JP2717502B2 - 属性結合の機密保護装置 - Google Patents
属性結合の機密保護装置Info
- Publication number
- JP2717502B2 JP2717502B2 JP6043409A JP4340994A JP2717502B2 JP 2717502 B2 JP2717502 B2 JP 2717502B2 JP 6043409 A JP6043409 A JP 6043409A JP 4340994 A JP4340994 A JP 4340994A JP 2717502 B2 JP2717502 B2 JP 2717502B2
- Authority
- JP
- Japan
- Prior art keywords
- attribute
- security
- combination
- value
- values
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Fee Related
Links
Landscapes
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
Description
【０００１】
【産業上の利用分野】この発明は、属性結合の機密保護
装置に関し、特に、複数の属性を表形式で表わすデータ
ベースとして、たとえばリレーショナルデータベースの
属性結合を機密保護することができるような属性結合の
機密保護装置に関する。
装置に関し、特に、複数の属性を表形式で表わすデータ
ベースとして、たとえばリレーショナルデータベースの
属性結合を機密保護することができるような属性結合の
機密保護装置に関する。
【０００２】
【従来の技術】データベースにおいて、表形式を採用し
たデータベースはリレーショナルデータベースと呼ばれ
る。このリレーショナルデータベースにおける属性結合
の機密保護とは、表１のような名前、職業という属性か
らなる表がある場合に、名前の一覧、職業の一覧は見せ
てもよいが、誰がどの職業についているかを知られない
ようにするということである。すなわち、名前−職業の
結合データを知られてはらないという機密保護問題であ
る。
たデータベースはリレーショナルデータベースと呼ばれ
る。このリレーショナルデータベースにおける属性結合
の機密保護とは、表１のような名前、職業という属性か
らなる表がある場合に、名前の一覧、職業の一覧は見せ
てもよいが、誰がどの職業についているかを知られない
ようにするということである。すなわち、名前−職業の
結合データを知られてはらないという機密保護問題であ
る。
【０００３】
【表１】
【０００４】図４は、従来の属性結合の機密保護装置の
概略ブロック図および機密保護されるリレーショナルデ
ータベースを示した図である。
概略ブロック図および機密保護されるリレーショナルデ
ータベースを示した図である。
【０００５】図４を参照して、表Ｔを用いたリレーショ
ナルデータベース１に対しての属性結合の機密保護装置
５は、単独属性アクセス制御部７と、属性結合アクセス
制御部９とを含む。このような構成に基づく属性結合の
機密保護装置５は、Chatvichienchai,S.and Kambayash
i,Y.,“Preventing Inference and Unauthorized Modif
ication of Protected Data in Multilevel Relational
Databases,”情報研報89-DBS 69-2,Jan.1989. およびM
illen, J.K.and Lunt,T.F.,“Security for Object-Ori
ented Database Systems,”1992 IEEE Computer Societ
y Symposium onResearch in Security and Privacy,pp.
260-272,May 1992. で提案されている方式に基づいてい
る。
ナルデータベース１に対しての属性結合の機密保護装置
５は、単独属性アクセス制御部７と、属性結合アクセス
制御部９とを含む。このような構成に基づく属性結合の
機密保護装置５は、Chatvichienchai,S.and Kambayash
i,Y.,“Preventing Inference and Unauthorized Modif
ication of Protected Data in Multilevel Relational
Databases,”情報研報89-DBS 69-2,Jan.1989. およびM
illen, J.K.and Lunt,T.F.,“Security for Object-Ori
ented Database Systems,”1992 IEEE Computer Societ
y Symposium onResearch in Security and Privacy,pp.
260-272,May 1992. で提案されている方式に基づいてい
る。
【０００６】単独属性アクセス制御部７は、表Ｔのそれ
ぞれの属性Ａ，Ｂに対してアクセス許可を設定する。属
性結合アクセス制御部９は、たとえば属性Ａと属性Ｂと
の間での属性結合に対して機密保護を設定する。すなわ
ち、表１を用いて具体的に説明すると、単独属性アクセ
ス制御部７は、名前、職業の単独属性にアクセス権を与
え、属性結合アクセス制御部９は、名前−職業の属性結
合にはアクセス権を与えないことで、属性結合の機密保
護が行なわれている。
ぞれの属性Ａ，Ｂに対してアクセス許可を設定する。属
性結合アクセス制御部９は、たとえば属性Ａと属性Ｂと
の間での属性結合に対して機密保護を設定する。すなわ
ち、表１を用いて具体的に説明すると、単独属性アクセ
ス制御部７は、名前、職業の単独属性にアクセス権を与
え、属性結合アクセス制御部９は、名前−職業の属性結
合にはアクセス権を与えないことで、属性結合の機密保
護が行なわれている。
【０００７】
【発明が解決しようとする課題】しかしながら、従来の
属性結合の機密保護装置では、識別子と属性結合に含ま
れる各属性との間の属性結合に対して機密保護を設定し
ておらず、識別子ごとに、属性（名前または職業）を指
定して属性値を見ると、名前−職業の結合データの値が
わかってしまうという問題があった。すなわち、識別子
−名前、または識別子−職業の属性結合に対して機密保
護していないため、名前−職業の結合データの値がわか
ってしまうという問題があった。
属性結合の機密保護装置では、識別子と属性結合に含ま
れる各属性との間の属性結合に対して機密保護を設定し
ておらず、識別子ごとに、属性（名前または職業）を指
定して属性値を見ると、名前−職業の結合データの値が
わかってしまうという問題があった。すなわち、識別子
−名前、または識別子−職業の属性結合に対して機密保
護していないため、名前−職業の結合データの値がわか
ってしまうという問題があった。
【０００８】また、識別子以外の属性で、機密保護の対
象となっている属性結合に含まれない第３の属性によ
り、機密保護の対象となっている属性結合の結合データ
の値がある程度推定されてしまうという問題もあった。
たとえば、表１で、名前−職業の属性結合が機密保護さ
れていても、鈴木さんの出身地が京都であることを知
り、出身地が京都である人の職業を調べることにより、
鈴木さんの職業は医師であるかもしれないということが
わかってしまうという問題があった。
象となっている属性結合に含まれない第３の属性によ
り、機密保護の対象となっている属性結合の結合データ
の値がある程度推定されてしまうという問題もあった。
たとえば、表１で、名前−職業の属性結合が機密保護さ
れていても、鈴木さんの出身地が京都であることを知
り、出身地が京都である人の職業を調べることにより、
鈴木さんの職業は医師であるかもしれないということが
わかってしまうという問題があった。
【０００９】ゆえに、本発明は、上記のような問題を解
決し、識別子をも１つの属性として含めた属性結合の機
密保護を必要に応じて柔軟に設定することができるよう
な属性結合の機密保護装置を提供することである。
決し、識別子をも１つの属性として含めた属性結合の機
密保護を必要に応じて柔軟に設定することができるよう
な属性結合の機密保護装置を提供することである。
【００１０】
【課題を解決するための手段】請求項１の発明に係る属
性結合の機密保護装置は、複数の属性を表形式で表わす
データベースにおいて、それらの属性間の値を結合して
得られる複数の属性結合を機密保護する属性結合の機密
保護装置であって、各属性の機密保護を設定する属性機
密保護手段と、複数の属性結合を組合わせ、その結合デ
ータの値を検索して結合データを解析する属性結合推移
解析手段と、結合データの解析結果に基づいて、複数の
属性結合の機密保護を設定する属性結合機密保護手段と
を備えている。
性結合の機密保護装置は、複数の属性を表形式で表わす
データベースにおいて、それらの属性間の値を結合して
得られる複数の属性結合を機密保護する属性結合の機密
保護装置であって、各属性の機密保護を設定する属性機
密保護手段と、複数の属性結合を組合わせ、その結合デ
ータの値を検索して結合データを解析する属性結合推移
解析手段と、結合データの解析結果に基づいて、複数の
属性結合の機密保護を設定する属性結合機密保護手段と
を備えている。
【００１１】請求項２では、請求項１の属性結合推移解
析手段は、結合データの値が推定される危険度を求め、
その危険度と所定の値と比較解析する。
析手段は、結合データの値が推定される危険度を求め、
その危険度と所定の値と比較解析する。
【００１２】請求項３では、請求項２の属性結合機密保
護手段は、危険度が所定の値よりも大きいことに応じて
複数の属性結合の機密保護を設定する。
護手段は、危険度が所定の値よりも大きいことに応じて
複数の属性結合の機密保護を設定する。
【００１３】請求項４の発明に係る属性結合の機密保護
装置は、複数の属性を表形式で表わすデータベースにお
いて、第１の属性、第２の属性および第３の属性を結合
して得られる属性結合を機密保護する属性結合の機密保
護装置であって、第１の属性、第２の属性および第３の
属性のそれぞれは、異なる複数の値を有し、第１の属
性、第２の属性および第３の属性のそれぞれの機密保護
を設定する属性機密保護手段と、第１の属性および第３
の属性間での属性結合と第３の属性および第２の属性間
での属性結合とを組合わせ、第１の属性の値に対応する
第２の属性の値の集合を第３の属性を経由して検索する
ことで求め、その集合に基づいて組合わされた属性結合
の結合データを解析する属性結合推移解析手段と、属性
結合推移解析手段の解析結果に基づいて、組合わされた
属性結合の機密保護を設定する属性結合機密保護手段と
を備えている。
装置は、複数の属性を表形式で表わすデータベースにお
いて、第１の属性、第２の属性および第３の属性を結合
して得られる属性結合を機密保護する属性結合の機密保
護装置であって、第１の属性、第２の属性および第３の
属性のそれぞれは、異なる複数の値を有し、第１の属
性、第２の属性および第３の属性のそれぞれの機密保護
を設定する属性機密保護手段と、第１の属性および第３
の属性間での属性結合と第３の属性および第２の属性間
での属性結合とを組合わせ、第１の属性の値に対応する
第２の属性の値の集合を第３の属性を経由して検索する
ことで求め、その集合に基づいて組合わされた属性結合
の結合データを解析する属性結合推移解析手段と、属性
結合推移解析手段の解析結果に基づいて、組合わされた
属性結合の機密保護を設定する属性結合機密保護手段と
を備えている。
【００１４】請求項５では、請求項４の属性結合推移解
析手段は、さらに、第２の属性の値に対応する第１の属
性の値の集合を第３の属性を経由して検索することで求
め、その集合および第２の属性の値の集合に基づいて組
合わされた属性結合の結合データを解析する。
析手段は、さらに、第２の属性の値に対応する第１の属
性の値の集合を第３の属性を経由して検索することで求
め、その集合および第２の属性の値の集合に基づいて組
合わされた属性結合の結合データを解析する。
【００１５】請求項６では、請求項５の属性結合推移解
析手段は、第２の属性の値の集合および第１の属性の値
の集合に基づいて、第１の属性および第２属性間での属
性結合の結合データが推定される危険度を求め、その危
険度と所定の値とを比較解析する。
析手段は、第２の属性の値の集合および第１の属性の値
の集合に基づいて、第１の属性および第２属性間での属
性結合の結合データが推定される危険度を求め、その危
険度と所定の値とを比較解析する。
【００１６】請求項７では、請求項６の属性結合機密保
護手段は、危険度が所定の値よりも大きいことに応じて
組合わされた属性結合の機密保護を設定する。
護手段は、危険度が所定の値よりも大きいことに応じて
組合わされた属性結合の機密保護を設定する。
【００１７】
【作用】請求項１の発明に係る属性結合の機密保護装置
は、各属性の機密保護を設定し、組合わされた複数の属
性結合の結合データの値を検索して結合データを解析
し、その解析結果に基づいて複数の属性結合の機密保護
を設定できる。
は、各属性の機密保護を設定し、組合わされた複数の属
性結合の結合データの値を検索して結合データを解析
し、その解析結果に基づいて複数の属性結合の機密保護
を設定できる。
【００１８】請求項２の発明に係る属性結合の機密保護
装置は、組合わされた属性結合の結合データの値が推定
される危険度を求め、その危険度と所定の値とを比較解
析することで、その解析結果に応じた属性結合の機密保
護を設定できる。
装置は、組合わされた属性結合の結合データの値が推定
される危険度を求め、その危険度と所定の値とを比較解
析することで、その解析結果に応じた属性結合の機密保
護を設定できる。
【００１９】請求項３の発明に係る属性結合の機密保護
装置は、危険度が所定の値よりも大きなことに応じて複
数の属性結合の機密保護を設定できる。
装置は、危険度が所定の値よりも大きなことに応じて複
数の属性結合の機密保護を設定できる。
【００２０】請求項４の発明に係る属性結合の機密保護
装置は、第１の属性、第２の属性および第３の属性のそ
れぞれの機密保護を設定し、第３の属性を経由して第１
の属性の値に対応する第２の属性の値の集合を検索して
求め、その集合に基づいて属性結合の結合データを解析
し、解析結果に基づいて属性結合の機密保護を設定でき
る。
装置は、第１の属性、第２の属性および第３の属性のそ
れぞれの機密保護を設定し、第３の属性を経由して第１
の属性の値に対応する第２の属性の値の集合を検索して
求め、その集合に基づいて属性結合の結合データを解析
し、解析結果に基づいて属性結合の機密保護を設定でき
る。
【００２１】請求項５の発明に係る属性結合の機密保護
装置は、第１の属性の値に対応する第２の属性の値の集
合のみならず、第２の属性の値に対応する第１の属性の
値の集合をも第３の属性を経由して検索することで求
め、より精度よく属性結合の結合データを解析し、その
解析結果に基づいて属性結合の機密保護を設定できる。
装置は、第１の属性の値に対応する第２の属性の値の集
合のみならず、第２の属性の値に対応する第１の属性の
値の集合をも第３の属性を経由して検索することで求
め、より精度よく属性結合の結合データを解析し、その
解析結果に基づいて属性結合の機密保護を設定できる。
【００２２】請求項６の発明に係る属性結合の機密保護
装置は、第２の属性の値の集合および第１の属性の値の
集合に基づいて、第１の属性および第２の属性間での属
性結合の結合データが推定される危険度を求め、その危
険度と所定の値とを比較解析することにより、その危険
度と所定の値との関係に応じた属性結合の機密保護を設
定できる。
装置は、第２の属性の値の集合および第１の属性の値の
集合に基づいて、第１の属性および第２の属性間での属
性結合の結合データが推定される危険度を求め、その危
険度と所定の値とを比較解析することにより、その危険
度と所定の値との関係に応じた属性結合の機密保護を設
定できる。
【００２３】請求項７の発明に係る属性結合の機密保護
装置は、危険度が所定の値よりも大きなことに応じて組
合わされた属性結合の機密保護を設定できる。
装置は、危険度が所定の値よりも大きなことに応じて組
合わされた属性結合の機密保護を設定できる。
【００２４】
【実施例】図１は、この発明の一実施例による属性結合
の機密保護装置の概略ブロック図および機密保護される
リレーショナルデータベースを示した図であり、図２お
よび図３は、図１の属性結合の機密保護装置の動作を説
明するためのフローチャートである。
の機密保護装置の概略ブロック図および機密保護される
リレーショナルデータベースを示した図であり、図２お
よび図３は、図１の属性結合の機密保護装置の動作を説
明するためのフローチャートである。
【００２５】リレーショナルデータベース２１の属性結
合を機密保護する属性結合の機密保護装置２３は、属性
機密保護手段の一例である単独属性アクセス制御部２５
と、属性結合推移解析手段の一例である属性結合推移解
析部２７と、属性結合機密保護手段の一例である属性結
合アクセス制御部２９とを含む。属性結合の機密保護装
置２３が機密保護するリレーショナルデータベース２１
には、属性Ａ，属性Ｂ…属性Ｘ…を有する表Ｔが備えら
れている。
合を機密保護する属性結合の機密保護装置２３は、属性
機密保護手段の一例である単独属性アクセス制御部２５
と、属性結合推移解析手段の一例である属性結合推移解
析部２７と、属性結合機密保護手段の一例である属性結
合アクセス制御部２９とを含む。属性結合の機密保護装
置２３が機密保護するリレーショナルデータベース２１
には、属性Ａ，属性Ｂ…属性Ｘ…を有する表Ｔが備えら
れている。
【００２６】次に、図２および図３を参照して、属性結
合の機密保護装置２３の動作について、表Ｔに含まれる
属性Ａ，Ｂに対して、それらの間の属性結合Ａ−Ｂを推
定許容確率Ｐ（０≦Ｐ≦１）で機密保護する場合を例に
とって説明する。
合の機密保護装置２３の動作について、表Ｔに含まれる
属性Ａ，Ｂに対して、それらの間の属性結合Ａ−Ｂを推
定許容確率Ｐ（０≦Ｐ≦１）で機密保護する場合を例に
とって説明する。
【００２７】単独属性アクセス制御部２５は、従来例で
も示したように各属性Ａ，Ｂ，Ｘのアクセスを設定す
る。
も示したように各属性Ａ，Ｂ，Ｘのアクセスを設定す
る。
【００２８】次に、属性結合アクセス制御部２９はステ
ップ（図面ではＳで表わす）１に示すように属性結合Ａ
−Ｂを機密保護の対象とする。
ップ（図面ではＳで表わす）１に示すように属性結合Ａ
−Ｂを機密保護の対象とする。
【００２９】次に、属性結合推移解析部２７はステップ
２からステップ１２までの動作を行なう。すなわち、ま
ずステップ２において、リレーショナルデータベース２
１における表Ｔに含まれる属性の集合（Attributes
（Ｔ）−｛Ａ，Ｂ｝）の中から属性Ｘが１つ取出され
る。そして、ステップ３において、属性Ｘがすべて取出
されたかどうかが判定され、すべて取出された場合は処
理が終了する。これに対し、属性Ｘがすべて取出されな
い場合はステップ４において、ＣA ，ＣB が計算機で使
用可能な最大の値（∞）で設定される。このＣA ，ＣB
は、次のような値である。
２からステップ１２までの動作を行なう。すなわち、ま
ずステップ２において、リレーショナルデータベース２
１における表Ｔに含まれる属性の集合（Attributes
（Ｔ）−｛Ａ，Ｂ｝）の中から属性Ｘが１つ取出され
る。そして、ステップ３において、属性Ｘがすべて取出
されたかどうかが判定され、すべて取出された場合は処
理が終了する。これに対し、属性Ｘがすべて取出されな
い場合はステップ４において、ＣA ，ＣB が計算機で使
用可能な最大の値（∞）で設定される。このＣA ，ＣB
は、次のような値である。
【００３０】まずＣA は、属性Ｂ→属性Ｘ→属性Ａ経由
で属性結合の結合データの値（属性Ｂの各値ｂに対応す
る属性Ａの値）の検索を行なった場合に、検索される属
性Ａの値の集合（候補集合）のサイズの最小値である。
同様に、ＣB は、属性Ａ→属性Ｘ→属性Ｂ経由で属性結
合の結合データの値（属性Ａの各値ａに対応する属性Ｂ
の値）の検索を行なった場合に、検索される属性Ｂの値
の集合（候補集合）のサイズの最小値である。
で属性結合の結合データの値（属性Ｂの各値ｂに対応す
る属性Ａの値）の検索を行なった場合に、検索される属
性Ａの値の集合（候補集合）のサイズの最小値である。
同様に、ＣB は、属性Ａ→属性Ｘ→属性Ｂ経由で属性結
合の結合データの値（属性Ａの各値ａに対応する属性Ｂ
の値）の検索を行なった場合に、検索される属性Ｂの値
の集合（候補集合）のサイズの最小値である。
【００３１】このようなＣA ，ＣB を以下の処理で設定
する。まずステップ５において、属性Ｘの値の集合（Va
lues（Ｘ））の中から値ｘが１つ取出される。そして、
ステップ６において、値ｘがすべて取出されたかが判定
される。取出された場合には、後で説明するステップ１
３の処理が行なわれる。値ｘがすべて取出されない場合
には、属性Ｘの値がｘであるようなすべてのタプルに対
して、識別子ｉに属するタプルの属性Ａの値の集合に含
まれる要素の数ｎA ：＝♯｛Ａ（ｉ）｜Ｘ（ｉ）＝ｘ｝
を求める。
する。まずステップ５において、属性Ｘの値の集合（Va
lues（Ｘ））の中から値ｘが１つ取出される。そして、
ステップ６において、値ｘがすべて取出されたかが判定
される。取出された場合には、後で説明するステップ１
３の処理が行なわれる。値ｘがすべて取出されない場合
には、属性Ｘの値がｘであるようなすべてのタプルに対
して、識別子ｉに属するタプルの属性Ａの値の集合に含
まれる要素の数ｎA ：＝♯｛Ａ（ｉ）｜Ｘ（ｉ）＝ｘ｝
を求める。
【００３２】そして、ステップ８において、ステップ４
で設定されたＣA とｎA との大小関係が比較される。Ｃ
A ＞ｎA の場合には、ＣA ＝ｎA として設定される。Ｃ
A ≦ｎA の場合には、そのままの値が継続される。
で設定されたＣA とｎA との大小関係が比較される。Ｃ
A ＞ｎA の場合には、ＣA ＝ｎA として設定される。Ｃ
A ≦ｎA の場合には、そのままの値が継続される。
【００３３】同様に、ステップ１０からステップ１２に
おいて、識別子ｉに属するタプルの属性Ｂの値の集合に
含まれる要素の数ｎB ：＝♯｛Ｂ（ｉ）｜Ｘ（ｉ）＝
ｘ｝が求められ、ステップ４において設定されたＣB と
ｎB との大小関係が比較されて、ＣB ＞ｎB の場合に
は、ＣB ＝ｎB と設定される。このステップ５からステ
ップ１２までの処理はステップ５の処理である属性Ｘの
値の集合（Values（Ｘ））の中から値ｘをすべて取出す
まで繰返される。この結果、ＣA ，ＣB がある値に設定
される。
おいて、識別子ｉに属するタプルの属性Ｂの値の集合に
含まれる要素の数ｎB ：＝♯｛Ｂ（ｉ）｜Ｘ（ｉ）＝
ｘ｝が求められ、ステップ４において設定されたＣB と
ｎB との大小関係が比較されて、ＣB ＞ｎB の場合に
は、ＣB ＝ｎB と設定される。このステップ５からステ
ップ１２までの処理はステップ５の処理である属性Ｘの
値の集合（Values（Ｘ））の中から値ｘをすべて取出す
まで繰返される。この結果、ＣA ，ＣB がある値に設定
される。
【００３４】そこで、次に、属性結合推移解析部２７
は、さらに１／ｍｉｎ（ＣA ，ＣB ）を危険度としてそ
の値を求める。この危険度は、たとえば１／ＣA が属性
Ｂから属性Ａの結合データの値を検索した場合に推定さ
れる確率を表わし、１／ＣB が属性Ｂから結合データの
値が推定される確率を表わしているので、１／ＣA と１
／ＣB のうち推定される確率の高い側に設定されたこと
になる。
は、さらに１／ｍｉｎ（ＣA ，ＣB ）を危険度としてそ
の値を求める。この危険度は、たとえば１／ＣA が属性
Ｂから属性Ａの結合データの値を検索した場合に推定さ
れる確率を表わし、１／ＣB が属性Ｂから結合データの
値が推定される確率を表わしているので、１／ＣA と１
／ＣB のうち推定される確率の高い側に設定されたこと
になる。
【００３５】次に、属性結合アクセス制御部２９は、１
／ｍｉｎ（ＣA ，ＣB ）＞Ｐであるならば、属性結合Ａ
−ＸまたはＢ−Ｘを機密保護の対象とする。一方、１／
ｍｉｎ（ＣA ，ＣB ）≦Ｐであるならば、属性結合アク
セス制御部２９は、属性結合Ａ−ＸおよびＢ−Ｘの結合
データの値が見せられてもよいとして、アクセス権を与
える。
／ｍｉｎ（ＣA ，ＣB ）＞Ｐであるならば、属性結合Ａ
−ＸまたはＢ−Ｘを機密保護の対象とする。一方、１／
ｍｉｎ（ＣA ，ＣB ）≦Ｐであるならば、属性結合アク
セス制御部２９は、属性結合Ａ−ＸおよびＢ−Ｘの結合
データの値が見せられてもよいとして、アクセス権を与
える。
【００３６】以上のことを、表２および表３を用いて、
より具体的に説明する。表２を参照して、リレーショナ
ルデータベース２１に用いられる表２の属性結合Ａｔｔ
１−Ａｔｔ２を推定許容確率（Ｐ）０．５で機密保護す
る場合を説明する。属性Ａｔｔ３の取り得る値の集合Va
lues（Ａｔｔ３）は、｛Ａ，Ｂ｝であるから、まず値Ａ
についてｎAtt1：＝♯｛Ａｔｔ１（ｉ）｜Ａｔｔ３
（ｉ）＝Ａ｝＝♯｛Ｘ，Ｙ｝＝２、ｎAtt2：＝♯｛Ａｔ
ｔ２（ｉ）｜Ａｔｔ３（ｉ）＝Ａ｝＝♯｛１，２｝＝２
が得られる。同様に、値Ｂについては、ｎAtt1：＝♯
｛Ａｔｔ１（ｉ）｜Ａｔｔ３（ｉ）＝Ｂ｝＝♯｛Ｚ，
Ｗ｝＝２、ｎAtt2：＝♯｛Ａｔｔ２（ｉ）｜Ａｔｔ３
（ｉ）＝Ｂ｝＝♯｛１，２｝＝２が得られる。
より具体的に説明する。表２を参照して、リレーショナ
ルデータベース２１に用いられる表２の属性結合Ａｔｔ
１−Ａｔｔ２を推定許容確率（Ｐ）０．５で機密保護す
る場合を説明する。属性Ａｔｔ３の取り得る値の集合Va
lues（Ａｔｔ３）は、｛Ａ，Ｂ｝であるから、まず値Ａ
についてｎAtt1：＝♯｛Ａｔｔ１（ｉ）｜Ａｔｔ３
（ｉ）＝Ａ｝＝♯｛Ｘ，Ｙ｝＝２、ｎAtt2：＝♯｛Ａｔ
ｔ２（ｉ）｜Ａｔｔ３（ｉ）＝Ａ｝＝♯｛１，２｝＝２
が得られる。同様に、値Ｂについては、ｎAtt1：＝♯
｛Ａｔｔ１（ｉ）｜Ａｔｔ３（ｉ）＝Ｂ｝＝♯｛Ｚ，
Ｗ｝＝２、ｎAtt2：＝♯｛Ａｔｔ２（ｉ）｜Ａｔｔ３
（ｉ）＝Ｂ｝＝♯｛１，２｝＝２が得られる。
【００３７】したがって、値Ａに関するｎAtt1と値Ｂに
関するｎAtt1の最小値を示すＣAtt1は２となり、値Ａに
関するｎAtt2と値Ｂに関するｎAtt2の最小値を示すＣ
Att2は２となる。そこで、１／ｍｉｎ（ＣAtt1，
ＣAtt2）＝０．５，Ｐ＝０．５より、１／ｍｉｎ（Ｃ
Att1，ＣAtt2）≦Ｐとなるため、属性結合Ａｔｔ１−Ａ
ｔｔ３およびＡｔｔ２−Ａｔｔ３は機密保護されなくて
よいことになる。
関するｎAtt1の最小値を示すＣAtt1は２となり、値Ａに
関するｎAtt2と値Ｂに関するｎAtt2の最小値を示すＣ
Att2は２となる。そこで、１／ｍｉｎ（ＣAtt1，
ＣAtt2）＝０．５，Ｐ＝０．５より、１／ｍｉｎ（Ｃ
Att1，ＣAtt2）≦Ｐとなるため、属性結合Ａｔｔ１−Ａ
ｔｔ３およびＡｔｔ２−Ａｔｔ３は機密保護されなくて
よいことになる。
【００３８】一方、表３に示す属性を有したリレーショ
ナルデータベース２１において、属性結合Ａｔｔ１−Ａ
ｔｔ２を推定許容確率（Ｐ）０．５で機密保護する場合
を説明する。属性Ａｔｔ３の取り得る値の集合Values
（Ａｔｔ３）は、｛Ａ，Ｂ｝なので、値Ａについては、
ｎAtt1：＝♯｛Ａｔｔ１（ｉ）｜Ａｔｔ３（ｉ）＝Ａ｝
＝♯｛Ｘ，Ｙ｝＝２、ｎAtt2：＝♯｛Ａｔｔ２（ｉ）｜
Ａｔｔ３（ｉ）＝Ａ｝＝♯｛１，２｝＝２が得られ、値
Ｂについては、ｎAtt1：＝♯｛Ａｔｔ１（ｉ）｜Ａｔｔ
３（ｉ）＝Ｂ｝＝♯｛Ｚ，Ｗ｝＝２、ｎAtt2：＝♯｛Ａ
ｔｔ２（ｉ）｜Ａｔｔ３（ｉ）＝Ｂ｝＝♯｛２｝＝１が
得られる。
ナルデータベース２１において、属性結合Ａｔｔ１−Ａ
ｔｔ２を推定許容確率（Ｐ）０．５で機密保護する場合
を説明する。属性Ａｔｔ３の取り得る値の集合Values
（Ａｔｔ３）は、｛Ａ，Ｂ｝なので、値Ａについては、
ｎAtt1：＝♯｛Ａｔｔ１（ｉ）｜Ａｔｔ３（ｉ）＝Ａ｝
＝♯｛Ｘ，Ｙ｝＝２、ｎAtt2：＝♯｛Ａｔｔ２（ｉ）｜
Ａｔｔ３（ｉ）＝Ａ｝＝♯｛１，２｝＝２が得られ、値
Ｂについては、ｎAtt1：＝♯｛Ａｔｔ１（ｉ）｜Ａｔｔ
３（ｉ）＝Ｂ｝＝♯｛Ｚ，Ｗ｝＝２、ｎAtt2：＝♯｛Ａ
ｔｔ２（ｉ）｜Ａｔｔ３（ｉ）＝Ｂ｝＝♯｛２｝＝１が
得られる。
【００３９】したがって、値Ａに関するｎAtt1と値Ｂに
関するｎAtt1の最小値を示すＣAtt1は２となり、値Ａに
関するｎAtt2と値Ｂに関するｎAtt2の最小値を示すＣ
Att2は１となる。そのため、１／ｍｉｎ（ＣAtt1，Ｃ
Att2）＝１，Ｐ＝０．５より、１／ｍｉｎ（ＣAtt1，Ｃ
Att2）＞Ｐとなるため、属性結合Ａｔｔ１−Ａｔｔ３ま
たはＡｔｔ２−Ａｔｔ３が機密保護される。
関するｎAtt1の最小値を示すＣAtt1は２となり、値Ａに
関するｎAtt2と値Ｂに関するｎAtt2の最小値を示すＣ
Att2は１となる。そのため、１／ｍｉｎ（ＣAtt1，Ｃ
Att2）＝１，Ｐ＝０．５より、１／ｍｉｎ（ＣAtt1，Ｃ
Att2）＞Ｐとなるため、属性結合Ａｔｔ１−Ａｔｔ３ま
たはＡｔｔ２−Ａｔｔ３が機密保護される。
【００４０】
【表２】
【００４１】
【表３】
【００４２】このような動作により、識別子も１つの属
性として統一的に扱うことを可能とするとともに、第３
の属性によって結合データの値が推定される危険度を、
たとえばデータベース管理者の指定する推定許容確率
（Ｐ）以内に抑えることができる。すなわち、任意の属
性Ａ，Ｂに対して、属性Ａの値ａに対応する属性Ｂの正
確な値ｂは知られたくないが、その値がある範囲内にあ
ることは知られてもよい場合に、その範囲内から正確な
値が推定される確率を推定許容確率（Ｐ）以下に抑える
ことができる。
性として統一的に扱うことを可能とするとともに、第３
の属性によって結合データの値が推定される危険度を、
たとえばデータベース管理者の指定する推定許容確率
（Ｐ）以内に抑えることができる。すなわち、任意の属
性Ａ，Ｂに対して、属性Ａの値ａに対応する属性Ｂの正
確な値ｂは知られたくないが、その値がある範囲内にあ
ることは知られてもよい場合に、その範囲内から正確な
値が推定される確率を推定許容確率（Ｐ）以下に抑える
ことができる。
【００４３】また、実施例においては属性結合Ａ−Ｘ，
Ｂ−Ｘをともに機密保護設定の対象とする場合または機
密保護設定の対象としない場合について示したが、たと
えば属性結合Ａ−Ｘのみを機密保護の対象としてもよ
い。このような属性結合Ａ−Ｘ，Ｂ−Ｘの中のいずれか
を機密保護の対象とするか否かについてはデータベース
管理者（または機密保護管理者）が任意に選択すればよ
い。その場合には、推定許容確率（Ｐ）と１／ｍｉｎ
（ＣA ，ＣB ）とを比較せず、推定許容確率（Ｐ）と１
／ＣA または１／ＣB のいずれか１つと比較するだけで
効果は得られる。さらに、属性Ａのドメイン（定義）の
要素（値）の数をＮA とすると、処理の結果ＣA ＝ＮA
の場合には、推定許容確率が０であっても１／ＣA ＝１
／ＮA ≒０（すなわちＮA ≒∞）と見なして、機密保護
の対象外とするかどうかについてもデータベースシステ
ム管理者（または機密保護管理者）が選択すればよい。
このとき、機密保護の対象とした場合には、推定許容確
率が０であるならば、結合データの値の候補となる値も
完全に知ることができないので、機密保護は完全になさ
れる。
Ｂ−Ｘをともに機密保護設定の対象とする場合または機
密保護設定の対象としない場合について示したが、たと
えば属性結合Ａ−Ｘのみを機密保護の対象としてもよ
い。このような属性結合Ａ−Ｘ，Ｂ−Ｘの中のいずれか
を機密保護の対象とするか否かについてはデータベース
管理者（または機密保護管理者）が任意に選択すればよ
い。その場合には、推定許容確率（Ｐ）と１／ｍｉｎ
（ＣA ，ＣB ）とを比較せず、推定許容確率（Ｐ）と１
／ＣA または１／ＣB のいずれか１つと比較するだけで
効果は得られる。さらに、属性Ａのドメイン（定義）の
要素（値）の数をＮA とすると、処理の結果ＣA ＝ＮA
の場合には、推定許容確率が０であっても１／ＣA ＝１
／ＮA ≒０（すなわちＮA ≒∞）と見なして、機密保護
の対象外とするかどうかについてもデータベースシステ
ム管理者（または機密保護管理者）が選択すればよい。
このとき、機密保護の対象とした場合には、推定許容確
率が０であるならば、結合データの値の候補となる値も
完全に知ることができないので、機密保護は完全になさ
れる。
【００４４】
【発明の効果】以上のように、本発明によれば、複数の
属性結合が組合わされたその結合データの値を検索して
結合データを解析することにより、その解析結果に応じ
て属性結合の機密保護を柔軟に設定できる。
属性結合が組合わされたその結合データの値を検索して
結合データを解析することにより、その解析結果に応じ
て属性結合の機密保護を柔軟に設定できる。
【図１】この発明の一実施例による属性結合の機密保護
装置の概略ブロック図およびリレーショナルデータベー
スを示した図である。
装置の概略ブロック図およびリレーショナルデータベー
スを示した図である。
【図２】図１に示した属性結合の機密保護装置の動作を
説明するための第１のフローチャートである。
説明するための第１のフローチャートである。
【図３】図１に示した属性結合の機密保護装置の動作を
説明するための第２のフローチャートである。
説明するための第２のフローチャートである。
【図４】従来の属性結合の機密保護装置の概略ブロック
図およびリレーショナルデータベースを示した図であ
る。
図およびリレーショナルデータベースを示した図であ
る。
２１ リレーショナルデータベース ２３ 属性結合の機密保護装置 ２５ 単独属性アクセス制御部 ２７ 属性結合推移解析部 ２９ 属性結合アクセス制御部
Claims (7)
- 【請求項１】 複数の属性を表形式で表わすデータベー
スにおいて、それらの属性間の値を結合して得られる複
数の属性結合を機密保護する属性結合の機密保護装置で
あって、 前記各属性の機密保護を設定する属性機密保護手段と、 前記複数の属性結合を組合わせ、その結合データの値を
検索して結合データを解析する属性結合推移解析手段
と、 前記結合データの解析結果に基づいて、前記複数の属性
結合の機密保護を設定する属性結合機密保護手段とを備
えた、属性結合の機密保護装置。 - 【請求項２】 前記属性結合推移解析手段は、前記結合
データの値が推定される危険度を求め、その危険度と所
定の値とを比較解析する、請求項１記載の属性結合の機
密保護装置。 - 【請求項３】 前記属性結合機密保護手段は、前記危険
度が前記所定の値よりも大きいことに応じて前記複数の
属性結合の機密保護を設定する、請求項２記載の属性結
合の機密保護装置。 - 【請求項４】 複数の属性を表形式で表わすデータベー
スにおいて、第１の属性、第２の属性および第３の属性
の値を結合して得られる属性結合を機密保護する属性結
合の機密保護装置であって、 前記第１の属性、第２の属性および第３の属性のそれぞ
れは、異なる複数の値を有し、 前記第１の属性、第２の属性および第３の属性のそれぞ
れの機密保護を設定する属性機密保護手段と、 前記第１の属性および前記第３の属性間での属性結合と
前記第３の属性および前記第２の属性間での属性結合と
を組合わせ、前記第１の属性の値に対応する前記第２の
属性の値の集合を前記第３の属性を経由して検索するこ
とで求め、その集合に基づいて前記組合わされた属性結
合の結合データを解析する属性結合推移解析手段と、 前記属性結合推移解析手段の解析結果に基づいて、前記
組合わされた属性結合の機密保護を設定する属性結合機
密保護手段とを備えた、属性結合の機密保護装置。 - 【請求項５】 前記属性結合推移解析手段は、さらに、
前記第２の属性の値に対応する前記第１の属性の値の集
合を前記第３の属性を経由して検索することで求め、そ
の集合および前記第２の属性の値の集合に基づいて前記
組合わされた属性結合の結合データを解析する、請求項
４記載の属性結合の機密保護装置。 - 【請求項６】 前記属性結合推移解析手段は、前記第２
の属性の値の集合および前記第１の属性の値の集合に基
づいて、前記第１の属性および前記第２の属性間での属
性結合の結合データが推定される危険度を求め、その危
険度と所定の値とを比較解析する、請求項５記載の属性
結合の機密保護装置。 - 【請求項７】 前記属性結合機密保護手段は、前記危険
度が前記所定の値よりも大きいことに応じて前記組合わ
された属性結合の機密保護を設定する、請求項６記載の
属性結合の機密保護装置。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP6043409A JP2717502B2 (ja) | 1994-03-15 | 1994-03-15 | 属性結合の機密保護装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP6043409A JP2717502B2 (ja) | 1994-03-15 | 1994-03-15 | 属性結合の機密保護装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH07253989A JPH07253989A (ja) | 1995-10-03 |
| JP2717502B2 true JP2717502B2 (ja) | 1998-02-18 |
Family
ID=12662951
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP6043409A Expired - Fee Related JP2717502B2 (ja) | 1994-03-15 | 1994-03-15 | 属性結合の機密保護装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP2717502B2 (ja) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4093482B2 (ja) | 2003-12-24 | 2008-06-04 | インターナショナル・ビジネス・マシーンズ・コーポレーション | アクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体 |
| JP2008234605A (ja) * | 2007-03-23 | 2008-10-02 | Nec Corp | データ取得流通時のデータ匿名性確保に係わる、データ集計システム、データ集計方法およびデータ集計プログラム |
-
1994
- 1994-03-15 JP JP6043409A patent/JP2717502B2/ja not_active Expired - Fee Related
Also Published As
| Publication number | Publication date |
|---|---|
| JPH07253989A (ja) | 1995-10-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10454932B2 (en) | Search engine with privacy protection | |
| Sanil et al. | Privacy preserving regression modelling via distributed computation | |
| US9037550B2 (en) | Detecting inconsistent data records | |
| US8868559B2 (en) | Representative document selection for a set of duplicate documents | |
| US7512985B1 (en) | System, method, and computer program product for implementing search-and retrieval-compatible data obfuscation | |
| US20090077378A1 (en) | Querying encrypted data in a relational database system | |
| EP2095277B1 (en) | Fuzzy database matching | |
| JP2000324094A (ja) | 情報を非個人化する装置および方法 | |
| EP2228735A2 (en) | Efficient multi-dimensional suppression for k-anonymity | |
| Hacigümüş et al. | Ensuring the integrity of encrypted databases in the database-as-a-service model | |
| JP2017507392A (ja) | データベースキーの識別 | |
| WO2016075825A1 (ja) | 情報処理装置及び情報処理方法及びプログラム | |
| US11657899B2 (en) | Computing device | |
| DE112019003304T5 (de) | Datenverarbeitungssystem, datenverarbeitungsverfahren und datenverarbeitungseinrichtung | |
| CN113612803B (zh) | 一种数据隐私的保护方法、装置、存储介质和电子设备 | |
| US20110209053A1 (en) | Shuffling Documents Containing Restricted Information | |
| JP2717502B2 (ja) | 属性結合の機密保護装置 | |
| CN111861281A (zh) | 基于知识图谱的风险员工发现方法及装置 | |
| Brito et al. | A distributed approach for privacy preservation in the publication of trajectory data | |
| US20230388306A1 (en) | Data circulation control method, data circulation control system, and approval server | |
| US9294510B2 (en) | System and method for automatic control of security policies based on available software licenses | |
| Navarro-Arribas et al. | Dynamic anonymous index for confidential data | |
| Jiang et al. | Protecting source privacy in federated search | |
| JP7219734B2 (ja) | 評価装置、評価方法及び評価プログラム | |
| Duguépéroux et al. | Task-Tuning in Privacy-Preserving Crowdsourcing Platforms |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 19970930 |
|
| LAPS | Cancellation because of no payment of annual fees |