JP2020184182A - 開示制御装置、開示制御方法および開示制御プログラム - Google Patents

Abstract

【課題】認可ポリシーにより保護された保護リソースから、データ利用者の要求ポリシーに対応したできるだけ多くのデータを効率的に取得することを目的とする。【解決手段】開示制御装置１００は、データの開示を制御する。ポリシー検証部１３０は、開示が認可されているデータの属性を表す認可属性情報を含む認可ポリシー２１が、利用を要求するデータの属性を表す要求属性情報を含む要求ポリシー２２の上位概念である場合、認可ポリシー２１における認可属性情報が要求属性情報と一致する変換認可ポリシーを用いて、要求ポリシー２２に応じたデータの開示の範囲を表すスコープ２４を決定する。【選択図】図２

Description

本発明は、開示制御装置、開示制御方法および開示制御プログラムに関する。特に、保護リソースに含まれるデータの開示を制御する開示制御装置、開示制御方法および開示制御プログラムに関する。

データ所有者がデータを公開する場合、データ所有者は開示対象データおよび開示先といったポリシーを設定する。データ利用者は取得したいデータを表すポリシーをデータ所有者に提示する。そして、両者のポリシーが一致したデータがデータ利用者に提供される。データ利用者が加工されたデータを要求した場合、「加工して開示」をポリシーに設定したデータ所有者のデータのみが、設定された加工方法で加工されて提供される。
例えば、個人の健康管理データ等複数人のデータを１つのデータベースに保存して管理する装置で説明する。データとしてはデータベースに一元管理されているものの、個人の健康管理データは、各個人がデータ所有者であり、データの開示等のデータの利用方法は各個人が任意に設定できる場合がある。
このように、データ所有者が複数人に分かれるデータにデータ利用者がデータの開示等のリクエストに応じて、アクセスする場合、該当のデータにアクセスできるように、データ所有者のデータごとに異なるアクセストークンを発行する必要がある。
具体的には、データ利用者Ａがデータ所有者Ｘおよびデータ所有者Ｙとの健康管理データを開示するリクエストを行う場合、装置はデータ所有者Ｘ対応のアクセストークンと、データ所有者Ｙ対応のアクセストークンとを発行する必要があり、データ所有者数が増えるほど、処理が煩雑になる。

特許文献１では、センサー利用者の要求ポリシーに合致する許可ポリシーを検索し、合致した許可ポリシーに含まれるセンサーのリストをセンサー利用者に提示することが記載されている。

国際公開第２０１４／０４５６９９号パンフレット

データ所有者が複数人に分かれるデータにアクセスする場合、データ所有者ごとにアクセストークンを変更してリクエストをする必要があるため、煩雑である。また、データ利用者は、加工されているデータを取得できれば十分な場合でも、データ所有者が未加工データを提供しているとデータを受け取れない。もしくは、データ利用者は未加工のデータを受け取ることになり、加工あるいは管理のコストが増大する。

本発明は、認可ポリシーの設定に反することなく、データ利用者の要求ポリシーに対応したできるだけ多くのデータを効率的に取得することを目的とする。

本発明に係る開示制御装置は、データの開示を制御する開示制御装置において、
開示が認可されているデータの属性を表す認可属性情報を含む認可ポリシーが、利用を要求するデータの属性を表す要求属性情報を含む要求ポリシーの上位概念である場合、前記認可ポリシーにおける前記認可属性情報が前記要求属性情報と一致する変換認可ポリシーを用いて、前記要求ポリシーに応じたデータの開示範囲を表すスコープを決定するポリシー検証部を備えた。

本発明に係る開示制御装置では、ポリシー検証部が、開示が認可されているデータの属性を表す認可属性情報を含む認可ポリシーが、利用を要求するデータの属性を表す要求属性情報を含む要求ポリシーの上位概念である場合、前記認可ポリシーにおける前記認可属性情報が前記要求属性情報と一致する変換認可ポリシーを用いて、前記要求ポリシーに応じたデータの開示範囲を表すスコープを決定する。よって、本発明に係る開示制御装置によれば、認可ポリシーにより保護された保護リソースから、データ利用者の要求ポリシーに対応したできるだけ多くのデータを効率的に取得することができる。

実施の形態１に係る開示制御システムの全体構成図。 実施の形態１に係る開示制御装置の構成図。 実施の形態１に係る開示制御装置による開示制御処理のフロー図。 実施の形態１に係る認可ポリシーおよび要求ポリシーの構成図。 実施の形態１に係る認可ポリシーと要求ポリシーと変換認可ポリシーの具体例。 実施の形態１に係る属性階層情報の構成図。 実施の形態１に係る認可ポリシーを読み換えて、変換認可ポリシーとして設定する処理を示す図。 実施の形態１の変形例に係る開示制御装置の構成図。

以下、本発明の実施の形態について、図を用いて説明する。なお、各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る開示制御システム５００の全体構成図である。
図２は、本実施の形態に係る開示制御装置１００の構成図である。
まず、図１を用いて、本実施の形態に係る開示制御システム５００の概要について説明する。
なお本実施の形態において、「開示」とはデータ所有者３１がデータ利用者３２に、該当データの「閲覧」と「取得」とを許容することを示す。

本実施の形態に係る開示制御システム５００は、開示制御装置１００と、リソースサーバ２００とを備える。
リソースサーバ２００には、複数のデータ所有者３１により管理されている保護リソース２２０が記憶されている。データ所有者３１は、リソースオーナともいう。図１には、２人のデータ所有者Ａ，Ｂが記載されている。データ所有者３１は、保護リソース２２０に記憶されているデータの開示に関する認可ポリシー２１を開示制御装置１００に設定する。
また、データ利用者３２は、保護リソース２２０に含まれるデータを利用する。データ利用者３２は、利用したいデータに関する要求ポリシー２２を開示制御装置１００に入力する。
開示制御装置１００は、認可ポリシー２１と要求ポリシー２２とを用いて、データ利用者３２に対してアクセストークン２５を発行することにより、データの開示を制御する。
なお、本実施の形態において、「データ所有者３１により管理されている保護リソース２２０」とは、データ所有者３１が設定した認可ポリシー２１により、データ利用者３２への開示が制限されるデータを示す。また予め、元のデータに、丸め処理等のデータ加工がなされているものも含む。つまり「管理する」とは、データの物理的な管理ではなく、元のデータに対して、データ加工や開示範囲を定めることを示す。保護リソース２２０に格納されているデータには、後述する属性階層情報１６１の種別階層情報６１１に対応し、データの種別を表す属性が付与されている。
また「開示」には、「閲覧」と「取得」が含まれ、「データを開示する」とは、データ利用者３２に対して、データの閲覧および取得を許容することを示す。

図２に示すように、開示制御装置１００は、コンピュータである。開示制御装置１００は、プロセッサ９１０を備えるとともに、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、出力インタフェース９４０、および通信装置９５０といった他のハードウェアを備える。プロセッサ９１０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

開示制御装置１００は、機能要素として、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０と記憶部１６０を備える。記憶部１６０には、認可ポリシー２１と要求ポリシー２２と属性階層情報１６１とスコープ２４とアクセストークン２５が記憶される。

認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の機能は、ソフトウェアにより実現される。記憶部１６０は、メモリ９２１に備えられる。あるいは、記憶部１６０は、補助記憶装置９２２に備えられていてもよい。また、記憶部１６０は、メモリ９２１と補助記憶装置９２２に分けられて備えられてもよい。

プロセッサ９１０は、開示制御プログラムを実行する装置である。開示制御プログラムは、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の機能を実現するプログラムである。
プロセッサ９１０は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９１０の具体例は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ９２１は、データを一時的に記憶する記憶装置である。メモリ９２１の具体例は、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、あるいはＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
補助記憶装置９２２は、データを保管する記憶装置である。補助記憶装置９２２の具体例は、ＨＤＤである。また、補助記憶装置９２２は、ＳＤ（登録商標）メモリカード、ＣＦ、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬の記憶媒体であってもよい。なお、ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。ＳＤ（登録商標）は、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略語である。ＣＦは、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略語である。

入力インタフェース９３０は、マウス、キーボード、あるいはタッチパネルといった入力装置と接続されるポートである。入力インタフェース９３０は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。なお、入力インタフェース９３０は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）と接続されるポートであってもよい。開示制御装置１００は、入力インタフェース９３０を介して、認可ポリシー２１、要求ポリシー２２、および、属性階層情報１６１といった情報を取得してもよい。
出力インタフェース９４０は、ディスプレイといった出力機器のケーブルが接続されるポートである。出力インタフェース９４０は、具体的には、ＵＳＢ端子またはＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。ディスプレイは、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。また、開示制御装置１００は、出力インタフェース９４０を介して、アクセストークン２５をデータ利用者３２に提供してもよい。

通信装置９５０は、レシーバとトランスミッタを有する。通信装置９５０は、無線で、ＬＡＮ、インターネット、あるいは電話回線といった通信網に接続している。通信装置９５０は、具体的には、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。開示制御装置１００は、通信装置９５０を介して、認可ポリシー２１、要求ポリシー２２、および、属性階層情報１６１といった情報を取得してもよい。あるいは、開示制御装置１００は、通信装置９５０を介して、アクセストークン２５をデータ利用者３２に提供してもよい。

開示制御プログラムは、プロセッサ９１０に読み込まれ、プロセッサ９１０によって実行される。メモリ９２１には、開示制御プログラムだけでなく、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。プロセッサ９１０は、ＯＳを実行しながら、開示制御プログラムを実行する。開示制御プログラムおよびＯＳは、補助記憶装置９２２に記憶されていてもよい。補助記憶装置９２２に記憶されている開示制御プログラムおよびＯＳは、メモリ９２１にロードされ、プロセッサ９１０によって実行される。なお、開示制御プログラムの一部または全部がＯＳに組み込まれていてもよい。

開示制御装置１００は、プロセッサ９１０を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、開示制御プログラムの実行を分担する。それぞれのプロセッサは、プロセッサ９１０と同じように、開示制御プログラムを実行する装置である。

開示制御プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ９２１、補助記憶装置９２２、または、プロセッサ９１０内のレジスタあるいはキャッシュメモリに記憶される。

認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えてもよい。また認可ポリシー設定処理と要求ポリシー取得処理とポリシー検証処理とトークン発行処理とトークン検証処理の「処理」を「プログラム」、「プログラムプロダクト」または「プログラムを記録したコンピュータ読取可能な記録媒体」に読み替えてもよい。
開示制御プログラムは、上記の各部の「部」を「処理」、「手順」あるいは「工程」に読み替えた各処理、各手順あるいは各工程を、コンピュータに実行させる。また、開示制御方法は、開示制御装置１００が開示制御プログラムを実行することにより行われる方法である。
開示制御プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、開示制御プログラムは、プログラムプロダクトとして提供されてもよい。

また、リソースサーバ２００も、開示制御装置１００と同様に、コンピュータである。リソースサーバ２００も、開示制御装置１００と同様に、プロセッサ９１０を備えるとともに、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、出力インタフェース９４０、および通信装置９５０といった他のハードウェアを備える。
また、リソースサーバ２００は、機能要素として、データ提供部２１０と保護リソース２２０を備える。その他のハードウェア構成については、開示制御装置１００で説明したものと同様である。

＊＊＊動作の説明＊＊＊
図３を用いて、本実施の形態に係る開示制御装置１００による開示制御処理について説明する。

＜認可ポリシー設定処理：前処理＞
まず、予め、データ所有者３１により認可ポリシー２１が開示制御装置１００に設定される。認可ポリシー２１は、データ所有者３１ごとに設定される。よって、複数のデータ所有者３１が保護リソース２２０にデータを管理している場合、複数のデータ所有者に対応した複数の認可ポリシー２１が設定される。
認可ポリシー設定部１１０は、開示が認可されているデータの属性を表す認可属性情報４２を含む認可ポリシー２１を設定する。認可ポリシー設定部１１０は、複数の認可ポリシー２１を設定する。具体的には、認可ポリシー設定部１１０は、入力インタフェース９３０を介して、各データ所有者３１から認可ポリシー２１を受け付ける。認可ポリシー設定部１１０は、受け付けた認可ポリシー２１を記憶部１６０に記憶する。なお、認可ポリシー２１には複数の認可属性情報４２が含まれることがある。

＜要求ポリシー取得処理：ステップＳ１０１＞
ステップＳ１０１において、要求ポリシー取得部１２０は、利用を要求するデータの属性を表す要求属性情報４３を含む要求ポリシー２２を取得する。具体的には、要求ポリシー取得部１２０は、通信装置９５０を介して、データ利用者３２から要求ポリシー２２を受け付ける。なお、要求ポリシー２２には複数の要求属性情報４３が含まれることがある。

図４は、本実施の形態に係る認可ポリシー２１および要求ポリシー２２の構成を示す図である。
認可ポリシー設定部１１０は、認可属性情報４２として、開示が認可されているデータの種別を表す認可種別情報４２１と、開示が認可されているデータの加工方法を表す認可加工情報４２２とを含む認可ポリシー２１を設定する。また、認可属性情報４２には、開示が認可されている操作が認可操作情報４２３として設定されていてもよい。
要求ポリシー取得部１２０は、要求属性情報４３として、利用を要求するデータの種別を表す要求種別情報４３１と、利用を要求するデータの加工方法を表す要求加工情報４３２とを含む要求ポリシー２２を取得する。また、要求属性情報４３には、利用を要求する操作が要求操作情報４３３として設定されていてもよい。

また、認可種別情報４２１および要求種別情報４３１といったデータの種別を表す情報を、データ種別情報４１１という。認可加工情報４２２および要求加工情報４３２といったデータの加工方法を表す情報を、データ加工情報４１２という。認可操作情報４２３および要求操作情報４３３といったデータに対する操作を表す情報を、データ操作情報４１３という。
認可ポリシー２１および要求ポリシー２２の具体例については、後述する。

＜ポリシー検証処理：ステップＳ１０２からステップＳ１０６＞
次に、ポリシー検証部１３０は、開示が認可されているデータの属性を表す認可属性情報４２を含む認可ポリシー２１が、利用を要求するデータの属性を表す要求属性情報４３を含む要求ポリシー２２の上位概念である場合、認可ポリシー２１における認可属性情報４２が要求属性情報４３と一致する変換認可ポリシー２３を用いて、要求ポリシー２２に応じたデータの開示範囲を表すスコープ２４を決定する。
具体的には、ポリシー検証部１３０は、要求ポリシー２２と認可ポリシー２１とが一致せず、かつ、認可ポリシー２１の認可属性情報４２が要求ポリシー２２の要求属性情報４３より上位概念と判定される場合、認可ポリシー２１における認可属性情報４２を要求属性情報４３に一致させるように読み換える。つまり、ポリシー検証部１３０は、認可ポリシー２１における認可属性情報４２を要求属性情報４３に読み換えて（変換して）、変換認可ポリシー２３として設定する。例えば、ポリシー検証部１３０は、要求ポリシー２２の要求属性情報４３と同一の属性で成る認可属性情報４２を含む変換認可ポリシー２３を設定する。

また、ポリシー検証部１３０は、要求ポリシー２２と複数の認可ポリシーの各認可ポリシー２１とが一致せず、かつ、各認可ポリシー２１の認可属性情報４２が要求ポリシー２２の要求属性情報４３より上位概念である場合に、変換認可ポリシー２３を開示範囲として決定する。ポリシー検証部１３０は、要求ポリシー２２と複数の認可ポリシーの各認可ポリシー２１とが一致する場合は、認可ポリシー２１を開示範囲として決定する。そして、ポリシー検証部１３０は、複数の認可ポリシーの全ての認可ポリシーの開示範囲に基づいて、要求ポリシー２２に応じたデータの開示範囲を表すスコープ２４を決定する。

より具体的には、以下の通りである。

ステップＳ１０２において、ポリシー検証部１３０は、要求ポリシー２２と認可ポリシー２１とが一致するか否かを判定する。図４の例では、ポリシー検証部１３０は、要求ポリシー２２と認可ポリシー２１との、データ種別情報４１１とデータ加工情報４１２とデータ操作情報４１３の全てが一致していれば、要求ポリシー２２と認可ポリシー２１が一致すると判定する。要求ポリシー２２と認可ポリシー２１との、データ種別情報４１１とデータ加工情報４１２とが一致していれば、要求ポリシー２２と認可ポリシー２１が一致すると判定してもよい。一致している場合は、ステップＳ１０２ａに進む。一致していない場合は、ステップＳ１０３に進む。
ステップＳ１０２ａにおいて、ポリシー検証部１３０は、認可ポリシー２１を要求ポリシー２２に応じたデータの開示範囲と決定する。

図５は、本実施の形態に係る認可ポリシーＡ，Ｂと要求ポリシーＲと変換認可ポリシーＡ１の具体例を示す図である。
図５において、認可ポリシーＡはデータ所有者Ａの認可ポリシー２１を表す。認可ポリシーＢはデータ所有者Ｂの認可ポリシー２１を表す。また、図５では、説明を分かり易くするために各ポリシーを文章で表している。例えば、認可ポリシーＡでは、「認可種別情報４２１：認可加工情報４２２：認可操作情報４２３」により表される認可属性情報４２は、「家電機器：未加工：開示」となる。認可ポリシーＢは、「エアコンディショナー：未加工：開示」と「エアコンディショナーの消費電力量：丸め処理：開示」との２つの認可属性情報４２となる。
要求ポリシーＲでは、「要求種別情報４３１：要求加工情報４３２：要求操作情報４３３」により表される要求属性情報４３は、「エアコンディショナー：未加工：開示」と「エアコンディショナーの消費電力量：丸め処理：開示」の２つの要求属性情報４３となる。
図５の具体例では、認可ポリシーＡと要求ポリシーＲとは、一致しないが、認可ポリシーＡの認可加工情報４２２が要求ポリシーＲの要求加工情報４３２より上位概念であることが確認できる。よって、認可ポリシーＡの認可加工情報４２２を要求加工情報４３２と一致するように下位概念に読み換えた変換認可ポリシーＡ１が設定される。変換認可ポリシーＡ１は、認可ポリシーＡを読み換えたものであり、記憶部１６０に記憶される。一方、認可ポリシーＢと要求ポリシーＲとは、一致する。

ステップＳ１０３において、ポリシー検証部１３０は、認可ポリシー２１の読み換えが可能か否かを判定する。ポリシー検証部１３０は、認可ポリシー２１の認可属性情報４２が要求ポリシー２２の要求属性情報４３より上位概念であると判定した場合に、認可ポリシー２１の読み換えが可能と判定する。ポリシー検証部１３０は、データの属性を表すデータ属性情報４１の対応関係に基づいて、認可属性情報４２が要求属性情報４３に含まれるか否かを判定する。データ属性情報４１の対応関係には、データの種別を表すデータ種別情報４１１の対応関係と、データの加工方法を表すデータ加工情報４１２の対応関係とが含まれる。また、データに対する操作を表すデータ操作情報４１３の対応関係が含まれていてもよい。

図６は、本実施の形態に係る属性階層情報１６１の構成を示す図である。
記憶部１６０には、属性階層情報１６１が記憶されている。属性階層情報１６１は、データ種別情報４１１の包含関係を階層構造で表した種別階層情報６１１と、データ加工情報４１２の包含関係を階層構造で表した加工階層情報６１２と含む。
図６の種別階層情報６１１では、「全て」は、「全て」と「分類１」と「家電」を包含している。「分類１」は「分類２」を包含する。そして、「家電」は、「家電」と「エアコンディショナー」を包含している。「エアコンディショナー」は、「エアコンディショナーの消費電力量」と「エアコンディショナーの動作履歴」を包含している。このように、図６において、矢印は包含関係を表している。
また、図６の加工階層情報６１２では、「未加工」は「未加工」と「１次加工」と「丸め処理」を包含している。「１次加工」は「１次加工」と「２次加工」を包含する。
このように属性階層情報１６１は、データ種別および加工方法を、階層関係を持つように上位概念に包含される下位概念を定義している。概念Ａが「包含する」という場合、概念Ａの下位概念とともに、概念Ａも含まれる。つまり上述したとおり、種別階層情報６１１の「全て」には、「全て」と「分類１」と「家電」が含まれる。
また認可ポリシー２１の属性階層情報１６１（認可属性情報４２）が要求ポリシー２２の属性階層情報１６１（要求属性情報４３）より上位概念と判定される場合、認可ポリシー２１における属性階層情報１６１の方がより広く許容されているため、認可属性情報４２を要求属性情報４３に読み換えて以降の処理を行うことが可能となる。

図７は、本実施の形態に係る認可ポリシーＡを読み換えて、変換認可ポリシーＡ１として設定する処理を示す図である。
ポリシー検証部１３０は、属性階層情報１６１に基づいて、認可属性情報４２が要求属性情報４３と一致するか、あるいは認可属性情報４２が要求属性情報４３より上位概念であるか否かを判定する。
図５および図７の具体例を用いて説明する。
認可ポリシーＡの「家電」は、要求ポリシーＲの「エアコンディショナー」と「エアコンディショナーの消費電力量」より上位概念にある。また、認可ポリシーＡの「未加工」は、要求ポリシーＲの「未加工」と一致し、「丸め処理」の上位概念になる。また、認可ポリシーＡの「取得」は、要求ポリシーＲの「取得」と一致する。よって、ポリシー検証部１３０は、属性階層情報１６１に基づいて、認可属性情報４２が要求属性情報４３と一致するか、上位概念であると判定する。認可属性情報４２が要求属性情報４３と一致するか上位概念である場合、認可ポリシー２１が要求ポリシー２２と一致するか上位概念であることを意味し、ステップＳ１０４に進む。認可属性情報４２が要求属性情報４３より下位概念である場合、認可ポリシー２１が要求ポリシー２２より下位概念であることを意味するので、スコープを決定せずに、ステップＳ１０６に進み、次の認可ポリシー２１に対する処理を行う。

ステップＳ１０４において、ポリシー検証部１３０は、認可ポリシー２１における認可属性情報４２を要求属性情報４３に読み換えることにより、変換認可ポリシー２３を設定する。
ステップＳ１０４ａにおいて、ポリシー検証部１３０は、変換認可ポリシー２３を要求ポリシー２２に応じたデータの開示範囲と決定する。

図７の具体例を用いて説明する。
ポリシー検証部１３０は、要求ポリシー２２が複数の要求属性情報４３を有している場合は、それぞれの要求属性情報４３に対応して認可ポリシー２１の読み換えを行う。図７では、１つめの要求属性情報４３に対応して、認可ポリシーＡの「家電」が要求ポリシーＲの「エアコンディショナー」より上位概念であるので、「家電」を「エアコンディショナー」に読み換える。ポリシー検証部１３０は、一致している情報である「未加工」および「取得」については、読み換えてもそのままであるため読み換えを行わない。
また、２つめの要求属性情報４３に対応して、認可ポリシーＡの「家電」が要求ポリシーＲの要求種別情報４３１である「エアコンディショナーの消費電力量」より上位概念であるので、「家電」を「エアコンディショナーの消費電力量」に読み換える。認可ポリシーＡの「未加工」が要求ポリシーＲの「丸め処理」より上位概念であるので、「未加工」を「丸め処理」に読み換える。ポリシー検証部１３０は、一致している情報である「取得」については、読み換えてもそのままであるため読み換えを行わない。
以上の処理により、「家電：未加工：取得」の認可属性情報４２から成る認可ポリシーＡから、「エアコンディショナー：未加工：取得」および「エアコンディショナーの消費電力量：丸め処理：取得」の２つの認可属性情報４２から成る変換認可ポリシーＡ１が設定される。

ステップＳ１０５において、ポリシー検証部１３０は、開示範囲として決定されたポリシーをスコープ２４に追加する。要求ポリシー２２と認可ポリシー２１とが一致せず、かつ、認可ポリシー２１の読み換えが可能な場合は、変換認可ポリシー２３が開示範囲としてスコープ２４に追加される。また、要求ポリシー２２と認可ポリシー２１とが一致する場合（すなわち、ステップＳ１０２においてＹＥＳのとき）は、認可ポリシー２１が開示範囲としてスコープ２４に追加される。

ステップＳ１０６において、ポリシー検証部１３０は、複数の認可ポリシーの全ての認可ポリシー２１について要求ポリシー２２に応じた開示範囲が決定されたかを判定する。すなわち、全てのデータ所有者３１の認可ポリシー２１について処理が完了したかを判定する。全てのデータ所有者３１の認可ポリシー２１について処理が完了した場合、ステップＳ１０７に進む。未処理の認可ポリシー２１がある場合は、ステップＳ１０２に戻り、次の未処理の認可ポリシー２１について処理を行う。

ここで、複数のデータ所有者３１、すなわち、複数の認可ポリシー２１が存在する場合について、図５の具体例を用いて説明する。図５において、まず、認可ポリシーＡに対する処理を行い、次に認可ポリシーＢに対する処理を行う場合について説明する。

認可ポリシーＡは、要求ポリシー２２と一致せず、かつ、読み換えが可能なため、変換認可ポリシーＡ１が設定されている。そこで、ポリシー検証部１３０は、変換認可ポリシーＡ１「データ所有者Ａの「エアコンディショナー」のデータを開示してよい。ただし、消費電力量は「丸め処理」された値である」を開示範囲として決定する。そして、ポリシー検証部１３０は、この開示範囲を、記憶部１６０のスコープ２４に追加する。このとき、記憶部１６０のスコープ２４は、「データ所有者Ａの「エアコンディショナー」のデータを取得してよい。ただし、消費電力量は「丸め処理」された値である」となる。

次に、認可ポリシーＢの処理を行う。認可ポリシーＢは、要求ポリシー２２と一致する。そこで、ポリシー検証部１３０は、認可ポリシーＢ「データ所有者Ｂの「エアコンディショナー」のデータを開示してよい。ただし、消費電力量は「丸め処理」された値である」を開示範囲として決定する。そして、ポリシー検証部１３０は、この開示範囲を、記憶部１６０のスコープ２４に追加する。
以上の処理の結果、認可ポリシーＡ，Ｂに対応する開示範囲が追加されたスコープ２４は、「データ所有者Ａ，Ｂの「エアコンディショナー」のデータを取得してよい。ただし、消費電力量は「丸め処理」された値である」となる。

＜トークン発行処理：ステップＳ１０７＞
ステップＳ１０７において、トークン発行部１４０は、スコープ２４に基づいてアクセストークン２５を発行する。具体的には、トークン発行部１４０は、記憶部１６０に記憶されているスコープ２４を用いてアクセストークン２５を生成し、出力インタフェース９４０あるいは通信装置９５０を介して、アクセストークン２５をデータ利用者３２に出力する。

データ利用者３２は、発行されたアクセストークン２５を付与して、リソースサーバ２００に保護リソース２２０に対するアクセスを要求するデータアクセス要求を送信する。
リソースサーバ２００のデータ提供部２１０は、アクセストークン２５が付与されたデータアクセス要求を受信すると、開示制御装置１００にアクセストークン２５の検証を要求する検証要求を送信する。
開示制御装置１００のトークン検証部１５０は、検証要求を受信するとアクセストークン２５の正当性を検証し、検証結果をリソースサーバ２００に送信する。

リソースサーバ２００のデータ提供部２１０は、トークン検証部１５０からの検証結果が成功であれば、データアクセス要求に応じて、データ利用者３２にデータを提供する。このとき、データ提供部２１０は、保護リソース２２０から要求ポリシー２２に応じたデータ種別のデータを抽出し、要求ポリシー２２に応じた加工を施し、データ利用者３２に提供する。例えば、保護リソース２２０には、既に加工済みのデータが格納されていてもよい。あるいは、保護リソース２２０には、加工前のデータと加工済みのデータが混在して格納されていてもよい。データ提供部２１０は、既に加工済みのデータに対して要求ポリシー２２に応じて３次加工を施してもよいし、既にデータ利用者３２が所望の加工が施されていれば、そのままデータ利用者３２に提供してもよい。
また、データ提供部２１０は、検証結果が失敗であれば、データ利用者３２にエラーの警告といった通知を出力する。

＊＊＊他の構成＊＊＊
＜変形例１＞
本実施の形態では、ポリシー検証部は、認可ポリシーごとに開示範囲を決定し、決定した開示範囲をスコープに追加する処理を行っている。しかし、ポリシー検証部は、ステップＳ１０２ａあるいはステップＳ１０４ａで決定した開示範囲をメモリに記憶しておき、全ての認可ポリシーの処理が完了した後に、メモリに記憶しておいた全ての認可ポリシーの開示範囲を用いてスコープを決定してもよい。

＜変形例２＞
図５の属性階層情報１６１では、データ種別の包含関係を表す種別階層情報６１１と、加工方法の包含関係を表す加工階層情報６１２とを具体例として記載したが、データに対する操作の包含関係を表す情報を含んでいてもよい。例えば、種別階層情報６１１と加工階層情報６１２に加えて、「開示」が「取得」を包含し、「取得」が「閲覧」を包含する操作階層情報を含んでもよい。
また、図５では、種別階層情報６１１と加工階層情報６１２を区別して記載したが、全てから始まる１つの階層構造で、属性階層情報１６１を表してもよい。例えば、「全て」が、「家電」、「未加工」、および「開示」を包含し、その下に各分類の包含関係を設定してもよい。また、属性階層情報１６１には、データの取得元のユーザの条件を記載してもよい。例えば、「ユーザ」から、「所定の地域に住むユーザ」、「所定の年令の範囲のユーザ」、および「所定のマンションの住人」といった情報の包含関係を設定してもよい。

＜変形例３＞
本実施の形態では、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の機能がソフトウェアで実現される。変形例として、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の機能がハードウェアで実現されてもよい。

図８は、本実施の形態の変形例に係る開示制御装置１００の構成図である。
開示制御装置１００は、電子回路９０９、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、および出力インタフェース９４０を備える。

電子回路９０９は、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の機能を実現する専用の電子回路である。
電子回路９０９は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。

認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。
別の変形例として、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。
また、別の変形例として、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の一部あるいはすべての機能が、ファームウェアで実現されていてもよい。

プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、開示制御装置１００において、認可ポリシー設定部１１０と要求ポリシー取得部１２０とポリシー検証部１３０とトークン発行部１４０とトークン検証部１５０の機能は、プロセッシングサーキットリにより実現される。

＊＊＊本実施の形態の効果の説明＊＊＊
本実施の形態に係る開示制御装置１００では、予め設定されるデータ種別および加工方法の階層関係に基づき、所有者の設定した認可ポリシーを、利用者が要求する要求ポリシーに一致するように読み換える。本実施の形態に係る開示制御装置１００によれば、所有者のポリシーを利用者の要求に合わせるので、利用者に所望のポリシーに基づき加工されたデータを提供できる。本実施の形態に記載の技術は、今後、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）プラットフォーム上のデータを提供するにあたり、利用者の要求を満たすデータを取得可能とするための基礎技術として活用可能である。

また、本実施の形態に係る開示制御装置１００では、全てのデータ所有者の認可ポリシーについて読み換えが可能かを判定し、一致する認可ポリシー、および、読み換えが可能な認可ポリシーについて、開示範囲を決定し、全ての開示範囲によりスコープを決定する。そして、本実施の形態に係る開示制御装置１００では、スコープに基づいてアクセストークンを発行する。よって、本実施の形態に係る開示制御装置１００によれば、データ利用者は一度のリクエストで複数のデータ所有者にまたがる、要求する加工処理が施された最大限の保護リソースが取得できる。すなわち、本実施の形態に係る開示制御装置１００によれば、認可ポリシーにより保護された保護リソースから、データ利用者の要求ポリシーに対応した最大限のデータを効率的に取得することができる。

以上の実施の形態１では、開示制御装置の各部を独立した機能ブロックとして説明した。しかし、開示制御装置の構成は、上述した実施の形態のような構成でなくてもよい。開示制御装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、開示制御装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。
また、実施の形態１のうち、複数の部分を組み合わせて実施しても構わない。あるいは、この実施の形態のうち、１つの部分を実施しても構わない。その他、この実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。

なお、上述した実施の形態は、本質的に好ましい例示であって、本発明の範囲、本発明の適用物の範囲、および本発明の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

２１ 認可ポリシー、２２ 要求ポリシー、２３ 変換認可ポリシー、２４ スコープ、２５ アクセストークン、３１ データ所有者、３２ データ利用者、４１ データ属性情報、４２ 認可属性情報、４３ 要求属性情報、１００ 開示制御装置、１１０ 認可ポリシー設定部、１２０ 要求ポリシー取得部、１３０ ポリシー検証部、１４０ トークン発行部、１５０ トークン検証部、１６０ 記憶部、１６１ 属性階層情報、２００ リソースサーバ、２１０ データ提供部、２２０ 保護リソース、４１１ データ種別情報、４１２ データ加工情報、４１３ データ操作情報、４２１ 認可種別情報、４２２ 認可加工情報、４２３ 認可操作情報、４３１ 要求種別情報、４３２ 要求加工情報、４３３ 要求操作情報、５００ 開示制御システム、６１１ 種別階層情報、６１２ 加工階層情報、９０９ 電子回路、９１０ プロセッサ、９２１ メモリ、９２２ 補助記憶装置、９３０ 入力インタフェース、９４０ 出力インタフェース、９５０ 通信装置。

Claims (8)

1. データの開示を制御する開示制御装置において、
   開示が認可されているデータの属性を表す認可属性情報を含む認可ポリシーが、利用を要求するデータの属性を表す要求属性情報を含む要求ポリシーの上位概念である場合、前記認可ポリシーにおける前記認可属性情報が前記要求属性情報と一致する変換認可ポリシーを用いて、前記要求ポリシーに応じたデータの開示範囲を表すスコープを決定するポリシー検証部を備えた開示制御装置。
2. 前記認可ポリシーは、複数の認可ポリシーを含み、
   前記ポリシー検証部は、
   前記要求ポリシーと前記複数の認可ポリシーの各認可ポリシーとが一致せず、かつ、各認可ポリシーの前記認可属性情報が前記要求ポリシーの前記要求属性情報より上位概念である場合に、前記変換認可ポリシーを開示範囲として決定し、前記要求ポリシーと前記複数の認可ポリシーの各認可ポリシーとが一致する場合は、前記認可ポリシーを開示範囲として決定し、前記複数の認可ポリシーの全ての認可ポリシーの開示範囲に基づいて前記スコープを決定し、
   前記開示制御装置は、さらに、
   前記スコープに基づいてアクセストークンを発行するトークン発行部を備えた請求項１に記載の開示制御装置。
3. 前記ポリシー検証部は、
   データの属性を表すデータ属性情報の包含関係に基づいて、前記認可属性情報が前記要求属性情報と一致するかあるいは上位概念であるか否かを判定する請求項１または請求項２に記載の開示制御装置。
4. 前記開示制御装置は、
   前記認可属性情報を含む認可ポリシーを設定する認可ポリシー設定部と、
   前記要求属性情報を含む要求ポリシーを取得する要求ポリシー取得部とを備え、
   前記認可ポリシー設定部は、
   前記認可属性情報として、前記開示が認可されているデータの種別を表す認可種別情報と、前記開示が認可されているデータの加工方法を表す認可加工情報とを含む前記認可ポリシーを設定し、
   前記要求ポリシー取得部は、
   前記要求属性情報として、前記利用を要求するデータの種別を表す要求種別情報と、前記利用を要求するデータの加工方法を表す要求加工情報とを含む前記要求ポリシーを取得する請求項３に記載の開示制御装置。
5. 前記ポリシー検証部は、
   前記データ属性情報の包含関係として、データの種別を表すデータ種別情報の包含関係と、データの加工方法を表すデータ加工情報の包含関係とに基づいて、前記認可属性情報が前記要求属性情報と一致するかあるいは上位概念であるか否かを判定する請求項４に記載の開示制御装置。
6. 前記開示制御装置は、
   前記データ種別情報の包含関係を階層構造で表した種別階層情報と、前記データ加工情報の包含関係を階層構造で表した加工階層情報とを属性階層情報として記憶する記憶部を備え、
   前記ポリシー検証部は、
   前記属性階層情報に基づいて、前記認可属性情報が前記要求属性情報と一致するかあるいは上位概念であるか否かを判定する請求項５に記載の開示制御装置。
7. データの開示を制御する開示制御装置の開示制御方法において、
   ポリシー検証部は、開示が認可されているデータの属性を表す認可属性情報を含む認可ポリシーが、利用を要求するデータの属性を表す要求属性情報を含む要求ポリシーの上位概念である場合、前記認可ポリシーにおける前記認可属性情報が前記要求属性情報と一致する変換認可ポリシーを用いて、前記要求ポリシーに応じたデータの開示の範囲を表すスコープを決定する開示制御方法。
8. データの開示を制御する開示制御装置の開示制御プログラムにおいて、
   開示が認可されているデータの属性を表す認可属性情報を含む認可ポリシーが、利用を要求するデータの属性を表す要求属性情報を含む要求ポリシーの上位概念である場合、前記認可ポリシーにおける前記認可属性情報が前記要求属性情報と一致する変換認可ポリシーを用いて、前記要求ポリシーに応じたデータの開示の範囲を表すスコープを決定するポリシー検証処理をコンピュータである前記開示制御装置に実行させる開示制御プログラム。

Images