CN103745161A - 访问安全控制方法及装置 - Google Patents

Abstract

本发明提供了一种访问安全控制方法及装置，其中的方法包括构建基于语义Web技术的领域知识库（包括领域本体库、领域实例库和领域规则库）和访问控制知识库（包括访问控制本体库、访问历史本体库和访问控制策略规则库）；当用户成功访问领域知识库中的资源时，采用属性实例具体化的方法记录用户访问过的历史内容，同时生成访问控制策略规则；当同一用户再次请求访问领域知识库中的资源时，判断用户本次访问内容与用户访问过的历史内容是否违反制定的访问策略规则，如果违反制定的访问策略规则，则拒绝用户的本次访问请求；否则，允许用户的本次访问请求。利用本发明能够解决因同一用户多次访问内容之间的上下文关联而引发的安全与隐私泄露问题。

Description

访问安全控制方法及装置

技术领域

本发明涉及社会网络服务技术领域，更为具体地，涉及一种防止由同一用户多次访问内容之间的关联而引发的访问安全与隐私泄露问题的访问安全控制方法及装置。

背景技术

社会网络系统（Social networking systems,SNS）正日益成为一个重要的在线应用类型，它可以促进大量用户之间的在线社会互动和信息共享。每个SNS系统，都采用各种方式，竭力鼓动用户通过彼此的交互和内容分享扩展他们的社会关系。

然而，随着用户社会关系的扩大，用户不断地产生内容和信息到这些系统中，这些内容和信息，既包括显式的静态信息，比如上传一张照片、一份文档等，也包括隐含的行为信息，比如通过添加关注、响应邀请等所留下的交互痕迹，由于这些内容都是和用户相关的，可能包含用户隐私敏感的信息，因此，用户的隐私问题的复杂性也同样增加，这些复杂的社会关系的增加，对于隐私敏感信息，就需要更细粒度的控制。

当前主要的SNS（例如Facebook、MySpace）对它们的用户都提供了一些隐私设置。然而，这些系统提供的访问和隐私控制特性通常是非常有限的。此外，这些隐私设置往往是逐步实施的，没有详细的形式化建模，无法验证策略执行的一致性，这对于拥有庞大的用户群和高容量的隐私敏感内容的系统是不适合的。

例如，在Facebook中，用户可以选择隐藏他的关系状态。但和他具有关系的一方如果没有隐藏和他的关系，仍然可以了解到该用户的关系，换句话说，用户无法控制一些可推理的隐私敏感信息的泄露，对于策略的不一致问题，即使一个用户选择不去公开地列出在Facebook中，她将仍然出现在她所加入的组的公开列表中。

现有的基于语义Web技术的访问控制和隐私保护解决方案可以很好地解决由推理引发的隐私敏感信息泄露问题以及策略执行的一致性问题，而且由于该解决方案基于语义Web技术标准，具有很好的可扩展性和适应性。

然而，无论是传统的访问控制与隐私保护解决方案还有现有的基于语义Web技术的访问控制和隐私保护解决方案，都只是对用户的单次访问请求是否合法进行检查，并以此拒绝或授权用户的访问操作。这些解决方案都忽略了一个关键性问题，即没有记录和检查同一用户多次合法访问内容之间的上下文关联，而这种上下文关联可能导致隐私泄露。

例如，在一个健康社区应用中，由于工作需要，某个护士需要打电话给患者进行治疗效果的回访，为此她需要查询系统并获知患者的姓名、电话号码等信息。同时，该护士还需要定期对就诊患者情况进行统计分析，以获知一定时期内患者疾病分布情况和变化趋势，为此该护士需要获知患者的年龄、性别、种族和患病情况。该护士先后独立访问的这两部分信息从访问控制策略上都是合法的，都不会导致患者的隐私泄露，如果该护士将这两部分信息通过某个数据库ID或其他唯一性ID（比如本体中的资源唯一性URI）进行了关联，则导致这两部分信息被关联在一起而引发患者的隐私泄露。

因此，需要提供一种新的防止用户隐私泄露的解决方案。

发明内容

鉴于上述问题，本发明的目的是提供一种访问安全控制方法及装置，以解决因同一用户多次访问内容之间的上下文关联而引发的用户隐私泄露的问题。

本发明提供一种访问安全控制方法，该方法用于防止由同一用户多次访问内容之间的关联而引发的隐私泄露问题，该方法包括两个阶段：

第一阶段

构建基于语义网的领域知识库，领域知识库包括领域本体库、领域实例库和领域规则库；其中，领域规则库用于在将不同的领域本体库进行集成时，建立不同领域本体库之间的语义映射；领域实例库用于存储属性实例和属性实例之间的关系；

构建基于语义网的访问控制知识库，访问控制知识库包括访问控制本体库、访问历史本体库和访问控制策略规则库；其中，访问控制策略规则库存储访问控制策略规则；访问控制本体库用于给访问控制策略规则提供原语；访问历史本体库用于记录用户的访问内容；

当用户成功访问领域本体库的资源时，采用属性实例具体化的方式将用户的访问内容记录在访问历史本体库中；

根据记录在访问历史本体库中的用户的访问内容、访问控制本体库、领域本体库和用户预设的隐私敏感属性集，采用策略规则生成算法生成访问控制策略规则，将生成的访问控制策略规则添入访问控制策略规则库中；

第二阶段

当用户再次请求访问领域本体库的资源时，判断用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容是否违反访问控制策略规则库中添入的访问控制策略规则；其中，

如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容违反访问控制策略规则库中添入的访问控制策略规则，则拒绝用户再次访问领域本体库的资源；否则，如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容未违反访问控制策略规则库中添入的访问控制策略规则，则许可用户再次访问领域本体库的资源。

另一方面，本发明还提供一种访问安全控制装置，该装置用于防止由同一用户多次访问内容之间的关联而引发的隐私泄露问题，该装置包括：

领域知识库构建单元，用于构建基于语义网的领域知识库，领域知识库包括领域本体库、领域实例库和领域规则库；其中，领域规则库用于在将不同的领域本体库进行集成时，建立不同领域本体库之间的语义映射；领域实例库包括属性实例和属性实例之间的关系；

访问控制知识库构建单元，用于构建基于语义网的访问控制知识库，访问控制知识库包括访问历史本体库、访问控制本体库和访问控制策略规则库；其中，访问控制策略规则库存储访问控制策略规则；访问控制本体库用于给访问控制策略规则提供原语；访问历史本体库用于记录用户的访问内容；

属性实例记录单元，用于当用户成功访问领域本体库的资源时，采用属性实例具体化的方式将用户的访问内容记录在访问历史本体库中；

访问控制策略规则生成单元，用于根据记录在访问历史本体库中的用户的访问内容、访问控制本体库、领域本体库和用户预设的隐私敏感属性集制定访问控制策略规则，采用策略规则生成算法生成访问控制策略规则，将生成的访问控制策略规则添入访问控制策略规则库中；

访问控制策略规则判断单元，用于当用户再次请求访问领域本体库的资源时，判断用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容是否违反访问控制策略规则库中添入的访问控制策略规则；其中，

如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容违反访问控制策略规则库中添入的访问控制策略规则，则拒绝用户再次访问领域本体库的资源；否则，如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容未违反访问控制策略规则库中添入的访问控制策略规则，则许可用户再次访问领域本体库的资源。

利用上述根据本发明的访问安全控制方法及装置，能够取得以下有益效果：

1）通过属性实例具体化的方法记录用户的历史访问内容，当同一访问主体再次访问时，系统通过上下文关联约束规则检测访问主体的本次访问内容与历史访问内容之间是否存在因关联而引发的隐私泄露问题，如果存在，将通过否定授权的机制拒绝用户的本次访问请求。

2）通过增加否定授权的机制，扩展了访问控制策略规则的灵活性和健壮性，在发生授权冲突时，出于安全考虑，否定授权比肯定授权优先级高。

3）在特定的领域中，系统可以基于公认的隐私内容类型向用户建议（允许用户基于此进行编辑）或由用户自行设置安全和隐私敏感属性集，本发明提供的算法可以自动为用户生成上下文关联约束规则集。使得隐私策略设置更加智能、人性化。

4）采用基于图模式的存储机制存储语义知识库（领域本体库、访问控制本体库、访问历史本体库），并基于语义知识库的结构设计，对领域本体库中的资源拥有者、访问控制本体库中的授权主体、访问历史本体库中的访问主体分别建立索引，可以满足实际应用的性能需求。

为了实现上述以及相关目的，本发明的一个或多个方面包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明了本发明的某些示例性方面。然而，这些方面指示的仅仅是可使用本发明的原理的各种方式中的一些方式。此外，本发明旨在包括所有这些方面以及它们的等同物。

附图说明

通过参考以下结合附图的说明及权利要求书的内容，并且随着对本发明的更全面理解，本发明的其它目的及结果将更加明白及易于理解。在附图中：

图1为根据本发明实施例的访问安全控制方法的流程图；

图2为根据本发明实施例的领域本体库的结构示意图；

图3为根据本发明实施例的访问控制本体库的结构示意图；

图4为根据本发明实施例的授权、拒绝、许可和禁止原语的定义图；

图5为根据本发明实施例的访问历史本体库的结构示意图；

图6为根据本发明实施例的访问操作原语的定义图；

图7为根据本发明实施例的策略规则生成算法的流程；

图8为Sesame RDF框架中基于MySQL的RDF存储的结构摘录片段图；

图9为根据本发明实施例的访问安全控制装置的逻辑结构图。

在所有附图中相同的标号指示相似或相应的特征或功能。

具体实施方式

在下面的描述中，出于说明的目的，为了提供对一个或多个实施例的全面理解，阐述了许多具体细节。然而，很明显，也可以在没有这些具体细节的情况下实现这些实施例。在其它例子中，为了便于描述一个或多个实施例，公知的结构和设备以方框图的形式示出。

为了解决上述问题，本发明采用属性实例的具体化方法记录用户每次成功访问的内容；根据用户预设的安全/隐私敏感属性集、领域本体库、访问控制本体库和访问历史本体库，并基于策略规则生成算法，生成访问控制策略规则；基于用户的历史访问内容和用户的本次访问请求进行上下文关联约束检查，如果发现该访问请求违反生成的访问策略规则，则拒绝用户本次访问请求，禁止用户访问。

以下将结合附图对本发明的具体实施例进行详细描述。

图1示出了根据本发明实施例的访问安全控制方法的流程。

如图1所示，本实施例所示的访问安全控制方法包括如下步骤：

S100：构建基于语义网的领域知识库，领域知识库包括领域本体库、领域实例库和领域规则库；领域知识库可包括多个领域本体库和领域实例库；其中，领域本体库用于定义领域中公认的概念、属性关系；领域实例库基于领域本体库中的概念和属性关系标注领域知识库中相应的属性实例及属性实例之间的语义关系；领域规则库用于在将不同的领域本体库和领域实例库进行集成时，建立不同领域本体库和领域实例库之间的语义映射（即语义对齐）。

其中，语义网是一种智能网络，它不但能够理解词语和概念，而且还能够理解它们之间的逻辑关系，可以使交流变得更有效率和价值，构建基于语义网的领域知识库就是构建基于语义web技术的领域本体库，同理，下面构建基于语义网的访问控制知识库也是构建基于语义web技术的访问控制知识库。

其中，领域本体库是本体的集合，同时也是资源的集合，在领域本体库中，一切资源（包括属性资源）都具有上下文语义关系，它们的基本单元是三元组（triples），又称为三元组（Statements）。在同一名称空间（例如http://www.example.com/ontologies/2013/5/dso.owl#）中，资源的ID（例如p0001a）是唯一的，但本身是没有任何含义的（尽管有时候采用以某种语言表示的可识别名称），它只是机器可读的。资源的语义是通过与资源关联的上下文语义关系来表达的，上下文语义关系越丰富，对资源的语义描述也就越准确。

其中，领域规则库用于在将多个领域本体库进行集成时，建立不同本体库之间的概念、属性和实例之间的语义映射，比如表达语义等价、相同实例、不同概念或实例等；还用于基于领域本体库中的显式事实推理出隐含的事实，这样可以减少本体库的规模。

其中，领域实例库用于存储属性实例和属性实例之间的关系；通常使用的时候，领域实例库和领域本体库可以放在一个库中，即既有概念和属性定义也有实例和属性实例关系，但优选方式是将概念和属性的定义放到领域本体库中，而实例及属性实例关系放到实例库中，以方便维护和推理，但这两个库必须一起使用，即使分开的情况下，一些枚举实例也可以放到本体库中，也即是否分开不影响实现。所以更准确地应该说，属性实例位于领域知识库（包括本体库、实例库和规则库）中

本实施例将领域本体库的名称空间定义为ds，图2示出了根据本发明实施例的领域本体库的结构，如图2所示，图中的p0001b、m.0c58k、PR_张三都表示资源ID，用于标识它们各自所属的资源。

S101：构建基于语义网的访问控制知识库，访问控制知识库包括访问控制本体库、访问历史本体库和访问控制策略规则库；其中，访问控制策略规则库存储访问控制策略规则；访问控制本体库用于给访问控制策略规则提供原语；访问历史本体库用于记录用户的访问内容。

其中，访问控制本体库给访问控制策略规则提供的原语包括属性、属性实例和概念。

其中，记录在访问历史本体库中的用户的访问内容包括访问主体、访问客体和访问操作。

需要说明的是，构建的领域知识库和构建的访问控制知识库统称为语义知识库，领域知识库和访问知识库都是语义知识库的一种。

为了实现高效的、语义丰富的访问控制决策，本发明实施例在一个单独的访问控制本体中捕获与访问控制策略相关的信息（访问控制本体库提供给访问控制策略规则的原语，比如授权和许可原语），本发明实施例将该本体的名称空间定义为ac，访问控制本体库示例如图3所示。

下面将对访问控制本体库中概念和关系的定义进行详细的说明：

1、属性实例：在SNS系统中，一切资源（实体）都是有所属的，比如，王二的病历、张三有糖尿病、王二和张三是病友、张三是健康顾问李四的会员等。在相应的领域本体库中，通过三元组来表示实体之间的语义关系，比如“ds:p0001c，ds:owns，ds:Patient_Record123”、“ds:p0001a，ds:hasDisease，ds:m.0c58k”、“ds:p0001b，ds:myMembers，ds:p0001a”等。这样，在语义级别，对某个资源的访问，实际上就是对某个三元组关系的访问，比如访问王二的健康档案、查询张三是否有糖尿病、查询王二的病友等等。

同样，为确保对基本的数据实体和它们之间的关系的同时保护，本发明实施例将属性实例作为保护对象。当前的语义Web规范（例如OWL）并不支持属性实例的表示，本发明使用类似函数的标记表示OWL属性实例。例如：rdf:type(ds:Person,owl:Class)使用属性rdf:type在RDF本体上下文中定义ds:Person为一个新的OWL类型；在RDF本体上下文中，属性实例称为三元组。在一个诸如ds:owns(ds:p0001c,ds:Patient_Record123)这样的三元组中，ds:owns是属性，ds:p0001c是属性的主体，ds:Patient_Record123是属性的值或客体。

2、访问主体：指发出访问请求的用户，为ds:Person的一个实例，例如李某某。

3、属性实例具体化：属性实例即三元组，由“主体+属性+客体”构成，为基于语义Web技术构建的领域知识库的基本构成单元。所述用户访问的领域知识库中的资源，使用属性实例进行表达。对于领域知识库中的每个属性，在访问控制本体库中对应有一个属性类，所有属性类有一个共同的父类，用于表达一个属性类型的概念。该父类具有两个用于表达属性实例被具体化后所对应的主体和客体的属性，所有子属性类都继承并具有这两个属性；这样，领域知识库中的属性实例被具体化为对应于访问控制本体库中相应属性类的实例，同时该实例通过属性类的两个属性表达被具体化的属性实例的对应主体和客体。

本发明将领域本体库中的属性实例作为被保护的资源，属性类ac:p_property充当ds中属性的抽象具体化，属性ac:pSbj和ac:pObj分别关联属性类ac:p_property到ds中，对应属性的主体和客体。在领域本体库中的每一个属性ds:x，在访问控制本体中对应有一个属性类ac:p_x，该属性类是属性类ac:p_property的子类。这样，在ds中的一个关系，例如ds:hasDisease(ds:p0001a,ds:m.0c58k)，在ac中对应表示为属性类ac:p_hasDisease的一个实例，即rdf:type(ds:hasDisease,ac:p_hasDisease)；它的主体和客体分别使用关系ac:pSbj(ds:hasDisease,ds:p0001a)和ac:pObj(ds:hasDisease,ds:m.0c58k)进行关联。

4、授权主体：使用属性ac:hasPrincipalAuthority为每一个ds中的类实例分派一个唯一的授权主体，这个授权主体最可能是客体的创建人或发起人，这由系统来判定。在实践中，授权主体可以基于ds中捕获的其他属性得出，诸如可能在一个ds:Person实例和一个ds:Entity实例之间定义的ds:owns或ds:created属性。

5、授权：由用户发出授权去授权主体访问某个属性实例。属性ac:authorizes抽象地关联发出授权的用户（ds:Person的实例）到将被访问的具体化的实例（ac:p_property的后裔的实例）。授权取决于访问模式，将使用ac:authorizes的某个后裔，这包括ac:authorizesRead、ac:authorizesDelete或ac:authorizesInsert等。

6、许可：为访问主体指定授权的访问许可，通常基于用户级的授权得出。许可取决于访问模式，将使用属性ac:permitted的某个后裔，这包括ac:permittedRead、ac:permittedDelete或ac:permittedInsert等。

图4示出了根据本发明实施例的授权、拒绝、许可和禁止原语的定义，如图4所示，属性rdf:Property定义了四种原语分别为授权（authorizes）、拒绝（deny）、许可（permitted）和禁止（prohibited）；其中，

授权（authorizes）包括三种后裔：授权读取（authorizesRead）、授权删除（authorizesDelete）和授权插入（authorizesInsert）；

拒绝（deny）包括三种后裔：拒绝读取（denyRead）、拒绝写入（denyWrite）和拒绝删除（denyDelete）；

许可（permitted）包括三种后裔：许可读取（permittedRead）、许可删除（permitted Delete）和许可插入（permitted Insert）；

禁止（prohibited）包括三种后裔：禁止读取（prohibited Read）、禁止写入（prohibited Write）和禁止删除（prohibited Delete）。

在本体中捕获与访问控制策略相关的信息不止上述四种原语，还包括控制本体库中的其他的原语。

S102：当用户成功访问领域本体库的资源时，采用属性实例具体化的方式将用户的访问内容记录在访问历史本体库中。

为了实现基于同一用户多次访问上下文的关联约束，需要建立相应的访问控制策略规则，而访问控制策略规则需要依赖用户访问历史本体知识库进行推理，图5示出了根据本发明实施例的访问历史本体库的结构。

如图5所示，历史本体库的结构为用户的历史访问内容，其包括记录用户的访问操作（hasAccessed）和访问客体（用户访问的资源），由于访问操作和资源都是基于三元组构成的，所以实际记录用户的历史访问内容是属性实例。

图6示出了根据本发明实施例的访问操作原语的定义，如图6所示，属性rdf:Property定义了原语：访问操作（hasAccessed），其中，访问操作（hasAccessed）包括三种操作分别为：读取（hasRead）、写入（hasWrite）和删除（hasDelete）。

S103：根据记录在访问历史本体库中的用户的访问内容、访问控制本体库、领域本体库和用户预设的隐私敏感属性集，采用策略规则生成算法生成访问控制策略规则，将生成的访问控制策略规则添入访问控制策略规则库中

需要说明的是，本发明实施例使用SWRL（语义Web规则语言）的抽象语法规则来编码访问策略规则，抽象语法规则的形式如下：

antecedent→consequen t

在抽象语法规则中，前提（antecedent）又称为规则体（body），结果（consequent）又称为规则头（head）。前提和结果都可以是多个原子/元素（atoms）的结合/合取：a1∧...∧an；原子/元素又称为谓词（predicates），可以是一元谓词或二元谓词，分别表示一个类或者一个属性，记号“?x”用于声明谓词中的变量x，x绑定到一个类实例。在谓词中也可以直接使用实例名。

规则的匹配顺序以及规则体中各个合取条件的执行顺序并不一定按照该顺序执行，但一旦规则体匹配成功，规则头中的各个推理结论是按从左往右执行的。规则集中的一些规则通过相互依赖共同完成某次访问请求的合法性的推理判断，一旦发现某个规则依赖另一条规则，将按照规则依赖顺序依次进行推理判断。只有满足依赖顺序中最后一条规则的规则体中的合取条件集时，才能最终得出推理结果，即肯定或否定授权。

为了在抽象语法规则中有效地表达属性实例具体化为受保护的资源，本发明实施例引入如下的表示语法：

表达式[?rsc←sn:p(s,o)]表示?rsc作为受保护的关联属性主体s到属性客体o的属性ds:p的具体化属性实例，也就是说：[?rsc←sn:p(s,o)]=ac:p_p(?x)∧ac:pSbj(?x,s)∧ac:pObj(?x,o)。

本发明实施例的访问策略规则两个级别：用户级和系统级。在用户级，每个用户可以就个人拥有的资源定制灵活的访问授权策略规则，在系统级的访问策略规则治理整个系统的安全与隐私策略。由于某些受保护资源可能关联多个授权方用户（比如患者与医生或者顾问之间的关系，如果要访问此关系，需要患者和医生或顾问的同时授权），所以系统级的访问策略规则需要通过聚合用户级的授权来判断是否对受保护的资源提供了合适的授权，即最终的许可需要通过系统级的访问策略规则来授权。

另外，在系统级还可以制定直接授权规则（肯定授权），这些规则不需要用户授权方的参与，这样的设计是为了满足某些特定应用场景的需求，比如，当资源的所有者仅访问属于自己的资源时，就不需要再经历用户级授权；无论系统的访问控制策略规则多么严格，但总有某些不可控的情况发生，需要不授权地访问系统数据等等。

为了支持对用户多次合法访问内容的上下文关联约束规则的定义，访问策略规则需要支持否定授权，如果出现授权冲突，否定授权的优先级高于肯定授权。同时否定授权的支持还适用于很多其他特定的应用场景，比如简化访问控制策略规则的定义以及解决基于本体知识和规则推理的授权传播问题。

下面对用户级访问策略规则和系统级策略规则进行详细的说明。

一、系统级策略规则

根据所述访问控制本体库中的所述许可、所述授权、所述属性实例与所述访问历史本体库中的所述访问主体、所述访问客体和所述访问操作，采用策略规则生成算法生成所述系统级策略规则。

系统级访问控制策略规则由管理员制定，其格式如下：

需要说明的是：

1）[?rsc←sn:p(s,o)]表示受保护资源也就是属性实例；p表示零个或多个ds中概念、谓词或ac:hasPrincipalAuthority的合取（conjunction），用于更具体地表示规则适用的场景，这里称P为规则扩展语句。

2）基本授权规范规则的规则体，包括一个或多个ac:authorizes或ac:deny谓词的集合，这表明对特定受保护资源的授权许可关系多个用户的授权。这意味着，基于用户级的授权来授权许可。

3）在本文档中，为了定义规则，仅仅使用抽象的授权和许可谓词。例如，在个人授权格式中，使用ac:authorizes或ac:deny。然而，一条实际的规则需要使用它的某个后裔。

二、用户级策略规则

根据所述访问控制本体库中的所述授权、所述属性实例与所述访问历史本体库中的所述访问主体、所述访问客体和所述访问操作，采用策略规则生成算法生成所述用户级策略规则。

由用户对他们拥有的资源制定用户级的访问策略规则，用户级的访问策略规则的实际有效性还需要根据系统授权规则来判定。用户级根据需要可以灵活制定多种类型的授权规则，比如多次访问内容之间上下文的关联约束规则、代理授权规则、多方授权规则等，除了多次访问内容之间上下文的关联约束规则，其它类型的授权规则可以分别制定肯定和否定授权。这里只对访问主体多次访问内容之间上下文的关联约束规则进行说明。

访问主体多次访问内容之间的上下文关联约束策略规则的格式：

其中，

ds:Person(?sbj)表示确定访问主体（?sbj）为ds:Person类型，即确保参数的合法性；

表示n个属性实例的合取，即判断用户当前访问的内容和历史访问的多个内容之间是否构成了隐私泄漏；

ah:hasAccessed(?sbj，?rsc_i)表示针对合取式中的每一个属性实例，用户都访问过它；hasAccessed是一个父属性，有多个子属性表达实际的访问模式，由于语义Web规则本身可以进行父子属性的推理，所以规则只需要定义在父属性即可，同时也适用于子属性。

需要说明的是：

1）多次访问内容的上下文关联约束规则表示为：如果用户已经访问过某些信息将不允许再访问另一信息或另一些信息。

2）和系统级策略规则相似，用户级策略规则在规则体包括一个规则扩展语句R和一个具体化的属性实例（受保护的资源）。R是零个或者多个ds中概念或谓词的合取。

3）在规则头中，所有的用户级访问策略规则有一个ac:authorizes或ac:deny的后裔；这个谓词的第一个参数必须是指定授权的用户，否则，用户授权可能被滥用。

4）最终的授权安全还需要由系统级规则来保证。

5）多次访问内容的上下文关联约束规则只制定否定授权。

上述说明了系统的策略架构以及同一用户多次访问内容之间的上下文关联约束规则的规范，对于用户拥有的资源，哪些是与用户的安全和隐私相关的，其实是需要用户来判断的，但在特定的领域中，也有一些公认的安全和隐私内容类型，另外，在某些情况下，用户必须要将涉及到自己隐私的内容共享给他人（比如，患者为了获取准确的诊断结果，必须向医生和健康顾问共享自己的健康档案，甚至患者家庭成员的疾病史等信息）。在这些拥有复杂资源类型和语义关系以及多样化的需求的情况下，如何让用户快速制定符合自己需求的安全和隐私保护策略规则就非常必要了。接下来说明如何通过自动化的方式实现用户多次访问内容之间的上下文关联约束规则的快速生成。

用户的每次访问请求，都应该包括三部分内容，可以表示为（s,o,m），其中s表示访问主体，即发出访问请求的用户；o表示访问的目标集，在语义Web环境下为属性实例集；m表示访问模式，比如增、删、改、查等。我们先列举并分析一些可能导致隐私泄露的情况：

（1）访问者先获知某个为ds:Person类型的资源的身份ID和姓名信息，继而获知该资源有糖尿病，从而知道某人患有糖尿病。

（2）访问者先获知某个为ds:Person类型的资源的症状信息，并继而根据这些症状信息推断为糖尿病，最终推断该人患有糖尿病。

（3）访问者先获知某个为ds:Person类型的资源的父母患有糖尿病，进而推断该人有糖尿病风险。

从上面的示例可知，最终的隐私泄露，需要将某个用户（以姓名和身份ID进行标识）和疾病（以疾病ID对应的疾病名称标识）进行关联。因为语义知识模型中的资源ID只是为了区分资源，本身是没有语义的，是机器可读的，而不是人可读的。访问者也是借助机器通过资源ID将资源相关的上下文信息聚合起来，从而获知对于访问者来说有用的信息，而这些信息可能就包含了资源的隐私敏感内容。

总的来说，用户级策略规则包括关联约束规则集为关联约束规则的集合，通过该预设的隐私敏感属性集结合策略规则生成算法可以生成上述关联约束规则集。

具体地，隐私敏感信息一定是围绕某个类型为ds:Person的资源ID的相关上下文信息进行聚合而得到的，类型为ds:Person的资源的上下文，也就是rdfs:domain为ds:Person的所有属性的值，于是，用户在进行隐私敏感信息需求分析后，只要从这些属性中抽取出一个隐私敏感信息属性子集作为输入，便可以生成防止由多次访问内容的上下文关联推理而导致隐私泄露的关联约束规则集，例如P={hasIDCardNumber,hasDisease,hasSymptom,…}。针对特定领域中一些公认的隐私内容类型，系统可以向用户建议隐私敏感信息属性项供用户选择或者编辑。

下面给出相应的策略规则生成算法：

其中，

DSO表示领域本体知识库，名称空间为ds；

ACO表示访问控制本体库，名称空间为ds；

AHO表示访问历史本体库，名称空间为ah；

AB表示授权策略规则库；

PP表示用户设定的隐私敏感内容属性集；

(sbj,PI,mode)表示访问请求，假定用户的访问模式为只读访问，PI为访问目标属性实例集；

pi、pj表示属性实例；

pj.sbj表示属性实例pi的主体；

pj.prop表示属性实例pj的谓词；

R表示所有if条件的合取（conjunction）式，作为策略规则体。

对应于上述生成算法，图7示出了根据本发明实施例的生成算法的流程，如图7所示，生成算法的流程包括：

S701：加载初始化参数。

加载DSO、ACO、AHO、AB、PP、(sbj,PI,mode)初始化参数。

S702：循环处理访问目标属性实例集中的每一个属性实例。

S703：判断属性实例pi是否在SKB（Semantic Knowledge Base，语义知识库）中存在并且sbj为ds:Person的实例；如果是，则执行步骤S604；如果否，则执行步骤S602。

S704：判断在访问历史本体库中是否存在属性实例pj并且sbj为属性实例pj的主体；如果是，则执行步骤S605；如果否，则执行步骤S602。

S705：判断属性实例pi和属性实例pj都存在于用户设定的隐私敏感内容属性集中；如果是，则执行步骤S606；如果否，则执行步骤S602。

S706：向授权策略规则库中添加上下文关联约束规则。

S707：循环结束。

需要说明的是，访问控制本体是服务于系统级和用户级访问策略规则的，访问历史本体服务于用户级访问策略规则中的上下文关联约束规则，或者，说访问历史本体是用于补充访问控制本体的不足的，系统级访问策略规则和用户级访问策略规则都是服务于策略规则的描述和规则推理结果的描述。

S103：当用户再次请求访问领域本体库的资源时，判断用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容是否违反访问控制策略规则库中添入的访问控制策略规则；其中，

如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容违反访问控制策略规则库中添入的访问控制策略规则，则拒绝用户再次访问领域本体库的资源；否则，如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容未违反访问控制策略规则库中添入的访问控制策略规则，则许可用户再次访问领域本体库的资源。

需要说明的是，当用同一户再次发出访问请求时，将访问主体（该用户）的访问请求转换为基于本体的RDF描述，然后将这个RDF描述、语义知识库和规则交给推理引擎，由推理引擎执行上下文关联约束规则，得到否定授权（ac:deny）描述，进而得到禁止访问许可（ac:prohibitted），推理引擎然后将否定授权描述和禁止访问许可以三元组的形式加入访问控制本体，最后通过SPARQL查询是否存在禁止访问许可（ac:prohibitted）这样的三元组就可以判断是否返回用户这次的访问请求内容还是返回拒绝访问的消息，也就是说，实际执行部分为推理引擎，本发明提供的访问安全控制装置是通过集成在推理引擎上实现其功能的。

下面将从另一个方面对本发明实施例进行说明。

语义知识库是由三元组构成的一张语义网（有向图），该语义网遵循RDF标准，而传统的关系数据存储依赖于正确定义的、静态的结构来提升性能，因为灵活的RDF模型和传统的关系数据存储无法很好地兼容工作，所以如何高效地存储和访问RDF就成为了一个极受关注的研究领域。基于关系数据库的RDF存储使用数据表来存储主语、谓语和宾语构成的三元组，为了提供对常见三元组的快速检索，它们通常需要保存RDF、RDFS和OWL词汇表。

本发明采用基于图模型的数据结构直接地存储基于RDF模型的语义知识库，以高度的区域性（这就是说它们的存储位置相互临近）将共享相同资源（这些资源可能作为陈述主语、谓语或者宾语）的陈述安置到了一个连续的链接列表中。

考虑到访问控制关注的是领域知识库中与人相关的资源的访问权限、访问控制授权与许可基于的是访问控制本体库中授权主体做出的授权、上下文关联约束规则关注的是同一访问主体多次访问内容之间的关联，这里按领域知识库中的资源拥有者、访问控制本体库中的授权主体、访问历史本体库中的访问主体分别建立索引，以链接具有相同资源（人）的陈述，以实现基于图模式的快速查询和访问控制策略规则的快速执行。

在对语义知识库进行查询时，采用基于语义层的三元组图模式匹配方式查询领域知识库中的资源、访问历史本体库中的用户访问历史以及规则推理结束后得到的访问控制本体库中的授权和许可结果。这种查询方式不仅理解RDF数据模型的语法，而且理解RDF数据模型中词汇的语义。

图8示出了Sesame RDF框架中基于MySQL的RDF存储的结构摘录片段，如图8所示，该图说明了使用关系数据库实现三元组存储的常用方法，图8中给出了数据库中的两个表：triples和resources。其中，triples表包含了一个知识库中所有三元组的列表，并且说明了每条三元组是显式三元组还是蕴含三元组；resources表中有一个关于知识库中每个rdf:Resource实例的列表，该列表中还记录了每个实例的名称空间和本地名称（合起来就组成了该资源的URI）。对基于RDF的三元组存储进行查询效率并不高，因为需要对整个表进行多次连接（join）和扫描。当扫描三元组存储中数据的本体预先知道时，那么使用列索引和专门针对该本体中元素的附加表（additional table）就能够提升查询的性能。

因此，本发明采用基于图模型的RDF存储来对语义知识库中所包含的三元组进行持久化，其思路如下：

1）基于图模型的RDF存储是一种能够更加直接地对RDF数据的结构进行建模的数据结构，它可以缓解基于关系模型存储的性能问题，给定一条特定的三元组，基于图的存储能够提供一种高效方式来定位与之共享相同资源（主语、谓语和宾语）的三元组，因为按照这种设计，它们会以高度的区域性（这就是说它们的存储位置相互临近）进行存储；常见的基于图的RDF存储的实现使用了相互链接的三元组列表，这样每条共享相同资源（这些资源可能作为三元组主语、谓语或者宾语）的三元组就被安置到了一个连续的链接列表中，或者使用特殊的索引数据结构来链接在RDF图中相邻（连接）的三元组，这样就提供了一种机制，可以快速遍历包含某一特定资源（在三元组中作为主语、谓语或者宾语）的所有三元组。

这种设计的特性与RDB方法中的列索引和附加表十分类似，然而，基于图的实现方法有更为一般的用途，而且并不需要用到与数据一同存储的高级知识。

2）访问控制关注的是领域知识库中与人相关的资源的访问权限，访问控制授权与许可基于的是访问控制本体中授权主体做出的授权，用户多次访问内容之间的上下文关联约束规则关注的是访问主体的历史访问记录。可见，为了对持久化的语义知识库的快速访问，本发明的三元组存储对领域知识库中的资源拥有者、访问控制本体中的授权主体、访问历史本体库中的访问主体分别建立索引，以实现基于人的三元组快速查询。

上述以示例的方式说明了本发明提供的访问安全控制方法，通过三元组具体化的方法记录用户的历史访问内容，当同一用户再次访问时，系统通过上下文关联约束规则检测访问主体的本次访问内容与历史访问内容之间是否存在因关联而引发的隐私泄露问题，如果存在，将通过否定授权的机制拒绝用户的本次访问请求。

与上述方法相对应，本发明还提供一种访问安全控制装置，所述装置用于防止由同一用户多次访问内容之间的关联而引发的隐私泄露问题。

图9示出了根据本发明实施例的访问安全控制装置的逻辑结构，如图9所示，访问安全控制装置900包括：

领域知识库构建单元901，用于构建基于语义网的领域知识库，领域知识库包括领域本体库、领域实例库和领域规则库；其中，领域规则库用于在将不同的领域本体库进行集成时，建立不同领域本体库之间的语义映射；领域实例库包括属性实例和属性实例之间的关系；

访问控制知识库构建单元902，用于构建基于语义网的访问控制知识库，访问控制知识库包括访问历史本体库、访问控制本体库和访问控制策略规则库；其中，访问控制策略规则库存储访问控制策略规则；访问控制本体库用于给访问控制策略规则提供原语；访问历史本体库用于记录用户的访问内容；

属性实例记录单元903，用于当用户成功访问领域本体库的资源时，采用属性实例具体化的方式将用户的访问内容记录在访问历史本体库中；

访问控制策略规则生成单元904，用于根据记录在访问历史本体库中的用户的访问内容、访问控制本体库、领域本体库和用户预设的隐私敏感属性集制定访问控制策略规则，采用策略规则生成算法生成访问控制策略规则，将生成的访问控制策略规则添入所述访问控制策略规则库中；

访问控制策略规则判断单元905，用于当用户再次请求访问领域本体库的资源时，判断用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容是否违反访问控制策略规则库中添入的访问控制策略规则；其中，

如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容违反访问控制策略规则库中添入的访问控制策略规则，则拒绝用户再次访问领域本体库的资源；否则，如果用户再次访问领域本体库的资源的内容与记录在访问历史本体库中的用户的访问内容未违反访问控制策略规则库中添入的访问控制策略规则，则许可用户再次访问领域本体库的资源。

其中，在访问控制知识库构建单元902中，访问控制本体库给访问控制策略规则提供的原语包括授权、授权主体、许可属性实例；在属性实例记录单元903中，记录在访问历史本体库中的用户的访问内容包括访问主体、访问客体和访问操作；

另外，访问策略规则生成单元还可以包括系统级策略规则生成模块（图未示出）和用户级策略规则生成模块（图未示出）。具体地，系统级策略规则生成模块，用于根据所述访问控制本体库中的许可、属性实例与访问历史本体库中的访问主体、访问客体和访问操作，采用策略规则生成算法生成支持肯定授权和否定授权的系统级策略规则；用户级策略规则生成模块，用于根据访问控制本体库中的授权、属性实例与访问历史本体库中的访问主体、访问客体和访问操作，采用策略规则生成算法生成支持肯定授权和否定授权的用户级策略规则；当系统级策略规则生成模块和用户级策略规则生成模块中的肯定授权和否定授权出现授权冲突时，否定授权的优先级高于肯定授权的优先级；并且，用户级策略规则生成模块只允许访问请求的授权，系统级策略规则生成模块通过聚合用户级策略规则生成模块的授权结果对访问请求的许可做出判断。

其中，用户级策略规则包括关联约束规则集；用户级策略规则生成模块进一步包括隐私敏感属性集生成模块（图未示出），用于根据用户预设的隐私敏感属性集采用策略规则生成算法生成只支持否定授权的所述关联约束规则集。

其中，访问安全控制装置900还包括知识库存储单元和索引建立单元（图未示出）。其中，知识库存储单元用于采用基于图模型的数据结构存储基于语义网的领域知识库和所述访问控制知识库；索引建立单元用于对领域本体库中的资源的拥有者、访问控制本体库中的授权主体、访问历史本体库中的访问主体分别建立索引。

如上参照附图以示例的方式描述了根据本发明提出的访问安全控制方法及装置，以防止由同一用户多次访问内容之间的关联而引发的安全与隐私泄露的问题。但是，本领域技术人员应当理解，对于上述本发明所提出的访问安全控制方法及装置，还可以在不脱离本发明内容的基础上做出各种改进。因此，本发明的保护范围应当由所附的权利要求书的内容确定。

Claims (10)

1.一种访问安全控制方法，所述方法用于防止由同一用户多次访问内容之间的关联而引发的隐私泄露问题，所述方法包括两个阶段：

第一阶段

构建基于语义网的领域知识库，所述领域知识库包括领域本体库、领域实例库和领域规则库；所述领域知识库包括多个领域本体库和领域实例库其中，

所述领域本体库用于定义领域中公认的概念、属性关系；

所述领域实例库基于领域本体库中的概念和属性关系标注领域知识库中相应的属性实例及属性实例之间的语义关系；

所述领域规则库用于在将不同的领域本体库和领域实例库进行集成时，建立不同领域本体库和领域实例库之间的语义映射；

构建基于语义网的访问控制知识库，所述访问控制知识库包括访问控制本体库、访问历史本体库和访问控制策略规则库；其中，

所述访问控制策略规则库存储访问控制策略规则；

所述访问控制本体库用于给所述访问控制策略规则提供原语；

所述访问历史本体库用于记录用户的访问内容；

当所述用户成功访问所述领域本体库的资源时，采用属性实例具体化的方式将所述用户的访问内容记录在所述访问历史本体库中；

根据记录在所述访问历史本体库中的用户的访问内容、所述访问控制本体库、所述领域本体库和所述用户预设的隐私敏感属性集，采用策略规则生成算法生成访问控制策略规则，将所述生成的访问控制策略规则添入所述访问控制策略规则库中；

第二阶段

当所述用户再次请求访问所述领域本体库的资源时，判断所述用户再次访问所述领域本体库的资源的内容与记录在所述访问历史本体库中的用户的访问内容是否违反所述访问控制策略规则库中添入的所述访问控制策略规则；其中，

如果所述用户再次访问领域本体库的资源的内容与记录在所述访问历史本体库中的用户的访问内容违反所述访问控制策略规则库中添入的所述访问控制策略规则，则拒绝所述用户再次访问领域本体库的资源；否则，如果所述用户再次访问领域本体库的资源的内容与记录在所述访问历史本体库中的用户的访问内容未违反所述访问控制策略规则库中添入的所述访问控制策略规则，则许可所述用户再次访问领域本体库的资源。

2.如权利要求1所述的访问安全控制方法，其中，所述属性实例具体化的方式为：

领域本体库中每个资源的属性在访问控制本体库中对应一个属性类，所述属性类具有主体和客体的属性；所述领域本体库中每个资源的属性为所述访问控制本体库中对应的每个属性类的属性实例，将所述属性实例具体化为所述属性类的实例，并对应所述属性类的主体和客体。

3.如权利要求1所述的访问安全控制方法，其中，

所述访问控制策略规则包括用户级策略规则和系统级策略规则；所述用户级策略规则和所述系统级策略规则均支持肯定和否定授权，当所述肯定授权和所述否定授权出现授权冲突时，所述否定授权的优先级高于所述肯定授权的优先级；并且，

所述用户级策略规则只允许访问请求的授权，而访问请求的许可由所述系统级策略规则通过聚合所述用户级策略规则的授权结果作出判断。

4.如权利要求3所述的访问安全控制方法，其中，

所述访问控制本体库给所述访问控制策略规则提供的原语包括授权、授权主体、许可属性实例；

记录在所述访问历史本体库中的用户的访问内容包括访问主体、访问客体和访问操作；

根据所述访问控制本体库中的所述许可、所述授权、所述属性实例与所述访问历史本体库中的所述访问主体、所述访问客体和所述访问操作，采用策略规则生成算法生成所述系统级策略规则；

根据所述访问控制本体库中的所述授权、所述属性实例与所述访问历史本体库中的所述访问主体、所述访问客体和所述访问操作，采用策略规则生成算法生成所述用户级策略规则。

5.如权利要求3所述的访问安全控制方法，其中，

根据所述用户预设的隐私敏感属性集采用策略规则生成算法生成所述用户级策略规则中的关联约束规则集，所述关联约束规则集只支持否定授权；其中，所述关联约束规则集中有规则依赖顺序，则将按照所述规则依赖顺序对所述关联约束规则集中的每条规则进行判断，当满足规则依赖顺序中最后一条规则的规则体中的合取条件集时，获得授权结果。

6.如权利要求4所述的访问安全控制方法，其中，

在所述构建基于语义网的所述领域知识库和所述访问控制知识库的过程中，采用基于图模型的数据结构存储基于语义网的所述领域知识库和所述访问控制知识库，并对所述领域本体库中的资源的拥有者、访问控制本体库中的所述授权主体、所述访问历史本体库中的所述访问主体分别建立索引。

7.一种访问安全控制装置，所述装置用于防止由同一用户多次访问内容之间的关联而引发的隐私泄露问题，所述装置包括：

领域知识库构建单元，用于构建基于语义网的领域知识库，所述领域知识库包括领域本体库、领域实例库和领域规则库；其中，所述领域规则库用于在将不同的领域本体库进行集成时，建立不同领域本体库之间的语义映射；所述领域实例库包括属性实例和属性实例之间的关系；

访问控制知识库构建单元，用于构建基于语义网的访问控制知识库，所述访问控制知识库包括访问历史本体库、访问控制本体库和访问控制策略规则库；其中，所述访问控制策略规则库存储访问控制策略规则；所述访问控制本体库用于给所述访问控制策略规则提供原语；所述访问历史本体库用于记录用户的访问内容；

属性实例记录单元，用于当所述用户成功访问所述领域本体库的资源时，采用属性实例具体化的方式将所述用户的访问内容记录在所述访问历史本体库中；

访问控制策略规则生成单元，用于根据记录在所述访问历史本体库中的用户的访问内容、所述访问控制本体库、所述领域本体库和所述用户预设的隐私敏感属性集制定访问控制策略规则，采用策略规则生成算法生成访问控制策略规则，将生成的所述访问控制策略规则添入所述访问控制策略规则库中；

访问控制策略规则判断单元，用于当所述用户再次请求所述访问领域本体库的资源时，判断所述用户再次访问领域本体库的资源的内容与记录在所述访问历史本体库中的用户的访问内容是否违反所述访问控制策略规则库中添入的所述访问控制策略规则；其中，

如果所述用户再次访问领域本体库的资源的内容与记录在所述访问历史本体库中的用户的访问内容违反所述访问控制策略规则库中添入的所述访问控制策略规则，则拒绝所述用户再次访问领域本体库的资源；否则，如果所述用户再次访问领域本体库的资源的内容与记录在所述访问历史本体库中的用户的访问内容未违反所述访问控制策略规则库中添入的所述访问控制策略规则，则许可所述用户再次访问领域本体库的资源。

8.如权利要求7所述的访问安全控制装置，其中，

在访问控制知识库构建单元中，所述访问控制本体库给所述访问控制策略规则提供的原语包括授权、授权主体、许可属性实例；

在属性实例记录单元中，记录在所述访问历史本体库中的用户的访问内容包括访问主体、访问客体和访问操作；

所述访问策略规则生成单元包括：

系统级策略规则生成模块，用于根据所述访问控制本体库中的所述许可、所述属性实例与所述访问历史本体库中的所述访问主体、所述访问客体和所述访问操作，采用策略规则生成算法生成支持肯定授权和否定授权的系统级策略规则；

用户级策略规则生成模块，用于根据所述访问控制本体库中的所述授权、所述属性实例与所述访问历史本体库中的所述访问主体、所述访问客体和所述访问操作，采用策略规则生成算法生成支持肯定授权和否定授权的用户级策略规则；

当所述系统级策略规则生成模块和所述用户级策略规则生成模块中的肯定授权和否定授权出现授权冲突时，否定授权的优先级高于肯定授权的优先级；并且，

所述用户级策略规则生成模块只允许访问请求的授权，

所述系统级策略规则生成模块通过聚合所述用户级策略规则生成模块的授权结果对访问请求的许可作出判断。

9.如权利要求8所述的访问安全控制装置，其中，

所述用户级策略规则包括关联约束规则集；

所述用户级策略规则生成模块进一步包括：

隐私敏感属性集生成模块，用于根据所述用户预设的隐私敏感属性集采用策略规则生成算法生成只支持否定授权的所述关联约束规则集。

10.如权利要求8所述的访问安全控制装置，还包括：

知识库存储单元，用于采用基于图模型的数据结构存储基于语义网的所述领域知识库和所述访问控制知识库；

索引建立单元，用于对所述领域本体库中的资源的拥有者、访问控制本体库中的所述授权主体、访问历史本体库中的所述访问主体分别建立索引。

Images