CN102043931B - 一种基于角色权限动态转换的隐私数据访问控制方法 - Google Patents

Abstract

本发明公开了一种基于角色权限动态转换的隐私数据访问控制方法，包括将工作场景与所述隐私数据进行关联，将角色和工作场景进行关联，将用户、角色、工作场景及有效时间段进行关联；用户提出查询数据请求，并提交当前工作场景，判断所述当前工作场景是否属于关联的工作场景，若不是提交查询数据，根据所述第一关联获得隐私数据集合，并判定所述用户的所述查询数据请求是否涉及所述隐私数据集合，根据所述第二关联判断所述用户的角色是否有对应工作场景，根据所述第三关联判断所述用户是否有对应的有效时间段，根据所述第三关联判断当前时间是否在所述有效时间段内。本发明提供了一种基于角色的访问权限可按工作场景动态转换的隐私数据访问控制方法。

Description

一种基于角色权限动态转换的隐私数据访问控制方法

技术领域

本发明涉及一种基于角色权限动态转换的隐私数据访问控制方法。

背景技术

企业信息系统中的数据是业务描述、信息处理、流程分析和工作量统计的基础，如果没有一个数据安全访问控制策略，应用系统内数据的开放性可使用户能随意查询系统的各类数据，存在数据安全隐患，并且造成隐私数据的泄露，所以建立一个灵活、通用、动态、安全的隐私数据访问方法是各行业信息管理应用系统始终在实践和实施的重要功能之一。

同时国际上也相继颁布了对隐私数据安全访问的规范，如1980年经济协作和发展组织(OEDC)发布了在政府工作、商业组织和个人活动中隐私信息保护的指导规范，1996年美国颁布了医疗健康保险携带责任法案(HIPAA，HeathInsurance Portability and Accountability Act of 1996)，制定了对医疗隐私数据访问的控制规范，提出了“对病人隐私数据的访问应满足查询用户的最小需求”。这些指导规范的目地是指隐私数据的查询是细粒度的，需对现有访问控制技术的拓展、在现有解决方法中加入对新技术的应用，以此来建立一个商业的隐私数据访问控制方法。

目前应用系统数据的组织与管理都使用了数据库存储技术，所以对数据的访问都采用了基于角色的安全访问控制技术，这是一种按照部门、职责来划分工作角色，并对这些角色分配对数据的访问权限，从而使具有不同工作角色的用户有不同的数据访问权限。然而这种基于角色的数据访问是一种较宽泛的数据安全访问控制方法，不适应当用户职责变化时要求权限动态转换的情况，也不适应对隐私数据的细粒度查询需求。隐私数据的查询控制方法①与数据安全查询方法②有本质区别，前者是按应用系统业务流程中的数据性质，给数据预先设定一个隐私标签，表示在特定的工作场景下才可查询该数据。譬如：一个患者的信息有身份证、住址、联系电话、治疗方案、用药名称和其它疾病情况，设在一张数据表T中身份证、住址、联系电话、其它疾病情况是隐私数据字段，它们只有医生在出院随访工作场景下才可被读取。当A医生有对T表的访问权限且A不在出院随访工作场景下，按②的方法能查询到T表的全部数据，若按①的方法A医生只能查询到治疗方案、用药名称二个非隐私数据字段，可以看到对隐私数据的查询方法是一个用户权限能随工作场景动态变化，而且是细粒度数据字段(查询控制精确到字段)的查询控制方法。

方法②的实现技术是基于角色的访问控制技术，若用方法②的实现技术就不能实现方法①的功能，因为基于角色的访问控制权限是指对数据库表访问的权限(如可查询上述6个字段的数据值)，并不能实现对一张数据表中某些字段的查询控制，如不能控制对身份证这一数据字段的查询，更不支持角色权限的动态变化。

文献”Privacy-aware Role Based Access Control”在2007年仅提出了一个基于隐私角色的访问控制模型框架，并没有实现该模型。在模型中将数据的操作与角色绑定，以此来描述一条隐私数据访问规则，但绑定是预先设定的(即静态的)，在一个业务流程中一个角色绑定操作不会动态变化。模型没有考虑隐私数据在特定工作场景下被读取的授权情况。

中国专利号“20051000596.6”公开的题为“提高开放业务中隐私数据安全性的方法”，是一种在开放环境下基于策略的控制隐私数据传输的方法，以此保障数据传递给可信的第三方，开放环境如网上书店、物流等，这是一个以数据安全为目的的控制方法。而本发明的应用环境是在一个企业或集团信息系统中(如企业ERP、区域健康档案系统)控制用户对隐私数据的查询，方法不仅包含了数据的安全查询，还考虑了数据的隐私属性，如数据的隐私标签、隐私数据可显示的时间区域、细粒度的数据查询控制，这些属性是上述专利中没有考虑到的。

中国专利号“200780004113.7”公开的题为“基于角色的访问控制”，是一种基于患者定制访问策略的个性化的角色访问控制系统，其中个性化策略通过修改例外表来实现动态策略，再将策略赋予角色、用户。从访问数据而言，在某些工作环境下该数据是隐私的，而有些环境是公开的，关键取决于数据查询用户的环境变量和数据的隐私属性，上述专利中没有考虑这些问题。

然而在普适环境下信息系统的数据访问方法要求用户具有查询最小权限，这样对隐私数据的泄露降到最少，如医院信息系统、保险和银行帐户查询系统等。就医疗信息系统而言，放射科医生只能查询患者的历次放射检查报告、手术数据以及患者的基本信息(如年龄、性别等)，这就是与业务信息相关的最小查询权限。同时患者的用药数据和通讯方式数据等对放射科医生是隐私数据，只有在病例讨论工作场景下才可查询，这是将隐私数据泄漏的几率降到最低。因此上述需求需要一种基于角色的访问权限可按工作场景动态转换的隐私数据访问控制方法。

发明内容

本发明目的是克服现有技术中基于角色访问控制技术对隐私数据查询无法控制的缺陷，改进后的访问控制方法依据工作场景的变化，使用户对数据的访问权限动态转化，适用于各行业信息管理系统中对隐私数据的查询保护。

本发明采用的一种基于角色权限动态转换的隐私数据访问控制方法，应用一包含非隐私数据和所述隐私数据的数据库，所述方法包括：

步骤一，将工作场景与所述隐私数据进行第一关联，将角色和工作场景进行第二关联，将用户、角色、工作场景及有效时间段进行第三关联；

步骤二，根据所述第一关联获得隐私数据集合，并判定所述用户的所述查询数据请求是否涉及所述隐私数据集合，若有转入步骤三，若没有转入步骤七；步骤三，用户提出查询数据请求，并提交当前工作场景，判断所述当前工作场景是否属于所述第一关联的工作场景，若不是转入步骤七，若是转入步骤四；

步骤四，根据所述第二关联判断所述用户的角色是否有对应工作场景，若有转入步骤七，若没有转入步骤五；

步骤五，根据所述第三关联判断所述用户是否有对应的有效时间段，若没有转入步骤七，若有转入步骤六；

步骤六，根据所述第三关联判断当前时间是否在所述有效时间段内，若在则提交所述查询数据请求，若不在则提交非隐私数据给用户；

步骤七，将所述查询数据提交给所述用户。

比较好的是，所述用户与所述角色、所述场景是多对多的关系。

比较好的是，所述查询数据请求包括隐私数据和非隐私数据。

本发明提供了一种对隐私数据的查询保护的良好方法。

附图说明

下面，参照附图，对于熟悉本技术领域的人员而言，从对本发明方法的详细描述中，本发明的上述和其他目的、特征和优点将显而易见。

附图1是根据本发明实现方式的一个拓展模型；

附图2是隐私角色模块组成图；

附图3本发明一较佳实施例的流程图。

具体实施方式

本发明的基本思想是：角色的权限由静态权限和隐私权限组成，用静态角色(S-Role)来定义用户对非隐私数据的访问权限(General Permissions)，用隐私角色(P-Role)来动态分配用户在完成不同业务过程中(在不同工作场景下)对隐私数据的查询权限(Privacy data Permissions)。静态角色S-Role的实现是依靠现有数据库中提供的角色访问控制方法，而隐私角色的实现是本发明的内容。静态角色是是指预先授予的对数据的查询权限，隐私角色是角色在动态工作场景下对隐私数据的查询权限，该权限受权限有效时间区间的约束。

本发明的拓展模型如附图1所示，图中阴影部分代表隐私角色P及其角色的权限，是本发明的内容描述。按基于角色访问控制模型的权限分配公式，拓展后角色的权限由静态权限S和隐私权限P组成，用户、角色与权限分配分配公式如下：

静态角色的权限(GPA)： $\mathrm{GPA}\⊆r\×\mathrm{GP}$

隐私角色的权限(SPA)： $\mathrm{SPA}\⊆r\×\mathrm{PDP}$

角色(R)的权限(PA)： $\mathrm{PA}\⊆(r\×\mathrm{GP})+(r\×\mathrm{PDP})$

用户与角色的分配关系为： $\begin{array}{cc}U\→A\⊆U\×R& \mathrm{UA}\⊆U\×\{(r\×\mathrm{GP})+(r\×\mathrm{PDP})\}\end{array}$

本发明的具体实现思路如下，附图2是隐私角色(P-Role)的组成部分，它由隐私数据与场景关系(P-data)、隐私数据查询基本策略(B-rule)、动态场景查询策略(S-rule)、场景匹配运算(Algo2)和隐私数据处理运算(Algo1)组成。本发明中，

P-Role：是一个隐私动态角色，该角色的权限是随用户的工作场景而动态变化，权限是指能否操作系统中的数据。那么一个用户能否操作一组隐私数据，取决于该用户在特定工作场景下的隐私角色，角色是用户与操作权限之间的中间件。

P-data：是隐私数据的标签，说明了数据对一些在特定业务工作环境下的用户来说，它是一个隐私数据，所以用数据与工作场景的映射关系来表示。

B-rule：基本策略是一个角色与场景映射的静态策略，在应用系统中是预先设定的一个角色在特定环境下对数据的访问规则，在系统环境中这些规则是不变的，是用户对数据访问的充分条件。基本策略关系表中角色与场景的关系是多对多的关系。

S-rule：动态场景查询策略是用户、场景与作用时间的关系，它表示用户只有在一些特例工作场景下才可对隐私数据进行操作，并且这样的操作是有时间限制的。当发出查询请求的用户满足动态查询策略时，只有在规定的时间范围内，才可查询隐私数据。一旦超过时间范围，尽管满足动态策略，查询权限就自动停止。

Algo1：隐私数据处理运算是对用户发出查询数据请求的处理，用于判断这些查询数据是否是隐私数据，并对隐私与非隐私数据予以分离，并找出可以查询这些隐私数据的工作场景。

Algo2：场景匹配运算是对用户当下发出查询请求的工作场景与隐私数据可被查询的场景间的匹配。一个用户当下的场景参数不仅要满足基本策略B-rule中的场景参数，若存在该用户的特例查询策略，还要与动态查询策略S-rule中的场景参数一致，这只是查询的前提条件。当满足前提条件时Algo2还要将当下的场景参数匹配隐私数据的标签。

本发明分用户查询请求A模块和隐私角色权限的动态生成与作用过程模块B，对非隐私数据的查询控制遵循了数据库的访问控制方法，不属于本方法的解决内容，本发明的工作方法是：

A：用户U由于业务需求，在某一工作场景(S’)下要查询一组字段D＝d1，d2，……dn，就会向系统发出一个查询请求，查询参数的传递是一个查询请求函数F()，函数的自变量是用户名和工作场景。

B：是一个隐私角色在不同场景下查询权限的动态生成，并将权限授予用户的过程。权限带有有效时间参数，由场景时效控制单元去计算权限作用的时间。在此过程中有二个隐私策略库，一个是基本隐私策略库，描述了角色与工作场景的映射关系，角色与工作场景是多对多的关系，表示了一个角色在不同工作场景下对数据的访问权限。另一个是动态隐私策略库，描述特殊用户在特殊场景下的临时角色，即该用户具有对数据的临时访问权限。该策略库由动态策略管理单元去控制，调整策略的作用时间、动态维护策略主体(用户)与检查策略的矛盾性。

在本发明中还有一种映射关系是数据隐私标签的设置，它是一种数据与工作场景的映射，是指当用户有查询操作时，由系统定义的应该保护的那部分数据，这些数据能否被查询取决于一项业务流程的不同工作场景，它表示只有在特定环境下数据才可被查询，这样的数据是一个隐私数据。隐私数据与场景关系可表示成函数：F((d1，d2，……dn)，S)。

B0：首先查询参数接口是对用户查询数据的转换和映射，如用户的查询数据、用户的静态角色以及用户所在的工作场景，并将它们作为策略判别运算的参数。

B1：隐私数据处理模块接收查询参数，作隐私数据判别运算，分析查询字段D中是否含有隐私数据。若不包含隐私数据，就不执行隐私角色生成与作用的过程，返回字段D的查询结果，设R＝F(D)。若查询字段D中包含了隐私字段D’(

若D’是D的子集，那么D＝D”+D’，D”是D中的非隐私数据)，处理模块就判别D’可被查询的工作场景S，并与用户当前的工作场景S’作匹配，一旦匹配成功就表明允许在场景S’下查询字段D’。若不匹配，同样返回结果F(D)，这是本发明方法中的第一次匹配运算，即隐私数据与用户场景的匹配。

B2：工作场景处理模块的工作过程是用户是否符合基本隐私策略和动态隐私策略的判别过程。先判断在基本隐私数据查询策略中，用户U的角色是否允许在场景S’下可访问数据，S’是角色的隐私标签，角色在S’下被授予了一组数据的访问权限。这是方法的第二次匹配。若匹配不成功，就查询动态隐私策略，检查是否存在特例用户在特定时间段对隐私数据的访问(B3的执行过程)。匹配成功，返回F(D’)。

B3：动态隐私策略是指工作场景的动态和权限作用时间的动态，策略是指用户U与临时场景的映射以及这些映射关系持续作用的时间范围，这是用户U、角色、场景S’和时间的动态连接，也是方法的第三次匹配。当不匹配时，

B4：只有完成了二次或三次匹配运算时，用户U对隐私数据的查询才被系统接受，此时场景时效控制单元检查权限可持续的时间以控制数据返回，若在持续时间内，那么赋给参数接口的函数是一个结果函数，R＝F(D’)+F(D”)，其中D”+D’＝D，D”是D中的非隐私数据。

实施例

以下是本发明具体实施例的流程说明，该实施例的信息是以医疗领域中患者的电子记录为例，下面定义了实施例中所涉及的5个数据表、1个输入函数、1个输出函数：

表1：患者信息表(本实施例中所要查询的业务表)

编号	姓名	性别	电话	门诊诊断	手术名称
						1	AAA	男	12345678	CCCCC	EEEEE

2

BBB

女

87654321

DDDDD

FFFFF

表2：工作场景范围表(用于定义业务环境中所有的工作场景)

编号	工作场景名称
		1	出院随访
2	门诊诊疗
		3	住院诊疗
4	药物研究

表3：场景与隐私数据映射关系表(定义业务表在不同的工作场景下所具有的隐私数据范围)

编号	业务表名称	工作场景名称	隐私数据名称
				1	患者信息表	出院随访	电话
2	患者信息表	门诊诊疗	门诊诊断
				3	患者信息表	住院诊疗	手术名称

表4：角色与场景映射关系表(定义角色所具有的基本工作场景)

编号	角色	工作场景
			1	医生	住院诊疗
2	随访员	出院随访
			3	研究员	药物研究

表5：用户与场景映射关系表(定义用户在某时间段内所具有的“特例化”场景)

编号	用户	角色	工作场景	有效时间段
					1	TOM	医生	门诊诊疗	周一上午
2	MAY	医生	药物研究	周五全天

函数1：输入函数F_IN()：返回用户基本数据：用户名、用户角色、查询数据。

函数2：输出函数F_OUT()：返回查询结果。

结合流程如图3所示，该流程步骤如下：

步骤500，初始化，建立工作场景范围表，即表2、场景与隐私数据映射关系表，即表3、角色与场景映射关系表，即表4、用户与场景映射关系表，即表5；

步骤501，用户TOM通过用户名登录，请求查询字段集D，例如表1中的“姓名”、“电话”、“门诊诊断”等字段；

步骤502，通过函数F_IN()，获取包括用户，角色，查询字段集D等在内的用户基础参数，例如用户为TOM，角色为医生，以及步骤501中的包括姓名，电话，门诊诊断的查询字段集D的内容；

步骤503，通过工作场景范围表，即表2，用户选择当前工作场景S’，例如门诊诊疗；

步骤504，根据场景与隐私数据映射关系表，即表3，获得患者信息表即表1中的全部隐私字段集Dp，例如Dp＝{电话，门诊诊断，手术名称}，判断用户请求的查询字段集D中是否含有隐私字段，即判断查询字段集D是否部分或全部属于隐私字段集Dp，并提取其中的隐私字段集D’。如果有，则表示该用户查询的内容涉及隐私数据，则继续进行步骤505；如果没有，表明该用户不需要查询隐私数据，则直接转入步骤510；

步骤505，根据查询表3，获得与隐私字段集D’所对应的场景集S，例如对应电话，门诊诊断等隐私数据名称的随访，门诊诊疗等工作场景；

步骤506，判断用户在步骤503中选择的当前工作场景S’是否属于步骤505中的场景集合S{随访，门诊诊疗}，如果属于场景集S，则转入步骤507；如果不属于，则说明用户在当前工作场景S’无权限访问隐私字段数据，直接将查询字段集D中的非隐私字段数据结果提交给用户，转入步骤510；

步骤507，以下步骤用以进一步判断角色与场景之间的关系。

对用户是否符合基本隐私策略和动态隐私策略进行判别。首先根据用户的角色判断表4中是否存在用户的角色与当前工作场景S’的映射关系。若存在，则说明用户在当前工作场景S’下有权限访问隐私字段集D’，转入步骤510；若表4中没有对应该用户角色的工作场景，则进行步骤508，再进一步进行基于动态隐私策略的查询。例如，在本实施例中，用户TOM的角色在当前工作场景S’下，表4中没有与其角色相对应的工作场景记录，进入步骤509；

步骤508，根据表5确定该用户与工作场景映射关系，检查该用户在特定时间段是否具有“特例场景”来访问隐私数据，或者说，在是否有对应用户、角色和工作场景三字段的有效时间段的第四字段。若存在有对应的“特例场景”，则进行步骤509；若不存在对应的特例场景，表明该用户不能在该时段该场景下查询隐私字段内容，则将查询字段集D中的非隐私字段集D”的数据结果提交用户，即转入步骤510。在本说明例中TOM医生在“周一上午”具有“门诊诊疗”的特例场景，所以进入步骤509；

步骤509，根据表5进行当前时间和有效时间段的判断，判断用户当前的查询是否在表5规定的有效时间段内。如果在，则将查询字段内容返回，转入步骤510；如果不在规定的有效时间段内，则将查询字段集D中的非隐私字段D”的数据结果提交用户，即步骤510；

步骤510，根据函数F_OUT()，向用户提交查询数据结果。

前面提供了对较佳实施例的描述，以使本领域内的任何技术人员可使用或利用本发明。对这些实施例的各种修改对本领域内的技术人员是显而易见的，可把这里所述的总的原理应用到其他实施例而不使用创造性。因而，本发明将不限于这里所示的实施例，而应依据符合这里所揭示的原理和新特征的最宽范围。

Claims (3)

1.一种基于角色权限动态转换的隐私数据访问控制方法，应用一包含非隐私数据和所述隐私数据的数据库，所述方法包括：

步骤一，将工作场景与所述隐私数据进行第一关联，将角色和工作场景进行第二关联，将用户、角色、工作场景及有效时间段进行第三关联；

步骤二，用户提出查询数据请求，并提交当前工作场景，根据所述第一关联获得隐私数据集合，并判定所述用户的所述查询数据请求是否涉及所述隐私数据集合，若有转入步骤三，若没有转入步骤七；

步骤三，根据所述第一关联获取所述查询数据请求中隐私数据集合关联的工作场景集合，判断所述当前工作场景是否属于所述查询数据请求中隐私数据集合关联的工作场景集合，若不是转入步骤八，若是转入步骤四；

步骤四，根据所述第二关联判断所述用户的角色是否有对应的所述当前工作场景，若有转入步骤七，若没有转入步骤五；步骤五，根据所述第三关联判断所述用户所属角色在当前工作场景中是否有对应的有效时间段，若没有转入步骤八，若有转入步骤六；

步骤六，根据所述第三关联判断当前查询请求时间是否在所述有效时间段内，若在则转入步骤七，若不在转入步骤八；

步骤七，将所述查询数据提交给所述用户，转入步骤九；

步骤八，将所述查询数据请求中的非隐私数据提交给所述用户；

步骤九，结束。

2.根据权利要求1所述的基于角色权限动态转换的隐私数据访问控制方法，其特征在于，

所述用户与所述角色、所述场景是多对多的关系。

3.根据权利要求1所述的基于角色权限动态转换的隐私数据访问控制方法，其特征在于，所述查询数据请求包括隐私数据和非隐私数据。

Images