(57)【要約】  制御システム８０は、送信元から宛先へのデータの送信を制御する制御部８１を備えている。制御部８１は、送信するデータの流通履歴に基づいて、宛先へのデータの送信を制御する。
2018216206.tif 000002
【特許請求の範囲】
【請求項１】
送信元から宛先へのデータの送信を制御する制御部を備え、
前記制御部は、送信するデータの流通履歴に基づいて、前記宛先へのデータの送信を制御する
ことを特徴とするデータ制御システム。
【請求項２】
制御部は、流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定する
請求項１記載のデータ制御システム。
【請求項３】
制御部は、送信するデータの流通履歴がアクセスポリシに一致する流通履歴を含むか否かに基づいて、データの送信可否を判定する
請求項２記載のデータ制御システム。
【請求項４】
アクセスポリシに、複数のコンポーネントの出力に基づいてデータが生成されることを示す流通履歴に対する送信可否が規定され、
制御部は、送信するデータが前記複数のコンポーネントを経由したデータである場合に、当該データの送信を許可する
請求項２または請求項３記載のデータ制御システム。
【請求項５】
アクセスポリシで規定される流通履歴を表すオートマトンを生成するオートマトン生成部を備え、
制御部は、データの流通履歴に対する前記オートマトンの探索問題を解くことにより、前記データがアクセスポリシに一致する流通履歴を含むか否か判定する
請求項２から請求項４のうちのいずれか１項に記載のデータ制御システム。
【請求項６】
制御部は、送信するデータの宛先が複数の場合、宛先ごとに当該データの送信可否を判定する
請求項１から請求項５のうちのいずれか１項に記載のデータ制御システム。
【請求項７】
制御部は、同じ宛先に送信する複数のデータのそれぞれについて当該データの送信可否を判定し、一部のデータの送信を許可しないと判断した場合、当該全てのデータの送信を許可しないと判定する
請求項１から請求項６のうちのいずれか１項に記載のデータ制御システム。
【請求項８】
送信するデータの流通履歴に基づいて、送信元から宛先へのデータの送信を制御する
ことを特徴とするデータ制御方法。
【請求項９】
流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定する
請求項８記載のデータ制御方法。
【請求項１０】
コンピュータに、
送信元から宛先へのデータの送信を制御する制御処理を実行させ、
前記制御処理で、送信するデータの流通履歴に基づいて、前記宛先へのデータの送信を制御させる
ためのデータ制御プログラム。
【請求項１１】
コンピュータに、
制御処理で、流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定させる
請求項１０記載のデータ制御プログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、データの送信を制御するデータ制御システム、データ制御方法およびデータ制御プログラムに関する。
【背景技術】
【０００２】
通信ネットワークを介した多くのシステムでは、データの授受により多種多様な処理が行われる。例えば、スマートシティなどのような都市システムでは、様々なモノが生成した様々なデータに対して、様々な処理が実施される。【０００３】
このようなシステムでは、データの取り扱いが非常に重要である。そのため、データの種類によって、実施できる処理を制御する必要がある。例えば、マイナンバーに関連するデータは、保存できないようにすることが好ましく、また、アクセスも特定のユーザに限定することが好ましい。そこで、データの種類によっては、データを特定の制御（例えば、アプリケーション）へ渡してよいか否か判別する必要がある。【０００４】
このような制御を行う方法として、ユーザごとにアクセス可否を設定しておく方法が知られている。例えば、ユーザ「Ａｌｉｃｅ」および「Ｂｏｂ」に対して「ＰＯＳＴ」動作を許可する場合、ユーザごとにアクセス可否を示すポリシを設定しておけばよい。【０００５】
また、特許文献１には、コンピュータの処理するリソースを保護するリソース保護処理方法が記載されている。特許文献１に記載された方法では、所定のリソースに対する所定のアクセスを制御するための処理プロセスが定義アクションとして定義される。そして、実リソースに対する実アクセスを実行するときに、実状態遷移履歴に関連付けられた定義アクションを選択して、選択した定義アクションを実行する。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１２−１３７９３８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
悪意のあるアプリケーションやシステムが存在する環境では、匿名化や暗号化などを実施するセキュリティの高いアプリケーションを経由していないデータを、他のアプリケーションに送信しないことが重要である。【０００８】
しかし、例えば、上述するようなユーザごとにアクセス可否を設定しておく方法の場合、ＰＯＳＴ先が悪意のあるアプリケーションだったとしても、そのようなアプリケーションに対するアクセスを制御できない。そのため、このような制御だけでは、送信すべきではないデータが送信されてしまうという問題がある。【０００９】
例えば、マイナンバーを一部利用するシステムで、ユーザ情報のみによるアクセス制御を実現したとしても、マイナンバーの送信先がデータベース（データを保存する処理が実行させるアプリケーション）であることを検出することは困難である。【００１０】
また、特許文献１に記載された方法は、単体のプログラムの動作履歴に基づいてリソースへのアクセスを制御するものである。そのため、特許文献１に記載された方法を用いたとしても、データを安全に流通させることは困難である。【００１１】
そこで、本発明は、データを安全に流通させる制御を行うことができるデータ制御システム、データ制御方法およびデータ制御プログラムを提供することを目的とする。
【課題を解決するための手段】
【００１２】
本発明によるデータ制御システムは、送信元から宛先へのデータの送信を制御する制御部を備え、制御部が、送信するデータの流通履歴に基づいて、宛先へのデータの送信を制御することを特徴とする。【００１３】
本発明によるデータ制御方法は、送信するデータの流通履歴に基づいて、送信元から宛先へのデータの送信を制御することを特徴とする。【００１４】
本発明によるデータ制御プログラムは、コンピュータに、送信元から宛先へのデータの送信を制御する制御処理を実行させ、制御処理で、送信するデータの流通履歴に基づいて、宛先へのデータの送信を制御させることを特徴とする。
【発明の効果】
【００１５】
本発明によれば、データを安全に流通させる制御を行うことができる。
【図面の簡単な説明】
【００１６】
【図１】本発明によるデータ制御システムの第１の実施形態の構成例を示すブロック図である。
【図２】ログの例を示す説明図である。
【図３】アクセスポリシの例を示す説明図である。
【図４】アクセスポリシの他の例を示す説明図である。
【図５】アクセスポリシから状態遷移図を生成する処理の例を示す説明図である。
【図６】データ送信を許可するか否か判断する処理の例を示す説明図である。
【図７】第１の実施形態のデータ制御システムの動作例を示すフローチャートである。
【図８】本発明によるデータ制御システムの第２の実施形態の構成例を示すブロック図である。
【図９】データ送信を許可するか否か判断する処理の例を示す説明図である。
【図１０】第２の実施形態のデータ制御システムの動作例を示すフローチャートである。
【図１１】本発明によるデータ制御システムの第３の実施形態の構成例を示すブロック図である。
【図１２】第３の実施形態のデータ制御システムの動作例を示すフローチャートである。
【図１３】本発明によるデータ制御システムの概要を示すブロック図である。
【発明を実施するための形態】
【００１７】
以下、本発明の実施形態を図面を参照して説明する。本発明では、データの流通で発生した一連の履歴（以下、データの流通履歴と記す。）を考慮してアクセス制御を実現する。データの流通履歴とは、あるデータに紐づく一連の履歴であり、そのデータの履歴そのものだけではなく、そのデータを発生させるもとになったデータの履歴及びそのデータに基づいて発生したデータの履歴も含む。
【００１８】
すなわち、本実施形態では、離合集散するデータをまとめて一つの流通履歴として管理する。離合集散の例として、複数のデータから別のデータが生成される場合や、別々のアプリケーションへデータを送信する場合などが挙げられる。また、流通履歴には、具体的には、データの生成時刻、データを生成したユーザ・デバイス・システム、データのフォワード情報などが含まれる。
【００１９】
また、以下の説明では、データの発生源や、データが経由するアプリケーション、データのストア先などのシステムの構成要素を、コンポーネントと記すこともある。
【００２０】
実施形態１．
図１は、本発明によるデータ制御システムの第１の実施形態の構成例を示すブロック図である。本実施形態のデータ制御システム１００は、デバイス１０と、問い合わせ装置２０と、アプリケーション３０ａと、認証機器４０とを備えている。
【００２１】
デバイス１０は、アプリケーション３０ａに送信するデータを問い合わせ装置２０に送信する。すなわち、デバイス１０は、アプリケーション３０ａにデータを送信してよいか否かの判断を問い合わせ装置２０に依頼する。デバイス１０は、単体の装置であってもよく、他のシステム（図示せず）の一部であってもよい。また、デバイス１０は、ユーザの指示に応じて動作する装置であってもよい。
【００２２】
デバイス１０が送信するデータは、アプリケーション３０ａが処理を行う際に利用するデータであり、具体例として、マイナンバーなどが挙げられる。
【００２３】
問い合わせ装置２０は、送信元であるデバイス１０からデータとともにそのデータの宛先（具体的には、アプリケーション３０ａ）を示す情報を受信する。そして、問い合わせ装置２０は、受信したデータの宛先への送信可否を、認証機器４０に問い合わせる。
【００２４】
具体的には、問い合わせ装置２０は、受信したデータを特定可能な情報および送信先の情報を認証機器４０に送信する。また、問い合わせ装置２０は、データ送信者のＩＤや、個人情報の有無などを示す情報、問い合わせ装置からの問い合わせ番号など、他のメタデータを認証機器４０に送信してもよい。
【００２５】
問い合わせ装置２０は、後述する認証機器４０からの判定結果に応じて、宛先への送信を許可するか否か判断する。許可すると判断した場合、問い合わせ装置２０は、デバイス１０から受信したデータをアプリケーション３０ａに送信する。一方、許可しないと判断した場合、問い合わせ装置２０は、デバイス１０から受信したデータをアプリケーション３０ａに送信しない。この場合、問い合わせ装置２０は、受信したデータを破棄してもよく、デバイス１０に送信を許可しない旨の応答を送信してもよい。
【００２６】
アプリケーション３０ａは、デバイス１０からのデータを受信するコンポーネントである。本実施形態では、宛先のコンポーネントがアプリケーションである場合を例示しているが、宛先は、アプリケーションに限定されず、例えば、データベースや記憶装置であってもよい。
【００２７】
認証機器４０は、ログ情報記憶部４１と、認証判定装置４２と、状態遷移図生成装置４３と、ポリシ情報記憶部４４とを含む。
【００２８】
ログ情報記憶部４１は、データの流通履歴をログとして記憶する。データの流通履歴は、各コンポーネントがデータの生成、編集、更新、削除、転送等を行ったタイミングで、各コンポーネントによって作成され、ログ情報記憶部４１に記憶される。なお、流通履歴を生成するコンポーネント（図示せず）が集中して流通履歴を作成し、作成した流通履歴をログ情報記憶部４１に記憶してもよい。
【００２９】
図２は、ログ情報記憶部４１が記憶するログの例を示す説明図である。図２に示す例では、ログが、データの送信元、受信したデータの内容、行われた処理、送信するデータの内容およびデータの送信先を含んでいることを示す。
【００３０】
例えば、図２では、アプリケーションＡがＡｌｉｃｅの指示に応じてＤａｔａ１を新たに生成して、Ａｌｉｃｅに返信したことを示す。なお、ここでのＤａｔａ１とは、データそのものの値を示すものではなく、データの保存場所などデータを特定可能な情報である。
【００３１】
同様に、図２では、アプリケーションＢがＡｌｉｃｅから送信されたＤａｔａ１を更新してＡｌｉｃｅに返信し、アプリケーションＣがＡｌｉｃｅから送信されたＤａｔａ１を更新してＡｌｉｃｅに返信したことを示す。さらに、図２では、アプリケーションＤがＡｌｉｃｅから送信されたＤａｔａ１からＤａｔａ２を新たに作成して、アプリケーションＥに送信したことを示す。
【００３２】
本実施形態では、認証機器４０がログ情報記憶部４１を含む構成を例示しているが、認証機器４０がログ情報記憶部４１を含まず、接続された外部の機器（図示せず）からログ情報（流通履歴）を受信する構成であってもよい。また、データそのものにメタデータとしてデータのログ情報（流通履歴）を保持させ、そのデータを認証機器４０が受信する構成であってもよい。
【００３３】
ポリシ情報記憶部４４は、流通履歴に対する宛先への送信可否を規定したアクセスポリシを記憶する。図３は、アクセスポリシの例を示す説明図である。図３に例示するアクセスポリシは、ユーザごとにアクセスポリシが設定された例を示す。
【００３４】
図３（ａ）に例示するアクセスポリシは、規定された流通履歴を含むアクセスポリシが存在する場合に、宛先への送信を許可し、それ以外は許可しないことを示すものである。例えば、アプリケーションＣが暗号化処理を行うアプリケーションの場合、アプリケーションＣを経由することが、送信を許可するために必要な処理と考えられる。図３（ａ）に示すＡｌｉｃｅのアクセスポリシの例では、送信しようとするデータの流通履歴にアプリケーションＡ、アプリケーションＢおよびアプリケーションＣの順に経由する履歴が含まれている場合に、ＰＯＳＴ動作を許可することを示す。
【００３５】
また、アクセスポリシに、許可する流通履歴が選択的に規定されていてもよい。図３（ａ）に示すＣａｒｏｌのアクセスポリシの例では、送信しようとするデータの流通履歴にアプリケーションＡおよびアプリケーションＢの順に経由した後、アプリケーションＣまたはアプリケーションＤのいずれかを経由する履歴が含まれている場合に、ＰＯＳＴ動作を許可することを示す。
【００３６】
なお、規定された流通履歴を含むアクセスポリシが存在する場合に、宛先への送信を許可せず、それ以外は許可するようにしてもよい。図３（ｂ）に示すＢｏｂのアクセスポリシの例では、送信しようとするデータの流通履歴にアプリケーションＡおよびアプリケーションＢの順に経由する履歴が含まれている場合に、ＰＯＳＴ動作を許可せず、それ以外は許可することを示す。
【００３７】
また、図３では、送信の動作の一例としてＨＴＴＰ（Hypertext Transfer Protocol ）におけるＰＯＳＴを例示しているが、許可する送信の動作はＰＯＳＴに限られず、例えば、ＧＥＴであってもよい。
【００３８】
なお、図３では、一方向のデータの流れまたはデータの分岐がアクセスポリシに規定されている場合を例示した。他にも、複数のコンポーネントの出力に基づいてデータが生成される（すなわち、データの流れが合流する）ことを示す流通履歴に対する送信可否がアクセスポリシに規定されていてもよい。
【００３９】
図４は、アクセスポリシの他の例を示す説明図である。図４に示すＤａｖｅのアクセスポリシの例では、送信しようとするデータが３つのアプリケーションＸ，Ｙ，Ｚの出力に基づいて生成されたことを示す流通履歴に対して、送信可否が規定されていることを示す。これは、例えば、アプリケーションＸ，Ｙ，Ｚがそれぞれセンサによって検出された値を出力するアプリケーションであり、宛先のアプリケーションが、全てのセンサの値が存在する場合に処理を行うことが可能なアプリケーションである場合などである。
【００４０】
また、図３および図４では、アクセスポリシがユーザごとに設定されている場合を例示したが、アクセスポリシが設定される単位は、ユーザごとに限定されない。アクセスポリシは、ユーザ集合ごとに設定されていてもよく、ユーザ全体に対して設定されていてもよい。
【００４１】
状態遷移図生成装置４３は、アクセスポリシからオートマトンを生成する。オートマトンの例として、状態遷移図や状態遷移表が挙げられる。アクセスポリシが、一種の正規表現で表されている場合、状態遷移図生成装置４３がアクセスポリシからオートマトンを生成することで、後述する認証判定装置４２が認証可否を判定する問題をオートマトン（グラフ）の探索問題に帰着させることが可能になる。
【００４２】
以下では、説明を容易にするために、生成されるオートマトンが状態遷移図である場合を例に説明する。なお、アクセスポリシが既にオートマトンで表現されている場合、認証機器４０は、状態遷移図生成装置４３を含んでいなくてもよい。
【００４３】
図５は、アクセスポリシから状態遷移図を生成する処理の例を示す説明図である。図５に例示する状態遷移図のうち、丸（○）で示す構成要素がコンポーネントに対応する。なお、図５に例示する状態遷移図は、規定された流通履歴を含むアクセスポリシが存在する場合に、宛先への送信を許可し、それ以外は許可しないことを示すものであるとする。
【００４４】
図５に例示するコンポーネントのうち、網掛けの丸（以下、「受理状態」と記すこともある。）は、データに対して要求された動作の実行を許可することを表す。一方、白抜きの丸（以下、「非受理」状態と記すこともある。）は、データに対して要求された動作の実行を許可しないことを表す。
【００４５】
図５に示す例では、状態遷移図生成装置４３が、Ｃａｒｏｌのアクセスポリシで示される流通履歴に基づいて、分岐するオートマトンを生成したことを示す。
【００４６】
なお、図５に例示する状態遷移図が、規定された流通履歴を含むアクセスポリシが存在する場合に、宛先への送信を許可せず、それ以外は許可することを示すものであるとする。この場合、網掛けの丸は、データに対して要求された動作の実行を許可しないことを表し、白抜きの丸は、データに対して要求された動作の実行を許可することを表す。
【００４７】
なお、図３および図４に例示するようなアクセスポリシは、一種の正規表現とみなすことができる。また、正規表現をオートマトンに変換するアルゴリズムは広く知られているため、ここでは詳細な説明を省略する。また、アクセスポリシの数だけオートマトンが増加することも考えられる。この点については、オートマトンの状態最適化アルゴリズムも知られており、一定の状態数の削減が可能である。
【００４８】
認証判定装置４２は、アクセスポリシに基づいて、送信するデータの流通履歴からそのデータの送信可否を判定する。具体的には、認証判定装置４２は、問い合わせ装置２０から受信したデータの流通履歴をログ情報記憶部４１から特定する。なお、データそのものにメタデータとしてデータのログ情報を保持させている場合、認証判定装置４２は、そのログ情報からデータの流通履歴を特定してもよい。認証判定装置４２は、特定したデータの流通履歴がアクセスポリシに一致する流通履歴を含むか否かに基づいて、データの送信可否を判定する。
【００４９】
本実施形態のようにアクセスポリシがオートマトンで表現された場合、認証判定装置４２は、特定した流通履歴からオートマトン（状態遷移図）を辿ることで、アクセスポリシに一致する流通履歴が含まれているか否か判定する。
【００５０】
例えば、アクセスポリシが規定された流通履歴を含む場合に宛先への送信を許可するものであるとする。このとき、認証判定装置４２は、特定したデータの流通履歴がアクセスポリシに一致する流通履歴を含む場合、データ送信を許可する判定結果を問い合わせ装置２０に送信する。一方、アクセスポリシが規定された流通履歴を含む場合に宛先への送信を許可しないものであるとする。このとき、認証判定装置４２は、特定したデータの流通履歴がアクセスポリシに一致する流通履歴を含む場合、データ送信を許可しないとする判定結果を問い合わせ装置２０に送信する。
【００５１】
図６は、データ送信を許可するか否か判断する処理の例を示す説明図である。例えば、図５に例示する状態遷移図が生成されているとする。この場合、認証判定装置４２は、ログ情報記憶部４１からデータの流通履歴を抽出し、アクセスポリシにより生成された状態遷移図と比較する。認証判定装置４２は、受理状態の場合にデータ送信を許可すると判定する。
【００５２】
例えば、データが「アプリケーションＡ」→「アプリケーションＢ」→「アプリケーションＤ」を経由してきた場合、この流通履歴は、図６に矢印で示すアクセスポリシと一致する。そのため、認証判定装置４２は、受理状態（アプリケーションＤ）と判断し、データ送信を許可すると判定する。
【００５３】
また、例えば、図４に例示するように、アクセスポリシが、複数のコンポーネントの出力に基づいてデータが生成されることを示す流通履歴に対する送信可否を規定しているとする。このとき、認証判定装置４２は、送信するデータがアクセスに規定する複数のコンポーネントを全て経由したデータである場合に、そのデータの送信を許可すると判定してもよい。
【００５４】
以上のことから、本実施形態の問い合わせ装置２０および認証機器４０が、送信元から宛先へのデータの送信を制御する制御部として動作し、送信するデータの流通履歴に基づいて、宛先へのデータの送信を制御していると言える。
【００５５】
問い合わせ装置２０と、認証機器４０（より詳細には、認証判定装置４２と、状態遷移図生成装置４３）とは、プログラム（データ制御プログラム）に従って動作するコンピュータのＣＰＵによって実現される。例えば、プログラムは、データ制御システム１００が備える記憶部（図示せず）に記憶され、ＣＰＵは、そのプログラムを読み込み、プログラムに従って、問い合わせ装置２０および認証機器４０（より詳細には、認証判定装置４２と、状態遷移図生成装置４３）として動作してもよい。
【００５６】
また、問い合わせ装置２０と、認証機器４０（より詳細には、認証判定装置４２と、状態遷移図生成装置４３）とは、それぞれが専用のハードウェアで実現されていてもよい。さらに、問い合わせ装置２０と、認証機器４０とが、一体となって実現されていてもよい。また、ログ情報記憶部４１と、ポリシ情報記憶部４４とは、例えば、磁気ディスク等により実現される。
【００５７】
次に、本実施形態のデータ制御システムの動作を説明する。図７は、第１の実施形態のデータ制御システム１００の動作例を示すフローチャートである。デバイス１０は、データを問い合わせ装置２０へ転送する（ステップＳ１１）。問い合わせ装置２０は、受信したデータから、そのデータの属性を抽出する（ステップＳ１２）。問い合わせ装置２０は、データの属性として、例えば、データ送信者の識別子や個人情報の有無などの、いわゆるメタデータを抽出してもよい。
【００５８】
問い合わせ装置２０は、抽出したデータの属性を認証機器４０における認証判定装置４２へ送信する（ステップＳ１３）。認証判定装置４２は、受信したデータの属性に関するログを流通履歴としてログ情報記憶部４１から抽出する（ステップＳ１４）。なお、ステップＳ１４において、データそのものにメタデータとしてデータのログ情報を保持させている場合、認証判定装置４２は、そのログ情報からデータの流通履歴を特定してもよい。
【００５９】
一方、状態遷移図生成装置４３は、ポリシ情報記憶部４４に記憶されたアクセスポリシから状態遷移図を生成する。そして、認証判定装置４２は、流通履歴と状態遷移図とを比較し、データの送信可否を判定する（ステップＳ１５）。認証判定装置４２は、判定結果を生成し（ステップＳ１６）、判定結果を問い合わせ装置２０に返信する（ステップＳ１７）。
【００６０】
問い合わせ装置２０は、判定結果の内容を判断する（ステップＳ１８）。判定結果がデータの送信を許可するものである場合（ステップＳ１８におけるＹｅｓ）、問い合わせ装置２０は、データをアプリケーション３０ａに送信する（ステップＳ１９）。一方、判定結果がデータの送信を許可するものでない場合（ステップＳ１８におけるＮｏ）、問い合わせ装置２０は、データを破棄する（ステップＳ２０）。すなわち、問い合わせ装置２０は、データをアプリケーション３０ａに送信しない。なお、ステップＳ２０において、問い合わせ装置２０は、送信を許可しない旨の応答をデバイス１０に送信してもよい。
【００６１】
以上のように、本実施形態では、問い合わせ装置２０および認証機器４０（認証判定装置４２）が、デバイス１０からアプリケーション３０ａへのデータの送信を制御する。具体的には、認証判定装置４２が、送信するデータの流通履歴に基づいて、アプリケーション３０ａへのデータの送信を制御する。よって、データを安全に流通させる制御を行うことができる。
【００６２】
例えば、データへのアクセス時点における情報のみを利用するような一般的なアクセス制御方法では、時間変化を踏まえたアクセス制御を行うことは困難である。一方、本実施形態では、データが生成されてから保存されるまでの一連のデータの流通を管理しておき、その流通履歴に基づいてデータの送信可否が判断される。そのため、データを安全に流通させる制御を行うことが可能になる。
【００６３】
実施形態２． 
次に、本発明によるデータ制御システムの第２の実施形態を説明する。第１の実施形態では、デバイス１０の宛先が一つのアプリケーション３０ａである場合について説明した。本実施形態では、宛先が複数の場合を想定した構成を説明する。
【００６４】
図８は、本発明によるデータ制御システムの第２の実施形態の構成例を示すブロック図である。本実施形態のデータ制御システム２００は、デバイス１１と、問い合わせ装置２１と、アプリケーション３０ａと、アプリケーション３０ｂと、認証機器５０とを備えている。
【００６５】
デバイス１１は、アプリケーション３０ａおよびアプリケーション３０ｂに送信するデータを問い合わせ装置２１に送信する。すなわち、デバイス１１は、アプリケーション３０ａおよびアプリケーション３０ｂにデータを送信してよいか否かの判断を問い合わせ装置２１に依頼する。第１の実施形態と同様、デバイス１１は、単体の装置であってもよく、他のシステム（図示せず）の一部であってもよい。また、デバイス１１は、ユーザの指示に応じて動作する装置であってもよい。
【００６６】
問い合わせ装置２１は、送信元であるデバイス１１からデータとともにそのデータの宛先（具体的には、アプリケーション３０ａおよびアプリケーション３０ｂ）を示す情報を受信する。そして、問い合わせ装置２１は、受信したデータの宛先それぞれへの送信可否を、認証機器５０に問い合わせる。なお、問合せに際して送信するデータの内容は、第１の実施形態の問い合わせ装置２０が送信する内容と同様である。
【００６７】
問い合わせ装置２１は、後述する認証機器５０からの判定結果に応じて、それぞれの宛先への送信を許可するか否か判断する。問い合わせ装置２１は、送信を許可すると判定された宛先にのみデータを送信してもよく、全ての宛先への送信を許可すると判定された場合に限って、それらの宛先にデータを送信してもよい。
【００６８】
アプリケーション３０ａおよびアプリケーション３０ｂは、デバイス１１からのデータを受信するコンポーネントである。
【００６９】
認証機器５０は、ログ情報記憶部４１と、認証判定装置５２と、状態遷移図生成装置４３と、ポリシ情報記憶部４４と、アプリケーション分類装置５１とを含む。ログ情報記憶部４１、状態遷移図生成装置４３およびポリシ情報記憶部４４の内容は、第１の実施形態と同様である。
【００７０】
アプリケーション分類装置５１は、受信した宛先ごとにデータの属性を認証判定装置５２に通知する。また、アプリケーション分類装置５１は、後述する認証判定装置５２による判定結果を問い合わせ装置２１に返信する。
【００７１】
認証判定装置５２は、アクセスポリシに基づいて、送信するデータの流通履歴からそのデータの送信可否を宛先ごとに判定する。なお、認証判定装置５２がデータの送信可否を判断する方法は、第１の実施形態の認証判定装置４２が行う方法と同様である。認証判定装置５２は、判定結果をアプリケーション分類装置５１に通知する。
【００７２】
図９は、データ送信を許可するか否か判断する処理の例を示す説明図である。図９に例示する破線で囲んだ範囲が、アプリケーションごとのアクセスポリシを表す。例えば、図９に例示するように、各アプリケーションに関連するアクセスポリシに対応した状態遷移図が生成されているとする。この場合、認証判定装置５２は、ログ情報記憶部４１からデータの流通履歴をアプリケーションごとに抽出し、アクセスポリシにより生成された状態遷移図とそれぞれ比較する。図６に示す例と同様に、認証判定装置５２は、受理状態の場合にデータ送信を許可すると判定する。
【００７３】
その後、アプリケーション分類装置５１が個々の判定結果を問い合わせ装置２１に送信すると、問い合わせ装置２１が、受信した結果に応じて、宛先へのデータの送信を許可するか否か判断する。上述するように、問い合わせ装置２１は、送信を許可すると判定された宛先にのみデータを送信してもよく、全ての宛先への送信を許可すると判定された場合に限って、それらの宛先にデータを送信してもよい。
【００７４】
なお、問い合わせ装置２１と、認証機器５０（より詳細には、アプリケーション分類装置５１と、認証判定装置５２と、状態遷移図生成装置４３）とは、プログラム（データ制御プログラム）に従って動作するコンピュータのＣＰＵによって実現される。
【００７５】
次に、本実施形態のデータ制御システムの動作を説明する。図１０は、第２の実施形態のデータ制御システム２００の動作例を示すフローチャートである。デバイス１１がデータを問い合わせ装置２１に転送し、問い合わせ装置２１が抽出したデータの属性を認証判定装置５２に送信するまでのステップＳ１１からステップＳ１３までの処理は、図７に示す処理と同様である。
【００７６】
アプリケーション分類装置５１が、受信した宛先ごとにデータの属性を認証判定装置５２に通知すると、認証判定装置５２は、転送するアプリケーションごとに、受信したデータの属性に関するログを流通履歴としてログ情報記憶部４１から抽出する（ステップＳ２１）。なお、ステップＳ２１において、データそのものにメタデータとしてデータのログ情報を保持させている場合、認証判定装置５２は、そのログ情報からデータの流通履歴を特定してもよい。
【００７７】
認証判定装置５２は、流通履歴と状態遷移図とを比較し、データの送信可否を判定する（ステップＳ２２）。認証判定装置５２は、判定結果を転送するアプリケーションごとに生成する（ステップＳ２３）。全てのアプリケーションに対する判定結果が生成されていない場合（ステップＳ２４におけるＮｏ）、ステップＳ２３の処理が繰り返される。一方、全てのアプリケーションに対する判定結果が生成された場合（ステップＳ２４におけるＹｅｓ）、アプリケーション分類装置５１は、判定結果を問い合わせ装置２１に返信する（ステップＳ２５）。
【００７８】
問い合わせ装置２１は、転送するアプリケーションごとに判定結果を受信する（ステップＳ２６）。判定結果がデータの送信を許可するものである場合（ステップＳ２７におけるＹｅｓ）、問い合わせ装置２１は、データを宛先（例えば、アプリケーション３０ａ）に送信する（ステップＳ２８）。一方、判定結果がデータの送信を許可するものでない場合（ステップＳ２７におけるＮｏ）、問い合わせ装置２１は、データを破棄する（ステップＳ２９）。なお、ステップＳ２９において、問い合わせ装置２１は、データを破棄する代わりに、送信を許可しない旨の応答をデバイス１１に送信してもよい。
【００７９】
問い合わせ装置２１は、全ての判定結果を受信したか否か判断する（ステップＳ３０）。全ての判定結果を受信していない場合（ステップＳ３０におけるＮｏ）、ステップＳ２６以降の処理が繰り返される。一方、全ての判定結果を受信した場合（ステップＳ３０におけるＹｅｓ）、処理が終了する。
【００８０】
以上のように、本実施形態では、送信するデータの宛先が複数の場合、認証判定装置５２が宛先ごとにデータの送信可否を判定する。そのため、第１の実施形態の効果に加え、宛先の組み合わせに応じた流通の制御を行うことが可能になる。
【００８１】
実施形態３．
次に、本発明によるデータ制御システムの第３の実施形態を説明する。第１の実施形態および第２の実施形態では、デバイス１０またはデバイス１１が、一つのデータを送信する場合について説明した。本実施形態では、同じ宛先に送信するデータが複数の場合を想定した構成を説明する。
【００８２】
図１１は、本発明によるデータ制御システムの第３の実施形態の構成例を示すブロック図である。本実施形態のデータ制御システム３００は、デバイス１２と、問い合わせ装置２２と、アプリケーション３０ａと、認証機器６０とを備えている。なお、アプリケーション３０ａの内容は、第１の実施形態と同様である。
【００８３】
デバイス１２は、アプリケーション３０ａに送信する複数のデータを問い合わせ装置２２に送信する。すなわち、デバイス１２は、アプリケーション３０ａに複数のデータを送信してよいか否かの判断を問い合わせ装置２２に依頼する。第１の実施形態および第２の実施形態と同様、デバイス１２は、単体の装置であってもよく、他のシステム（図示せず）の一部であってもよい。また、デバイス１２は、ユーザの指示に応じて動作する装置であってもよい。
【００８４】
問い合わせ装置２２は、送信元であるデバイス１２から複数のデータとともにそのデータの宛先（具体的には、アプリケーション３０ａ）を示す情報を受信する。そして、問い合わせ装置２２は、受信した複数のデータの送信可否を、認証機器６０に問い合わせる。なお、問合せに際して送信するデータの内容は、第１の実施形態の問い合わせ装置２０または第２の実施形態の問い合わせ装置２１が送信する内容と同様である。
【００８５】
問い合わせ装置２２は、後述する認証機器６０からの判定結果に応じて、宛先へのデータの送信を許可するか否か判断する。問い合わせ装置２２は、送信を許可すると判定されたデータのみを送信してもよく、全てのデータの送信を許可すると判定された場合に限って、全てのデータを宛先に送信してもよい。
【００８６】
認証機器６０は、ログ情報記憶部４１と、認証判定装置６２と、状態遷移図生成装置４３と、ポリシ情報記憶部４４と、判定結果一時記憶装置６１とを含む。ログ情報記憶部４１、状態遷移図生成装置４３およびポリシ情報記憶部４４の内容は、第１の実施形態と同様である。
【００８７】
判定結果一時記憶装置６１は、複数のデータの判定結果を一時的に記憶する記憶装置である。判定結果一時記憶装置６１は、例えば、磁気ディスク装置等により実現される。
【００８８】
認証判定装置６２は、アクセスポリシに基づいて、送信する各データの流通履歴からそれぞれのデータの送信可否を判定する。なお、認証判定装置６２が各データの送信可否を判断する方法は、第１の実施形態の認証判定装置４２が行う方法と同様である。なお、本実施形態では、認証判定装置６２は、各データについて判定を行うごとに判定結果を判定結果一時記憶装置６１に記憶する。そして、認証判定装置６２は、全てのデータについての判定が完了すると、判定結果一時記憶装置６１に記憶された判定結果を抽出して、結果を問い合わせ装置２２に返信する。
【００８９】
なお、問い合わせ装置２２と、認証機器６０（より詳細には、認証判定装置６２と、状態遷移図生成装置４３）とは、プログラム（データ制御プログラム）に従って動作するコンピュータのＣＰＵによって実現される。
【００９０】
次に、本実施形態のデータ制御システムの動作を説明する。図１２は、第３の実施形態のデータ制御システム３００の動作例を示すフローチャートである。デバイス１２は、各データを問い合わせ装置２２へ転送する（ステップＳ３１）。デバイス１２が、受信したデータの属性を抽出して、認証判定装置６２へ送信する処理は、図７に示すステップＳ１２からステップＳ１３の処理と同様である。
【００９１】
デバイス１２は、全てのデータを転送したか否か判断する（ステップＳ３２）。全てのデータを転送していない場合（ステップＳ３２におけるＮｏ）、ステップＳ３１以降の処理が繰り返される。一方、全てのデータを転送した場合（ステップＳ３２におけるＹｅｓ）、デバイス１２は、データの転送を終了する。そして、認証判定装置６２は、受信した各データの属性に関するログを流通履歴としてログ情報記憶部４１から抽出する（ステップＳ３３）。なお、ステップＳ３３において、データそのものにメタデータとしてデータのログ情報を保持させている場合、認証判定装置６２は、そのログ情報からデータの流通履歴を特定してもよい。
【００９２】
認証判定装置６２は、抽出した流通履歴と状態遷移図とを比較し、データの送信可否を判定する（ステップＳ３４）。認証判定装置６２は、判定結果を判定結果一時記憶装置６１に記録する（ステップＳ３５）。
【００９３】
認証判定装置６２は、全データに対する判定が済んだか否か判断する（ステップＳ３６）。全データに対する判定が済んでいない場合（ステップＳ３６におけるＮｏ）、ステップＳ３４以降の処理が繰り返される。一方、全データに対する判定が済んでいる場合（ステップＳ３６におけるＹｅｓ）、認証判定装置６２は、記録した判定結果に応じた結果を生成する（ステップＳ３７）。なお、この結果は、問い合わせ装置２２で生成されてもよい。そして、認証判定装置６２は、判定結果を問い合わせ装置２２に返信する（ステップＳ３８）。
【００９４】
問い合わせ装置２２は、判定結果の内容を判断する（ステップＳ３９）。判定結果がデータの送信を許可するものである場合（ステップＳ３９におけるＹｅｓ）、問い合わせ装置２２は、データをアプリケーション３０ａに送信する（ステップＳ４０）。一方、判定結果がデータの送信を許可するものでない場合（ステップＳ３９におけるＮｏ）、問い合わせ装置２２は、データを破棄する（ステップＳ４１）。なお、ステップＳ４１において、問い合わせ装置２２は、データを破棄する代わりに、送信を許可しない旨の応答をデバイス１２に送信してもよい。
【００９５】
以上のように、本実施形態では、認証判定装置６２が、同じ宛先に送信する複数のデータのそれぞれについてデータの送信可否を判定する。例えば、一部のデータの送信を許可しないと判断した場合、認証判定装置６２は、全てのデータの送信を許可しないと判定する。そのため、第１の実施形態の効果に加え、データの組み合わせを考慮した流通の制御を行うことが可能になる。
【００９６】
次に、本発明の概要を説明する。図１３は、本発明によるデータ制御システムの概要を示すブロック図である。本発明によるデータ制御システム８０は、送信元（例えば、デバイス１０）から宛先（例えば、アプリケーション３０ａ）へのデータの送信を制御する制御部８１（例えば、問い合わせ装置２０、認証機器４０）を備えている。制御部８１は、送信するデータの流通履歴に基づいて、宛先へのデータの送信を制御する。
【００９７】
そのような構成により、データを安全に流通させる制御を行うことができる。
【００９８】
また、制御部８１は、流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴からそのデータの送信可否を判定してもよい。
【００９９】
具体的には、制御部８１は、送信するデータの流通履歴がアクセスポリシに一致する流通履歴を含むか否かに基づいて、データの送信可否を判定してもよい。
【０１００】
また、アクセスポリシに、複数のコンポーネントの出力に基づいてデータが生成されることを示す流通履歴に対する送信可否が規定されていてもよい。例えば、複数のデータから１つの値を算出する処理を行うようなコンポーネントへの流通履歴が挙げられる。このとき、制御部８１は、送信するデータが複数のコンポーネントを経由したデータである場合に、そのデータの送信を許可してもよい。
【０１０１】
また、データ制御システム８０は、アクセスポリシで規定される流通履歴を表すオートマトン（例えば、状態遷移図、状態遷移表）を生成するオートマトン生成部（例えば、状態遷移図生成装置４３）を備えていてもよい。そして、制御部８１は、データの流通履歴に対するオートマトンの探索問題を解くことにより、データがアクセスポリシに一致する流通履歴を含むか否か判定してもよい。
【０１０２】
また、制御部８１は、送信するデータの宛先が複数の場合、宛先ごとにそのデータの送信可否を判定してもよい。
【０１０３】
また、制御部８１は、同じ宛先に送信する複数のデータのそれぞれについてそのデータの送信可否を判定し、一部のデータの送信を許可しないと判断した場合、その全てのデータの送信を許可しないと判定してもよい。
【０１０４】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
【０１０５】
（付記１）送信元から宛先へのデータの送信を制御する制御部を備え、前記制御部は、送信するデータの流通履歴に基づいて、前記宛先へのデータの送信を制御することを特徴とするデータ制御システム。
【０１０６】
（付記２）制御部は、流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定する付記１記載のデータ制御システム。
【０１０７】
（付記３）制御部は、送信するデータの流通履歴がアクセスポリシに一致する流通履歴を含むか否かに基づいて、データの送信可否を判定する付記２記載のデータ制御システム。
【０１０８】
（付記４）アクセスポリシに、複数のコンポーネントの出力に基づいてデータが生成されることを示す流通履歴に対する送信可否が規定され、制御部は、送信するデータが前記複数のコンポーネントを経由したデータである場合に、当該データの送信を許可する付記２または付記３記載のデータ制御システム。
【０１０９】
（付記５）アクセスポリシで規定される流通履歴を表すオートマトンを生成するオートマトン生成部を備え、制御部は、データの流通履歴に対する前記オートマトンの探索問題を解くことにより、前記データがアクセスポリシに一致する流通履歴を含むか否か判定する付記２から付記４のうちのいずれか１つに記載のデータ制御システム。
【０１１０】
（付記６）制御部は、送信するデータの宛先が複数の場合、宛先ごとに当該データの送信可否を判定する付記１から付記５のうちのいずれか１つに記載のデータ制御システム。
【０１１１】
（付記７）制御部は、同じ宛先に送信する複数のデータのそれぞれについて当該データの送信可否を判定し、一部のデータの送信を許可しないと判断した場合、当該全てのデータの送信を許可しないと判定する付記１から付記６のうちのいずれか１つに記載のデータ制御システム。
【０１１２】
（付記８）送信するデータの流通履歴に基づいて、送信元から宛先へのデータの送信を制御することを特徴とするデータ制御方法。
【０１１３】
（付記９）流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定する付記８記載のデータ制御方法。
【０１１４】
（付記１０）コンピュータに、送信元から宛先へのデータの送信を制御する制御処理を実行させ、前記制御処理で、送信するデータの流通履歴に基づいて、前記宛先へのデータの送信を制御させるためのデータ制御プログラム。
【０１１５】
（付記１１）コンピュータに、制御処理で、流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定させる付記１０記載のデータ制御プログラム。
【符号の説明】
【０１１６】
１０  デバイス
２０  問い合わせ装置
３０ａ，３０ｂ  アプリケーション
４０，５０，６０  認証機器
４１  ログ情報記憶部
４２，５２，６２  認証判定装置
４３  状態遷移図生成装置
４４  ポリシ情報記憶部
５１  アプリケーション分類装置
６１  判定結果一時記憶装置
１００，２００，３００  データ制御システム
【図１】
2018216206.tif 000003
【図２】
2018216206.tif 000004
【図３】
2018216206.tif 000005
【図４】
2018216206.tif 000006
【図５】
2018216206.tif 000007
【図６】
2018216206.tif 000008
【図７】
2018216206.tif 000009
【図８】
2018216206.tif 000010
【図９】
2018216206.tif 000011
【図１０】
2018216206.tif 000012
【図１１】
2018216206.tif 000013
【図１２】
2018216206.tif 000014
【図１３】
2018216206.tif 000015
【手続補正書】
【提出日】令和1年11月13日(2019.11.13)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
送信元から宛先へのデータの送信を制御する制御部を備え、
前記制御部は、送信するデータの流通履歴に基づいて、前記宛先へのデータの送信を制御する
ことを特徴とするデータ制御システム。
【請求項２】
制御部は、流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定する
請求項１記載のデータ制御システム。
【請求項３】
制御部は、送信するデータの流通履歴がアクセスポリシに一致する流通履歴を含むか否かに基づいて、データの送信可否を判定する
請求項２記載のデータ制御システム。
【請求項４】
アクセスポリシに、複数のコンポーネントの出力に基づいてデータが生成されることを示す流通履歴に対する送信可否が規定され、
制御部は、送信するデータが前記複数のコンポーネントを経由したデータである場合に、当該データの送信を許可する
請求項２または請求項３記載のデータ制御システム。
【請求項５】
アクセスポリシで規定される流通履歴を表すオートマトンを生成するオートマトン生成部を備え、
制御部は、データの流通履歴に対する前記オートマトンの探索問題を解くことにより、前記データがアクセスポリシに一致する流通履歴を含むか否か判定する
請求項２から請求項４のうちのいずれか１項に記載のデータ制御システム。
【請求項６】
制御部は、送信するデータの宛先が複数の場合、宛先ごとに当該データの送信可否を判定する
請求項１から請求項５のうちのいずれか１項に記載のデータ制御システム。
【請求項７】
制御部は、同じ宛先に送信する複数のデータのそれぞれについて当該データの送信可否を判定し、一部のデータの送信を許可しないと判断した場合、当該全てのデータの送信を許可しないと判定する
請求項１から請求項６のうちのいずれか１項に記載のデータ制御システム。
【請求項８】
送信するデータの流通履歴に基づいて、送信元から宛先へのデータの送信を制御する
ことを特徴とするデータ制御方法。
【請求項９】
流通履歴に対する宛先への送信可否を規定したアクセスポリシに基づいて、送信するデータの流通履歴から当該データの送信可否を判定する
請求項８記載のデータ制御方法。
【請求項１０】
コンピュータに、
送信元から宛先へのデータの送信を制御する制御処理を実行させ、
前記制御処理で、送信するデータの流通履歴に基づいて、前記宛先へのデータの送信を制御させる
ためのデータ制御プログラム。
【国際調査報告】
2018216206.tif 000016
2018216206.tif 000017