一个防伪和便携式医疗文件夹

文摘

电子健康记录(EHR)项目已经发起了在大多数发达国家,提高医疗保健的质量,同时降低其成本。集中提供的福利的医疗信息数据库系统是毫无疑问的信息质量,可用性和防止失败。然而,病人不愿意给一个遥远的服务器控制高度敏感数据(例如,数据揭示了一个严重的或可耻的疾病)。本文利用一种新的硬件便携式设备,将智能卡的安全存储容量的USB密钥,回馈病人控制他的医疗数据。本文展示了这个设备可以补充传统的EHR服务器(1)保护和共享高度敏感数据在受信任方和(2)提供一个无缝的访问数据即使在断开连接模式。拟议的架构是尝试上下文中的medicosocial网络提供医疗保健和社会服务为老年人在家里。

1。介绍

自早期的医学,计算机的出现之前,人们手工管理的医疗数据,积累药物处方、检查结果,和其他医疗文件,所有这一切都刻在纸和存储在物理文件夹在家里或在家庭医生办公室。虽然古老的以今天的标准来看,本手册提供的数据所有者(即信息共享方案。,the patient) with control over the sharing and usage of his or her information with the advised assistance of his family doctor and under the protection of the Hippocratic Oath. The patient control was not compromized by the digitization of medical documents in a first stage, simply because the information was scattered among several incompatible information systems in hospitals, clinics, and practitioner’s offices. No one knows where the information is, how to access it, whether it is complete and accurate, and under which format it has been produced.

在过去的十年里,一些国家推出了雄心勃勃的电子医疗记录(EHR)项目的目的提高医疗保健的质量,同时降低其成本(1]。例如,国家连接卫生(http://www.connectingforhealth.nhs.uk)计划在英国国家开关点(https://www.nictiz.nl)由Nictiz在荷兰,或医疗保健系统Infoway(http://www。infoway-inforoute.ca / en / home / home.aspx)在加拿大所有正在运行的项目旨在建立一个广泛EHR。在最近的一份报告中(2),法国副j。门确认全世界有超过100的EHR项目运行在一个国家或地区的规模在最近的一份报告中。集中医疗信息数据库系统的目标是廖(集中数据存储指的是事实,组织,提供,并由数据库服务器,任何计算机系统基础设施):完整性(即。,to make the information complete and up to date),可用性(使它通过互联网访问24小时/每周7天),可用性(组织数据并使其容易可查询和可翻译的),一致性(保证完整性约束和执行原子性和隔离的更新),耐用性(保护数据免遭失败)安全(保护数据免受非法访问)。

另一方面,研究在不同的国家3,4),表明,一些病人甚至从业人员不愿使用EHR系统认为增加对个人隐私的威胁。这个怀疑是由于计算机安全调查指出数据库管理系统(dbms)的脆弱性对内部和外部攻击(5]。事实上,集中和组织使其更有价值的信息,从而激发攻击,并促进的用法。结果,EHR供应商必须遵守非常严格的立法对医疗数据的存储和保存。不管服务器的安全程序实施及其有效性,病人的感觉失去控制他或她的数据。有四个主要原因。

(我)指导病人的同意:病人通常是要求给他同意一个访问控制策略指定(个人或角色)是谁授权访问的文件夹。即使医生的帮助,很难保证这个同意完全开悟。这是由于大量的人与文件夹进行交互,他们的角色的多样性,医疗信息的复杂性,确定哪些数据的内在困难协会(或数据)显示一个给定的病理变化。因此,病人通常遵循一个预定义的访问控制策略,他并没有真正的主人。补充访问控制、审计信息可以帮助病人跟踪后验,当他访问的哪个部分文件夹。然而,审计跟踪开发是相当复杂的,可能需要一个专门的查询语言6]。对病人的自由表达同意,EHR系统不能与古老的手册信息共享方案。(2)无限数据保留:有限数据保留的一个核心原理相关的法律保障的个人数据7]。有限的数据保持高度一生数据(例如,10年对于一个给定的法庭判决)之后,它必须退出系统(8]。不幸的是,有限的数据保留冲突与EHR的主要目标,是建立一个完整的每个病人的病史。此外,(9)强调了困难身体破坏信息存储在现有的dbms,表明它可以恢复的法医分析在很多方面。这加强了病人的感觉,他永远完整历史记录。一个副作用是,病人可能选择不储存一些信息在他的文件夹(同义词的不完整性和低质量的医疗),因为他不能评估先验的敏感信息。(3)没有安全保障境外服务器域:医疗数据可能会从服务器提取和驻留在客户端设备(例如,医生或病人的设备)。通常情况下,医疗中使用的文件夹需要提取分离模式,例如,提供医疗保健在家里。这种情况仍将是统治一段时间,直到每一个点的领土被连接到一个安全、快速、可靠和免费的网络。不幸的是,托管设备更间谍软件、木马和病毒倾向于服务器,引入体系结构中的一个重要的安全漏洞。(iv)没有断开连接访问的文件夹:EHR设计与在线使用。这可能构成一个大类别的真正障碍患者(如老年人、残疾人和贫困的人),先决条件获得他们的文件夹被使用一个终端在一些公共场所或拥有个人电脑,掌握它的使用(包括计算机管理负担)和支付一个互联网连接。如果这些后者条件不满意,从业者提供医疗在国内将会对他的移动设备下载的文件夹访问病人,一个复杂而耗时的任务,除了上面提到的安全漏洞。

在本文中,我们提出一个新颖的组织EHR针对绕过这四个缺点。这个组织利用新的硬件设备便携式安全令牌(SPT)。大致说来,一个SPT结合安全微控制器(类似于智能卡芯片)有一个很大的外部闪存(gb大小的)一个USB关键形式因素(10,11]。SPT的主机板载数据和运行上代码证明安全属性由于其防伪硬件和经过认证的操作系统(11]。嵌入数据库系统和web服务器的SPT给机会管理医疗文件夹(或它的一部分)外的EHR服务器的安全。机上访问文件夹时断开网络需要一个简单的呈现设备配备USB接口和运行一个web浏览器。,嵌入式数据库管理系统可以自行这病人保持完全控制机载数据,无需任何外部干预能够数据库管理员。数据保存期和机载数据的共享可以组织类似于前面的手动模式,病人的控制之下。与中央服务器生成的体系结构是分散的,由公共或私人管理数据库服务提供者和一个嵌入式本地服务器每个病人。把文件夹在一个集中的部分和一个本地部分仍在病人的责任。然而,本地服务器不能提供属性的可用性和耐用性在本地数据。我们将表明,结合中央服务器和本地服务器的能力恢复这些基本属性。

我们的项目不是第一个推广使用安全令牌。越来越多的项目使用智能卡(例如,法国Sesam Vitale(12),病人健康智能卡在纽约(13),国家健康卡系统,(24数以百万计的智能卡,明白了门户http://www.gi-de.com/portal/page?_pageid=42, 55000 &_dad = portal&_schema =),在台湾等)进行患者的国家安全号码和医生的证书为了实现一个强大的识别过程。同时,德国EHR项目计划使用智能卡携带最新处方信息(14]。作为我们的项目,德国计划强调的利益持有的一部分病人在本地文件夹。然而,这个项目使用传统的智能卡技术从而取缔在本地存储大量的病人的记录(智能卡具有小于100 KB的内存稳定,(在德国维基:http://www.de.wikipedia.org/wiki/ Elektronische_Gesundheitskarte),和256 MB的初步SPT我们正在工作)。我们所知,我们的项目是第一个解决相关的技术挑战管理(存储、查询和安全共享)的大型文件夹嵌入安全令牌。

本文组织如下。部分2介绍了拟议的EHR系统的功能体系结构,讨论了不同场景,展示相结合的好处一个中央EHR服务器安全的便携式文件夹。部分3草图重要的技术挑战和大纲所提出的解决方案。部分4描述了应用程序的解决方案提供医疗在国内和部分医疗网络5总结道。

2。功能体系结构和场景

拟议的EHR架构,在图1,是围绕着一个中心DBMS服务器提供上面提到的功能(完整性、可用性、可用性、一致性、耐久性和安全性)对所有病人的文件夹。该服务器提供了一个互联网访问所有授权用户(例如,医生、护士等)和执行访问控制策略定义的患者。这些政策是基于违约政策推行EHR团体像GIP DMP (GIP DMP负责建立法国医学文件夹名为DMP(档案医务人员)的项目。看到http://www.d-m-p.org/docs/EnglishVersionDMP.pdf和http://www.d-m-p.org/)的帮助下,可以精炼实践者。允许断开访问任何病人文件夹,文件夹副本管理在一个安全的便携式令牌(SPT)提供给每个病人。一旦赋予合适的嵌入式软件(通常是一个web服务器和数据库管理系统)和及时同步与中央服务器,SPT服务器成功地代理中央服务器。定义的访问控制策略病人实施统一的中央DBMS和SPT。注意中央和SPT服务器之间的同步必须出现在所有情况下(例如,即使一个SPT仍在病人的家里,没有连接到网络)。我们以后细节这个同步的过程。

SPT的手段一个病人可以恢复完全控制他的文件夹,类似于手动共享方案。让我们假设一个病人愿意隐藏他的法官是高度敏感的信息(例如,因为它可能揭示了一个严重的或可耻的疾病)。在传统的EHR系统,如果病人不完全信任服务器或不完全理解的访问控制策略(上面提到的原因),他没有其他选择丢弃这些信息,从而产生一个不完整的文件夹。在这里,病人可以存储这些信息,调用隐藏数据(高清),在他的SPT没有复制它在中央服务器上。数据不隐藏常规数据(理查德·道金斯)和SPT和中央服务器上复制。如果病人后来改变主意(例如,之后他的医生的建议),他仍有机会改变从隐藏的常规的状态数据。注意,相反的转换(从常规到隐藏)是不确定由于数据可能是事先查询和/或复制。隐藏数据与隐私匹配目标但耐久性财产丢失便携式以来该数据令牌天生不是耐用(它可能会丢失或销毁)。耐久性可以恢复使用中央服务器作为cryptoprotected数据(即存储库。、加密和签名)。为此,隐藏数据由病人的SPT加密,加密存储在中央服务器但加密密钥从未透露到中央服务器。(注意所使用的加密技术有时中央服务器保护数据库足迹(15]。这样的基于服务器的加密解决方案,数据加密和解密的DBMS。基于服务器的加密因此正交SPT-based加密应用到隐藏的数据)。加密密钥保持SPT控制下,使自己持久由于信任存托。中央服务器保证隐藏数据的耐用性和可用性不能够解释其内容。

现在让我们假设病人愿意分享中隐藏数据限制信任的圈子的人。病人可以在这些数据定义适当的访问控制规则,这样就可以访问这些人在他的病人和SPT(如纸质方案)。SPT允许一个更聪明的方式交换敏感信息。病人可能授予一个可信的参与者访问他隐藏的数据即使不是在同一物理位置。这可能是有用的在紧急情况下如果需要远程诊断。这可以通过共享实现隐藏数据的加密密钥的spt参与同一信任圈,因此只有这些spt能够自由cryptoprotection隐藏数据。注意,这些键是从来没有从SPT外部化,从而允许在本地执行访问控制规则(规则存储加密和隐藏的数据在中央服务器上)。在图来区分它们1定期(分别地。,hidden) data and its related access control rules are pictured in white (resp., grey). As mentioned above, the access control policy defined by a patient must be enforced uniformly on the central DBMS and on the SPT, independently of the status of the data. With hidden data, the access control policy is strengthened by the obligation of physically sharing the encryption keys, and this sharing is totally under the patient control. Once decrypted, hidden data is still protected by the access control policy enforced by the SPT.

让我们通过一个场景说明系统的行为涉及三个参与者:一位上了年纪的病人叫鲍勃,他的家庭医生,吉姆,一个护士露西。每一个参与者拥有一个SPT。一些体检规定鲍勃他们指定的一个子集,隐藏的(其他被视为正常)。医学实验室执行考试将在中央服务器上的结果。结果对应于隐藏数据使用鲍勃的公钥cryptoprotected推。(鲍勃的公钥是由一个PKI服务器而鲍勃的私钥被复制在每个SPT属于鲍勃的信任圈。私有密钥管理是安全的控制芯片,甚至SPT持有人不能影响或损害。为了简明起见,我们不详细进一步SPT之间的密钥交换协议。为了提高效率,使用非对称加密只加密对称密钥用于保护隐藏的数据)。

露西经常拜访鲍勃在家。鲍勃没有互联网连接,很少出门。因此,露西作为同步对鲍勃的文件夹(如其他任何人访问鲍勃和拥有一个SPT)。访问之前,只露西从中央服务器下载最新更新,隐藏或常规,在鲍勃的文件夹。这包括最近的考试成绩。访问期间,露西和鲍勃的spt是同步的。最新的更新从中央服务器集成在鲍勃的本地文件夹。相反,鲍勃的最新更新执行的本地文件夹,如果有的话,在露西的SPT加载。这允许刷新中央服务器副本下次露西将连接到服务器。同步数据(即传送到接收端。, central server or patient's SPT) using a secure protocol (authentication and encryption). Lucy cannot get access to this data, protected by the tamper resistance of the SPT.

吉姆参与鲍勃的信任圈。在他的办公室,他可以连接到中央服务器Bob的最新的文件夹和视图,包括最近考试的结果和可能的更新由露西回来(在吉姆的访问权限授予Bob的极限)。当拜访鲍勃在家,吉姆可以得到相同级别的信息通过连接本地鲍勃的SPT。

总而言之,任何授权人(或授权角色扮演)可以连接到中央服务器或一个SPT本地服务器和检索的常规数据授权访问的访问控制策略。没有信任圈以外的人可以获得隐藏的数据,无论他们的角色(s)和特权。的确,这隐藏数据cryptoprotected在中央服务器和加密密钥只有被病人的SPT和SPT的人属于她的信任的圈子。隐藏数据存储在病人的SPT SPT抗干扰的好处。加密密钥(对称和私钥)传输从病人的SPT的SPT信任圈使用安全协议(基于对称加密)。这种传播可能发生在连接模式或通过另一个SPT同步上面描述的一部分。最后,同步数据(常规、隐藏或加密密钥)从不向任何人披露除了收件人也是保护安全协议在传输过程中。

这种模式的操作提供了更强大的隐私保护比任何传统的EHR担保。首先,攻击在服务器只能揭示常规数据,进行隐藏数据从服务器缺席或加密密钥的控制下,让客户的spt。最先进的基于服务器的安全解决方案,即使是那些使用加密(15),不能提供这种级别的保护,因为加密密钥保持在服务器端启用查询执行访问。第二,攻击在客户机终端不能透露更多比数据显示的应用程序在运行时,但没有数据是存储在客户机终端的清晰。第三,防伪的SPT继承了其安全硬件和经过认证的嵌入代码(CC EAL4认证或5,FIPS或使用其他相关计划(11])。我们不认为SPT证实牢不可破的,因为最终安全不存在但它使攻击如此复杂和昂贵的实现在实践中变得毫无意义。分析完成,让我们考虑了SPT攻击的影响。打破一个病人的SPT将导致披露她的医疗文件夹存储在本地(隐藏和常规数据);打破了医生的SPT将导致披露加密密钥的病人有注册医生的信任圆;最后,打破了SPT服务同步(通常是一个护士的SPT)将不会透露任何信息。

3所示。技术挑战

许多技术挑战提出EHR的体系结构,介绍了访问控制的定义和执行,加密密钥的管理,中央服务器之间的数据同步和嵌入式本地服务器,等等。由于空间限制,本节的重点是挑战相关的SPT和嵌入的数据管理技术的核心架构。

3.1。SPT硬件和操作系统

一个SPT旨在结合在同一硬件平台安全芯片和大规模存储NAND闪存(几个g很快)。智能卡的安全芯片类型,与32位RISC CPU时钟大约50 MHz,内存模块组成的ROM, KB的静态RAM,少量的内部稳定的存储器(或flash)和安全模块。第一个明显的挑战是产生这种硬件平台和评估其抗干扰性能。在这个平台中,大容量存储器NAND闪存外的安全芯片(由总线连接)和不受益于芯片的硬件保护。第二个挑战是然后执行数据的完整性和机密性存储在大容量存储器由于安全芯片的加密功能,对读/写性能产生最小的影响。考虑到增加存储容量,计算能力和通信吞吐量的新一代智能标记,集成在一个分布式架构作为普通电脑是第三个挑战。

金雅拓,智能卡世界领导人,正在开发一个实验性的SPT平台。这个平台包括一个新的多任务操作系统允许开发基于Java和web应用程序的Servlet技术,从而提供一个标准化的手段对SPT集成服务或者嵌入式web应用程序。操作系统支持本机:

(我)USB 2.0协议和互联网协议IP与外部世界的交流16];(2)多线程Java应用程序;(3)加密原语(其中一些是在硬件中实现);(iv)内存管理和垃圾收集;(v)servlet管理和web服务器。

SPT的内部架构图中描述2。更多的技术细节,我们参考读者17]。

3.2。嵌入式数据库系统

DBMS设计师产生了光版本的个人助理系统(例如,Oracle-lite、DB2 everyplace SQL服务器窗口CE)但是他们不会解决更复杂的问题嵌入芯片的DBMS。首次尝试对智能卡DBMS隔离的SQL的Java机(18],ISO标准SCQL [19),和万事达卡打开数据存储20.]。所有这些建议关注传统的智能卡利用很少的资源,因此提出了基本数据管理功能(接近顺序文件)。管理嵌入式医学文件夹需要更强大的存储、指数化,访问控制和查询功能。PicoDBMS是第一个全面的关系DBMS嵌入在智能卡(21),是金雅拓的智能卡上实现原型(22]。安全芯片的特点环境迫使深深审视现有的DBMS技术存储和索引模型,查询执行策略和事务管理。PicoDBMS被设计用于管理数据库存储在内存的大小(字节)eepm稳定集成在安全芯片和芯片抗干扰保护。

(SPT框架引入了重要的新挑战23]。

(1)如何支持复杂的访问权限和查询千兆字节大小的机载数据库(PicoDBMS相比,数据库大小增长了三个数量级而RAM资源大致乘以5)?(2)如何组织数据存储和索引的一个可接受的插入/更新时间考虑NAND闪存的特性(快读,昂贵的写道,block-erase-before-page-rewrite约束)?(3)如何保护车载数据库对机密性和完整性的攻击没有查询性能退化;这个挑战是flash相关保护问题中提到的部分3所示。1但特定于数据库管理解决方案可以设计提供最佳性能?

图3描述了主要软件模块的嵌入式数据库管理系统,标记数字表示相关的技术挑战。

的查询管理器负责解析传入的SQL查询,构建一个最优查询执行计划,并执行它。这个模块必须考虑特殊的执行策略来回答复杂的SQL查询大量数据(g),而应对SPT(挑战1)硬件约束。解决这一挑战,我们设计了一个庞大的索引方案介绍(24),它允许处理复杂的查询而消耗尽可能少的RAM,仍然表现出可接受的性能。这个想法是在相同的索引模型结合广义加入指标和multitable选择指标的方式选择和连接谓词的任意组合可以通过集合操作评估/排序列表的元组标识符。操作员库(运营商关系代数的算法,例如,选择、项目,加入,和聚合)和执行引擎集成这些技术。

的存储管理器,查询管理器需要访问数据库的内容(索引和表),直接关心挑战2。事实上,提出大规模指数化方案导致flash更新方面的难题,由于严重的读/写NAND闪存的约束。因此,我们设计了一个结构管理数据和索引键顺序,以便在flash中重写的数量最小化。使用摘要结构(基于布鲁姆过滤器(25])和垂直分区索引查找的降低成本。这些额外的结构也在管理序列。第一个实现这一原则的专利由INRIA和金雅拓(联合26)和集成在当前数据库管理系统原型。

的硬件管理器嵌入的方法来访问不同的内存模块SPT(通过闪存转换层(FTL) [27或直接访问)。它包括技术与挑战3,保护数据的保密性和完整性,有效地对DBMS访问模式。事实上,我们的巨大的指数化技术导致众多,随机,细粒度访问原始数据。我们进行了初步研究28),我们结合加密、散列和查询执行时间戳技术与技术以满足三个相互矛盾的目标:高效、高安全性和遵守芯片硬件资源。

最后,元数据管理器DBMS的元数据管理,访问控制规则规范获得常规和隐藏数据加密密钥。

4所示。实验平台

4.1。该领域的实验

功能体系结构提出了部分2将尝试上下文中的medicosocial网络提供医疗保健和社会服务在家里的老人退休后,法国。今天,这个网络的参与者之间的协调(医生、护士、理疗师、社会工作者等)是围绕纸质文件夹。这个文件夹呆在家里,每一个参与者查询和更新。这个解决方案存在两个主要缺陷。第一,而不是提供一个自然的和控制的方式分享医疗和社会信息,纸质文件夹是保密的主要来源违反此设置。事实上,这个文件夹必须由所有参与者共享但没有手段可以实现一个有效的访问控制策略。第二,文件夹不能被远程访问和填充,使得远程诊断,并由于其物理集中往往是不完整的。取代纸质文件夹系统由传统的EHR介绍部分中提到的缺点1。该实验将把一个中央数据库与嵌入SPT medicosocial文件夹,根据在前一节中给出的架构。

本实验将进行大约100人口的志愿患者和25从业者和社会工作者在法国退休后区。它包括以下合作伙伴:法国国家研究所计算机科学(法国),凡尔赛大学SANTEOS (EHR提供者预示阶段的法国国家医疗保健系统文件夹),金雅拓(世界领袖在智能卡领域),艾滋病(家庭保健协会),CoGITEY(诊所部分致力于老年人)。这个项目在一定程度上是由雷诺区议会和法国国家研究机构(ANR)。设计阶段开始于2007年1月,在田间试验将2009年秋季进行。

4.2。软件平台

在这项实验中,最终用户(医生或病人)将能够连接到服务器(中央或嵌入式)与web浏览器上运行任何终端(固定或移动)。提供一个基于web的界面(GUI)病人浏览文件夹。通过操纵GUI,用户生成HTTP请求到服务器,从而激活servlet进而产生数据库查询和建立接口的下一页。无论服务器连接,GUI提供了类似的功能,例如,访问病人的文件夹,授权管理,等等。软件平台支持这种行为呈现在图4。

中央服务器配备了商业软件包括一个web服务器(生成GUI使用servlet和JavaServer Pages),一个关系数据库管理系统(存储、索引和检索病人的文件夹),和一个服务器的身份(管理证书和标识符为医疗和社会工作者和患者)。

SPT嵌入专有web服务器和servlet与轻量级DBMS引擎通信通过一个类似jdbc驱动程序。同步模块也嵌入了SPT嵌入式同步文件夹的副本存储在中央服务器上。因此,软件部署在中央服务器和SPT提供类似的功能,而依靠高度不同的技术来应对SPT硬件约束。对软件平台的更多信息,我们参考读者17]。

5。结论

在本文中,我们提出了一种集中式EHR系统,依靠新硬件的便携设备便携式安全令牌(SPT)。这个架构是实现DMSP的范围和PlugDB项目始于2006年11月,将在2009年秋季试验在医疗环境中社会网络提供医疗保健和社会服务为老年人在家里。

追求的目标是

(我)建立一个共享medicosocial文件夹提供最高的可用性程度,无论操作方式(断开);(2)重新建立一个强大的和自然的方法保护和共享信任各方高度敏感的信息。

这个项目的预期结果是证明这两个目标可以达到的积极影响协调医疗和社会工作者和患者的赞同电子的使用他们的病史。

确认

这部分工作是由法国国家研究机构(ANR) RNTL-PlugDB项目下的雷诺区议会DMSP下合同。

引用

m·j·林肯,s·h·布朗p . j . Groen VistA-U.S和r . m . Kolodner。”退伍军人事务部全国范围内他。”国际医学信息学杂志》上,卷69,不。2 - 3、135 - 156年,2003页。视图:出版商的网站|谷歌学术搜索
j。门,“信息报告(法国),融洽d信息 $N^{\circ}$ 659年,记录一个洛杉矶管理de l 'Assemblee国家勒29日janvier 2008年推翻par la委员会des风流韵事文化、家族等优势种,关于档案医务人员,等现在的par先生委任jean - pierre门,2008。视图:谷歌学术搜索
拟人化的基础,“全国电子个人健康记录调查,”2007年9月,http://www.phrconference.org/assets/research_release_101105.pdf。视图:谷歌学术搜索
益普索”,意见组织et des态度et des患者l 'egard du档案医疗部分,融洽益普索桑特/ CNAM,会“2003。视图:谷歌学术搜索
计算机安全研究所“CSI /联邦调查局计算机犯罪调查显示,“2006年,www.gocsi.com。视图:谷歌学术搜索
r . Agrawal r . j .时任Jr . c .凯利斯j .基尔南r . Rantzau和r . Srikant“审计遵守希波克拉底数据库,”30学报》国际会议上非常大的数据基地(VLDB 04年),30卷,第527 - 516页,多伦多,加拿大,August-September 2004。视图:谷歌学术搜索
欧盟指令95/46 / EC“保护个人对个人数据的处理和等自由流动的数据,”欧洲共同体的官方杂志,没有。281 . p。31日1995年11月。视图:谷歌学术搜索
n . Anciaux l . Bouganim h . van Heerde p . Pucheral和p . m . g .报纸“InstantDB:执行及时退化敏感数据”24日数据工程国际会议的程序(ICDE ' 08)2008年4月,墨西哥坎昆。视图:谷歌学术搜索
g . Miklau b . n, p . Stahlberg”保护历史:隐私和问责制在数据库系统中,”诉讼的第三双年度会议上创新数据系统研究(CIDR ' 07)美国,加州艾斯洛玛尔,2007年1月。视图:谷歌学术搜索
综合项目的启发,www.inspiredproject.com。
Eurosmart、智能USB令牌,白皮书,2008年4月,http://www.eurosmart.com/Update/08-05/Eurosmart_Smart_USB_Token_WP_April08.pdf。
j·史密斯,“智能医疗保健下一代,”智能卡的新闻,15卷,不。12日,2006年。视图:谷歌学术搜索
智能卡的趋势,“英飞凌为美国最大的病人提供安全芯片的智能卡项目,“www.smartcardstrends.com/det_atc.php?idu=5960&PHPSESSID=9cc1e5da7e5535ae326c8210def413fb。视图:谷歌学术搜索
b他和p . Pharow”,德国卫生远程信息处理的模型驱动方法体系结构框架和安全基础设施,“国际医学信息学杂志》上,卷76,不。2 - 3、169 - 175年,2007页。视图:出版商的网站|谷歌学术搜索
安全美国马特。”数据功能概述,“Protegity技术论文twp - 0011, 2000,http://www.protegrity.com/white-papers.htm。视图:谷歌学术搜索
j j。范德维尔“智能卡研究视角”学报》国际研讨会上建设和安全分析,安全,和可互操作的智能设备(黑醋栗的04)课堂讲稿,在计算机科学中,页250 - 256,马赛,法国,2004年3月。视图:谷歌学术搜索
PlugDB和DMSP项目,www-smis.inria.fr / ~ DMSP。
l·c·卡拉斯科”RDBMS的Java卡吗?多么愚蠢的主意!”隔离corp .)白皮书,1999。视图:谷歌学术搜索
国际标准化组织,”集成电路(s)卡片Contacts-part 7: Interindustry命令结构化卡查询语言(SCQL),“ISO / IEC 7816 - 7, 1999。视图:谷歌学术搜索
万事达卡国际组织,万事达打开数据存储。技术规范2.0版本,2002年,http://www.mastercardintl.com。
p . Pucheral l . Bouganim p Valduriez, c .天主教“PicoDBMS:按比例缩小数据库为智能卡技术,”国际期刊非常大的数据基础,10卷,不。2 - 3、120 - 132年,2001页。视图:谷歌学术搜索
n . Anciaux c .天主教l . Bouganim p . Pucheral和p . Valduriez“PicoDBMS:验证和经验,”27日学报》国际会议上非常大的数据库(VLDB ' 01),页709 - 710,罗马,意大利,2001年9月。视图:谷歌学术搜索
n . Anciaux l . Bouganim, p . Pucheral“安全芯片数据管理、未来趋势”IEEE数据工程公告,30卷,不。3,49-57,2007页。视图:谷歌学术搜索
n . Anciaux m .汽油l . Bouganim p . Pucheral d .沙沙村,“GhostDB:可以隐藏或显示查询数据没有泄漏,”诉讼的ACM SIGMOD国际会议管理的数据,第688 - 677页,北京,中国,2007年6月。视图:出版商的网站|谷歌学术搜索
b·布鲁姆“空间/时间权衡与许用哈希编码错误,”ACM的通信,13卷,不。7,422 - 426年,1970页。视图:出版商的网站|谷歌学术搜索
p . Pucheral和s .阴”系统和闪存的指数化管理方法,“欧洲专利金雅拓和INRIA的没有。07290567.2,2007年5月。视图:谷歌学术搜索
英特尔公司,“理解闪存转换层(FTL)规范,”1998年。视图:谷歌学术搜索
n . Anciaux l . Bouganim, p . Pucheral”数据机密性:密码学和安全的硬件可以帮助到什么程度,“《电信,卷61,不。3 - 4、267 - 283年,2006页。视图:谷歌学术搜索

国际期刊的远程医疗和应用程序