CN102257480A - 用于交换数据的方法 - Google Patents

Abstract

本发明涉及一种用于使用网关来在至少两个服务器之间交换数据的方法。优选地，该方法被应用于卫生保健系统。每个服务器拥有唯一的联合标识符，该联合标识符标识了单个病人(P)。因此，服务器能够相互进行通信而不必展现病人的真实身份。通过针对每一对请求服务器(10)和拥有相关病人数据的提供服务器(12)创建会话假名，并且通过针对每个会话假名设计与请求服务器有关的入站会话标识符和与提供服务器有关的出站会话标识符，服务器可以相互传送匿名数据。将病人数据从至少一个提供服务器传输到请求服务器，并且在请求服务器中利用请求服务器针对病人(P)的标识符来替换所有的会话假名。

Description

用于交换数据的方法

技术领域

本发明涉及一种用于使用网关在至少两个服务器之间交换数据的方法。

背景技术

在许多应用中，当在网络中的不同服务器之间交换数据时，中央部分用作网关。例子包括个人健康记录(PHR)体系，例如，WebMD、DOSSIA、微软HealthVault，电子健康记录(EHR)体系，例如，荷兰的NICTIZ和加拿大的Infoway，以及例如用于电子商务的web服务。网关可以仅中继数据或者聚合数据，在典型的PHR或EHR应用中就是这种情况。网关的另一用途使其仅仅作为用于解析标识符的引用索引，而没有直接中继或聚合数据。

当涉及到所有类型的医疗记录时的特殊情况是当在不同的服务器之间交换信息时必须保持病人匿名和可联系。对于在不同服务器之间进行交换期间不希望识别某种数据的其它系统而言，当然也是这种情况。

典型地，这些应用通常通过采用比如SAML、自由联盟或WS-Federation之类的标准来使用被称为联合身份管理的概念。这意味着每个部分针对诸如病人或顾客的同一对象而言拥有其自己的标识符以及其它的身份信息。在中间网关服务提供者处，这些标识符是在逻辑上链接——联合的，其中，中间网关服务提供者可以是EHR、电子商务网关等。

身份联合框架(ID-FF)是由自由联盟计划建立的标准，其是为了经由web服务来在多个企业之间支持身份联合。自由联盟联合框架体系提供了基于假名的解决方案，该解决方案使用假名作为关键字来在企业之间链接联合账户，以使得一个企业不需要知道在另一个企业处的用户的实际标识符。这以及对假名的支持使得能够构造灵活的联合，其能够遵守隐私法律法规以及单独用户的隐私决定。

在自由联盟解决方案中，网关通常具有身份管理员的角色，而请求服务器和提供服务器具有服务移交角色。

http://www.connectingforhealth.org/resources/final_phwg_report1.pdf处的文档“Connecting for health”描述了典型的PHR应用，其中，中间网关有助于收集和组织PHR中的个人健康信息。该体系允许出入PHR的数据交换。存在两种主要的该模型的变体。

在独立卖方集合模型中，发起方建立中央数据库，通过该数据库来从数据源(医生办公室、药房、实验室等)向PHR发送PHR数据，反之亦然。PHR报告可以是按照要求或者以特定间隔自动地从中央数据库生成的，以用于由单独的用户使用，以及在许可的情况下用于由提供者和其它的信任实体(例如，儿童的学校、药房、专家等)使用。该模型使得易于代表个人来从各种源收集数据。由于人们将不必自己建立和维护PHR，因此该模型可能更易于人们使用。然而，存在对个人健康信息的安全性以及使用户能够控制所有信息发布的技术的担忧。关于人们对于第三方发起的系统的信任和接受还将需要额外的研究。提供者将需要具有使用社团范围的数据标准或通过由卖方操作的“转换”协议来与系统对接的能力。

对独立卖方集合模型的一种替换是建立标识关于个人的信息的存储库，而非集中式个人健康信息数据库，并且建立一种系统，以将标识符映射到社团中所有相关联的数据源。在该模型中，报告是按照要求或者以特定间隔生成的，但是链接的数据不保留在系统中。该模型在易于顾客接入和使用方面具有相似的优点。因为数据是以其当前存在的任何形式而被获取的，所以提供者系统需求被最小化。在该分布式数据环境中应用临床决策支持工具和实时分析协议会是麻烦的，并且对纵向数据的编辑需要每个数据提供者遵守共同的归档协议。

关于已知的匿名体系的问题是其导致了网关上的高处理负荷，该网关必须重复地解析和替换假名。因为大多数EHR解决方案是基于例如HL7的标准的，其中，HL7使用XML用于数据互换，所以这是繁重的任务，尤其是假名位于XML文档中的任意位置的情况。web服务中的大部分处理时间花费在对XML结构进行解码和处理上。

因此，一种允许增加效率并保持隐私性的用于交换数据的改进方法将是有利的。

发明内容

因此，本发明优选地试图逐一地或者以任意组合来缓和、减轻或消除本领域上述缺陷和不利中的一个或多个，并且通过提供一种根据所附专利权利要求的用于交换数据的方法来至少解决上述问题。

根据一些实施例的一个目标是提供一种用于在至少两个服务器之间交换数据同时保持隐私性的有效方法。

通过一种用于使用网关来在至少两个服务器之间交换数据的方法来解决这个问题，其中，每个服务器拥有唯一的联合标识符，该联合标识符标识单个病人。每个服务器可以用作请求服务器或者提供服务器。该方法包括以下步骤：从所述请求服务器向所述网关发送请求所述病人的数据的原始请求；使用所述网关解析联合身份；由所述网关针对每一对请求服务器和拥有相关病人数据的提供服务器创建会话假名；针对每个会话假名，设计与所述请求服务器有关的入站标识符排列和与所述提供服务器有关的出站标识符排列；分别将所述标识符排列中继到每个服务器；由每个提供服务器利用所述出站标识符排列来替换所述病人的标识符；将所述病人数据从所述至少一个提供服务器传输到所述请求服务器；在所述请求服务器中利用所述请求服务器针对所述病人的所述标识符来替换所有的会话假名。

附图说明

在参照附图的情况下，根据对本发明实施例的下列描述，本发明能够实现的这些和其它方面、特征和优点将是明白和清楚的，在附图中：

图1示出了不同EMR系统的用户如何经由网关服务器相互连接，

图2示出了根据本发明的方法的第一实施例的不同步骤，

图3示出了根据本发明的方法的第二实施例的不同步骤，

图4示出了根据本发明的方法的第三实施例的不同步骤，其中，请求服务器使用URL来将请求在带外重新发送到提供服务器。

具体实施方式

图1示出了由用户组成的EHR系统，这些用户具有经由网关服务器2而相互连接的单独的电子医疗记录(EMR)系统。图1中的用户是全科医师(GP)4、药房6以及专科医院8。图1还示出了病人P，其医疗记录可能存储在一些或所有的EMR系统中。对于所有的用户，EMR系统可能是相同的类型，但是通常是不同的类型。无论是哪种情况，每个EMR系统针对病人P具有其自己的标识符。网关服务器2能够通过保存所有现有的联合标识符的记录来解析所有现有的联合标识符。

现在将参照图2来详细描述方法的第一实施例。将结合电子健康记录(EHR)系统来描述该实施例。然而，该实施例可以用于其中每个服务器针对同一单个病人拥有唯一的联合标识符的任意的服务器-网关系统中。

EHR是指数字格式的一个单独个人的一份医疗记录。EHR系统协调对单独的EHR的计算机辅助存储和获取。EHR是由来自许多提供者的电子医疗记录(EMR)构成的。可以以这种方式来存储和访问各种类型的与卫生保健有关的信息。

例如，当末端用户请求关于病人P的某些数据时，其中，末端用户可以是全科医师(GP)、牙科医生、药剂师或者甚至是病人P，本地EMR服务器构成请求，该请求包括病人P的本地联合标识符。该请求可以额外地包括需要的数据的期望类型的说明。牙科医生可能对牙科记录比对免疫记录更加感兴趣。应当注意，即使该请求可以包含对某些数据的请求，但是由于访问控制设置，因此这并不是假定该数据是能够被访问的。该请求还可以包括可应用于实现该方法的其它适当的参数。

根据该方法的一个实施例，本地EMR服务器被称为并且用作请求服务器，其在图2中表示为10。图2还示出了网关2和三个提供服务器12，该三个提供服务器12对应于拥有被请求的数据的不同提供者的EMR系统。

在另一个实施例中，请求服务器可以改为是连接到提供服务器的内部PC。

无论是哪种方式，如箭头100所示，将请求发送到EHR系统网关2，该网关2解析与病人P有关的联合身份，并且参见箭头102，针对每一对请求服务器10和拥有相关病人数据的提供服务器12创建一个会话假名。

此后，针对每一个会话假名，网关2针对与请求服务器有关的病人P设计入站标识符排列，并且针对与提供服务器有关的病人P设计出站标识符排列。因此，每个会话假名与请求服务器的病人标识符成对并被包括在针对请求服务器的入站标识符排列中，并且与提供服务器的病人标识符成对并被包括在针对提供服务器的出站标识符排列中。然后，针对每个提供服务器12，网关2准备包括各自的会话假名的出站请求。还应当注意，利用会话假名来替换请求服务器的原始标识符。此外，网关2附加上各自的出站标识符排列，并且如箭头104，分别将每个请求中继到每个提供服务器12。

当接收到请求时，提供服务器12使用所附加的出站标识符排列来从请求中提取会话假名，并且选择提供服务器12的对应的标识符。此外，提供服务器获取所请求的数据，并且如箭头106，在响应中将所请求的数据发送回网关2，其中，该响应包括对会话假名的引用，而不包括对提供服务器12的标识符的任何引用。

网关2等待由原始请求引起的所有响应数据，并且如箭头108所示，将其聚合到一个响应中。此后，网关2将入站标识符排列附加到该响应中，并且参见箭头110，将该响应中继回请求服务器10。从而，在处理病人P的EMR之前，例如，在将其显示给最初请求该数据的末端用户之前，参见箭头112，请求服务器10利用原始标识符来替换所有的会话假名。

在该实施例的变体中，网关2将入站标识符排列附加到响应中，并且将该响应直接中继到请求服务器2。然后，请求服务器2代替网关2来进行到一个响应的聚合。该实施例从网关2移出了更多的处理任务，并且还提供了体系灵活性的优点。例如，可以提供功能，该功能评估聚合并发送一个大的数据记录相比于将入站标识符排列附加至许多小的数据记录并发送该许多小的数据记录而言的处理复杂度。

在图3中所示的该方法的第二实施例中，已经在请求服务器10中执行了第一会话假名的创建以及其相应的入站标识符排列的设计。如箭头200所示，所中继的请求包括对会话假名的引用而非对病人P的本地联合标识符的引用。入站标识符排列被附加至该请求。

参见箭头202，EHR系统网关2解析入站标识符排列。所述解析包括从入站标识符排列中提取病人P在请求服务器上的病人标识符，查找提供服务器的相应的病人标识符，并且将后者的标识符与会话假名相关联，其中，会话假名也是从入站标识符排列中提取出的。如果有一个以上的提供服务器12，则网关2针对每个额外的提供服务器12创建一个额外的唯一会话假名。参见箭头204，在将请求中继到每个提供服务器12之前，网关2使用提供服务器的病人标识符和会话假名对来针对每个提供服务器12设计一个出站标识符排列，并且将该出站标识符排列附加至其各自的请求。

当接收到请求时，每个提供服务器12使用所附加的会话标识符来解析提供服务器12中病人P的标识符。此外，提供服务器12获取所请求的数据并且在包括会话假名的响应中将所请求的数据发送到网关2，其中利用各自的会话假名来替换所有出现的提供服务器的病人标识符。

网关2等待由原始请求引起的所有响应数据并且将其聚合到一个响应中。然后，网关2将该响应中继到请求服务器10。从而，在处理病人P的EMR之前，例如，在将其显示给最初请求该数据的末端用户之前，请求服务器10利用原始标识符来替换所有的会话假名。

在该实施例的一个版本中，网关将入站标识符排列附加到响应中，并且参见箭头206，将响应直接中继到请求服务器12。然后，请求服务器12进行聚合。

在图4中所示的第三实施例中，参见箭头300，请求服务器将请求发送到网关2，网关2解析入站联合身份，并且针对每个提供服务器12创建一个会话假名，并且对提供服务器12中病人P的标识符进行加密，使得其仅能由其各自的提供服务器12解密。此后，参见箭头302，网关2针对每个提供服务器12返回一个中间响应，该中间响应包括会话假名、请求服务器10自身的标识符、提供服务器12上病人P的经过加密的标识符以及每个提供服务器12的地址，例如，统一资源定位符(URL)。

当接收到中间响应时，参见箭头304，请求服务器10分别使用诸如URL的地址来将请求在带外重新发送到每个提供服务器12。该请求包括会话假名和提供服务器上病人P的经过加密的标识符。

当接收到带外请求时，提供服务器对经过加密的标识符进行解密，获取EMR，并且将其作为响应来直接发送回请求服务器10，其中该响应具有对会话假名的引用。

从而，在处理病人P的EMR之前，例如，在将其显示给最初请求该数据的末端用户之前，请求服务器10利用原始标识符来替换所有的会话假名，并且将所有的EMR聚合到一个EMR中。

该实施例解决了网关数据瓶颈问题，并且允许从请求服务器10到提供服务器12的直接数据流，而不需经由网关2发送数据，同时仍然保持了隐私性。

应当理解，上面被描述为请求服务器和提供服务器的不同服务器可以交换功能。因此，取决于环境，在一种情况中，服务器可以用作请求服务器，而在另一种情况中，其可以用作提供服务器。还应当理解，某些服务器可以具有网关功能，该功能使得它们能够用作网关。一种典型的服务器是EHR服务器。

此外，应当理解，尽管针对具有某些特性的优选实施例描述了本发明，但是对本领域技术人员而言显而易见的是，一个实施例中的单独特征可以与其它实施例或者其它实施例中的其它单独特征组合。

因此，尽管上面参照具体实施例描述了本发明，但是本发明不旨在局限于本文阐述的具体形式。而是，本发明仅受所附权利要求的限定，并且除了上面具体实施例之外的其它实施例可能同样地在所附权利要求的范围内。

在权利要求中，术语“包括”不排除存在其它要素或步骤。此外，尽管是单独列出的，但是多个模块、要素或方法步骤可以由例如单个单元或处理器来实现。此外，尽管单独的特征可能包括在不同的权利要求中，但是这些特征可以被有利地组合，并且包括在不同的权利要求中并不意味着特征的组合是不可行的和/或不利的。此外，单数引用不排除多数。术语“一个”、“一种”、“第一”、“第二”等不排除多个。权利要求中的参考标记仅仅是作为清楚的例子来提供的，而不应被视为以任何形式限制权利要求的范围。

Claims (9)

1.一种用于使用网关(2)在至少两个服务器之间交换数据的方法，其中，每个服务器拥有唯一的联合标识符并且可以用作请求服务器(10)或者提供服务器(12)，其中所述联合标识符标识单个病人(P)，所述方法包括以下步骤：

从所述请求服务器向所述网关发送请求所述病人的数据的原始请求；

使用所述网关解析与所述病人有关的联合身份；

由所述网关针对每一对请求服务器和拥有相关病人数据的提供服务器创建会话假名；

针对每个会话假名，设计与所述请求服务器有关的入站标识符排列和与所述提供服务器有关的出站标识符排列；

分别将所述标识符排列中继到每个服务器；

由每个提供服务器利用所述会话假名来替换所述病人(P)的所述标识符；

将所述病人数据从所述至少一个提供服务器传输到所述请求服务器；以及

由所述请求服务器利用所述请求服务器的针对所述病人(P)的所述标识符来替换所有的会话假名。

2.根据权利要求1所述的用于交换数据的方法，其中，所述原始请求包括所述病人的第一联合标识符。

3.根据权利要求1或2所述的用于交换数据的方法，其中，所述原始请求包括期望的病人数据类型的说明。

4.根据权利要求1至3中任意一项所述的用于交换数据的方法，其中，所述会话假名的创建是由所述请求服务器进行的，并且，对所述标识符排列的所述中继是去往所述提供服务器和所述网关的。

5.根据前述权利要求中的任意一项所述的用于交换数据的方法，其中，所述中继步骤还包括以下步骤：

针对每个提供服务器准备出站请求；

将所述出站标识符排列附加到所述请求；以及

将所述请求中继到其各自的提供服务器。

6.根据权利要求3所述的用于交换数据的方法，其中，所述解析和中继步骤还包括以下步骤：

以仅能够分别被所述网关和每个提供服务器解码的方式，对所述提供服务器的所述联合标识符进行加密；

准备具有对所述会话假名、所述请求服务器标识符、所述加密的标识符和每个提供服务器的地址的引用的出站响应；以及

将所述响应发送到所述请求服务器。

7.根据权利要求6所述的用于交换数据的方法，其中，当接收到第一响应时，所述请求服务器将针对病人数据的所述请求在带外直接地重新发送到各自的提供服务器，其中所述请求具有对各自的会话假名、所述请求服务器标识符和所述加密的标识符的引用。

8.根据权利要求7所述的用于交换数据的方法，其中，当接收到请求时，所述提供服务器经由所述加密的标识符来解析所述标识符，获取所请求的病人数据，并且在具有对所述会话假名的引用的响应中发送所获取的所请求的病人数据。

9.根据权利要求1所述的用于交换数据的方法，其中，所述请求服务器和所述提供服务器是由电子医疗记录系统构成的。

Images