CN1278512C - 处理带有电子签名的文档的方法和系统 - Google Patents

Abstract

本发明涉及计算机化处理带有电子签名的文档的方法和相应的系统。为向利用者提供电子签署后的文档，本发明建议的第一步骤是把该文档的签署者机器可读源格式转换成以同一的、独立于用于表现它的计算机系统的方式来表现所述文档的通用格式。在第二步骤中，基于该文档的通用格式创建电子签名。最后，在第三步聚中，将该电子签名和该交换格式的单一表现提供给利用者。为了由利用者进一步处理电子签署后的文档，建议把文档的交换格式转换成文档的通用格式并针对该文档的所述通用格式验证所述电子签名，以此来验证该电子签名。最后，由其交换格式创建该文档的利用者机器可读源格式。

Description

处理带有电子签名的文档的方法和系统

技术领域

本发明涉及计算机化处理带有电子签名的文档的方法和相应的系统。

背景技术

电子签名是电子商务安全的关键部分，它们基本上允许在数字世界仿制手写的签名。

例如，如果A方想要数字签署任何类型的文档，例如含有数字数据d的合同c，于是A方对这一数据应用他或她的秘密签名密钥sk，生成电子签名s。一个安全的电子签名方案保证在不知道sk的情况下没有人能够生成将会通过相应的公用验证密钥pk验证的电子签名s。这样，任何知道pk的人都能验证确实是使用了A方相应的秘密签名密钥才从d生成了s。如果该系统是适当建立和操作的，这便给出强有力的证据，证明确实是A方电子签署了数据d。

为了得出“A方签署了合同c”的结论，用于A的在合同c和代表它的数据d之间的链接对于依赖A方签名的任何人都必须是明确的，或者，换言之，使用电子签名的应用必须为签署的数据提供“明确的解释”。这种解释保证不可能找到由同一数据d代表的两份不同的合同c₁和c₂。

往往情况并不是这样。例如，假定d是以支持宏功能的某种现代文字处理器(例如Microsoft Word)写成的文档。文档d可能在不同的机器上造成不同的可视表现，即在视觉上和语义上不同的合同c₁和c₂。例如，两台计算机可能安装了两种不同版本的字体，一个使用意大利里拉符号，而不使用欧元符号。显然，这能造成显著不同的合同，一个在谈里拉，而另一个在谈欧元。或者，d可能包含一个宏功能，它根据当前的时间和日期显示完全不同的版本，或者d可能包括到其他文档的超链接，而那些文档可能随时被替换，如此等等。使用面向表现的格式，如PDF或Postscript，并未改变这种情况，因为这些语言基本上提供这些相同的特性(宏功能、超链接和使用已安装的字体。用更一般的术语来表述，观察结果是在存储和解释被签署的合同的不同系统上，影响文档d的解释的环境依赖性是不同的，造成具有不同含义的文档。当被解释的时候，其结果可能是由A方电子签署的文档d在A方的系统上有一种解释，而一旦签署后的文档被传送到第三方B的系统，尽管B方能证实该文档已由A方签署，但它展现出来的却是不同的解释。显然，由环境引起的这种不同的解释不能合法地约束签署方A。

对这一问题的一种解决方案是固定一种解释，它与这些现有的文字处理器和面向表现的格式无关。

已经建议直接签署图形表现，即c是能在计算机屏幕上显示的某种东西，而d基本上是这一文档在计算机屏幕上的图形表现。

尽管这一做法解决了解释问题，但它引出了一个新问题：再也不可能自动处理签署过的数据了，因为已经失掉了关于数据的组成部分及内部结构以及布局方面的信息。由于签署过的文档只是变成了一幅图像，所以在电子商务进程中已变得不可能由利用者进一步处理该文档。

所以，根据现有技术解决解释问题的所有其他尝试都已选择了一个不同的方向，它包含两个部分：1)以某种简单的形式语言例如基于XML的签名置标语言表示的表现d*，它能被自动处理但不能直接显示给用户；2)一个解释器，它有希望明确地把这个d*映射成能被显示给用户的某种东西，如位图(bitmap)。尽管有这些途径，但大多数具体建议仍受到前述一些问题的困扰(例如，它们仍然依赖于系统上安装的字体，于是一个里拉符号可能仍被欧元符号代替)；或者，换言之，不能保证一个稳定的解释。但主要问题在于它们全都要求那些产生将被签署的数据或处理被签署的数据的应用对于它们的输出或输入分别都使用这一语言。所以这是一个很有柔性的和限定的途径。

在这一解决途径的一个建议实施例中，d*实际上代表一对文档(d，d′)，这里d是一个位图，而d′是能被自动处理的一个表现。位图固定其解释，如在第一途径中那样，但d和d′之间的链接未被验证，即没有关于它们实际上彼此对应的保证。没有任何东西防止一个骗子签名者造出任意的无关联的文档对(d，d′)。

发明内容

本发明以如下目的为基础：提供一种技术，它明确地保证对电子签署的文档给出一个很好限定的和稳定的解释，与此同时，它提供一种途径，利于在电子商务过程中进一步自动处理电子签署的文档。

本发明的目的由各项独立权利要求实现。本发明的进一步的有利安排和实施例在各项从属权利要求中提出。

本发明涉及向利用者提供电子签署的文档的装置、方法和计算机程序产品。本发明建议的第一步骤是把该文档的签署者机器可读源格式转换成以同一的、独立于用于表现它的计算机系统的方式来表现所述文档的通用格式。在第二步骤中，基于该文档的通用格式创建电子签名最后，在第三步骤中，将该电子签名和该文档的交换格式的单一表现提供给利用者。

再有，本发明涉及由利用者进一步处理该电子签署的文档的装置、方法和计算机程序产品。建议把文档的变换格式转换成文档的通用格式并针对该文档的所述通用格式验证所述电子签名，以此来验证该电子签名。最后，由其交换格式创建该文档的利用者机器可读源格式。

所建议的途径支持只需交换电子签署的文档的单一表现。与此同时，本发明实现了能保证对电子签署的文档有确切限定的、稳定的和明确的解释。再有，本发明提供了一种途径，利于在电子商务过程中进一步自动处理电子签署的文档。

附图说明

图1和图2显示本发明的两个可能实施例的控制流和数据流。

具体实施方式

在附图和本说明中已提出了本发明的优选实施例，尽管使用了特定的术语，但这样给出的描述只在一般意义上和描述意义上使用术语而不是为了限定。然而，显然在不离开如所附权利要求中提出的本发明更广泛的精神和范围的情况下可以对这些实施例进行各种修改和变化。

本发明可以用硬件、软件或硬件与软件的组合来实现。任何种类的计算机系统，或者适于实现这里所述方法的其他装置，都是适用的。硬件和软件的一种典型组合是一通用计算机系统加上一个计算机程序，当该计算机程序被加载和执行时控制该计算机系统使其实现这里所述方法。本发明还能在计算机程序产品中实现，它包含能实现这里所述方法的全部特性，当它被加载到一个计算机系统时，能实现这些方法。

在本文中计算机程序单元或计算机程序是指以任何语言、代码或符号给出的一组指令的任何表达，它要使具有信息处理能力的系统直接地或在下述两种情况之一或两者之后实现特定的功能，这两种情况是a)转换成另一种语言、代码或符号；b)以不同的材料形式再现。

本发明在其最一般的意义上使用术语“文档”，指可以为其产生电子签名的任何类型的实体。这些文档的实例是声明、协议、叙述、合同、图形、音频/视频数据或任何其他任意类型的可签署的数据。

解决方案

根据下述基本观察结果，能获得实现上述目的解决方案：

1.当由签署者提供电子签署的文档时，基于该文档的签署者机器可读源格式创建电子签名是不可取的。如前文那样，一个文档的签署者机器可读源格式总得由利用者的计算机系统去解释。由于对环境的依赖性影响这一解释过程，当在商务过程中交换这一文档时不能保证对文档的明确和稳定的解释。

2.所以，本发明建议首先把文档的签署者机器可读源格式转换成以同一的、独立于用于表现它的计算机系统的方式表现所述文档的通用格式。这种表现形式对于保证文档有明确的语义、独立于使用该表现形式的环境是必须的。这种文档通用格式可以是它的图形表现，例如能显示在计算机屏幕上的什么东西，如在计算机屏幕上表现该文档的(黑/白或彩色)像素集。这种通用表现形式的另一个实例是针对某种打印机类型的文档二进制表现形式。当然，存在更多这种通用格式。在下文中我们称这种表现形式为位图。

3.进一步建议基于文档的通用格式，即不基于签署者的机器可读源格式，创建电子签名。作为针对电子签名的背景信息，应该指出，所创建的电子签名依赖于为其创建电子签名的文档；就是说，两个不同的文档或同一文档的两个不同表现会造成不同的电子签名，即使它们是由同一签署者签署的。

4.当该文档的签署者把该文档引入商务过程时，建议

a.基于所述该文档的通用格式向文档的利用者提供电子签名，以及

b.向文档的利用者提供交换格式的文档单一表现(该交换格式的特点在于允许利用者基于该文档交换格式自己创建该文档的通用格式)。由于只交换该文档的单一表现，所以本解决方案能保证，不像交换多元文档(参考上交的讨论)的情况那样发生同步问题，那些多元文档易受骗子签署者的影响，基于文档的通用格式使用电子签名保证有固定的明确的解释。

5.一旦利用者能得到通用格式的文档和电子签名，本发明告诉利用者把所收到文档的交换格式变换成文档的通用格式。基于文档的通用格式，能进行对签名的验证。最后，利用者由交换格式创建该文档的利用者机器可读源格式；然后，这个利用者机器可读源格式构成由利用者进一步自动处理该文件的基础，此时该利用者有信心与签署者实际签署的文档的解释取得一致。

至于文档的交换格式，本发明提供了两个解决方案实例。

5.1在第一解决方案中，交换格式与文档的通用格式完全相同。

在这一解决方案中，使用标准技术立刻就能验证电子签名。例如通过对通用格式应用模式识别技术便能创建该文档的利用者机器可读源格式，因为模式识别技术会识别和提取文档内的各个部分。作为一种具体的模式识别技术，例如可以使用OCR技术。

5.2在第二解决方案中，文档的交换格式与该文档的签署者机器可读源格式完全相同(达到例如只有与不同操作系统有关的细小的表现差异)。在这一解决方案中，创建利用者机器可读源格式很简单，因为它与文档的交换格式完全相同，或者能容易地由它导出。电子签名的验证过程实际上是重复签署者进行的步骤。文档的利用者将使用该文档的签署者机器可读源格式把它转换成相应的通用格式；一旦可以得到这一通用格式便能验证是否已经为所述文档的刚创建的通用格式创建了电子签名。

本发明的两个可能的实施例

下列本发明的优选实施例涉及一个带有通信实体的系统，如网络中的计算机，它们能扮演三个角色：c(作为产生或进一步处理签署过的文档的那些应用的创建者)，s(作为该文档的签署者)，p(作为文档的处理者，或者换言之，该文档的利用者)。当然，这些通信实体也可以在单个计算机系统内实现，扮演上述角色。再有，这些角色中一些可以组合成单一实体；例如创建者c的角色和签署者s的角色可以组合成单一的签署者角色s。所以，这些角色的引入只应从概念的角度理解，不涉及要由本发明强制的物理分离。

本发明的第一优选实施例示于图1。

作为签署者，实体S产生有某种机器可读形式mrf1的要被签署的数据，即文档，在下文中该形式也称作该文档的签署者机器可读源格式。在步骤(3)中，签署者s把mrf1转换成人可读形式hrf1，这是一个位图，它在步骤(4)中被电子签署，产生签名sig。一般地说，hrf1是以同一的、独立于用于表现它的计算机系统的方式来表现所述文档的通用格式。这种表现对于保证该文档具有不依赖于使用该表现的存在环境的明确解释是必要的。在本发明的这一具体实施例中，已选择的通用格式hrf1同时也是人可读的格式。

在步骤(5)中，签名sig和那个文档的单一表现一起被发送给实体p，它的角色是作为该文档的处理者，或者换言之，作为该文档的利用者。一个交换格式作为所述该文档的单一表现。在本发明的这一具体实施例中，通用格式，即人可读格式hrf1被用作所述交换格式。

作为旁注，应该提到存在的签名系统在创建“电子签名”时实际上是创建签署后的文档与这“适当的”电子签名的组合。在这样的环境下，当然只在步骤(5)中把这种“集成的”电子签名发送给处理者P就足够了。如果这种签名系统用于实现本发明，在本发明的表现的其他部分中得要发生类似的显然的修改而不离开本发明的精神。这样，本说明使用电子签名这一术语只是指适当的电子签名，不包括被签署的文档。

在步骤(6)中，处理者P验证为所用电子签名系统所定义的签名sig的有效性。应该指出，签名验证是针对通用格式的文档，即hrf1格式的文档进行的。结果0表明验证失败(即sig不是hrf1上的有效签名)，在这种情况下，p提出异议并且不再继续处理hrf1。结果1表明sig是有效签名，于是hrf1能被进一步处理。

在步骤(7)中，处理者P从hrf1中提取出一个能用于自动处理的机器可读形式mrf2(在下文中也称作该文档的利用者机器可读形式)。可以通过例如把来自OCR的公知技术或一些其他模式识别技术应用于位图hrf1或一位图的特定部分来完成这种提取。mrf2不一定要代表所签署的全部数据，即从mrf1到mrf2的隐性映射不一定是单射的。

在可选步骤(8*)中，mrf2被映射成人可读形式hrf2，并在可选步骤(9^*)中hrf1和hrf2进行比较。这一比较可能是例如hrf1和hrf2全部等同性测试，或者hrf1和hrf2某些部分等同性测试。

步骤(6)不需要首先进行；相反，它能任意地与(7)、(8^*)、(9^*)并行，或推迟到实际需要有效性证据的时候。

在可选步骤(1^*)和(2^*)中，创建者C把用于创建mrf1、hrf1以及mrf2、hrf2的信息分别发送给s和p。这能在采取其他步骤之前的任何时候发生，而且一次能一起用于多次执行其他步骤。由c发送的信息完全地或部分地指示由s用于产生mrf1和hrf1的应用以及由p用于从hrf1提取mrf2并产生hrf2的应用。对用于创建那个文档的签署者机器可读源格式的应用所做的这一指示可被模式识别技术利用以创建该文档的利用者机器可读源格式。

本发明的第二优选实施例示于图2，反映第一实施例的一个变体。

如先前一样实现步骤(3)和(4)。人可读形式hrf1可以是一个位图或能明确地呈现给用户的该文档的任何其他通用格式。

在步骤(5)中，机器可读形式mrf1和签名sig被发送给实体p。与第一实施例的一个差别是该文档以签署者机器可读源格式mrf1提供给利用者做为所述文档的交换格式。在步骤(10)中，处理者p重复签署者的步骤(3)并产生该文档的相同通用格式，这是已由签署该文件的签署者创建的。在当前的实施例中，这是指从mrf1创建人可读形式hrf3。在这一实施例的进一步可选的改进中，签署者能在步骤(5)内向利用者提供进一步的指示，指明该文档的通用格式hrf1是由哪个应用创建的。这将允许利用者正好使用这一应用把所述文档的签署者机器可读源格式mrf1转换成所述通用格式hrf3，从而在这一转换过程中排除任何潜在的不确定性。

在步骤(11)中，处理者P相对于该文档的自构成的通用格式hrf3验证签名sig的有效性。如果sig是有效而且签名方案是安全的，则hrf3＝hrf1，就是说，这表明sig也是hrf1上的有效签名。像先前那样，步骤(11)可以推迟到实际需要有效性证明的时候。

在可选步骤(1^*)和(2^*)中，创建者C分别向S和P发送用于创建mrf1、hrf1及hrf3的信息。这能在采取其他步骤之前的任何时候发生，而且一次能一起用于多次执行其他步骤。这一信息完全地或部分地指示由C和P用于产生mrf1、hrf1及hrf3的那些应用。

Claims (22)

1.一种提供由文档签署者电子签署的文档的计算机化方法，所述方法包含：

第一步骤(3)，把所述文档的签署者机器可读源格式转换成以同一的、独立于用于表现它的计算机系统的方式来表现所述文档的通用格式；

第二步骤(4)，基于所述文档的所述通用格式创建电子签名；以及

第三步骤(5)，向所述文档的利用者提供所述电子签名和所述文档的交换格式的单一表现，所述交换格式不同于所述通用格式，所述交换格式允许所述利用者

针对所述通用格式的所述文档，验证所述签名的有效性，以及

在已证实与所述文档通用格式的表现相一致的情况下创建可供所述利用者进一步处理的所述文档的利用者机器可读源格式。

2.根据权利要求1的方法，其中在所述第三步骤中

所述文档的所述交换格式是所述签署者机器可读源格式，而且所述利用者机器可读源格式是所述签署者机器可读源格式的一个表现，以及

所述利用者被允许通过把所述文档的所述签署者机器可读源格式转换成所述通用格式和通过针对所述文档的所述通用格式验证所提供的所述签名来验证与所述通用格式的一致性。

3.根据权利要求1的方法，

所述方法进一步向所述利用者提供第一指示，该指示表明所述文档的所述签署者机器可读源格式是由哪个基于计算机的第一应用创建的，从而允许所述利用者在所述后处理过程中为所述第一应用创建所述利用者机器可读源格式。

4.根据权利要求2的方法，

所述方法进一步向所述利用者提供第二指示，该指示表明所述文档的所述通用格式是由哪个第二应用创建的，从而允许所述利用者使用所述第二应用把所述文档的所述签署者机器可读源格式转换成所述通用格式。

5.根据权利要求3或4的方法，

其中所述通用格式是所述文档的像素表现，或者

其中所述通用格式是一个位图，或者

其中所述通用格式是所述文档的针对某种打印机类型的二进制表现。

6.一种由利用者进一步处理电子签署的文档的计算机化方法，所述方法包含：

第一步骤(5)，接收

所述文档的交换格式的单一表现，以及

基于所述文档通用格式的电子签名，所述通用格式以同一的、独立于用于表现它的计算机系统的方式来表现所述文档，并且所述交换格式不同于所述通用格式，

第二步骤(6，11)，通过把所述文档的所述交换格式转换成所述文档的所述通用格式和针对所述文档的所述通用格式验证所述签名，来验证所述签名，以及

第三步骤(5，7)，由所述交换格式创建所述文档的利用者机器可读源格式。

7.根据权利要求6的方法，

其中所述文档的所述利用者机器可读源格式是由模式识别技术从所述通用格式创建的。

8.根据权利要求6的方法，

其中在所述第一步骤中，所述文档的交换格式是签署者机器可读源格式，而且其中在所述第三步骤中所述利用者机器可读源格式是所述签署者机器可读源格式的一个表现。

9.根据权利要求6的方法，

其中在所述第一步骤中进一步接收第一指示，该指示表明所述文档的签署者机器可读源格式是由哪个基于计算机的第一应用创建的，以及

其中在所述第三步骤中所述利用者机器可读源格式是为所述第一应用创建的。

10.根据权利要求8的方法，

其中在所述第一步骤中进一步接收第二指示，该指示表明所述文档的所述通用格式是由哪个基于计算机的第二应用创建的，以及

其中在所述第二步骤中使用所述第二应用将所述文档的所述签署者机器可读源格式转换成所述通用格式。

11.根据权利要求7或9的方法，

其中所述通用格式是所述文档的像素表现，或者

其中所述通用格式是一个位图，或者

其中所述通用格式是所述文档的针对某种打印机类型的二进制表现。

12.一种提供由文档签署者电子签署的文档的系统，所述系统包含：

第一装置，用于把所述文档的签署者机器可读源格式转换成以同一的、独立于用于表现它的计算机系统的方式来表现所述文档的通用格式；

第二装置，基于所述文档的所述通用格式创建电子签名；以及

第三装置，用于向所述文档的利用者提供所述电子签名和所述文档的交换格式的单一表现，所述交换格式不同于所述通用格式，所述交换格式允许所述利用者

针对所述通用格式的所述文档，验证所述签名的有效性，以及

在已证实与所述文档通用格式的表现相一致的情况下创建可供所述利用者进一步处理的所述文档的利用者机器可读源格式。

13.根据权利要求12的系统，其中在所述第三装置中

所述文档的所述交换格式是所述签署者机器可读源格式，而且所述利用者机器可读源格式是所述签署者机器可读源格式的一个表现，以及

所述利用者被允许通过把所述文档的所述签署者机器可读源格式转换成所述通用格式和通过针对所述文档的所述通用格式验证所提供的所述签名来验证与所述通用格式的一致性。

14.根据权利要求12的系统，

所述系统进一步包括向所述利用者提供第一指示的装置，该指示表明所述文档的所述签署者机器可读源格式是由哪个基于计算机的第一应用创建的，从而允许所述利用者在所述后处理过程中为所述第一应用创建所述利用者机器可读源格式。

15.根据权利要求13的系统，

所述系统进一步包括向所述利用者提供第二指示的装置，该指示表明所述文档的所述通用格式是由哪个第二应用创建的，从而允许所述利用者使用所述第二应用把所述文档的所述签署者机器可读源格式转换成所述通用格式。

16.根据权利要求14或15的系统，

其中所述通用格式是所述文档的像素表现，或者

其中所述通用格式是一个位图，或者

其中所述通用格式是所述文档的针对某种打印机类型的二进制表现。

17.一种由利用者进一步处理电子签署的文档的系统，所述系统包含：

第一装置，用于接收

所述文档的交换格式的单一表现，以及

基于所述文档通用格式的电子签名，所述通用格式以同一的、独立于用于表现它的计算机系统的方式来表现所述文档，并且所述交换格式不同于所述通用格式，

第二装置，用于通过把所述文档的所述交换格式转换成所述文档的所述通用格式和针对所述文档的所述通用格式验证所述签名，来验证所述签名，以及

第三装置，用于由所述交换格式创建所述文档的利用者机器可读源格式。

18.根据权利要求17的系统，

其中所述文档的所述利用者机器可读源格式是由模式识别技术从所述通用格式创建的。

19.根据权利要求17的系统，

其中，所述文档的交换格式是签署者机器可读源格式，而且其中所述利用者机器可读源格式是所述签署者机器可读源格式的一个表现。

20.根据权利要求17的系统，

所述第一装置进一步包括用于接收第一指示的装置，该指示表明所述文档的签署者机器可读源格式是由哪个基于计算机的第一应用创建的，以及

其中在所述第三装置中为所述第一应用创建所述利用者机器可读源格式。

21.根据权利要求19的系统，

所述第一装置进一步包括用于接收第二指示的装置，该指示表明所述文档的所述通用格式是由哪个基于计算机的第二应用创建的，以及

其中在所述第二装置中使用所述第二应用将所述文档的所述签署者机器可读源格式转换成所述通用格式。

22.根据权利要求18或20的系统，

其中所述通用格式是所述文档的像素表现，或者

其中所述通用格式是一个位图，或者

其中所述通用格式是所述文档的针对某种打印机类型的二进制表现。

Images