CN1882898A

CN1882898A - 访问数据处理装置的方法

Info

Publication number: CN1882898A
Application number: CNA2004800342357A
Authority: CN
Inventors: 卡洛斯亨里克·阿格莱布吉莱克; 格尔德·施米特
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2003-11-19
Filing date: 2004-11-09
Publication date: 2006-12-20
Also published as: US20070150940A1; US7624430B2; EP1685472A1; WO2005050418A1; DE10353966A1

Abstract

本发明涉及一种用于访问数据处理装置(D1)的方法，该数据处理装置由相互联网以交换数据的数据处理单元(1，2，3)组成。为了使系统技术人员(8)能够仅按照四眼原则访问被保护的数据，本发明建议分别为系统管理员(4)和系统技术人员(8)分配认证装置。

Description

访问数据处理装置的方法

技术领域

本发明涉及一种用于访问数据处理装置的方法。

背景技术

在现有技术中公开了由多个为相互数据交换而联网的数据处理单元、如个人计算机、计算机控制的设备、服务器等构成的数据处理装置。在此，将每个数据处理单元分配给有限数量的用户。为了防止未经允许的使用，为每个用户都提供个人的密码。用户通过输入密码而得到认证并获得对数据处理装置的访问权。

目前，尤其是在医院中数据处理装置构造复杂。这样的数据处理装置的部件首先是诊断和分析设备。这样的设备必须始终保持完全正常地运转。尤其是对这样的设备的维护和维修通常需要系统技术人员对数据处理装置的访问。在此，一个一直未解决的问题是系统技术人员由此可得到对患者数据的访问。由于数据保护法的原因，对于这样的数据处理装置的访问仅允许根据四眼原则进行，即仅能同时由两个授权人员进行。但在实践中这很难实现，因为在数据处理装置出现功能故障的情况下通常需要立即的帮助，而两个授权人员同时又是具有足够能力消除功能故障的情况并不总是存在。

在DE 10121819 A1中公开了一种方法，其中，如果分配给医生的第一芯片卡和分配给在场的患者的第二芯片卡同时为认证而由在医生所在位置的数据处理装置读取，则该医生可以只访问特定于该患者的数据。

发明内容

本发明要解决的技术问题是，提供一种方法，使得对数据处理装置的系统管理员保护的访问的数据权限仅能够根据四眼原则实施。

本发明的技术问题是通过权利要求1的特征解决。本发明方法的优选实施方式由权利要求2至13的特征给出。

按照本发明，提出了一种访问数据处理装置的方法，该数据处理装置由相互联网以交换数据的数据处理单元组成，包括步骤：

提供第一认证装置，用于认证系统管理员；

通过将该第一认证装置递交给认证程序在第一数据处理单元上对系统管理员进行认证；

提供第二认证装置，用于认证系统技术人员；

通过将该第二认证装置递交给认证程序在第二数据处理单元上对系统技术人员进行认证，并由此有条件地自动产生标识该第二认证装置的载体的标识信息；

在系统管理员的第一数据处理单元上显示该标识信息；

为该系统技术人员释放访问授权，并自动触发产生和存储系统技术人员对数据处理装置上记录的记录文件的操作的功能。

根据本发明的方法，系统技术人员仅在递交了分配给其的第二认证装置之后才能获得对数据处理装置的访问权。释放这样的访问权通过产生标识信息而被存档，并在系统管理员的第一数据处理装置上加以显示。此外，还产生记录系统技术人员的操作的记录文件，借助该文件系统管理员例如能够理解系统技术人员的介入。由此保证数据始终处于系统管理员管理之下。系统管理员借助所产生的记录文件可以检验系统技术人员是否未经授权访问数据。如果是这种情况，系统管理员可以立即阻止有关系统技术人员对数据处理装置的所有继续访问。利用所建议的方法可以根据四眼原则的原理对数据处理装置进行访问。在此尤其具有优点的是，如果仅有一个系统技术人员利用系统管理员的知识在数据处理装置上工作的话，也可以实现这样的访问。

在本发明意义下，“访问”的概念被理解为对数据处理装置的数据进行保护、改变或全部或部分地复制的所有操作。在本发明意义下的“数据处理单元”是指与其它适于数据交换的装置为进行数据交换而连接的装置。这样的装置为进行数据交换通常具有双向接口。在此，其可以是个人计算机、计算机控制的设备或装置等等。

“系统管理员”的概念被理解为，为维护和监测数据处理装置而具有特殊权限的人员。在本发明意义下的系统管理员相对于系统技术人员具有这样的可能性：开通或关闭对数据处理装置的访问。这种可能性尤其通过第一认证装置被赋予给系统管理员。

为了对系统技术人员进行认证，第二认证装置可以借助认证程序通过访问包含经验证的第二认证装置的文件并与之进行比较，当与该经验证的第二认证装置一致时，向系统管理员传输相应的信息。“经验证的第二认证装置”应理解为传输给系统技术人员的第二认证装置的拷贝，其由系统管理员在一个只能由他访问的文件中进行管理。为了访问数据处理装置，系统管理员向每个系统技术人员传送一个特殊的第二认证装置。为了简化对第二认证装置的真实性的检验，将其一同存储在文件中。只要认证程序确定，访问请求是基于与经验证的第二认证装置相同的第二认证装置的，则借助适当的信息将其显示给系统管理员。优选为包含在该文件中的每个经验证的第二认证装置分配一个为此特定的标识信息。在此，标识信息例如可以是名称以及必要时系统技术人员对特定机构的归属性。因此在第二认证装置与存储在文件中的经验证的第二认证装置一致的情况下，还可以为系统管理员附加地显示系统技术人员的名称和机构。

在特别简单的情况下，第一和/或第二认证装置是优选地可借助设置在数据处理单元上的键盘递交给认证程序的认证码。为了提高安全性，合适的是将认证码存储在与数据处理装置无线连接以传输数据的存储单元中。该存储单元可以是设置有数据载体的认证卡。该认证卡可以具有存储装置，尤其用于存储记录文件和/或使得能够访问该记录文件的信息。该信息例如可以是一个“链接”，借助该链接可以查找该记录文件并将其打开。

为了提供安全性，可以通过系统管理员手动触发认证程序中为此设置的、并仅能由系统管理员访问的功能实现访问授权的释放。由此保证了只能在系统管理员的积极认可下才能访问。但还可以根据对第二认证装置的自动检验来自动地同意系统技术人员的访问。按照本发明，在这种情况下也自动产生尤其一个记录文件。这使得能够访问数据处理装置，尤其是在医院中数据处理装置必须保持不间断地运行。

按照另一实施方式，第一和第二数据处理单元之间的连接通过因特网或企业内部网实现。这使得系统技术人员可以对远程设置的第二数据处理单元进行访问。由此，可使对相应的设问(Problemstellung)具有最佳资质的系统技术人员随时、即不限于其所在地地访问数据处理装置。这使得可以快速而有效地排除功能故障。同时，还可以保证访问的系统技术人员的真实性并对其操作进行记录。在这种情况下系统技术人员的访问也按照四眼原则的基本原理进行。借助于数据处理装置尤其对这样的数据进行处理，即，该数据仅允许一个具有特殊授权的人员访问，或者在没有特殊授权的情况下仅允许具有简单授权的人员根据四眼原则访问。合适的是，特殊授权通过由分配给该个人的第三认证装置递交给数据处理装置来验证。具有特殊授权的个人例如可以是医生。所述数据例如是需要保护的涉及个人的数据，尤其是患者数据。

附图说明

以下借助附图对本发明的实施例进行详细描述，图中：

图1借助示意图示出本发明的方法；

图2示出认证程序的主要组成部分。

具体实施方式

图1示出了第一数据处理单元1，其例如为个人计算机。该第一数据处理单元1是联网的第一数据处理装置D1的组成部分，该数据处理装置D1还包括其它作为数据处理单元的例如计算机控制的设备2或其它个人计算机3。第一数据处理单元1被分配给系统管理员4，其掌管第一数据处理装置D1上的数据。系统管理员4尤其被授权借助第一程序5为第一数据处理装置D1的用户分配角色和权力。这样的角色和权力使得各用户仅能访问对其工作领域必需的数据。用户对这样的数据可随时进行访问，即，即便在系统管理员4未注册到该第一数据处理装置D1中时也能访问。

第一数据处理装置D1通过利用防火墙6保护的数据导线7与服务机构的第二数据处理装置D2连接。该连接例如可通过因特网或企业内部网实现。该第二数据处理装置D2包括例如为个人计算机的第二数据处理单元7，其被分配给系统技术人员8。

系统管理员4为其的认证而拥有第一存储卡9，在其上存储有第一认证码。可借助第一数据处理装置D1的适当的读取装置读取该第一认证码。系统技术人员8为其认证拥有第二存储卡10，在其上存储有第二认证码。可借助适当的读取装置读出该第二认证码并使得可以访问第一数据处理装置D1。在此，用于读取第二认证卡10的读取单元不必一定是第一数据处理装置D1的组成部分。其还可以是第二数据处理装置D2的组成部分。在这种情况下，可借助设置在第二数据处理装置D2中的第二程序11来在试图访问第一数据处理装置D1之前检验第二认证码的真实性。

本发明装置的功能如下：

首先，负责第一数据处理装置D1的IT经理12与服务机构及系统技术人员8签订服务合同。在签订了这样的合同之后系统技术人员8从IT经理12获得第二存储卡10，在其上存储有第二认证码。

在第一维护/维修的情况下，系统管理员4通过电话呼叫或E-Mail向系统技术人员8要求服务。在此，其可以是可由第二数据处理单元7实现的服务。在这种情况下，系统技术人员8将第二存储卡10递交给设置在第二数据处理装置D2上的读取装置。由此，认证该系统技术人员8的第二认证码被在第二数据处理装置D2内传送给第二程序11。对该第二认证码进行检验。只要第二程序11识别出该第二认证码为真实的，则通过数据导线7建立与第一数据处理装置D1的连接。借助第一程序5检验所期望的访问。为此，首先检验第一存储卡9是否插在例如第一数据处理装置D1上的读取设备内。如果不是，则系统技术人员8就不能进行访问。如果对存储在第一存储卡9上的第一认证码的访问可以认证系统管理员4，则将该第二认证码与存储在一个文件中的多个第二认证码进行比较。如果该第二认证码被识别为不是真实的，则系统技术人员8不能进行访问。如果该第二认证码被识别为是真实的，则触发记录功能。同时系统技术人员8获得对第一数据处理装置D1的访问权。只要系统技术人员8在访问第一数据处理装置D1，全部对第一数据处理装置D1上的数据的改变、补充等都会被记录。一旦系统技术人员8结束了其操作并退出，则记录文件将被关闭。

记录文件除了包含关于全部对第一数据处理装置D1的数据的改变、补充等的记录外，还优选包含下列信息：

-系统技术人员的名称，

-服务机构的名称，

-登录/退出时间，

-访问的类型，必要时访问所采用的数据处理单元的标识。

在第二维护/维修的情况下，系统管理员4通过电话呼叫或E-Mail向系统技术人员8要求要在现场实施的服务。在此，服务例如可以是更换医院的X射线计算机断层造影设备的模块。在这种情况下，系统技术人员8在利用第二存储卡10的条件下登录到第一数据处理装置D1的适当数据处理单元中。在这种情况下，访问也仅在系统管理员4同时利用第一存储卡9登录第一数据处理装置D1时才有可能。

根据另一个优选功能，系统管理员4可以随时通过中断对第一认证码的访问而中断对第一数据处理装置D1的访问来中断系统技术人员8的操作。这例如可以通过系统管理员4将第一存储卡9从相关的读取设备中取出来实现。因此，与常规方法不同的是，按照本发明的方法系统管理员4始终掌管数据。此外，还可以借助自动记录功能来了解系统技术人员8的全部操作。在滥用的情况下可容易地阻止系统技术人员8对第一数据处理装置D1的继续访问。为此，仅须将存储在文件中的相关第二认证码删除或更改。

利用所建议的方法系统技术人员8仅能按照四眼原则对第一数据处理装置D1的数据进行访问，也就是说，这样的访问始终处于系统管理员4的监管之下。由此可以防止未经授权的系统技术人员8对需要保护的涉及个人的数据、如患者数据的访问。

图2示出了第一程序5的主要组成部分。UI 1为用于访问第一数据处理装置D1的第一用户接口，而UI 2为用于例如通过数据导线7的访问的第二用户接口。

访问模块13可以使能或阻止系统技术人员8对第一数据处理装置D1的访问。访问模块13尤其是对认证码进行管理和比较。

优选地，程序5还具有其它尤其可方便对第一数据处理装置D1的维护和/或维修工作的模块。例如可设置定位模块14，利用该模块可确定具有资质的系统技术人员8正在哪个数据处理单元上工作并在必要时可以呼叫。

利用记录模块15对系统技术人员8的操作进行记录。利用记录模块15尤其可以产生记录文件并存储在预定的位置。

匿名化模块16尤其用于将需要保护的个人数据匿名化。由此，例如可将患者姓名用标号替代，以按照数据保护法使系统技术人员8无法看到个人数据。

利用帮助模块17、18提供系统管理员4和系统技术人员8所需的程序5的功能的描述。模态模块19使得可以与例如X射线计算机断层造影设备的计算机控制的设备进行数据交换，等等。IT系统模块20以类似的方式使得可与数据库进行数据交换。

操作系统模块21实现将第一程序5正确地绑定在使用的各操作系统中所需的先决条件。

Claims

1.一种访问数据处理装置(D1)的方法，该数据处理装置由相互联网以交换数据的数据处理单元(1，2，3)组成，包括步骤：

提供第一认证装置(9)，用于认证系统管理员(4)；

通过将该第一认证装置(9)递交给认证程序(5)在第一数据处理单元(1)上对系统管理员(4)进行认证；

提供第二认证装置(10)，用于认证系统技术人员(8)；

通过将该第二认证装置(10)递交给认证程序(5)在第二数据处理单元(7)上对系统技术人员(8)进行认证，并由此有条件地自动产生标识该第二认证装置(10)的载体的标识信息；

在系统管理员(4)的第一数据处理单元(1)上显示该标识信息；

为该系统技术人员(8)释放访问授权，并自动触发产生和存储系统技术人员(8)对数据处理装置(D1)上记录的记录文件的操作的功能。

2.根据权利要求1所述的方法，其中，所述第二认证装置(10)借助认证程序(5)通过访问包含经验证的第二认证装置(10)的文件并与之进行比较，当与该经验证的第二认证装置(10)一致时，向系统管理员(4)传输相应的信息。

3.根据权利要求2所述的方法，其中，为在所述文件中包含的每个经验证的第二认证装置(10)分配一个为此特定的标识信息。

4.根据权利要求3所述的方法，其中，所述标识信息包括名称以及必要时系统技术人员(8)对特定机构的归属性。

5.一种访问数据处理装置(D1)的方法，该数据处理装置(D1)由相互联网以交换数据的数据处理单元(1，2，3)组成，包括步骤：

提供第一认证装置(9)，用于认证系统管理员(4)；

提供第二认证装置(10)，用于认证系统技术人员(8)；

其中，该第一认证装置(9)和/或第二认证装置(10)是优选可借助设置在数据处理单元(1，7)上的键盘递交给认证程序(5)的认证码；

在系统管理员(4)的第一数据处理单元(1)上显示该标识信息；

6.根据权利要求5所述的方法，其中，所述认证码存储在与数据处理装置(D1，D2)无线连接以传输数据的存储单元中。

7.根据权利要求6所述的方法，其中，所述存储单元是设置有数据载体的认证卡(9，10)。

8.根据权利要求7所述的方法，其中，所述认证卡(9，10)具有存储装置，尤其用于存储所述记录文件和/或使得能够访问该记录文件的信息。

9.一种访问数据处理装置(D1)的方法，该数据处理装置(D1)由相互联网以交换数据的数据处理单元(1，2，3)组成，包括步骤：

提供第一认证装置(9)，用于认证系统管理员(4)；

通过将该第一认证装置(9)递交给认证程序(5)在第一数据处理单元(1)上的对系统管理员(4)进行认证；

提供第二认证装置(10)，用于认证系统技术人员(8)；

通过将该第二认证装置(10)递交给认证程序(5)在第二数据处理单元(7)上对系统技术人员(8)进行，并由此有条件地自动产生标识该第二认证装置(10)的载体的标识信息；

在系统管理员(4)的第一数据处理单元(1)上显示该标识信息；

为该系统技术人员(8)释放访问授权，并自动触发产生和存储系统技术人员(8)对数据处理装置(D1)上记录的记录文件的操作的功能；

其中，释放访问授权是通过系统管理员(4)手动触发认证程序(5)中为此设置的、并仅能由系统管理员(4)访问的功能实现的。

10.根据上述权利要求中任一项所述的方法，其中，由数据处理装置(D1)对数据进行处理，该数据处理装置(D1)仅允许一个具有特殊授权的人员访问，或者在没有特殊授权的情况下仅允许具有简单授权的人员根据四眼原则访问。

11.根据权利要求10所述的方法，其中，所述特殊授权通过由分配给该个人的第三认证装置传输给所述数据处理装置(D1)来验证。

12.根据权利要求10所述的方法，其中，所述数据是需要保护的涉及个人的数据，尤其是患者数据。

13.根据权利要求1所述的方法，其中，所述第一数据处理单元(1)和第二数据处理单元(7)之间的连接通过因特网或企业内部网实现。