TWI792923B

TWI792923B - 使用基於用戶互動歷史之模型來增強移動設備中之用戶驗證之電腦實施方法、電腦系統及電腦程式產品

Info

Publication number: TWI792923B
Application number: TW111106014A
Authority: TW
Inventors: 馬坦李維; 伊泰哈杉
Original assignee: 美商萬國商業機器公司
Priority date: 2021-06-16
Filing date: 2022-02-18
Publication date: 2023-02-11
Also published as: CN117396865A; WO2022263977A1; TW202301832A; US20220405358A1; GB2622540A; US11880439B2; GB202400112D0

Abstract

本發明描述使用一移動互動之用戶驗證，其可包括接收與在一移動設備上操作之一應用程式之一用戶相關聯的互動資料，該互動資料係在該用戶與該移動設備上之該應用程式的一互動會話期間產生。自該互動資料提取複數個特徵且自該複數個特徵產生一或多個特徵向量。將該複數個特徵聚合至該一或多個特徵向量且嵌入於每一特徵向量內。接著藉由將相關聯於該用戶之互動會話的一歷史與相關聯於複數個不同用戶之互動會話的一歷史進行比較而將嵌入之複數個特徵投射至一全域特徵空間，以用於產生一全域訓練資料集。最後，使用該全域訓練資料集將一驗證模型產生為一全域二元分類模型。

Description

使用基於用戶互動歷史之模型來增強移動設備中之用戶驗證之電腦實施方法、電腦系統及電腦程式產品

本發明大體上係關於網路安全領域，且更特定而言，係關於移動設備中之用戶驗證。

現今大部分敏感系統，諸如銀行帳戶及社交媒體帳戶，皆可經由移動設備存取。通常由敏感系統使用之鑑認方案包括例如密碼(具有或不具有第二因素鑑認)、指紋及一次性密碼。當前，此等方法仍無法有效地防止憑證竊取。另外，經鑑認會話可經由被盜訊錄(cookie)、中間人(MitM)攻擊、社會工程等方式劫持。此外，一旦用戶經鑑認，大部分鑑認機制便無法在整個會話中持續鑑認用戶的身份，此可能無法防止在第一次鑑認之後發生攻擊。基於移動互動之用戶驗證系統可允許在整個會話中驗證用戶的身份，且可防止憑證竊取。

本公開認識到與移動設備中之用戶驗證相關聯的缺點及問題。特定而言，與當前用戶驗證方案相關聯之問題需要針對系統中之每一用戶建立一個模型，此可引起記憶體過載且產生與並行除錯、更新及分析許多不同驗證模型相關之問題。因此，本公開之實施例提供一種不需要針對每一用戶建立一個模型的用於移動設備中之用戶驗證的方法及系統。此係藉由使用嵌入系統來達成，該嵌入系統可以具有單個模型用於所有用戶方法之優點的移動行為驗證方法實施。

經由提供一種用於移動設備中之用戶驗證的電腦實施方法，克服了先前技術之缺點且提供了額外優點。該方法包括：藉由一或多個處理器接收與在移動設備上操作之應用程式之用戶相關聯的互動資料，該互動資料係在用戶與移動設備上之應用程式的互動會話期間產生；藉由一或多個處理器自互動資料提取複數個特徵；藉由一或多個處理器產生一或多個特徵；藉由一或多個處理器將複數個特徵聚合至一或多個特徵向量；藉由一或多個處理器將複數個特徵嵌入每一特徵向量內且藉由將相關聯於用戶之互動會話的歷史與相關聯於複數個不同用戶之互動會話的歷史進行比較而將嵌入之複數個特徵投射至全域特徵空間，以用於產生全域訓練資料集；及藉由一或多個處理器使用全域訓練資料集將驗證模型產生為全域二元分類模型。

本公開之另一實施例提供一種用於基於上文所描述之方法的移動設備中之用戶驗證的電腦程式產品。

本公開之另一實施例提供一種用於基於上文所描述之方法的移動設備中之用戶驗證的電腦系統。

10:雲端計算節點

50:雲端計算環境

54A:個人數位助理或蜂巢式電話/計算設備

54B:桌上型電腦/計算設備

54C:膝上型電腦/計算設備

54N:汽車電腦系統/計算設備

60:硬體及軟體層

61:大型電腦

62:基於精簡指令集電腦架構之伺服器

63:伺服器

64:刀鋒伺服器

65:儲存設備

66:網路及網路連接組件

67:網路應用程式伺服器軟體

68:資料庫軟體

70:虛擬化層

71:虛擬伺服器

72:虛擬儲存器

73:虛擬網路

74:虛擬應用程式及作業系統

75:虛擬用戶端

80:管理層

81:資源佈建

82:計量及定價

83:用戶入口網站

84:服務等級管理

85:服務等級協議規劃及履行

90:工作負載層

91:地圖繪製及導航

92:軟體開發及生命週期管理

93:虛擬教室教育遞送

94:資料分析處理

95:異動處理

96:行為嵌入

100:網路連接之電腦環境

102:用戶端電腦

104:處理器

106:資料儲存設備

108:行為嵌入程式

110:通信網路

112:軟體程式

114:伺服器電腦

118:處理器

120:資料儲存設備

200:系統

210:移動設備

220:資料收集模組

230:特徵提取模組

240:行為嵌入模組

250:資料庫

260:歷史會話

270:模型產生模組

300:流程圖

302:步驟

304:步驟

306:步驟

308:步驟

310:步驟

312:步驟

402:處理器

404:隨機存取記憶體

406:電腦可讀唯讀記憶體

408:電腦可讀儲存媒體

410:作業系統

411:應用程式

412:設備驅動器

414:讀取/寫入驅動器或介面

416:網路配接器或介面

418:通信網狀架構

420:顯示螢幕

422:鍵盤或小鍵盤

424:電腦滑鼠或觸控板

426:攜帶型電腦可讀儲存媒體

428:網路

將結合隨附圖式最佳地瞭解作為實例給出且並不意欲將本發明僅限於此的以下實施方式，在隨附圖式中：圖1係說明根據本公開之實施例的網路連接之電腦環境的方塊圖；圖2A描繪根據本公開之實施例的用於移動設備中之用戶驗證的行為嵌入系統的組件；圖2B描繪根據本公開之實施例的將用戶之觸碰資料變換成嵌入式資料集以用於訓練全域驗證模型；圖3描繪說明根據本公開之實施例的用於使用行為嵌入之用戶驗證的電腦實施方法之步驟的流程圖；圖4係根據本公開之實施例的電腦系統之內部及外部組件的方塊圖；圖5為根據本公開之實施例的說明性雲端計算環境的方塊圖；及圖6係根據本公開之實施例的圖5之說明性雲端計算環境之功能層的方塊圖。

圖式未必按比例繪製。圖式僅為示意性表示，並不意欲描繪本發明之特定參數。圖示僅意欲描繪本發明之典型實施例。在圖式中，相同編號表示相同元件。

本文中揭示了所主張結構及方法的詳細實施例；然而，可理解，所揭示實施例僅說明可以各種形式體現之所主張結構及方法。然而，本發明可以許多不同形式體現且不應被解釋為限於本文中所闡述之例示性實施例。在本說明書中，可省略熟知的特徵及技術之細節以避免不必要地混淆所呈現實施例。

在一個實例中，諸如行為生物辨識之互動歷史提供一種在用戶與電子系統互動時驗證或剖析用戶的方式。詳言之，行為生物辨識可基於用戶與移動設備的互動模式而幫助在與移動設備中操作之應用程式的會話期間持續驗證用戶的身份。用於移動設備之大部分行為生物辨識技術基於自可用於移動設備中之不同感測器(例如，觸控式螢幕互動感測器、運動感測器等)獲得的資料而針對每一用戶建立一模型。可自此資料提取有意義的特徵以學習及模型化用戶的行為。例示性特徵包括平均速度、最大加速度、總移動距離及/或壓力標準偏差。此等特徵接著用以針對每一用戶產生一模型以模型化其特定模式。然而，在大型實時系統中實施個人化行為生物辨識模型可導致過度的記憶體消耗、處理利用率且導致儲存及運行時間延遲。

前述全域模型可用於行為生物辨識中以例如區分人與機器人，但不用於用戶驗證。全域模型具有許多優點，且將需要訓練全域模型以基於來自複數個不同用戶之資料持續驗證特定用戶。藉由如此操作，基於行為生物辨識之驗證系統可利用具有有限記憶體消耗及儲存之模型。

然而，用於用戶驗證之行為資料因用戶而顯著變化。因此，使用擬合來自大量不同用戶之行為資料的全域驗證模型可忽略與特定用戶之行為相關聯的重要個別特性。應注意，術語「行為資料」係指對應於由用戶在移動設備上執行的基於觸碰或基於運動之互動的歷史之資料，其可用於模型化用戶觸碰模式。

因此，本發明之實施例提供一種用於使用基於觸碰之行為嵌入而持續驗證移動設備之用戶的方法、系統及電腦程式產品。以下所描述之例示性實施例提供一種系統、方法及電腦程式產品，其用以：自移動設備上之觸控感測器提取用戶特定互動資料；將用戶特定互動資料嵌入特徵向量內；及基於包括來自用戶歷史之用戶特定互動資料的嵌入之特徵向量而產生用於用戶驗證之模型；外加其他。本公開之實施例將預處理步驟(亦即，行為嵌入)添加至傳統模型建立程序(亦即，資料收集、特徵提取、模型訓練及模型測試)，其中嵌入互動資料，其方式為使得該互動資料可用於訓練全域分類模型以驗證特定用戶，包括之前未必見過的彼等用戶。一旦產生嵌入式資料集，便可將任何統計、機器或深度學習模型訓練為二元分類模型。

因此，本發明實施例能夠藉由在不訓練及維持基於用戶之模型的情況下導出用於保留與每一用戶相關聯之個別行為模式之持續用戶驗證的具有成本效益之半全域驗證模型來改善網路安全之技術領域。此可實質上減少資源消耗且可促進模型維持、評估、除錯及監測。另外，所提議之驗證模型可能不僅適用於模型訓練之用戶，而且適用於系統中之任何用戶(亦即，訓練資料集上之用戶或新用戶)。

現參看圖1，描繪根據本公開之實施例的例示性網路連接之電腦環境100。圖1僅提供一個實施例之說明且並不暗示關於可實施不同實施例之環境的任何限制。熟習此項技術者可在不背離如由申請專利範圍所敍述之本發明範圍的情況下對所描繪之環境進行許多修改。

網路連接之電腦環境100可包括用戶端電腦102及通信網路110。用戶端電腦102可包括經啟用以運行行為嵌入程式108之處理器104以及資料儲存設備106。用戶端電腦102可為例如移動設備、智慧型手機、個人數位助理、隨身型易網機、膝上型電腦、平板電腦或能夠存取網路之任何類型的移動計算設備。

網路連接之電腦環境100亦可包括伺服器電腦114，該伺服器電腦具有經啟用以運行軟體程式112之處理器118以及資料儲存設備 120。在一些實施例中，伺服器電腦114可為資源管理伺服器、網站伺服器或能夠經由通信網路110接收及發送資料之任何其他電子設備。在另一實施例中，伺服器電腦114可表示利用多個電腦作為伺服器系統的伺服器計算系統，諸如在雲端計算環境中。應注意，在一些實施例中，由行為嵌入程式108執行之行為嵌入程序可在伺服器電腦114上進行。在其他實施例中，由行為嵌入程式108執行之行為嵌入程序可在用戶端電腦102上進行。亦應注意，大部分(原始)資料收集係在用戶端電腦102上進行。

在用戶端電腦102上運行之行為嵌入程式108可經由通信網路110與在伺服器電腦114上運行之軟體程式112通信。如將參看圖4所論述，用戶端電腦102及伺服器電腦114可包括內部組件及外部組件。

網路連接之電腦環境100可包括複數個用戶端電腦102及伺服器電腦114，僅展示該等電腦中之一者。根據本公開之實施例，通信網路110可包括各種類型之通信網路，諸如區域網路(LAN)、諸如網際網路之廣域網路(WAN)、公眾交換電話網路(PSTN)、蜂巢式或移動資料網路(例如，由第三代或第四代移動電話移動通信提供之無線網際網路)、專用交換分機(PBX)、其任何組合，或將支援用戶端電腦102與伺服器電腦114之間的通信的連接及協定之任何組合。通信網路110可包括有線、無線或光纖連接。如熟習此項技術者所知，網路連接之電腦環境100可包括未展示之額外計算設備、伺服器或其他設備。

可為本文中描述為單個例項之組件、操作或結構提供複數個例項。各種組件、操作及資料儲存之間的邊界在某種程度上係任意的，且在特定說明性組態之上下文中說明特定操作。設想到其他功能性分配且該等分配可在本發明之範圍內。一般而言，在例示性組態中呈現為分離組件之結構及功能性可實施為組合之結構或組件。類似地，呈現為單個組件之結構及功能性可實施為分離組件。此等及其他變化、修改、添加及改善可在本發明之範圍內。

現參看圖2A，展示根據本公開之實施例的用於基於互動歷史的移動設備中之用戶驗證的系統200之組件。如圖中所描繪，系統200包括資料收集模組220、特徵提取模組230、儲存與一或多個用戶相關聯之歷史會話260的資料庫250、行為嵌入模組240及模型產生模組270。

根據一實施例，資料收集模組220自移動設備210收集資料。由資料收集模組220收集之資料與移動設備210之用戶(未圖示)相關聯。更具體而言，資料收集模組220自移動設備210上之觸控感測器提取互動資料，該互動資料與由用戶在與移動設備210上操作之應用程式的互動會話期間執行的動作、示意動作或觸碰事件相關聯。在此實施例中，觸碰事件包括例如由用戶在移動設備210上執行之滑移或按壓/推按/點選動作。對於每一所記錄之觸碰事件，資料收集模組220提取原始X、Y座標中之至少一者連同時戳、用戶手指之大小及由用戶手指對移動設備210施加之壓力。

應注意，自移動設備210收集資料係在用戶同意之情況下經由例如選擇加入及選擇退出特徵進行。另外，用戶可選擇停止收集或使用其資訊。在一些實施例中，可在每次收集資料時通知用戶。設想所收集之資料受到保護，且未經事先同意，不得與任何人共用。僅出於說明目的，在並不意欲進行限制之情況下，在圖中僅展示一個移動設備210。可理解，系統200可自與一或多個用戶相關聯之任何數目個移動設備接收資料。

在自移動設備210收集用戶之觸碰互動資料之後，特徵提取模組230分析所收集之互動資料且界定待提取之特徵。在一實施例中，待自所收集之互動資料提取的特徵包括例如滑移方向、梯度、歐幾里得距離、平均速度、最大加速度、曲率及類似特徵。應注意，所提取特徵與用戶在與移動設備210之互動會話期間的觸碰行為相關聯，且因此對於移動設備210之用戶係唯一的。根據一實施例，對於每一觸碰事件(例如，滑移或按壓)，特徵提取模組230使用此項技術中所熟知之方法建立特徵向量。

隨後，特徵向量被饋送至行為嵌入模組240，其中嵌入層用以將用戶特定特徵嵌入特徵向量內，且將嵌入之特徵投射至全域特徵空間(亦即，全域資料集)。根據一實施例，嵌入程序在訓練階段期間以兩個步驟進行：在第一步驟中，行為嵌入模組240將每一用戶會話與用戶自身的歷史會話260比較。行為嵌入模組240將此資料與正標籤一起投射至新的全域特徵空間中。更具體而言，對於每一所提取之用戶特定特徵，行為嵌入模組240將移動設備210上之用戶當前會話與對應於用戶之歷史會話260進行比較，以創建用戶特定資料集，該用戶特定資料集可用於連同其他用戶特定資料集一起訓練模型或驗證特定用戶的身份。

在第二步驟中，行為嵌入模組240將來自每一用戶會話之資料與其他(不同)用戶會話比較。接著將此資料與可用以呈現異常活動之負標籤一起投射至新的全域特徵空間。對於每一會話，相較於與其他(不同)用戶相關聯之歷史會話260，可使用當前會話提取特徵向量且將其變換至新的全域特徵空間。

根據一實施例，為針對全域訓練集產生正資料，使用戶u _i 在應用程式中具有n個會話[s ₁ ,s ₂ ,...,s _n]，s _j

R ^D，其中D為特徵向量維度且[s ₁ ,s ₂ ,...,s _n]係根據創建日期分類。首先，不同會話與用戶之歷史的所有行為會話比較。舉例而言，相對於[s ₁ ,s ₂ ,...,s _j-1]獲取s _j，且相對於歷史會話260計算關於s _j之統計特徵。統計特徵包括例如將s _j之特徵轉換為相對於[s ₁ ,s ₂ ,...,s _j-1]中之歷史值的百分位數。在一些實施例中，除諸如平均數、方差等之統計特徵之外，亦可計算或可不計算額外聚合特徵。

類似地，行為嵌入模組240針對全域訓練集產生負資料。具體而言，給定用戶之集合X，對於X中之每一用戶x _i，選擇用戶之隨機子集K(|K|<|X|)，且對於K中之每一其他用戶x _m，將上文所描述之用於建立負資料的步驟應用於來自用戶x _i之充當假冒會話的會話，且歷史會話260為對應於另一用戶x _m之會話。此程序針對X中之每一用戶產生K個假冒特徵向量，且總共產生|X|*|K|個負特徵向量。藉由執行以上步驟，可將用戶特定資料嵌入於由特徵提取模組230產生之特徵向量內。

圖2B說明創建上文所描述之資料集的程序。在此圖中，行為嵌入模組240識別三個不同用戶，三個不同用戶(user1、user2及user3)中之每一者與四個會話相關聯。建立兩個正特徵向量(由虛線箭頭線指示)，亦即，s14係相對於其三個先前特徵向量建立。s33係相對於其兩個過去特徵向量建立。又，建立兩個負會話(藉由連續箭頭線指示)，亦即，來自user1之s14被選為相對於user2之假冒會話。來自user2之s23被選為相對於user3之第二假冒會話。因此，將s14及s23嵌入相對於其他用戶資料計算之統計特徵(例如，百分位數)內。應注意，任何數目個用戶可用以創建用於行為嵌入之資料集。僅出於說明目的，在不意欲進行限制之情況下，在所描述實例中選擇三個用戶。

以上嵌入程序允許將用戶特定互動特徵嵌入用戶歷史中且由模型產生模組270使用以將全域模型訓練為二元分類模型。全域驗證模型可包括例如統計模型、機器學習模型或深度學習模型。根據一實施例，全域驗證模型能夠訓練自身以區分用戶對同一用戶活動(良性)與用戶對其他用戶活動(假冒)。

在一些實施例中，可基於共同用戶特性而將全域驗證模型劃分成有限數目個(少量)模型。舉例而言，觸碰事件可劃分成兩個類別：滑移事件及點選事件。由於此等兩個類別可具有不同特徵分佈，因此上述步驟可應用於兩個不同的半全域模型，亦即，用於點選的一個全域驗證模型及用於滑移的另一全域驗證模型。應注意，在一些實施例中，iOS設備與Android設備之間可存在差異。因此，在此類實施例中，可應用上述步驟以創建用於iOS設備之全域驗證模型及用於Android設備之另一全域驗證模型。

根據另一實施例，可藉由使用分群法將全域驗證模型劃分成若干模型。具體而言，可使用分群技術(例如，k平均數、DBSCAN等)基於系統中之用戶的行為特性而將該等用戶分群成k個群組。在將用戶分群成k個群集之後，可建立k個全域模型，亦即，系統中之每一用戶群集一個全域模型。在此實施例中，例如，總共k個半全域模型可用於整個資料集。然而，即使在拆分情況下，模型之數目仍保持固定且比用戶之數目少得多。半全域模型可包括任何統計、機器或深度學習模型，包括隨機森林、梯度提昇、SVM及其類似者。

因此，在此實施例中，在嵌入行為資料及訓練半全域模型中之每一者之後，可如下使用經訓練之半全域模型：1)在用戶進入應用程式時，資料收集模組220開始收集互動資料。將此資料連同保存於資料庫250中之用戶歷史資料(亦即，歷史會話260)一起發送至半全域模型(或若存在多個半全域模型，則發送至相關半全域模型)。原始資料接著可傳遞通過特徵提取模組230及行為嵌入模組240。最後預處理階段為相對於用戶歷史會話260計算關於當前會話之統計特徵。此程序之輸出可為饋送至經訓練之半全域模型的特徵向量。半全域模型產生與所測試資料為良性或假冒之機率相關的分數或預測，其允許服務提供者限制或禁止用戶。

現參看圖3，根據本公開之實施例展示說明用於行為嵌入之電腦實施方法之步驟的流程圖300。

方法開始於步驟302：接收與在移動設備(諸如，圖2A之移動設備210)上操作之應用程式之用戶相關聯的互動資料。該互動資料係在用戶與移動設備上之應用程式的互動會話期間產生。根據一實施例，該互動資料包括對應於由用戶在移動設備上執行之滑移或按壓移動的複數個觸碰事件。對於複數個觸碰事件中之每一者，提取原始X、Y座標中之至少一者連同時戳、用戶手指之大小及由用戶手指對移動設備施加之壓力。

在步驟304處，自互動資料提取複數個特徵。根據一實施例，自互動資料提取之複數個特徵中之例示性特徵包括滑移方向、梯度、歐幾里得距離、平均速度、最大加速度及曲率。在步驟306處，產生一或多個特徵向量，且將複數個特徵向量聚合至一或多個特徵向量。

方法在步驟308處繼續：將複數個特徵嵌入每一特徵向量內且藉由將相關聯於用戶之互動會話的歷史與相關聯於複數個不同用戶之互動會話的歷史進行比較而將嵌入之複數個特徵投射至全域特徵空間，以用於產生全域訓練資料集。如上文參看圖2A所解釋，在第一步驟中，行為嵌入程序包括將相關聯於用戶之互動會話的互動資料與相關聯於用戶之歷史會話的資料庫進行比較，及將與用戶之互動會話相關聯的互動資料與正標籤一起投射至全域特徵空間中。在第二步驟中，行為嵌入程序包括將相關聯於用戶之互動會話的互動資料與相關聯於複數個不同用戶之歷史會話的資料庫進行比較，及將來自與用戶相關聯之每一互動會話的資料連同與複數個不同用戶相關聯之歷史會話的資料庫以及負標籤一起投射至全域特徵空間中。在一些實施例中，可對全域特徵空間執行額外聚合計算以產生經變換特徵空間。

在步驟310處，所產生之全域訓練資料集用以將驗證模型產生為全域(與用戶無關)二元分類模型。最後，在步驟312處，可使用經訓練驗證模型持續驗證應用程式之一或多個用戶的身份。

在一些實施例中，可基於額外系統相關特性而將驗證模型劃分成有限數目個模型。可用以拆分驗證模型之例示性系統相關特性包括常見行為生物辨識特徵、作業系統、螢幕dpi、螢幕高度等。一般而言，任何後設資料可用於劃分驗證系統。在其他實施例中，可藉由使用分群技術基於行為特性而將複數個用戶分群成k個群集且針對k個群集中之每一者建立驗證模型來將驗證模型劃分成複數個驗證模型。在另一實施例中，其可基於設備類型(例如，iOS/Android或按壓/滑移)而拆分。

因此，所提議實施例提供一種用於在可用以訓練驗證模型之特徵向量內嵌入自觸碰事件導出之用戶特定資料的方法、系統及電腦程式產品。驗證模型經建立為適用於大規模實時系統且每日能夠支援數百萬個用戶同時保存個別用戶行為及特性的單類/二元/多類分類模型。此外，所提議實施例引入嵌入層，該嵌入層可整合至現有學習管線中以用於將基於用戶之資料嵌入全域資料集中，該等全域資料集接著可用於使用行為生物辨識資料建立全域模型以用於移動持續驗證。全域模型係基於可自資料內部及外部驗證許多用戶之身份的所投射資料而建立。

現參看圖4，根據本公開之實施例展示圖1之網路連接之電腦環境100的用戶端電腦102及伺服器電腦114之組件的方塊圖。應瞭解，圖4僅提供一個實施方案之說明且並不暗示關於可實施不同實施例之環境的任何限制。可對所描繪之環境進行許多修改。

用戶端電腦102及伺服器電腦114可包括全部經由通信網狀架構418互連的一或多個處理器402、一或多個電腦可讀RAM 404、一或多個電腦可讀ROM 406、一或多個電腦可讀儲存媒體408、設備驅動器412、讀取/寫入驅動器或介面414、網路配接器或介面416。通信網狀架構418可藉由經設計用於在處理器(諸如，微處理器、通信及網路處理器等)、系統記憶體、周邊設備以及系統內之任何其他硬體組件之間傳遞資料及/或控制資訊的任何架構實施。

一或多個作業系統410及一或多個應用程式411儲存於電腦可讀儲存媒體408中之一或多者上，以供處理器402中之一或多者經由各別RAM 404(其通常包括快取記憶體)中之一或多者執行。在所說明的實施例中，電腦可讀儲存媒體408中的每一者可為內部硬驅動機之磁碟儲存設備、CD-ROM、DVD、記憶棒、磁帶、磁碟、光碟、半導體儲存設備(諸如，RAM、ROM、EPROM、快閃記憶體)或可儲存電腦程式及數位資訊的任何其他電腦可讀有形儲存設備。

用戶端電腦102及伺服器電腦114亦可包括R/W驅動器或介面414以對一或多個攜帶型電腦可讀儲存媒體426進行讀取及寫入。用戶端電腦102及伺服器電腦114上之應用程式411可儲存於攜帶型電腦可讀儲存媒體426中之一或多者上，經由各別R/W驅動器或介面414讀取且載入至各別電腦可讀儲存媒體408中。

用戶端電腦102及伺服器電腦114亦可包括網路配接器或介面416，諸如TCP/IP配接卡或無線通信配接器(諸如，使用OFDMA技術之4G無線通信配接器)，以用於連接至網路428。用戶端電腦102及伺服器電腦114上之應用程式411可經由網路(例如，網際網路、區域網路或其他廣域網路或無線網路)及網路配接器或介面416自外部電腦或外部儲存設備下載至計算設備。可將程式自網路配接器或介面416載入至電腦可讀儲存媒體408上。網路可包含銅線、光纖、無線傳輸、路由器、防火牆、交換機、閘道電腦及/或邊緣伺服器。

用戶端電腦102及伺服器電腦114亦可包括顯示螢幕420、鍵盤或小鍵盤422及電腦滑鼠或觸控板424。設備驅動器412介接至用於成像之顯示螢幕420、介接至鍵盤或小鍵盤422、介接至電腦滑鼠或觸控板424及/或介接至用於文字數字元鍵入及用戶選擇之壓力感測的顯示螢幕420。設備驅動器412、R/W驅動器或介面414及網路配接器或介面416可包括硬體及軟體(儲存於電腦可讀儲存媒體408及/或ROM 406上)。

應理解，儘管本公開包括關於雲端計算之詳細描述，但本文中所敍述之教示的實施方案不限於雲端計算環境。確切而言，本發明之實施例能夠結合現已知或稍後開發之任何其他類型之計算環境來實施。

雲端計算為用於使得能夠對可組態計算資源(例如，網路、網路頻寬、伺服器、處理、記憶體、儲存器、應用程式、虛擬機及服務)之共用集區進行便利之按需網路存取的服務遞送之模型，該等可組態計算資源可藉由最少的管理工作或與服務提供者之互動而快速地佈建及釋放。此雲端模型可包括至少五個特性、至少三個服務模型及至少四個部署模型。

特性如下：隨選自助服務：雲端消費者可在需要時自動單方面地佈建計算能力，諸如伺服器時間及網路儲存，而無需與服務提供者之人為互動。

廣泛網路存取：可經由網路獲得能力且經由標準機制存取能力，該等標準機制藉由異質精簡型或複雜型用戶端平台(例如，移動電話、膝上型電腦及PDA)促進使用。

資源集用：提供者之計算資源經集用以使用多租戶模型為多個消費者服務，其中根據需求動態地指派及重新指派不同的實體及虛擬資源。存在一種位置獨立感，此係因為消費者通常無法控制或瞭解所提供資源之確切位置，但可能夠在較高抽象層級(例如，國家、州或資料中心)指定位置。

快速彈性：可快速且彈性地佈建能力(在一些狀況下，自動地)以迅速地擴展，且可快速地釋放能力以迅速地縮減。對於消費者而言，可用於佈建之能力通常看起來為無限的且可在任何時間以任何數量來購買。

量測服務：雲端系統藉由在適於服務類型(例如，儲存、處理、頻寬及作用中用戶帳戶)之某一抽象層級充分利用計量能力而自動控制及最佳化資源使用。可監測、控制及報告資源使用情況，從而為所利用服務之提供者及消費者兩者提供透明度。

服務模型如下：軟體即服務(SaaS)：提供給消費者之能力係使用在雲端基礎架構上運行之提供者之應用程式。可經由諸如網頁瀏覽器(例如，基於網頁之電子郵件)之精簡型用戶端介面自各種用戶端設備存取應用程式。消費者並不管理或控制包括網路、伺服器、作業系統、儲存器或甚至個別應用程式能力之底層雲端基礎架構，其中可能的例外狀況為有限的用戶特定應用程式組態設定。

平台即服務(PaaS)：提供給消費者之能力係將使用由提供者所支援之程式設計語言及工具創建的消費者創建或獲取之應用程式部署至雲端基礎架構上。消費者並不管理或控制包括網路、伺服器、作業系統或儲存器之底層雲端基礎架構，但控制所部署之應用程式及可能的代管環境組態之應用程式。

基礎架構即服務(IaaS)：提供給消費者之能力係佈建處理、儲存、網路及其他基礎計算資源，其中消費者能夠部署及運行可包括作業系統及應用程式之任意軟體。消費者並不管理或控制底層雲端基礎架構，但控制作業系統、儲存器、所部署應用程式，且可能有限地控制選定網路連接組件(例如，主機防火牆)。

部署模型如下：私有雲端：僅針對組織操作雲端基礎架構。私有雲端可由組織或第三方來管理且可存在於內部(on-premise)或外部(off-premise)。

社群雲端：雲端基礎架構由若干組織共用且支援具有共同關注事項(例如，任務、安全要求、策略及合規性考量)的特定社群。社群雲端可由組織或第三方來管理且可存在於內部或外部。

公共雲端：雲端基礎架構可用於公眾或大型工業集團且由出售雲端服務之組織所擁有。

混合雲端：雲端基礎架構為兩個或多於兩個雲端(私有、社群或公共)之組合物，該等雲端仍為唯一的實體，但藉由實現資料及應用程式可攜性之標準化或專屬技術繫結在一起(例如，用於在雲端之間實現負載平衡的雲端爆發)。

雲端計算環境面向服務，集中於無狀態、低耦合、模組化及語義互操作性。雲端計算之核心在於包括互連節點之網路的基礎架構。

現參看圖5，描繪說明性雲端計算環境50。如所展示，雲端計算環境50包括一或多個雲端計算節點10，雲端消費者所使用之本端計算設備，諸如個人數位助理(PDA)或蜂巢式電話54A、桌上型電腦54B、膝上型電腦54C及/或汽車電腦系統54N，可與該一或多個雲端計算節點通信。節點10可彼此通信。可在一或多個網路(諸如，如上文所描述之私有、社群、公共或混合雲端或其組合)中將該等節點實體地或虛擬地分組(未展示)。此情形允許雲端計算環境50提供基礎架構、平台及/或軟體作為服務，對於該等服務，雲端消費者不需要維護本端計算設備上之資源。應理解，圖5中所展示之計算設備54A至54N之類型意欲僅為說明性的，且計算節點10及雲端計算環境50可經由任何類型之網路及/或網路可定址連接(例如，使用網頁瀏覽器)與任何類型之電腦化設備通信。

現參看圖6，展示由雲端計算環境50(圖5)所提供之功能抽象層之集合。事先應理解，圖6中所展示之組件、層及功能意欲僅為說明性的且本發明之實施例不限於此。如所描繪，提供以下層及對應功能：硬體及軟體層60包括硬體及軟體組件。硬體組件之實例包括：大型電腦61；基於精簡指令集電腦(RISC)架構之伺服器62；伺服器63；刀鋒伺服器64；儲存設備65；以及網路及網路連接組件66。在一些實施例中，軟體組件包括網路應用程式伺服器軟體67及資料庫軟體68。

虛擬化層70提供抽象層，可自該抽象層提供虛擬實體之以下實例：虛擬伺服器71；虛擬儲存器72；虛擬網路73，包括虛擬私有網路；虛擬應用程式及作業系統74；及虛擬用戶端75。

在一個實例中，管理層80可提供下文所描述之功能。資源佈建81提供計算資源及用以執行雲端計算環境內之任務之其他資源的動態採購。當在雲端計算環境內利用資源時，計量及定價82提供成本追蹤，以及對此等資源之消耗的帳務處理及發票開立。在一個實例中，此等資源可包括應用程式軟體執照。安全性為雲端消費者及任務提供身份驗證，以及保護資料及其他資源。用戶入口網站83為消費者及系統管理者提供對雲端計算環境之存取。服務等級管理84提供雲端計算資源分配及管理使得滿足所需服務等級。服務等級協議(SLA)規劃及履行85為根據SLA預計未來要求之雲端計算資源提供預先配置及採購。

工作負載層90提供可利用雲端計算環境之功能性的實例。可自此層提供之工作負載及功能的實例包括：地圖繪製及導航91；軟體開發及生命週期管理92；虛擬教室教育遞送93；資料分析處理94；異動處理95；及用於使用行為嵌入96進行用戶驗證之系統。

本文中所描述之程式係基於在本發明之特定實施例中實施該等程式的應用而識別。然而，應瞭解，本文中之任何特定程式命名法僅出於方便起見而使用，且因此本發明不應限於僅在由此類命名法識別及/或暗示之任何特定應用中使用。

諸圖中之流程圖及方塊圖說明根據本發明之各種實施例的系統、方法及電腦程式產品之可能實施方案的架構、功能性及操作。就此而言，在流程圖或方塊圖中之每一區塊可表示程式碼之模組、片段或部分，其包含用於實施指定邏輯功能之一或多個可執行指令。亦應注意，在一些替代實施方案中，區塊中所提及之功能可能不以諸圖中所提及之次序發生。舉例而言，取決所涉及之功能性，依次展示之兩個區塊實際上可實質上同時執行，或該等區塊有時可以相反次序執行。亦將注意，方塊圖及/或流程圖說明中之每一區塊及方塊圖及/或流程圖說明中之區塊之組合可由執行指定功能或動作或專用硬體與電腦指令之組合的基於專用硬體之系統來實施。

本發明可為在任何可能之技術細節整合層級處的系統、方法及/或電腦程式產品。電腦程式產品可包括一(或多個)電腦可讀儲存媒體，其上具有電腦可讀程式指令以使處理器進行本發明之態樣。

電腦可讀儲存媒體可為有形設備，其可持留及儲存指令以供指令執行設備使用。電腦可讀儲存媒體可為例如但不限於電子儲存設備、磁性儲存設備、光學儲存設備、電磁儲存設備、半導體儲存設備或前述各者之任何合適組合。電腦可讀儲存媒體之更特定實例的非窮盡性清單包括以下各者：攜帶型電腦磁片、硬碟、隨機存取記憶體(RAM)、唯讀記憶體(ROM)、可抹除可程式化唯讀記憶體(EPROM或快閃記憶體)、靜態隨機存取記憶體(SRAM)、攜帶型光碟唯讀記憶體(CD-ROM)、數位多功能光碟(DVD)、記憶棒、軟性磁碟、機械編碼設備(諸如，上面記錄有指令之凹槽中的打孔卡或凸起結構)及前述各者之任何合適組合。如本文中所使用，不應將電腦可讀儲存媒體本身解釋為暫時性信號，諸如無線電波或其他自由傳播之電磁波、經由波導或其他傳輸媒體傳播之電磁波(例如，經由光纖纜線傳遞之光脈衝)，或經由電線傳輸之電信號。

本文中所描述之電腦可讀程式指令可自電腦可讀儲存媒體下載至各別計算/處理設備或經由網路(例如，網際網路、區域網路、廣域網路及/或無線網路)下載至外部電腦或外部儲存設備。網路可包含銅傳輸纜線、光學傳輸光纖、無線傳輸、路由器、防火牆、交換機、閘道電腦及/或邊緣伺服器。每一計算/處理設備中之網路配接卡或網路介面自網路接收電腦可讀程式指令且轉遞電腦可讀程式指令以用於儲存於各別計算/處理設備內之電腦可讀儲存媒體中。

用於進行本發明之操作的電腦可讀程式指令可為以一或多種程式設計語言之任何組合編寫的組譯器指令、指令集架構(ISA)指令、機器指令、機器相關指令、微碼、韌體指令、狀態設定資料、用於積體電路系統之組態資料，或原始程式碼或目標碼，該一或多種程式設計語言包括諸如Smalltalk、C++或其類似者之物件導向式程式設計語言，及諸如「C」程式設計語言或類似程式設計語言之程序性程式設計語言。電腦可讀程式指令可完全在用戶電腦上執行、部分地在用戶電腦上執行、作為獨立套裝軟體執行、部分地在用戶電腦上執行且部分地在遠端電腦上執行，或完全在遠端電腦或伺服器上執行。在後一種情境中，遠端電腦可經由任何類型之網路(包括區域網路(LAN)或廣域網路(WAN))連接至用戶電腦，或可連接至外部電腦(例如，使用網際網路服務提供者經由網際網路)。在一些實施例中，包括例如可程式化邏輯電路系統、場可程式化閘陣列(FPGA)或可程式化邏輯陣列(PLA)之電子電路系統可藉由利用電腦可讀程式指令之狀態資訊來個人化電子電路系統而執行電腦可讀程式指令，以便執行本發明之態樣。

本文中參考根據本發明之實施例的方法、裝置(系統)及電腦程式產品之流程圖說明及/或方塊圖來描述本發明之態樣。將理解，可藉由電腦可讀程式指令實施流程圖說明及/或方塊圖中的每一區塊以及流程圖說明及/或方塊圖中之區塊的組合。

可將此等電腦可讀程式指令提供至通用電腦、專用電腦或其他可程式化資料處理裝置之處理器以產生機器，使得經由電腦或其他可程式化資料處理裝置之處理器執行的指令創建用於實施一或多個流程圖及/或方塊圖區塊中所指定之功能/動作的構件。此等電腦可讀程式指令亦可儲存於電腦可讀儲存媒體中，該等電腦可讀程式指令可指導電腦、可程式化資料處理裝置及/或其他設備以特定方式發揮作用，使得儲存有指令之電腦可讀儲存媒體包含製品，該製品包括實施一或多個流程圖及/或方塊圖區塊中所指定之功能/動作之態樣的指令。

電腦可讀程式指令亦可載入至電腦、其他可程式化資料處理裝置或其他設備上，以使一系列操作步驟在該電腦、其他可程式化裝置或其他設備上執行以產生電腦實施程序，使得在該電腦、其他可程式化裝置或其他設備上執行之指令實施一或多個流程圖及/或方塊圖區塊中所指定之功能/動作。

諸圖中之流程圖及方塊圖說明根據本發明之各種實施例的系統、方法及電腦程式產品之可能實施方案的架構、功能性及操作。就此而言，流程圖或方塊圖中之每一區塊可表示指令之模組、區段或部分，其包含用於實施指定邏輯功能之一或多個可執行指令。在一些替代實施方案中，區塊中所提及之功能可能不以諸圖中所提及之次序發生。舉例而言，取決於所涉及之功能性，依次展示之兩個區塊實際上可實質上同時執行，或該等區塊有時可以相反次序執行。亦將注意，方塊圖及/或流程圖說明中之每一區塊及方塊圖及/或流程圖說明中之區塊的組合可由執行指定功能或動作或進行專用硬體與電腦指令之組合的基於專用硬體之系統來實施。

儘管所揭示方法之步驟及所揭示系統及環境之組件已使用數字及字母依序或連續地識別，但此類編號或字法並非必須以所敍述次序執行此類步驟之指示，而僅經提供以促進清楚地參考方法步驟。此外，可並行地執行方法步驟以執行其所描述功能性。

已出於說明之目的呈現本發明之各種實施例的描述，但該等描述並不意欲為詳盡的或限於所揭示之實施例。在不脫離所描述實施例之範圍的情況下，許多修改及變化對於一般熟習此項技術者而言將顯而易見。本文中所使用之術語經選擇以最佳地解釋實施例之原理、實際應用或對市場中發現之技術的技術改良，或使得其他一般熟習此項技術者能夠理解本文中所揭示之實施例。