本發(fā)明涉及提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)。

背景技術(shù)：
對(duì)與健康相關(guān)的數(shù)據(jù)或醫(yī)療數(shù)據(jù)的系統(tǒng)管理的需求在不斷的增長(zhǎng)。來(lái)自不同醫(yī)院或診所的診斷報(bào)告、處方、藥物消費(fèi)記錄等可以被安全保存，并且可以使得用戶能很方便的訪問(wèn)這樣的醫(yī)療數(shù)據(jù)。這樣的健康數(shù)據(jù)管理應(yīng)用可以用于諸如患有慢性疾病的患者和易于遺忘并需要幫助管理其健康記錄的老年人。最近，已經(jīng)提出了可以由用戶自行管理的個(gè)人健康記錄（PHR）的概念。這種PHR可以用于存儲(chǔ)用戶的健康數(shù)據(jù)并控制對(duì)用戶的健康數(shù)據(jù)的訪問(wèn)。來(lái)自醫(yī)院的電子醫(yī)療記錄（EMR）和電子健康記錄（EHR）可以被導(dǎo)入到用戶的PHR中，從而使得只要互聯(lián)網(wǎng)連接可用，就允許對(duì)用戶的健康數(shù)據(jù)進(jìn)行無(wú)處不在的訪問(wèn)。在默認(rèn)情況下，僅向用戶本人允許對(duì)PHR的訪問(wèn)。但是，用戶也可以定義訪問(wèn)控制列表或其他訪問(wèn)控制機(jī)制。例如，JulienKünzi,PaulKoster,MilanPetkovic,EmergencyAccesstoProtectedHealthRecords,inK.-P.Adlassnigetal.(Eds.):MedicalInformaticsinaUnitedandHeathyEurope,MIE2009,IOSPress,2009,pp.705-709，下文稱為Künzietal.，公開(kāi)了向用戶的家庭成員、朋友和親屬授予訪問(wèn)。另外，老年人可以通過(guò)向更有能力的家庭成員授予完全的許可來(lái)委托管理他們的醫(yī)療記錄的任務(wù)。在緊急情況下，當(dāng)醫(yī)生和救護(hù)隊(duì)打算對(duì)失去意識(shí)的用戶提供治療時(shí)，這樣預(yù)定義的訪問(wèn)控制策略就會(huì)有不足。由于用戶無(wú)法提供其密碼，并且這種訪問(wèn)控制策略可能不允許未授權(quán)的個(gè)體訪問(wèn)數(shù)據(jù)，所以急救醫(yī)生和救護(hù)隊(duì)將無(wú)法訪問(wèn)用戶的PHR。然而，如果在緊急事件中在用戶接受治療的同時(shí)，能夠提供一些關(guān)于用戶的健康狀況的背景信息，那么這將是有益的。研究表明，如果在緊急治療之前醫(yī)生有權(quán)訪問(wèn)關(guān)于病人的信息，那么本可以避免許多致命的錯(cuò)誤。Künzietal.公開(kāi)了由急救醫(yī)生發(fā)送訪問(wèn)請(qǐng)求，指示這是一個(gè)緊急逾越（emergencyoverride）。如果請(qǐng)求實(shí)體有合適的憑據(jù)，也就是說(shuō)請(qǐng)求實(shí)體是執(zhí)業(yè)醫(yī)師，則授權(quán)訪問(wèn)權(quán)并隨后被記錄。隨后，訪問(wèn)日志被用于訪問(wèn)后的審核，以判定對(duì)用戶健康數(shù)據(jù)的訪問(wèn)是否是合法的。然而，如果緊急逾越是惡意的，那么這樣的機(jī)制是不起作用的，這是因?yàn)樗址噶擞脩舻慕】禂?shù)據(jù)隱私權(quán)。本質(zhì)上講，審核并不是阻止對(duì)PHR的惡意訪問(wèn)的防范措施。在緊急情況下，由于用戶是無(wú)意識(shí)的，所以他無(wú)法提供其密碼以使得能訪問(wèn)PHR。因此，這觸發(fā)了對(duì)用戶的PHR的緊急訪問(wèn)的需求。然而，PHR服務(wù)器很難區(qū)分真正的緊急情況和訪問(wèn)PHR的惡意企圖，這是因?yàn)樵谶@兩種情況下，用戶都是不能利用的?！癐mplementingSecurityAndAccessControlMechanismsForAnElectronicHealthcareRecord”,FrankK.Uckertetal,AMIA2002AnnualSymposiumProceedings，公開(kāi)了一種系統(tǒng)，其中用戶可以通過(guò)在其記錄中啟用并定義其HER的緊急子集，來(lái)提供對(duì)該緊急子集的讀取訪問(wèn)。當(dāng)啟用這項(xiàng)特征時(shí)，創(chuàng)建緊急TAN。印在小巧的錢(qián)包卡片上的網(wǎng)址、用戶名和這種緊急TAN的組合被被病人隨身攜帶，并在該病人發(fā)生緊急狀況時(shí)供其他人使用。有了TAN（交易號(hào)碼），用戶就能夠向任何人賦予在僅僅一個(gè)會(huì)話內(nèi)對(duì)其記錄的多個(gè)部分的訪問(wèn)。這種TAN的原理與從國(guó)際網(wǎng)上銀行獲知的那種類(lèi)似。在使用一次之后，TAN失效。每當(dāng)需要時(shí)，用于就可以產(chǎn)生新的TAN。

技術(shù)實(shí)現(xiàn)要素：
具有一種提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)的改良系統(tǒng)將是有優(yōu)勢(shì)的。為了更好的解決這一關(guān)注，本發(fā)明的第一方案提供了一種服務(wù)器系統(tǒng)，包括：存儲(chǔ)模塊，用于存儲(chǔ)多個(gè)數(shù)據(jù)記錄，一個(gè)數(shù)據(jù)記錄具有與之相關(guān)聯(lián)的、與對(duì)應(yīng)于該數(shù)據(jù)記錄的硬件令牌共享的秘密序列，所述服務(wù)器系統(tǒng)進(jìn)一步被安排用于存儲(chǔ)用戶的多個(gè)驗(yàn)證證書(shū)；用戶驗(yàn)證模塊，用于從用戶終端接收用戶的驗(yàn)證證書(shū)，并基于所述用戶的驗(yàn)證證書(shū)來(lái)驗(yàn)證所述用戶是所述服務(wù)器系統(tǒng)的用戶；秘密接收模塊，用于從所述終端接收由硬件令牌所揭露的秘密的表示以及標(biāo)識(shí)對(duì)應(yīng)于所述硬件令牌的數(shù)據(jù)記錄的信息；匹配模塊，用于將所述秘密的所述表示和與對(duì)應(yīng)于所述硬件令牌的數(shù)據(jù)記錄相關(guān)聯(lián)的所述一系列秘密中的未使用的秘密相匹配；訪問(wèn)允許模塊，用于如果所述秘密的所述表示與所述未使用的秘密相匹配并且所述用戶已經(jīng)被驗(yàn)證是所述服務(wù)器系統(tǒng)的用戶，則允許所述用戶對(duì)對(duì)應(yīng)于所述硬件令牌的數(shù)據(jù)記錄的至少一部分進(jìn)行訪問(wèn)；以及標(biāo)記模塊，用于將所述未使用的秘密標(biāo)記為已使用。所述服務(wù)器系統(tǒng)可以提供改善的安全性。用戶驗(yàn)證模塊確保只有被授權(quán)的個(gè)人才能夠獲得對(duì)數(shù)據(jù)記錄的訪問(wèn)。例如，只有緊急工作人員被給與授權(quán)證書(shū)（可選地，使得這些證書(shū)只有在這些緊急工作人員輪班期間有效）。此外，秘密接收模塊和匹配模塊用于識(shí)別數(shù)據(jù)記錄，并提供用戶具有訪問(wèn)該數(shù)據(jù)記錄的職業(yè)需求的證據(jù)，這是因?yàn)榉駝t用戶將不會(huì)擁有在其上具有秘密的表示的硬件令牌。用戶驗(yàn)證和從硬件令牌接收的秘密的表示的組合提供了改善的安全性，這是因?yàn)樵诓淮嬖谟脩趄?yàn)證的情況下，撿到或竊取卡片的任何人都能訪問(wèn)數(shù)據(jù)記錄。由于硬件令牌可以產(chǎn)生秘密序列的表示，所以硬件令牌可被多次使用。每個(gè)秘密僅允許對(duì)數(shù)據(jù)記錄的一次性訪問(wèn)，這是因?yàn)橹挥形词褂玫拿孛苁怯行У摹Ｋ龇?wù)器系統(tǒng)可以包括通信模塊，用于在訪問(wèn)允許模塊允許用戶訪問(wèn)之前，向與所述硬件令牌相關(guān)聯(lián)的個(gè)人的移動(dòng)電話或移動(dòng)終端進(jìn)行自動(dòng)的電話呼叫或者發(fā)送消息，并且其中，所述通信模塊被安排用于使所述個(gè)人能夠拒絕允許訪問(wèn)。例如，個(gè)人可以通過(guò)在自動(dòng)電話呼叫期間按下電話上的按鍵或者通過(guò)發(fā)送回復(fù)消息來(lái)拒絕允許訪問(wèn)。這樣，測(cè)試該個(gè)人是否為有意識(shí)的。如果該個(gè)人不對(duì)呼叫進(jìn)行應(yīng)答或者不返回消息，這可能是因?yàn)樵搨€(gè)人是無(wú)意識(shí)的，然后系統(tǒng)將允許對(duì)數(shù)據(jù)記錄的訪問(wèn)。訪問(wèn)允許模塊可以包括加密器，用于使用基于從用戶終端接收到的值的密鑰，對(duì)數(shù)據(jù)記錄的至少一部分進(jìn)行加密，并將加密的數(shù)據(jù)和用于根據(jù)所述值計(jì)算所述密鑰的信息發(fā)送到所述用戶終端。這樣，可以確保只有所述用戶終端能夠解密該數(shù)據(jù)?？梢栽跁r(shí)間上對(duì)所允許的對(duì)數(shù)據(jù)記錄中的至少一個(gè)的訪問(wèn)進(jìn)行限制。這樣，就避免了當(dāng)緊急情況不再存在時(shí)還能回顧數(shù)據(jù)記錄。所述秘密的表示可以包括所述秘密的加密，所述加密可以基于密鑰，所述密鑰可以為散列序列的一部分，并且所述秘密在所述秘密序列中的位置可以與所述密鑰在所述散列序列中的位置相對(duì)應(yīng)。這樣，在所述序列中的每個(gè)秘密被不同地加密。所述令牌和所述服務(wù)器系統(tǒng)都可以使用相同的密鑰序列。所述服務(wù)器系統(tǒng)不需要存儲(chǔ)全部的加密密鑰序列，這是因?yàn)樗鼈兛梢酝ㄟ^(guò)散列序列來(lái)重新計(jì)算。所述服務(wù)器系統(tǒng)可以包括數(shù)據(jù)發(fā)送模塊，被安排用于向所述用戶終端發(fā)送所述散列序列中的與所述秘密在所述秘密序列中的位置相對(duì)應(yīng)的密鑰。通過(guò)應(yīng)用散列函數(shù)，所述用戶終端或硬件令牌可以計(jì)算出所述散列序列中的一個(gè)或多個(gè)其他密鑰。所述用戶終端或令牌可以將這些計(jì)算出的值與所存儲(chǔ)的值進(jìn)行比較。例如，在所述硬件令牌被發(fā)行之前，將散列鏈中的最終密鑰存儲(chǔ)在所述硬件令牌上。這提供了對(duì)服務(wù)器的驗(yàn)證或者提供了終端可以檢驗(yàn)獲得了正確的數(shù)據(jù)記錄的方式。在另一方案中，本發(fā)明提供了一種硬件令牌。這種硬件令牌可以和與給出的服務(wù)器系統(tǒng)進(jìn)行通信的用戶終端一起使用。所述硬件令牌可以包括秘密提供模塊，用于提供秘密的表示，其中所述秘密的表示包括所述秘密的加密，并且所述加密是基于密鑰的，并且所述密鑰是散列序列的一部分，并且所述秘密在秘密序列中的位置與所述密鑰在散列序列中的位置相對(duì)應(yīng)，并且所述秘密提供模塊被安排用于以反向的連續(xù)順序提供所述表示?？梢詫⒈硎拘蛄写鎯?chǔ)在所述硬件令牌的存儲(chǔ)模塊上。在另一方案中，本發(fā)明提供了一種與所述服務(wù)器系統(tǒng)一起使用的用戶終端。所述用戶終端包括：秘密接收機(jī)，用于接收由硬件令牌所揭露的秘密的表示以及標(biāo)識(shí)與所述硬件令牌相對(duì)應(yīng)的數(shù)據(jù)記錄的信息；證書(shū)接收機(jī)，用于接收用戶的驗(yàn)證證書(shū)；值生成器，用于生成值；發(fā)射機(jī)，用于將所述用戶的所述驗(yàn)證證書(shū)、由所述硬件令牌所揭露的所述秘密的表示、標(biāo)識(shí)與所述硬件令牌相對(duì)應(yīng)的數(shù)據(jù)記錄的信息以及所生成的值發(fā)送到服務(wù)器系統(tǒng)；以及數(shù)據(jù)接收機(jī)，用于從所述服務(wù)器系統(tǒng)以加密形式接收數(shù)據(jù)記錄的內(nèi)容的至少一部分以及從所述服務(wù)器系統(tǒng)接收密鑰數(shù)據(jù)；密鑰計(jì)算模塊，用于基于所述值和所述密鑰數(shù)據(jù)來(lái)計(jì)算密鑰；以及數(shù)據(jù)解密器，用于基于所述密鑰對(duì)所述數(shù)據(jù)記錄的內(nèi)容的至少一部分進(jìn)行解密。所述用戶終端通過(guò)用戶證書(shū)和來(lái)自硬件令牌的秘密提供了改善的安全性。另外，通過(guò)加密來(lái)保護(hù)數(shù)據(jù)記錄，其中不需要通過(guò)網(wǎng)絡(luò)來(lái)發(fā)送所述密鑰。秘密接收機(jī)可以包括令牌閱讀器，用于電子地從所述硬件令牌獲得所述表示或所述信息。一種用于提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)的系統(tǒng)可以包括：所述服務(wù)器系統(tǒng)、多個(gè)硬件令牌和多個(gè)用戶終端。所述硬件令牌可由個(gè)人（如潛在患者）攜帶，并且所述用戶終端可由用戶（如緊急工作人員）攜帶或使用。當(dāng)個(gè)人需要幫助但無(wú)法提供他或她的個(gè)人健康記錄的訪問(wèn)細(xì)節(jié)時(shí)，緊急工作人員可以將所述硬件令牌與所述終端連接，并且所述終端可以向所述服務(wù)器系統(tǒng)發(fā)送秘密的表示；緊急工作人員向所述服務(wù)器系統(tǒng)驗(yàn)證他/她本身，并獲得對(duì)該個(gè)人的個(gè)人健康記錄的緊急部分的訪問(wèn)。該個(gè)人在下次需要緊急救助時(shí)，所述硬件令牌可以生成秘密的下一個(gè)表示。在另一方案，本發(fā)明提供了一種提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)的方法。所述方法包括：在服務(wù)器系統(tǒng)上存儲(chǔ)多個(gè)數(shù)據(jù)記錄和用戶的多個(gè)驗(yàn)證證書(shū)，一個(gè)數(shù)據(jù)記錄具有與之相關(guān)聯(lián)的、與對(duì)應(yīng)于該數(shù)據(jù)記錄的硬件令牌共享的秘密序列；從用戶終端接收用戶的驗(yàn)證證書(shū)，并基于所述用戶的驗(yàn)證證書(shū)來(lái)驗(yàn)證所述用戶是所述服務(wù)器系統(tǒng)的用戶；從所述終端接收由硬件令牌所揭露的秘密的表示和標(biāo)識(shí)對(duì)應(yīng)于所述硬件令牌的數(shù)據(jù)記錄的信息；將所述秘密的表示和與對(duì)應(yīng)于所述硬件令牌的數(shù)據(jù)記錄相關(guān)聯(lián)的秘密序列中的未使用的秘密進(jìn)行匹配，，如果所述秘密的表示與所述未使用的秘密相匹配并且所述用戶已經(jīng)被驗(yàn)證是所述服務(wù)器系統(tǒng)的用戶，則允許所述用戶對(duì)對(duì)應(yīng)于所述硬件令牌的數(shù)據(jù)記錄的至少一部分進(jìn)行訪問(wèn)；以及將所述未使用的秘密標(biāo)記為已使用。在另一方案中，本發(fā)明提供了一種電腦程序產(chǎn)品，包括用于使處理器系統(tǒng)執(zhí)行給出的方法的指令。本領(lǐng)域技術(shù)人員將清楚的是，可以用任何被視為有用的方式來(lái)組合本發(fā)明的在上面提到的實(shí)施例、實(shí)現(xiàn)和/或方案中的兩個(gè)或更多個(gè)。本領(lǐng)域技術(shù)人員可以基于本描述來(lái)實(shí)施對(duì)所述服務(wù)器、所述用戶終端、所述硬件令牌、所述方法和/或所述計(jì)算機(jī)程序產(chǎn)品的修改和變更，所述修改和變更與本發(fā)明的其他方面的所描述的修改和變更相對(duì)應(yīng)。附圖說(shuō)明根據(jù)下文描述的實(shí)施例，本發(fā)明的這些和其他方案將是顯而易見(jiàn)的，并且將參考這些實(shí)施例來(lái)闡明本發(fā)明的這些和其他方案。在本附圖中，圖1為用于提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)的系統(tǒng)的框圖；圖2為在該系統(tǒng)中使用的用戶終端的框圖；圖3為提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)的方法的流程圖；以及圖4為提供用于提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)的系統(tǒng)的另一視角的圖。具體實(shí)施方式本實(shí)施方式描述了系統(tǒng)的實(shí)施例，所述系統(tǒng)可以用于在緊急情況下，例如當(dāng)個(gè)人由于事故或心臟驟停而變得失去意識(shí)時(shí)，提供對(duì)個(gè)人的醫(yī)療記錄的訪問(wèn)。個(gè)人可以攜帶一種硬件標(biāo)簽，個(gè)人可以按照類(lèi)似信用卡的方式來(lái)對(duì)待這種硬件標(biāo)簽。存儲(chǔ)在該硬件標(biāo)簽中的信息被秘密地保存。該硬件標(biāo)簽可以使得秘密信息以電子形式存儲(chǔ)于其上，使得該信息只有在硬件標(biāo)簽連接到標(biāo)簽閱讀器時(shí)才被暴露。或者，可以使得該信息是可見(jiàn)的，這樣需要獲得對(duì)數(shù)據(jù)記錄的訪問(wèn)的個(gè)人可以將該信息復(fù)制到終端中。當(dāng)用戶失去意識(shí)時(shí)，醫(yī)生可以獲得這種硬件標(biāo)簽并使用其上的信息，以請(qǐng)求對(duì)該個(gè)人的存儲(chǔ)在個(gè)人健康記錄（PHR）的服務(wù)器上的個(gè)人健康記錄進(jìn)行一次性緊急訪問(wèn)。在數(shù)據(jù)標(biāo)簽被竊取或遺失的情況下，用戶可以掛失，以通過(guò)在服務(wù)器上封鎖該硬件標(biāo)簽來(lái)禁止任何對(duì)PHR的緊急訪問(wèn)。作為防止盜竊的對(duì)策，擁有數(shù)據(jù)標(biāo)簽并不一定意味著請(qǐng)求實(shí)體具有對(duì)用戶的PHR的緊急訪問(wèn)。在PHR服務(wù)器中定義策略，來(lái)僅僅允許能夠提供來(lái)自數(shù)據(jù)標(biāo)簽的信息的執(zhí)業(yè)醫(yī)生或醫(yī)療人員觸發(fā)緊急訪問(wèn)。類(lèi)似地，不具有來(lái)自數(shù)據(jù)標(biāo)簽的信息的醫(yī)生并未被授權(quán)發(fā)起這種緊急訪問(wèn)。另外，基于僅被PHR服務(wù)器所知的來(lái)自用戶的散列鏈的密鑰和來(lái)自醫(yī)生的秘密，硬件標(biāo)簽可以提供一次性會(huì)話密鑰以供急救醫(yī)生用來(lái)訪問(wèn)用戶的PHR。醫(yī)生也能夠查明從PHR服務(wù)器接收到的PHR是否為真實(shí)的以及它與用戶的標(biāo)識(shí)相對(duì)應(yīng)。圖1示出了一種系統(tǒng)，包括：服務(wù)器系統(tǒng)100、用戶終端200和硬件令牌60。該系統(tǒng)可以用于提供對(duì)數(shù)據(jù)記錄2的安全訪問(wèn)。該服務(wù)器系統(tǒng)100可以通過(guò)使用多個(gè)計(jì)算機(jī)和存儲(chǔ)介質(zhì)來(lái)來(lái)實(shí)現(xiàn)。還可以僅僅使用單個(gè)計(jì)算機(jī)在更小的規(guī)模上實(shí)現(xiàn)該系統(tǒng)。鑒于本描述，其他的實(shí)現(xiàn)可能對(duì)于技術(shù)人員來(lái)說(shuō)將是顯而易見(jiàn)的。服務(wù)器系統(tǒng)的存儲(chǔ)模塊1可以被配置成用于存儲(chǔ)多個(gè)數(shù)據(jù)記錄，例如個(gè)人健康記錄。該圖示意性地示出了一個(gè)數(shù)據(jù)記錄2。緊急訪問(wèn)可能性被啟用的每個(gè)數(shù)據(jù)記錄2可以具有相應(yīng)的硬件令牌60，所述相應(yīng)的硬件令牌由與該數(shù)據(jù)記錄2相關(guān)的個(gè)人攜帶。這樣的數(shù)據(jù)記錄2還可以具有與之相關(guān)聯(lián)的秘密序列14，該秘密序列14是與對(duì)應(yīng)于該數(shù)據(jù)記錄2的硬件令牌60共享的。在圖示中，已經(jīng)通過(guò)例子的方式示出了秘密序列14中的四個(gè)秘密s1、s2、s3、s4。另外，服務(wù)器系統(tǒng)100可以被安排用于存儲(chǔ)用戶驗(yàn)證信息3。這樣的用戶驗(yàn)證信息可以包括訪問(wèn)控制策略。所提到的用戶可以是具有合法理由或者被授權(quán)訪問(wèn)該數(shù)據(jù)記錄的醫(yī)師或急救工作者或其他個(gè)人。服務(wù)器系統(tǒng)100可以進(jìn)一步包括：用戶驗(yàn)證模塊10，用于從用戶終端200接收用戶的驗(yàn)證證書(shū)11。用戶驗(yàn)證模塊10基于所接收到的驗(yàn)證證書(shū)11和所存儲(chǔ)的驗(yàn)證信息3來(lái)判定終端200處的用戶是否可以一般地訪問(wèn)服務(wù)器系統(tǒng)100所存儲(chǔ)的數(shù)據(jù)記錄的緊急數(shù)據(jù)。也就是說(shuō)，該用戶驗(yàn)證模塊被安排用于驗(yàn)證用戶是被授權(quán)的用戶。驗(yàn)證模塊10可以被安排用于例如基于所存儲(chǔ)的訪問(wèn)控制策略來(lái)執(zhí)行基于角色的訪問(wèn)控制或基于屬性的訪問(wèn)控制?；诮巧幕蚧趯傩缘脑L問(wèn)控制本身在本領(lǐng)域中是已知的。如下面所討論的，在服務(wù)器系統(tǒng)100中，這樣的策略可以允許用戶只有在該用戶還提供從硬件令牌60獲得的合適秘密信息13時(shí)才能對(duì)數(shù)據(jù)記錄進(jìn)行訪問(wèn)，其中該用戶具有與之相關(guān)聯(lián)的特定的屬性集。秘密信息13可以是在用戶的控制下由終端200從硬件令牌60中讀取并被轉(zhuǎn)發(fā)給服務(wù)器100的。服務(wù)器系統(tǒng)100可以進(jìn)一步包括：秘密接收模塊9，用于從終端200接收秘密的表示13。終端200可以被安排用于從與數(shù)據(jù)記錄2相關(guān)的個(gè)人的硬件令牌60中讀取秘密13。此外，可以接收標(biāo)識(shí)與硬件令牌對(duì)應(yīng)的數(shù)據(jù)記錄的信息。這個(gè)后者的信息可以包括在秘密中或者它可以是從令牌獲得的分離的一條數(shù)據(jù)或者是其他。服務(wù)器系統(tǒng)100可以進(jìn)一步包括：匹配模塊7，用于將秘密的表示13與秘密序列中未使用的秘密進(jìn)行匹配，其中該秘密序列與對(duì)應(yīng)于硬件令牌60的數(shù)據(jù)記錄2相關(guān)聯(lián)。在圖中，s1、s2和s3為未使用的秘密，而s4為已使用的秘密。例如，匹配模塊7可以將所接收到的秘密的表示13與秘密序列14中的最后一個(gè)未使用的秘密s3進(jìn)行匹配。服務(wù)器系統(tǒng)100可以進(jìn)一步包括：訪問(wèn)允許模塊6，用于如果秘密的表示13與未使用的秘密s3匹配并且用戶已經(jīng)被驗(yàn)證是被授權(quán)用戶，則允許用戶訪問(wèn)與硬件令牌60相對(duì)應(yīng)的數(shù)據(jù)記錄2的至少一部分。如果這兩個(gè)條件沒(méi)有被同時(shí)滿足，則訪問(wèn)允許模塊6則拒絕對(duì)數(shù)據(jù)記錄2的訪問(wèn)。服務(wù)器系統(tǒng)100可以進(jìn)一步包括：標(biāo)記模塊12，用于將未使用的秘密s3標(biāo)記為已使用。這樣，系統(tǒng)追蹤哪些秘密仍是未使用的（如s1和s2）。只有未使用的秘密的表示13可以用于獲得對(duì)數(shù)據(jù)記錄2的訪問(wèn)。服務(wù)器系統(tǒng)可以包括：通信模塊8，用于向與硬件令牌60相關(guān)聯(lián)的個(gè)人的移動(dòng)終端50（例如移動(dòng)電話）進(jìn)行自動(dòng)電話呼叫或發(fā)送消息。例如，通信模塊8可以包括在移動(dòng)電話中發(fā)現(xiàn)的通信硬件或與這樣的通信硬件的網(wǎng)絡(luò)連接。通信模塊8在訪問(wèn)允許模塊6允許用戶進(jìn)行訪問(wèn)之前執(zhí)行其任務(wù)。通信模塊8能夠進(jìn)行雙向通信。如果通信模塊8接收到從移動(dòng)終端50返回的合適的信號(hào)，那么通信模塊8可以向訪問(wèn)允許模塊6發(fā)送信號(hào)以指示訪問(wèn)允許模塊6拒絕對(duì)數(shù)據(jù)記錄2的訪問(wèn)。移動(dòng)終端50包括用戶接口，用于使用戶能夠發(fā)送合適的信號(hào)，例如DTMF音調(diào)或sms消息。服務(wù)器系統(tǒng)100可以包括：加密器5，用于使用基于從用戶終端接收的值的密鑰，對(duì)數(shù)據(jù)記錄2的至少一部分進(jìn)行加密。該值可以是與秘密的表示13一起從用戶終端發(fā)送的。服務(wù)器系統(tǒng)100可以進(jìn)一步包括：數(shù)據(jù)發(fā)送模塊4，用于向用戶終端發(fā)送加密的數(shù)據(jù)和用于根據(jù)該值計(jì)算該密鑰的信息。數(shù)據(jù)發(fā)送模塊4可以將數(shù)據(jù)記錄的全部可訪問(wèn)部分發(fā)送給終端200，并且終端200可以包括使用戶能夠?yàn)g覽數(shù)據(jù)的軟件?；蛘?，數(shù)據(jù)發(fā)送模塊4可以包括網(wǎng)絡(luò)服務(wù)器，網(wǎng)絡(luò)服務(wù)器發(fā)送由用戶通過(guò)終端200和網(wǎng)絡(luò)接口請(qǐng)求的數(shù)據(jù)記錄2的元素。發(fā)送模塊4無(wú)需基于如上描述的密鑰計(jì)算。取而代之或另外，例如可以采用SSL和/或HTTPS加密技術(shù)或者其他數(shù)據(jù)保護(hù)協(xié)議。服務(wù)器系統(tǒng)100可以被安排用于在接收到秘密的表示13之后僅允許對(duì)數(shù)據(jù)記錄2訪問(wèn)一段有限的時(shí)間。例如，在僅僅的一次會(huì)話期間和/或在預(yù)定的時(shí)段期間允許訪問(wèn)。例如只有一個(gè)小時(shí)?？商鎿Q地或附加地，數(shù)據(jù)記錄2被發(fā)送到用戶終端200僅僅一次或僅僅預(yù)定的次數(shù)。秘密的表示13可以包括秘密的加密（例如s3的加密）。加密是基于密鑰的，并且該密鑰可以是散列序列的一部分。散列序列是這樣的一種序列：在該序列中，每個(gè)相繼的元素是通過(guò)對(duì)之前的元素應(yīng)用散列函數(shù)來(lái)獲得的。秘密在秘密序列中的位置與密鑰在散列序列中的位置相對(duì)應(yīng)。也就是說(shuō)，每一個(gè)相繼的秘密是用散列序列中的下一個(gè)密鑰加密的。這樣，當(dāng)從散列序列中的最后一個(gè)密鑰開(kāi)始逐個(gè)暴露這些密鑰并逆向工作時(shí)，攻擊者難以破解未暴露的秘密。之所以如此的原因在于散列函數(shù)是單向函數(shù)。圖1還示出了同與服務(wù)器系統(tǒng)100通信的用戶終端200一起使用的硬件令牌60。硬件令牌60包括：秘密提供模塊61，用于向終端200提供秘密的表示13。秘密的表示13可以包括秘密的加密。加密可以是基于密鑰的，并且密鑰可以是散列序列的一部分，并且秘密在秘密序列中的位置可以與密鑰在散列序列中的位置相對(duì)應(yīng)，并且秘密提供模塊可以被安排用于以反向的連續(xù)順序提供表示。硬件令牌可以包括：檢驗(yàn)器62，被安排用于接收密鑰，其中秘密的加密是用該密鑰生成的。該密鑰被稱作“接收到的密鑰”。接收到的密鑰可以從服務(wù)器系統(tǒng)100發(fā)送到終端200，并由終端轉(zhuǎn)發(fā)到硬件令牌60。檢驗(yàn)器62可以對(duì)接收到的密鑰應(yīng)用散列函數(shù)。這樣，便生成處理后的密鑰。這個(gè)處理后的密鑰可以與所存儲(chǔ)的值進(jìn)行比較，這個(gè)處理后的密鑰可以經(jīng)歷進(jìn)一步的處理步驟。所存儲(chǔ)的值是基于散列序列中的另外的密鑰的。在比較之后，將比較結(jié)果發(fā)送給終端。如果比較沒(méi)有導(dǎo)致匹配，則終端可以產(chǎn)生錯(cuò)誤，這是因?yàn)樵诜?wù)器系統(tǒng)上的數(shù)據(jù)記錄與硬件令牌上的信息之間存在不匹配。圖2示出了與服務(wù)器系統(tǒng)100一起使用的可能的用戶終端200。圖2的終端可以被安排用于執(zhí)行硬件令牌中的檢驗(yàn)器的任務(wù)。在這種情況下，硬件令牌無(wú)需執(zhí)行檢驗(yàn)。同樣的，如果硬件令牌確實(shí)具有檢驗(yàn)器62，則可以使用不具有校驗(yàn)器204的更簡(jiǎn)單的終端。終端200可以使用PC硬件來(lái)實(shí)現(xiàn)或可以使用不同的硬件以及合適的軟件來(lái)實(shí)現(xiàn)。貫穿附圖，已經(jīng)用類(lèi)似的參考數(shù)字表示了類(lèi)似的對(duì)象。用戶終端200可以包括：秘密接收機(jī)205，用于接收由硬件令牌60所暴露的秘密的表示以及標(biāo)識(shí)與硬件令牌60相對(duì)應(yīng)的數(shù)據(jù)記錄的信息。用戶終端200可以進(jìn)一步包括：證書(shū)接收機(jī)206，用于接收用戶的驗(yàn)證證書(shū)。證書(shū)接收機(jī)206可以基于例如使用戶能夠輸入用戶名和密碼的用戶接口元素。另外，使用用戶名、密碼和與用戶相關(guān)聯(lián)的硬件令牌（并不是與患者的數(shù)據(jù)記錄相對(duì)應(yīng)的硬件令牌60）的組合使得對(duì)用戶的強(qiáng)驗(yàn)證成為可能。用戶終端200可以進(jìn)一步包括：發(fā)射機(jī)201，用于將用戶的驗(yàn)證證書(shū)、由硬件令牌60所暴露的秘密的表示以及標(biāo)識(shí)與硬件令牌60相對(duì)應(yīng)的數(shù)據(jù)記錄的信息發(fā)送給服務(wù)器系統(tǒng)100。當(dāng)服務(wù)器系統(tǒng)100基于所提供的信息允許對(duì)數(shù)據(jù)記錄2的訪問(wèn)時(shí)，可以以加密形式將數(shù)據(jù)記錄2中的內(nèi)容發(fā)送到用戶終端200。然而，同樣，可以執(zhí)行對(duì)服務(wù)器的驗(yàn)證和/或檢查服務(wù)器系統(tǒng)100是否找到了正確的數(shù)據(jù)記錄2，如下所示。用戶終端200可以包括：數(shù)據(jù)接收機(jī)202，用于從服務(wù)器系統(tǒng)100以加密形式接收數(shù)據(jù)記錄的內(nèi)容的至少一部分以及從服務(wù)器系統(tǒng)100接收密鑰數(shù)據(jù)。該密鑰數(shù)據(jù)可以被轉(zhuǎn)發(fā)到檢驗(yàn)器204，所述檢驗(yàn)器204被安排用于將散列函數(shù)應(yīng)用到所接收的密鑰數(shù)據(jù)（一次或多次）以及進(jìn)行可選的進(jìn)一步的處理步驟，以獲得處理后的密鑰，并將處理后的密鑰與為此目的而從硬件令牌60接收到的值進(jìn)行比較。該值可以基于散列序列中的再往前的密鑰?；谶@個(gè)比較，檢驗(yàn)器204判定服務(wù)器系統(tǒng)100和/或數(shù)據(jù)記錄2是否為真實(shí)的。用戶終端200可以包括：數(shù)據(jù)解密器203，用于基于密鑰數(shù)據(jù)，對(duì)數(shù)據(jù)記錄的內(nèi)容的至少一部分進(jìn)行解密。數(shù)據(jù)解密器203可以被配置成只有在檢驗(yàn)器204進(jìn)行的驗(yàn)證成功時(shí)才對(duì)數(shù)據(jù)記錄的內(nèi)容進(jìn)行解密。秘密接收模塊205可以包括：令牌閱讀器207，用于從硬件令牌60電子地獲得表示和信息。例如，令牌閱讀器207包括智能讀卡器，并且硬件令牌60包括智能卡?？梢允褂媒o出的服務(wù)器系統(tǒng)、硬件令牌和用戶終端來(lái)建立完整的受保護(hù)的訪問(wèn)系統(tǒng)，其中檢驗(yàn)器可以實(shí)現(xiàn)在用戶終端中或?qū)崿F(xiàn)在硬件令牌中。圖3示出了提供對(duì)數(shù)據(jù)記錄的安全訪問(wèn)的方法。該方法可以以軟件的形式實(shí)現(xiàn)，所述軟件可以存儲(chǔ)在一個(gè)或多個(gè)存儲(chǔ)介質(zhì)上，以分布在服務(wù)器系統(tǒng)、一個(gè)或多個(gè)用戶終端以及一個(gè)或多個(gè)硬件令牌上。該方法可以包括步驟301，存儲(chǔ)多個(gè)數(shù)據(jù)記錄并存儲(chǔ)用戶驗(yàn)證信息，一個(gè)數(shù)據(jù)記錄具有與之相關(guān)聯(lián)的與對(duì)應(yīng)于該數(shù)據(jù)記錄的硬件令牌共享的秘密序列；該方法可以包括步驟302，從用戶終端接收用戶的驗(yàn)證證書(shū)，并基于該用戶的驗(yàn)證證書(shū)和所存儲(chǔ)的驗(yàn)證信息來(lái)驗(yàn)證該用戶為被授權(quán)用戶。該方法可以包括步驟303，從終端接收由硬件令牌所暴露的秘密的表示和標(biāo)識(shí)對(duì)應(yīng)于硬件令牌的數(shù)據(jù)記錄的信息。該方法可以包括步驟304，將該秘密的表示和與對(duì)應(yīng)于該硬件令牌的數(shù)據(jù)記錄相關(guān)聯(lián)的秘密序列中的未使用的秘密相匹配。該方法可以包括步驟305，如果該秘密的表示與未使用的秘密相匹配并且該用戶已經(jīng)被驗(yàn)證是被授權(quán)用戶，則允許該用戶對(duì)對(duì)應(yīng)于該硬件令牌的數(shù)據(jù)記錄的至少一部分進(jìn)行訪問(wèn)。該方法還可以包括步驟306，將該未使用的秘密標(biāo)記為已使用。諸如數(shù)據(jù)標(biāo)簽智能卡（包含緊急挽救令牌）之類(lèi)的硬件令牌的使用可以使醫(yī)療人員能夠在緊急事件時(shí)獲得對(duì)用戶的PHR的訪問(wèn)。作為例子，可以實(shí)現(xiàn)如下特征。-數(shù)據(jù)標(biāo)簽包含訪問(wèn)健康記錄所需的訪問(wèn)信息。–可以更新卡上的信息，而不需要銷(xiāo)毀或無(wú)效您的記錄。-協(xié)議涉及對(duì)信息請(qǐng)求者的醫(yī)療證書(shū)進(jìn)行的檢查。-協(xié)議確保了對(duì)記錄的訪問(wèn)只對(duì)一個(gè)單個(gè)的會(huì)話有效。示例性實(shí)施例可以包括如下元素中的一個(gè)或多個(gè)或者全部：-PHR服務(wù)器通過(guò)生成散列鏈和挽救令牌與用戶建立關(guān)聯(lián)。挽救令牌與偽秘密一起被加密并存儲(chǔ)在智能卡上。-醫(yī)生可以向PHR服務(wù)器驗(yàn)證自己，并且他的證書(shū)應(yīng)當(dāng)滿足由PHR服務(wù)器定義的用于啟用緊急訪問(wèn)的策略。-醫(yī)生或醫(yī)生所使用的用戶終端在本地生成秘密x，并將其連同偽秘密（ps）和第i個(gè)挽救令牌（rki）一起提供給PHR服務(wù)器。只有在醫(yī)生持有用戶的智能卡時(shí)才允許緊急訪問(wèn)。其證據(jù)是通過(guò)提供偽秘密和挽救令牌二者來(lái)產(chǎn)生的。-特定的挽救令牌的范圍被限于特定的緊急會(huì)話。對(duì)于每一個(gè)緊急會(huì)話，使用不同的挽救令牌（rki）。第i個(gè)挽救令牌的使用僅僅能夠?qū)崿F(xiàn)針對(duì)第i次緊急會(huì)話的訪問(wèn)，并且之后是無(wú)效的，即使醫(yī)生在之后嘗試使用它也是如此。因此，這防止了醫(yī)生在今后利用對(duì)用戶的PHR的緊急訪問(wèn)，并且以有效的方式保護(hù)了用戶的隱私。-同時(shí)，PHR服務(wù)器可以向用戶發(fā)起自動(dòng)電話呼叫，以便判定用戶當(dāng)前是否處于緊急情況中。如果用戶沒(méi)有應(yīng)當(dāng)，則可以假定用戶確實(shí)處于緊急情況中。-在確認(rèn)了用戶（此處實(shí)際上為個(gè)人）的挽救令牌和偽秘密之后，PHR服務(wù)器在安全驗(yàn)證的通道中返回來(lái)自散列鏈K1,K2,…,KN的第(i-1)個(gè)密鑰Ki-1，秘密隨后與醫(yī)生自己的秘密x組合在一起進(jìn)行使用以生成一次性的秘密z，用于解密用戶的PHR或PHR的子集。-PHR服務(wù)器返回使用z加密的已加密PHR，并且可以在時(shí)間上限制對(duì)PHR的訪問(wèn)。在這種情況中，不向任何人暴露用戶的用戶訪問(wèn)PHR的原始密碼或秘密。圖4示出了本發(fā)明實(shí)施例的更詳細(xì)的例子。這些細(xì)節(jié)在此僅作為示例進(jìn)行描述，并且可以分開(kāi)地或組合地應(yīng)用到圖1和圖2的系統(tǒng)以及圖3的方法。系統(tǒng)示意性地示出了潛在患者451。該圖還示出了智能卡452，其只是硬件令牌的一個(gè)例子。該圖進(jìn)一步示出了PHR服務(wù)器453和用戶終端454（通常由醫(yī)生操作）。數(shù)字401-414表示與若干處理步驟相關(guān)聯(lián)的數(shù)據(jù)流。A.秘密的初始化（步驟401）當(dāng)用戶注冊(cè)PHR賬戶時(shí)，他從PHR服務(wù)器獲得偽秘密。PHR服務(wù)器首先選擇隨機(jī)數(shù)K1作為散列鏈的第一個(gè)密鑰[5]。將散列函數(shù)應(yīng)用在該密鑰上，以計(jì)算出散列鏈上的下一個(gè)密鑰。將此過(guò)程重復(fù)n-1次，以生成散列鏈，如下所示：K1→K2=H[K1]→K3=H[K2]→...→Kn=H[Kn-1]散列鏈具有單向?qū)傩?，原因在于：給定Kn，攻擊者推導(dǎo)出Kn-1在計(jì)算上是不可行的。散列鏈對(duì)于每個(gè)個(gè)體來(lái)說(shuō)是唯一的，并且它作為用戶的PHR的標(biāo)識(shí)符。散列鏈中的密鑰可以用于判定用戶的PHR的真實(shí)性。以反向的順序使用散列鏈，并且Kn被表示為用戶的偽秘密。除了散列鏈之外，PHR服務(wù)器生成n挽救令牌X1,...,Xn，例如隨機(jī)數(shù)，并且按照以下方式使用散列鏈中的密鑰來(lái)對(duì)它們進(jìn)行加密：EKn-1(Xn),EKn-2(Xn-1),...,EK1(X2)挽救令牌為在用戶的硬件令牌和PHR服務(wù)器之間共享的秘密。由于加密，使用挽救令牌的醫(yī)生不能對(duì)該令牌進(jìn)行解密，因此阻止重演。因?yàn)槊恳粋€(gè)令牌是用來(lái)自密鑰鏈中的密鑰進(jìn)行加密的并且該密鑰僅為PHR服務(wù)器所知，所以攻擊者不可能創(chuàng)建新的令牌或修改令牌。將可能以明文形式包含偽秘密密鑰的數(shù)據(jù)標(biāo)簽（即硬件令牌）、訪問(wèn)PHR服務(wù)器的URL以及加密的挽救令牌與附涵一起發(fā)送給用戶，在所述附涵中建議用戶總是隨身攜帶該數(shù)據(jù)標(biāo)簽。B.觸發(fā)緊急訪問(wèn)在緊急事件中，醫(yī)生和PHR服務(wù)器可以執(zhí)行如下步驟中的一些或全部以便向醫(yī)生釋放PHR數(shù)據(jù)：-步驟402：醫(yī)生查詢數(shù)據(jù)標(biāo)簽智能卡上的數(shù)據(jù)。-步驟403：數(shù)據(jù)標(biāo)簽智能卡返回偽秘密Kn和第i個(gè)挽救令牌rki＝EKi-1(Xi)。偽秘密用作用戶的PHR的標(biāo)識(shí)符，同時(shí)挽救令牌向醫(yī)生允許緊急訪問(wèn)。當(dāng)醫(yī)生下一次查詢智能卡時(shí)，將連同偽秘密Kn一起發(fā)布新的挽救令牌，即EKi-2(Xi-1)。-步驟404：醫(yī)生例如使用其用戶名和密碼、SAML令牌、PKI證書(shū)等來(lái)向PHR服務(wù)器進(jìn)行驗(yàn)證。-步驟405：PHR服務(wù)器對(duì)醫(yī)生進(jìn)行驗(yàn)證并返回驗(yàn)證失敗或成功的消息。-步驟406：在成功驗(yàn)證之后，醫(yī)生在本地生成隨機(jī)秘密x。-步驟407：在生成該秘密之后，醫(yī)生向PHR服務(wù)器發(fā)送偽秘密（ps=Kn）、挽救令牌（rki=EKi-1(Xi)）和隨機(jī)秘密x。-步驟408：基于所接收的偽秘密，PHR服務(wù)器定位用戶的相應(yīng)的散列鏈，并往回推進(jìn)散列鏈以獲得Ki-1。隨后使用Ki-1來(lái)解密挽救令牌，并且PHR服務(wù)器確保該令牌在之前從來(lái)沒(méi)有被使用過(guò)，否則PHR服務(wù)器中止此次會(huì)話，并將不釋放患者的PHR數(shù)據(jù)。-步驟409：PHR服務(wù)器還可以向用戶進(jìn)行自動(dòng)的電話呼叫，以判定該用戶是否在緊急情況中；如果用戶指示不在緊急情況中，則將立即中止緊急訪問(wèn)請(qǐng)求。-步驟410：如果已經(jīng)查明是緊急情況，則PHR服務(wù)器生成一次性秘密密鑰z=x+Ki-1，-步驟411：PHR服務(wù)器然后使用秘密密鑰z來(lái)加密用戶的PHR。-步驟412：PHR服務(wù)器將加密的PHR連同密鑰Ki-1一起發(fā)送給醫(yī)生（例如，密鑰可以作為密鑰交換協(xié)議的一部分被發(fā)送）。-步驟413：醫(yī)生的終端也知道x和Ki-1，也可以計(jì)算一次性秘密z。然而，在這之前，醫(yī)生可以確保從PHR服務(wù)器接收到的Ki-1是真實(shí)的并與用戶的標(biāo)識(shí)相對(duì)應(yīng)，以便確保獲取正確的PHR。醫(yī)生的終端可以將散列函數(shù)重復(fù)地應(yīng)用到Ki-1和所產(chǎn)生的散列值，直到其到達(dá)Kn，其中Kn可以被認(rèn)為是用戶的偽秘密。這用作對(duì)PHR服務(wù)器進(jìn)行驗(yàn)證的一種方式，這是因?yàn)橹挥蠵HR服務(wù)器知道完整的散列鏈H[Ki-1]→…→H[Kn-1]=Kn。-步驟414：醫(yī)生使用步驟413的輸出來(lái)解密PHR數(shù)據(jù)。將清楚的是，本發(fā)明還應(yīng)用于適于將本發(fā)明付諸實(shí)踐的計(jì)算機(jī)程序，尤其是載體上或載體中的計(jì)算機(jī)程序。程序可以為源代碼、目標(biāo)代碼、代碼中間源和目標(biāo)代碼的形式，例如部分編譯形式或者適合用于實(shí)現(xiàn)根據(jù)本發(fā)明的方法的任何其他形式。還將清楚的是，這樣的程序可以具有多種不同的架構(gòu)設(shè)計(jì)。例如，實(shí)現(xiàn)根據(jù)本發(fā)明的方法或系統(tǒng)的功能的程序代碼可以被細(xì)分成一個(gè)或多個(gè)的子例程。在這些子例程中分配功能的多種不同的方式對(duì)于技術(shù)人員來(lái)說(shuō)將是顯而易見(jiàn)的。子例程可以一起存儲(chǔ)在一個(gè)可執(zhí)行文件中以形成獨(dú)立的程序。這樣的可執(zhí)行文件可以包括計(jì)算機(jī)可執(zhí)行指令，例如處理器指令和/或解釋器指令（例如Java解釋器指令）。或者，這些子例程中的一個(gè)或多個(gè)或全部可以存儲(chǔ)在至少一個(gè)外部庫(kù)文件中，并例如在運(yùn)行時(shí)與主程序靜態(tài)地或動(dòng)態(tài)地鏈接。主程序包含對(duì)至少一個(gè)子例程的至少一個(gè)調(diào)用。子例程還可以包括對(duì)彼此的調(diào)用。涉及計(jì)算機(jī)程序產(chǎn)品的實(shí)施例包括：與本文給出的至少一個(gè)方法中的每一個(gè)處理步驟相對(duì)應(yīng)的計(jì)算機(jī)可執(zhí)行指令。這些指令可以被細(xì)分為子例程和/或存儲(chǔ)在可以被靜態(tài)或動(dòng)態(tài)鏈接的一個(gè)或多個(gè)文件中。涉及計(jì)算機(jī)程序產(chǎn)品的另一實(shí)施例包括：與本文中給出的至少一個(gè)系統(tǒng)和/或產(chǎn)品中的每一個(gè)模塊相對(duì)應(yīng)的計(jì)算機(jī)可執(zhí)行指令。這些指令可以被細(xì)分為子例程和/或存儲(chǔ)在可以被靜態(tài)或動(dòng)態(tài)鏈接的一個(gè)或多個(gè)文件中。計(jì)算機(jī)程序的載體可是能夠承載程序的任何實(shí)體或設(shè)備。例如，載體可以包括：存儲(chǔ)介質(zhì)，例如ROM，如CDROM或半導(dǎo)體ROM；或者磁記錄介質(zhì)，如閃存驅(qū)動(dòng)器或硬盤(pán)。更進(jìn)一步，載體可以為諸如電信號(hào)或光信號(hào)之類(lèi)的可傳輸載體，其可以通過(guò)電纜或光纜或者通過(guò)無(wú)線電或其他方式進(jìn)行傳送。當(dāng)程序用這樣的信號(hào)來(lái)實(shí)施時(shí)，載體可以由這樣的電纜或者其他設(shè)備或方式組成?；蛘撸d體可以是嵌入程序的集成電路，該集成電路適用于執(zhí)行相關(guān)的方法或者在相關(guān)的方法的執(zhí)行的過(guò)程中使用。應(yīng)當(dāng)注意的是，上述的實(shí)施例示出而不是限制本發(fā)明，并且本領(lǐng)域技術(shù)人員將能夠設(shè)計(jì)出許多替換的實(shí)施例，而不不偏離所附權(quán)利要求的范圍。在權(quán)利要求中，任何放置在圓括號(hào)中的參考符號(hào)不應(yīng)被解釋為是對(duì)權(quán)利要求的限制。使用動(dòng)詞“包括”及其詞形變化并不排除存在不同于權(quán)利要求中所陳述的元素或步驟的元素或步驟。元素之前的冠詞“一”或“一個(gè)”并不排除存在多個(gè)這樣的元素。可以通過(guò)包括若干不同元件的硬件以及通過(guò)適當(dāng)編程的計(jì)算機(jī)來(lái)實(shí)現(xiàn)本發(fā)明。在列舉了若干模塊的設(shè)備權(quán)利要求中，這些模塊中的若干個(gè)可以由一個(gè)并且相同的硬件項(xiàng)來(lái)實(shí)施。某些措施被記載在相互不同的從屬權(quán)利要求中這一不爭(zhēng)的事實(shí)并不是表示不能使用這些措施的組合來(lái)獲利。