CN1497450A - 分层的虚拟身份系统和方法 - Google Patents

Abstract

公开的电子交易系统和方法包括一个虚拟身份数据库和一个虚拟身份解析器。数据库包含至少一个条目，每个条目对应一个个人的虚拟身份。解析器接收来自请求者的含有虚拟身份的请求，从数据库中检索存储在对应于该虚拟身份的条目中的至少一部分数据。然后将所检索的信息提供给请求者。所检索的这部分数据至少部分地根据请求者的身份而确定。每个数据库条目一般包括一组字段，其中每个字段表示个人的个人信息子集。有些字段可包含指向其中对应于该字段的个人信息所在的二级数据库的指针。在虚拟身份数据库中的个人条目可以驻留在该个人的个人数据处理系统上。

Description

分层的虚拟身份系统和方法

技术领域

本发明总体涉及电子交易处理领域，更具体来说，涉及一种用于为使交易处理更高效和保护信息而实现虚拟身份(virtual identities)的系统和方法。

背景技术

尽管电话、传真、电子邮件已经提供了可选择的通信方法，物理邮件作为商业和个人的通信工具仍然不容易改变。图1中表示一种常规的物理邮件系统100。图中，发自发送者A、B和C的邮件110至114，都通过在邮件外面指出Doe女士的物理邮寄地址而全部寄往Jane Doe。邮件110至114然后被投递到诸如美国邮政局的邮递公司102或者以其他方式由邮递公司接收。邮递公司102通过检查在每个邮件上指示的地址来处理邮件110至114。根据每个邮件上指示的物理地址，邮递公司102把邮件110至114投递到参考数字115标识的图中的物理地址。在所示的例子中，邮件要投递的物理地址115是123，Main St.，Needham，MA 02192。

美国人口调查局(Census Bureau)统计指出，仅2000年一年就有4千2百万美国人搬家。当人们或其它实体搬家时，有必要向他们与之通信的每个人发送更新过的邮递地址信息。然后又需要用这些联系地址来更新他们的地址数据库，以反映修改了的信息。在这个过渡时期内，邮件被投递到旧的地址或被退回发信人。如果搬了家的人已经通知了邮递公司新的地址，则在一特定的时期内，具有旧地址信息的邮件将被转到新的地址。这意味着如果邮件被投递到旧地址，则邮递公司意识到收件人已经搬家。根据信件的类型而定，邮递公司然后或者把邮件退回发件人，或者将邮件转到记录中的新地址。无论那种过程，都严重浪费时间和资源。

更一般来说，电子交易和电子数据处理正变得越来越普遍。借助计算机网络通过向商品或服务的供应商或销售商提供个人信息来进行商业交易，如今是寻常之事。除了遇到上述的错误地址的问题外，许多用户想到要向他们希望与之进行商业交易的每个实体(entity)都提供个人信息时也感到麻烦。为了努力解决这些问题，有人提出了虚拟身份系统。在常规的虚拟身份系统中，将个人(或实体)与一个唯一性的标识符相关联，标识符充当与该个人相关联的个人信息的代理(proxy)。提供者然后用标识符来获得用户的个人信息，不管是物理地址、电话号码、财务记录还是医疗记录等等。在典型的虚拟身份系统中，标识符提供对一组个人信息的直接引用(reference)。这种系统中的虚拟标识符一般标识一个单独的服务器或者单独的一组服务器，即由虚拟标识符的提供者运行的服务器。所标识的服务器含有所有与虚拟标识符相关联的个人信息。从安全的角度来看，这种安排一般是无益的，因为许多人不愿意向一个单独实体泄漏他们全部的个人信息。除了把所有鸡蛋放入一个篮子中的顾虑外，消费者有正当理由怀疑向公司提供哪怕是仅仅一些个人信息，更不用说是所有信息。通常，可靠的虚拟身份提供者在数据处理网络领域、尤其在因特网应用领域要具有专门技术。不幸的是，那些已经向这些领域投入大多数资源并且很可能留在这些领域内的企业，一般不能让客户非常相信个人信息将被保密。因此需要实现一种针对这些顾虑的虚拟身份方法和系统。

发明内容

所识别的问题由公开的电子交易系统和方法解决，该系统包括一个虚拟身份服务器或数据库以及一个虚拟身份解析器。数据库可驻留在虚拟身份服务器上，包含至少一个条目，每个条目对应一个个人的虚拟身份。解析器接收来自请求者的含有虚拟身份的请求，将虚拟身份转发到虚拟身份服务器。虚拟身份服务器访问虚拟身份数据库，以检索存储在对应于该虚拟身份的条目中的至少一部分数据。然后将所检索的信息提供给请求者。所检索的这部分数据至少部分地根据请求者的身份或实体类型而确定，例如，金融机构请求者可能被提供以财务信息，而医疗提供者请求者可能被提供以医疗信息。在一个适合实现虚拟身份系统的实施例中，个人信息并不直接由虚拟身份服务器访问，虚拟身份包含一组引用或指针，它们被信息请求者用来从一个二级数据库检索适当的个人信息。虚拟身份服务器例如可能响应来自某个需要财务信息的请求者的虚拟身份请求而返回一个指向财务信息服务器的引用或指针。该请求者然后可以转发从虚拟身份服务器接收的引用，以检索实际的信息。

一般来说，每个虚拟身份数据库条目可包括一组字段，其中每个字段表示该个人的个人信息的一个子集。如上文指出的那样，至少有些字段可包含指向含有对应于该字段的个人信息的相应二级数据库的指针。这样，虚拟身份服务器就可以含有少量的或者不含有有关该客户的个人信息。相反，虚拟身份服务器可以标识或者以其他方式确定被请求的个人信息所驻留的二级数据库。在一个实施例中，某个人的在虚拟身份数据库中的条目可以驻留在该个人的个人数据处理系统上。

附图说明

通过阅读以下详细说明并参照各附图，本发明的其它目的和优点将变得显而易见。

图1是按照现有技术的物理邮件系统的选择的要素(elements)的框图；

图2是采用按照本发明一个实施例的物理地址提取(abstraction)的物理邮件系统的选择的要素的框图；

图3是采用按照本发明一个实施例的分层的(1ayered or tiered)物理地址提取的物理邮件系统的选择的要素的框图；

图4是采用按照本发明一个实施例的分层的虚拟标识和地址过滤的系统的选择的要素的框图；

图5是按照本发明一个实施例的虚拟身份系统的选择的要素的框图；

本发明易于受到各种修改和有各种可选择的形式，通过举例，在附图中表示了本发明的特定实施例并将作详细的说明。然而应当明白，本文中给出的附图以及详细说明并非是要把本发明限定到所公开的具体实施例，相反，本发明要覆盖属于如后附权利要求书所定义的本发明的精神和范围的所有修改、等同物和可选方案。

具体实施方式

总的来说，本发明涉及一种虚拟身份系统，它适合用于电子交易或数据处理系统，包括但不限于物理邮件系统。参与者或客户定义或以其他方式关联到一个包含该客户的个人信息的某种提取的虚拟标识符。个人信息例如可包括：客户的街道地址、电子邮件地址、电话号码、财务信息(包括信用卡号或银行账号)、以及医疗历史信息。在发生与客户有关的交易时，商品或服务的提供者用客户的虚拟标识符(虚拟身份)来请求个人信息，一般是从客户预定或注册的虚拟身份服务器或数据库请求。

在一个实施例中，个人信息可能不驻留在虚拟身份数据库中，或者不能被虚拟身份服务器访问，商品或服务的提供者(请求者)用虚拟身份服务器所提供的虚拟身份信息来获得对应该客户的个人信息，以完成交易。在这个实施例中，虚拟身份数据库上的虚拟身份条目可包含一个或多个字段(指针)，以指示请求者能在上面找到个人信息的一个或多个二级数据库。这样，就提供了一种分层的虚拟身份系统，通过使虚拟身份服务器能在不访问个人信息的情况下就能起作用而促进额外的安全。这个分层的方法也促进例如不要求个人信息驻留在单一的数据库中的更加开放的系统。

现在转看附图，图2至4表示本发明涉及的虚拟身份系统的物理邮件实现的各种实施例。物理邮件例子是下文结合图5所述的更通用的交易处理系统的一个特定应用。

图2中表示了一个适于物理邮件应用的虚拟身份系统200。所示的系统200包括邮递公司202，邮递公司接收要发往在邮件外面所标识的客户的邮件，诸如邮件210、212和214。按照本发明，邮件210、212和214每个包括一个共同的的虚拟标识符220。系统200中所实现的虚拟标识符220指示对应于与该标识符相关联的某个人或其它实体的个人信息。在图2的特定情形中，虚拟标识符220指示与地址Jane Doe相关联的物理地址信息。

应当将虚拟标识符220与如图1中所示的在物理邮件上提供的物理邮件信息相区别。系统200不要求每个向邮递公司客户(Jane Doe)发送邮件的实体有该客户的正确物理地址，而是使邮件发送者能使用虚拟标识符，虚拟标识符不需要在每次客户搬家或因其它原因修改其个人信息时都修改。通过把邮件发送者从必须知道每个客户的物理邮件信息的约束中解脱出来，系统200有潜力能大大地减少被发送到过时地址的邮件的数量。

在将邮件210-214用虚拟标识符220作为地址标注后，将邮件送达邮递公司202或以其它方式由邮递公司接收。邮递公司202可代表美国邮政局、一个或多个私营邮递公司、或者它们的组合。或者，邮递公司202可代表一个拥有大量职员和工作地点的大型公司。在这样环境中，人们可能比较频繁地搬来搬去或者改变物理位置。在这个实施例中，公司可采用系统200来确定其职员的当前物理位置。

邮递公司202负责根据在包裹外面指明的地址信息向个人或经营单位投递包裹。就系统200来说，邮递公司202包括地址解析器204或者能访问地址解析器204。顾名思义，地址解析器204被设置得能根据其接收的虚拟身份信息确定物理地址信息。如图2中所示，地址解析器204可代表一个由邮递公司202或者第三方提供者所拥有或控制的大型数据库。在本实施例中，地址解析器204被设置得能通过在大型数据库中比较或查找虚拟标识符而从虚拟标识符220解析出物理地址信息。

在图2中所示的系统200实施例中，虚拟标识符220是对对应的原始数据的直接引用，即对物理地址信息的直接引用。在这个实施例中，例如，地址解析器204包括一个物理地址数据库，该数据库含有其中存储的每个条目的物理地址信息。在另外的实施例中，在下文将作详细讨论的一种分层的系统，可向地址解析器204提供与虚拟身份服务器或虚拟身份数据库交互的间接引用。

系统200简化了客户在位置变动后所面临的任务。系统200中的客户无需通知每个发送客户邮件的实体，而是只需要向一个单独实体通知地址变更。一旦地址解析器204被更新，反映了新地址，所有被邮递公司202处理的邮件将被投递到新地址。地址解析器204的更新通常可借助因特网用网络浏览器或类似方式以电子方式完成，由此为邮件系统200提供额外的灵活性和效率。

现在参看图3，按照本发明的邮件系统的第二个实施例被表示为系统300。该邮件系统实施例强调虚拟身份系统的分层的实现。系统300包括一个接收每个都用虚拟标识符320标注地址的邮件210至214的邮递公司302。虚拟标识符320与图2中的虚拟标识符220不同，它代表或识别一组虚拟身份服务器305a、305b、305c(这里总称为虚拟身份服务器305)的至少一个上的虚拟身份条目(entry)。本实施例中，地址解析器304提供虚拟标识符320给虚拟身份服务器305a。虚拟身份服务器305a被设置得能响应从请求者接收虚拟标识符320通过向请求者提供一个或多个从虚拟身份数据库306检索的引用或指针。虚拟身份服务器305a提供的引用或指针指示请求者在哪里可以请求适当的个人信息。

在所示的例子中，虚拟身份服务器305a接收一个虚拟标识符(JDoe*xyz.com)并返回一个引用307(JDoe#abc.com)，该引用不是收件人的物理地址，而是一个指示在哪里可以找到物理地址信息的指针。(这些示例性的服务器名的使用是示意性的，如果与实际服务器的域名相似，也非故意)。响应从虚拟身份服务器305a接收到引用307，地址解析器304被设置得生成一个用于对应于基于引用307的客户的物理地址信息的请求。通常，引用307指示对应的个人信息的位置。字符#abc.com例如可以唯一地标识一个地址数据库(二级数据库)，而字符JDoe则标识二级数据库内的一个条目。地址解析器304然后向由参考数字310a标识的二级服务器发送一个对物理地址信息的请求。二级服务器310a通常包括或者能使用二级数据库311，二级数据库含有客户的个人信息，在本案例中，客户的个人信息包括物理地址信息。所以，在本实施例中，虚拟标识符320可以标识一个虚拟身份服务器和该虚拟身份服务器的数据库内的一个条目，该条目标识所需信息在其上驻留的一个二级服务器的域。

图3表示多个虚拟身份服务器305a、305b和305c，以包括其中例如由多个卖主(vendor)提供虚拟身份服务的实现。在这种情况下，虚拟标识符320就要指示虚拟身份服务器305的位置以及在该位置的适当的虚拟身份数据库条目。此外，图3还表示了多个二级服务器310a、310b和310c。这多个二级服务器可以代表个人信息存储的不同的供应者。因此，例如，每个二级服务器310可代表一个不同的物理邮件信息供应者，其中服务器310a是mailcompanyl.com，服务器310b是mailcompany2.com，如此等等。或者，正如结合图5更详细讨论的那样，每个二级服务器310可代表一个不同类型的个人信息。二级服务器310a可能含有物理地址信息，二级服务器310b可能含有财务信息，例如，二级服务器310c可能含有电话号码信息。

采用二级服务器310的实施例因此设想进行虚拟身份提取，其中个人信息原始数据可以驻留在与解析虚拟标识符本身所在的数据库不同的数据库上。二级数据库311可包含一个分布式数据库，其中，例如每个虚拟身份的邮政地址信息驻留在对应的个人自己的个人计算机或其它数据处理设备上。类似地，虚拟身份数据库306可包含一个分布式数据库，其中，例如虚拟身份服务器305的每个订户的虚拟身份条目驻留在订户自己的个人盘上。随着使个人系统能持久地保持与诸如因特网或公司环境内部的局域网的网络联接的电缆调制解调器、DSL连接等等的出现，这种实现正变得越来越可行。除了虚拟身份信息的本地存储以外，也可以提供本地控制，其中，个人不但能在本地存储虚拟身份信息，而且能编辑和以其他方式维护信息以及能实时地或以其他方式与信息交互，以便例如个人能监视和选择性地批准和拒绝对他们的个人信息的请求。

参看图4，图中强调的是按照本发明的数据交易系统的另一个特点。在这个实施例中，服务提供者(信息请求者)402从客户获得一个虚拟标识符420。服务提供者402然后与信息解析器404通信，请求关于该客户的、与对应的交易有关的个人信息。如果例如客户在试图使用信用卡，地址解析器404可请求对应于虚拟标识符420的财务信息。信息解析器404像图3中地址解析器304那样地解释虚拟标识符信息420，以生成对多个虚拟身份服务器405a至405c(服务器405)的其中之一的请求。然而在系统400中，每个虚拟身份服务器405都可能包括一个引擎430和一个使虚拟身份服务器405能对是否要向解析器404返回所请求信息作出决定的托管数据库432。该实施例有益地向系统400提供过滤来自非托管的或不合需要的来源的请求的能力。对于邮件系统来说，例如，引擎430和托管数据库432可以使信息解析器404能过滤诸如垃圾邮件提供者之类的请求者，使得这类请求者不能收到个人信息。在这个实施例中，每个客户可以在其对应的数据库405内包括一个含有客户希望或者不希望向其提供个人信息的请求者的列表。如果某请求者被虚拟身份服务器405确定是客户不希望向其提供个人信息的请求者，服务器405可以拒绝向解析器404提供所请求的个人信息。

在图3和图4中所示的实施例中，多个数据库服务器305和405共存，对应的数据库可以以各种方式实现。在一个实施例中，虚拟身份数据库306可驻留在每个对应的邮递公司客户的个人计算机上。在这个实施例中，诸如物理地址信息的个人数据由每个用户在本地维护，由此潜在地增强了信息的安全性。由解析器304和404生成的对物理地址信息的请求最终通过虚拟身份服务器305和405被传递到客户的个人系统。在其它实施例中，虚拟身份数据库306可代表为大量个人存储个人信息的商业数据库，这些个人可能预定或以其他方式付费获得在对应地点的数据库上存储他们的虚拟标识符的特权。

现在参看图5，所示的是采用虚拟身份的电子交易处理系统500的更一般化的图示。系统500一般包括虚拟身份服务器505及其对应的数据库506、虚拟身份解析器504和多个信息数据库，它们在图5中被表示为电话号码数据库511、地址数据库513和财务数据库515。在示图中，与Jane Doe相关联的虚拟标识符520包括各种标识符字段502a至502d(字段502)。这些字段502可包含或者引用关于Jane Doe的个人信息，包括但不限于Jane Doe的电话号码、地址、诸如信用卡号和银行账号的财务信息、以及医疗信息。在一个未予示出的实施例中，字段502可包含对应的个人信息(原始数据)。这样，例如，地址字段502b可包含Jane Doe的当前邮递地址。在所示实施例中，字段502包含指针或引用，指向对应的信息服务器或数据库对应信息，使得例如可以将Jane Doe的地址信息放置在一个不同于虚拟身份服务器505的二级服务器(513)上。此外，放置Jane Doe的地址信息的二级服务器也可以与放置其财务信息的二级服务器不同。这个实施例能有选择地在几个数据库中部署个人信息。

虚拟身份解析器504，尽管在图中表示为单个的实体，可包含在多个服务器上执行的多个实体。解析器504被设置得能接收来自各种商品和服务的卖方对个人信息的请求，图5中给出卖方的例子是零售商或卖主510、投递公司512和银行514。虚拟身份解析器504被设置得能接收来自各种服务提供者的请求，其中每个请求与一个由客户的虚拟身份标识的特定客户相关联。虚拟身份解析器504向虚拟身份服务器505发送虚拟身份信息。虚拟身份服务器505返回虚拟身份数据库506中对应于虚拟标识符的条目的至少一部分。对某虚拟标识符条目应返回哪些部分的决定，可以根据例如请求者的身份或者类型。在示例性交易中，Jane Doe从卖方510购买一个物品。与该交易相联系，卖方510需要来自银行514的付款验证并雇用投递公司512向客户递送该物品。

一开始，卖方510可从客户获得客户的虚拟标识符520(即JaneDoe*xyz.com)，作为客户的购买交易的一部分。卖方510然后可以通过向解析器504提供虚拟身份520来请求对应于该虚拟标识符的个人信息，解析器504将该请求传送到虚拟身份服务器505。作为响应，虚拟身份服务器505可以从虚拟身份数据库506中检索例如对应于虚拟身份520的条目中的电话字段502a、地址字段502b和财务字段502c，并将所检索的信息返回到解析器504。在分层的虚拟身份实施例中，字段502a、502b和502c代表指向相应的数据库511、513和515的指针或引用。解析器504将用字段502a查询电话号码数据库511，用字段502b查询地址数据库513，以此类推，以检索客户的个人信息并将该信息返回给卖方510。卖方510然后用适当的字段来从银行514获得财务授权并向递送公司512提供街道地址。

在一个实施例中，解析器504选择性地仅仅将个人信息提供给那些需要该信息的实体。例如，系统500可被设置得只向卖方510提供客户的电话号码，只向递送公司512提供客户的地址，只向银行514提供客户的信用卡号。在这个实施例中，解析器504被设置得根据请求者的身份确定向请求者提供个人信息501的哪个部分。这样，例如，客户可能在与卖方510完成了一宗交易时也没有向卖方510泄漏其物理地址或信用卡号。

通过本说明，对于本领域的熟练人员来说，本发明显然设想了一种其中可以将个人信息与虚拟身份服务器分离的分层的虚拟身份系统和方法。应当明白，在详细说明中表示和叙述的本发明的形式以及各附图仅仅是作为优选的例子呈现的。应将以下的权利要求书解释为涵盖了所公开的最佳实施例的所有变化。

Claims (20)

1.一种电子交易系统，包含：

一个虚拟身份服务器，能访问一个包含至少一个条目的虚拟身份数据库，其中每个条目对应于一个个人的虚拟身份；

一个虚拟身份解析器，被设置得能从请求者接收含有虚拟身份的请求，并进一步被设置得能访问虚拟身份服务器，以从数据库中检索存储在对应于虚拟身份的条目中的至少一部分数据；和

用于向请求者提供所检索的信息的装置。

2.权利要求1的系统，其中，所检索的部分数据至少部分地是由请求者的身份确定的。

3.权利要求1的系统，其中，每个数据库条目进一步的特征是具有一组字段，其中每个字段表示对应于该个人的个人信息的一个子集。

4.权利要求3的系统，其中，至少一个字段包含一个指向其中对应于该字段的个人信息所在的二级数据库的指针。

5.权利要求4的系统，其中，解析器被设置得从数据库中检索至少一个字段标识符，并进一步被设置得从对应于该字段标识符的服务器中请求对应的个人信息。

6.权利要求4的系统，其中，每个字段包含一个指向对应的二级数据库的指针，其中，对应于第一字段的二级数据库不同于对应于第二字段的二级数据库。

7.权利要求1的系统，其中，虚拟身份数据库的至少一部分驻留在该个人的数据处理系统上。

8.一种电子交易方法，适合用于包含至少一个条目的虚拟身份数据库，其中每个条目对应于某个人的虚拟身份，该方法包含：

从请求者接收含有虚拟身份的请求；

从数据库中检索存储在对应于虚拟身份的条目中的一部分数据，其中，所检索的部分数据至少部分地是由请求者的身份确定的；和

向请求者提供所检索的信息。

9.权利要求8的方法，其中，每个数据库条目进一步的特征是具有一组字段，其中每个字段表示对应于该个人的个人信息的一个子集。

10.权利要求9的方法，其中，至少一个字段包含一个指向其中对应于该字段的个人信息所在的二级数据库的指针。

11.权利要求10的方法，进一步包含从数据库中检索至少一个字段标识符，并从对应于该字段标识符的服务器中请求对应的个人信息。

12.权利要求8的方法，其中，虚拟身份数据库的至少一部分驻留在该个人的数据处理系统上。

13.一种虚拟身份系统，包含：

一个包含至少一个虚拟身份条目的虚拟身份数据库，其中每个条目对应于一个虚拟身份并且其中每个虚拟身份条目包括指示对应的个人的个人信息的信息，该个人信息至少包括该个人的邮寄地址；

用于响应识别出一个虚拟身份而访问虚拟身份数据库，以检索对应于该虚拟身份的条目中的至少一部分信息的装置，其中所检索的信息包括表示个人的邮寄地址的信息；和

用于向信息请求者提供所检索的包括邮寄地址的信息的装置。

14.权利要求13的系统，其中，用于访问数据库的装置包含一个地址解析器，地址解析器被配置以检索指示个人邮寄地址的信息。

15.权利要求14的系统，其中，地址解析器被配置以便至少部分地根据虚拟标识符来确定驻留着数据库的服务器。

16.权利要求13的系统，其中，虚拟身份数据库包括与虚拟标识符相关联的个人的邮寄地址。

17.权利要求13的系统，其中，虚拟身份数据库包括一个指向包括该个人的地址信息的二级数据库的指针。

18.权利要求13的系统，其中，该个人的虚拟数据库条目驻留在该个人的数据处理系统上。

19.权利要求13的系统，其中，地址解析器包括一个被配置以决定是否要向请求者返回所检索的信息的引擎。

20.权利要求19的系统，进一步包含一个托管数据库，并且其中该引擎根据请求者的身份与托管数据库中的一个条目相符而决定是否要返回所检索的信息。

Images