近年来，由于网络应用系统的普及，软件系统的质量特别是对隐私性的要求越来越受到人们的重视，软件工程领域的一个主要挑战就是使用户信任日常生活中所使用的软件系统，可信的软件系统依靠于多种因素，其中最主要的因素就是保护用户的隐私。因此，隐私性质与软件工程方法的结合—隐私工程方法的研究，就成为了大家关注的焦点。通过对目前已有的隐私工程方法和软件建模方法进行深入的研究后，发现隐私工程的核心是在软件开发的过程中考虑到用户对隐私的需求，而目前的软件建模方法并不能实现软件系统隐私需求的分析与设计，如UML建模语言。针对于此，本文提出了一种面向隐私工程的UML扩展模型—UML_P模型，该模型将隐私工程中的隐私要素引入到UML模型中，其中包括隐私目标、隐私需求、隐私协议、隐私模型和隐私保护开发方法等隐私要素。UML_P模型通过引入这些隐私要素扩展了UML建模语言原有的视图，分别提出了用例图_P、活动图_P、顺序图_P、状态图_P和类图_P。利用UML_P不仅可以对软件系统进行功能需求建模，也可以对系统的隐私需求进行建模。UML_P可以分析隐私需求与隐私目标在整个系统中的作用和对系统的影响，同时可以描述所需的隐私协议和隐私模型，为实现隐私需求和隐私目标所需的隐私保护技术提供参考原则。UML_P模型在保证软件功能需求的基础上大大的提高了软件的隐私性，同时能有效地对抗恶意功击。最后，本文通过一个案例的分析与设计论证了UML_P模型的实用性，并讨论了今后的进一步研究方向。