单元与关于结构或关于数据单元之间的相关性的信息分开地存放，并且此外还防止了对数据单元的直接访问。

侵犯者可能例如尝试操纵存储器单元，以便由此获得对其它存储器单元的访问。为了防止这种情况，根据一种扩展方案，在访问保存在存储器单元的存储装置中的数据单元之前，由鉴权设备检查密钥。只有当所保存的密钥与保存在鉴权设备中的密钥一致时，才确保了当前处于访问中的存储器单元也对应于原来所鉴权的存储器单元。

一种确保防止直接访问存储器单元的扩展方案在于，在访问请求的情况下查询分配表。由于数据单元分布式地存放在多个存储器单元中，所以只有通过从分配表中读出在数据单元之间的或尤其是在存储器单元之间的联系才可建立在各个数据单元之间的关联。

一种在使用者或数据处理设备进行访问请求的情况下查询实施指示的扩展方案，也针对防止对在存储器单元中所保存的数据的滥用的访问。该构造方案是为防止未授权的使用者可以直接访问存储器单元中的数据组的另一特征。只有借助相应的实施指示，而该实施指示又只能通过访问检查设备来读出，才可以访问存储器单元中的数据单元。

根据一种有利的扩展方案，在访问保存在存储器单元的存储装置中的分配表之前，由鉴权设备检查电子密钥。该构造方案是另一安全性特征，因为由此也可以检查分配表的真实性。由于通过该表还建立有数据单元之间的关系，所以特别重要的是分配表的内容是真实的。

同样的适用于一种扩展方案，按照该扩展方案，在访问保存在存储器单元的存储装置中的实施指示之前，由鉴权设备检查电子密钥。因此可以明确确保实施指示的真实性。

如上面已经说明的那样，一种由鉴权设备检查保存在访问指示中的密钥的扩展方案具有以下的优点：只有具有正确密钥的访问指示才被鉴权设备接受并然后实现对存储器单元的访问。

同样鉴于对访问的明确保护，如下的一种扩展方案是有利的：在所述扩展方案中流程控制用正确保存的密钥来相对于鉴权设备对自己进行鉴权。通过该扩展方案现在确保了，仅仅通过正确识别和鉴权的流程控制也可以实施对存储器单元的访问。因此潜在的侵犯者也不能借助操纵的流程控制获得对存储器单元的访问。

如果在检查所呈现的密钥时识别出与所保存的密钥的不一致性， 则根据权利要求输出报警消息，使得立即可以对错误的鉴权作出反应。然后优选停止正在进行的访问，并进行对已导致报警消息的原因的详细检查。在此主要的是，对于对数据单元的访问必要时检查多个密钥，并且只有在成功地检查了所有密钥时才批准对数据单元的访问。如果潜在的侵犯者操纵分布式数据存储设备的部件，则密钥与所保存的密钥不再一致，并因此导致报警触发和防止进一步的访问。

如果存储器单元的访问控制在流程控制的请求时将保存的第二电子密钥与流程控制的密钥进行比较，或如果由鉴权设备对所保存的第二电子密钥进行检查，则获得其它有利的构造方案。这些构造方案如下地实现所谓的反向检查，使得由此存储器单元也可以检查进行请求的流程控制是否是原来所鉴权的流程控制。潜在的侵犯者对流程控制进行操纵，并因此可能获得对存储器单元的访问，这由根据权利要求的扩展方案来防止。

访问控制借助所传送的实施指示访问数据单元的一种扩展方案是特别重要的，因为由此确保了防止或不能直接访问数据单元。已知的数据存储设备大多允许直接访问数据单元。因此，潜在的侵犯者通过所操纵的实施设备来获得对数据单元的访问。在此，根据权利要求的扩展方案引入了另一安全性屏障，因为侵犯者附加地还必须获得实施指示，以便获得对数据单元的访问。

附图说明

为了更好地理解本发明，借助以下的附图详细阐述本发明。

分别以极为示意性地简化的示图示出：

图1为本发明数据存储设备的原理电路图；

图2为对数据单元的可能的访问的流程顺序图；

图3为本发明数据存储设备的安全方案的示例性示图。

具体实施方式

作为引言应该领会，在不同说明的实施形式中，相同的部分配备有相同的附图标记或相同的组件名称，其中包含在整个说明书中的公开内容按照意义可以转移到具有相同附图标记或相同组件名称的相同部分上。在说明书中所选择的诸如上方、下方、侧面等的位置说明也与直接说明的以及示出的图有关，并且在位置变化时按照意义可转移到新的位置上。来自所示出和说明的不同实施例的单个特征或特征组合同样也可以是本身独立的、发明性的或根据本发明的解决方案。

应该将在对象描述中对于值范围的所有说明理解为，这些值范围随同包括了来自其中的任意的和所有的部分范围，例如应将1至10的说明理解为随同包括了从下限1和上限10出发的整个部分范围，即以1或大于1的下限开始并在10或小于10的上限处结束的整个部分范围，例如1至1.7，或3.2至8.1，或5.5至10。

图1示出分布式数据存储设备1的原理电路图，其中数据或信息50保存在多个存储器单元2中。存储器单元2通过通信网络3与流程控制4连接。流程控制4被构造用于处理使用者5的请求并且从存储器单元2中调用相应的信息和向使用者或其数据终端设备5传送。由于存储器单元2在必要时可以分布式地布置，尤其是也可以布置在不同的位置，因此将信息单元50分配到各个存储器单元2上，使得即使在知道整个存储器单元的内容以及保存在其中的信息单元的部分时，也不能访问另一存储器单元的内容或不能查询完整的可利用的数据组。因此流程控制4具有至少由访问控制模块7和至少一个存储器单元8形成的访问检查设备6。现在重要的是，在访问检查设备6的存储器单元8，49中，保存有分配表26或实施指示27。通过该分布式布置确保了，在存储器单元2中没有保存数据单元50之间的关系。对于所保存数据的安全性来说，进一步特别重要的是，流程控制4与鉴权设备9连接。鉴权设备9尤其是被构造用于，检查对存储器单元2或存储器单元8的每个访问的可信性，并因此确保只能执行拥有相应的安全特征的那些访问。

为了现在可以建立在存储器单元2，8，49和流程控制4之间的关系，以便因此可以防止滥用的访问，在存储器单元2，8，49中分别保存有明确的第一电子密钥10。在密钥存储器11中保存有与所保存的电子密钥10相对应的密钥12，使得在第一电子密钥10和所保存的电子密钥12之间总是有明确的关系。如果现在例如应访问存储器单元2，则由流程控制4、尤其是由访问控制模块7来读出并由鉴权设备9来检查存储器单元2的第一电子密钥10。如果存在一致性，则允许对该存储器单元的访问并根据所保存的分级流程48来执行其它的顺序。在错误的鉴权的情况下，可由鉴权设备9或由流程控制4触发报警，由此激活安全措施并且必要时也激活用于数据存储设备的物理保护措施。第一密钥10和第二密钥24优选是互相独立的，但是分别与所保存的密钥12相对应。

每一个存储器单元2具有访问控制14和存储装置15，其中访问控制14被构造为使得通过通信连接16到达的请求不能获得对存储装置15的直接访问。存储器单元8也优选具有访问控制17和存储装置18，使得在这里也防止对存储装置18 的直接访问。

对保存在密钥存储器11中的电子密钥12提出关于其明确性的高的要求。尤其是必须可以在保存在存储装置中的电子密钥10，24与参考密钥12之间建立明确的关系，其中可以将该关系设计为使得从模块密钥10，24中不能推断出参考密钥12。在一种特别有利的扩展方案中，鉴权设备9具有用于生成明确的电子密钥的模块19。利用该模块19，现在使得鉴权设备9有可能在不需要外部的装置或认证机构的情况下可以自动生成明确的电子密钥。通过该构造方案以有利的方式确保，在限定的和已知的安全环境中生成了电子密钥12，并因此在最大程度上防止外部影响或伪造密钥的危险。电子密钥的安全性大多基于数学方法，尤其是基于其计算或求解是极其复杂的方程组。主要的特征尤其是在于，可以很好地估算用于求解方程组所需的计算能力以及因此所需的时间。因此可以将电子密钥构造为使得用于规避密钥所需的时间大于要探听信息的重要性。例如可由数据处理设备形成鉴权设备9，但是也可以构造为只能通过通信端子20来查询并通过其也提供鉴权结果的模块。

由于效益和安全性原因，也可以空间上分布式地布置本发明的分布式数据存储设备1，使得在各个模块之间—例如在鉴权设备9和流程控制4的存储器单元2，8，49之间—中间连接有通信网络3，该通信网络3原则上必须看作为不安全的通信网络。该通信网络例如可以是公共可用的和可接入的因特网，从而必须考虑对通信连接16，21的滥用访问的危险。在一种有利的扩展方案中现在可以保护每个通信连接，所通过的方式是在通信连接的相应端点处布置编码模块23。利用这样的编码模块现在确保，在端点之间—例如在存储器单元2和流程控制4之间—对基于所谓的端对端编码的通信连接16进行保护。即使在对通信连接16的滥用访问时，也基本上不可能访问所传输的数据。

通过保存第一电子密钥10，可以建立在存储器单元2，8，49之间的关系。因此流程控制4可以尤其是借助鉴权设备9来确保，分别访问正确的存储器单元。尤其是因此确保，潜在的侵犯者不能将一个存储器单元通过被操纵的存储器单元来代替，以便因此获得对分布式数据单元的访问。因此，通过确定明确的通信路径和访问情形（Zugriffsszenario），这样被操纵的存储器单元不能获得对另一个存储器单元或另一个模块的直接访问。滥用的访问尝试保持局限于该存储器单元上，因为由于出色的通信路径，其它模块除了对于流程控制以外对于被操纵的存储器单元是不可见的。在一种扩展方案中，现在在存储器单元中保存有两个电子密钥24，这些电子密钥24与流程控制4的密钥25和/或与在鉴权设备9中所保存的密钥12相对应。通过该扩展方案，例如访问控制14，17现在能够在有效性方面检查流程控制4、尤其是访问控制模块7的请求。在请求时，所分配的密钥25例如由流程控制向访问控制14，17传输或由该访问控制14，17查询。访问控制现在可以让密钥25由鉴权设备9检查，或访问控制可以自己用所保存的第二密钥24来实施检查。该扩展方案现在确保，每个存储器单元可以自己检查：进入的查询要求是否也来源于有效的、尤其是允许的流程控制4。为了在这样构造的分布式数据存储设备1中以滥用方式获得对所保存的数据单元的访问，潜在的侵犯者必须同时操纵多个电子密钥以及鉴权设备。优选在特别安全的环境中运行鉴权设备9并且必要时也运行流程控制4，尤其是这些设备大多安放在数据中心或金融机构的高度安全区域内，由此对这些模块的个人以及远程作用的访问在极高程度上是不可能的。然而，由于这些模块是本发明分布式数据存储设备的核心部件并且尤其是承担鉴权任务和检查任务，因此也在最大程度上确保了在存储器单元中所保存的数据单元的安全。通过必要时也可以在空间上分开构造的分布式布置也确保了，滥用访问是极其困难的，因为为了不立即触发报警，该滥用访问必须在时间上和地点上准确协调地执行，由此防止了滥用访问尝试。

本发明数据存储设备的另一主要特征在于，有用数据与有用数据之间的关系分开存放，并且不能直接访问有用数据。为此，在存储器单元8中例如保存有分配表26，其中可以仅通过该分配表来建立在存储器单元的数据单元之间的有意义的联系。在已知的分布式数据存储设备中，在存储器单元中与数据组一起存放有这样的分配表。因此，整个信息可供潜在的侵犯者使用，以便可以从分布式存储器单元中读出数据组。

在本发明分布式数据存储设备中，不仅数据单元的存储器单元2，而且分配表26的存储器单元8和实施指示27的存储器单元49，都必须相对于鉴权设备9正确自我识别自己，以便开启访问。在已知的数据存储设备中常见的也有，批准流程控制4直接访问存储器单元2的存储装置15。与此相反地，在本发明数据存储设备中引入另一安全区，所通过的方式是防止直接访问存储装置15，因为只有通过预先规定的、经过检查和经过鉴权过的实施指示27才可访问存储装置15。

一种特别有利的扩展方案在于，在数据存储设备内构造安全区60，61，其中这样的安全区包括多个必要时也可以分布式布置的模块。这些安全区是附加地用于有用信息和关系信息的分开而布置的第二安全层。由于这些安全区互相交叠，所以随时可以互相检查或监控正在进行的事务和请求。例如检查模块62可以与流程控制连接，该检查模块62监控安全区中的流程并且在有差错时立即停止事务以及必要时输出报警消息。这些安全区非常显著地增加了侵犯尝试的困难，因为侵犯者因此必须启动极其精确准备的侵犯。在此，必须以准确确定的顺序来操纵多个模块，这在没有对内部构造和流程非常准确的认识的情况下是极其困难的。因此，逐步侵犯不会是主要目标，因为这样的侵犯不能保持不被察觉。因此，侵犯尝试的工作量是很高的，这与很可能的失败相结合带来很高的威慑作用。

在一种扩展方案中，还可以存在附加地对所执行的事务检验其可信性的外部检查设备。因此例如可以将实际发生的流程与所保存的流程进行比较，以便因此可以确定偏差。还可以对事务进行验证、也就是检查：到达模块的请求是否与原来发出的请求一致，或者是否在通信路径上导致请求被操纵。

现在，这些有利的扩展方案带来了在分布式数据存储设备中所保存数据单元的安全性的显著提高，而用于布置数据存储设备的各个模块的工作量并没有显著提高。尤其是只有少数部件将被布置在高度安全的环境中，因为潜在的侵犯者即使利用对存储器单元的完整认识也不能从所读出的数据单元中获得可利用的信息。因此，可以鉴于对运行系统的性能要求尽可能最佳地布置本发明数据存储设备的模块，而不会由此导致安全性的损失。

在一种有利的扩展方案中，例如可以将访问控制14，17构造为使得它们可以自己执行鉴权的一部分。例如可由流程控制和/或鉴权设备向访问控制传送部分编码的结果，该访问控制随即用所保存的密钥10，24执行相同的部分编码并检验所接收到的结果。如果所传送的和所建立的结果一致，则批准访问，否则必要时触发报警。该扩展方案所具有的决定性优点是，不必通过通信连接来传输所保存的密钥，这是本发明数据存储设备的另一重要的安全特征。

图2示出访问分布式数据存储设备中的数据单元的可能的流程顺序图。使用者或数据处理设备28在处理例如控制指示的过程的进程中触发数据查询过程29。该数据查询过程被传送给流程控制30并由该流程控制30整理31为相应的子任务。子任务现在可以是，从存储器单元32中调用多个数据组或信息。为了可以访问相应的数据组，流程控制必须确定数据单元之间的相应关系，以便可以访问正确的存储器单元。现在，本发明数据存储设备的主要安全方案在于，可以如下地检验每个单个的部件：该部件对于当前启动的过程是否是允许的。为此由流程控制30在第一步骤中从分配表33中读出34所保存的明确的密钥。根据一种扩展方案，也可以如下地构造基于密钥的安全系统：不读出密钥本身，而是生成可由流程控制30将其与参考密钥进行比较的密钥结果。所读出的密钥或部分结果被相应地整理35并传送给鉴权设备36。该鉴权设备36现在执行37与所保存的密钥的比较检查，以便由此检查所呈现密钥的真实性。在成功的检查情况下，分配表33的真实性得到确保，并且流程控制30可以随即建立读取请求并从分配表33中读出38所需要的关系。

由于本发明分布式数据存储设备的另一安全特征在于，可以不直接访问存储器单元32，所以由流程控制30在下一个步骤中读出访问控制指示。为此在第一步骤中读出40、必要时整理工作指示39的明确的密钥，并且又向鉴权设备36传送以用于检查41。在成功的检查之后，生成相应的请求并且随后读出42工作指示。不能肯定地排除对存储器单元的直接的滥用访问，所以特别有利的是，在这样的访问时导致对于侵犯者没有意义的可用的信息收益。尤其是信息单元以不互相关联的形式并且必要时被附加编码地存在。

现在在这些方法步骤之后确保了，在数据单元之间的关系和访问指示是真实的。利用这些数据组使得流程控制33现在可以生成相应的存储器请求43，以便随即可以访问一个或多个存储器单元32并且读出44相应地要求的数据。所读出的数据组由流程控制33相应地整理45并且被返回传送给使用者或数据处理设备28，在使用者或数据处理设备28处这些数据组在必要时被相应地进一步处理、整理或显示46给使用者。

本发明方法必要时还可以构造另一安全功能，例如通过必须遵守特定的查询情形（Abfrageszenario）。在访问存储器单元或在向鉴权设备请求检查时，例如在第一步骤中，可以传送不完整的请求或看来错误的密钥，跟随其后的是正确格式化的请求。侵犯者可能会忽视该第一错误请求，并立即发送正确格式化的请求，由此可以识别滥用的访问尝试。

但是在一种扩展方案中也可以与请求一起传输时间戳，其中对于正确的查询情形来说必须遵守请求的特定时间顺序。在没有对时间关联的认识的情况下，侵犯者可能会在时间上不协调地发送请求，由此又可以识别操纵尝试。此外，时间差可以附加地具有伪随机的相关性，使得跟随的请求必须用符合期待的时间戳出现。在此关联中，不应将时间戳理解为绝对的时间说明，因为由于通信路径上的不同的运行时间可能导致不能估算的时间延迟。通过这些时间戳象征性地确定了为正确执行事务所必须遵守的时间相关性。因此例如发送模块可以确定，以何种时间顺序来发送请求。接收模块然后可以借助时间戳确定，顺序到达的请求是否与原来确定的顺序一致。因此，为了能够掩饰操纵尝试，潜在的侵犯者面对要精确地同步克服的许多障碍。

该图示出本方法的一种可能的构造方案，以便可以访问本发明分布式数据存储设备中的数据组。用于对各个模块或设备之间的通信进行编码的附加安全步骤在该图中没有示出。

根据一种有利的扩展方案，还可以在存储装置中保存第二电子密钥，由此使得分配表的访问控制或实施指示的访问控制可以检查流程控制的真实性。因此可以有利地对真实性进行双重检查，这显著提高了潜在侵犯者的工作量，并因此确保了数据安全性的显著上升以及尤其是数据的完好无损性。

与已知的数据存储设备相反，本发明的构造方案具有完全决定性的优点：关于有用数据的结构的信息与本来的有用数据分开，并且尤其是保存在分布式存储器单元中。通过必要时也可通过空间上和地点上的分开来形成的该分开，可以很显著地增加对所保存数据的滥用访问的困难，因为潜在侵犯者必须同时操纵多个设备，这在极高程度上是不可能的，因为面对系统管理者或面对自动的安全机制，几乎不能隐藏如此高的操纵工作量。尤其是必要时也将各个模块安放在高安全性的房间中，例如安放在金融机构的计算中心中，这显著增加了对这些模块访问的困难。尤其是通过分布式数据存储设备的本发明构造方案确保了，潜在的侵犯者即使在完全知道存储器单元时，也不能从中获得好处，因为该侵犯者缺少与另外的存储器单元的关系和相应的访问指示。

图3示例性示出本发明的分布式数据存储设备的安全区60，61的概念方案。由于检查和访问信息的有用数据单元的根据本发明的分开，与每个访问的鉴权相结合地，对于潜在侵犯者产生了多个障碍。为了图解，该图通过具有门、密钥和锁的类比示图来说明访问保护。

通过对部件的操纵，侵犯者51例如获得密钥52，以便以此打开门53。该门例如可以是分配表。由于该操纵，侵犯者获得n个密钥54并进入具有m个门的房间。为了可以进一步获得，侵犯者必须从现有的密钥54中选出合适的密钥56，以便可以打开其它的门。现在主要的是，侵犯者也必须知道相应的门57，因为在例如为了尝试多个门而进行的错误的访问尝试时，操纵会被立即识别出。如果侵犯者可以打开门57，例如实施指示，则该侵犯者获得另一密钥58，该密钥58又打开可能的门55中的一个。为了继续进展和获得对相关数据单元59的访问，侵犯者又必须打开许多可能的门中的特定的门60。

采用错误的密钥或对错误的门的访问尝试使得可以明确地识别操纵尝试，对此可以相应地做出反应。尤其是按照try-and-error(尝试和错误)原理的多次测试侵犯是不可能的，因为一次无效访问尝试已经可以触发报警消息。

实施例示出分布式数据存储设备的可能的实施变型方案，其中在此处要注明，本发明不局限于同一发明的这些专门示出的实施变型方案，而是更确切地说，各个实施变型方案的互相之间的不同组合也是可能的，并且该变型可能性根据技术交流准则通过本发明处于从事该技术领域的专业人员的能力范围中。因此所有可以设想的实施变型方案也由保护范围随同包括，这些实施变型方案通过组合所示出和说明的实施变型方案的各个细节而成为可能。

图2中示出分布式数据存储设备的另一和必要时本身独立的实施形式，其中如在上面的图中那样又对于相同部分采用相同的附图标记或组件名称。为了避免不必要的重复，指明或参考上面的图1中的详细说明。

为了条理性，最后指明，为了更好地理解分布式数据存储设备的构造，部分地不按尺寸比例和/或放大地和/或缩小地示出该分布式数据存储设备或该分布式数据存储设备的组件。

独立的本发明解决方案所基于的任务可从说明书中获悉。

特别地，在图中所展示的各个实施方案可形成独立的本发明解决方案的对象。与此有关的本发明的任务和解决方案可从这些图的详细说明中获悉。

附图标记清单

1   分布式数据存储设备           32  存储器单元

2   存储器单元                           33  分配表

3   通信网络                               34  读出密钥

4   流程控制                               35  整理

5   使用者                                   36  鉴权设备

6   访问检查设备                       37  检查真实性

7   访问控制模块                       38  读出关系  

8   存储器单元                           39  工作指示

9   鉴权设备                               40  读出密钥

10  第一电子密钥                      41  检查真实性

11  密钥存储器                          42  读出指示

12  电子密钥                              43  存储器请求

13  流程控制模块                      44  读出数据

14  访问控制                              45  数据整理

15  存储装置                              46  显示，进一步处理，整理

16  通信连接                              47  验证设备

17  访问控制                              48  分级流程

18  存储装置                              49  存储器单元

19  密钥生成模块                      50  数据单元

20  通信端子                              51  侵犯者

21  通信连接                              52  密钥

22  通信连接                              53  门

23  编码模块                              54  密钥

24  第二电子密钥                      55  门

25  密钥                                      56  密钥

26  分配表                                  57  门

27  实施指示                              58  密钥

28  使用者，数据处理设备      59  数据单元

29  数据查询过程                      60  第一安全区

30  流程控制                              61  第二安全区

31  整理请求                              62  检查模块

Claims (25)

1.一种分布式数据存储设备（1），包括：多个分别具有存储装置（15）和访问控制（14）的存储器单元（2）、具有存储装置（11）和验证设备（47）的鉴权设备（9）、具有流程控制模块（13）和访问检查设备（6）的流程控制（4），其中流程控制（4）与存储器单元（2）和鉴权设备（9）通信连接，其特征在于，在鉴权设备（9）的存储装置（11）中保存有至少一个明确的电子密钥（12），访问检查设备（6）具有访问控制模块（7）和存储器单元（8），在存储器单元（2）中保存有与鉴权设备（9）的所保存密钥（12）对应的明确的第一密钥（10），并且在存储器单元（8）的存储装置（18）中保存有分配表（26）。

2.根据权利要求1的分布式数据存储设备，其特征在于，访问检查设备（6）具有另一存储器单元（49），在该另一存储器单元（49）的存储装置（18）中保存有实施指示（27）。

3.根据权利要求1或2的分布式数据存储设备，其特征在于，存储器单元（2）和流程控制（4）通过通信连接（16）互相通信连接。

4.根据权利要求1至3之一的分布式数据存储设备，其特征在于，存储器单元（2）的访问控制（14）和流程控制（4）具有编码模块（23）。

5.根据权利要求1至4之一的分布式数据存储设备，其特征在于，在存储器单元（2）中保存有与鉴权设备（9）的所保存密钥（12）之一对应的明确的第二电子密钥（24）。

6.根据权利要求1至5之一的分布式数据存储设备，其特征在于，鉴权设备（9）具有用于生成电子密钥（10，12，24，25）的模块（19）。

7.根据权利要求1至6之一的分布式数据存储设备，其特征在于，由数据库系统形成存储器单元（2）的存储装置（15）和/或存储器单元（8，49）的存储装置（18）。

8.根据权利要求1至7之一的分布式数据存储设备，其特征在于，在存储器单元（8）的存储装置（18）中保存有与保存在鉴权设备（9）中的密钥（12）对应的明确的第一密钥（10）和/或第二密钥（24）。

9.根据权利要求2至8之一的分布式数据存储设备，其特征在于，在存储器单元（49）的存储装置（18）中保存有与保存在鉴权设备（9）中的密钥（12）对应的明确的第一密钥（10）和/或第二密钥（24）。

10.根据权利要求1至9之一的分布式数据存储设备，其特征在于，访问控制模块（7）与存储器单元（8）和/或存储器单元（49）通过第二通信连接（21）互相通信连接。

11.根据权利要求1至10之一的分布式数据存储设备，其特征在于，在流程控制模块（13）中保存有多个分级结构化的流程（48）。

12.根据权利要求1至11之一的分布式数据存储设备，其特征在于，在分配表（26）中保存有分级流程（48）与存储器单元（2）的联系。

13.根据权利要求1至12之一的分布式数据存储设备，其特征在于，鉴权设备（9）、流程控制（4）和存储器单元（2）构成第一安全区（60）。

14.根据权利要求1至13之一的分布式数据存储设备，其特征在于，流程控制（4）、分配表（26）和实施指示（27）构成第二安全区（61）。

15.一种用于在分布式数据存储设备、尤其是根据权利要求1至14之一的分布式数据存储设备中安全地存储数据的方法，其中数据存储设备（1）具有至少一个存储器单元（2），包括以下的步骤：生成明确的电子密钥（12）；在存储器单元（2）和鉴权设备（9）中保存密钥（10，12）；在存储器单元（8）中保存分配表（26）；在存储器单元（49）中保存实施指示（27）。

16.根据权利要求15的方法，其特征在于，在访问保存在存储器单元（2）的存储装置（15）中的数据单元（50）之前，由鉴权设备（9）检查密钥（10）。

17.根据权利要求15或16之一的方法，其特征在于，在使用者或数据处理设备（5）进行访问请求时，查询分配表（26）。

18.根据权利要求15至17之一的方法，其特征在于，在使用者或数据处理设备（5）进行访问请求时，查询实施指示（27）。

19.根据权利要求15至18之一的方法，其特征在于，在访问保存在存储器单元（8）的存储装置（18）中的分配表（26）之前，由鉴权设备（9）检查电子密钥（10）。

20.按照权利要求15至19之一的方法，其特征在于，在访问保存在存储器单元（49）的存储装置（18）中的实施指示（27）之前，由鉴权设备（9）检查电子密钥（10）。

21.根据权利要求15至20之一的方法，其特征在于，流程控制（4）用正确保存的密钥（25）来相对于鉴权设备（9）进行自我鉴权。

22.根据权利要求15至21之一的方法，其特征在于，在尤其是由于无效的密钥而出现错误鉴权的情况下，输出报警消息。

23.根据权利要求15至22之一的方法，其特征在于，存储器单元（2，8，49）的访问控制（14，17），在流程控制（4）请求的情况下，将所保存的第二电子密钥（24）与流程控制的密钥（25）进行比较。

24.根据权利要求15至23之一的方法，其特征在于，存储器单元（2，8，49）的访问控制（14，17），在流程控制（4）请求的情况下，由鉴权设备（9）检查所保存的第二电子密钥（24）。

25.根据权利要求15至24之一的方法，其特征在于，访问控制（14）借助于所传送的实施指示来访问数据单元（50）。

Images