JP2003216497A - データベース管理装置及びプログラム - Google Patents

Abstract

(57)【要約】 【課題】本発明の課題は、データベースのセキュリティ
のアクセス権限を、変更可能に自動的に設定することで
ある。 【解決手段】各部の中央制御をするＣＰＵ１ａは、記憶
装置１ｃ上のプログラム記憶領域Ｃ１に記憶されたアク
セス権限自動設定条件定義処理を実行し、管理者の入力
部１ｂを介する入力により、ユーザのアクセス頻度を計
測する使用頻度計測期間及びアクセス権限付与条件情報
を設定し、記憶領域Ｃ１に記憶されたアクセス権限自動
設定処理を実行し、ユーザの入力部１ｂ又は外部機器か
ら通信制御部１ｇを介するアクセス要求の入力により、
使用頻度計測期間中にユーザのアクセス要求を統計管理
情報に追加して実行し、使用頻度計測期間後にユーザの
アクセス要求を前記アクセス権限付与条件情報及び前記
統計管理情報に基づきアクセス権限情報を設定し、アク
セス権限反映日時後に前記アクセス権限情報に基づきユ
ーザのアクセス要求を実行する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データベースを管
理するデータベース管理装置及びプログラムに関する。

【０００２】

【従来の技術】従来、データベースを管理するデータベ
ース管理システムにおいては、当該データベース管理シ
ステムにアクセスするユーザの要望に合せて、セキュリ
ティのための各ユーザへのアクセス権限を予め設計し、
前記データベース管理システムの構築時に前記設計に基
づき、前記データベースの管理者がアクセス権限を設定
していた。

【０００３】セキュリティのためのアクセス権限の設定
は、データベース管理システム自身の通常処理に含まれ
るセキュリティ処理を用いて行う場合と、データベース
管理システム自身の通常処理とは別に、新たに、アクセ
ス権限の設定のためのアプリケーションを作成して、当
該アプリケーションを実行することにより行う場合とが
存在していた。

【０００４】

【発明が解決しようとする課題】しかし、従来のセキュ
リティのためのアクセス権限の設定では、データベース
管理システムの運用開始以前に、管理者がアクセス権限
を設定しなければならないため、運用開始後に、アクセ
ス権限の設定の変更を行う場合には、管理者が、ユーザ
のアクセス履歴を調査し、再度アクセス権限を設定する
必要があった。

【０００５】また、上記のアクセス権限の設定は、管理
者が行うので、当該管理者の負担が大きいという問題が
あった。

【０００６】本発明の課題は、データベースのセキュリ
ティのアクセス権限を、利用者のアクセス状況に応じて
自動的に設定することである。

【０００７】

【課題を解決するための手段】本発明は、少なくとも１
人の利用者がアクセスするデータベースを管理するデー
タベース管理装置であって、前記データベースに対する
前記利用者のアクセス状況を観測するアクセス状況観測
手段と、前記アクセス状況観測手段において観測された
アクセス状況に応じて前記データベースに対する前記利
用者のアクセス権限を設定するアクセス権限管理手段
と、前記アクセス権限管理手段において設定されたアク
セス権限に応じて前記データベースを運用するデータベ
ース運用手段と、を具備してなることを特徴とする。

【０００８】従って、本発明によれば、データベース運
用において、管理者がセキュリティのアクセス権限を設
定する必要がなく、ユーザのアクセス状況に応じて自動
的に利用者別のアクセス権限を設定するので、管理者の
負担を軽減することができ、実運用に沿ったアクセス権
限の設定が可能となる。また、データベースにアクセス
しない利用者は自動的にアクセス権限がなくなるので、
セキュリティを強化することができる。

【０００９】また、本発明は、例えば、前記データベー
スの仮運用を行う少なくとも１つの仮運用期間を指定す
る仮運用期間指定手段を更に具備し、前記仮運用期間内
においては、前記アクセス状況観測手段は、前記仮運用
期間内のアクセス状況を観測し、前記データベース運用
手段は、予め設定されたアクセス権限に応じて前記デー
タベースを運用し、前記仮運用期間後においては、前記
アクセス権限管理手段は、前記アクセス状況観測手段に
おいて観測された前記仮運用期間内のアクセス状況に応
じてアクセス権限を設定し、前記データベース運用手段
は、前記アクセス権限管理手段において設定されたアク
セス権限に応じて前記データベースを運用するとして構
成してもよい。

【００１０】また、本発明は、例えば、前記アクセス状
況観測手段は、前記仮運用期間内にアクセス状況として
アクセス頻度、アクセス時間、アクセス割合のうちの少
なくとも１つを観測し、前記アクセス権限管理手段は、
前記アクセス状況観測手段において観測されたアクセス
状況が、予め設定された所定値よりも大きい場合にアク
セス許可のアクセス権限を設定するとして構成してもよ
い。

【００１１】また、本発明は、例えば、前記アクセス状
況を比較する所定値を任意に設定する所定値設定手段を
更に具備するとして構成してもよい。

【００１２】また、本発明は、例えば、前記データベー
スは複数存在し、前記アクセス状況観測手段は、前記デ
ータベース毎に前記利用者のアクセス状況を観測し、前
記アクセス権限管理手段は、前記データベース毎に前記
利用者のアクセス権限を設定するとして構成してもよ
い。

【００１３】また、本発明は、例えば、前記アクセス状
況観測手段は、前記アクセスの対象毎に前記利用者のア
クセス状況を観測し、前記アクセス権限管理手段は、前
記アクセスの対象毎に前記利用者のアクセス権限を設定
する構成としてもよい。

【００１４】また、本発明は、例えば、前記アクセス状
況観測手段は、前記アクセスの内容毎に前記利用者のア
クセス状況を観測し、前記アクセス権限管理手段は、前
記アクセスの内容毎に前記利用者のアクセス権限を設定
するとして構成してもよい。

【００１５】また、本発明は、例えば、前記アクセス状
況観測手段は、前記データベースの管理の通常の処理と
は別の処理で、前記アクセス状況の観測を行い、前記ア
クセス権限管理手段は、前記データベースの管理の通常
の処理とは別の処理で、前記アクセス状況観測手段にお
いて観測されたアクセス状況に基づくアクセス権限設定
のための前記データベース管理に用いる言語で記載され
た命令を生成して、前記データベースの管理の通常の処
理において前記命令を実行することにより、前記アクセ
ス権限を設定するとして構成してもよい。

【００１６】また、本発明は、例えば、前記アクセス権
限管理手段において設定されたアクセス権限を、前記デ
ータベースの管理者の入力により変更するアクセス権限
変更手段を更に具備し、前記データベース運用手段は、
前記アクセス権限変更手段においてアクセス権限が変更
された場合、当該変更されたアクセス権限に応じて前記
データベースを運用するとして構成してもよい。

【００１７】

【発明の実施の形態】以下、添付図面を参照して、本発
明の実施の形態を説明する。

【００１８】本実施の形態を図１〜図９を参照して説明
する。先ず、本実施の形態の装置的特長を図１を参照し
て説明する。図１は、本実施の形態のデータベース管理
サーバ１の内部構成を示すブロック図である。

【００１９】本実施の形態の装置は、図１に示すよう
に、各種データベースを管理するデータベース管理サー
バ１は、各部の中央制御を行うＣＰＵ（Central Proces
sing Unit）１ａと、情報を一時的に格納するＲＡＭ（R
andom Access Memory）１ｂと、情報を記憶する記憶装
置１ｃと、データベースの管理者及びそのユーザ（利用
者）からの情報の入力を行う入力部１ｄと、管理者及び
ユーザへ情報を表示出力する表示部１ｅと、通信ネット
ワークへの情報の送受信を制御する通信制御部１ｇと、
現在の日時を出力する時計部１ｈと、ＣＰＵ１ａ、ＲＡ
Ｍ１ｂ、記憶装置１ｃ、入力部１ｄ、表示部１ｅ、通信
制御部１ｇ、時計部１ｈを接続するバス１ｉとを備え
る。

【００２０】データベース管理サーバ１は、通常のＤＢ
ＭＳ（DataBase Management System）のデータベース管
理サーバとして、データベースの少なくとも１人からな
るユーザによる入力部１ｄから、又は、通信制御部１ｇ
を介する外部機器からのアクセス入力により、アクセス
許可権限のあるユーザに対して、記憶装置１ｃ上のデー
タベースの閲覧、選択、挿入、更新、削除等の操作の通
常処理をしてデータベース運用を行い、また、データベ
ースの操作命令には、データベース操作言語の１つであ
るＳＱＬ（Structured Query Language）を用いるもの
とする。しかし、これに限るものではなく、ＳＱＬ以外
のデータベース操作言語を用いてもよい。

【００２１】ＣＰＵ１ａは、アクセス権限自動設定条件
定義処理、アクセス権限自動設定処理、アクセス権限手
動変更処理を実行する。ＣＰＵ１ａは、アクセス権限自
動設定条件定義処理の実行により、管理者に入力部１ｄ
から使用頻度計測期間を入力させ、当該入力された使用
頻度計測期間を記憶装置１ｃ上の統計管理情報Ｃ２１の
使用頻度計測期間Ｃ２１１に記憶して設定し、管理者に
入力部１ｄからアクセス許可権限付与条件を入力させ、
当該入力されたアクセス許可権限付与条件に基づいて記
憶装置１ｃ上のアクセス許可権限付与条件情報Ｃ２２の
操作内容Ｃ２２１及びアクセス許可権限条件Ｃ２２２に
記憶して設定する（図７参照）。

【００２２】また、ＣＰＵ１ａは、アクセス権限自動設
定処理を実行する。ＣＰＵ１ａは、アクセス権限自動設
定処理の実行により、ユーザから入力されたアクセス要
求のＳＱＬ文を解析し、ユーザ名、オブジェクト種類、
オブジェクト名称、操作内容の各情報を取得して前記Ｓ
ＱＬ文と共にＲＡＭ１ｂに格納し、記憶装置１ｃ上の統
計管理情報Ｃ２１の使用頻度計測期間Ｃ２１１に記憶さ
れた開始日時及び終了日時、並びに、時計部１ｈから取
得した現在日時から、前記現在日時が使用頻度計測期間
内である場合、ＲＡＭ１ｂに格納されたアクセス要求の
各情報を、記憶装置１ｃ上の統計管理情報Ｃ２１に記憶
されたユーザ別統計情報Ｃ２１３に追加し、ＲＡＭ１ｂ
上に格納されたアクセス要求のＳＱＬ文を通常処理に投
入して、アクセス要求の実行処理を行う。

【００２３】また、ＣＰＵ１ａは、アクセス権限自動設
定処理の実行により、前記現在日時が使用頻度計測期間
後で、アクセス権限情報Ｃ２３が設定済でない場合、前
記各情報の全ての組合せにおいて、記憶装置１ｃに記憶
された統計管理情報Ｃ２１から使用頻度計測期間中のア
クセス回数を取得し、当該アクセス回数が記憶装置１ｃ
に記憶されたアクセス許可権限付与条件情報Ｃ２２を満
たす組合せを、記憶装置１ｃに記憶されたアクセス権限
情報Ｃ２３に設定し、前記現在日時が、記憶装置１ｃ上
の統計管理情報Ｃ２１に記憶されたアクセス権限反映日
時Ｃ２１２後である場合、前記設定されたアクセス権限
情報Ｃ２３に従って、アクセス要求の実行処理を行う
（図８参照）。

【００２４】また、ＣＰＵ１ａは、アクセス権限手動変
更処理を実行する。ＣＰＵ１ａは、アクセス権限手動変
更処理の実行により、管理者により、アクセス権限情報
Ｃ２３の変更対象の、ユーザ名、オブジェクト種類、オ
ブジェクト名称、操作内容及び変更の種類の入力情報を
入力部１ｂを介して入力させ、前記入力情報を用いて、
変更命令のＳＱＬ文を生成し、当該生成されたＳＱＬ文
を、動作中の通常処理に投入して、記憶装置１ｃに記憶
されたアクセス権限情報Ｃ２３を変更する（図９参
照）。なお、ＣＰＵ１ａは、請求項に記載の、アクセス
状況観測手段、アクセス権限管理手段、データベース運
用手段、仮運用期間指定手段、所定値設定手段、アクセ
ス権限変更手段としての機能を有する。

【００２５】ＲＡＭ１ｂは、各種プログラム、入力指
示、入力データ及び処理結果等の各種データを、ＣＰＵ
１ａでランダムアクセス展開可能に格納するメモリ領域
を有して、各種状態を記憶するメモリであり、前記各種
プログラムを展開して実行する領域であるプログラム実
行領域Ｂ１と、前記各種データを一時的に記憶する作業
領域である作業領域Ｂ２とを備える。

【００２６】記憶装置１ｃは、プログラムやデータなど
が予め記憶されまたは書込み可能な記録媒体（図示せ
ず）を有し、当該記録媒体は、磁気的、光学的記録媒
体、若しくは半導体等の不揮発性メモリ等のＣＰＵ１ａ
読取り可能な記録媒体で構成されている。記録媒体は、
ハードディスク等の固定的に設けたもの、若しくはＣＤ
−ＲＯＭ、メモリカード等の着脱自在に装着する可搬型
のものを含む。

【００２７】記憶装置１ｃには各種処理プログラムを記
憶するプログラム記憶領域Ｃ１と、これらのプログラム
で処理する又は処理されたデータ等の各種データを記憶
するデータ記憶領域Ｃ２とを格納する。ＲＡＭ１ｂ及び
記憶装置１ｃは、ＣＰＵ１ａの制御により内部データの
書換が可能な構成である。

【００２８】入力部１ｄは、カーソルキー、数字入力キ
ー及び各種機能キー等を備えたキーボード及びポインテ
ィングデバイスとしてマウスを含み、操作者によりキー
ボードで押下された押下信号やマウスの位置信号をＣＰ
Ｕ１ａに出力する。

【００２９】表示部１ｅは、ＣＲＴ（Cathode Ray Tub
e）、又はＬＣＤ（Liquid Crystal Display）等により
構成され、ＣＰＵ１ａから入力される表示指示に従って
各種表示データの画面表示を行う。印刷装置１ｆは、Ｃ
ＰＵ１ａの印刷指示により、各種印刷データの紙等への
印刷を行う。時計部１ｈは、ＣＰＵ１ａの要求指示によ
り、現在の日時の情報を出力する。

【００３０】通信制御部１ｇは、通信ネットワークを介
して、外部機器との通信を行うためのネットワークカー
ド、モデム、ＴＡ（Terminal Adapter）、ルータ等によ
って構成される。通信ネットワークは、例えばＬＡＮ
（Local Area Network）等のネットワークであり、ＷＡ
Ｎ（Wide Area Network）を含めてもよく、電話回線
網、ＩＳＤＮ回線網、広域帯通信回線網、専用線、移動
体通信網、通信衛星回線、ＣＡＴＶ回線、光通信回線、
無線通信回線と、それらを接続するインターネットサー
ビスプロバイダ等を含む構成でもよい。

【００３１】また、記憶装置１ｃに記憶されたプログラ
ム、データ等は、その一部若しくは全部を外部機器から
ＬＡＮ、ＷＡＮ等の通信ネットワークを介して通信制御
部１ｇから受信して格納する構成にしてもよく、また、
記憶装置１ｃは通信ネットワーク上に構築された外部機
器の記憶装置であってもよい。更に、前記各種プログラ
ムを通信ネットワークを介して外部機器へ送信及びイン
ストールする構成にしてもよい。

【００３２】なお、データベース管理サーバ１は、ここ
では、１台の情報処理装置で表現しているが、通信ネッ
トワーク等を介した複数の機器を設置して、各種処理を
各機器で分散して実行する構成でもよい。この場合、各
種処理を実行する負荷が分散される。

【００３３】次に、図２〜図６を参照して、記憶装置１
ｃに記憶される各種プログラム及び各種データを説明す
る。図２は、図１の記憶装置１ｃに記憶されたプログラ
ム領域Ｃ１の内部構成を示す図であり、図３は、図１の
記憶装置１ｃに記憶されたデータ領域Ｃ２の内部構成を
示す図であり、図４は、図３のデータ領域Ｃ２に記憶さ
れた統計管理情報Ｃ２１の内部構成を示す図であり、図
５は、図３のデータ領域Ｃ２に記憶されたアクセス許可
権限付与条件情報Ｃ２２の内部構成を示す図であり、図
６は、図３のデータ領域Ｃ２に記憶されたアクセス権限
情報Ｃ２３の内部構成を示す図である。

【００３４】図２に示すように、記憶装置１ｃ上のプロ
グラム領域Ｃ１は、使用頻度計測期間中のユーザのアク
セス回数を計測するための情報である統計管理情報Ｃ２
１及びアクセス許可権限付与条件情報Ｃ２２を定義して
生成するアクセス権限自動設定条件定義処理Ｃ１１と、
ユーザへのアクセス権限を自動的に設定するアクセス権
限自動設定処理Ｃ１２と、管理者にアクセス権限を手動
で変更させるアクセス権限手動変更処理Ｃ１３と、ＤＢ
ＭＳのデータベースの通常の操作処理である通常処理Ｃ
１４との各プログラムコードを記憶する。

【００３５】図３に示すように、記憶装置１ｃ上のデー
タ領域Ｃ２は、ユーザのアクセス権限設定するための情
報を収集するために設けられる仮運用期間である使用頻
度計測期間の設定情報及び当該使用頻度計測期間中のユ
ーザの全アクセスの履歴情報である統計管理情報Ｃ２１
と、ユーザにアクセス権限を付与するための情報である
アクセス許可権限付与条件情報Ｃ２２と、各ユーザのア
クセス権限の状態を示す情報であるアクセス権限情報Ｃ
２３と、アクセス権限情報Ｃ２３が設定されたかを示す
フラグであるアクセス権限情報設定フラグＣ２４と、少
なくとも１つのオブジェクトからなる本データベースＣ
２５とを記憶する。データベースにおけるオブジェクト
とは、ＳＱＬを使って作成及び操作ができる操作対象で
ある。

【００３６】図４に示すように、記憶装置１ｃのデータ
領域Ｃ２上の統計管理情報Ｃ２１は、使用頻度計測期間
の定義情報である使用頻度計測期間Ｃ２１１と、使用頻
度計測期間以後に、設定されたアクセス権限をデータベ
ースに反映する日時を定義するアクセス権限反映日時Ｃ
２１２と、使用頻度計測期間中の各ユーザの全アクセス
のアクセス内容の履歴であるユーザ別統計情報Ｃ２１３
とを記憶する。

【００３７】また、使用頻度計測期間Ｃ２１１は、使用
頻度計測期間を開始する日時である開始日時と、使用頻
度計測期間を終了する日時である終了日時とを記憶す
る。また、ユーザ別統計情報Ｃ２１３は、本データベー
スＣ２５にアクセスしたユーザ名であるデータベースア
クセスユーザＤ１と、データベースアクセスユーザＤ１
が実行した各アクセスの履歴情報である統計情報Ｄ２、
Ｄ３を記憶する。統計情報Ｄ２、Ｄ３は、アクセス対象
のオブジェクトのオブジェクト種類、オブジェクト名
称、アクセスにおける本データベース２５への操作内容
を記憶する。

【００３８】オブジェクト種類は、例えば、実際の表で
ある実表、見かけ上の仮想的な表であるビュー、オブジ
ェクトに付ける別名であるシノニム等があり、オブジェ
クト名称は、例えば、人事テーブル、給与テーブル等の
オブジェクト固有の名称であり、操作内容は、オブジェ
クトに対する作成を含む操作のことであり、閲覧や、SE
LECT（選択）、INSERT（挿入）、UPDATE（更新）、DELE
TE（削除）等のＳＱＬの操作命令等である。

【００３９】図５に示すように、記憶装置１ｃのデータ
領域Ｃ２上のアクセス許可権限付与条件情報Ｃ２２は、
アクセス許可権限を付与する対象である操作内容Ｃ２２
１と、アクセス許可権限を付与する条件であるアクセス
許可権限付与条件Ｃ２２２とを記憶する。操作内容Ｃ２
２１は、上記のＳＱＬの操作命令、閲覧等のうちの少な
くとも１つであり、アクセス許可権限付与条件Ｃ２２２
は、使用頻度計測期間内における操作内容Ｃ２２１のア
クセス回数条件を指定する。例えば、使用頻度計測期間
内におけるアクセス回数１０回以上等である。

【００４０】図６に示すように、記憶装置１ｃのデータ
領域Ｃ２上のアクセス権限情報Ｃ２３は、オブジェクト
種類Ｃ２３１と、オブジェクト名称Ｃ２３２と、ユーザ
名Ｃ２３３と、許可されている操作内容Ｃ２３４とを記
憶する。オブジェクト種類Ｃ２３１、オブジェクト名称
Ｃ２３２、ユーザ名Ｃ２３３は、それぞれ少なくとも１
つのオブジェクト種類、オブジェクト名称、ユーザ名を
記憶され、許可されている操作内容Ｃ２３４には、上記
のＳＱＬの操作命令、閲覧等のうちの少なくとも１つの
操作内容を記憶され、許可されている内容がない場合は
設定されない。また、アクセス権限情報Ｃ２３は、ＤＢ
ＭＳのデータベースの１部であり、ＳＱＬにより変更の
操作を行うことができるものとする。

【００４１】記憶装置１ｃのデータ領域Ｃ２上のアクセ
ス権限情報設定済フラグＣ２４は、アクセス権限情報Ｃ
２３が設定済であるかをないかを格納し、例えば、設定
済の場合に１、未設定の場合に０を記憶する。

【００４２】次に、図７〜図９を参照して、データベー
ス管理サーバ１の動作を説明する。図７は、アクセス権
限自動設定条件定義処理を示すフローチャートであり、
図８は、アクセス権限自動設定処理を示すフローチャー
トであり、図９は、アクセス権限手動変更処理を示すフ
ローチャートである。

【００４３】先ず、データベース管理サーバ１は、図７
に示すアクセス権限自動設定条件定義処理を実行する。
アクセス権限自動設定条件定義処理は、使用頻度計測期
間前に、管理者の入力により、統計管理情報Ｃ２１の使
用頻度計測期間Ｃ２１１及びアクセス許可権限付与条件
情報Ｃ２２を任意に設定する処理である。アクセス権限
自動設定条件定義処理は、管理者により入力部１ｂを介
して開始指示を入力され、ＣＰＵ１ａが前記開始指示を
受信したことをトリガーとして、ＣＰＵ１ａが記憶装置
１ｃのプログラム記憶領域Ｃ１上のアクセス権限自動設
定条件定義処理Ｃ１１のプログラムをＲＡＭ１ｂのプロ
グラム実行領域Ｂ１に展開して実行することにより開始
する。

【００４４】図７のフローチャートは、データベース管
理サーバ１を構成するコンピュータに各機能を実現させ
るための処理を説明する為のものである。この処理は、
ＣＰＵ１ａが読取可能なプログラムコードの形態で記憶
装置１ｃに格納されている例で説明するが、全ての機能
を記憶装置１ｃに格納する必要は無く、必要に応じてそ
の一部若しくは全部を通信ネットワークを介して通信制
御部１ｇから受信して実現するようにしてもよい。この
説明は、図８のアクセス権限自動設定処理、図９のアク
セス権限手動変更処理についても同様である。

【００４５】先ず、ＣＰＵ１ａは、管理者に入力部１ｄ
を介して、使用頻度計測期間の開始日時及び終了日時を
入力させる（ステップＳ１）。当該使用頻度計測期間の
開始日時及び終了日時の値は、管理者が任意に決定する
ものである。そして、ＣＰＵ１ａは、ステップＳ１で入
力された開始日時及び終了日時を、記憶装置１ｃのデー
タ記憶領域Ｃ２上の統計管理情報Ｃ２１の使用頻度計測
期間Ｃ２１１に記憶して設定する（ステップＳ２）。

【００４６】そして、ＣＰＵ１ａは、管理者に入力部１
ｄを介して、操作内容及び当該操作内容に対応するアク
セス許可権限条件を入力させる（ステップＳ３）。当該
操作内容及びアクセス許可権限条件の値は、管理者が任
意に決定するものである。そして、ＣＰＵ１ａは、ステ
ップＳ３で入力された操作内容及びアクセス許可権限条
件を、記憶装置１ｃのデータ記憶領域Ｃ２上のアクセス
許可権限付与条件情報Ｃ２２の操作内容Ｃ２２１及びア
クセス許可権限条件Ｃ２２２に記憶して設定し（ステッ
プＳ４）、アクセス権限自動設定条件定義処理を終了す
る。

【００４７】次に、データベース管理サーバ１は、デー
タベースの運用のためのＤＢＭＳの通常処理を実行す
る。通常処理は、管理者により入力部１ｂから通常処理
の開始指示を入力し、ＣＰＵ１ａが前記開始指示を受信
したことをトリガーとして、ＣＰＵ１ａが記憶装置１ｃ
のプログラム記憶領域Ｃ１上の通常処理Ｃ１４のプログ
ラムをＲＡＭ１ｂのプログラム実行領域Ｂ１に展開して
実行することにより開始する。

【００４８】通常処理の実行動作中に、当該通常処理に
ＤＢＭＳの操作言語であるＳＱＬ文を投入することによ
り、記憶装置１ｃのデータ記憶領域Ｃ２に記憶されたデ
ータベースである、アクセス権限情報Ｃ２３及び本デー
タベースＣ２５を変更操作することができる。

【００４９】そして、データベース管理サーバ１は、Ｄ
ＢＭＳの通常処理の動作中に、図８に示すアクセス権限
自動設定処理を実行する。アクセス権限自動設定処理
は、使用頻度計測期間後に、アクセス権限情報Ｃ２３を
自動的に設定してアクセス要求を実行する処理である。
また予め、アクセス権限情報設定済フラグＣ２４は未設
定に設定されている。

【００５０】アクセス権限自動設定処理は、データベー
スにアクセスしようとするユーザにより、データベース
管理サーバ１の入力部１ｄを介してアクセス要求を入力
されＣＰＵ１ａが受信した場合、若しくは、ユーザが通
信ネットワーク上の端末等の外部機器においてアクセス
要求を入力して、当該アクセス要求を通信ネットワーク
を介してデータベース管理サーバ１に送信し、当該アク
セス要求をデータベース管理サーバ１側で通信ネットワ
ーク及び通信制御部１ｇを介してＣＰＵ１ａが受信した
場合、ＣＰＵ１ａが記憶装置１ｃのプログラム記憶領域
Ｃ１上のアクセス権限自動設定処理Ｃ１２のプログラム
をＲＡＭ１ｂのプログラム実行領域Ｂ１に展開して実行
することにより開始する。

【００５１】ユーザは、アクセス要求時に、当該アクセ
ス要求における、ユーザ名、アクセス対象のオブジェク
ト種類、オブジェクト名称、操作内容の各情報をＳＱＬ
文により入力し、アクセス要求にはこれ等のＳＱＬ文の
情報が含まれているものとする。

【００５２】先ず、ＣＰＵ１ａは、受信したアクセス要
求のＳＱＬ文をＲＡＭ１ｂの作業領域Ｂ２に格納し、Ｒ
ＡＭ１ｂに格納したアクセス要求のＳＱＬ文を解析し、
ユーザ名、オブジェクト種類、オブジェクト名称及び操
作内容を取得し、取得した各情報をＲＡＭ１ｂの作業領
域Ｂ２に格納する（ステップＴ１）。

【００５３】そして、ＣＰＵ１ａは、記憶装置１ｃのデ
ータ記憶領域Ｃ２上の統計管理情報Ｃ２１を参照し、使
用頻度計測期間Ｃ２１１に記憶された開始日時及び終了
日時（アクセス権限自動設定条件定義処理のステップＳ
２で設定済）を取得し、また時計部１ｈから現在日時の
情報を取得し、取得した各情報をＲＡＭ１ｂの作業領域
Ｂ２に格納する（ステップＴ２）。

【００５４】そして、ＣＰＵ１ａは、ＲＡＭ１ｂに格納
された、使用頻度計測期間Ｃ２１１の開始日時及び終了
日時と、現在日時とを比較して、現在日時が使用頻度計
測期間内であるかを判別する（ステップＴ３）。使用頻
度計測期間内である場合（ステップＴ３；ＹＥＳ）、Ｃ
ＰＵ１ａは、ステップＴ１で取得しＲＡＭ１ｂに格納さ
れた、ユーザ名、オブジェクト種類、オブジェクト名称
及び操作内容を、記憶装置１ｃのデータ記憶領域Ｃ２上
の統計管理情報Ｃ２１に記憶されたユーザ別統計情報Ｃ
２１３に追加する（ステップＴ４）。具体的には、ユー
ザ別統計情報Ｃ２１３において、取得したユーザ名に対
応する、データベースアクセスユーザＤ１を検索し、又
は新規にデータベースアクセスユーザＤ１を追加し、デ
ータベースアクセスユーザＤ１に対応して、取得したオ
ブジェクト種類、オブジェクト名称及び操作内容を、１
つの統計情報として記憶する。

【００５５】そして、ＣＰＵ１ａは、ＲＡＭ１ｂ上に格
納されたアクセス要求のＳＱＬ文を通常処理に投入し
て、アクセス要求の実行処理を行い（ステップＴ５）、
アクセス権限自動設定処理を終了する。

【００５６】本実施の形態では、使用頻度計測期間中
は、ユーザのアクセス回数（使用頻度）を計測するため
の仮運用期間であり、アクセス権限反映日時Ｃ２１２前
は、無条件にユーザにアクセス許可権限を与えて、ユー
ザのアクセス要求をステップＴ５で実行しているが、後
述する図９に示すアクセス権限手動変更処理の実行によ
り、アクセス権限情報Ｃ２３のアクセス許可権限を使用
頻度計測期間以後の本格運用期間よりも緩く設定し、ス
テップＴ５においてアクセス権限情報Ｃ２３に従ってア
クセス要求を実行する構成でもよい。

【００５７】使用頻度計測期間内でない場合（ステップ
Ｔ３；ＮＯ）、ＣＰＵ１ａは、ステップＴ１で取得しＲ
ＡＭ１ｂに格納された、ユーザ名、オブジェクト種類、
オブジェクト名称及び操作内容に対応する、記憶装置１
ｃ上のデータ記憶領域Ｃ２に記憶されたアクセス権限情
報設定済フラグＣ２４を参照して、アクセス要求に対応
するアクセス権限情報Ｃ２３が設定済であるかを判別す
る（ステップＴ６）。

【００５８】アクセス権限情報Ｃ２３が設定済でない場
合（ステップＴ６；ＮＯ）、ＣＰＵ１ａは、全ての、ユ
ーザ名、オブジェクト種類、オブジェクト名称、操作内
容の組合せのうちの１つの組合せを生成し、当該組合せ
をＲＡＭ１ｂの作業領域Ｂ２に格納する（ステップＴ
７）。

【００５９】そして、ＣＰＵ１ａは、記憶装置１ｃ上の
データ記憶領域Ｃ２に記憶された統計管理情報Ｃ２１を
参照し、ＲＡＭ１ｂに格納された前記組合せの使用頻度
計測期間中のアクセス回数を取得する（ステップＴ
８）。ステップＴ８は、具体的には、ＣＰＵ１ａは、Ｒ
ＡＭ１ｂに格納された組合せ中のユーザ名、オブジェク
ト種類、オブジェクト名称、操作内容が、統計管理情報
Ｃ２１上のユーザ別統計情報Ｃ２１３に記憶されたデー
タベースアクセスユーザＤ１と、各統計情報に記憶され
たオブジェクト種類、オブジェクト名称、操作内容に、
それぞれ一致又は含まれる統計情報の回数をカウントし
て、使用頻度計測期間中のアクセス回数として取得す
る。

【００６０】そして、ＣＰＵ１ａは、記憶装置１ｃ上の
データ記憶領域Ｃ２に記憶されたアクセス許可権限付与
条件情報Ｃ２２を参照し、ＲＡＭ１ｂに格納された組合
せの操作内容が、アクセス許可権限付与条件情報Ｃ２２
に記憶された操作内容Ｃ２２１に一致又は含まれるアク
セス許可権限付与条件Ｃ２２２を取得する（ステップＴ
９）。

【００６１】そして、ＣＰＵ１ａは、ＲＡＭ１ｂに格納
された前記組合せに対応する、ステップＴ８で取得した
使用頻度計測期間中のアクセス回数が、ステップＴ９で
取得したアクセス許可権限付与条件Ｃ２２２を満たすか
を判別する（ステップＴ１０）。

【００６２】アクセス許可権限付与条件Ｃ２２２を満た
す場合（ステップＴ１０；ＹＥＳ）、ＣＰＵ１ａは、Ｒ
ＡＭ１ｂに格納された前記組合せのオブジェクト種類、
オブジェクト名称、ユーザ名、操作内容を、それぞれ、
記憶装置１ｃのデータ記憶領域Ｃ２のアクセス権限情報
Ｃ２３上のオブジェクト種類Ｃ２３１、オブジェクト名
称Ｃ２３２、ユーザ名Ｃ２３３、許可されている操作内
容Ｃ２３４に追加するＳＱＬ文を生成し、当該生成した
ＳＱＬ文を動作中の通常処理に投入して実行し、アクセ
ス権限情報Ｃ２３を設定する（ステップＴ１１）。

【００６３】そして、ＣＰＵ１ａは、ステップＴ７にお
いて、全ての、ユーザ名、オブジェクト種類、オブジェ
クト名称、操作内容の組合せを生成したかを判別する
（ステップＴ１２）。全ての組合せを生成していない場
合（ステップＴ１２；ＮＯ）、ステップＴ７へ戻り、Ｃ
ＰＵ１ａは生成してない組合せを生成する。アクセス許
可権限付与条件Ｃ２２２を満たさない場合（ステップＴ
１０；ＮＯ）、ステップＴ１２へ進む。

【００６４】全ての組合せを生成した場合（ステップＴ
１２；ＹＥＳ）、ＣＰＵ１ａは、記憶装置１ｃのデータ
記憶領域Ｃ２に記憶されたアクセス権限情報設定済フラ
グＣ２４を設定済に設定する（ステップＴ１３）。そし
て、ＣＰＵ１ａは、記憶装置１ｃのデータ記憶領域Ｃ２
上の統計管理情報Ｃ２１に記憶されたアクセス権限反映
日時Ｃ２１２を参照し、ステップＴ２で取得した現在日
時がアクセス権限反映日時Ｃ２１２後であるかを判別す
る（ステップＴ１４）。アクセス権限情報Ｃ２３が設定
済である場合（ステップＴ６；ＹＥＳ）、ステップＴ１
４に進む。

【００６５】アクセス権限反映日時Ｃ２１２後でない場
合（ステップＴ１４；ＮＯ）、ステップＴ５へ進む。ア
クセス権限反映日時Ｃ２１２後である場合（ステップＴ
１４；ＹＥＳ）、ＣＰＵ１ａは、記憶装置１ｃのデータ
記憶領域Ｃ２上のアクセス権限情報Ｃ２３を参照し、参
照したアクセス権限情報Ｃ２３に従って、アクセス要求
の実行処理を行い（ステップＴ１５）、アクセス権限自
動設定処理を終了する。

【００６６】ステップＴ１５は、具体的には、ＣＰＵ１
ａは、ステップＴ１で取得しＲＡＭ１ｂに格納された、
ユーザ名、オブジェクト種類、オブジェクト名称が、Ｄ
ＢＭＳのデータベースに含まれるアクセス権限情報Ｃ２
３に記憶されたオブジェクト種類Ｃ２３１、オブジェク
ト名称Ｃ２３２、ユーザ名Ｃ２３３にそれぞれ一致又は
含まれるレコードを参照し、当該レコードの許可されて
いる操作内容Ｃ２３４に、ＲＡＭ１ｂに格納された操作
内容が含まれる場合、アクセス許可権限があるものとし
て、ＲＡＭ１ｂに格納されたアクセス要求のＳＱＬ文
を、動作中の通常処理に投入して、記憶装置１ｃのデー
タ記憶領域Ｃ２上の本データベースＣ２５に記憶された
操作対象のオブジェクトに対して、アクセス要求に対応
した操作の通常処理を行う。また、参照した操作内容Ｃ
２３４に、ＲＡＭ１ｂに格納された操作内容が含まれな
い場合、アクセス許可権限がないものとして、アクセス
要求に対応した操作の通常処理を禁止する。

【００６７】次に、図９を参照して、アクセス権限手動
変更処理を説明する。アクセス権限手動変更処理は、使
用頻度計測期間後、管理者の手入力により、アクセス権
限情報Ｃ２３を任意に変更する処理である。

【００６８】アクセス権限手動変更処理は、ユーザから
のアクセス権限情報変更願を管理者が受取った場合、管
理者自身のアクセス権限情報変更必要性を判断した場合
等に、管理者により入力部１ｂを介してアクセス権限手
動変更処理の開始指示を入力され、ＣＰＵ１ａが前記開
始指示を受信したことをトリガーとして、ＣＰＵ１ａが
記憶装置１ｃのプログラム記憶領域Ｃ１上のアクセス権
限手動変更処理Ｃ１３のプログラムをＲＡＭ１ｂのプロ
グラム実行領域Ｂ１に展開して実行することにより開始
する。

【００６９】先ず、ＣＰＵ１ａは、管理者により、アク
セス権限情報Ｃ２３の変更対象の、ユーザ名、オブジェ
クト種類、オブジェクト名称、操作内容及び変更の種類
の各入力情報を入力部１ｂを介して入力させる（ステッ
プＵ１）。入力情報は、例えば、変更の種類が挿入であ
る場合、変更後のユーザ名、オブジェクト種類、オブジ
ェクト名称、操作内容の各情報となり、変更の種類が更
新である場合、変更前及び変更後のユーザ名、オブジェ
クト種類、オブジェクト名称、操作内容の各情報とな
り、変更の種類が削除である場合、変更前のユーザ名、
オブジェクト種類、オブジェクト名称、操作内容の各情
報となる。

【００７０】そして、ＣＰＵ１ａは、ステップＵ１で入
力された入力情報を用いて、変更命令のＳＱＬ文を生成
し、当該生成されたＳＱＬ文を、動作中の通常処理に投
入して、記憶装置１ｃのデータ記憶領域Ｃ２に記憶され
たＤＢＭＳのデータベースに含まれるアクセス権限情報
Ｃ２３を変更し（ステップＵ２）、アクセス権限手動変
更処理を終了する。

【００７１】よって、本実施の形態によれば、データベ
ース運用において、管理者がセキュリティのアクセス権
限情報Ｃ２３を設定する必要がなく、ユーザのアクセス
回数に応じて自動的にユーザ別のアクセス権限情報Ｃ２
３を設定するので、管理者の負担を軽減することがで
き、実運用に沿ったアクセス権限の設定が可能となる。
また、データベースにアクセスしないユーザは自動的に
アクセス権限がなくなるので、セキュリティを強化する
ことができる。

【００７２】また、本実施の形態によれば、データベー
スの本格運用前の仮運用期間として使用頻度計測期間を
設け、使用頻度計測期間中のユーザのアクセス回数を計
測して、当該アクセス回数をアクセス権限情報Ｃ２３に
反映させるので、新たにデータベースを設計して登録し
た際に、運用初期にどのユーザがどのくらいのアクセス
を行うかが不明な期間を利用してアクセス状況を取得す
ることができ、そのアクセス状況が取得できた使用頻度
計測期間後に、必要なアクセス権限を自動設定してデー
タベースの本格運用を行うことができる。

【００７３】また、本実施の形態によれば、アクセス許
可権限付与条件情報Ｃ２２のアクセス許可権限付与条件
Ｃ２２２を設定するので、例えば、アクセス頻度の高い
ユーザにはアクセス権限を付与し、誤って１〜２回アク
セスしたアクセス頻度の低いユーザにはアクセス権限を
付与しない等の設定ができる。更に、アクセス許可権限
付与条件Ｃ２２２を任意に設定するので、データベース
の性質や重要度に応じてアクセス権限付与の閾値を自在
に設定できる。

【００７４】また、本実施の形態によれば、オブジェク
ト種類及びオブジェクト名称によって決まる、データベ
ースの操作対象であるオブジェクト毎に、アクセス権限
情報Ｃ２３を設定することができるので、より柔軟にア
クセス権限を設定することができる。同様に、操作内容
毎に、アクセス権限情報Ｃ２３を設定することができる
ので、より柔軟にアクセス権限を設定することができ
る。

【００７５】また、本実施の形態によれば、アクセス権
限情報Ｃ２３をＤＢＭＳのデータベースの１つとして設
定して、既に構築されたＤＢＭＳの上からアクセス権限
情報Ｃ２３を自動的に設定するシステムを追加する構成
であるので、ＤＢＭＳのプログラムである通常処理Ｃ１
４、並びに、データベースである、アクセス権限情報Ｃ
２３及び本データベースＣ２５を設計変更することな
く、容易に自動的にアクセス権限情報Ｃ２３を設定する
機能を付加することができる。

【００７６】更に、本実施の形態によれば、アクセス権
限手動変更処理の実行により、使用頻度計測期間後に自
動設定されたアクセス権限情報Ｃ２３を、管理者の入力
により、自在に変更することができる。

【００７７】なお、本実施の形態では、データベースに
おけるユーザのアクセス状況を観測する仮運用期間とし
て、ユーザのアクセス回数を計測する使用頻度実行期間
を本格運用時の前に設けたが、これに限るものではな
く、本格運用前及び本格運用中に、少なくとも１回以上
設ける構成でもよい。また、仮運用期間を設けない構成
でもよい。例えば、随時、ユーザのアクセス状況を観測
して、アクセス権限情報の変更に随時反映させる構成で
もよい。

【００７８】また、本実施の形態では、データベースに
おけるユーザのアクセス状況として、ユーザのアクセス
回数を計測する構成であったが、これに限るものではな
く、アクセス状況として、アクセス時間、アクセス回
数、単位時間あたりのアクセス回数であるアクセス割合
等、及びこれ等の組合せ等であってもよく、更に、ユー
ザ名、オブジェクト種類、オブジェクト名称、操作内容
等の情報別、又はその情報の組合せ別に、観測するアク
セス状況を変更する構成でもよい。

【００７９】更に、本実施の形態では、少なくとも1つ
のオブジェクトを格納する、１つの本データベースＣ２
５を記憶装置１ｃのデータ記憶領域Ｃ２に格納する構成
であったが、複数のデータベースからなる本データベー
スＣ２５に対して、各データベース毎にアクセス状況を
観測し、当該本データベース別に観測したアクセス状況
をデータベース別に反映させる構成でもよい。

【００８０】以上、本発明の実施の形態につき説明した
が、本発明は、必ずしも上述した手段及び手法にのみ限
定されるものではなく、本発明にいう目的を達成し、本
発明にいう効果を有する範囲内において適宜に変更実施
が可能なものである。

【００８１】

【発明の効果】本発明によれば、データベース運用にお
いて、管理者がセキュリティのアクセス権限を設定する
必要がなく、ユーザのアクセス状況に応じて自動的に利
用者別のアクセス権限を設定するので、管理者の負担を
軽減することができ、実運用に沿ったアクセス権限の設
定が可能となる。また、データベースにアクセスしない
利用者は自動的にアクセス権限がなくなるので、セキュ
リティを強化することができる。

【図面の簡単な説明】

【図１】本発明の実施の形態のデータベース管理サーバ
１の内部構成を示すブロック図である。

【図２】図１の記憶装置１ｃに記憶されたプログラム領
域Ｃ１の内部構成を示す図である。

【図３】図１の記憶装置１ｃに記憶されたデータ領域Ｃ
２の内部構成を示す図である。

【図４】図３のデータ領域Ｃ２に記憶された統計管理情
報Ｃ２１の内部構成を示す図である。

【図５】図３のデータ領域Ｃ２に記憶されたアクセス許
可権限付与条件情報Ｃ２２の内部構成を示す図である。

【図６】図３のデータ領域Ｃ２に記憶されたアクセス権
限情報Ｃ２３の内部構成を示す図である。

【図７】アクセス権限自動設定条件定義処理を示すフロ
ーチャートである。

【図８】アクセス権限自動設定処理を示すフローチャー
トである。

【図９】アクセス権限手動変更処理を示すフローチャー
トである。

【符号の説明】

１…データベース管理装置 １ａ…ＣＰＵ １ｂ…ＲＡＭ １ｃ…記憶装置 １ｄ…入力部 １ｅ…表示部 １ｆ…印刷装置 １ｇ…通信制御部 １ｈ…時計部 １ｉ…バス

Claims (10)

【特許請求の範囲】
1. 【請求項１】少なくとも１人の利用者がアクセスするデ
   ータベースを管理するデータベース管理装置であって、 前記データベースに対する前記利用者のアクセス状況を
   観測するアクセス状況観測手段と、 前記アクセス状況観測手段において観測されたアクセス
   状況に応じて前記データベースに対する前記利用者のア
   クセス権限を設定するアクセス権限管理手段と、 前記アクセス権限管理手段において設定されたアクセス
   権限に応じて前記データベースを運用するデータベース
   運用手段と、 を具備してなるデータベース管理装置。
2. 【請求項２】前記データベースの仮運用を行う少なくと
   も１つの仮運用期間を指定する仮運用期間指定手段を更
   に具備し、 前記仮運用期間内においては、 前記アクセス状況観測手段は、前記仮運用期間内のアク
   セス状況を観測し、 前記データベース運用手段は、予め設定されたアクセス
   権限に応じて前記データベースを運用し、 前記仮運用期間後においては、 前記アクセス権限管理手段は、前記アクセス状況観測手
   段において観測された前記仮運用期間内のアクセス状況
   に応じてアクセス権限を設定し、 前記データベース運用手段は、前記アクセス権限管理手
   段において設定されたアクセス権限に応じて前記データ
   ベースを運用することを特徴とする請求項１記載のデー
   タベース管理装置。
3. 【請求項３】前記アクセス状況観測手段は、前記仮運用
   期間内にアクセス状況としてアクセス頻度、アクセス時
   間、アクセス割合のうちの少なくとも１つを観測し、 前記アクセス権限管理手段は、前記アクセス状況観測手
   段において観測されたアクセス状況が、予め設定された
   所定値よりも大きい場合にアクセス許可のアクセス権限
   を設定することを特徴とする請求項１又は２記載のデー
   タベース管理装置。
4. 【請求項４】前記アクセス状況を比較する所定値を任意
   に設定する所定値設定手段を更に具備することを特徴と
   する請求項３記載のデータベース管理装置。
5. 【請求項５】前記データベースは複数存在し、 前記アクセス状況観測手段は、前記データベース毎に前
   記利用者のアクセス状況を観測し、 前記アクセス権限管理手段は、前記データベース毎に前
   記利用者のアクセス権限を設定することを特徴とする請
   求項１、２、３又は４記載のデータベース管理装置。
6. 【請求項６】前記アクセス状況観測手段は、前記アクセ
   スの対象毎に前記利用者のアクセス状況を観測し、 前記アクセス権限管理手段は、前記アクセスの対象毎に
   前記利用者のアクセス権限を設定することを特徴とする
   請求項１、２、３、４又は５記載のデータベース管理装
   置。
7. 【請求項７】前記アクセス状況観測手段は、前記アクセ
   スの内容毎に前記利用者のアクセス状況を観測し、 前記アクセス権限管理手段は、前記アクセスの内容毎に
   前記利用者のアクセス権限を設定することを特徴とする
   請求項１、２、３、４、５又は６記載のデータベース管
   理装置。
8. 【請求項８】前記アクセス状況観測手段は、前記データ
   ベースの管理の通常の処理とは別の処理で、前記アクセ
   ス状況の観測を行い、 前記アクセス権限管理手段は、前記データベースの管理
   の通常の処理とは別の処理で、前記アクセス状況観測手
   段において観測されたアクセス状況に基づくアクセス権
   限設定のための前記データベース管理に用いる言語で記
   載された命令を生成して、前記データベースの管理の通
   常の処理において前記命令を実行することにより、前記
   アクセス権限を設定することを特徴とする請求項１、
   ２、３、４、５、６又は７記載のデータベース管理装
   置。
9. 【請求項９】前記アクセス権限管理手段において設定さ
   れたアクセス権限を、前記データベースの管理者の入力
   により変更するアクセス権限変更手段を更に具備し、 前記データベース運用手段は、前記アクセス権限変更手
   段においてアクセス権限が変更された場合、当該変更さ
   れたアクセス権限に応じて前記データベースを運用する
   ことを特徴とする請求項１、２、３、４、５、６、７又
   は８記載のデータベース管理装置。
10. 【請求項１０】コンピュータに、少なくとも１人の利用
    者がアクセスするデータベースに対する前記利用者のア
    クセス状況を観測する機能と、 前記観測されたアクセス状況に応じて前記データベース
    に対する前記利用者のアクセス権限を設定する機能と、 前記設定されたアクセス権限に応じて前記データベース
    を運用する機能と、を実現させるためのプログラム。