用于加密的保留数据的部分匹配搜索的系统和方法

专利名称：用于加密的保留数据的部分匹配搜索的系统和方法
技术领域：
本发明总体上涉及从数据库对保留数据的检索。更具体而言，本发明涉及使用了 部分搜索匹配标准的加密数据检索。
背景技术：
加密是变换数据以使其对于不拥有专门知识的任何人而言不能读取的过程。该专 门知识通常被称为对受保护数据进行解锁的密钥。加密被用来在各种各样的民用和政府数 据库和网络系统(例如移动电话网、银行自动取款机、以及因特网电子商务)中把数据访问 限制于授权用户。加密还被用在数字权利管理中以限制对受版权保护的材料的使用，以及 利用软件来保护免于软件盗版和逆向工程。在许多国家中要求运营商和因特网服务提供商保留由包括因特网服务的公共电 信网络生成的数据业务。授权的执法机构可以因为各种各样的原因(例如对大范围的刑事 犯罪或阴谋的侦查、调查和起诉)而合法地访问来自服务提供商的该保留数据。由于各个 国家法律以及出于安全和隐私的原因，对该保留数据的访问应该被限制于授权实体，例如 执法机构。为了保持保留数据的安全性，以加密的形式来存储它。当授权实体搜寻特定的保留数据(例如与单个个体进行的单个电话呼叫有关的 保留数据)时，必须从可能极其大的数据库内定位该保留数据。当以文件系统、数据库或 其他存储形式来存储该加密的保留数据时，不可能基于部分匹配标准来执行对该数据的搜 索。结果，搜索询问必须包括搜索项的精确匹配。这导致更慢且不大高效的搜索。此外，加 密密钥容易受到未授权实体例如黑客的攻击。如果发生攻击，就必须改变加密密钥。这需 要利用整个数据库的旧密钥来解密，之后利用新密钥来重新加密整个数据库。这也是一个 耗时间、成本高、并且效率低的过程。

发明内容
根据前面的描述，显然存在对实现由公共固定和移动网中的电信和因特网服务生 成的保留数据的收集、存储、保留和递送并且同时保持保留数据的安全性的解决方案的直 接需要。此外，期望通过实施部分匹配搜索标准来实现安全数据库搜索，并且期望仅检索或 访问保留数据的子集。这改进了到授权实体的数据切换的速度和效率，并且降低了成本。因此，本发明的目的是通过一种用于从数据库检索目标保留数据的方法来克服上 述问题。该方法接收对访问与目标用户相关联的目标保留数据的请求，并且该请求包括与 目标用户相关联的部分搜索匹配标准。该方法访问包括明文列和加密索引列的第一表。所 述明文列包括与多个用户相关联的多个未加密标识数据，并且所述加密索引列包括多个加 密索引，其中加密索引与多个用户的每一个相关联。该方法从所述第一表中选择与部分搜 索匹配标准相匹配的至少一个加密索引。该方法还访问包括明文索引列和保留数据列的 第二表。所述明文索引列包括与多个用户的每一个相关联的未加密索引，并且所述保留数 据列包括多个保留数据，所述多个保留数据包括目标保留数据。该方法从所述第二表中选择与至少一个加密索引相关联的至少一个未加密索引，所述至少一个加密索引与部分搜索 匹配标准相匹配，该方法在所述保留数据列中识别与所述未加密索引相关联的目标保留数 据，并且从数据库检索目标保留数据。上述目的和其他目的还通过一种用于从数据库检索目标保留数据的系统来实现。 该系统包括与处理器相关联的接收机，其接收对访问与目标用户相关联的目标保留数据的 请求。该请求包括与目标用户相关联的部分搜索匹配标准。所述处理器访问包括明文列和 加密索引列的第一表。所述明文列包括与多个用户相关联的未加密标识数据，并且所述加 密索引列包括多个加密索引，其中加密索引与多个用户的每一个相关联。所述处理器从所 述第一表中选择与部分搜索匹配标准相匹配的加密索引。所述处理器还访问包括明文索引 列和保留数据列的第二表。所述明文索引列包括与多个用户的每一个相关联的未加密索 引，并且所述保留数据列包括多个保留数据，所述多个保留数据包括目标保留数据。所述处 理器从所述第二表中选择与至少一个加密索引相关联的至少一个未加密索引，所述至少一 个加密索引与部分搜索匹配标准相匹配，所述处理器在所述保留数据列中识别与所述未加 密索引相关联的目标保留数据，并且从数据库检索目标保留数据。在一些实施例中，本文中公开的系统和方法还可包括解密与所述目标保留数据 相关联的加密索引列，并且使用第二密钥重新加密与所述目标保留数据相关联的加密索引 列。所检索到的目标保留数据可以被传输到授权实体，并且可以包括与目标保留数据相关 联的管理数据。在一个实施例中，所检索到的目标保留数据或任何相关联的管理数据可以 经由一个或多个切换接口被传输到实体，并且所述目标保留数据可以包括已行进通过至少 一部分通信网络(例如固定或移动电话网)的数据。这些目的和目标由根据独立权利要求1和任何其他从属权利要求的方法和系统 来实现。可以在剩余的从属权利要求中找出更多细节。根据下面结合附图所作的详细描述，本文中公开的系统和方法的其他方面和优点 将变得显而易见，其中附图仅以实例的方式说明本发明的原理。


当结合附图来阅读时，根据下面对各种实施例的描述，将会更全面地理解本文中 公开的系统和方法的前述和其他目标、特征和优点，其中图1是描绘加密的保留数据的表；图2是描绘加密的保留数据的表；图3是描绘根据本发明一个实施例的用于检索保留数据的方法的流程图；图4是描绘根据本发明一个实施例的用于检索保留数据的系统的框图；图5是描绘根据本发明一个实施例的包括明文列和加密索引列的第一表的表；图6是描绘根据本发明一个实施例的包括明文索引列和保留数据列的第二表的 表；以及图7描绘根据本发明一个实施例的两个表，其中第一表包括明文列和加密索引 列，以及第二表包括明文索引列和明文保留数据列。
具体实施例方式正如为了说明的目的而在附图中示出的那样，本发明可以体现在用于从数据库检 索目标保留数据的系统和方法。本文中公开的系统和方法的实施例允许使用确保敏感保留 数据的机密性的加密算法，以及允许在检索、访问目标保留数据或者将其传输到授权实体 时使用部分搜索匹配标准。部分搜索匹配通常基于对所存储的或保留 的数据的搜索来实现对该数据的检索， 其中对所存储的或保留的数据的搜索是基于包括可变字符(有时被称为通配符)的搜索 串。可以使用用于该可变字符的许多指示符，例如星号“*”。例如，可以针对与名为“John” 的用户相关联的保留数据来搜索数据库。精确搜索将包括具有名称“John”的搜索标准。然 而，在搜索者仅知道例如要搜索的名称的第一字符的情况下，精确搜索会是不可能的。在该 实例中，搜索者可以使用包括可变字符(例如“J*”)的部分搜索匹配标准。这通常导致针对 以字母“J”开始或包括字母“J”的所有用户名(例如James、Jack、Jessica)来进行数据库的 搜索。然而，当数据以加密的形式被存储在现有系统中时，将不能使用部分搜索匹配标准。简要地看，图1是描绘现有系统中的加密保留数据的表100。表100包括加密列 105和未加密数据列110。一般来说，当数据以文件系统、数据库或其他存储格式被存储时， 部分搜索匹配不能被用来执行对存储在数据库中的数据的搜索。在典型的密码学用语中， y = f(x)是返回x的加密的函数；以及xzrYy)是返回y的解密的函数。在表100中， 加密列105存储f(x)，其是返回单元115、120、125和130中的“X”的加密的函数。加密 列105中出现的单元的数目仅为了说明的目的而被限制为四，并且任何数目的单元都是可 能的。因为表100以加密的形式存储用户名115-130，所以不可能搜索“J*”来找到与单元 115( "John")或单元125( "Jack")相关联的数据，因为f (J*)与f (John)或f (Jack)不 相匹配，其中本文中所使用的“单元”通常包括本文中描述的任何表的列的行或来自行的数 据。因为加密列105仅以加密形式(由f (x)所指示)存储用户名(或任何其他)数据，以 便保持通过加密所意图的机密性以及遵守各种法律和工业要求，所以当将实施通配符的部 分搜索应用于表100时，该部分搜索不能产生匹配，因为部分搜索的加密(例如f(J*))将 不同于加密的用户名(例如f(John))。结果，针对包含在未加密数据列110中的任何单元 135-150中的以及与任何单元115-130相关联的保留数据(例如呼叫内容或管理数据)而 进行的表100的搜索不能包括通配符。类似地，图2也是描绘现有系统中的加密保留数据的表200。表200包括加密呼叫 数据列205和未加密数据列210。在现有系统的该实例中，代替例如存储在加密列105中的 那些用户名，表200包括呼叫数据，例如移动台综合业务数字网(MSISDN)号码，作为标识用 户的呼叫标识指示符。可以使用其他用户标识号码，例如国际移动用户识别(IMSI)或国际 移动设备识别(IMEI)号码。因为在加密列205的单元215-230中指示的这些号码通常被 认为是敏感且机密的数据，所以以加密的形式来保留它们。与表100 —样，当通过加密来变 换时，使用了通配符的部分搜索将与这些用户识别号码的任何一个都不匹配，并且该搜索 将在其努力从数据列210检索未加密明文数据的过程中失败。在表200中示出的实例中，数 据列210存储与由用户通过电话或其他网络进行的呼叫相关联的数据，例如数据传输(比 如电话呼叫)的开始时间。该数据被存储在呼叫235-250中。简要地看，图3是描绘根据本发明一个实施例的用于从数据库检索保留数据的方法300的流程图。方法300典型地包括接收对访问与目标用户相关联的目标保留数据的请 求，该请求包括与目标用户相关联的部分搜索匹配标准(步骤305)。接收步骤(步骤305) 可以包括接收用于授权对保留在数据库中的数据进行检索的许可证(warrant)。该许可证 可以由有资格的法庭或当局发布。该请求可以包括对访问所有数据(例如通过网络发生的 并且存储在数据库中的电子通信以及与该电子通信相关联的管理数据(时间、日期、呼叫 长度等等)的请求。该请求可以被电子地、口头地或手动地接收。该请求还可以是由第三 方接收的电子通信的形式。接收步骤(步骤305)可以包括由处理器、接收机或管理功能从 执法机构接收具有用户、服务、或其关联数据要被检索的其他目标的标识的许可证。接收步 骤(步骤305)典型地包括接收用于授权、命令或请求检索存储在数据库中的并且与电子通 信(例如通过诸如电话网络或因特网之类的任何形式的网络正在、已经或将要打的电话) 有关的保留数据的任何信号或指示。典型地，接收对访问目标保留数据的请求(步骤305) 可以包括接收对访问所有去往或来自目标用户的保留数据的请求。该请求可以是针对开放 的时间段、或者针对给定的时间段(例如特定的小时、天或月)。该请求还可以命令检索与 各种指定的服务(例如语音、视频等等)相关的数据。方法300典型地还包括访问第一表的步骤(步骤310)。一般来说，这包括访问第 一表(步骤310)，所述第一表包括具有与多个用户相关联的未加密标识数据的明文列以及 具有与多个用户的每一个相关联的加密索引的加密索引列二者。访问第一表(步骤310) 通常包括一个或多个处理器指导足以与可以存储第一表的数据库进行交互的逻辑操作。访 问第一表(步骤310)通常包括与保留在第一表中的任何数据相接口以及读取或操纵保留 在第一表中的任何数据，例如访问第一表以搜索包含在其中的任何数据，以便对照包括部 分搜索匹配标准(例如通配符字符)的搜索询问来找到匹配。一般说来，响应于包括部分搜索匹配标准的搜索请求，方法300从第一表中选择 与部分搜索匹配标准相匹配的至少一个加密索引(步骤315)。在一个说明性实施例中，接 收包括通配符或其他部分搜索匹配标准的搜索询问(步骤305)。第一表典型地被访问(步 骤310)。第一表通常包含未加密明文列和加密索引列。例如，对照未加密明文列来查询 包括任何部分搜索匹配标准的搜索询问，并且可以返回包括在加密索引列的行中的数据来 作为结果，其中所述加密索引列的行与来自与部分搜索询问相匹配的未加密明文的行相关 联。该操作可以由处理器或类似的逻辑设备来实施，所述处理器或类似的逻辑设备被适配 成确定基于通配符的搜索询问是否与第一表的明文列中的条目相匹配以及在第一表的加 密索引列中是否存在对应于明文列中的所匹配的条目的数据。方法300还典型地访问第二表(步骤320)。访问第二表(步骤320)通常包括访 问第二表，所述第二表包括具有与多个用户的每一个相关联的未加密索引的明文索引列以 及具有多个保留数据的保留数据列二者，所述多个保留数据包括典型地作为所接收的请求 (步骤310)的对象的目标保留数据。访问第二表(步骤320)通常包括一个或多个处理器 指导足以与可以存储第二表的数据库进行交互的逻辑操作。访问第二表(步骤320)通常 包括与保留在第二表中的任何数据相接口以及读取或操纵保留在第二表中的任何数据，例 如访问第二表以确定与第一表的加密索引对应的未加密明文索引的存在，其中加密索引对 应于第一表的作为包括部分搜索匹配标准的搜索的对象的明文未加密列。一般来说，方法300还包括从第二表中选择与来自第一表的至少一个所选加密索引相关联的至少一个未加密索引(例如明文索引)的步骤(步骤325)。典型地，所选择的至少一个未加密索引(步骤325)包括第二表的未加密明文索引列的数据单元。未加密索 引的所选择的一个单元或多个单元通常是包括在第一表的加密索引列中的加密索引单元 的未加密对应部分。继续该说明性实施例，这些加密索引单元本身是与作为对访问目标用 户的保留数据的请求的一部分而接收(步骤305)的通配符搜索相匹配的第一表的未加密 明文列的单元的对应部分。方法300通常通过在第二表的保留数据列中识别(步骤330)并检索(步骤335) 与所选择的(步骤325)至少一个未加密索引相关联的目标保留数据来继续。识别步骤 (330)典型地包括处理器或逻辑设备(例如管理功能)确定位于第二表的保留数据列中的 单元的存在，该单元对应于第二表的未加密明文列的所识别的或选择的单元，所识别的或 选择的单元又对应于第一表的加密索引列和明文未加密列二者的一个或多个单元。在保 留数据单元中被识别(步骤330)为对应于部分搜索匹配标准的数据可以从数据库中的其 现有位置被传送或复制。该数据操纵可以包括检索(步骤335)、创建、显示所识别的(步 骤330)保留数据的电子表示或使得其可用于授权实体、以及复制或传送该所识别的(步骤 330)保留数据。检索(步骤335)已经被识别为匹配所述部分搜索标准的目标保留数据通 常包括从存储其的数据库中输出目标保留数据或其副本。一旦至少一些所识别的(步骤330)保留数据已被检索到(步骤335)，则方法300 就可以包括将所检索到的保留数据的至少一部分传输到至少一个授权实体(步骤340)。该 传输(步骤340)可以从与已识别(步骤330)和检索(步骤335)目标保留数据的计算机 网络的节点相关联的元件进行，并且可以包括发射机、接收机、管理功能、递送功能或协调 (mediation)功能中的一个或多个以及一个或多个切换接口。包括关联的管理数据的目标 保留数据的至少一部分可以被传输(步骤340)到至少一个授权实体，例如执法监察设施 (monitoring facility)。在一般的实施例中，可以通过各种切换接口将目标保留数据从计 算机网络中的节点的协调功能传输到一个或多个授权实体，例如执法监察设施。简要地看，图4是描绘根据本发明一个实施例的用于检索保留数据的系统400的 框SL系统400示出可以被用来履行例如European Uniondata retention directive 2006/24/EC或者诸如ETSI DTS/LI-0039 5或ETSIDTS/LI-0033 5标准之类的工业标准的 系统。系统400通常包括至少一个网络405或者与至少一个网络405相关联。网络405可 以包括通过其传送数据传输的任何电信网络。一般来说，网络405可以包括固定网、移动 网、或融合的固定和移动核心网中的任何一个，并且可以支持电路交换或分组交换业务。可 以按照一些国际标准(例如第三代合作伙伴项目或欧洲电信标准协会标准)来实施网络 405。网络405还可以包括一个或多个宽带网络，其可以包括用于有线宽带的接入网、汇聚 网、城域网或广域网，以及因特网。网络405通常与至少一个接收机410交互或相关联，所述接收机410通常是能够 接收或接受输入信号、数据、请求或命令的设备。接收机410可以是计算机或用来实施系统 400的其他设备的部件。可替换地，接收机410可以是能够接收和传输命令或数据的独立 设备。一般来说，接收机410可以接收对访问存储在数据库中并且与通过网络的数据传输 有关的任何保留数据的请求，所述保留数据包括任何关联的管理数据，例如日期、时间、长 度、位置或其他管理信息。接收机410可以接收例如由人类操作员直接输入到接收机410中的请求。接收机410通常接收对访问与目标用户相关联的目标保留数据的请求来作为输 入，其中所述请求包括与目标用户相关联的部分搜索匹配标准，例如目标用户名的头三个 字符、或者目标用户MSISDN或其他标识号码的头4个数字。在各种实施例中，人类操作员可以将对访问保留数据(例如去往或来自任何类型的用户设备的音频、视频或其他数据消息)的请求输入到接收机410中。该请求可以例如 源于由授权截取数据传输的政府或授权机构发布的搜索许可证。在各种实施例中，该请求 可以从授权机构直接传送到接收机410。在可替换的实施例中，该请求可以由中间人(例如 从授权源接收该请求的人类操作员)传送，并且然后经由接收机410或图形用户接口将该 请求输入到系统400。典型地，接收机410所接收的请求包括部分搜索匹配标准，例如使用 了通配符符号的请求。接收机410通常与至少一个处理器415交互或相关联，以及在一个说明性实施例中，这二者可以被包括在相同的物理逻辑设备中。处理器415可以位于网络405内部或外 部。一般说来，处理器415是能够进行数据操纵的任何逻辑设备(例如能够进行数据处理 的微处理器芯片)，其具有足够的处理能力来执行本文中所述的操作。在各种实施例中，处 理器415可以作为计算机的中央处理单元而被包括。处理器415通常可适用于基于所接收 的对访问目标接收保留数据的请求来确定对应于部分搜索匹配标准的保留数据是否存在 于数据库中。处理器415典型地被适配成访问第一表，其中所述第一表包括通常在多个单元中包含未加密标识数据的明文列。该未加密标识数据(例如用户名MSISDN或标识特定用户 的其他手段)典型地被包含在该明文数据列内的单元中，并且每个单元(即行)可以与特 定用户或者由特定用户通过网络405进行的特定保留数据传输相关联。第一表还典型地包 括与保留数据相关联的加密索引列，其在多个单元中包含对应于存储在该明文列的单元中 的未加密标识数据的加密索引数据。在一个说明性实施例中，处理器415取得来自接收机410的对访问目标保留数据的通配符请求并且访问第一表。如果该第一表的明文列包括满足部分搜索标准的匹配，则 处理器410从该第一表中选择来自加密索引的至少一个加密索引单元，所述加密索引单元 与同包括部分搜索匹配标准的请求相匹配的明文列的明文列单元相关联。处理器415还典型地被适配成访问第二表。该第二表通常包括明文索引列，并且该明文索引列典型地包括包含未加密明文索引的多个单元，所述未加密明文索引对应于第 一表的加密索引并且与多个用户的每一个相关联。该第二表通常还包括保留数据列，该保 留数据列典型地包含对应于多个用户通过网络405的数据传输的保留数据。数据传输被保 留并且被存储在保留数据列的单元中。作为由接收机410接收的对象的保留数据在本文中 通常被称为目标保留数据，并且典型地是保留数据的子集。保留数据和目标保留数据都可 以包括数据传输(例如通过网络的电话呼叫)以及关联的管理数据。处理器415通常被适配成从第二表选择至少一个未加密明文索引，所述未加密明文索引与第一表的所选择的加密索引相关联，并且因此还与同所述部分搜索匹配标准相匹 配的第一表的明文列相关联。处理器415然后通常在该保留数据列中识别、检测或定位与 所选择的未加密索引相关联的目标保留数据。方法300通常还包括处理器415或关联的元件从数据库420检索目标保留数据。数据库420通常允许以任何电子介质或格式来存储数据，并且例如可以包括各种形式的只读存储器、随机存取存储器、独立磁盘冗余阵列、在一个或多个载波中包括的数据信号、计 算机盘(磁的、光的(例如CD或DVD或这二者))、非易失性存储器、磁带、系统存储器、以及 计算机硬盘驱动器。在一个说明性实施例中，目标保留数据一旦被定位、识别以及从数据库420中检 索到，发射机425就可以将该目标保留数据传输到授权实体430。典型地，发射机425将数 据传输发送或传输到授权实体430。在一些实施例中，发射机425可以传输保留数据，该保 留数据包括通信的内容(例如实际的音频或视频文件)或其他相关信息(例如与保留数据 的起源或目的地相关联的用户设备的标识、或者与其通过网络405的通信已被保留在数据 库420中并且现在经历对访问的请求的目标用户相关联的用户设备的标识)。发射机425 通常能够以任何方式传输保留数据或其副本。这可以包括电子的、有线的、或无线的传输， 以及对编码传输进行传输。发射机425可以访问网络405或另一个网络以便以任何介质传 输所检索到的保留数据，所述任何介质包括不同于原始传输介质的介质。在一些实施例中， 发射机425能够传输有关数据，例如被叫号、主叫号、服务类型、通信的开始和结束或者其 他数据。在可替换的实施例中，发射机425可以包括用于打印所截取的传输的内容的打印 机，其中然后将所打印的内容传输到授权实体430。在各种实施例中，发射机425可以包括用于传输的单独设备。在其他实施例中，发 射机425可以与处理器415、接收机410以及与处理器415相关联的任何其他元件一样被包 括在同一设备中。发射机425可以包括一个或多个协调功能，其通过一个或多个接口(例 如切换接口)将所截取的数据传输传输到其预定目的地。在一些实施例中，接收机410、处 理器415或下面讨论的其他元件的任何组合可以被包括在单个设备(例如计算机)中。发 射机425通常能够传输任何格式的任何信号，其包括音频、视频、或诸如编码的人类语音之 类的图像文件、文本消息、传输的日期、传输的时间、传输的位置、或标识传输的源或预定接 收者的数据。授权实体430通常是被授权来接收所检索到的目标保留数据的机构或人。一般说 来，由政府或政府组织许可授权实体430接收该数据的授权。在一些实施例中，授权实体 430可以是发送了由接收机410接收的、对访问目标保留数据的初始请求的实体。在一些实 施例中，授权实体430可以包括至少一个执法机构或执法监察设施435。在各种实施例中， 可能存在多于一个授权实体430，并且在一些实施例中，多个授权实体430不知道每个其他 授权实体的存在。例如，多个授权实体430还可以接收例如目标保留数据的不同部分或与 该保留数据相关联的不同相关信息。授权实体430可以包括被设计成允许授权人员访问目标保留数据的监控中心。典 型地，授权实体430能够接收与数据传输相关联的任何数据。在各种实施例中，与单机有关 的信息报告可以被传输到授权实体430，从而将与目标保留数据相关联的管理数据通知给 它们。在一个说明性实施例中，行进通过网络405的数据传输或其副本被作为保留数据 而保存在数据库420中。当一个实体(例如授权实体430)具有访问特定保留数据(即目 标保留数据)的合法需要时，它可以发送请求到接收机410或关联的元件以访问该目标保 留数据，使得该目标保留数据可以被传输到授权实体430。目标保留数据或关联的管理数据可以经由递送功能440、管理功能445、协调功能450、第一切换接口 455或第二切换接口 460 (所有这些都可以与处理器415、接收机410或发射机425相关联或者相集成)中的一 个或多个传输到处理器415和授权实体430、从处理器415和授权实体430传输、或在处理 器415和授权实体430之间传输。一般来说，网络405、数据库420和授权实体430中的任何之间的数据传输被转发到至少一个递送功能440。递送功能440典型地与处理器415、接收机410或发射机425相 关联或者相集成。递送功能440通常能够接收包括被输入到数据库420中的保留数据、从 数据库420传输的保留数据、以及被发送到授权实体430的目标保留数据传输的至少部分 数据传输。在一个实施例中，可以将目标保留数据从数据库420转发到递送功能440。在一 些实施例中，递送功能440可以防止多个授权实体430变得知道彼此的存在。如在图4中可见，处理器415通常包括至少一个管理功能(ADMF) 415。管理功能 415以及递送功能440或协调功能450可以都与授权实体430相接口，并且可以与处理器 415、接收机410或发射机425相集成。尽管可以使用任何合适的接口，但是ADMF 445和授 权实体430之间的接口可以包括第一切换接口 455或第二切换接口 460。协调功能450通 常将第一切换接口 455和第二切换接口 460上的数据转换成与授权实体430和国家法律、 规章或工业要求相兼容的格式。协调功能450还典型地接收所有保留数据(例如任何内容 或通信(CC))或其一部分，并且将它们转发到最终由一个或多个授权实体430接收的地方。 在包括多于一个授权实体430的实施例中，ADMF 445可以起到保持每个单独授权实体340 的目标保留数据的单独实例是分开的作用。ADMF 445可以被分割以确保不同授权实体430 之间的目标保留数据传输的适当分开。在一个实施例中，第一和第二切换接口 455和460在逻辑上将目标保留数据(例 如保留在数据库420中的通过网络405进行的电话呼叫)与诸如请求或响应信息之类的管 理数据分开。在一个说明性实施例中，第一切换接口 455可以传送去往或来自诸如授权实 体430之类的请求当局或可负责保留通过网络405的数据传输的通信服务提供商的各种种 类的管理或请求与响应信息。例如，第一切换接口 455可以传送指示传输的数据、传输的时 间、传输的长度、所涉及的各方、或与目标保留数据有关的其他类似管理数据的数据。继续 该说明性实施例，第二切换接口 460可以将实际的目标保留数据从用于控制数据库420的 通信服务提供商传送到授权实体430。第一切换接口 455和第二切换接口 460典型地是可 互换的，使得两个数据库的任何一个都可以传送目标保留数据本身或任何关联数据(例如 管理数据)。在一些实施例中，可以存在任何数目的切换接口，从一个到多于两个。在一个 实施例中，第一切换接口 455可以被用来发送询问的请求，并且第二切换接口 460可以被用 来将所述询问的结果(例如保留数据)转发到执法监察设施或其他授权实体430。简要地看，图5是描绘根据本发明一个实施例的包括明文列505和加密索引列510 的第一表500的表。明文列505典型地包括多个单元515-530，其包括明文数据，以及加密 索引列510包括多个单元535-550。明文列505的该明文数据通常是未加密的，并且象这样 可以响应于基于部分搜索匹配标准(例如通配符)的数据搜索。加密索引列510典型地是 加密的。尽管在表500中描绘了有限数目的单元，但是可以存在任何数目的单元。例如，在 第一表500中，部分搜索标准“j*”将匹配在单元515中存储的“John”以及在单元525中 存储的“Jack”。“John”单元515对应于加密索引列510的单元f(l)535，以及“Jack”对应于加密索引列510的单元f (3)545。在该说明性实施例中，已基于部分搜索匹配从表500中选择了索引(j*)，并且响应于通配符搜索f(j*)来返回加密索引f(l)和f(3)。对于如上面所例示的那样基于部分搜索匹配结果而获得的每个索引f(j)，本文 中公开的系统和方法通常继续进行到图6的第二表600，以便基于部分搜索匹配标准来识 别并检索目标保留数据。简要地看，图6是描绘根据本发明一个实施例的包括明文索引列 605和保留数据列610的第二表600的表。在一个实施例中，明文索引列605和保留数据列 610 二者可以是未加密的。明文索引列605通常包括多个明文索引单元615-645，以及保留 数据列610通常包括多个保留数据单元650-680。在一个实施例中，明文索引列605的单 元615-645可以包括与它们对应的加密索引510的单元535-550的加密索引相关联的未加 密明文索引。对于从加密索引列510获得的每个加密索引(即上面描述的实例中的f(l) 和f (3))，本文中描述的系统和方法通常继续进行，以便从第二表600中选择在明文索引列 605和对应的保留数据列610 二者中匹配f (j)的单元的行。为了继续先前说明的实施例，所述系统和方法可以选择Γ1 (j)，也就是Γ1 (f (1)) 和疒江(3))。这导致选择具有索引“1”和“3”的明文索引单元，也就是明文索引列605的 明文索引单元615、625、630和645。这些单元对应于保留数据列610的保留数据单元650、 660,665和680。典型地，保留在保留数据列610的任何单元中的数据可以包括通过网络 405进行的任何数据传输，例如电话、视频、或基于因特网协议的话音呼叫；以及任何关联 的或有关的涉及传输的数据、时间、长度、位置或介质、以及在传输中涉及的各方或其他有 关信息的数据或事件。上述实例导致在保留数据列610中识别与最初对明文列505执行的通配符搜索相 匹配的单元。该通配符搜索返回加密索引列510的适当单元，其然后与明文索引列605的 单元以及它们在保留数据列610中的对应单元相关联，其通常包括存储在数据库420中的 目标保留数据，然后所述目标保留数据可以被发送到授权实体430，例如一个或多个执法监 察设施435。本文中公开的系统和方法通常使得能够选保留数据的子集。该子集通常是授权实 体430所请求的目标保留数据。在加密技术例如由于未授权攻击而已被损害的情况下，可 能需要改变加密密钥。因为这些系统和方法使得能够检索保留数据的特定子集，所以在一 个实施例中，仅响应于潜在损害的密码(cypher)而利用旧密钥解密该子集的检索数据(即 目标检索数据)并利用新密钥对其重新加密。这通常消除了解密并且重新加密存储在数据 库420中的所有保留数据的需要。简要地看，图7描绘根据本发明一个实施例的包括两个表的系统700，其中MSISDN 表705包括明文MSISDN列710和MSISDN加密索引列715，以及其中呼叫数据表720包括 明文索引列725和明文开始时间列730。在系统700中描绘的该说明性实施例通常类似于 表500和600的组合。在先前的实例中，明文列505包括用户名“JaCk”、“J0hn”等等。在 图7中，明文MSISDN列710包括移动台综合业务数字网(MSISDN)号码，以作为标识单元 735-750中的用户的呼叫标识指示符，从而作为对在明文列505的单元515-530中指示的用 户名的代替。在各种实施例中可以使用其他用户标识号码，例如国际移动用户识别(IMSI) 或国际移动设备识别(IMEI)号码。MSISDN列710的单元735-750典型地是明文(即未加 密的)。单元735-750通常对应于加密MSISDN索引列715中的单元755-770中的至少一个。包含在列710的单元中的MSISDN(或其他)标识号码的通配符搜索典型地返回来自加密MSISDN索引列715的至少一个对应单元。对这些单元执行未加密过程通常又导致 从明文索引列725识别或选择单元775、777、779、781或783中的一个或多个。因为明文索 引列725中的每个单元典型地与来自明文开始时间列730的至少一个单元(例如单元790、 792、794、796或798中的一个或多个)相关联，所以来自明文开始时间列730中的这些单元 的数据可以被识别和检索为与通配符搜索相关联的目标保留数据。如所示出的那样，明文 开始时间列730包括通过网络405而发生的事务的开始时间数据，然而，在各种实施例中， 明文开始时间列730可以包括各种类型的保留数据，从通过网络405进行的通信的内容到 其他关联数据，例如日期、时间、位置、所涉及的各方、或其他有关信息。将MSISDN或其他标 识指示符存储在未加密明文中允许准确且高效的通配符搜索，同时通过在标识信息和与给 定MSISDN或其他类似标识符相关联的保留数据之间提供一定程度的加密来仍然保持保留 数据的机密性。例如，参考图7，对于“0815147*”而进行的MSISDN明文列710的通配符搜索将检 索单元735和740，它们对应于加密的f(l)和f(2)单元755和760。执行这些单元的解密 返回来自明文索引列725的单元775和777，并且这些单元对应于单元790和792中的目标 保留数据，然后可以如响应于所述通配符搜索所期望的那样来识别、访问或检索所述目标 保留数据。一般来说，保留数据或目标保留数据的多于一个单元可以与单个MSISDN或其他 标识号码相关联。例如，单元745包含单个MSISDN号码，但是保留数据单元794和796为 例如通过网络405进行的电话呼叫指示两个单独的开始时间。典型地，可以响应于仅包含 一部分目标用户标识信息(例如MSISDN号码)的通配符搜索来识别或访问与单个用户相 关联的所有保留数据。注意，在图1到图7中，所列举的项被示出为单独的元素。然而，在本文中描述的系 统和方法的实际实施中，它们可以是其他电子设备(例如数字计算机)的不能分开的部件。 因此，上述动作可以在软件中实施，所述软件可以被包含在包括程序存储介质的制品中。程 序存储介质包括在载波、计算机盘(磁的或光的(例如CD或DVD或这二者))、非易失性存 储器、磁带、系统存储器、以及计算机硬盘驱动器中的一个或多个中所包含的数据信号。根据前面的描述，将会认识到本文中描述的系统和方法提供了从数据库检索目标 保留数据的简单且有效的方式。根据各种实施例的系统和方法能够基于接收包括部分搜索 匹配标准的请求来检索目标保留数据。这提高了效率和操作速度，并且降低了成本。对本文中以单数形式提到的系统和方法的元件或步骤的任何提及还可以包含包 括多个这些元件的实施例，并且以复数形式对本文中的任何元件或步骤的任何提及还可以 包含包括仅单个元件的实施例。以单数或复数形式的提及不打算限制当前公开的系统或方 法、它们的部件、步骤或元件。本文中公开的任何实施例可以与任何其他实施例相组合，以及诸如“一个实施 例”、“一些实施例” “可替换实施例”、“各种实施例”等等之类的提及不一定互斥，并且打算 指示结合该实施例所描述的特定的特征、结构或特性可以被包括在至少一个实施例中。本 文中这样的术语的出现不一定都指相同的实施例。可以以与本文中公开的目标、目的和需 要相一致的任何方式将任何实施例与任何其他实施例相组合。
对“或”的提及可以被解释为包括性的，使得使用“或”描述的任何项可以指示单 个的、多于一个的、以及所有的所描述项中的任何一个。在任何权利要求中所提到的技术特征之后是附图标记的情况下，包括附图标记仅仅为了提高权利要求的可理解性，并且因此有附图标记和没有附图标记都不会对任何权利 要求元素的范围有任何限制效果。本领域技术人员将会认识到，可以在不偏离本发明的精神或本质特性的情况下以 其他特定形式来体现本文中描述的系统和方法。因此，前述实施例在所有方面都被认为是 说明性的，而不是对所描述的系统和方法的限制。因此，本文中描述的系统和方法的范围由 所附的权利要求书而不是由前面的描述来指示，并且因此打算将处于权利要求的等同物的 含义和范围内的所有改变包括在其中。
权利要求
一种从数据库检索目标保留数据的方法，包括接收对访问与目标用户相关联的目标保留数据的请求，所述请求包括与所述目标用户相关联的部分搜索匹配标准；访问第一表，所述第一表包括具有与多个用户相关联的未加密标识数据的明文列，并且所述第一表包括具有与所述多个用户的每一个相关联的加密索引的加密索引列；从所述第一表中选择与所述部分搜索匹配标准相匹配的至少一个加密索引；访问第二表，所述第二表包括具有与所述多个用户的每一个相关联的未加密索引的明文索引列，并且所述第二表包括具有多个保留数据的保留数据列，所述多个保留数据包括所述目标保留数据；从所述第二表中选择与所述选择的至少一个加密索引相关联的至少一个未加密索引；在所述保留数据列中识别与所述选择的至少一个未加密索引相关联的所述目标保留数据；以及从所述数据库检索所述目标保留数据。
2.根据权利要求1所述的方法，包括使用第一密钥解密与所述目标保留数据相关联的加密索引列；以及 使用第二密钥重新加密与所述目标保留数据相关联的所述加密索引列。
3.根据权利要求1所述的方法，其中，接收对访问与用户相关联的目标保留数据的请 求包括下述中的至少一个接收所述目标用户的部分名称或接收目标用户识别号码。
4.根据权利要求1所述的方法，包括 将所述目标保留数据传输到授权实体。
5.根据权利要求4所述的方法，其中，传输所述目标保留数据包括将所述目标保留数 据传输到执法监察设施。
6.根据权利要求4所述的方法，包括通过第一切换接口将与所述目标保留数据相关联的管理数据传输到所述授权实体；以及通过第二切换接口将所述目标保留数据传输到所述授权实体。
7.根据权利要求6所述的方法，其中，所述管理数据包括下述中的至少一个所述保留 数据的创建日期、所述保留数据的创建时间、对访问目标保留数据的所述请求的确认、或标 识所述目标用户的数据。
8.一种用于从数据库检索目标保留数据的系统，包括与处理器相关联的接收机，用于接收对访问与目标用户相关联的目标保留数据的请 求，所述请求包括与所述目标用户相关联的部分搜索匹配标准；被适配成访问第一表的所述处理器，所述第一表包括具有与多个用户相关联的未加密 标识数据的明文列，并且所述第一表包括具有与所述多个用户的每一个相关联的加密索引 的加密索引列；所述处理器被适配成从所述第一表中选择与所述部分搜索匹配标准相匹配 的至少一个加密索引；所述处理器被适配成访问第二表，所述第二表包括具有与所述多个用户的每一个相关 联的未加密索引的明文索引列，并且所述第二表包括具有多个保留数据的保留数据列，所述多个保留数据包括所述目标保留数据；所述处理器被适配成从所述第二表中选择与所述选择的至少一个加密索引相关联的 至少一个未加密索引；所述处理器被适配成在所述保留数据列中识别与所述选择的至少一个未加密索引相 关联的所述目标保留数据；以及所述处理器被适配成从所述数据库检索所述目标保留数据。
9.根据权利要求8所述的系统，包括所述处理器被适配成使用第一密钥解密与所述目标保留数据相关联的加密索引列；以及所述处理器被适配成使用第二密钥重新加密与所述目标保留数据相关联的所述加密 索引列。
10.根据权利要求8所述的系统，其中，所述部分搜索匹配标准包括下述中的至少一 个所述目标用户的部分名称或目标用户识别号。
11.根据权利要求8所述的系统，包括被适配成将所述目标保留数据传输到授权实体的发射机。
12.根据权利要求11所述系统，其中，所述发射机将所述目标保留数据传输到执法监察设施。
13.根据权利要求11所述的系统，包括所述发射机被适配成通过第一切换接口将去往所述授权实体的与所述目标保留数据 相关联的管理数据从管理功能传输到所述授权实体；以及所述发射机被适配成通过第二切换接口将所述目标保留数据从协调功能和递送功能 中的至少一个传输到所述授权实体。
14.根据权利要求13所述的系统，其中，所述管理数据包括下述中的至少一个所述保 留数据的创建日期、所述保留数据的创建时间、对访问目标保留数据的所述请求的确认、或 标识所述目标用户的数据。
15.根据权利要求8所述的系统，其中，所述保留数据和所述目标保留数据包括通过公 共交换电话网和移动电话网中的至少一个进行的电子数据通信。
16.根据权利要求8所述的系统，其中，所述保留数据和所述目标保留数据被存储在与 所述处理器相关联的数据库中。
17.—种包括程序存储介质的制品，所述程序存储介质具有包含在其中的用于从数据 库检索目标保留数据的计算机可读程序代码，该制品中的所述计算机可读程序代码包括用于使计算机接收对访问与目标用户相关联的目标保留数据的请求的计算机可读程 序代码，所述请求包括与所述目标用户相关联的部分搜索匹配标准；用于使计算机访问第一表的计算机可读程序代码，所述第一表包括具有与多个用户相 关联的未加密标识数据的明文列，并且所述第一表包括具有与所述多个用户的每一个相关 联的加密索引的加密索引列；用于使计算机从所述第一表中选择与所述部分搜索匹配标准相匹配的至少一个加密 索引的计算机可读程序代码；用于使计算机访问第二表的计算机可读程序代码，所述第二表包括具有与所述多个用户的每一个相关联的未加密索引的明文索引列，并且所述第二表包括具有多个保留数据的 保留数据列，所述多个保留数据包括所述目标保留数据；用于使计算机从所述第二表中选择与所述选择的至少一个加密索引相关联的至少一 个未加密索引的计算机可读程序代码；用于使计算机在所述保留数据列中识别与所述选择的至少一个未加密索引相关联的 所述目标保留数据的计算机可读程序代码；以及用于使计算机从所述数据库检索所述目标保留数据的计算机可读程序代码。 18. 一种用于从数据库检索目标保留数据的系统，包括用于接收对访问与目标用户相关联的目标保留数据的请求的装置，所述请求包括与所 述目标用户相关联的部分搜索匹配标准；用于访问第一表的装置，所述第一表包括具有与多个用户相关联的未加密标识数据的 明文列，并且所述第一表包括具有与所述多个用户的每一个相关联的加密索引的加密索引 列；用于从所述第一表中选择与所述部分搜索匹配标准相匹配的至少一个加密索引的装置；用于访问第二表的装置，所述第二表包括具有与所述多个用户的每一个相关联的未加 密索引的明文索引列，并且所述第二表包括具有多个保留数据的保留数据列，所述多个保 留数据包括所述目标保留数据；用于从所述第二表中选择与所述选择的至少一个加密索引相关联的至少一个未加密 索引的装置；用于在所述保留数据列中识别与所述选择的至少一个未加密索引相关联的所述目标 保留数据的装置；以及用于从所述数据库检索所述目标保留数据的装置。
全文摘要
提供用于加密的系统和方法以允许使用部分匹配搜索来检索保留在数据库中的数据。以未加密的方式来存储用户标识号码或其他特性，使得可以执行通配符搜索以便检索与未加密用户标识相关联的一个或多个加密索引。然后通过使用密钥来解密这些加密索引以确定它们关联的未加密索引以及对应的目标保留数据。该目标保留数据然后可以被诸如执法机构之类的授权实体访问。
文档编号G06F21/62GK101802836SQ200780100711
公开日2010年8月11日 申请日期2007年9月21日 优先权日2007年9月21日
发明者A·英比姆博, M·拉罗卡 申请人:爱立信电话股份有限公司