CN114978594A - 一种面向云计算隐私保护的自适应访问控制方法 - Google Patents

Abstract

本发明公开了一种面向云计算隐私保护的自适应访问控制方法，属于信息安全访问控制技术领域。包括：隐私数据访问请求的发起、SaaS服务信任度的评估、用户隐私访问控制需求信息的查询、隐私授权约束可满足性的判定、隐私授权决策、隐私数据访问授权及访问过程记录。本发明一方面为SaaS服务引入信任度属性的同时，为其隐私数据使用行为引入目的、保留时长、敏感度属性，另一方面，引入一种包括敏感度/信任度约束、目的约束、保留时长约束的隐私授权约束。在隐私访问控制执行过程中通过对SaaS服务信任度进行动态评估更新，实现运行时动态隐私授权及细粒度的隐私访问控制，增强了云计算环境下隐私数据的安全保护。

Description

一种面向云计算隐私保护的自适应访问控制方法

技术领域

本发明涉及自适应访问控制方法，特别是涉及面向云计算隐私保护的自适应访问控制方法，属于信息安全访问控制技术领域。

背景技术

伴随着云计算的飞速发展，云计算安全问题日益突出，已成为制约其发展的主要障碍。在所有云计算安全问题中，对于个人身份数据的保护也即隐私信息的保护，是云计算的难点与挑战之一。近年来，隐私泄露事件层出不穷。尤其在大数据和人工智能的快速发展下，在用户不知情的情况下，云服务常常通过数据挖掘、机器学习等技术获取用户个人身份信息、身体健康数据等敏感隐私数据，使得用户的隐私数据非法泄露，给用户带来经济损失甚至会影响到用户的人身安全。因此，在云计算环境下保护个人隐私信息已经成为用户对云服务信任的重要指标。

在云计算开放环境下，隐私保护不仅体现在软件交互过程中对数据的安全防护，即针对PaaS(Platform as a Service)层的隐私数据存储和IaaS(Infrastructure as aService)层的隐私数据传输方面，更体现在对软件行为的安全分析和防护，即针对SaaS(Software as a service)层的隐私数据交互行为方面。目前大量面向云计算SaaS层的隐私保护研究集中在对SaaS服务组合隐私行为进行建模和验证以确保SaaS服务组合在设计阶段满足用户的隐私需求。而在SaaS服务组合运行过程中由于缺少隐私策略执行与实施机制，无法在运行过程中保护隐私数据不被泄露。

访问控制是一种通过策略显式地允许或禁止访问能力及范围的安全机制。在运行阶段，访问控制通过拦截请求，提取请求者相关信息并对策略进行分析，满足策略则授权访问，不满足则禁止访问。传统的访问控制模型，如基于角色的访问控制RBAC、强制访问控制MAC、基于属性的访问控制ABAC等缺少隐私相关元素，无法满足用户隐私保护的需要。因此，研究者通过对传统访问控制模型扩展隐私相关元素，提出了隐私感知的访问控制模型，如基于角色的隐私访问控制P-RBAC、基于目的的访问控制等。然而，这些隐私访问控制模型并不是针对云计算隐私保护特征设计的，且访问权限的分配都是静态的，无法根据SaaS服务的历史行为自适应调整隐私访问权限，不适合开放、动态的云计算环境下的隐私保护。

综上所述，现有访问控制方法未针对云计算隐私保护特征且缺少动态隐私授权机制，无法在运行过程中自适应保护隐私数据。

发明内容

本发明所要解决的技术问题是提供一种面向云计算隐私保护的自适应访问控制方法，实现运行时动态隐私授权及细粒度的隐私访问控制，增强云计算环境下隐私数据的安全保护，以符合开放、动态的云计算环境下的自适应隐私保护需求。

本发明提出一种面向云计算隐私保护的自适应访问控制方法，

具体包括如下步骤：

步骤1)隐私数据访问请求的发起

SaaS服务向策略执行点PEP发起访问某一隐私数据的请求，请求信息包括：发起请求的SaaS服务名、请求的隐私数据、请求目的、请求保留时长；策略执行点PEP收到访问请求后将请求信息转化为标准格式，然后将访问请求发送到策略决策点PDP；

步骤2)SaaS服务信任度的评估

策略决策点PDP收到访问请求后，向SaaS服务信任度评估更新组件发起评估信任度的请求，由SaaS服务信任度评估更新组件根据离当前评估最近的L次隐私保护评估结果对SaaS服务当前的信任度进行评估，评估之后将SaaS服务信任度值返回至策略决策点PDP；

步骤3)用户隐私访问控制需求信息的查询

策略决策点PDP收到访问请求后，向策略信息点PIP发送用户隐私访问控制需求信息的查询请求，查询SaaS服务此次访问的隐私数据的敏感度、用户对该隐私数据的期望目的、期望保留时长,策略信息点PIP向用户隐私访问控制需求管理组件发出查询请求，用户隐私访问控制需求管理组件将查询结果返回至策略信息点PIP，策略信息点PIP再把信息返回至策略决策点PDP；

步骤4)隐私授权约束可满足性的判定

策略决策点PDP接收到SaaS服务信任度评估更新组件、用户隐私访问控制需求管理组件返回的结果之后，将返回结果和步骤2)接收的访问请求发送至隐私授权约束分析组件进行隐私授权约束可满足性的判定，隐私授权约束分析组件判定是否满足隐私授权约束，并将隐私授权约束判定结果发送至策略决策点PDP；

步骤5)隐私授权决策

策略决策点PDP根据隐私授权约束分析组件返回的判定结果进行授权决策，并将决策结果转换成标准格式，发送给策略执行点PEP；

步骤6)隐私数据访问授权及访问过程记录

策略执行点PEP将决策结果返回至SaaS服务请求者，若授权SaaS服务访问隐私数据，SaaS服务对用户的隐私数据执行相关访问操作，且本次访问过程被记录在SaaS服务执行日志数据库中作为后续评估更新SaaS服务信任度的依据。

所述的隐私数据包括单一隐私数据项和隐私数据项组合。

步骤1)和步骤3)所述的目的按照一般到特殊的关系组织成目的树PT，树中的每个节点代表集合P中的一个目的，树中的每条边代表两个目的之间一般到特殊的关系。设p是PT中的一个目的节点，DL(p)代表在PT中p的所有叶子子节点的集合，若p为叶子节点，则DL(p)即为p本身。

步骤1)所述的请求目的是指SaaS服务声明请求某一隐私数据的目的有限集合，记为

其中，

步骤3)所述的期望目的为用户规定某一隐私数据期望被使用的目的的有限集合，期望目的通常由用户自身设定，记为

其中，

步骤1)和步骤3)所述的请求保留时长和期望保留时长分别指SaaS服务请求的保留隐私数据的时间和用户期望SaaS服务保留隐私数据的时间，保留时长可以以任意的时间单位，比如min，day，week，month等表示，no-retention表示不保留隐私数据，permanent-retention表示永久保留隐私数据。

所述的SaaS服务信任度是指度量SaaS服务在保护用户隐私数据的历史表现的评价指标；将信任度量化到区间[0,1]，数值越大表示信任度越高，1表示该SaaS服务完全可信，0表示该SaaS服务完全不可信。

步骤2)所述的SaaS服务的信任度评估，取决于最近的L次隐私保护评估结果，L的值由信任度评估更新组件根据不同用户的隐私保护需求设定，其中，所述隐私保护评估是指在每次SaaS服务访问用户的隐私数据之后，由信任度评估更新组件对SaaS服务的执行日志进行隐私泄露分析，评估该SaaS服务在本次隐私保护方面的表现并记录评估结果，若发生隐私泄露事件，则称隐私保护评估不通过；反之，则称隐私保护评估通过。信任度评估包括如下步骤：

步骤2.1)计算时间衰减因子β(k)；

步骤2.2)计算隐私保护评估的影响因子α(k)；

步骤2.3)计算SaaS服务的隐私保护评估通过系数S；

步骤2.4)计算SaaS服务的隐私保护评估不通过系数F；

步骤2.5)计算SaaS服务的信任度td。

步骤2)中的信任度评估，具体包括如下步骤：

步骤2.1)计算时间衰减因子β(k)

时间衰减因子β(k)表示不同时期发生的隐私泄露事件对信任度值的影响，计算公式如下：

其中，t_k为第k次隐私保护评估时刻与当前时刻的时间间隔，k∈{1,...,L}；

r为衰减率，随着t_k的增加，β(k)下降的速率，取值为大于1的数；

步骤2.2)计算隐私保护评估的影响因子α(k)

隐私保护评估的影响因子α(k)为第k次隐私保护评估在L次隐私保护评估中所占的比重，计算公式如下：

步骤2.3)计算SaaS服务的隐私保护评估通过系数S

其中:s(k)表示SaaS服务第k次隐私保护评估是否通过，s(k)为1表示评估通过，s(k)为0表示评估不通过；

μ(k)为评估通过的奖励系数；

步骤2.4)计算SaaS服务的隐私保护评估不通过系数F

其中，f(k)表示SaaS服务第k次隐私保护评估是否不通过，f(k)为1表示评估不通过，f(k)为0表示评估通过；

w(k)为评估不通过的惩罚系数；

步骤2.5)计算SaaS服务的信任度td

SaaS服务的信任度td为SaaS服务的隐私保护评估通过系数在隐私保护评估总系数中所占的比重，计算公式如下：

步骤3)所述的隐私数据敏感度是指某一用户对其提供的隐私数据感到顾虑的水平。将隐私数据敏感度量化到区间[0,1]，数值越大表示敏感度越高，1表示完全敏感，0表示完全不敏感。

步骤4)所述的隐私授权约束可满足性的判定，包括如下步骤：

步骤4.1)判定敏感度/信任度约束的可满足性,若不满足，则转向步骤4.4)；

步骤4.2)判定目的约束的可满足性，若不满足，则转向步骤4.4)；

步骤4.3)判定保留时长约束的可满足性；

步骤4.4)根据步骤4.1)-4.3)的判定结果，判定隐私授权约束的可满足性；若同时满足敏感度/信任度约束、目的约束、约束保留时长约束，则判定满足隐私授权约束。

其中，步骤4.1)所述的敏感度/信任度约束，具体如下：

设sd为隐私数据的敏感度，td为SaaS服务的信任度，STC是定义在从敏感度集合SD到信任度集合TD的二元关系，(sd,td)∈STC表示敏感度sd对应的最低信任度为td，判定sd和td是否满足敏感度/信任度约束，需要判定STC中是否存在某一(sd′,td′)∈STC使得sd＝sd′和td≥td′成立，其中:sd′∈SD,td′∈TD。

步骤4.2)所述的目的约束，具体步骤如下：

设rp为在目的树PT上的请求目的，ep为在目的树PT上的期望目的，判定rp和ep是否满足目的约束，需要判定请求目的蕴含rp↓是否包含在期望目的蕴含ep↓中，即

是否成立；

其中，请求目的蕴含

为

的并集。

期望目的蕴含

为

的并集。

步骤4.3)所述的保留时长约束，具体如下：

设rt为SaaS服务请求的保留时长，et为用户期望的保留时长,判定rt和et是否满足保留时长约束，首先将rt和et转化为同一时间单位，然后判定rt≤et是否成立。

本发明的有益技术效果：

1.本发明提供的面向云计算隐私保护的自适应访问控制方法，一方面为SaaS服务引入信任度属性的同时，为其隐私数据使用行为引入目的、保留时长、敏感度属性，另一方面，引入一种包括敏感度/信任度约束、目的约束、保留时长约束的隐私授权约束，实现了细粒度的隐私访问控制，相比现有访问控制方法，本发明更符合云计算环境下的隐私保护特征。

2.本发明提供的面向云计算隐私保护的自适应访问控制方法，在隐私访问控制执行过程中对信任度进行动态评估更新，根据SaaS服务的历史隐私保护行为自适应调整隐私访问权限，实现了对SaaS服务的动态隐私授权。相比现有访问控制方法的静态隐私授权，本发明的动态隐私授权更符合云计算环境下的自适应隐私保护需求。

附图说明

图1为本发明面向云计算隐私保护的自适应访问控制方法的系统结构示意图。

图2为本发明面向云计算隐私保护的自适应访问控制方法的一个网上商店实施例的示意图。

图3为本发明面向云计算隐私保护的自适应访问控制方法的网上商店实施例中目的树的示意图。

具体实施方式

下面结合实施例及附图对本发明的具体实施方式作进一步详细的描述，但本发明的实施方式不限于此。

本发明提出的一种面向云计算隐私保护的自适应访问控制方法，访问控制过程共涉及6个核心功能组件：策略执行点PEP，策略决策点PDP，策略信息点PIP，隐私授权约束分析组件、SaaS服务信任度评估更新组件、用户隐私访问控制需求管理组件，这6个功能组件互相协作实现自适应的隐私访问控制。具体实施步骤如图1所示，包括：

步骤1)隐私数据访问请求的发起；

步骤2)SaaS服务信任度的评估；

步骤3)用户隐私访问控制需求信息的查询；

步骤4)隐私授权约束可满足性的判定；

步骤5)隐私授权决策；

步骤6)隐私数据访问授权及访问过程记录。

下面根据本发明提出的一种面向云计算隐私保护的自适应访问控制方法，以图2所示的网上商店为实施例，进一步说明本发明的可行性与有效性。

1.网上商店实施例(Online Shop)组合了商品订购(Order Service)、在线支付(Pay Service)、物流配送(Delivery Service)三个一站式SaaS服务。此外，还涉及PaaS服务如云加密服务(Cloud Cryptographic Service)，云操作系统服务(Cloud OS Service)和IaaS云基础设施服务(Cloud Infrastructure Service)等协作服务。假定用户的隐私数据通过网络，云操作系统服务和云基础设施服务之前都利用云加密服务对数据进行了安全防护，因此，只需关注隐私数据在SaaS服务之间交互时的安全保护。Order service、PayService、Delivery Service三个SaaS服务通过组合服务Online Shop与用户交互；网上商店实施例中涉及的访问隐私数据的目的按照一般到特殊的关系组织成的目的树如图3所示。

2.在该实施例中，用户隐私数据项包括：姓名(name),邮政地址(postal_address),电话(phone_number),电子邮箱(E-mail),银行卡号(card_number)。假设某一用户Jack需要通过Online Shop购买商品，他对自身各项隐私数据的期望信任度、期望目的、期望保留时长如表1所示。

3.Order Service、Pay Service、Delivery Service通过Online Shop与用户Jack进行交互时，需要使用其隐私数据，三个SaaS服务请求使用的隐私数据的敏感度、请求目的、请求保留时长如表2所示。

表1用户Jack的隐私访问控制需求表

表2 SaaS服务的隐私数据请求表

4.假设Order Service请求隐私数据项组合{name，phone_number}，针对该隐私访问请求的处理步骤如下：

步骤1)隐私数据访问请求的发起

Order Service向策略执行点PEP发起访问用户Jack的隐私数据项组合{name，phone_number}的请求，请求信息包括：发起请求的SaaS服务名Order Service、请求的隐私数据项组合{name，phone_number}、请求目的{Purchase}、请求保留时长1day；策略执行点PEP收到访问请求后将其转化为标准格式，然后将访问请求发送到策略决策点PDP。

步骤2)SaaS服务信任度的评估

策略决策点PDP收到访问请求后，向SaaS服务信任度评估更新组件发起评估信任度的请求，由SaaS服务信任度评估更新组件根据用户Jack的隐私保护需求，选取距当前最近的30次隐私保护评估结果对Order Service信任度进行评估，得到Order Service当前的信任度为0.7，SaaS服务信任度评估更新组件将Order Service当前信任度值0.7返回至策略决策点PDP。

步骤3)用户隐私访问控制需求信息的查询

策略决策点PDP收到访问请求后，向策略信息点PIP发送用户Jack隐私访问控制需求信息的查询请求，查询Order Service此次访问的隐私数据项组合{name，phone_number}的敏感度、用户Jack对该隐私数据的期望目的、期望保留时长。策略信息点PIP向用户隐私访问控制需求管理组件发出查询请求，用户隐私访问控制需求管理组件查询到隐私数据项组合{name，phone_number}的敏感度为0.4，用户Jack对该隐私数据的期望目的为{Purchase,Contract}、期望保留时长为2weeks，用户隐私访问控制需求管理组件将上述查询结果返回至策略信息点PIP，策略信息点PIP再把信息返回至策略决策点PDP。

步骤4)隐私授权约束可满足性的判定

策略决策点PDP接收到SaaS服务信任度评估更新组件返回的评估结果，以及用户隐私访问控制需求管理组件返回的查询结果之后，将这些返回结果和步骤2)接收的OrderService的访问请求发送至隐私授权约束分析组件进行授权判定。隐私授权约束分析组件判定Order Service的访问请求是否满足隐私授权约束，并将授权约束判定结果发送至策略决策点PDP。步骤4)中的隐私授权约束可满足性的判定，具体包括如下步骤：

步骤4.1)判定敏感度/信任度约束的可满足性

隐私授权约束分析组件根据Order Service当前信任度值0.7，隐私数据项组合{name，phone_number}的敏感度0.4，以及敏感度/信任度约束给出的敏感度0.4的隐私数据对应的最低信任度0.6，判定Order Service的访问请求满足敏感度/信任度约束。

步骤4.2)判定目的约束的可满足性

隐私授权约束分析组件根据用户Jack对该隐私数据的期望目的{Purchase,Contract}，以及Order Service的请求目的{Purchase}，判定Order Service的访问请求满足目的约束。

步骤4.3)判定保留时长约束的可满足性

隐私授权约束分析组件根据Order Service请求隐私数据项组合{name，phone_number}的保留时长1day小于用户Jack期望的保留时长2weeks，判定Order Service的访问请求满足保留时长约束。

步骤4.4)由于Order Service的访问请求满足敏感度/信任度约束、目的约束、保留时长约束，因此，隐私授权约束分析组件判定Order Service的访问请求满足隐私授权约束。

步骤5)隐私授权决策

隐私授权约束分析组件将满足隐私授权约束的判定结果发送至策略决策点PDP。策略决策点PDP将允许访问的决策结果转换成标准格式，发送给策略执行点PEP。

步骤6)隐私数据访问授权及访问过程记录:

策略执行点PEP将允许访问的决策结果返回至Order Service，授权OrderService访问用户Jack隐私数据项组合{name，phone_number}，Order Service对该隐私数据执行相关访问操作，且本次访问过程记录在SaaS服务执行日志数据库中作为后续评估更新Order Service信任度的依据。

5.假设Delivery Service请求隐私数据项组合{postal_address,E-mail}，针对该隐私访问请求的处理步骤如下：

步骤1)隐私数据访问请求的发起

假设Delivery Service向策略执行点PEP发起访问用户Jack的隐私数据项组合{postal_address,E-mail}的请求，请求信息包括：发起请求的SaaS服务名DeliveryService、请求的隐私数据项组合{postal_address,E-mail}、请求目的{Delivery,Marketing}、请求保留时长1month；策略执行点PEP收到访问请求后将其转化为标准格式，然后将访问请求发送到策略决策点PDP。

步骤2)SaaS服务信任度的评估

策略决策点PDP收到访问请求后，向SaaS服务信任度评估更新组件发起评估信任度的请求，由SaaS服务信任度评估更新组件根据用户Jack的隐私保护需求，选取距当前最近的30次隐私保护评估结果对Delivery Service信任度进行评估，得到Delivery Service当前的信任度为0.55；SaaS服务信任度评估更新组件将Delivery Service当前信任度值0.55返回至策略决策点PDP。

步骤3)用户隐私访问控制需求信息的查询

策略决策点PDP收到访问请求后，向策略信息点PIP发送用户Jack隐私访问控制需求信息的查询请求，查询Delivery Service此次访问的隐私数据项组合{postal_address,E-mail}的敏感度、用户Jack对该隐私数据的期望目的、期望保留时长。策略信息点PIP向用户隐私访问控制需求管理组件发出查询请求，用户隐私访问控制需求管理组件查询到隐私数据项组合{postal_address,E-mail}的敏感度为0.2，用户Jack对该隐私数据的期望目的为{Delivery,T-Email}、期望保留时长为permanent-retention，用户隐私访问控制需求管理组件将上述查询结果返回至策略信息点PIP，策略信息点PIP再把信息返回至策略决策点PDP。

步骤4)隐私授权约束可满足性的判定

策略决策点PDP接收到SaaS服务信任度评估更新组件返回的评估结果，以及用户隐私访问控制需求管理组件返回的查询结果之后，将这些返回结果和步骤2)接收的Delivery Service的访问请求发送至隐私授权约束分析组件进行授权判定。隐私授权约束分析组件判定Delivery Service的访问请求是否满足隐私授权约束，并将授权约束判定结果发送至策略决策点PDP。步骤4)中的隐私授权约束可满足性的判定，具体包括如下步骤：

步骤4.1)判定敏感度/信任度约束的可满足性

隐私授权约束分析组件根据Delivery Service当前信任度值0.55，隐私数据项组合{postal_address,E-mail}的敏感度0.2，以及敏感度/信任度约束给出的敏感度0.2的隐私数据对应的最低信任度0.3，判定Delivery Service的访问请求满足敏感度/信任度约束。

步骤4.2)判定目的约束的可满足性

隐私授权约束分析组件根据用户Jack对该隐私数据的期望目的{Delivery,T-Email}，以及Delivery Service的请求目的{Delivery,Marketing}进行目的约束可满足性判定，由于Delivery Service的请求目的的目的蕴含{Delivery,D-Phone,D-Email,T-Postal,T-Email}不包含在用户的期望目的的目的蕴含{Delivery,T-Email}中，判定Delivery Service的访问请求不满足目的约束，并转向步骤4.4)。

步骤4.4)由于Delivery Service的访问请求不满足目的约束，因此，隐私授权约束分析组件判定Delivery Service的访问请求不满足隐私授权约束。

步骤5)隐私授权决策

隐私授权约束分析组件将不满足隐私授权约束的判定结果发送至策略决策点PDP。策略决策点PDP将禁止访问的决策结果转换成标准格式，发送给策略执行点PEP。

步骤6)隐私数据访问授权及访问过程记录

策略执行点PEP将禁止访问的决策结果返回至Delivery Service，禁止DeliveryService访问用户Jack隐私数据项组合{postal_address,E-mail}。

本发明的具体实施方式中凡未涉及到的说明属于本领域的公知技术，可参考公知技术加以实施。

以上具体实施方式中所涉及的实施例是对本发明提出的一种面向云计算隐私保护的自适应访问控制方法技术思想的具体支持，但本发明的保护范围并不局限于此，凡是按照本发明提出的技术思想，在本技术方案基础上所作的修改、等同替换或者改进，都属于本发明的保护范围。

Claims (10)

1.一种面向云计算隐私保护的自适应访问控制方法，其特征在于，包括如下步骤：

步骤1)SaaS服务向策略执行点PEP发起访问某一隐私数据的请求，请求信息包括：发起请求的SaaS服务名、请求的隐私数据、请求目的、请求保留时长；策略执行点PEP收到访问请求后将访问请求转化为标准格式，然后将访问请求发送到策略决策点PDP；

步骤2)策略决策点PDP收到访问请求后，向SaaS服务信任度评估更新组件发起评估信任度的请求，由SaaS服务信任度评估更新组件根据离当前评估最近的L次隐私保护评估结果对SaaS服务当前的信任度进行评估，评估之后将SaaS服务信任度值返回至策略决策点PDP；

步骤3)策略决策点PDP收到访问请求后，向策略信息点PIP发送用户隐私访问控制需求信息的查询请求，查询SaaS服务此次访问的隐私数据的敏感度、用户对该隐私数据的期望目的、期望保留时长；策略信息点PIP向用户隐私访问控制需求管理组件发出查询请求，用户隐私访问控制需求管理组件将查询结果返回至策略信息点PIP，策略信息点PIP再把信息返回至策略决策点PDP；

步骤4)策略决策点PDP接收到SaaS服务信任度评估更新组件、用户隐私访问控制需求管理组件返回的结果之后，将返回结果和步骤2)接收的访问请求发送至隐私授权约束分析组件进行隐私授权约束可满足性的判定，隐私授权约束分析组件判定是否满足隐私授权约束，并将授权约束判定结果发送至策略决策点PDP；

步骤5)策略决策点PDP根据隐私授权约束分析组件返回的判定结果进行授权决策，并将决策结果转换成标准格式，发送给策略执行点PEP；

步骤6)策略执行点PEP将决策结果返回至SaaS服务请求者，若授权SaaS服务访问隐私数据，SaaS服务对用户的隐私数据执行相关访问操作，且本次访问过程被记录在SaaS服务执行日志数据库中作为后续评估更新SaaS服务信任度的依据。

2.根据权利要求1所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，步骤1)和步骤3)中的目的按照一般到特殊的关系组织成目的树PT，树中的每个节点代表集合P中的一个目的，树中的每条边代表两个目的之间一般到特殊的关系，设p是PT中的一个目的节点，DL(p)代表在PT中p的所有叶子子节点的集合，若p为叶子节点，则DL(p)即为p本身；步骤1)中的请求目的是指SaaS服务声明请求某一隐私数据的目的有限集合，记为

其中，

步骤3)中的期望目的为用户规定某一隐私数据期望被使用的目的的有限集合，期望目的通常由用户自身设定，记为

其中，

3.根据权利要求1所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，步骤1)和步骤3)中的请求保留时长和期望保留时长分别指SaaS服务请求的保留隐私数据的时间和用户期望SaaS服务保留隐私数据的时间。

4.根据权利要求1所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，SaaS服务信任度是指度量SaaS服务在保护用户隐私数据的历史表现的评价指标；将信任度量化到区间[0,1]，数值越大表示信任度越高，1表示该SaaS服务完全可信，0表示该SaaS服务完全不可信。

5.根据权利要求1所述的面向云计算隐私保护的自适应访问控制方法，其特征在于：步骤2)中的SaaS服务的信任度评估包括如下步骤：

步骤2.1)计算时间衰减因子β(k)；

步骤2.2)计算隐私保护评估的影响因子α(k)；

步骤2.3)计算SaaS服务的隐私保护评估通过系数S；

步骤2.4)计算SaaS服务的隐私保护评估不通过系数F；

步骤2.5)计算SaaS服务的信任度td。

步骤2.1)中，时间衰减因子β(k)表示不同时期发生的隐私泄露事件对信任度值的影响，计算公式如下：

其中，t_k为第k次隐私保护评估时刻与当前时刻的时间间隔，k∈{1,...,L}；r为衰减率，随着t_k的增加，β(k)下降的速率；

步骤2.2)中，隐私保护评估的影响因子α(k)为第k次隐私保护评估在L次隐私保护评估中所占的比重，计算公式如下：

步骤2.3)中，计算SaaS服务的隐私保护评估通过系数S的公式如下：

其中:s(k)表示SaaS服务第k次隐私保护评估是否通过，s(k)为1表示评估通过，s(k)为0表示评估不通过；

μ(k)为评估通过的奖励系数；

步骤2.4)中，计算SaaS服务的隐私保护评估不通过系数F的公式如下：

其中，f(k)表示SaaS服务第k次隐私保护评估是否不通过，f(k)为1表示评估不通过，f(k)为0表示评估通过；

w(k)为评估不通过的惩罚系数；

步骤2.5)中，SaaS服务的信任度td为SaaS服务的隐私保护评估通过系数在隐私保护评估总系数中所占的比重，计算公式如下：

6.根据权利要求1所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，步骤3)中的隐私数据的敏感度是指某一用户对其提供的隐私数据感到顾虑的水平，将隐私数据的敏感度量化到区间[0,1]，数值越大表示敏感度越高，1表示完全敏感，0表示完全不敏感。

7.根据权利要求1所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，步骤4)中隐私授权约束可满足性的判定，包括如下步骤：

步骤4.1)判定敏感度/信任度约束的可满足性,若不满足，则转向步骤4.4)；

步骤4.2)判定目的约束的可满足性，若不满足，则转向步骤4.4)；

步骤4.3)判定保留时长约束的可满足性；

步骤4.4)根据步骤4.1)-4.3)的判定结果，判定隐私授权约束的可满足性；若同时满足敏感度/信任度约束、目的约束、约束保留时长约束，则判定满足隐私授权约束。

8.根据权利要求7所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，步骤4.1)中的敏感度/信任度约束，具体如下：

设sd为隐私数据的敏感度，td为SaaS服务的信任度，STC是定义在从敏感度集合SD到信任度集合TD的二元关系，(sd,td)∈STC表示敏感度sd对应的最低信任度为td，判定sd和td是否满足敏感度/信任度约束，需要判定STC中是否存在某一(sd′,td′)∈STC使得sd＝sd′和td≥td′成立，其中:sd′∈SD,td′∈TD。

9.根据权利要求7所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，步骤4.2)中的目的约束，具体如下：

设rp为在目的树PT上的请求目的，ep为在目的树PT上的期望目的，判定rp和ep是否满足目的约束，需要判定请求目的蕴含rp↓是否包含在期望目的蕴含ep↓中，即

是否成立；

其中，请求目的蕴含

为

的并集。

期望目的蕴含

为

的并集。

10.根据权利要求7所述的面向云计算隐私保护的自适应访问控制方法，其特征在于，步骤4.3)中的保留时长约束，具体如下：

设rt为SaaS服务请求的保留时长，et为用户期望的保留时长,判定rt和et是否满足保留时长约束，先将rt和et转化为同一时间单位，然后判定rt≤et是否成立。

Images