JP4093482B2 - アクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体 - Google Patents

Description

本発明は、データベースのアクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体に関する。特に、本発明は、データベースから個人情報等が漏洩することを防止するアクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体に関する。

近年、コンピュータネットワークやＷＷＷシステムの普及に伴って、企業が個人のプライバシーに関する情報を収集してデータベースを構築することが広く行われるようになってきている。従来、収集した情報を効率的に管理するために、情報をテーブル形式のデータ構造として記録することが一般的に行われている。これにより、利用者は、例えばSQL(Structured Query Language)により条件を指定して、データベースから情報を簡便に選択することができる。

従来、データベースに格納されたテーブル毎にアクセス制限するのみならず、テーブルの項目毎にアクセス制限する技術が用いられている（特許文献１参照。）。特許文献１に記載の技術は、データベースにアクセスする者の権限に応じて、各項目の参照・変更を許可するか否か判断することができる。また、ＩＢＭコーポレーションの「Tivoli Privacy Manager Ver.1.1」により構築されたシステムは、非特許文献１に記載のプライバシー・ポリシーに従って、テーブルの項目毎にアクセス制御する。

具体的には、このシステムは、あるカラムにアクセスを希望する利用者、アクセスの目的、及びそのカラムの情報の所有者の組に基づいて、そのカラムに対するアクセスを許可するか否か判断する。更に、このシステムは、情報の所有者の属性、例えば、その所有者の年齢、その所有者が情報の利用（ダイレクトメールの送付等）に同意しているか否か、又はその所有者が規定のプライバシー・ポリシーに同意しているか否かに応じてアクセス制御を行うこともできる。

特開２００２−２６９０９２号公報 "The Platform for Privacy Preferences (P3P) 1.0 Specification",ホームページＵＲＬ「http://www.w3.org/TR/P3P/」, 2002.

一般に個人情報と呼ばれる情報として、PII(Personal Identifiable Information)と、PSI(Privacy Sensitive Information)とがある。PIIは、個人を識別する情報であり、例えば、名前や電子メールアドレスといった情報である。PSIは、PIIと対応付けて出力した場合に、その個人のプライバシーを侵害する情報であり、例えば、年収などである。プライバシーの侵害を防ぐためには、PII及びPSIを対応付けて出力することを禁止する必要がある。一方、PSIのみの出力は、プライバシーの侵害に該当しない可能性が高いので、許可するのが望ましい。

このように、プライバシーを適切に保護しつつ、データベースをできるだけ有効に活用するには、複数のカラムについてのアクセスの可否を、これらのカラムの互いの関係に基づいて判断する必要がある。しかしながら、上記の何れの技術によっても、データベースにおける各々のカラムに対するアクセスの可否を判断させることができるものの、複数のカラムを組み合わせたデータの取得の可否を判断させることができなかった。

そこで本発明は、上記の課題を解決することのできるアクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体を提供することを目的とする。この目的は特許請求の範囲における独立項に記載の特徴の組み合わせにより達成される。また従属項は本発明の更なる有利な具体例を規定する。

上記課題を解決するために、本発明の第１の形態においては、データ提供者の公開情報と秘密情報とを対応付けて格納するデータベースへのアクセスを制御するアクセス制御システムであって、データベースをアクセスして生成した情報の出力を要求する出力要求を取得する出力要求取得部と、出力要求により出力を要求された出力情報のうち、公開情報及び秘密情報を組み合わせて生成した情報の出力を禁止し、秘密情報を用いて、かつ、公開情報を用いずに生成した情報の出力を許可する複数項出力認可部と、出力情報のうち複数項出力認可部により出力を許可された情報を出力する出力部とを備えるアクセス制御システム、アクセス制御装置、当該アクセス制御システムによりデータベースのアクセスを制御する制御方法、当該アクセス制御システムを制御するプログラム、及び当該プログラムを記録した記録媒体を提供する。
なお、上記の発明の概要は、本発明の必要な特徴の全てを列挙したものではなく、これらの特徴群のサブコンビネーションもまた、発明となりうる。

本発明によれば、データ提供者のプライバシーを保護しつつ、データベースを有効に活用させることができる。

以下、発明の実施の形態を通じて本発明を説明するが、以下の実施形態は特許請求の範囲にかかる発明を限定するものではなく、また実施形態の中で説明されている特徴の組合わせの全てが発明の解決手段に必須であるとは限らない。

図１は、アクセス制御システム１０の概要を示す。アクセス制御システム１０は、アクセス要求装置１００と、アクセス認可装置１２０と、データベース２００とを備える。データベース２００は、データ提供者の公開情報、例えばデータ提供者を識別する提供者識別情報と、データ提供者の秘密情報、例えばプライバシー情報とを対応付けて格納している。そして、アクセス認可装置１２０は、アクセス要求装置１００が、提供者識別情報及びプライバシー情報を対応付けてデータベース２００から取得することを禁止し、プライバシー情報のみを取得することを許可する。これにより、データ提供者のプライバシーを保護しつつ、データベースを有効に活用させることを目的とする。

アクセス要求装置１００は、アプリケーションプログラム５０と、アクセス制御装置４０とを有する。アプリケーションプログラム５０は、利用者からの操作を受けて、データベース２００をアクセスして生成した情報の出力を要求する出力要求３０をアクセス制御装置４０に送る。アクセス制御装置４０は、アプリケーションプログラム５０から出力要求３０を受けると、出力要求３０に応じて情報を出力してよいか否かをアクセス認可装置１２０に問合せる。そして、アクセス制御装置４０は、出力要求３０により出力を要求された出力情報のうち、アクセス認可装置１２０により許可された情報を、データベース２００をアクセスして生成し、アプリケーションプログラム５０を介して利用者に出力する。

図２は、データベース２００のデータ構造の一例を示す。データベース２００は、（ａ）に示すＥＭＰＬＯＹＥＥテーブルと、（ｂ）に示すＭＯＮＥＹテーブルとを有する。ＥＭＰＬＯＹＥＥテーブルは、従業者の識別番号を格納するＩＤカラムと、従業者の名前を格納するＮＡＭＥカラムと、従業者のマネージャの識別番号を格納するＭＡＮＡＧＥＲＩＤカラムとを含む。そして、ＥＭＰＬＯＹＥＥテーブルは、データ提供者の一例である従業者毎に、その従業者の識別番号と、その従業者の名前と、その従業者のマネージャの識別番号とを対応付けて格納する。ここで、データ提供者とは、データが示す個人情報により特定される個人であり、例えば、データオーナーと呼ばれる者をいう。また、以降の説明において、カラム内の何れかの情報を取得することを、カラムにアクセスすると表記する。

ＭＯＮＥＹテーブルは、従業者の識別番号を格納するＮＯカラムと、従業者の年収を格納するＳＡＬＡＲＹカラムと、従業者の預金を格納するＳＡＶＩＮＧカラムとを含む。そして、ＭＯＮＥＹテーブルは、従業者毎に、その従業者の識別番号と、その従業者の年収と、その従業者の預金とを対応付けて格納する。ここで、従業者の名前は、その従業者を識別する従業者識別情報であって、その従業者の公開情報の一例である。また、従業者の年収及び預金の各々は、従業者の名前に対応付けて出力した場合にその従業者のプライバシーを侵害するプライバシー情報であって、その従業者の秘密情報の一例である。このように、データベース２００は、複数の従業者の各々について、その従業者の公開情報と秘密情報とを対応付けて格納している。

図３は、出力要求３０の一例を示す。出力要求３０は、例えば、SQL又はXQueryにより記述されたプログラムとして表され、７行目から１６行目のコマンドにより構成される検索要求２と、１行目から６行目及び１７行目から２７行目のコマンドにより構成される検索要求１とを含む。検索要求２は、ＥＭＰＬＯＹＥＥテーブル及びＭＯＮＥＹテーブルにアクセスして、従業者毎に、その従業者の識別番号、その従業者の名前、その従業者のマネージャの識別番号、及びその従業者の年収及び預金の合計を対応付けた新たなＣＵＳＴテーブルを生成する要求である。検索要求１は、ＣＵＳＴテーブルを用いて、従業者毎に、その従業者の識別番号と、その従業者の名前と、その従業者のマネージャのイニシャルとを対応付けたテーブルを作成し、なおかつ、そのテーブルの各行を従業者の年収及び預金の合計が小さい順に並び替えて出力する要求である。

図４から図１１を用いて、アクセス制御装置４０の機能を説明する。図４は、アクセス制御装置４０の機能ブロック図である。アクセス制御装置４０は、検索要求解析ロジック４００と、判定対象決定ロジック４３０と、リスト実施ロジック４５０とを有する。検索要求解析ロジック４００は、出力要求取得部４１０と、影響度算出部４２０とを有する。出力要求取得部４１０は、出力要求３０をアプリケーションプログラム５０から取得する。そして、出力要求取得部４１０は、取得した出力要求３０の各検索要求を、出力を要求する情報を示す出力部分と、出力を選択するための条件を示す出力特定部分と、出力する順序を示す順序指定部分とに分割する。

図５は、出力要求取得部４１０が出力要求３０を、出力部分と、出力特定部分と、順序指定部分とに分割した結果を示す。本図は、出力部分を斜線領域として示し、出力特定部分を白地領域として示し、順序指定部分を２重斜線領域として示す。例えば、ＳＥＬＥＣＴコマンドは、データベース２００から選択した情報を出力する要求であるので、出力部分である。また、ＷＨＥＲＥコマンドは、選択される情報が満たすべき条件を示すので、出力特定部分である。また、ＯＲＤＥＲ ＢＹコマンドは、情報の並び替えを指示するので、順序指定部分である。

続いて、影響度算出部４２０は、出力情報の生成に対して、データ提供者の秘密情報及び公開情報が与える影響度を算出するべく、以下の処理を行う。まず、影響度算出部４２０は、出力要求３０がアクセスを要求する各カラムについて、互いに同一の関係にあるカラムの組と、影響を与える関係にあるカラムの組とを検出する。

図６は、影響度算出部４２０が、出力要求３０によりアクセスが要求される各カラムについて、互いに同一の関係にあるカラムの組と、一方が他方に影響を与える関係にあるカラムの組とを検出した検出結果を示す。本図において、各矩形領域はカラムを示し、２重線の矩形領域は、データベース２００に含まれておらず出力要求３０が新たに生成するカラムである関数カラムを示す。また、角の丸い矩形領域は、出力要求３０がアクセスを要求するテーブルを示す。また、図５と同様、出力部分を斜線領域として示し、出力特定部分を白地領域として示し、順序指定部分を２重斜線領域として示す。

影響度算出部４２０は、出力要求３０において互いに異なる名称でアクセスされる同一のカラム又はテーブルを検出する。例えば、本図の点線は、互いに同一の関係にあるカラムの組を示す。一例として、検索要求１におけるＩＤと、Ｘ．ＩＤとが示すカラムは、共にＥＭＰＬＯＹＥＥテーブルのＩＤカラムを示すので同一である。また、影響度算出部４２０は、出力特定部分及び順序指定部分が、何れの出力部分に影響を与えるかを検出し、関数カラムが何れのカラムを入力とするかを検出する。例えば、本図の実線は、一方が他方に影響を与える関係にあるカラムの組を示す。一例として、検索要求２におけるＭ．ＳＡＶＩＮＧ及びＭ．ＳＡＬＡＲＹは、検索要求１における関数カラムＭＯＮＥＹに対する入力であるので、ＭＯＮＥＹに影響を与える。

続いて、影響度算出部４２０は、出力要求３０によりアクセスが要求される各カラムが、データベース２００の何れのカラムであるかを、ＤＢスキーマ４１５を用いて解析する。
図７は、ＤＢスキーマ４１５の一例を示す。ＤＢスキーマ４１５は、データベース２００の構造を示し、具体的には、データベース２００の名称がＥＭＰＩＮＦＯＤＢであり、ＥＭＰＩＮＦＯＤＢが、ＥＭＰＬＯＹＥＥテーブル及びＭＯＮＥＹテーブルを含み、ＥＭＰＬＯＹＥＥテーブルが、ＩＤカラム、ＮＡＭＥカラム、及びＭＡＮＡＧＥＲＩＤカラムを含み、ＭＯＮＥＹテーブルが、ＮＯカラム、ＳＡＬＡＲＹカラム、及びＳＡＶＩＮＧカラムを含むことを示す。

ＤＢスキーマ４１５は、更に、ＥＭＰＬＯＹＥＥテーブルにおけるＩＤカラムが、ＥＭＰＬＯＹＥＥテーブルに格納される情報のデータ所有者を識別するキーカラムであることを示している。同様に、ＤＢスキーマ４１５は、ＭＯＮＥＹテーブルにおけるＮＯカラムが、ＭＯＮＥＹテーブルのキーカラムであることを示している。これにより、アクセス制御装置４０は、キーカラムの値によりデータ所有者を識別することにより、データ所有者毎に異なるアクセス制御を行うこともできる。

図８は、影響度算出部４２０が出力要求３０によりアクセスされるカラムをＤＢスキーマ４１５を用いて解析した解析結果を示す。本図は、解析結果を、出力要求３０で用いられるカラムの名前と、その名前で参照されるデータベース２００におけるカラムとを対応付けた表として示す。更に、本図は、各カラムが含まれるテーブルにおけるキーカラムを示すと共に、当該カラムとキーカラムが等しくかつ当該カラムが出力要求３０において影響を与えるカラムである関連カラムを示す。なお、出力要求３０で用いられる各カラムには、便宜上、ＩＤ１からＩＤ９の識別番号を付している。以降の説明において、ＩＤ１が付されたカラムを、ＩＤ１のカラムと呼び、同様に、ＩＤ２からＩＤ９が付されたカラムをＩＤ２からＩＤ９のカラムと呼ぶ。

具体的には、出力要求３０においてＹ．ＮＡＭＥとしてアクセスされるカラムは、データベース２００においてＥＭＰＩＮＦＯＤＢデータベースにおけるＥＭＰＬＯＹＥＥテーブルのＮＡＭＥカラムである。そして、このカラムが含まれるテーブルのキーカラムは、ＩＤ６のカラムＹ．ＩＤである。更に、このカラムは、関数カラムＩの出力に影響を与えるので、このカラムの関連カラムは、ＩＤ３のカラムＩである。ＩＤ１からＩＤ３の各カラムは、出力要求３０により出力を要求された出力情報として用いられる最終アクセスカラムである。

そして、影響度算出部４２０は、出力情報の生成に対して、各カラムが与える影響を示す影響度を影響度算出ルール４２５に基づいて算出する。以降の説明において、カラム内の情報が出力情報に対して与える影響度を、そのカラムの影響度と呼ぶ。
図９は、影響度算出部４２０が影響度を算出した算出結果を示す。具体的には、影響度算出部４２０は、出力情報が秘密情報又は公開情報を含む場合に、出力情報をデータベース２００から選択する条件判断に秘密情報又は公開情報を含む場合と比較して高い影響度を算出する。例えば、影響度算出部４２０は、出力情報に含まれる公開情報が、出力情報に与える影響度として、１０を算出する。一方、影響度算出部４２０は、出力情報を特定する条件判断に用いられる公開情報、例えばＸ．ＭＩＤ等の内部カラムが、出力情報に与える影響度として、１０より小さい７を算出する。

また、影響度算出部４２０は、出力情報が秘密情報又は公開情報を含む場合に、出力情報の出力順序を並び替える条件に秘密情報又は公開情報を用いる場合と比較して高い影響度を算出する。例えば、影響度算出部４２０は、出力情報の出力順序を並び替える条件に秘密情報、例えばＸ．ＭＯＮＥＹ等の内部カラムが、出力情報に与える影響度として、１０より小さい６を算出する。

また、影響度算出部４２０は、関数カラムＹ＝Ｆ（Ｘ_１，Ｘ_２，・・・，Ｘ_Ｎ）に入力される各カラムＸ_１，Ｘ_２，・・・，Ｘ_Ｎの影響度を、Ｙの影響度と、関数Ｆの性質に基づいて算出する。例えば、影響度算出部４２０は、文字列Ｘのｍ文字目からｎ文字を取り出す関数ＳＵＢＳＴＲＩＮＧを用いた、関数カラムＹ＝ＳＵＢＳＴＲＩＮＧ（Ｘ，ｍ，ｎ）について、カラムＸの影響度を、関数カラムＹの影響度及び関数ＳＵＢＳＴＲＩＮＧの性質に基づいて算出する。

具体的には、ＳＵＢＳＴＲＩＮＧに入力されるカラムＩＤ４は、従業者の名前を示すが、ＳＵＢＳＴＲＩＮＧから出力要求３０の出力情報として出力されるカラムＩＤ３は、従業者のイニシャルのみを示す。例えば、従業者の名前の平均値が５文字である場合には、影響度算出部４２０は、名前の文字数である５文字に対する、イニシャルの文字数である１文字の割合を、ＩＤ３のカラムの影響度である１０に乗じることにより、ＩＤ４のカラムの影響度として２を算出する。即ち、影響度算出部４２０は、公開情報又は秘密情報の一部分を出力情報として出力する場合に、その公開情報又は秘密情報の情報量に対する、出力情報として出力されるその一部分の情報量の割合に基づいて、その公開情報又は秘密情報の影響度を算出する。

なお、好ましくは、影響度算出部４２０は、予め定められた関数以外の関数において、関数カラムに入力される各カラムの影響度を、関数カラムＹの影響度と同一の値に定める。これにより、関数の処理内容が不明な場合には、影響度を高く見積もることにより、プライバシーを漏洩しにくくすることができる。

判定対象決定ロジック４３０は、判定対象決定部４４０を含む。判定対象決定部４４０は、影響度算出部４２０により影響度が算出された各カラムのうち、アクセス認可装置１２０がアクセスの許可を判断する対象を選択する。具体的には、まず、判定対象決定部４４０は、カラム分類データ４４５を用いて、各カラムを分類する。

図１０は、カラム分類データ４４５の一例を示す。カラム分類データ４４５は、データベース２００における各カラムの名前と、そのカラムの分類を格納する。例えば、カラム分類データ４４５は、ＥＭＰＩＮＦＯＤＢデータベースにおけるＥＭＰＬＯＹＥＥテーブルのＮＡＭＥカラムが、公開情報の一例であるPII(Personal Identifiable Information)に分類されることを示す。また、カラム分類データ４４５は、ＥＭＰＩＮＦＯＤＢデータベースにおけるＭＯＮＥＹテーブルのＳＡＬＡＲＹカラムが、秘密情報の一例であるPSI(Privacy Sensitive Information)に分類されることを示す。何れにも分類されないカラムは、便宜上、その他に分類される。

図１１は、判定対象決定部４４０が各カラムを公開情報又は秘密情報に分類した分類結果を示す。判定対象決定部４４０は、ＩＤ２及びＩＤ４のカラムを公開情報に分類する。また、判定対象決定部４４０は、ＩＤ８及びＩＤ９のカラムを秘密情報に分類する。

続いて、判定対象決定部４４０は、影響度閾値データ４５５に基づいて、影響度が所定の基準以上のカラムを、アクセス認可装置１２０がアクセスの許可を判断する対象として選択する。例えば、影響度閾値データ４５５が、所定の基準が６であることを示している場合に、判定対象決定部４４０は、ＩＤ１からＩＤ３及びＩＤ５からＩＤ９のカラムを、アクセス認可装置１２０がアクセスの許可を判断する対象として選択すると共に、ＩＤ４のカラムへのアクセスを許可する。

リスト実施ロジック４５０は、情報送信部４６０と、出力部４７０とを含む。情報送信部４６０は、判定対象決定部４４０により選択された、影響度が所定の基準以上のカラムの組を、アクセス認可装置１２０に送信する。出力部４７０は、出力要求３０により要求される出力情報のうち、アクセス認可装置１２０により出力を許可された情報をデータベース２００から取得し、アプリケーションプログラム５０に出力する。

図１２は、アクセス認可装置１２０の機能ブロック図である。アクセス認可装置１２０は、単項出力認可部１２００と、複数項出力認可部１２２０とを有する。単項出力認可部１２００は、アクセス対象のカラムのリストをアクセス要求装置１００から受け取る。そして、単項出力認可部１２００は、例えばPIIに分類された情報のみについて、その情報の出力を許可するか否か判断する。具体的には、単項出力認可部１２００は、出力情報を構成する各々の情報を出力してもよいかを、その情報に対するアクセスが単項プライバシー・ポリシー１２１０により定められた条件を満たすか否かに基づいて判断する。より詳しくは、単項出力認可部１２００は、単項プライバシー・ポリシー１２１０により定められた、データベースの利用者、データ提供者、利用する情報の種類、及び情報利用の目的等の組み合わせの条件に従って、情報を出力してもよいか否かを判断してもよい。

複数項出力認可部１２２０は、アクセス対象のカラムのリストをアクセス要求装置１００から受け取る。そして、複数項出力認可部１２２０は、単項出力認可部１２００により出力が許可された出力情報のうち、出力部４７０による出力を許可する情報を、複数項プライバシー・ポリシー１２３０に基づいて更に判断する。即ち、出力部４７０は、単項出力認可部１２００により出力が許可された情報であっても、複数項出力認可部１２２０による出力が許可されない場合には、その情報を出力することができない。例えば、複数項出力認可部１２２０は、公開情報及び秘密情報を組み合わせて生成した情報の出力を禁止し、秘密情報を用いて、かつ、公開情報を用いずに生成した情報の出力を許可する。更に、複数項出力認可部１２２０は、公開情報については単項出力認可部１２００により出力が許可された場合であれば出力を許可する。

より詳細には、複数項出力認可部１２２０は、データベース２００において同一のキーカラムを有するPII及びPSIを対応付けて同時に取得した情報の出力を禁止する。例えば、従業者の名前と、その従業者の年収を対応付けて取得した情報の出力は禁止される。なお、複数項出力認可部１２２０は、キーカラム及びPSIを同時に取得した情報の出力も禁止する。ここで、同時に取得するとは、例えば、同一のアプリケーションプログラムにより予め定められた基準以内の間隔で複数回取得することであってもよいし、同一のアプリケーションプログラムにより同一のトランザクションでアクセスすることであってもよいし、出力要求３０を記述したプログラムにより複数の情報の出力が要求されることであってもよい。

また、他の例として、複数項出力認可部１２２０は、複数のデータ提供者の各々の公開情報を、これらの公開情報に対応する秘密情報に基づいて並び替えることにより生成した情報の出力を禁止する。例えば、従業者の名前を、従業者の年収順に並び替えて生成した情報の出力は禁止される。また、複数項出力認可部１２２０は、同一の公開情報に対応付けられた複数の秘密情報を組み合わせて生成した情報の出力を禁止する。例えば、同一のデータ提供者の年収及び預金に双方に基づいた情報の出力は禁止される。

ここで、秘密情報の一例であるPSIは、PIIと対応付けなければPSIのデータ所有者を識別させることが困難であるが、多数のPSIが同時に出力された場合には、これらのPSIのデータ所有者が識別できてしまう場合がある。例えば、同一のデータ所有者の職業、勤務先、性別、年収、及び年齢が対応付けられて出力されれば、これらの情報が何れのデータ所有者の秘密情報であるかが判明し、結果として、PIIと対応付けられて出力されるの場合と同様にプライバシーが侵害される場合がある。

従って、好ましくは、複数項出力認可部１２２０は、予め定められた数以上の秘密情報を組み合わせて生成した情報の出力を禁止し、その数未満の秘密情報を組み合わせて生成した情報の出力は許可する。また、更に好ましくは、複数項出力認可部１２２０は、同一の公開情報に対応する複数の秘密情報の各々における影響度の平均値が、所定の基準より高い場合に、出力情報の出力を禁止する。これにより、データ所有者のプライバシーを保護しつつ、出力情報に対する影響が低い秘密情報へのアクセスを許可することにより情報利用の利便性を高めることができる。

更に他の例として、出力要求３０が、予め定められた条件を満たす秘密情報に対応する公開情報のみを出力する要求である場合に、複数項出力認可部１２２０は、その出力要求に応じた情報の出力を禁止する。例えば、年収が所定の基準以上の従業者の名前のみを選択して生成した情報の出力は禁止される。これにより、秘密情報を推測させてしまうような情報の出力を禁止することができる。

また、複数項出力認可部１２２０は、関数カラムに入力される情報の何れかが、単項出力認可部１２００又は複数項出力認可部１２２０により出力が禁止された情報である場合に、その関数カラムから出力される情報の出力を禁止する。更に、複数項出力認可部１２２０は、単項出力認可部１２００又は複数項出力認可部１２２０により出力が禁止された情報を条件判断に用いる場合、例えば、その情報が出力要求３０の出力特定部分に含まれている場合には、その条件に基づく出力情報の出力を禁止する。

図１３は、アクセス認可装置１２０が情報の出力を許可するか否か評価した結果を示す。単項出力認可部１２００は、従業員の名前のカラム（ＩＤ２）が、単項プライバシー・ポリシー１２１０により禁止された情報に該当しないので、従業員の名前の出力を許可する。そして、複数項出力認可部１２２０は、従業員のイニシャルのカラム（ＩＤ３）の入力が、出力を許可するか判断する対象外であるＩＤ４のみであるので、従業員のイニシャルの出力を許可する。

一方、複数項出力認可部１２２０は、従業員の預金（ＩＤ８）と、従業員の年収（ＩＤ９）との双方における影響度が、所定の基準である６以上であって、かつこれらが同時に取得されるので、ＩＤ８及びＩＤ９のカラムを用いて生成した情報の出力を禁止する。具体的には、複数項出力認可部１２２０は、ＩＤ８及びＩＤ９のカラムの情報を入力とするＩＤ７のカラムを用いた情報の出力を禁止する。

図１４は、アクセス制御システム１０の動作フローを示す。出力要求取得部４１０は、出力要求３０をアプリケーションプログラム５０から取得する（Ｓ１４００）。そして、出力要求取得部４１０は、取得した出力要求３０の各検索要求を、出力を要求する情報を示す出力部分と、出力を選択するための条件を示す出力特定部分と、出力する順序を示す順序指定部分とに分割する。

続いて、影響度算出部４２０は、出力情報の生成に対して、データ提供者の秘密情報及び公開情報が与える影響度を算出するべく、出力要求３０を解析する（Ｓ１４１０）。具体的には、影響度算出部４２０は、出力要求３０がアクセスを要求する各カラムについて、互いに同一の関係にあるカラムの組と、影響を与える関係にあるカラムの組とを検出する。また、影響度算出部４２０は、出力要求３０によりアクセスが要求される各カラムが、データベース２００の何れのカラムであるかを、ＤＢスキーマ４１５を用いて解析する。

そして、影響度算出部４２０は、出力情報の生成に対して、各カラムが与える影響を示す影響度を影響度算出ルール４２５に基づいて算出する（Ｓ１４２０）。具体的には、影響度算出部４２０は、出力情報が秘密情報又は公開情報を含む場合に、出力情報をデータベース２００から選択する条件判断に秘密情報又は公開情報を含む場合と比較して高い影響度を算出する。また、影響度算出部４２０は、出力情報が秘密情報又は公開情報を含む場合に、出力情報の出力順序を並び替える条件に秘密情報又は公開情報を用いる場合と比較して高い影響度を算出する。

判定対象決定部４４０は、影響度算出部４２０により影響度が算出された各カラムのうち、アクセス認可装置１２０がアクセスの許可を判断する対象を選択する（Ｓ１４３０）。具体的には、まず、判定対象決定部４４０は、カラム分類データ４４５を用いて、各カラムを公開情報、秘密情報、及びその他の情報に分類する。続いて、判定対象決定部４４０は、影響度が所定の基準以上のカラムを、アクセス認可装置１２０がアクセスの許可を判断する対象として選択する。

そして、情報送信部４６０は、判定対象決定部４４０により選択された、影響度が所定の基準以上のカラムの組を、アクセス認可装置１２０に送信する（Ｓ１４４０）。単項出力認可部１２００は、アクセス対象のカラムのリストをアクセス要求装置１００から受け取ると、例えばPIIに分類された情報のみについて、その情報の出力を許可するか否か判断する（Ｓ１４５０）。

続いて、複数項出力認可部１２２０は、出力要求３０により出力が要求される出力情報のうち出力を許可する部分を、複数項プライバシー・ポリシー１２３０に基づいて判断する（Ｓ１４６０）。一例として、複数項出力認可部１２２０は、公開情報及び秘密情報を組み合わせて生成した情報の出力を禁止し、秘密情報を用いて、かつ、公開情報を用いずに生成した情報の出力を許可する。また、複数項出力認可部１２２０は、単項出力認可部１２００は、関数カラムに入力される情報の何れかが、単項出力認可部１２００又は複数項出力認可部１２２０により出力が禁止された情報である場合に、その関数カラムから出力される情報の出力を禁止してもよい。

そして、出力部４７０は、出力要求３０により要求される出力情報のうち、アクセス認可装置１２０により出力を許可された情報をデータベース２００から取得し、アプリケーションプログラム５０に出力する（Ｓ１４７０）。例えば、出力部４７０は、出力要求３０の出力指定部分のうち、アクセスが許可されたカラムの情報のみを出力する。

また、他の例として、出力部４７０は、出力要求３０の出力部分が公開情報を含み、出力要求３０の順序指定部分が秘密情報を含む場合であって、公開情報自体の出力が許可され、かつ、公開情報を秘密情報に基づいて並び替えることにより生成した情報の出力が禁止された場合には、公開情報を秘密情報に基づいて並び替えた順序とは異なる順序に並び替えて出力する。例えば、出力部４７０は、従業者の名前を年収で並び替える出力要求に対しては、名前の出力が許可されている場合であっても、名前を年収に並び替えた順序とは異なる順序で出力する。また、好ましくは、出力部４７０は、公開情報を秘密情報に基づいて並び替えることにより生成した情報の出力が禁止された場合に、公開情報をランダムに並び替えて出力する。これにより、公開情報及び秘密情報の対応付けを推測させにくくすることにより、データ提供者のプライバシーを適切に保護することができる。

図１５は、アクセス要求装置１００として機能するコンピュータのハードウェア構成の一例を示す。アクセス要求装置１００は、ホストコントローラ１５８２により相互に接続されるＣＰＵ１５００、ＲＡＭ１５２０、グラフィックコントローラ１５７５、及び表示装置１５８０を有するＣＰＵ周辺部と、入出力コントローラ１５８４によりホストコントローラ１５８２に接続される通信インターフェイス１５３０、ハードディスクドライブ１５４０、及びＣＤ−ＲＯＭドライブ１５６０を有する入出力部と、入出力コントローラ１５８４に接続されるＢＩＯＳ１５１０、フレキシブルディスクドライブ１５５０、及び入出力チップ１５７０を有するレガシー入出力部とを備える。

ホストコントローラ１５８２は、ＲＡＭ１５２０と、高い転送レートでＲＡＭ１５２０をアクセスするＣＰＵ１５００及びグラフィックコントローラ１５７５とを接続する。ＣＰＵ１５００は、ＢＩＯＳ１５１０及びＲＡＭ１５２０に格納されたプログラムに基づいて動作し、各部の制御を行う。グラフィックコントローラ１５７５は、ＣＰＵ１５００等がＲＡＭ１５２０内に設けたフレームバッファ上に生成する画像データを取得し、表示装置１５８０上に表示させる。これに代えて、グラフィックコントローラ１５７５は、ＣＰＵ１５００等が生成する画像データを格納するフレームバッファを、内部に含んでもよい。

入出力コントローラ１５８４は、ホストコントローラ１５８２と、比較的高速な入出力装置である通信インターフェイス１５３０、ハードディスクドライブ１５４０、及びＣＤ−ＲＯＭドライブ１５６０を接続する。通信インターフェイス１５３０は、ネットワークを介して外部の装置と通信する。ハードディスクドライブ１５４０は、アクセス要求装置１００が使用するプログラム及びデータを格納する。ＣＤ−ＲＯＭドライブ１５６０は、ＣＤ−ＲＯＭ１５９５からプログラム又はデータを読み取り、ＲＡＭ１５２０を介して入出力チップ１５７０に提供する。

また、入出力コントローラ１５８４には、ＢＩＯＳ１５１０と、フレキシブルディスクドライブ１５５０や入出力チップ１５７０等の比較的低速な入出力装置とが接続される。ＢＩＯＳ１５１０は、アクセス要求装置１００の起動時にＣＰＵ１５００が実行するブートプログラムや、アクセス要求装置１００のハードウェアに依存するプログラム等を格納する。フレキシブルディスクドライブ１５５０は、フレキシブルディスク１５９０からプログラム又はデータを読み取り、ＲＡＭ１５２０を介して入出力チップ１５７０に提供する。入出力チップ１５７０は、フレキシブルディスク１５９０や、例えばパラレルポート、シリアルポート、キーボードポート、マウスポート等を介して各種の入出力装置を接続する。

アクセス要求装置１００に提供されるプログラムは、フレキシブルディスク１５９０、ＣＤ−ＲＯＭ１５９５、又はＩＣカード等の記録媒体に格納されて利用者によって提供される。プログラムは、入出力チップ１５７０及び／又は入出力コントローラ１５８４を介して、記録媒体から読み出されアクセス要求装置１００にインストールされて実行される。

アクセス要求装置１００にインストールされて実行されるプログラムは、出力要求取得モジュールと、影響度算出モジュールと、判定対象決定モジュールと、情報送信モジュールと、出力モジュールとを含む。また、当該プログラムは、ハードディスクドライブ１５４０に、ＤＢスキーマ４１５、影響度算出ルール４２５、カラム分類データ４４５、及び影響度閾値データ４５５を格納して用いてもよい。更に、アクセス要求装置１００が取得したプログラムは、ネットワークを介してアクセス認可装置１２０に送信され、アクセス認可装置１２０にインストールされて実行されてもよい。

当該プログラムは、単項出力認可モジュールと、複数項出力認可モジュールとを含む。また、当該プログラムは、ハードディスクドライブ１５４０に、単項プライバシー・ポリシー１２１０及び複数項プライバシー・ポリシー１２３０を格納して用いてもよい。各モジュールがアクセス要求装置１００又はアクセス認可装置１２０に働きかけて行わせる動作は、図１から図１４において説明したアクセス要求装置１００又はアクセス認可装置１２０における、対応する部材の動作と同一であるから、説明を省略する。

以上に示したプログラム又はモジュールは、外部の記憶媒体に格納されてもよい。記憶媒体としては、フレキシブルディスク１５９０、ＣＤ−ＲＯＭ１５９５の他に、ＤＶＤやＰＤ等の光学記録媒体、ＭＤ等の光磁気記録媒体、テープ媒体、ＩＣカード等の半導体メモリ等を用いることができる。また、専用通信ネットワークやインターネットに接続されたサーバシステムに設けたハードディスク又はＲＡＭ等の記憶装置を記録媒体として使用し、ネットワークを介してプログラムをアクセス要求装置１００に提供してもよい。

以上、本実施例に示すアクセス制御システム１０は、データベースの各カラムに対するアクセスの可否を判断するのみならず、複数のカラムを組み合わせて生成した情報の出力の可否を判断することができる。これにより、データ提供者のプライバシーを保護すると共に、データ提供者のプライバシーを保護するあまり各カラムに対するアクセスを禁止し過ぎることを避けることができる。即ち、データ利用者の利便性をできるだけ損なうことなく、データ提供者のプライバシーを保護することができる。

以上、本発明を実施の形態を用いて説明したが、本発明の技術的範囲は上記実施の形態に記載の範囲には限定されない。上記実施の形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。その様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

以上に示す実施例によれば、以下の各項目に示すアクセス制御システム、アクセス制御装置、アクセス制御方法、プログラム、及び記録媒体が実現される。
（項目１） データ提供者の公開情報と秘密情報とを対応付けて格納するデータベースへのアクセスを制御するアクセス制御システムであって、前記データベースをアクセスして生成した情報の出力を要求する出力要求を取得する出力要求取得部と、前記出力要求により出力を要求された出力情報のうち、前記公開情報及び前記秘密情報を組み合わせて生成した情報の出力を禁止し、前記秘密情報を用いて、かつ、前記公開情報を用いずに生成した情報の出力を許可する複数項出力認可部と、前記出力情報のうち前記複数項出力認可部により出力を許可された情報を出力する出力部とを備えるアクセス制御システム。
（項目２） 前記データベースは、前記公開情報として、前記データ提供者を識別する提供者識別情報を格納し、当該公開情報に対応付けられた前記秘密情報として、当該公開情報に対応付けて出力した場合に当該データ提供者のプライバシーを侵害するプライバシー情報を格納し、前記複数項出力認可部は、前記プライバシー情報及び前記提供者識別情報を組み合わせて生成した情報の出力を禁止し、前記プライバシー情報を用いて、かつ、前記提供者識別情報を用いずに生成した情報の出力を許可する項目１記載のアクセス制御システム。

（項目３） 前記データベースは、複数の前記データ提供者の各々について、当該データ提供者の公開情報と秘密情報とを対応付けて格納し、前記複数項出力認可部は、複数の前記公開情報を、前記複数の公開情報の各々に対応する秘密情報に基づいて並び替えることにより生成した情報の出力を禁止する項目１記載のアクセス制御システム。
（項目４） 前記出力部は、前記公開情報を前記秘密情報に基づいて並び替えることにより生成した情報の出力が禁止された場合に、前記公開情報を前記秘密情報に基づいて並び替えた順序とは異なる順序に並び替えて出力する項目３記載のアクセス制御システム。
（項目５） 前記出力部は、前記公開情報を前記秘密情報に基づいて並び替えることにより生成した情報の出力が禁止された場合に、前記公開情報をランダムに並び替えて出力する項目４記載のアクセス制御システム。
（項目６） 前記出力要求取得部が、前記出力要求として、予め定められた条件を満たす秘密情報に対応する公開情報を出力する要求を取得した場合に、前記複数項出力認可部は、当該出力要求に応じた情報の出力を禁止する項目１記載のアクセス制御システム。

（項目７） 前記データベースは、前記公開情報に対応付けて複数の前記秘密情報を格納しており、前記複数項出力認可部は、更に、同一の公開情報に対応付けられた複数の前記秘密情報を組み合わせて生成した情報の出力を禁止する項目１記載のアクセス制御システム。
（項目８） 前記複数項出力認可部は、同一の公開情報に対応付けられた予め定められた数以上の前記秘密情報を組み合わせて生成した情報の出力を禁止し、前記予め定められた数未満の前記秘密情報を組み合わせて生成した情報の出力を許可する項目７記載のアクセス制御システム。
（項目９） 前記出力情報の生成に対して、前記秘密情報が与える影響を示す影響度と、前記公開情報が与える影響を示す影響度とを算出する影響度算出部を更に備え、前記複数項出力認可部は、前記秘密情報の前記影響度と、前記公開情報の前記影響度との双方が所定の基準より高い場合に、前記出力情報の出力を禁止する項目１記載のアクセス制御システム。

（項目１０） 前記影響度算出部は、前記出力情報が前記秘密情報又は前記公開情報を含む場合に、前記出力情報を前記データベースから選択する条件判断に前記秘密情報又は前記公開情報を用いる場合及び前記出力情報の出力順序を並び替える条件に前記秘密情報又は前記公開情報を用いる場合と比較して高い前記影響度を算出する項目９記載のアクセス制御システム。
（項目１１） 前記影響度算出部は、前記公開情報又は前記秘密情報の一部分を前記出力情報として出力する場合において、前記公開情報又は前記秘密情報の情報量に対する、前記出力情報として出力される前記一部分の情報量の割合がより高い場合に、当該割合がより低い場合と比較してより高い値を、当該公開情報又は当該秘密情報の前記影響度として算出する項目９記載のアクセス制御システム。
（項目１２） 前記データベースは、前記公開情報に複数の前記秘密情報を対応付けて格納しており、前記影響度算出部は、前記複数の秘密情報の各々について前記影響度を算出し、前記複数項出力認可部は、同一の公開情報に対応する複数の秘密情報の各々における前記影響度の平均値が、前記所定の基準より高い場合に、前記出力情報の出力を禁止する項目９記載のアクセス制御システム。
（項目１３） 予め定められた情報の出力を禁止する単項出力認可部を更に備え、前記複数項出力認可部は、前記単項出力認可部により出力が禁止された情報を条件判断に用いる前記出力情報の出力を禁止する項目１記載のアクセス制御システム。
（項目１４） 予め定められた情報の出力を禁止する単項出力認可部を更に備え、前記複数項出力認可部は、前記出力情報を生成する関数の入力の何れかが、前記単項出力認可部により出力が禁止された情報である場合に、前記出力情報の出力を禁止する項目１記載のアクセス制御システム。

（項目１５） データベースへのアクセスを制御するアクセス制御装置であって、前記データベースをアクセスして生成した情報の出力を要求する出力要求を取得する出力要求取得部と、前記出力要求により出力が要求される出力情報の生成に対して、前記出力情報の生成に用いられる各々の情報が与える影響を示す影響度を算出する影響度算出部と、前記影響度算出部により算出された前記影響度が所定の基準以上の情報の組を、当該情報の組へのアクセスを許可するアクセス認可装置に送信する情報送信部と、前記情報送信部が送信した前記情報の組へのアクセスが前記アクセス認可装置により許可された場合に、前記出力情報を生成して出力する出力部とを備えるアクセス制御装置。
（項目１６） データ提供者の公開情報と秘密情報とを対応付けて格納するデータベースへのアクセスを制御するアクセス制御方法であって、前記データベースをアクセスして生成した情報の出力を要求する出力要求を取得する出力要求取得段階と、前記出力要求により出力を要求された出力情報のうち、前記公開情報及び前記秘密情報を組み合わせて生成した情報の出力を禁止し、前記秘密情報を用いて、かつ、前記公開情報を用いずに生成した情報の出力を許可する複数項出力認可段階と、前記出力情報のうち前記複数項出力認可段階において出力を許可された情報を出力する出力段階とを備えるアクセス制御方法。
（項目１７） データベースへのアクセスを制御するアクセス制御方法であって、前記データベースをアクセスして生成した情報の出力を要求する出力要求を取得する出力要求取得段階と、前記出力要求により出力が要求される出力情報の生成に対して、前記出力情報の生成に用いられる各々の情報が与える影響を示す影響度を算出する影響度算出段階と、前記影響度算出段階において算出された前記影響度が所定の基準以上の情報の組を、当該情報の組へのアクセスを許可するアクセス認可装置に送信する情報送信段階と、前記情報送信段階において送信された前記情報の組へのアクセスが前記アクセス認可装置により許可された場合に、前記出力情報を生成して出力する出力段階とを備えるアクセス制御方法。

（項目１８） データ提供者の公開情報と秘密情報とを対応付けて格納するデータベースへのアクセスをコンピュータにより制御させるプログラムであって、前記コンピュータを、前記データベースをアクセスして生成した情報の出力を要求する出力要求を取得する出力要求取得部と、前記出力要求により出力を要求された出力情報のうち、前記公開情報及び前記秘密情報を組み合わせて生成した情報の出力を禁止し、前記秘密情報を用いて、かつ、前記秘密情報を用いずに生成した情報の出力を許可する複数項出力認可部と、前記出力情報のうち前記複数項出力認可部により出力を許可された情報を出力する出力部として機能させるプログラム。
（項目１９） データベースへのアクセスをコンピュータにより制御するプログラムであって、前記コンピュータを、前記データベースをアクセスして生成した情報の出力を要求する出力要求を取得する出力要求取得部と、前記出力要求により出力が要求される出力情報の生成に対して、前記出力情報の生成に用いられる各々の情報が与える影響を示す影響度を算出する影響度算出部と、前記影響度算出部により算出された前記影響度が所定の基準以上の情報の組を、当該情報の組へのアクセスを許可するアクセス認可装置に送信する情報送信部と、前記情報送信部が送信した前記情報の組へのアクセスが前記アクセス認可装置により許可された場合に、前記出力情報を生成して出力する出力部として機能させるプログラム。
（項目２０） 項目１８又は項目１９に記載のプログラムを記録した記録媒体。

図１は、アクセス制御システム１０の概要を示す。 図２は、データベース２００のデータ構造の一例を示す。 図３は、出力要求３０の一例を示す。 図４は、アクセス制御装置４０の機能ブロック図である。 図５は、出力要求取得部４１０が出力要求３０を、出力部分と、出力特定部分と、順序指定部分とに分割した結果を示す。 図６は、影響度算出部４２０が、出力要求３０によりアクセスが要求される各カラムについて、互いに同一の関係にあるカラムの組と、一方が他方に影響を与える関係にあるカラムの組とを検出した検出結果を示す。 図７は、ＤＢスキーマ４１５の一例を示す。 図８は、影響度算出部４２０が出力要求３０によりアクセスされるカラムをＤＢスキーマ４１５を用いて解析した解析結果を示す。 図９は、影響度算出部４２０が影響度を算出した算出結果を示す。 図１０は、カラム分類データ４４５の一例を示す。 図１１は、判定対象決定部４４０が各カラムを公開情報又は秘密情報に分類した分類結果を示す。 図１２は、アクセス認可装置１２０の機能ブロック図である。 図１３は、アクセス認可装置１２０が情報の出力を許可するか否か評価した結果を示す。 図１４は、アクセス制御システム１０の動作フローを示す。 図１５は、アクセス要求装置１００として機能するコンピュータのハードウェア構成の一例を示す。

符号の説明

１０ アクセス制御システム
２０ データベース
３０ 出力要求
４０ アクセス制御装置
５０ アプリケーションプログラム
１００ アクセス要求装置
１２０ アクセス認可装置
２００ データベース
４００ 検索要求解析ロジック
４１０ 出力要求取得部
４１５ ＤＢスキーマ
４２０ 影響度算出部
４２５ 影響度算出ルール
４３０ 判定対象決定ロジック
４４０ 判定対象決定部
４４５ カラム分類データ
４５０ リスト実施ロジック
４５５ 影響度閾値データ
４６０ 情報送信部
４７０ 出力部
１２００ 単項出力認可部
１２１０ 単項プライバシー・ポリシー
１２２０ 複数項出力認可部
１２３０ 複数項プライバシー・ポリシー

Claims (16)

1. データ提供者を識別する識別情報と、前記識別情報に対応付けて出力された場合に前記データ提供者のプライバシーを侵害するプライバシー情報とを、情報の種類毎に各カラムに格納するデータベースへのアクセスを制御するアクセス制御システムであって、
   前記データベースが格納した情報を検索する条件を含み、当該条件に応じた出力情報の出力を要求する出力要求を取得する出力要求取得部と、
   前記出力要求により要求された前記出力情報、前記出力要求における検索条件、または、前記出力情報における情報の出力順序を並べ替える条件に、それぞれの前記カラムに格納された情報が含まれるか否かを前記出力要求に基づいて解析し、解析結果から、それぞれの前記カラムの情報が前記出力情報に対して与える影響度を前記カラム毎に算出する影響度算出部と、
   前記識別情報を格納する前記カラムの影響度と、前記プライバシー情報を格納する前記カラムの影響度との双方が所定の基準より高い場合に、前記出力情報の出力を禁止する複数項出力認可部と、
   前記出力情報のうち前記複数項出力認可部により出力を許可された情報を出力する出力部と
   を備えるアクセス制御システム。
2. 前記データベースは、複数の前記データ提供者の各々について、当該データ提供者の識別情報とプライバシー情報とを対応付けて格納し、
   前記複数項出力認可部は、複数の前記識別情報を、前記複数の識別情報の各々に対応するプライバシー情報に基づいて並び替えることにより生成した情報の出力を禁止する
   請求項１記載のアクセス制御システム。
3. 前記出力部は、前記識別情報を前記プライバシー情報に基づいて並び替えることにより生成した情報の出力が禁止された場合に、前記識別情報を前記プライバシー情報に基づいて並び替えた順序とは異なる順序に並び替えて出力する
   請求項２記載のアクセス制御システム。
4. 前記出力部は、前記識別情報を前記プライバシー情報に基づいて並び替えることにより生成した情報の出力が禁止された場合に、前記識別情報をランダムに並び替えて出力する
   請求項３記載のアクセス制御システム。
5. 前記出力要求取得部が、前記出力要求として、予め定められた条件を満たすプライバシー情報に対応する識別情報を出力する要求を取得した場合に、前記複数項出力認可部は、当該出力要求に応じた情報の出力を禁止する
   請求項１記載のアクセス制御システム。
6. 前記データベースは、前記識別情報に対応付けて複数の前記プライバシー情報を格納しており、
   前記複数項出力認可部は、更に、同一の識別情報に対応付けられた複数の前記プライバシー情報を組み合わせて生成した情報の出力を禁止する
   請求項１記載のアクセス制御システム。
7. 前記複数項出力認可部は、同一の識別情報に対応付けられた予め定められた数以上の前記プライバシー情報を組み合わせて生成した情報の出力を禁止し、前記予め定められた数未満の前記プライバシー情報を組み合わせて生成した情報の出力を許可する
   請求項６記載のアクセス制御システム。
8. 前記データベースは、前記識別情報および前記プライバシー情報以外の情報を更に格納し、
   前記影響度算出部は、前記出力要求により要求された前記出力情報が前記プライバシー情報又は前記識別情報を含む場合に、当該プライバシー情報又は当該識別情報を格納する前記カラムに対して算出する前記影響度として、
   前記出力情報を前記データベースから選択する条件判断に前記プライバシー情報又は前記識別情報を用いる場合に、当該プライバシー情報又は当該識別情報を格納する前記カラムに対して算出する影響度と比較して高い前記影響度を算出する
   請求項１記載のアクセス制御システム。
9. 前記データベースは、前記識別情報および前記プライバシー情報以外の情報を更に格納し、
   前記影響度算出部は、前記出力要求により要求された前記出力情報が前記プライバシー情報又は前記識別情報を含む場合に、当該プライバシー情報又は当該識別情報を格納する前記カラムに対して算出する前記影響度として、
   前記出力情報の出力順序を並び替える条件に前記プライバシー情報又は前記識別情報を用いる場合に、当該プライバシー情報又は当該識別情報を格納する前記カラムに対して算出する影響度と比較して高い前記影響度を算出する
   請求項１記載のアクセス制御システム。
10. 前記影響度算出部は、前記識別情報又は前記プライバシー情報の一部の文字を前記出力情報として出力する場合において、前記識別情報又は前記プライバシー情報の文字数の平均値に対する、前記出力情報として出力される前記一部の文字の文字数の割合に基づいて前記影響度を算出する
    請求項１記載のアクセス制御システム。
11. 前記データベースは、前記識別情報に複数の前記プライバシー情報を対応付けて格納しており、
    前記影響度算出部は、前記複数のプライバシー情報の各々について前記影響度を算出し、
    前記複数項出力認可部は、同一の識別情報に対応する複数のプライバシー情報の各々における前記影響度の平均値が、前記所定の基準より高い場合に、前記出力情報の出力を禁止する
    請求項１記載のアクセス制御システム。
12. 予め定められた情報の出力を禁止する単項出力認可部を更に備え、
    前記複数項出力認可部は、前記単項出力認可部により出力が禁止された情報を条件判断に用いる前記出力情報の出力を禁止する
    請求項１記載のアクセス制御システム。
13. 予め定められた情報の出力を禁止する単項出力認可部を更に備え、
    前記複数項出力認可部は、前記出力情報を生成する関数の入力の何れかが、前記単項出力認可部により出力が禁止された情報である場合に、前記出力情報の出力を禁止する
    請求項１記載のアクセス制御システム。
14. データ提供者を識別する識別情報と、前記識別情報に対応付けて出力された場合に前記データ提供者のプライバシーを侵害するプライバシー情報とを、情報の種類毎に各カラムに格納するデータベースへのアクセスを制御するアクセス制御方法であって、
    前記データベースが格納した情報を検索する条件を含み、当該条件に応じた出力情報の出力を要求する出力要求を取得する出力要求取得段階と、
    前記出力要求により要求された前記出力情報、前記出力要求における検索条件、または、前記出力情報における情報の出力順序を並べ替える条件に、それぞれの前記カラムに格納された情報が含まれるか否かを前記出力要求に基づいて解析し、解析結果から、それぞれの前記カラムの情報が前記出力情報に対して与える影響度を前記カラム毎に算出する影響度算出段階と、
    前記識別情報を格納する前記カラムの影響度と、前記プライバシー情報を格納する前記カラムの影響度との双方が所定の基準より高い場合に、前記出力情報の出力を禁止する複数項出力認可段階と、
    前記出力情報のうち前記複数項出力認可段階により出力を許可された情報を出力する出力段階と
    を備えるアクセス制御方法。
15. データ提供者を識別する識別情報と、前記識別情報に対応付けて出力された場合に前記データ提供者のプライバシーを侵害するプライバシー情報とを、情報の種類毎に各カラムに格納するデータベースへのアクセスをコンピュータにより制御させるプログラムであって、
    前記コンピュータを、
    前記データベースが格納した情報を検索する条件を含み、当該条件に応じた出力情報の出力を要求する出力要求を取得する出力要求取得部と、
    前記出力要求により要求された前記出力情報、前記出力要求における検索条件、または、前記出力情報における情報の出力順序を並べ替える条件に、それぞれの前記カラムに格納された情報が含まれるか否かを前記出力要求に基づいて解析し、解析結果から、それぞれの前記カラムの情報が前記出力情報に対して与える影響度を前記カラム毎に算出する影響度算出部と、
    前記識別情報を格納する前記カラムの影響度と、前記プライバシー情報を格納する前記カラムの影響度との双方が所定の基準より高い場合に、前記出力情報の出力を禁止する複数項出力認可部と、
    前記出力情報のうち前記複数項出力認可部により出力を許可された情報を出力する出力部と
    して機能させるプログラム。
16. 請求項１５に記載のプログラムを記録した記録媒体。

Images