CN103679048A - 用于多系统全景中的数据保密和销毁的系统和方法 - Google Patents

Abstract

本发明提供了一种用于在多系统全景中管理个人数据访问的方法，包括：在多系统全景的第一系统接收与特定业务伙伴相关联的个人数据记录的目的结束检查结果；如果目的结束检查结果表明保留开始时间，则识别执行用于特定业务伙伴的操作的、多系统全景的其它系统；向识别的系统中的每一个传送请求，以便为与特定业务伙伴相关联的本地个人数据记录同步执行目的结束检查；从识别的系统中的每一个接收目的结束检查结果。该方法还可以包括发起针对特定业务伙伴的全局阻挡过程。还公开了用于实施该方法的系统以及非瞬时性计算机可读介质。

Description

用于多系统全景中的数据保密和销毁的系统和方法

技术领域

本发明涉及用于多系统全景(multi-system landscape)中的数据保密和销毁的系统和方法。

背景技术

公司必须遵守用于个人数据的数据保密法。数据保密的核心要求是仅仅将个人数据用于特定的业务目的并且尽快将其擦除。由于关于法定保留时段的规定，个人数据常常不能够被擦除。当法定保留时段（legal retention period）应用时，所保留的个人数据不得不被阻挡（block）以便限制对这些数据的访问。在保留时段之后，个人数据可以被删除。

为了遵守数据保密法，必须执行用于在驻留时间（residence time）之后阻挡对于个人数据的访问的过程，以及在保留时间之后从数据库和任何归档系统(archiving system)执行擦除。关于业务伙伴与企业应用组件以及多系统方面之间的依赖的要求也必须遵循。

发明内容

根据本发明的一个方面，提供一种1.一种用于在多系统计算机全景中管理个人数据访问的计算机实施方法，该方法包括：在多系统计算机全景的第一处理器控制的系统处接收与特定业务伙伴相关联的个人数据记录的目的结束检查结果，其中所述目的结束检查结果来自多系统计算机全景的第二处理器控制的系统并且所述个人数据记录位于与至少第二处理器控制的系统通信的数据存储库中；如果所述目的结束检查结果指示个人数据记录的保留开始时间，则识别执行用于特定业务伙伴的操作的、多系统计算机全景的其它处理器控制的系统；向识别出的其它处理器控制的系统中的每一个传送相应请求，以便对各个识别出的其它处理器控制的系统本地的个人数据记录同步执行目的结束检查，其中本地个人数据记录与特定业务伙伴相关联；以及从识别出的其它处理器控制的系统中的每一个接收相应目的结束检查结果。

根据本发明的一个方面，提供一种其上存储了指令的非瞬时性计算机可读介质，当所述指令被处理器执行时，引起处理器执行以下方法：在多系统计算机全景的第一处理器控制的系统接收与特定业务伙伴相关联的个人数据记录的目的结束检查结果，其中所述目的结束检查结果来自多系统计算机全景的第二处理器控制的系统并且所述个人数据记录位于与至少第二处理器控制的系统通信的数据存储中；如果所述目的结束检查结果表明个人数据记录的保留开始时间，则识别执行用于特定业务伙伴的操作的、多系统计算机全景的其它处理器控制的系统；向识别出的其它处理器控制的系统中的每一个传送各个请求，以便为各个识别出的其它处理器控制的系统本地的个人数据记录同步执行目的结束检查，其中本地个人数据记录与特定业务伙伴相关联；以及从识别出的其它处理器控制的系统中的每一个接收各个目的结束检查结果。

根据本发明的一个方面，提供一种多系统计算机全景，包括：经由电子通信网络远程通信的两个或更多个处理器控制的系统；所述处理器控制的系统中的至少一个包括控制处理器，该控制处理器被配置为实施业务伙伴数据管理组件、信息生命周期管理组件、和应用组件中的至少一个；所述处理器控制的系统中的至少一个与耦合至电子通信网络的数据存储库通信；所述处理器控制的系统之一中的控制处理器被配置为充当主系统，其中主系统控制处理器被配置为：识别包括访问特定业务伙伴的个人数据的应用的其它处理器控制的系统，向识别出的其它处理器控制的系统传送相应的同步请求以便确定所述应用是否已经到达了特定业务伙伴的目的结束，以及如果其它处理器控制的系统中的每一个指示特定业务伙伴的保留开始时间，则执行全局的阻挡过程。

附图说明

图1描绘了根据一些实施例的时序图；

图2描绘了根据一些实施例的系统；

图3描绘了根据一些实施例的过程；

图4描绘了根据一些实施例的过程；以及

图5描绘了根据一些实施例的数据模型结构。

具体实施方式

所呈现的是实施用于企业多系统计算机全景上的个人数据的销毁的法定要求的系统和方法。过程用于在驻留时间过去（elapse）之后对业务伙伴记录的阻挡，并且用于在保留时间期满之后对企业数据库和档案中的业务伙伴记录的擦除。根据实施例，这些过程被同步或异步地进行以便最小化系统开销，如下所述。

可以存在使守法的公司对个人数据进行特殊对待的法定要求。这些法定要求可以允许公司将个人数据仅仅用于特定的业务目的（例如，订单履行），并且在所述个人数据不再需要用于特定目的时（例如，两年后保修证书(warranty)到期）尽快擦除个人数据。

然而，在保密法与公司必须遵循的其它法律、法典、和/或法规之间可能存在冲突的规定。例如，在许多管辖区域中，由于法定保留时段（例如，为了审计目的将发票文档保留10年）形式的规定，个人数据不应该被擦除。当存在应用在个人数据上的冲突的法定保留时段时，实施下述的在业务目的期满时阻挡对个人数据的访问的的系统和方法。“阻挡”是指定期限制对个人数据的访问并且防止个人数据使用。仅仅少数享有特权的用户能够进一步访问——诸如数据保密（data privacy）官员或者审计员。

这些法定要求的融合(amalgamation)能够使得公司对个人数据的收集和使用处于某些界限内，例如：

1.仅仅当公司需要个人数据来完成清楚的业务目的（例如，订单或合同的履行，客户已经明确地同意接收简讯，等等）时，公司才能够存储和使用该个人数据。

2.严格的保密法可能要求公司不再需要完成业务目时尽快擦除个人数据。擦除被定义为使得所存储的个人数据不可识别并且不可读的过程。在擦除个人数据之后，既不可能直接识别特定的人，也不可能使用标识特定的人的其它数据来识别特定的人。出于破坏信息的目的对个人数据的擦除也被称为销毁或删除。在数据保密的上下文中，术语“擦除”、“销毁”、“破坏”、和“删除”被用作同义术语。遵照保密法，如果不存在要求对个人数据进行存储和使用的目的，或者如果个人数据的存储不合格，则个人数据应当被擦除。

3.如果擦除不是符合保密法的选项（例如，由于法定保留时段要求），则公司应该阻挡个人数据，直到法定保留时段的结束。阻挡意味着限制对存储的个人数据的访问和使用。为了实施守法的阻挡，法律和法规可以要求公司：

a）将对个人数据的访问限制在仅仅针对授权的员工；

b）在阻挡之后禁止对个人数据的处理；

c）仅仅在例外的情况下允许对个人数据解除阻挡。

在这样的法律背景下，具体实现的系统和方法为企业提供数据保密信息生命周期管理工具，以便企业遵守管理信息的保留的各种法律和规定。信息生命周期管理是指沿着公司的业务数据的整个生命周期——从其在应用系统中被创建的时间、经过其在存储系统中的长期存储、直到在其生命周期的结束处的最终销毁——管理公司的业务数据。

业务伙伴（business partner，BP）数据管理组件能够管理业务过程与应用中相关的业务伙伴数据和关系数据。在系统内，业务伙伴是由表示人、组织、或业务伙伴组的软件对象表示。BP数据管理组件能够包括目的结束（end-of-purpose）接口组件，目的结束接口组件对应用是否已经到达了其对于与特定业务伙伴相关联的个人数据记录的目的结束执行检验。

BP数据管理组件能够与存储与业务伙伴相关联的记录的数据库通信。这些业务伙伴记录可以包括数据字段，其包含姓名、地址（例如，办公室、家庭）、角色（例如，联系人、雇员、头衔）、个人情况（例如，婚姻状况、监护人）、业务过程中的角色（例如，潜在客户（prospect）、客户、厂商）、通信标识符（例如，电话号码、传真号码、电子邮件地址）、以及可能还有能够被用来识别人的其它标识符。根据数据保密法，这些信息能够被视为个人数据。

图1描绘了根据实施例的示出用于业务数据的信息生命周期100的时序图。信息生命周期100能够包括数据使用时段110、包括驻留时段130和阻挡时段140的保留时段120。图1中示出了这些时段的相互关系。数据使用时段从BP数据记录112的创建（例如，在BP数据管理组件中）开始。接下来，报价（offer）114或者其它业务目的可以被扩展到业务伙伴。可能存在保留个人数据直到业务目的到期的正当理由。如果报价被接受并且订单116被订立，个人数据仍然能够保留。一旦支付118被接收到，则保留个人数据的合法性(validity)将到期。如可以从图1中看到的，数据使用时段110可以从BP数据记录的创建开始，并且可以在业务目的结束时终止。

在一些情况下数据使用时段能够在BP数据记录的创建之前开始。例如，在开始市场活动之前，针对潜在客户的联系人列表能够被设法取得（procure）。可以存在保留联系人信息以供潜在客户表现出兴趣的有限时间。一旦兴趣被表明，则可以创建BP记录。

用于业务伙伴数据记录的保留时段120是在数据使用时段期满之后一直到该业务伙伴数据应该从数据库或档案中被擦除时的时段。驻留时段130可以是在目的结束日期能够被确定并且业务伙伴数据能够在数据库中被阻挡或被归档（即，阻挡时段140的开始）之前过去的时段。在驻留时段期间，业务伙伴数据能够保留在数据库中，数据能够被改变，并且新的业务能够被创建。

图1也描绘了其它的信息生命周期事件，诸如能够在数据使用时段110的结束时开始的保留开始时间（SoRT）、能够在驻留时段130期满时出现的目的结束时间（EoP）、和能够在阻挡时段140的结束时出现的保留结束时间（EoRT）。

BP数据记录和企业应用之间存在依赖。业务伙伴数据能够被存储在与诸如业务伙伴、销售订单、物品、合同、购买订单、材料、支付、银行账户、贷款合同等等的业务对象相关联的数据库中。业务对象能够表示良好定义的和概括的业务内容的具体视图（specific view）。业务对象可以被分类为例如主数据(诸如，业务伙伴、商品(article)或者材料(material))和事务应用数据对象(transactional application data object)。业务对象能够“使用”其它业务对象。例如，销售订单能够涉及作为客户的业务伙伴，销售订单项目能够涉及商品，银行账户能够涉及作为账户持有人的业务伙伴，而支付订单能够涉及接收方账户。

当涉及到对到期的个人数据的阻挡、归档、和销毁时，需要考虑业务对象与使用记录的应用之间的依赖。例如，只有在使用该对象的应用由于例如与真实世界的业务伙伴的业务活动完成并且驻留时段130已经结束而不再需要业务伙伴的记录时，业务伙伴对象才能被阻挡或归档。

确定对个人数据的访问状态能够在数据使用时段110期间进行，其中进行了检查以确定是否仍然存在用于访问数据的业务目的。这个检查能够由每个应用做出，并且该确定可以是基于该应用对于访问个人数据的特定需要。如果存在业务目的，可以进行周期性检查以确定是否存在进行正当(valid)访问的持续的理由（continuing reason）。

如果不存在让应用访问个人数据的正当业务目的，则至少针对该应用阻挡对个人数据的访问。所述阻挡能够从以应用为中心、并且基于司法要求（jurisdictional requirement）或者甚至客户偏好的各种参数确定。所述阻挡能够通过设定与BP对象或者数据记录相关联的业务完成标记来实现。在驻留时段130期间，可以向具有业务目的的一般业务人员提供对包含保密数据的BP记录的访问。在阻挡时段140期间，对BP记录的访问限于诸如公司数据保密官员或者IT员工（如果需要修正对被错误地阻挡的记录的访问）的授权人员。

进行检查以确定保留时段是否应用于这个数据记录。基于各种参数的信息生命周期管理规则能够被利用来做出这个确定。如果保留时段应用，则进行周期性的检查以确定保留时段是否已经结束。如果保留时段已经期满，则破坏数据。

如果没有可应用的保留时段，则破坏数据。数据销毁能够遵循可以根据数据的性质、不再具有对于这个数据记录的业务目的的应用、和其上存储了该数据的介质的性质而定制的预定方法。

企业能够建立多个系统以便部署支持它们的业务过程的应用。例如，CRM（客户关系管理）实例能够被用来支持诸如市场活动和新业务创始的销售&服务领域中的过程，而ERP（企业资源规划）实例能够被用来运行销售订单执行、材料管理、和会计(accounting)。特定的工业可能具有对进一步的应用和系统的使用。在银行业，例如，可以根据诸如账户管理（现金和储蓄账户）或者贷款管理（客户贷款、抵押贷款、商业贷款）的业务种类（lines ofbusiness）来建立系统。

企业的多系统全景上运行的各种实例可以具有访问相同的BP软件对象和数据记录的需要。在多系统全景场景中，业务伙伴数据可以经由两个系统之间的复制来同步。这些同步的业务伙伴数据能够被系统一和系统二中部署的应用使用。具体实现的系统和方法通过考虑各种应用和系统进行的重叠的数据访问来管理多系统全景中的个人数据的信息生命周期。根据一个实施例，仅仅由一个系统组成的系统全景被视为特定的情况，其被更常见的多系统全景的情况涵盖。

根据一个或多个实施例的系统和方法能够实施根据下面的数据保密场景中的一个或多个的算法：

（1）在驻留时间之后阻挡对业务伙伴数据的访问——在驻留时间之后，数据管理器以仅仅少数享有特权的用户能够访问业务伙伴数据的方式阻挡该数据。这些享有特权的用户可以包括企业的数据保密官员或者IT人员。

（2）在保留时间之后从数据库擦除业务伙伴数据——在保留时间之后，数据管理器擦除数据库中的业务伙伴数据。

（3）在保留时间之后擦除归档的业务伙伴数据——在保留时间之后，数据管理器擦除归档存储库中的归档的业务伙伴数据。

（4）应用于多系统全景的项目（1）-（3）的情况。

图2描绘了根据一个或多个实施例的用于实施个人数据销毁场景的系统200。系统200可以包括中央控制器或中央处理器单元210、其可以是处理单元、现场可编程门阵列、分立模拟电路、数字电路、专用集成电路、数字信号处理器、精简指令集计算机处理器等等。处理器单元210能够经由电子通信网络212与系统200的其它组件相互连接和通信。在实施例中，处理器单元210可以位于远端，例如，作为远程服务器。电子通信网络212可以是因特网、局域网、广域网、虚拟专用网络、无线区域网络、或者电子通信网络的任何其它适合的配置。

系统200可以包括连接至处理器单元210的内部存储器。为了方便，内部存储器表示易失性存储器件和非易失性存储器件全部两个。外部存储器可以经由输入/输出（I/O）端口连接至处理器单元210。处理器单元210可以访问内部存储器中存储的或者外部存储器中存储的计算机应用程序。所述计算机应用程序可以包括代码或可执行指令，当所述代码或可执行指令被执行时指令或引起处理器单元210执行这里讨论的方法，诸如，具体实现这里讨论的个人数据保留或销毁场景的一个或多个方法。专用硬件、软件模块、和/或固件能够实施系统200的组件。

根据一些实施例，系统200可以包括多个企业计算系统200、260以便形成多系统全景。企业多系统全景能够包括不止图2中描绘的两个企业计算系统。多系统计算全景中的每一个能够包括控制它们各自的计算系统并且与多系统全景中的其它企业计算系统通信的控制处理器225、265。在这样的实施例中，计算系统220、260中的一个可以被指定为主系统，而其它系统可以被指定为客户端系统。用于所指定的主系统的控制处理器能够充当用于这里描述的数据保密和销毁场景的系统控制器。在存在指定的主系统的情况下，这里描述的处理器单元210的属性应该被理解为处于主系统的控制处理器的能力范围内。

企业计算系统220、260中的每一个能够包括信息生命周期管理（ILM）组件230、270，业务伙伴数据管理组件240、280，以及一个或多个应用组件250-25n、290-29m。

控制处理器225、265以及系统企业计算系统220、260的其它组件能够耦合至档案存储库228、268。档案存储库中的每一个可以是分开的数据存储库，或者可以实施为单一数据存储库的部分。

数据库215能够包含保留规则、驻留规则、和基于数据保密要求的规则变体的定义。在一个实施例中，归档存储和数据库215可以实施在相同的物理数据存储中。当在具有不同的数据保密要求的多个管辖区域中开展业务时，所述规则变体能够被用来分析的业务伙伴记录。规则变体能够与保留规则和驻留规则一起被应用在相关的业务伙伴记录，以便计算驻留时段或保留时段。因此，在一个实施例中，保留规则和驻留规则的应用或实施方式可以包括规则变体。

ILM组件230、270能够支持保留规则和驻留规则的定义和确认（validation）。ILM组件提供用于业务对象的归档和擦除的基本过程。归档对象组件232、272能够实施将ILM对象归档的过程，ILM对象可以是与归档和擦除相关的有关业务数据的逻辑对象。阻挡组件234、274能够通过检查EoP来准备数据的阻挡，并且查看（review）阻挡请求和解除阻挡请求。归档对象组件232、272能够将信息生命周期管理对象归档并且包括报告组件，所述报告组件能够处理归档/保存对象请求并且产生关于数据是否将被写入档案存储库228、268中的报告。报告能够包括阻挡和/或解除阻挡请求是否能够被满足。保留管理组件236、276能够实施用于应用组件250-25n、290-29m中的一个或多个的驻留规则和保留时间规则的定制。保留管理组件能够计算个人数据是否已经到达驻留结束时间或者被阻挡的数据是否已经到达保留结束时间（EoRT）。

业务伙伴数据管理组件240、280能够支持一个或多个业务伙伴的个人数据和关系数据的状态管理。对于每个BP，可以提供EoP接口组件。EoP接口组件能够执行目的结束检查以便检验特定的一组个人数据是否已经到达EoP。业务伙伴数据管理组件240、280能够提供注册定制组件，其能够被实施以供每个BP创建用于访问数据库（或档案）中的所述特定BP的记录的每个应用的定制接口。这些定制的接口基于所述特定应用的数据的使用的前景说明对于所述BP而言驻留时间130是正在进行还是已经期满。这些定制的接口能够返回保留开始时间（SoRT）日期以供稍后的保留时间计算。

业务伙伴数据管理组件240、280也能够提供用于与业务伙伴相关联的数据库记录的归档事件和删除事件。在业务伙伴的生命周期中，这些事件表示不同的时间点并且具有下面的语义：ARCH1=检查数据以获得依赖性（dependency）；ARCH2=将业务伙伴头数据归档；ARCH3=将业务伙伴依赖数据（business partner dependent data）归档；ARCH4=删除数据库中的头数据和依赖数据；以及DELE1=检查业务伙伴是否能够被删除。

在其过程中使用业务伙伴数据的应用组件由于应用的使用和对BP数据使用的依赖而支持和实施业务伙伴数据销毁场景。例如，购买订单或者银行账户数据能够依赖于业务伙伴。目的结束检查和保留开始时间的确定可以是特定于应用的，并且可以随应用而变化。因此，目的结束检查被定制为特定于每个应用组件。所述检查能够解决为了已经在驻留时间之后被阻挡的业务伙伴个人数据而实施的访问限制。所述检查也能够实施上述归档事件和删除事件。

ILM组件、业务伙伴管理组件、和应用组件实施以上列出的四种数据保密场景中的一个或多个。

根据实施例，系统和方法在多系统全景中的支持数据销毁场景。业务伙伴数据能够被维护在业务伙伴主系统中，并且被复制到客户端系统。在对客户端系统做出检查之前，即使主系统中驻留的全部应用都不具有业务目的，也不能够在主系统中擦除业务伙伴数据。这是因为客户端系统可能仍然具有针对业务对象数据记录的正在进行的业务目的。如果在擦除业务对象数据记录之前没有解决这个多系统依赖，则可能在系统全景中导致数据的不一致。在擦除多系统全景中的业务伙伴数据记录之前，进行检查以保证主系统和客户端系统中的数据使用目的已经完成。

在多系统全景中，业务伙伴记录在主系统和客户端系统中被同步。业务过程分布在若干系统上。因此，在业务伙伴数据能够被擦除之前，对于所涉及的全部系统中的每个应用，必须到达EoP。如果仅仅在某些所涉及的系统中到达了目的结束就擦除业务伙伴数据记录，则可能导致数据和过程的不一致。

在多系统全景中阻挡业务伙伴个人数据能够在主系统中执行。对于一组选择的业务伙伴，首先在主系统中本地检查目的结束。如果主系统中的应用不再具有数据使用目的，则然后，客户端系统中的应用能够被远程地检查以了解目的结束。如果不再存在全景范围的数据使用目的，然后，能够在主系统中阻挡业务伙伴个人数据。针对个人数据状态的这个改变能够被复制到客户端系统以便在全景范围内阻挡业务伙伴个人数据。为了计算保留时间，保留开始时间可以被存储在主系统和/或客户端系统中的业务伙伴特定的表中。业务伙伴特定的表也能够被实施在数据库215中。在全景范围被阻挡的业务伙伴主系统和客户端系统能够独立地执行数据库中擦除以及归档。对于特定的业务伙伴状态，在多系统全景中解除阻挡是可能的，但是应该被非常仔细地考虑。

为了这个讨论的目的，计算系统220被考虑作为主系统而计算系统260被考虑作为客户端系统。然而，它们的角色可以反过来，另一个系统可以是主系统，或者控制处理器210能够可以充当主系统而计算系统220、260两者可以是客户端系统。如图2中所示，多系统全景中的业务伙伴个人数据擦除从通过主系统的阻挡组件进行的目的结束检查（end-of purpose check）开始。这个EoP检查在主系统中被本地执行，并且也可以在（多个）客户端系统中被远程地执行。本地调用和远程调用被同步执行。EoP检查对于业务伙伴个人数据目的已经结束的那些系统返回SoRT日期。如果从在全景范围访问该业务伙伴个人数据的每个应用接收到了EoP返回，则然后，该业务伙伴个人数据在主系统中被阻挡。这个阻挡被异步复制到客户端系统，以便在全景范围内阻挡该业务伙伴个人数据。

可以，例如，通过在业务伙伴特定的表中设定标记（flag），来实现阻挡业务伙伴个人数据。SoRT日期也能够被存储在业务伙伴特定的表中。对于被全景范围阻挡的业务伙伴个人数据，主系统和客户端系统能够在位于它们的业务伙伴数据管理组件240、280中的数据库中独立地执行擦除，并且经由它们各自的ILM组件230、270中的保留管理组件236、276将数据归档。所述归档（至档案存储库228、268）能够使用增强的数据保密处理。

上述用于在多系统全景工作（works）中阻挡和擦除业务数据的过程可能在生产系统中面临性能差距，在生产系统中，极大量的，例如，可能数百万的，业务伙伴记录被处理。对于企业多系统全景中的N个业务伙伴和M个系统，对于EoP检查的远程调用的数量用N x M表示。远程调用比本地调用慢了高达1000的因子。依赖于业务伙伴的数量（N）和所涉及系统的数量（M），完整的EoP可能花费数星期、数月、或者甚至数年来处理全部的记录。然而，数据保密法的实施要求要求当到达EoP时几乎立即阻挡个人数据。系统资源对于这样的延长时段的奉献可能使得企业不能够执行其主要业务功能。

当用于目的结束检查的远程调用同步时，所述性能问题变得更加显著。每个远程同步调用在客户端系统和主系统上保留存储器和计算时间，直到结果被返回为止。因此，少量的远程同步调用能够被同时处理。因而，应用服务器级别的并行处理非常有限，即使对于同步的目的结束检查的接口，主体（mass）在处理业务伙伴组而不是单一记录的方面被启用。然而，因为在一个同步调用中处理太多记录可能导致服务器侧的超时，所以性能提高的任何增益都可能是有限的。这些超时可能是由于应用服务器被配置为如果在连接上不存在活动则在非常段的时间窗之后关闭该连接。

根据实施例，将要被处理的大量业务记录以及同步远程调用的数量被减少以便改进执行时间并且实现所需的数据保密实施。执行时间的这个减少可以通过以下各项来实现：尽可能多地在本地进行以避免远程调用；尽可能多地异步进行以避免同步调用；以及过滤业务伙伴数据以减少将要被检查的数据对象的数量。

图3描绘了根据实施例的、用于在客户端系统级别确定本地SoRT的过程300。图4描绘了根据实施例的、用于在主系统检查EoP和在全景范围阻挡的业务伙伴个人数据两者的过程400。结合起来，过程300、400实施双管齐下（two-prong）的算法以改进根据一些实施例的全景范围的阻挡的性能。

过程300从步骤310中（多个）客户端系统在系统的本地数据库中执行业务伙伴的EoP检查开始。这些周期性检查可以以响应于针对数据保密的本地司法要求的周期性间隙来执行（例如，每天、每周、每两周、每月）。在一个实施方式中，可以通过从主系统接收同步请求来发起EoP检查。客户端系统本地的每个应用被检查以确认对于每个业务伙伴来说是否已经到达了目的结束。

根据一些实施例，客户端系统能够异步执行EoP检查以便向主系统提供关于与该客户端系统本地的应用有关的特定业务伙伴的状态的临时值（interim value）。如下所述，主系统能够在全景范围实施同步检查以便检验所述临时结果是否仍然有效以及检验还没有报告临时结果的客户端系统的EoP状态。如果，例如，报告临时结果的客户端系统与特定的业务伙伴开始新的业务并且具有访问该业务伙伴的个人数据记录的理由，则所报告的临时结果可能变得无效。

在步骤320，进行检查以确认针对每个本地应用，业务伙伴是否已经到达了目的结束。如果针对全部本地应用，业务伙伴已经到达了其EoP，则然后，在步骤330，过程300计算与该业务伙伴相关联的个人数据的保留开始时间。在步骤340，所计算的SoRT被异步发送到主系统。因为仅仅当业务伙伴的目的在多系统全景中的全部涉及的系统中都已经结束时该业务伙伴的业务目的才结束，因此来自每个客户端系统的SoRT是临时值并且在主系统中在全景范围内合并。然后，过程300能够返回到步骤310以便在客户端系统中开始对另一个业务伙伴的目的结束检查。

如果在步骤320中对于客户端系统中的任何应用，业务伙伴还没有到达其EoP，则过程300在步骤350安排用于在客户端系统中重新检查业务伙伴的目的结束的日期。所述重新检查日期可以基于该业务伙伴的针对客户端应用的历史事务数据。所述重新检查日期可以用于客户端系统的本地阻挡过程的下一次运行中，其中只有那些目的结束检查有意义的业务伙伴才被考虑（例如，下一次检查的日期等于或大于运行阻挡过程的日子）。对于本地阻挡工作，可以考虑其它过滤机制，诸如关于客户端系统和/或应用环境（例如，仅仅考虑来自销售区域A的业务伙伴）的细节。然后过程300能够返回到步骤310以便开始针对客户端系统中的另一个业务伙伴的目的结束检查，和/或等待步骤250的重新检查日期到来。

图4描绘了用于通过主系统执行目的结束检查并且在全景范围级别阻挡业务伙伴个人数据的过程400。过程400可以是正在进行的或者与过程300并行操作。在步骤410，本地计算的保留开始时间在主系统被接收。针对数据保密要求的全局阻挡仅仅针对在企业多系统计算机全景中的全部系统中已经到达目的结束的业务伙伴个人数据进行。在步骤420，所接收的SoRT被存储在可以被主系统访问的SoRT数据表中。SoRT数据表包含每个业务伙伴的记录，并且可以被实施在包含数据库215的同一数据存储库中。在步骤430，确定使用与所接收的SoRT相关联的业务伙伴个人数据来执行操作的每个客户端系统的身份。所述确定可以通过，例如，查询包含关于全部业务伙伴、利用业务伙伴个人数据的应用、和实施所述应用的系统的信息的数据库，来进行。

在步骤440，主系统请求识别出的客户端系统中的每一个对相关联的业务伙伴的每个本地应用执行同步EoP检查。这个同步检查能够如上所述的过程300那样在客户端系统中实施。执行这个同步检查是因为一些客户端系统可能还没有发送SoRT，或者从客户端系统发送的SoRT可能不再有效。

在步骤450，主系统从客户端系统中的每一个接收EoP检查结果，所述EoP检查结果被添加到SoRT数据表中的相应的业务伙伴的记录中。在步骤460，主系统处理器执行检查以确定是否已经从步骤430中针对相关联的业务伙伴识别出的每个客户端系统接收到了SoRT。如果已经从每个识别出的客户端系统接收到了SoRT，则然后过程400在步骤470中触发全局阻挡过程。所述全局阻挡过程扩展到所识别的客户端系统以外，并且如果成功则能够阻挡全部的系统和应用对整个企业多系统计算机全景中的相关联的业务伙伴的个人数据记录进行访问。根据实施方式，全局阻挡过程能够删除本地业务伙伴数据记录242、282，并且将所删除的记录在档案存储库228、268中归档。然后，在阻挡时段的结束，所归档的业务伙伴数据记录从归档中被删除。如果所述检查（步骤460）确定还没有从每个识别的客户端系统都接收到SoRT（例如，一个识别出的客户端系统中不存在SoRT），则然后，过程400在步骤480中安排重新检查日期。如果确定所接收的SoRT无效，则可以安排重新检查日期。

在一个实施方式中，过程400的全局阻挡操作能够定期（例如，每天、每周、每月）在主系统中执行，或者当主系统从客户端系统接收到计算的SoRT时（图3，步骤340）过程400能够被触发。过程300、400能够作为后台过程运行，或者被定时为在每个系统的低使用率时段执行以便进一步最小化本地系统的开销负担以及减少企业多系统计算机全景网络通信层上的通信量（traffic）。

图5描绘了根据一些实施例的SoRT数据表500的数据模型结构。如上所述，SoRT数据表能够存储从客户端系统返回到主系统的保留开始时间（图4，步骤450）。所述表是业务伙伴特定的表并且能够包括身份记录510和SoRT数据记录520。身份记录能够包括识别业务伙伴的数据字段——例如，企业实体记录能够包括名称和税务身份号；个人实体记录能够包括用于检验的名、姓、以及性别字段。SoRT数据记录能够包括：识别计算保留时间期间的相关系统和应用的数据字段；可能包括“临时”或者“最终”以便指示系统所执行的目的结束检查的结果的状态字段；所确定的保留开始时间；以及包含所安排的重新检查日期的字段。

根据实施例，非易失性存储器或者计算机可读介质（例如，寄存器存储器、处理器高速缓存、RAM、ROM、硬盘驱动、快闪存储器、CD ROM、磁性介质等）中存储的计算机程序应用可以包括代码或可执行指令，当所述代码或可执行指令被执行时，其可以指示或者引起控制器或处理器执行这里讨论的方法，诸如用于在多系统全景中实施异步操作和同步操作的组合以便实施如上所述的个人数据保留和销毁场景的方法。

计算机可读介质可以是非瞬时性计算机可读介质，其包括全部形式和类型的存储器以及除了瞬时的传播信号之外的全部计算机可读介质。在一个实施方式中，非易失性存储器或计算机可读介质可以是外部存储器。

虽然这里已经描述了特定的硬件和数据配置，应注意，可以根据本发明的实施例提供任意数量的其它配置。因此，虽然已经描述和指出了被应用若干实施例中的本发明的基本的新颖特征，将理解，本领域技术人员可以对所示出的实施例进行各种形式和细节上以及操作上的各种省略、替换、和改变，而不脱离本发明的精神和范围。从一个实施例到另一个实施例的元素替换也是被充分意指和预期的。本发明仅仅关于所附权利要求及其等效物被定义。

Claims (19)

1.一种用于在多系统计算机全景中管理个人数据访问的计算机实施方法，该方法包括：

在多系统计算机全景的第一处理器控制的系统处接收与特定业务伙伴相关联的个人数据记录的目的结束检查结果，其中所述目的结束检查结果来自多系统计算机全景的第二处理器控制的系统并且所述个人数据记录位于与至少第二处理器控制的系统通信的数据存储库中；

如果所述目的结束检查结果指示个人数据记录的保留开始时间，则识别执行用于特定业务伙伴的操作的、多系统计算机全景的其它处理器控制的系统；

向识别出的其它处理器控制的系统中的每一个传送相应请求，以便对各个识别出的其它处理器控制的系统本地的个人数据记录同步执行目的结束检查，其中本地个人数据记录与特定业务伙伴相关联；以及

从识别出的其它处理器控制的系统中的每一个接收相应目的结束检查结果。

2.如权利要求1所述的方法，还包括为位于第二处理器控制的系统的一个或多个本地应用执行目的结束检查。

3.如权利要求2所述的方法，还包括：

如果对于特定业务伙伴，第二处理器控制的系统的全部本地应用都到达了目的结束，则在第二处理器控制的系统中计算与特定业务伙伴相关联的个人数据的保留开始时间；

将计算出的保留开始时间异步返回到主系统；以及

如果对于特定业务伙伴，第二处理器控制的系统的全部本地应用没有都到达目的结束，则在第二处理器控制的系统中为所述应用安排重新检查日期。

4.如权利要求1所述的方法，还包括将目的结束检查结果存储在与特定业务伙伴相关联的、至少第一处理器控制的系统可访问的数据记录中。

5.如权利要求1所述的方法，还包括将各个目的结束检查结果中的每一个存储在与特定业务伙伴相关联的数据记录中。

6.如权利要求1所述的方法，还包括：如果在与特定业务伙伴相关联的数据记录中存在来自识别出的其它处理器控制的系统中的每一个的保留开始时间，则在多系统计算机全景的每个处理器控制的系统上发起针对特定业务伙伴的全局阻挡过程。

7.如权利要求6所述的方法，所述全局阻挡过程包括：

向多系统计算机全景的每个处理器控制的系统发送异步请求；和

经由所述请求指令与特定业务伙伴相关联的本地业务伙伴数据记录被归档在档案存储库中并且从每个处理器控制的系统中被删除。

8.如权利要求1所述的方法，还包括：如果来自识别出的其它处理器的控制系统中的每一个的保留开始时间不存在或者无效，则为与特定业务伙伴相关联的数据记录安排重新检查日期。

9.一种其上存储了指令的非瞬时性计算机可读介质，当所述指令被处理器执行时，引起处理器执行以下方法：

在多系统计算机全景的第一处理器控制的系统接收与特定业务伙伴相关联的个人数据记录的目的结束检查结果，其中所述目的结束检查结果来自多系统计算机全景的第二处理器控制的系统并且所述个人数据记录位于与至少第二处理器控制的系统通信的数据存储中；

如果所述目的结束检查结果表明个人数据记录的保留开始时间，则识别执行用于特定业务伙伴的操作的、多系统计算机全景的其它处理器控制的系统；

向识别出的其它处理器控制的系统中的每一个传送各个请求，以便为各个识别出的其它处理器控制的系统本地的个人数据记录同步执行目的结束检查，其中本地个人数据记录与特定业务伙伴相关联；以及

从识别出的其它处理器控制的系统中的每一个接收各个目的结束检查结果。

10.如权利要求9所述的非瞬时性计算机可读介质，还包括用来引起处理器执行以下步骤的可执行指令：为位于第二处理器控制的系统的一个或多个本地应用执行目的结束检查。

11.如权利要求10所述的非瞬时性计算机可读介质，还包括用来引起处理器执行以下步骤的可执行指令：

如果特定业务伙伴的位于第二处理器控制的系统的全部本地应用到达了目的结束，则在第二处理器控制的系统中计算与特定业务伙伴相关联的个人数据的保留开始时间；

将计算的保留开始时间异步返回到主系统；以及

如果特定业务伙伴的位于第二处理器控制的系统的全部本地应用没有到达目的结束，则在第二处理器控制的系统中为所述应用安排重新检查日期。

12.如权利要求9所述的非瞬时性计算机可读介质，还包括用来引起处理器执行以下步骤的可执行指令：将目的结束检查结果存储在与可以被至少第一处理器控制的系统访问的特定业务伙伴相关联的数据记录中。

13.如权利要求9所述的非瞬时性计算机可读介质，还包括用来引起处理器执行以下步骤的可执行指令：将各个目的结束检查结果中的每一个存储在与可以被至少第一处理器控制的系统访问的特定业务伙伴相关联的数据记录中。

14.如权利要求9所述的非瞬时性计算机可读介质，还包括用来引起处理器执行以下步骤的可执行指令：如果在与特定业务伙伴相关联的数据记录中存在来自识别出的其它处理器控制的系统中的每一个的保留开始时间，则在多系统计算机全景的每个处理器控制的系统上发起针对特定业务伙伴的全局阻挡过程。

15.如权利要求9所述的非瞬时性计算机可读介质，还包括用来引起处理器执行以下步骤的可执行指令：如果来自识别出的其它处理器控制的系统中的每一个的保留开始时间不存在，则为与特定业务伙伴相关联的数据记录安排重新检查日期。

16.一种多系统计算机全景，包括：

经由电子通信网络远程通信的两个或更多个处理器控制的系统；

所述处理器控制的系统中的至少一个包括控制处理器，该控制处理器被配置为实施业务伙伴数据管理组件、信息生命周期管理组件、和应用组件中的至少一个；

所述处理器控制的系统中的至少一个与耦合至电子通信网络的数据存储库通信；

所述处理器控制的系统之一中的控制处理器被配置为充当主系统，其中主系统控制处理器被配置为：识别包括访问特定业务伙伴的个人数据的应用的其它处理器控制的系统，向识别出的其它处理器控制的系统传送相应的同步请求以便确定所述应用是否已经到达了特定业务伙伴的目的结束，以及如果其它处理器控制的系统中的每一个指示特定业务伙伴的保留开始时间，则执行全局的阻挡过程。

17.如权利要求16所述的系统，所述业务伙伴数据管理组件包括业务目的接口组件，其被配置为在处理器的控制下，检验应用对于与特定业务伙伴相关联的个人数据记录，是否到达其目的结束。

18.如权利要求16所述的系统，所述信息生命周期组件包括：

归档对象组件，被配置为将信息生命周期管理对象归档；

阻挡组件，被配置为阻挡对个人数据的访问；和

保留管理组件，被配置为定制与所述应用中的一个或多个相关联的驻留规则和保留时间规则中的至少一个。

19.如权利要求16所述的系统，包括耦合至控制处理器的数据存储库，存储设备存储被配置为引起处理器执行以下步骤的指令：

在第一处理器控制的系统接收与特定业务伙伴相关联的个人数据记录的目的结束检查结果，其中所述目的结束检查结果来自第二处理器控制的系统并且所述个人数据记录位于数据存储库中；

如果所述目的结束检查结果指示个人数据记录的保留开始时间，则识别执行用于特定业务伙伴的操作的、多系统计算机全景的其它处理器控制的系统；

向识别出的其它处理器控制的系统中的每一个传送相应请求，以便为各个识别出的其它处理器控制的系统本地的个人数据记录异步执行目的结束检查，其中本地个人数据记录与特定业务伙伴相关联；以及

从识别出的其它处理器控制的系统中的每一个接收相应的目的结束检查结果。

Images