CN1530862A - 用于对电子数据的使用进行认证的用户对象 - Google Patents

Abstract

本发明涉及一种用于由变换的用户处理电子数据的电子数据处理装置(1)、一种对应的方法及包含用于在该装置上实施该方法的信息的存储介质。在该数据处理装置(1)上运行用来配置该装置的操作系统和用来处理数据的应用程序，该数据处理装置具有一数据存储器(3)、一文档存储器(5)，和一用户对象存储器(7)，其中，通过用户对象存储器(7)存储文档用户对象(81)，其在应用程序(73)层面上记录对该文档存储器(5)中的数据的访问；以及认证用户对象(77)，其可以为该认证用户对象在操作系统(71)层面上分配对所述数据的访问权限，并可以为其分配多个用于认证该权限的文档用户对象(81)。

Description

用于对电子数据的使用进行认证的用户对象

技术领域

本发明涉及一种电子数据处理装置，用于由不同用户处理、存储和读出电子数据，这些用户被赋予不同的数据访问权限且其对数据的访问被记录下来。本发明还涉及一种运行该数据处理装置的方法和具有用于在数据处理装置上实施这种方法的信息的存储介质。

背景技术

文本和图像数据，特别是医疗上重要的数据如检查结果、诊断图像或者患者数据，越来越多地被电子地存放和应用。电子应用要求特别的措施，以便可以掌握对数据的访问和对数据的修改。特别是在健康事业中许多电子数据为保密而分级，并且要求数据保护规定，其中，对电子数据的每个用户唯一地进行识别和认证。每次数据访问以及数据的利用必须在唯一的用户数据下被记录(“auditing”，审核)，而对患者数据的访问则仅允许得到认证的用户进行(“access control”，访问控制)。由此，标识表示用户的唯一的、独用的标志，而认证意味着对用户的特定数据访问权限的许可。即，认证的含义是授予用户特定的数据访问权限。认证的基本前提是识别。

由此，产生了以下的要求。对于唯一的记录要求能够单独识别每个用户。对于保护数据免受未授权的访问可以设想在不同深度的软件层面上的机制，其中，这些机制的可触及性依赖于各软件层面的不同深度。在较低软件层面(即在极端情况下在操作系统层面上)上运行的机制允许较少的触及可能性，并因此保证了更可靠的访问保护。因此，在应用安全性关键的或者医疗上重要的数据(特别是关于个人的数据和患者数据)时，访问权限尽可能实现在操作系统层面上。这要求，应该拥有广泛的访问权限的用户必须作为操作系统用户在系统上登录，这可以保证对数据的访问。反之，应该拥有较少访问权限的用户则只能作为应用用户在应用软件上登录。

一种用于处理电子数据的可能的系统可以是一个医疗工作站，例如一个所谓的形态(Modalitaet)，在其上可以采集并处理诊断和图像数据。在这样的工作站上典型地是多个人员以较紧的时间顺序，分别在照顾患者和操作仪器之间以快节奏来回转换。即，在这样的工作站上多个用户快速轮换着并照顾多个患者。显然，应该使不同用户和不同患者之间的转换按照工作流程的合理化和经济的角度尽快地实现。

其它用于处理保密电子数据的系统例如用在研究部门、财政、法律业或者在人口统计调查中。本质上将关于个人的数据和需要保密的数据等同于保密的。

因为所要求的数据通常视为需要按特殊的措施保护，要求对用户进行尽可能安全的认证。按照上面所述即应该将该认证在操作系统层面上实现。其结果是，不同用户之间的转换只有通过在操作系统上的重新登录才可以实现。但是，在目前使用的系统中在操作系统上的重新登录是极其费时的，因为其每次要求操作系统重新启动，并还每次要求结束和重新启动处理数据的应用程序。通过这种费时的重新启动使得在应该经常和快速轮换使用的工作场所上最大可能的访问安全性的实现花费了过多的时间，并因此经常为面对时间压力的诊所所不能接受。

因此，常规的医疗和其它利用保密数据工作的工作场具有的数据安全系统，这些数据安全系统通常要么从开始就阻止了在工作场所的多重使用，要么在日常使用中由于时间压力而引起对数据安全系统的有意回避，这样，就促使不同的用户放弃各自在系统上的重新登录而利用一个共同的系统登录进行工作。此外，利用一个共同的系统登录造成这样的后果，即使得用户数据的记录与对安全关键数据访问的关联变得困难，因为系统不能分别识别出用统一的系统登录工作的不同用户。

发明内容

本发明要解决的技术问题是，提供一种处理、存储和读出电子数据的系统，该系统为了记录的目的以及正确认证的目可以完全识别出各用户，从而可以保证在不降低数据安全性的条件下快速地进行用户转换。

上述技术问题是通过一种用于由变换的用户处理电子数据的电子数据处理装置解决的，在其上运行有用来配置该电子数据处理装置的操作系统和用来处理数据的应用程序，该电子数据处理装置具有一个用于存储数据的数据存储器、一个用于存储记录对所述数据的访问的文档数据的文档存储器、一个存储用于认证和记录对所述数据的访问的用户对象的用户对象存储器，其中，通过所述用户对象存储器可以存储文档用户对象，该文档用户对象可以在应用程序层面上记录对所述文档存储器中的数据的访问；以及认证用户对象，其可以为该认证用户对象在操作系统层面上分配对所述数据的访问权限，并可以为其分配多个用于认证该权限的文档用户对象。

上述技术问题还通过一种由用户借助于一电子数据处理装置对电子数据进行处理的方法来解决，在该电子数据处理装置上运行有用来配置该电子数据处理装置的操作系统和用来处理数据的应用程序，该方法包括步骤：

在第一步骤，将用户作为文档用户对象加以识别；

在第二步骤，将该用户作为认证用户对象加以识别；

在第三步骤，为该认证用户对象分配在操作系统层面上对数据的访问权限；

在第四步骤，在应用程序层面上将对数据的访问为了记录的目的而与一个文档用户对象相结合地进行存储；对多个用户可以通过同一认证用户对象进行识别，并由此可以通过同样的数据访问权限进行认证。

此外，本发明还涉及一种其上存储有用于在本发明的数据处理装置上实施本发明方法的存储介质。

本发明基于这样的认知，即，对利用保密电子数据工作的工作场所的不同用户经常属于相同的认证级别，即具有对要求的数据具有相同的访问权限。在卫生事业的数据保护环境中，在一个共同认证级别上的、例如被视为一个医疗小组的用户的访问权限被定义为团队或者组访问权限。

迄今为止，用户须在系统上作为一致的、单独的用户对象进行登录，该用户对象用于记录和认证的目的。本发明去除了常规的识别对象与认证对象的联系。而是使用包含用于识别用户的单独的文档用户对象，以及一与此分离的、定义一特定认证级别的认证用户对象。该认证用户对象可以不是分别赋予一个认证级别的所有用户，在这个意义上可以被视为用于用户组的组用户对象。

通过使用分开的用户对象可以将在共同认证级别上用户(例如一个医疗组)之间的转换通过个别的文档用户对象的转换实现，而不必强迫地也将操作系统由于与该相关的认证用户对象的转换而必须重新启动。例如，可以将属于一个共同用户组的用户对象之间的转换在医疗或者关于人员的数据处理的应用软件层面上进行。只有在不同用户组的用户之间转换时才必须在认证级别上进行转换，即在操作系统层面上进行退出和重新登录。

在本发明的一个优选实施方式中，对用户在访问数据之前通过安全询问进行认证，并且根据该安全询问的结果为该用户分配一个文档用户对象和一个认证用户对象。

在本发明的另一个优选实施方式中，为了进行安全询问设置了一个用于询问生物数据的装置和/或一个用于询问机械和/或电子密钥的装置或一个用于询问芯片卡的装置。

在本发明的另一个优选结构中，用户对象存储器通过一个适合于远程数据传输的连接与电子数据处理装置连接。

附图说明

下面对照附图对本发明的实施方式作进一步的说明。图中，

图1示意地示出了电子数据处理装置，

图2为本发明方法步骤的流程图，以及

图3为本发明的用户层面。

具体实施方式

图1示出了电子数据处理装置一个优选的实施方式的结构。该数据处理装置例如可以是一个医疗工作站、一个研究工作站或者一个财务终端，其核心部件是计算机1，该计算机拥有一个例如键盘的输入设备9和一个例如显示器的输出设备11。

计算机1可以访问一个数据存储器3，在该存储器中存放了关于个人或医疗上重要的、作为保密分级的电子数据7。在该计算机1上按通常的方式运行着一个操作系统，该操作系统对于硬件的配置和计算机1的运行是必需的。此外，在该计算机1上运行着一个适合于处理保密的图像、文本或元数据的应用程序。该应用程序例如可以用来输入患者数据，输入医学诊断或者评估，对诊断图像数据进行处理或者采集关于个人的信息。作为该程序的用户可以是医疗专业人员或患者以及管理人员、技师、销售人员、研究者或者财务专业人员。计算机1允许对电子数据进行处理，其中处理的含义包括产生、存储、变动、删除或者阅读以及各种其它对数据的访问。

计算机1还可以访问一个文档存储器5，该存储器将对在数据存储器3中数据的所有访问进行记录。为此目的存放了关于访问类型、所访问的数据和进行访问的用户的信息，其中，作为对数据的访问不仅是指改变而且还包括仅仅单纯的查看。

此外，计算机1与一个认证存储器7连接，该存储器可以直接连接或通过计算机1远距离地设置在中心位置，并可以通过数据远程传输连接8进行访问。认证存储器7包含允许对计算机1或者整个数据处理系统的用户进行识别的信息，该用户被分配有一个可以登录系统的用户对象，并确定该用户对象属于哪个用户组。在此，该用户组包含对于该用户对象有效的、用来定义认证级别的信息。换言之，通过该属于一个用户组的属性可以为该用户对象分配并赋予一个访问权限，并由此对其进行认证。

为了能够识别系统的一个用户并为其分配一个用户对象，计算机1必须询问关于该用户的信息，其可以将该信息与在认证存储器7中的信息进行比较。因为在该识别的结果中产生文档数据并确定用户的认证级别，这些询问的信息本身要按特殊的措施保密地处理和保护。因此，该询问可以以询问口令的形式进行。使用口令具有公知的缺点，即，足够安全的口令通常很长、难于记忆和不容易输入。这使得其使用以及特别是系统上用户的转换都困难。对于口令询问实际的替换方案在于，通过摄像机13采集用户的生物数据，例如眼球虹膜的结构，通过密钥阅读器15扫描用户各自不同的电子或机械密钥，或者通过芯片卡阅读器17询问用户各自不同的芯片卡。这些建议的安全系统保证了一种安全且对用户低廉的识别，其中，特别是生物数据的询问对于用户是特别舒适的并且可以防止欺骗。

认证存储器7可以按优选的方式远离工作场所而设置为中央的。通过这种方式其可以用作整栋楼房(例如医院、办公楼)或者跨楼房的数据服务器。在中央定位中作为认证服务器其可以按具有不对称的密钥系统的信任中心(Trust-Center)的方式工作。在使用具有公钥和私钥的不对称密钥系统时还额外地要求数据远程传输连接8加密地运行。自然，设置了例如防火墙等足够的保护措施，以便保护数据存储器3和整个系统中的数据。

使用中央认证服务器提高了数据的移动性，并还使得可以使用专家系统访问在位置上分开工作的专家的数据，因为文件和认证不局限在本地。此外可以针对不同的认证级别在中心定义和预先给定标准，以便可以在整个数据系统中统一地使用，如用于整个的健康事业。

在计算机1上运行的操作系统的作用是按公知的方式对计算机按照硬件进行配置。其决定哪些硬件部件可供使用以及哪些用户可以访问该部件。由此可以对硬件和因此在该硬件中存储的数据的使用，根据用户允许、禁止或者授权。此外，操作系统还起到一个平台的作用，在该平台上可以运行应用程序，其中，还必须对这些应用程序的访问权限进行授权。因为应用程序在操作系统之上运行，在操作系统运行期间可以将其结束或启动。反之，有效的认证级别的改变在最大的数据安全性的条件下，仅仅通过结束并重新启动操作系统才可能。

图2示出了本发明工作的方法步骤的流程图。该流程图显示了操作系统和认证级别执行的工作过程。在步骤31用户首先登录使用例如医疗工作站的系统。在此，该登录按照公知的方式通过在一个键盘或者其它合适的输入设备上输入用户标识而进行。该用户标识等同于一个注册名或者登录名且不提供数据可靠性。

根据该用户的登录在步骤33进行安全询问。该安全询问的作用是防止欺骗地对用户进行识别，因此等同于输入用户口令。其也可以通过键盘作为口令输入，不过，也可以通过摄像机采集用户的生物数据或者利用一个与系统连接的询问装置扫描电子或机械密钥或者一个芯片卡。

根据在步骤33中的不同的安全询问可以放弃在前面步骤31中的用户标识的输入。例如可以通过自动执行的生物学测量进行完全的和可靠的识别，而不需用户在步骤31中做什么。使用充分可靠的密钥可以同时足够用于识别用户和用于验证，即作为实际的安全询问。由于可以免去麻烦的键盘输入，这尤其使得在系统上用户的频繁更换变得容易。

在步骤35，将此前识别的用户通过一个在操作系统层面上工作的程序识别为用户对象。为此，系统调用根据在安全询问中确定的数据可以识别用户的数据存量。该数据存量既可以是存储在系统内的数据又可以是通过远距离(例如通过因特网)访问的数据。

在下一个步骤37中，确定此前识别的用户对象属于哪个用户组。为此，访问同样可以是本地或者非本地存储的数据。用于识别用户对象和用于分配用户组的数据存量既可以存放在自身的数据存储器中又可以存放在单独的数据存储器中。

在步骤39中，验证当前在系统上要登录的用户对象的用户组是否对应于此前登录的用户对象的组，或者该用户对象是否属于另外一个用户组。如果当前要登录的用户组与此前登录的用户组一致，则在步骤49中系统启动用户所希望的应用程序。否则的话则要求重新启动系统，因为用户组的转换与一个认证级别的转换相联系，而后者仅仅可以通过在操作系统层面上的改变才可以实现。

为此目的，在步骤41中，将运行着的应用程序的当前配置临时存储，并在步骤43中结束该应用程序。在步骤45中将操作系统的当前状态临时存储，并在步骤47中结束并重新启动操作系统。

通过针对操作系统和应用程序配置的状态的临时存储的数据，可以在操作系统重新启动后再现先前的工作站的配置。在此，可以将此前在登录时识别出的用户自动地在操作系统上登录，并设置有关的认证级别。不过，也可以在步骤31中要求用户重新登录。为此，必须重复在步骤33中的安全询问、在步骤35中的作为用户对象的识别和在步骤37中对于用户组的分配。在成功地认证之后，在步骤49中启动先前配置的应用程序或者所希望的应用。

在步骤51中，应用程序确定，当前登录的用户对象是否与新登录的一致，或者是否进行了转换。如果进行了转换，则在步骤53中在应用程序层面上记入此时有效的用户对象，并可以为了记录的目的随时对其进行调用，否则的话先前的用户对象保持有效。

在步骤55中，对用户对保密数据的数据访问进行记录。在此对哪些用户借助于何种应用程序何时访问了何种数据进行记录。此外，对数据访问的类型进行记录，即，确定是对数据进行了处理还是仅仅查看了数据。

根据在图2中的流程图可以看出，本发明简化了系统上用户的转换。在常规的系统中必须将步骤41至49在每个用户转换时对于操作系统和应用程序的重新启动进行处理，其中，特别是其中重新启动操作系统的步骤47是特别费时的。相反，本发明则允许，如果确定了要登录用户的认证级别或者认证用户对象与当前登录的用户一致的话，则总是可以舍弃这些步骤。这样，总可以放弃重新启动操作系统，而最多对于文档用户对象的转换重新启动应用程序。

但是，通常也可以放弃在文档用户对象的转换时重新启动应用程序，而代之以仅仅在应用程序的内标明新的用户对象。

图3示出了本发明利用的操作系统和应用程序层面的分离。在图3中操作系统71位于虚线上部层面，该层面与虚线下部的应用程序73的层面相分离。

操作系统71负责数据处理装置的硬件配置并用于识别和认证系统用户。为此，操作系统具有一个认证机制75，其或者是操作系统的一部分或者是在操作系统层面上工作，以便能够根据用户对象预定出一个其它的认证级别。在此，在用户组77中定义了属于一个认证级别的硬件配置和各访问权限的范围。每个用户组77定义了一个自身的认证级别和自身的硬件配置。认证用户对象和由此的用户组77的转换发生在操作系统71的层面上。

在应用程序73层面上进行对应于给定认证级别所允许的数据访问，并通过文档机制79进行记录。该文档机制79标明哪些用户何时按何种方式访问了何种数据。其中，既记录改变数据的数据访问也记录对数据的单纯查看。文档的规模至少对应于有效的、有关数据的法律规定。为了标示访问数据的用户，文档机制79需要用于识别用户的信息。这种信息是通过各个登录的文档用户对象81给出的，该用户对象的标识被作为各数据访问的发起者存储。

用户对象81是用户组77的各个部分。用户对象81的转换不必利用认证级别的转换进行，也就是说，其可以在不进行用户组77的转换的条件下仅仅在应用程序73的层面上进行。为了说明这一点，在图3中在应用程序层面上的用户组77内分别示出多个用户对象81。从图中可以看出，仅仅当转换到另一个用户组77的用户对象81时，才要求其转换和由此的操作系统层面的变化。只有在这种情况下，才要求重新启动操作系统71，其然后可以进行认证级别的转换，这导致通过在应用程序73上的认证机制75分配改变了的访问权限的范围。

由此，数据访问权限的范围通过操作系统层面预先给定，而对数据访问的记录仅仅在应用程序层面上实现。

Claims (6)

1.一种电子数据处理装置(1)，用于由变换的用户处理电子数据，在其上运行有用来配置该电子数据处理装置的操作系统和用来处理数据的应用程序，该电子数据处理装置具有一个用于存储数据的数据存储器(3)、一个用于存储记录对所述数据的访问的文档数据的文档存储器(5)、一个存储用于认证和记录对所述数据的访问的用户对象的用户对象存储器(7)，

其特征在于，通过所述用户对象存储器(7)可以存储文档用户对象(81)，该文档用户对象可以在应用程序(73)层面上记录对所述文档存储器(5)中的数据的访问；以及认证用户对象(77)，其可以为该认证用户对象在操作系统(71)层面上分配对所述数据的访问权限，并可以为其分配多个用于认证该权限的文档用户对象(81)。

2.根据权利要求1所述的电子数据处理装置(1)，其特征在于，对用户在访问数据之前通过安全询问进行认证，并且根据该安全询问的结果为该用户分配一个文档用户对象(81)和一个认证用户对象(77)。

3.根据权利要求2所述的电子数据处理装置(1)，其特征在于，为了进行所述安全询问设置了一个用于询问生物数据的装置(13)和/或一个用于询问机械和/或电子密钥的装置(15)或一个用于询问芯片卡的装置(17)。

4.根据上述权利要求中任一项所述的电子数据处理装置(1)，其特征在于，所述用户对象存储器(7)通过一个适合于远程数据传输的连接与所述电子数据处理装置(1)连接。

5.一种由用户借助于一电子数据处理装置(1)对电子数据进行处理的方法，在该电子数据处理装置(1)上运行有用来配置该电子数据处理装置(1)的操作系统(71)和用来处理数据的应用程序(73)，

其特征在于，

在第一步骤(35)中，将用户作为文档用户对象(81)加以识别；

在第二步骤(37)中，将该用户作为认证用户对象(77)加以识别；

在第三步骤(47)中，为该认证用户对象(77)分配在操作系统(71)层面上对数据的访问权限；

在第四步骤(55)中，在应用程序(73)层面上将对数据的访问为了记录的目的而与一个文档用户对象(81)相结合地进行存储；对多个用户可以通过同一认证用户对象(77)进行识别，并由此可以通过同样的数据访问权限进行认证。

6.一种其上存储有信息的存储介质，为了执行按照权利要求5所述的方法，该存储介质可以与一个电子数据处理装置(1)进行交互作用。

Images