(57)【要約】【課題】(1)厳密な許諾判定、(2)許諾判定結果の多様化、(3)記述性・可読性の高いアクセス制御ポリシー、をすべて満たすアクセス制御装置を提供する。【解決手段】リソースの利用要求情報と当該リソースの利用許諾条件とを素性構造化し、更にこれらを論理式に変換して、当該論理式に変換された上記利用要求情報の素性構造と上記利用許諾条件の素性構造との間で、予め定義された等式集合を用いた等価変換により単一化処理を行い、単一化に成功した場合には単一化された論理式から抽出した利用許諾範囲の上記リソースを出力し、単一化に失敗した場合にはアクセス拒否通知を出力する。【選択図】図１
2011141719.tif 000002
【特許請求の範囲】
【請求項１】
リソースの利用要求情報が入力され、当該利用要求情報を素性構造化して出力する利用要求受付部と、
上記リソースと当該リソースの権利者により予め設定され素性構造化された当該リソースの利用許諾条件とが格納される記憶部と、
素性構造化された上記リソースの利用要求情報が入力され、上記記憶部から上記リソースの素性構造化された利用許諾条件を取得し、当該利用要求情報の素性構造と当該利用許諾条件の素性構造をそれぞれ論理式に変換する論理式変換部と、
それぞれ論理式に変換された上記利用要求情報の素性構造と上記利用許諾条件の素性構造との間で、予め定義された等式集合を用いた等価変換により単一化処理を行い、単一化に成功した場合には単一化された論理式を、単一化に失敗した場合にはアクセス拒否通知を出力するアクセス制御部と、
上記単一化された論理式が入力され、当該単一化された論理式から抽出した利用許諾範囲の上記リソースを上記記憶部から取得し出力するリソース取得部と、
を備えるアクセス制御装置。
【請求項２】
利用要求受付部が、入力されたリソースの利用要求情報を素性構造化する利用要求受付ステップと、
論理式変換部が、上記リソースの権利者により予め設定され素性構造化された当該リソースの利用許諾条件を記憶部から取得し、上記利用要求情報の素性構造と当該利用許諾条件の素性構造をそれぞれ論理式に変換する論理式変換ステップと、
アクセス制御部が、それぞれ論理式に変換された上記利用要求情報の素性構造と上記利用許諾条件の素性構造との間で、予め定義された等式集合を用いた等価変換により単一化処理を行い、単一化に成功した場合には単一化された論理式を、単一化に失敗した場合にはアクセス拒否通知を出力するアクセス制御ステップと、
リソース取得部が、上記単一化された論理式から抽出した利用許諾範囲の上記リソースを上記記憶部から取得し出力するリソース取得ステップと、
を実行するアクセス制御方法。
【請求項３】
請求項１に記載のアクセス制御装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、人やプログラム等による情報やシステム等へのアクセス制御に関し、特にアクセス制御ポリシーに基づき判定を行うアクセス制御装置、アクセス制御方法、及びそのプログラムに関する。
【背景技術】
【０００２】
人やプログラム等の主体による、情報やコンテンツやシステム等の対象に対する読み書き等の実行の許諾や拒否を制御するアクセス制御技術は、情報漏えいや不正行為を防ぐために必要不可欠な技術である。アクセス制御を実現するにあたり、以下の３つが重要な要素として挙げられ、これらの要素を満たす技術が開発されてきた。
【０００３】
(1)厳密な諾否の判定
主体による対象の利用要求に対し、その諾否の判定は厳密でなければならない。これを実現する方式として数理論理学に立脚した方式がある。数理論理学を用いるメリットは、判定が厳密であることを証明できる点にある。この方式については、非特許文献１に開示されている。
【０００４】
(2)諾否判定結果の多様性
アクセス制御の結果は、従来は許諾／拒否の二値を返すものとして定義されてきた。これに対し、「許諾、但し必須処理の実行を義務づける」「一部許諾（主体の利用要求の特定の部分に限定して許諾）」など、諾否判定結果の多様性に対する需要が発生した。この実現方式については、非特許文献２に開示されている。
【０００５】
(3)アクセス制御ポリシーの記述性・可読性
アクセス制御はアクセス制御ポリシーに基づいて、諾否の判定を行う。このため、アクセス制御ポリシーの設定ミスは、不適切なアクセスを誤って許諾してしまう可能性がある。また、アクセス制御ポリシーは、環境の変化（例：組織の変更、組織の構成員の転出入等）に応じて修正する必要があるが、可読性が低いと修正に時間を要したり、誤った修正をしてしまう可能性がある。このため、記述が容易で可読性の高いアクセス制御ポリシーに対する需要が高まった。この実現方式については、非特許文献３に開示されている。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】Joseph Y. Halpern and Vicky Weissman, "Using First-Order Logic to Reason about Policies", Proceedings of the 16th IEEE Computer Security Foundations Workshop, 2003, p.187-201
【非特許文献２】工藤道治, 羽田知史,「必須処理付きセキュリティポリシーのためのアクセス制御モデル」, 情報通信学会研究報告, 2001年7月, Vol.2001, No.75, p.149-156
【非特許文献３】横川晃, 品川高廣, 加藤和彦,「クラス階層型セキュリティポリシーによるアクセス制御」, 2009年, Vol.2009-OS-112, No.9, p.1-8
【発明の概要】
【発明が解決しようとする課題】
【０００７】
先に述べたアクセス制御の３つの重要な要素を全て満たす技術はこれまで開示されておらず、例えば非特許文献１、２の技術は要素(3)を満たしておらず、非特許文献３の技術は要素(1)、(2)を満たしていない。
【０００８】
本発明の目的は、要素(1)〜(3)の全てを満たすアクセス制御装置、アクセス制御方法、及びそのプログラムを実現することにある。
【課題を解決するための手段】
【０００９】
本発明のアクセス制御装置は、利用要求受付部と記憶部と論理式変換部とアクセス制御部とリソース取得部とを備える。利用要求受付部は、リソースの利用要求情報が入力され、当該利用要求情報を素性構造化して出力する。記憶部は、上記リソースと当該リソースの権利者により予め設定され素性構造化された当該リソースの利用許諾条件とが格納される。論理式変換部は、素性構造化された上記リソースの利用要求情報が入力され、上記記憶部から上記リソースの素性構造化された利用許諾条件を取得し、当該利用要求情報の素性構造と当該利用許諾条件の素性構造をそれぞれ論理式に変換する。アクセス制御部は、それぞれ論理式に変換された上記利用要求情報の素性構造と上記利用許諾条件の素性構造との間で、予め定義された等式集合を用いた等価変換により単一化処理を行い、単一化に成功した場合には単一化された論理式を、単一化に失敗した場合にはアクセス拒否通知を出力する。リソース取得部は、上記単一化された論理式が入力され、当該単一化された論理式から抽出した利用許諾範囲の上記リソースを上記記憶部から取得し出力する。
【００１０】
また、本発明のアクセス制御方法は、利用要求受付ステップと論理式変換ステップとアクセス制御ステップとリソース取得ステップとを実行する。利用要求受付ステップでは、利用要求受付部が入力されたリソースの利用要求情報を素性構造化する。論理式変換ステップでは、論理式変換部が上記リソースの権利者により予め設定され素性構造化された当該リソースの利用許諾条件を記憶部から取得し、上記利用要求情報の素性構造と当該利用許諾条件の素性構造をそれぞれ論理式に変換する。アクセス制御ステップでは、アクセス制御部がそれぞれ論理式に変換された上記利用要求情報の素性構造と上記利用許諾条件の素性構造との間で、予め定義された等式集合を用いた等価変換により単一化処理を行い、単一化に成功した場合には単一化された論理式を、単一化に失敗した場合にはアクセス拒否通知を出力する。リソース取得ステップでは、リソース取得部が上記単一化された論理式から抽出した利用許諾範囲の上記リソースを上記記憶部から取得し出力する。
【発明の効果】
【００１１】
本発明のアクセス制御装置、アクセス制御方法、及びそのプログラムによれば、(1)厳密な許諾判定、(2)許諾判定結果の多様化、(3)記述性・可読性の高いアクセス制御ポリシー、をすべて満たすアクセス制御方式を実現することができる。
【図面の簡単な説明】
【００１２】
【図１】本発明のアクセス制御装置１００の構成例を示すブロック図。
【図２】本発明のアクセス制御装置１００の処理フロー例を示す図。
【図３】２つのＷｅｂサイトＡ、ＢそれぞれのポリシーのＰ３Ｐステートメントによる表現例を示す図。
【図４】サブエレメントＲの各項目について、組織の自／他／無制限の区別と個人情報の取り扱いを自組織のポリシーに従うか否かの区別とで分類できることを示す図。
【図５】サブエレメントＲの各項目の順序構造を示す図。
【図６】サブエレメントＴの各項目の順序構造を示す図。
【図７】ＷｅｂサイトＡ、Ｂの利用要求情報Ｑをそれぞれ素性構造で表現した場合とそれらをＦＤＬＰで表現した場合とを示す図。
【図８】訪問者Alice、Bobの個人情報の利用許諾条件Ｐをそれぞれ素性構造で表現した場合とそれらをＦＤＬＰで表現した場合とを示す図。
【図９】図７、８の利用許諾情報Ｑと利用許諾要件Ｐの下でのＷｅｂサイトＡ、Ｂによる訪問者Aliceの個人情報に対する利用可否判定結果を示す図。
【図１０】図７、８の利用許諾情報Ｑと利用許諾要件Ｐの下でのＷｅｂサイトＡ、Ｂによる訪問者Bobの個人情報に対する利用可否判定結果を示す図。
【発明を実施するための形態】
【００１３】
本発明においては、リソースに対する利用許諾条件Ｐ（ポリシー）とそのリソースに対する利用要求情報Ｑについて、それぞれ素性構造で表現したものを用いてアクセス制御を行う。そこで、実施形態の説明に先立ち素性構造について簡単に説明する。
【００１４】
素性構造は、自然言語処理における構文解析の一手法である単一化文法で用いられるデータ構造である。素性構造を用いることにより、膨大な文法規則を見通し良く記述でき、単一化と呼ばれる操作を施すことで構文解析を行うことが可能になる。素性構造は、数（単複）や人称や時制などを示す素性（素性ラベル）と、その値（素性値）の対の集合として定義される。通常は以下のような行列形式で表記される。
【００１５】
【数１】
2011141719.tif 000003
【００１６】
この例は、英語の三人称単数の名詞が持つ情報を表現したものであり、左の列にあるものが素性であり、右の列にあるものがその素性に対応する素性値である。この行列の１行目は素性number（数）の値がsingular（単数）であることを示しており、２行目は素性person（人称）の値がthird（三人称）であることを示している。また、以下に例示するように、素性値は素性構造であってもよい。
【００１７】
【数２】
2011141719.tif 000004
【００１８】
この行列の１行目は素性tense（時制）の値がpresent（現在）であることを示しており、２行目は素性agreement（呼応）の値が、上記の行列(1)の素性構造であることを示している。また、集合を素性値とすることも可能である。
【００１９】
文の構成要素同士を集めて、更に大きな構成要素を作る際に用いられる演算を、素性構造の単一化という。単一化が成功する場合には例えば以下のような例が挙げられる。
【００２０】
【数３】
2011141719.tif 000005
【００２１】
また、単一化が失敗する例を以下に示す。ＦＡＩＬは単一化の失敗を表す。
【００２２】
【数４】
2011141719.tif 000006
【００２３】
この単一化失敗は、同じ素性personに異なる値thirdとfirstを単一化しようとしたため、矛盾が生じたことによる。
【００２４】
利用許諾条件Ｐは、あるリソースに対する権利の実行を、当該権利を保有する者が他者に対して許諾する内容を定義したものと言える。そのため、利用許諾条件Ｐには「権利保有者」「利用者」「リソース」「権利」「条件」などの要素が含まれることになる。また、利用者の利用要求情報Ｑが、権利保有者による利用許諾条件Ｐを満たす場合に利用が許諾され、それ以外の場合には利用は許諾されない。換言すると、利用要求情報Ｑは利用許諾条件Ｐと同じ要素を持つ必要がある。本発明では、以上の各要素を素性構造で表すこととし、利用許諾条件Ｐを素性構造で表したものをＰFS、利用要求情報Ｑを素性構造で表したものをＱFSとすると、双方とも以下のように表現できる。
【００２５】
【数５】
2011141719.tif 000007
【００２６】
ここで、authは権利保有者、userは利用者、resはリソース、rightは権利、condは条件の素性をそれぞれ表し、ｖauth、ｖuser、ｖres、ｖright、ｖcondはそれぞれの素性に対応する値である。
【００２７】
以上のような素性構造を用いてアクセス制御を行う本発明のアクセス制御装置１００の機能構成例を示すブロック図を図１に、その処理フロー例を図２にそれぞれ示す。アクセス制御装置１００は、利用要求受付部１１０と記憶部１２０と論理式変換部１３０とアクセス制御部１４０とリソース取得部１５０とを備える。
【００２８】
利用要求受付部１１０は、リソースの利用者により利用要求情報Ｑが入力され、これを素性構造化した利用要求情報ＱFSを出力する（Ｓ１）。
【００２９】
記憶部１２０は、リソースとそのリソースの権利者により予め設定された利用許諾条件Ｐを素性構造化した利用許諾条件ＰFSとを格納する。
【００３０】
論理式変換部１３０は、利用要求情報ＱFSと利用許諾条件ＰFSとが入力され、それぞれ論理式ＱFDLP、ＰFDLPに変換して出力する（Ｓ２）。利用要求情報Ｑと利用許諾条件Ｐを素性構造で表したとき、利用者のリソース利用が可能か否かの判定は、後述する素性構造の単一化が成功するか失敗するかにそれぞれ対応する。素性構造は、その表している内容が理解しやすい形式であるが、矛盾の判定や単一化の実施等の操作を加えるには論理式に変換した方が、矛盾の判定を真偽で表したり、単一化の実施を論理式の変換で定義できる等メリットが多い。そこで、本発明では素性構造で表した利用要求情報ＱFSと利用許諾条件ＰFSを、更にそれぞれ論理式ＱFDLP、ＰFDLPに変換した上で単一化処理を行う。なお、変換に際し、論理式ＦＤＬＰ(Feature Descripton Logic for Policy)の構文規則と素性構造から論理式への変換規則Ωをそれぞれ以下のように定義し適用する。
【００３１】
◆論理式ＦＤＬＰの構文規則
論理式ＦＤＬＰの構文規則を次のように定義する。
【００３２】
【数６】
2011141719.tif 000008
【００３３】
Ｌをアトミックな素性ラベルを表す記号の有限集合としたとき、素性構造featStructは、素性ラベルlabel∈Ｌと素性値valueとのペアattrの１つ以上の論理積から構成される。なおattrは、labelとvalueとの間で矛盾がある場合にはTOP、何も情報がない場合にはNILであるとそれぞれ表現される。また素性値valueは、Ａをアトミックな素性値を表す記号の有限集合としたとき、featStructかアトミックな素性値atom∈Ａの１つ以上の論理和atomDisjである。
【００３４】
◆素性構造から論理式への変換規則Ω
素性構造から論理式への変換規則Ωを次のように定義する。
【００３５】
【数７】
2011141719.tif 000009
【００３６】
アクセス制御部１４０は、ＱFDLPとＰFDLPとの間で、予め定義されたＦＤＬＰの等式集合を用いた等価変換ＱFDLP∧ＰFDLPを行うことにより単一化処理を行い、単一化に成功した場合（ＱFDLP∧ＰFDLP＝ＲFDLP）には単一化された論理式ＲFDLPをリソース取得部１５０に向けて出力し、単一化に失敗した場合（ＱFDLP∧ＰFDLP＝TOP、TOPは矛盾を表す）にはアクセス拒否通知を利用者に向けて出力する（Ｓ３）。単一化された論理式ＲFDLPは、論理式ＲFDLPに記述されている範囲での利用が許諾されたことを示す。ＦＤＬＰの等式集合は以下のように定義されたものを適用する。各式において、Φ、Ψ、Χ∈ＦＤＬＰであり、ａ、ｂ、ｃ∈Ａであり、ｌ∈Ｌである。また、TOPは矛盾、NILは何も情報がないことを表し、inf {Ｃ}は集合Ｃの最大下界を表す。
【００３７】
【数８】
2011141719.tif 000010
【００３８】
なお、ＦＤＬＰの等式集合を用いた等価変換を行う際には、許諾の範囲の広狭関係を加味して行う。すなわち、２つの利用許諾条件を構成する要素ｄ１、ｄ２について、ｄ２の表す内容がｄ１の表す内容より概念的に広いという関係が成り立つとき、ｄ２はｄ１より広い、またはｄ１はｄ２より狭いと呼び、本明細書においてはこの広狭関係を、
【００３９】
【数９】
2011141719.tif 000011
【００４０】
と書く。例えば、許諾を与える期間が「無制限」と「法律の定める期間」と「業務上必要な期間」では、
【００４１】
【数１０】
2011141719.tif 000012
【００４２】
という関係が成り立つが、「法律で定める期間」と「業務上必要な期間」との間ではこのままでは（具体的な期間が明示されない限り）広狭関係が成り立たない。
【００４３】
リソース取得部１５０は、単一化された論理式ＲFDLPが入力され、ＲFDLPから抽出した利用許諾範囲のリソースを記憶部１２０から取得し、利用者に向けて出力する（Ｓ４）。
【００４４】
＜ＦＤＬＰのＰ３Ｐへの適用例＞
利用許諾条件（ポリシー）の記法に素性構造による記法を採用することの有用性を示すため、ＦＤＬＰをＰ３Ｐ(Platform for Privacy Preferences)に適用した例を示す。以下では、まずＰ３Ｐについて説明した上で、Ｐ３Ｐポリシーを素性構造で表現し、更に素性構造をＦＤＬＰに変換することで、利用可否の判定や利用範囲の導出が行えることを具体例を用いて示す。従来のＰ３Ｐではアクセス権について許諾／拒否の二値でしか返すことができないが、本発明の素性構造を用いる方法によれば、許諾されている条件の範囲まで詳細に判定することができる。
【００４５】
◆Ｐ３Ｐについて
Ｐ３Ｐとは、Ｗｅｂサイトにおける個人情報の取り扱いを、標準化されたＸＭＬフォーマットで発行することを可能とする技術仕様である。Ｐ３Ｐポリシーで最も重要な要素として、"Statement"エレメントが挙げられる。このエレメントは、"Data-Group"(Ｄ)、"Purpose"(Ｐ)、"Recipient"(Ｒ)、"Retention"(Ｔ)の４つのサブエレメントを含む。以下、各サブエレメントの内容について説明する。
【００４６】
・Data-Group(Ｄ)
当該Ｗｅｂサイトで収集しようとしている個人情報の集合。例えば「名前」、「メールアドレス」、「電話番号」などが要素ｄとなる。
【００４７】
・Purpose(Ｐ)
当該Ｗｅｂサイトで個人情報を収集する目的の集合。以下の項目のうち１つ以上を含まなければならない。なお、末尾のアルファベット３文字は項目の略称である。
【００４８】
<current/>  データが提供されている活動の遂行とサポート  ＣＵＲ
<admin/>  Ｗｅｂサイトとシステムの管理  ＡＤＭ
<develop/>  調査と開発  ＤＥＶ
<tailoring/>  その場限りの仕立て  ＴＡＩ
<pseudo-analysis/>  ペンネーム分析  ＰＳＡ
<pseudo-decision/>  ペンネーム決定  ＰＳＤ
<individual-analysis/>  個人分析  ＩＶＡ
<individual-decision/>  個人決定  ＩＶＤ
<contact/>  サービスまたは商品のマーケティングのためにサイト訪問者と連絡をとる  ＣＯＮ
<historical/>  過去の出来事を保存  ＨＩＳ
<telemarketing/>  電話を通じてのサービスと商品のマーケティングのために訪問者に連絡  ＴＥＬ
<other-purpose>string</other-purpose>  その他の利用  ＯＰＴ
【００４９】
・Recipient(Ｒ)
当該Ｗｅｂサイトで収集する個人情報の受領者の集合。以下の項目のうちの１つ以上を含まなければならない。
【００５０】
<ours>  当組織および／または当組織の業務委託先として業務を行っている法人または当社が業務委託先として業務をしている法人  ＯＵＲ
<delivery>  当組織とは異なるプラクティスに従う可能性のある配送サービス  ＤＥＬ
<same>  当組織のプラクティスに従う合法組織  ＳＡＭ
<other-recipient>  当組織とは異なるプラクティスに従う合法組織  ＯＴＲ
<unrelated>  当組織とは無関係な第三者  ＵＮＲ
<public>  公のフォーラム  ＰＵＢ
【００５１】
・Retention(Ｔ)
当該Ｗｅｂサイトで収集する個人情報の保持期間。以下の項目のうち１つを含まなければならない。
【００５２】
<no-retention/>  情報はオンラインでの１回のインタラクションにおいてその情報を利用するのに必要最低限の時間以上は保有されない  ＮＯＲ
<stated-purpose/>  情報は言明された目的をかなえるために保有される  ＳＴＰ
<legal-requirement/>  情報は言明された目的をかなえるために保有されるが、その保有期間は法律上の要求または責務によってそれより長い場合がある  ＬＥＧ
<business-practices/>  情報はサービス提供者の言明した業務プラクティスに従って保有される  ＢＵＳ
<indefinitely/>  無制限  ＩＮＤ
【００５３】
以上説明したＰ３Ｐステートメントにより、２つのＷｅｂサイトＡ、Ｂそれぞれのポリシーを表現する例を、それぞれ図３(a)、(b)に示す。図３(a)はＷｅｂサイトＡのポリシーが、収集する個人情報Ｄが「メールアドレス」、収集の目的ＰがＴＡＩとＣＯＮ、情報受領者ＲがＵＮＲとＳＡＭ、情報の保有期間ＴがＢＵＳである場合の例である。一方、図３(b)はＷｅｂサイトＢのポリシーが、収集する個人情報Ｄが「メールアドレス」、収集の目的ＰがＴＡＩとＰＳＡ、情報受領者ＲがＤＥＬ、情報の保有期間ＴがＮＯＲである場合の例である。
【００５４】
また、サブエレメントＰ、Ｒ、Ｔのうち、Ｐの各項目<・・・>については個人情報を収集する目的について分類した項目であるため、目的を許諾の範囲の後半関係で一概に順序付けすることが困難であるが、ＲとＴについては各項目<・・・>をそれぞれ許諾の範囲の広狭関係の順序構造で表すことができる。すなわち、Ｒについては収集した個人情報をどの範囲の組織まで公開するかを分類して項目として挙げているため、許諾の範囲の広狭関係で順序構造を示すことができる。具体的には、組織の自／他／無制限の区別と個人情報の取り扱いを自組織のポリシーに従うか否かの区別とで分けると図４のようになる。例えば、ＳＡＭは他組織に個人情報を公開するが自組織のポリシーに従うため、同じく他組織であるが必ずしも自組織のポリシーに従わないＤＥＬやＯＴＲやＵＮＲよりも許諾範囲が狭いと言える。このような順序構造をサブエレメントＲについて整理すると図５のようになる。また、Ｔについては収集した個人情報を保持する期間であり、上記のとおり法律の定める期間ＬＥＧ、業務上必要な期間ＢＵＳと、無期限ＩＮＤとの間にはそれぞれ、
【００５５】
【数１１】
2011141719.tif 000013
【００５６】
という広狭関係が成り立つ。また、保持する期間が最低限であるＮＯＲや目的達成のために必要な期間保持するというＳＴＰを加えて、サブエレメントＴについての順序構造を整理すると図６のようになる。
【００５７】
◆Ｐ３Ｐポリシーの素性構造及びＦＤＬＰによる表現、並びに利用可否判定
Ｐ３Ｐでは、Ｗｅｂサイト側が訪問者の個人情報の利用許諾を得ようとするため、素性構造を表現する行列(2)において、訪問者(visitor)が権利保有者(auth)、訪問者の個人情報(private_info)がリソース(res)であり、Ｗｅｂサイト(website)が利用者(user)である。また、個人情報の利用(use)が権利(right)であり、目的Ｐ、受領者Ｒ、及び保持期間Ｔが条件(cond)である。そのため、Ｐ３Ｐにおける利用許諾条件ＰFSと利用要求情報ＱFSは、それぞれ素性構造により以下のように表現することができる。
【００５８】
【数１２】
2011141719.tif 000014
【００５９】
ＰFSに素性userが無いのは、このポリシーを全てのＷｅｂサイトに適用することを意味する。ＱFSに素性authが無いのは、この利用要求を全ての訪問者に適用することを意味する。これらはＰ３Ｐの利用のされ方を考慮したことに基づく。resの値には、個人情報を構成する要素ｄ及びその値が要素ｄの個数（ｎ個）分列挙される。ｖＰ、ｖＱ、ｖＲは各サブエレメントＰ、Ｑ、Ｒにおいて該当する項目が列挙される。
【００６０】
図７に、図３に示したＷｅｂサイトＡ、Ｂそれぞれの利用要求情報Ｑの素性構造による表現ＱFSとそれらのＦＤＬＰによる表現ＱFDLPの例を、図８に、訪問者Alice、Bobそれぞれの個人情報の利用許諾条件（ポリシー）Ｐの素性構造による表現ＰFSとそれらのＦＤＬＰによる表現ＰFDLPの例をそれぞれ示す。素性resについては、訪問者において個人情報を構成する要素がメールアドレスのみであるため、ｄ１としてメールアドレスが記載される。一方、Ｗｅｂサイトは利用要求側であるため、その値はＮＩＬである。
【００６１】
図９に、図７、８の例に基づきＷｅｂサイトＡ、Ｂの訪問者Aliceの個人情報に対する利用可否判定と利用範囲を、ＦＤＬＰの等式集合に従った等式変換に基づく単一化処理により導出した結果とそれを素性構造で表現した結果を示す。図９から、ＷｅｂサイトＡは目的をＴＡＩ、ＣＯＮとして要求しているにもかかわらずAliceの利用許諾条件によりＣＯＮのみに制限され、保持期間をＢＵＳで要求しているにもかかわらず、ＮＯＲに制限されていることがわかる。一方、ＷｅｂサイトＢはAliceの情報にアクセスできないことがわかる。
【００６２】
また、図１０に、図７、８の例に基づきＷｅｂサイトＡ、Ｂの訪問者Bobの個人情報に対する利用可否判定と利用範囲を、ＦＤＬＰの等式集合に従った等式変換に基づく単一化処理により導出した結果とそれを素性構造で表現した結果を示す。図１０からＷｅｂサイトＡは要求どおりに利用が許諾されていることがわかる。一方、ＷｅｂサイトＢは目的をＴＡＩ、ＰＳＡとして要求しているにもかかわらずBobの利用許諾条件によりＴＡＩのみに制限され、受領者をＤＥＬで要求しているにもかかわらず、ＳＡＭに制限されていることがわかる。
【００６３】
以上のように本発明では、アクセス制御に係る利用許諾条件の記法に自然言語処理の構文解析の分野で長く使われてきた素性構造による記法を採用する。これにより、記述性・可読性の高いアクセス制御ポリシーが実現される（背景技術の要素(3)）。また、素性構造を用いて表現された利用要求情報と利用許諾条件とを論理式に変換し、予め定義された等式集合を用いた等価変換により単一化処理を行い、その結果によりアクセスの諾否の判定を行う。これにより厳密に諾否を判定することができる（同要素(1)）。更に、判定の結果は許諾／拒否の二値だけでなく、一部許諾（主体の利用要求の特定の部分に限定して許諾）を返すことができる。これにより、諾否判定結果を多様化することができる（同要素(2)）。
【００６４】
上記アクセス制御装置をコンピュータによって実現する場合、割当制御部が担う処理機能はプログラムによって記述される。そしてパソコンや携帯端末上で、入力手段や各種記憶手段とＣＰＵとのデータのやりとりを通じてこのプログラムを実行することにより、ハードウェアとソフトウェアが協働し、上記処理機能がコンピュータ上で実現されて本発明のアクセス制御装置の作用効果を奏する。なおこの場合、処理機能の少なくとも一部をハードウェア的に実現することとしてもよい。また、上記の各種処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。
【図１】
2011141719.tif 000015
【図２】
2011141719.tif 000016
【図３】
2011141719.tif 000017
【図４】
2011141719.tif 000018
【図５】
2011141719.tif 000019
【図６】
2011141719.tif 000020
【図７】
2011141719.tif 000021
【図８】
2011141719.tif 000022
【図９】
2011141719.tif 000023
【図１０】
2011141719.tif 000024