CN1086882C - 用于可保护信息的安全传送与存储的方法和系统 - Google Patents

Abstract

本发明描述用于安全传送和存储可保护信息的方法和系统，特别是用病历卡来安全传送和存储病人信息的方法和系统。存储在病历卡上的数据用密码法保护。只有在医生得到授权并且病人同意的情况下，才能用同一个病历卡将数据解密。病历卡为判断医生是否得到授权需要的所有信息以及用来保护控制数据的密钥和随机密钥都保存在芯片上。病人数据能自由地传送到任何存储介质上。芯片控制着对数据的访问和加密及解密功能。

Description

用于可保护信息的安全传送与 存储的方法和系统

本发明涉及可保护信息的安全传送与存储的方法和系统，更准确地说，涉及存储于病历卡系统中的病人信息的安全传送与存储的方法和系统。

病历卡系统应主要为病人的利益服务。存储于病历卡中的关于个人的医疗数据是特别敏感的，因此值得保护。此外，病人经常处在非常虚弱的状态，并且不是处在积极行使其保护权的地位。结果，必须采用法律和协议来设定适当的法律的和技术的机构(framework)，以此来支持病人保护这些敏感的卡。

芯片卡具有所有需要的控制机理，在芯片上非易失性地存储的数据受到保护。一方面，芯片卡能保护芯片免受外部物质因素的介入(physical access)，另一方面，操作系统监控所有对数据的访问，并且如果使用者未能被证实和/或未能送入个人识别号(PIN)，则操作系统拒绝其读写的企图。这样，芯片就防止了通过其数据线从外部阅读受保护的信息。因为它们有公认的高度保密性能，所以芯片卡主要在财务领域中用于鉴别系统。

光学存储芯片卡的光学存储使用了用于光盘(CD)和光盘只读存储器(CD-ROM)的已知技术。因为其大的存储量，它非常适合于存储大量数据。可是，这种存储的缺点是，它对数据不能提供实际的保护；任何有阅读器的人都可以读这些数据。尽管如此，在逻辑上，数据还是可以通过将其编码存储的形式而得到保护。已知这种数据编码技术也称为“密码术”。

所有对称加密程序的问题是，脱密密钥机密地分布在有关的当事人之间。想要彼此通信的当事人的数目越多，密钥的管理问题就越难解决。如果所有的当事人使用同一个密钥，则问题将容易解决，可是，这意味着，他们中的每一个都能阅读两个当事人之间的已经加密的内容，并且，万一局外人成功地得到这一个密钥，则整个系统就公开了。如果每个当事人有他自己的密钥，则得到密钥的人只限于阅读所述密钥持有人所发的和所收的信息。其它密钥持有人仍得到保护。

当问题不仅涉及一个发送者和几个接收者(即，一对N的关系)，而是n对N的关系时，密钥的交换问题就更难以解决。例如，每个医生都可以是信息的发送者，而其它任何授权的医生都可以阅读它。如上所述，医生在他们能进行沟通之前，决不应同意使用一个整个系统通用的密钥。另一方面，估计所有的当事医生不会预先彼此交换他们的密钥。

欧洲专利EP0668 578描述了一种存储器和用于传送敏感数据的选择性的信息系统，它包括一个光学存储卡，在其上安排有专门定义的存储区域，用以专门存储多个码，给每次密钥存取安排起码一个码、为光学存储卡安排起码一个具有多种密钥识别功能的读/写器件，其中每种密钥识别功能针对包含在读/写器件中的多种格式化功能中的每一种，并结合赋予每次密钥存取的码来激活读/写器件，其中每种格式化功能(function)针对光学存储卡的数据存储区域，并考核存储在那里的数据以便在将数据格式化的基础上进行阅读。这种过程的一个缺点是，在光学存储介质中有一个密钥区和一个数据区。因此为了读密钥和数据，需要有两次分开的对光学存储介质的访问。在专利EP0668 578中所描述的过程使用了固定的密钥，即密钥根据特定的程序由系统预先确定。在决定应该使用哪个密钥方面，读/写器件是一个重要的组成部分。这取决于所述码、所述格式化功能和所述决定功能。通常，这过程只限于用在光学存储介质。

因此，本发明的一个目的是提出一种传送需要保护的信息的系统和方法，它允许在多个使用者之间最大限度地交换所述信息，但又要保证在这样做的同时，只允许为此而得到授权的人进入和阅读所述信息。

借助于本发明的独立权利要求的技术特性可实现这目的。在各从属权利要求中陈述了本发明的最佳实施例。

在本发明中，加密的数据与相关的密钥一起存储在一个文件里。以这种方法，加密的数据无论存储在那里也没有安全风险，例如在计算机、在数据库或者可分布在网络中、与最初存储数据的介质无关。在文件中，会有不同密级的数据，它们只能在得到某种访问授权的情况下被写或读。数据以随机密钥加密存储。作为它的一部分，随机密钥在芯片卡中被编码，并与数据一起存储。以这种方法，就使得对这种数据的解密相当困难。只在芯片卡中形成密钥产生方法。因此授权人对其数据的存取总是有完全的控制权。

在下面借助附图对本发明的最佳实施例作更详细的解释和描述，其中

图1是根据本发明的文件结构图解表示。

图2是说明本发明的信息与传送系统的读写过程的流程图。

图3借助于必要的硬件说明本发明的信息与传送系统的操作方法。

图1表示根据本发明的文件结构，它包括页眉和数据记录。页眉包括例如控制数据区1-7。数据记录可包括几个数据类型1-n，它们存储在数据记录中。每一数据类型以它自己的随机密钥编码。这随机密钥和一部分必须保护的控制数据随后用存储在芯片卡的固定密钥加密。芯片卡本身对控制数据和随机密钥加密；这样，保密的固定密钥始终不离开芯片卡。

例如，包括在文件里的数据类型的密级被放在管理区1和7，也就是说，每一数据类型都以它自己的具有相关的密钥密级为特征。有些数据类型应该  是任何人都可读的，例如紧急数据。而有些数据类型则只有在经得病人同意才能阅读和/或只有某些使用者群能访问。至于哪些数据应分到哪一种数据类型，则要根据有关国家的数据保护立法来决定。一般的规则是，每个数据类型应只允许某些使用者群访问。例如，药剂师应只能访问他们工作所需要的数据。在管理区中定出有权访问一特别数据的授权使用者群。例如，可以这样规定，药剂师只有权访问处方和医生关于禁忌的建议。因而，可以建立下述的数据类型：

0类数据-任何人都可读的数据-不加密的数据。

1类数据-只有在送入病人的个人识别号(PIN)之后才可以读的数据。

2类数据-只有经过任何专业医生授权并送入病人的PIN之后才可以读的数据。

3类数据-和2类数据相似；但附加一条：只有经过一个特定专业的医生授权后才可以读的数据。

4类数据-留作备用。

5类数据-这些数据例如既能被医生又能被药剂师所读，而无需病人的PIN。这类数据可面向一特殊使用者群的成员，例如只对放射性学者、药剂师或对这两者开放。几个经过精细划分的目标群也可以列入这名单。

上述数据类型被存储在彼此分开的数据记录中。此外，各种专家群的数据或打算只给特定的目标群用的数据都各自放在不同的文件中。

每个数据记录都包括可以决定数据记录类型(紧急数据、药剂师数据、临床数据)的控制数据、所含的数据类型0...5、写数据记录的医生的专业、他的名字、他的辨识标记、数据、时间和数据目标群。有资格阅读数据的目标群也可以定义为“全部”。每一数据类型都用它自己的随机密钥来加密。这随机密钥和必须保护的那一部分控制数据以存储于芯片卡的固定密钥加密。芯片卡本身把控制数据和随机密钥进行编码；因此，秘密的固定密钥永远不会离开芯片卡。只有在芯片查对是否存储在控制信息内的任一目标群的任一医生能被授权之后，芯片本身才把控制数据和随机密钥加密。如果医生不属于目标群，则他只有在得到病人同意之后，才能访问这些数据。

图2用流程图的形式描述了读和写数据的各个步骤。用本发明的系统和方法来读和写数据的先决条件是病历卡、使用者卡、读写装置和用于控制过程的计算机系统。光卡特别适合作病历卡。也可以使用其它任何的芯片卡。病历卡最好包括大容量光学存储器和芯片，后者含有加密功能。光学芯片卡的芯片还起受保护的通信通道的作用，在这通道上两个当事人传送密钥，而这芯片安全地存储该密钥。每个病历卡含有它自己的记录密钥，这记录密钥甚至不必让卡供应者知道。病历卡永远不对外公开其密钥。在没得到医生及时授权时，病历卡阻止加密和解密功能。

在读文件时，医生必须持有使用者卡。使用者卡使医生作为特定专业授权医生的身份合法化。读出器或读/写器件查读使用者卡。在技术上，使用者卡在身份合法化方面并不是绝对重要的，因为关于这医生的使用者群信息可能早已以安全的形式存储在医生系统中。此外，需要病人把他的病历卡送入读/写装置。如果医生得到授权，系统首先让医生访问每个使用者群都能访问的数据。这些数据也不加密(紧急数据)。

如果医生要求访问受保护的数据，则使用者卡必须包含医生所属的群(例如皮肤科医生、肺科医生等等)的信息。为此，系统从使用者卡中提取使用者所属的使用者群的相关信息，并从病历卡中调取授权指令。病历卡证实使用者是否属于所提到的使用者群，并且证实在病历卡中是否有这些信息。一个使用者可以属于几个使用者群。然后系统读含有此病人的医疗数据的文件，并把文件分为页眉和数据记录。然后带有控制数据以及解密指令的数据页眉被传送到病历卡。在病历卡对数据页眉解密之前，病历卡查看是否有任何授权。在证实得到授权以及所述使用者就是数据页眉上目标群的使用者群的成员，病历卡把解密后的数据页眉送回系统。系统从数据页眉中取出所要的密钥，并把它送到病历卡以便解密。解密后的密钥被送回系统，于是系统就以适当的解密程序将相应的数据类型的数据记录解密。

在写数据时，程序严格地按反方向运行，所不同的是，密钥由病历卡上的数据密钥发生器产生。系统以这种方法首先对数据记录编码，其中在数据记录中每一种数据类型以它自己的随机密钥进行加密。然后密钥被送到病历卡以便加密。然后，建立数据页眉，并且系统同样地把数据页眉送到病历卡以供加密。所得的结果是带有加密的密钥和加密的控制数据的加密的数据记录，其中要访问数据，就要有加密的密钥和加密的控制数据。

例如，可以这样规定，只有医生有权在病历卡写入医疗数据、或者药剂师只有有限的权写数据以及他们只能读和写与他们专业有关的数据。这样，如果他们售完了一种药，他们可以取消处方，可以存储关于制造商和批号之类的备忘录。总是只有在首先得到病人同意的情况下，医生才能在病历卡上写入医疗数据。因此，医生有责任与病人一起查核他能在卡上写些什么数据，从而病人可以表示批准或不批准。

如果医生想在病历卡上写入数据，他必须得到医生身份的授权。这要象借助于使用者卡的阅读过程那样来进行。从使用者卡可以得知相关的专家群。病人同样必须送入他的PIN来证明他是病历卡授权所有人的合法身份，并且在医生能在文件上写数据之前表示他是否同意。在给了适当的授权密钥之后，病历卡就与特定的专家群中的医生建立联系。如果一个医生是几个领域的专家的话，他也可以占有几个授权密钥。

这带有加密的的密钥和加密的的控制数据的加密的的数据记录可写在光学存储介质上或光学存储卡的芯片上，也可存储在计算机或送到网络上。医生只有在得到病人的许可，才能再次访问这数据。也可以将光学芯片卡的数据归档，以及在原件丢失的情况下进行复制。

图3表示用于存储和传送受保护数据、特别是病人数据的信息和传送系统的基本结构。这系统大体上包括：计算机、病历卡读/写装置、病历卡、使用者卡读/写装置、和使用者卡。在技术上，也可以针对病历卡和使用者卡这两个卡只用一个读/写装置。病人数据既可存储在病历卡，也可存储在所希望的任何其它存储介质。在病人数据存储在病历卡的情况下，最好使用光学大容量存储器。病历卡最好是带有光学大容量存储器的芯片卡。这对于写或读数据来说总是需要的。下述的重要数据/功能存储在病历卡中：关于相关使用者群的授权密钥、数据密钥的加密密钥、数据页眉的加密密钥、产生数据密钥的发生器以及加密和解密功能。

在此只是用病历卡作为唯一的例子来描述本发明。可是，应该说明的是，根据本发明的系统和方法也能用于所有值得保护的数据，其中只允许以有限的权力去访问某些关于个人、公司、银行、管理当局或其它机关的数据。这特别适用于下述组织状况的应用领域：

-数据所有者可建立和使用各种密级，

-可以使数据只对特定的目标群或几个目标群是可访问，

-可把读数据的权力分成几个密级来执行审批(例如使用者卡的情况)，

-芯片卡所有者按某几个密级通过送入PIN来执行辨认和作出是否同意的决定。

作为本发明的一个应用例子，可以考虑银行芯片卡，在其上存储着个人或公司资产的价值。这银行芯片卡的所有者可只允许相关的银行以有限的权力去访问卡上的数据。另一例子是芯片信用卡。因此，本发明可应用到所有受保护数据的存储和传送的应用领域，而不必对本发明的方法和系统作任何更改。

可把本发明简单地总结于下。存储在病历卡上的数据用密码法来保护。如果得到病人同意并且授权给医生，则只有同一个病历卡才能再次将数据解密。病历卡用以决定医生是否得到授权的所有信息，与保护控制数据和随机密钥的密钥一起，存储在芯片上。病人数据可以、但不是一定要存储在芯片上。芯片既控制是否允许访问数据，又控制加密和解密功能。本身与数据一起加密存储的随机密钥保证了每个数据记录彼此分隔开，并且只有得到授权的人才能访问。每个病历卡都有它自己的记录密钥。万一一个数据记录的随机密钥被破译，在卡上的数据记录和在系统上的所有其它卡仍不受影响。如果一个病历卡的随机密钥的加密用的密钥被破译，在系统上的所有其它的卡上的数据仍然安全。

病历卡上的用于授权的密钥是由病历卡的特征导出的，因此，病历卡与病历卡之间的所述密钥是彼此不同的。如果一个病历卡被破译，只有系统中仍未使用的密钥会被公开。

就病历卡而言，健康服务成员以使用者卡给他们自己授权。使用者卡包括一套由系统操作员定义的群密钥。只有当医生以密钥表示他得到授权和病人以他的PIN号码表示同意时，医生才能访问数据。群密钥根据他在健康服务方面的工作和医学专业而变。

可以根据保护的需要，把数据分成不同的类型。根据是否要求使用者得到授权和是否要得到病人的同意，有不同的分类。

Claims (19)

1.一个存储与信息传送系统，包括

分配给某人所有的一张芯片卡；

一台计算机；

与所述计算机连接的一个授权终端，利用它来对使用者授权；

与所述计算机和芯片卡连接的一台读/写装置，利用它来进行计算机与芯片卡之间的数据交换；

至少一个存储介质，与所述计算机耦合，从而在所述计算机和所述存储介质间交换数据；

其特征在于：

所述芯片卡包括一个密钥发生器，每当所述计算机需要一个新的密钥时，所述密钥发生器就产生所述新的密钥，在所述至少一个存储介质中的数据包括加密数据和由所述芯片卡产生的密钥的加密，所述芯片卡产生并存储一个用于加密所述破加密密钥的第二个密钥。

2.根据权利要求1的存储与信息传送系统，其特征在于进一步包括连接到所述计算机的识别终端，所述识别终端允许所述芯片卡持有者的确认信息被输入。

3.根据权利要求2的存储与信息传送系统，其特征在于所述确认信息是个人识别号。

4.根据权利要求1的存储与信息传送系统，其特征在于包括授权卡，利用它可进行授权。

5.根据权利要求1的存储与信息传送系统，其特征在于所述存储介质可设置在芯片卡内。

6.根据权利要求1的存储与信息传送系统，其特征在于所述存储介质被设计成固定的磁盘存储器。

7.根据权利要求1的存储与信息传送系统，其特征在于所述存储介质被设计成光盘存储器。

8.根据权利要求1的存储与信息传送系统，其特征在于所述计算机接到计算机网络中，并且所述存储介质可设置在网络中的任何计算机中。

9.借助芯片卡、在至少一个存储介质中存储信息的方法，其特征在于包括下述步骤：

借助于赋予使用者群的识别特征而授权给使用者；

在所述芯片卡中为计算机产生一个或多个密钥；

将至少一个密钥从芯片卡传送到计算机；

在计算机中用密钥对至少一组数据加密；

用没有提供给计算机构成加密密钥的第二密钥对所述芯片卡中的至少一个密钥加密；

在所述存储介质上存储带有加密密钥的加密数据。

10.如权利要求9的方法，其特征在于所述授权步骤借助于连接到计算机的授权终端和插到授权终端的授权卡进行授权。

11.如权利要求9的方法，其特征在于进一步包括输入确认信息的步骤。

12.如权利要求11的方法，其特征在于所述确认信息是个人识别号。

13.如权利要求9的方法，其特征在于所述加密至少一个密钥的步骤是借助于卡密钥对密钥加密，其中卡密钥设置在芯片卡上。

14.如权利要求9的方法，其特征在于进一步包括在计算机上为每个数据记录产生数据页眉的步骤，其中数据页眉指示正在写入的一个特定使用者属于哪个使用者群。

15.如权利要求14的方法，其特征在于所述数据页眉包括读取所述数据记录必须满足的条件表列。

16.如权利要求13和14的方法，其特征在于借助于卡密钥加密的密钥设置在数据页眉上。

17.如权利要求16的方法，其特征在于加密的数据页眉和加密的数据记录集中在一个文件，此文件存储在存储介质中。

18.如权利要求9的方法，其特征在于所述计算机连到计算机网络，并且所述存储介质设置在网络中任何所希望的计算机上。

19.借助于芯片卡从存储介质中读取信息的方法，其特征在于包括以下步骤：

借助于赋予使用者群的识别特征而授权给使用者；

将文件从存储介质传送到计算机，所述文件包括一个加密的数据页眉和一个加密的数据记录；

将所述加密的数据页眉从计算机传送到芯片卡；

利用芯片卡上的卡密钥将所述加密的数据页眉解密；

将解密的数据页眉从芯片卡传送到计算机；

从解密的数据页眉决定目标使用者群；

如果使用者的使用者群与数据页眉上的目标使用者群相符，和/或满足其它的对访问数据所加的自行决定的限制条件，则借助于密钥将加密的的数据记录解密，否则，限止对数据记录的访问。

Images