JPH06110764A - 情報アクセス制御方法及び装置 - Google Patents

Abstract

(57)【要約】 【目的】 情報の間接的な漏洩経路が多数存在してもユ
ーザ相互の情報漏洩に起因する損害を必要最小限に抑え
て、データベースシステムの利用を高めることが可能な
情報アクセス方法及び装置の提供。 【構成】 情報アクセス制御装置８は、支払い行列作成
器１６を使用して従来の無条件禁止要求情報とは別に、
条件付き禁止要求情報でファイル名情報のアクセス条件
をユーザが設定できるようにすると共に、制御器１３を
使用して条件付き禁止要求情報を要求した二つのユーザ
夫々の利得値が均衡した場合に限り、その条件付き禁止
要求情報で指定されたファイル名情報のアクセス許可を
行うように情報蓄積装置９を制御して間接的漏洩経路に
起因する損害を低減する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はメモリ或は磁気記憶装置
等の情報蓄積手段に複数のユーザが情報の読み出し及び
書き込みを行うデータベースシステムに対しての情報ア
クセスを制御する方法及び装置に関する。

【０００２】

【従来技術】複数のユーザがコンピュータ等の端末を介
して所要の情報を所定の情報蓄積手段に書き込み及び読
み出しを行って互いに情報の授受を行うことが可能なデ
ータベースシステムが各種構築されているが、場合によ
っては情報の漏洩を防止するセキュリティシステムが重
要なことがある。例えば、複数の銀行が所有する顧客情
報の一部を共有するためのデータベースシステムでは複
数の銀行が利用することが多く、自分が情報蓄積手段に
書き込んだ情報のアクセスを許容するユーザの特定を行
う必要がある。このため従来から各ユーザが情報蓄積手
段から所望情報の読み出し要求を行う毎にその要求通り
に情報の読み出しを行うか否かの判定、所謂アクセス権
限のチェックを行うことによって各ユーザ所有の情報が
第三者に漏れるのを防止するように前記情報蓄積手段を
制御するための情報アクセス制御装置を設けるのが一般
的である。

【０００３】従来、このようなデータベースシステムは
図２に示すようにユーザＳ１乃至Ｓ４の情報を蓄えるた
めの情報蓄積装置１と情報アクセス制御装置２とをセン
タ３に具え、その外部入力端を前記各ユーザが使用する
端末４、４、…に接続すると共に、情報アクセス制御装
置２には評価ファイル５を接続したＳ−Ｏ行列作成判定
器６を具え、前記情報蓄積装置１の入出力端をＳ−Ｏ行
列作成判定器６を介して各端末４の入出力端に接続して
いた。

【０００４】このデータベースシステムはユーザｓ１乃
至ｓ４各々が情報蓄積装置１に対して所要ファイル名の
情報のアクセスを希望する旨を表わす処理要求情報を端
末４を介してＳ−Ｏ行列作成判定器６に送信し、そのＳ
−Ｏ行列作成判定器６ではその結果に基づいて、例えば
次式（１）

【０００５】

【数１】 に示すようなＳ−Ｏ行列式を作成すると共に評価ファイ
ル５に格納する。ここで、前記Ｓ−Ｏ行列式（１）のｏ
１行ｓ１列の記号ｒｗはファイル名ｏ１の情報の読み出
し及び書き込みをユーザｓ１が、ｏ１行ｓ２列の記号ｒ
はファイル名ｏ１の情報の読み出しをユーザｓ２が、又
ｏ３行ｓ３列の記号ｗはファイル名ｏ３の情報の書き込
みをユーザｓ３が夫々希望した旨の処理要求情報を表わ
し、更に他の記号についても同様の処理要求情報を表わ
す。

【０００６】このように構成したデータベースシステム
は、各ユーザがアクセスを要求する際に自己のユーザ
名、アクセスを希望するファイル名及び読み出しか書き
込みかの区別とを表わす指示系列を端末４を介してＳ−
Ｏ行列作成判定器６に送信すると、該Ｓ−Ｏ行列作成判
定器６を使用して前記指示系列に該当する記号ｒ又はｗ
が前記Ｓ−Ｏ行列式（１）に書き込まれている状態を判
定した場合に限り、各ユーザの情報アクセス要求を許可
するように情報蓄積装置１を制御し、複数のユーザが相
互に情報の授受を行えるようにしていた。

【０００７】更に、このままでは各ユーザが希望しない
ユーザに情報がアクセスされてしまうと云う不都合があ
るため、前記処理要求情報を各ユーザから送信させる際
に、例えばユーザｓ１が書き込みを希望したファイル名
ｏ１の情報を特定のユーザｓ１及びｓ２のみにアクセス
を許可する旨の無条件禁止要求情報を送信させると共
に、これに基づいてファイル名ｏ１の情報のアクセスを
許可されていないユーザｓ３が要求した前記Ｓ−Ｏ行列
式（１）のｏ１行ｓ３列の記号ｒを削除し、新たに次式
（２）

【０００８】

【数２】 に示すようなＳ−Ｏ行列式に変更することによって、希
望しないユーザへの情報アクセスを防止していた。

【０００９】しかし、このように各ユーザの無条件禁止
要求情報に基づいて特定のユーザの情報への第三者のア
クセスを制限したとしても、間接的に情報漏洩が生ず
る。例えば、上述したようにＳ−Ｏ行列式（２）であっ
ても、ユーザｓ２がファイル名ｏ１の情報を読み出した
後にこの情報をユーザｓ２がアクセス可能なファイル名
ｏ２として書き込んだ場合、ファイル名ｏ１の情報のア
クセスを許されていないユーザｓ３はそのファイル名ｏ
２の読み出しを行うことによって間接的にファイル名ｏ
１の情報を読み出すことができる。従って、完全に各ユ
ーザ相互の情報授受を特定なユーザに限定できず、各ユ
ーザは他のユーザの処理要求情報及び無条件禁止要求情
報に左右されて情報の間接的な漏洩に起因する損害を被
ると云う問題があった。

【００１０】このため、近年上述したような情報の間接
的な漏洩を確実に防止することが可能な情報アクセス制
御装置を使用したデータベースシステムが提案されてい
る。即ち、このデータベースシステムは図３に示すよう
に経路情報作成判定器７を情報蓄積装置１とＳ−Ｏ行列
作成判定器６との間に接続すると共に、経路情報作成判
定器７の入出力端を評価ファイル５に接続し、経路情報
作成判定器７を使用して各ユーザの中のあるユーザが書
き込みを希望したファイル名の情報にその情報の読み出
しを許可した第１ユーザ、その第１ユーザが書き込みを
希望したファイル名の情報の読み出しを許可した第２ユ
ーザ、…、以下同様の第３ユーザ、…、第ｎユーザの何
れかが、前記あるユーザの希望したファイル名の情報の
アクセスを許していないユーザの場合には上述したよう
な情報の間接的な漏洩が生じるものと判断し、その情報
の書き込みを禁止する旨を表わす監視ポインタを評価フ
ァイル５に格納して、その後経路情報作成判定器７を使
用して各ユーザが評価ファイル５に格納した監視ポイン
タ情報に相当する情報書き込み要求をした場合、この要
求を禁止するように情報蓄積装置１を制御することによ
って、情報の間接的な漏洩を確実に防止できるようにし
ていた。

【００１１】しかしながら、このような情報アクセス制
御装置では各ユーザの処理要求情報及び無条件禁止要求
情報に応じて上述したような情報の間接的な漏洩を生じ
るから、このような漏洩経路が多数存在する場合にはそ
の漏洩に該当する情報の書き込み要求が全て却下され、
各ユーザはデータベースシステムを殆ど利用することが
できないと云う新たな問題が生じていた。

【００１２】

【発明の目的】本発明は上述したような従来の情報アク
セス制御装置の問題を解決するためになされたものであ
って、情報の間接的な漏洩経路が多数存在してもユーザ
相互の情報の漏洩に起因する損害を必要最小限に抑えて
データベースシステムの利用を高めることが可能な情報
アクセス制御方法及び装置を提供することを目的とす
る。

【００１３】

【発明の概要】上述の目的を達成するため本発明の情報
アクセス制御方法は、複数のユーザ各々が情報蓄積手段
に対して所要情報のアクセスを希望する旨を表わす処理
要求情報と、前記希望した情報のアクセスを特定ユーザ
に対して禁止する旨を表わす無条件禁止要求情報とに基
づくＳ−Ｏ行列にしたがって、前記ユーザが互いに情報
の授受を行うように前記情報蓄積手段を制御する手段に
於いて、所要ユーザ毎に、そのユーザ自身がアクセス可
能な情報と他のユーザの同様な情報との交換を両ユーザ
の利害損得が均衡する際に希望する旨を表す条件付禁止
要求情報を送出させた後、条件付禁止要求情報を送出し
た二つのユーザの組み合わせ毎に、各ユーザが条件付禁
止要求情報で希望した情報を互いに交換する際の利害損
得値を夫々判断させ、利害損得値が均衡する二つの情報
の交換を当該両ユーザに対して可能にするための処理要
求情報を前記Ｓ−Ｏ行列に追加すると共に、利害損得値
が均衡しない二つの情報の交換を当該両ユーザに対して
禁止するための無条件禁止要求情報を作成し、その結果
のＳ−Ｏ行列から、間接的な漏洩の原因となる処理要求
情報を示すユーザ名及び情報名を監視ポインタとして作
成し、その後前記情報蓄積装置に対してユーザが情報ア
クセスを要求する際に、そのユーザ名及び情報を前記監
視ポインタ及びそのポインタが示す情報が含む場合に前
記情報アクセス要求を禁止するように前記情報蓄積手段
を制御する。

【００１４】又、本発明の情報アクセス制御装置は、複
数のユーザ各々が情報蓄積手段に対して所要情報のアク
セスを希望する旨を表わす処理要求情報と、前記希望し
た情報のアクセスを特定ユーザに対して禁止する旨を表
わす無条件禁止要求情報とに基づくＳ−Ｏ行列にしたが
って、前記ユーザが互いに情報の授受を行うように前記
情報蓄積手段を制御する手段に於いて、所要ユーザ毎
に、そのユーザ自身がアクセス可能な情報と他のユーザ
の同様な情報との交換を両ユーザの利害損得が均衡する
際に希望する旨を表す条件付禁止要求情報を送出させる
手段と、条件付禁止要求情報を送出した二つのユーザの
組み合わせ毎に、各ユーザが条件付禁止要求情報で希望
した情報を互いに交換する際の利害損得値を夫々判断さ
せる手段と、利害損得値が均衡する二つの情報の交換を
当該両ユーザに対して可能にするための処理要求情報を
前記Ｓ−Ｏ行列に追加する手段と、利害損得値が均衡し
ない二つの情報の交換を当該両ユーザに対して禁止する
ための無条件禁止要求情報を作成する手段と、その結果
のＳ−Ｏ行列から、間接的な漏洩の原因となる処理要求
情報を示すユーザ名及び情報名を監視ポインタとして作
成する手段と、その後前記情報蓄積装置に対してユーザ
が情報アクセスを要求する際に、そのユーザ名及び情報
を前記監視ポインタ及びそのポインタが示す情報が含む
場合に前記情報アクセス要求を禁止する手段とを具え
る。

【００１５】

【実施例】以下、本発明を図面に示した実施例に基づい
て詳細に説明する。図１は本発明に係る情報アクセス制
御装置をデータベースシステムに適用した場合の一実施
例を示す構成図である。 同図に於いて８は本発明に係
る情報アクセス制御装置であって、その情報アクセス制
御装置８とユーザｓ１乃至ｓ７の情報を蓄えるための情
報蓄積装置９とをデータベースシステムのセンタ１０に
具え、そのセンタ１０の外部入力端をユーザｓ１乃至ｓ
７各々が使用する端末１１、１１、…に接続すると共
に、情報アクセス制御装置８には評価ファイル１２を接
続した制御器１３、伝達経路判定器１４、選択器１５、
支払行列作成器１６及びＳ−Ｏ行列作成判定器１７を具
え、制御器１３、支払行列作成器１６及びＳ−Ｏ行列作
成判定器１７の各入出力端を前記複数の端末１１の入出
力端に又、前記制御器１３の他の入出力端を情報蓄積装
置９に夫々接続するように構成する。

【００１６】上述のように構成するデータベースシステ
ムは以下のように制御し、又動作する。先ず、このデー
タベースシステムは運用に先立って、上述した従来の情
報アクセス制御装置と同様にＳ−Ｏ行列作成判定器１７
がユーザｓ１乃至ｓ７各々の端末１１から処理要求情報
及び無条件禁止要求情報を送信させ、その処理要求情報
と無条件禁止要求情報とに基づいて各ユーザが書き込み
を希望したファイル名の情報のアクセスを各ユーザ相互
の利害関係に応じて特定ユーザに限定できるようにした
次式（３）、

【００１７】

【数３】 に示すようなＳ−Ｏ行列式を作成し評価ファイル１２に
格納する。ここで、Ｓ−Ｏ行列式（３）はユーザｓ１が
ファイル名ｏ８の読み出しをユーザｓ１及びｓ３に限定
する旨の無条件禁止要求情報ＳＥＣ（ｏ８，ｒ，ｓ１，
ｓ３）を、ユーザｓ２がファイル名ｏ９の読み出しをユ
ーザｓ２及びｓ５に限定する旨の無条件禁止要求情報Ｓ
ＥＣ（ｏ９，ｒ，ｓ２，ｓ５）を夫々送信した場合を示
したものである。

【００１８】又、このように処理要求情報及び無条件禁
止要求情報を各ユーザから送信させる際に、情報アクセ
ス制御装置８はＳ−Ｏ行列作成判定器１７を使用して、
所要ユーザ自身がアクセス可能なファイル名の情報を新
たに要求させ、そのファイル名の情報を他のユーザの同
様のファイル名の情報と交換を希望する旨を表すと共
に、その情報交換を後述するような利得値の均衡がとれ
た場合に限り許可するための条件付禁止要求情報を当該
ユーザの端末１１を介して送信させ、その要求情報で指
定されたファイル名の存在を端末１１を介して各ユーザ
に知らせる。その後、支払行列作成器１６を使用して、
前記条件付禁止要求情報を送信したユーザ毎に、後述す
るような利得値を端末１１を介して送信させ、その利得
値に基づいて支払行列を作成し評価ファイル１２に格納
する。ここで、利得値とは条件付禁止要求情報を送信し
た二つのユーザの組み合わせ毎に、各ユーザが交換を希
望するファイル名の情報の価値が高いほど損害値が大き
くなると判断すると共に、交換を希望する相手の情報の
価値が高いほど利益値が大きくなると判断した結果の利
益値から損害値を差し引いた値である。

【００１９】例えば、ユーザｓ１がファイル名ｏ１０及
びｏ１１の情報を指定する条件付禁止要求情報ＲＥＱ
（ｓ１，ｏ１０）及びＲＥＱ（ｓ１，ｏ１１）を、ユー
ザｓ２がファイル名ｏ１２及びｏ１３の情報を指定する
条件付禁止要求情報ＲＥＱ（ｓ２，ｏ１２）及びＲＥＱ
（ｓ２，ｏ１３）を夫々送信した後に、ユーザｓ１が上
述の利得値算出法に基づいてファイル名ｏ１０とｏ１
２、ｏ１０とｏ１３、ｏ１１とｏ１２及びｏ１１とｏ１
３夫々の組み合わせの情報交換に対して利得値１、０、
０及び−１を設定した場合、支払行列作成器１６は次式
（４）、

【００２０】

【数４】 に示すような支払行列Ｐｓ１を作成する。又、同様にユ
ーザｓ２がファイル名ｏ１２とｏ１０、ｏ１２とｏ１
１、ｏ１３とｏ１０及びｏ１３とｏ１１夫々の組み合わ
せの情報交換に対して利得値１、０、０及び−１を設定
した場合、支払行列作成器１６は次式（５）、

【００２１】

【数５】 に示すような支払行列Ｐｓ２を作成する。

【００２２】次に、情報アクセス制御装置８は選択器１
５を使用して、評価ファイル１２に格納した支払行列を
二つのユーザの組み合わせ毎に参照することにより、両
ユーザ夫々の支払行列が含む利得値が１以上の行名と列
名が表すファイル名の組合わせを検索し、その組み合わ
せの情報交換に対しては両ユーザ夫々の利得は互いに均
衡がとれているものと判断し、その情報交換を可能なら
しめるための処理要求情報を前記Ｓ−Ｏ行列に追加する
と共に、ここで検索したファイル名の情報アクセスを前
記両ユーザに限定する旨を表す無条件禁止要求情報を評
価ファイル１２に格納する。

【００２３】即ち、選択器１５は前記支払行列Ｐｓ１及
びＰｓ２の両方が含む利得値が１以上の行名と列名の組
合わせがファイル名ｏ１０とｏ１２の組合わせであるか
ら、ファイル名ｏ１０及びｏ１２夫々の情報アクセスを
ユーザｓ１及びｓ２に許可する旨を表す処理要求情報を
前記Ｓ−Ｏ行列に追加し、次式（６）、

【００２４】

【数６】 に示すようなＳ−Ｏ行列を作成する。又、ファイル名ｏ
１０の読み出しをユーザｓ１及びｓ２に限定する旨の無
条件禁止要求情報ＳＥＣ（ｏ１０，ｒ，ｓ１，ｓ２）
と、ファイル名ｏ１２の読み出しをユーザｓ１及びｓ２
に限定する旨の無条件禁止要求情報ＳＥＣ（ｏ１２，
ｒ，ｓ１，ｓ２）とを評価ファイル１２に格納する。

【００２５】更に、情報アクセス制御装置８は伝達経路
判定器１４を使用して、前記Ｓ−Ｏ行列式（６）を参照
することにより、前記無条件禁止要求情報毎にその要求
情報が指定するファイル名の情報に於ける間接的な漏洩
経路の原因となる処理要求情報を後述するように検索
し、これを監視ポインタとして評価ファイル１２に格納
する。

【００２６】即ち、伝達経路判定器１４は無条件禁止要
求情報ＳＥＣ（ｏ８，ｒ，ｓ１，ｓ３）に対してはその
ファイル名ｏ８の読み出しを許可したユーザｓ１及びｓ
３を示すポインタＧ１SECo8 を作成すると共に、その各
ユーザが書き込み可能なファイル名ｏ１、ｏ３、ｏ５、
ｏ８、ｏ１０及びｏ１１夫々の情報に対して読み出しを
許可したユーザｓ１、ｓ２、ｓ３及びｓ５を示すポイン
タＧ２_SEC08 を作成し、そのポインタＧ２_SEC08 の内の
ポインタＧ１_SEC08 に含まれないユーザ名ｓ２及びｓ５
と前記ファイル名ｏ８とを示す監視ポインタＫ_SEC08 を
作成し評価ファイル１２に格納する。又、同様に無条件
禁止要求情報ＳＥＣ（ｏ９，ｒ，ｓ２，ｓ５）に対して
はユーザ名ｓ１とファイル名ｏ９とを示す監視ポインタ
Ｋ _SEC09を、無条件禁止要求情報ＳＥＣ（ｏ１０，ｒ，
ｓ１，ｓ２）に対してはユーザ名ｓ３及びｓ５とファイ
ル名ｏ１０とを示す監視ポインタＫ _SEC10を、及び無条
件禁止要求情報ＳＥＣ（ｏ１２，ｒ，ｓ１，ｓ２）に対
してはユーザ名ｓ３及びｓ５とファイル名ｏ１２とを示
す監視ポインタＫ _SEC12を夫々作成し、評価ファイル１
２に格納する。 以上がデータベースシステム運用前の
準備処理である。

【００２７】上述した準備処理が完了した状態に於い
て、各ユーザから情報蓄積装置９に対して所望ファイル
名の情報の書き込みを要求する旨を表わす指示系列が端
末１１を介して情報アクセス制御装置８に送信される
と、情報アクセス制御装置８は制御器１３を使用して、
先ず評価ファイル１２に格納した監視ポインタが示すユ
ーザ名とファイル名の情報が、前記指示系列が示すユー
ザ名とファイル名の情報に含まれるか否かを判定し、含
まれていない場合に限り前記指示系列で要求された情報
アクセスを上述したように前記Ｓ−Ｏ行列式（６）に基
づいて行うように情報蓄積装置９を制御する。

【００２８】即ち、前記無条件禁止要求情報で指定した
ファイル名ｏ８及びｏ９の情報は、夫々次式（７）の実
線、

【００２９】

【数７】 及び次式（８）の実線、

【００３０】

【数８】 で示すように間接的な漏洩経路を辿って、各ユーザが情
報アクセスを希望しないユーザに漏れる可能性があるも
のの、その漏洩の原因となるユーザｓ２及びｓ５がファ
イル名ｏ８の情報を含むファイル名情報の読み出しを要
求する際の指示系列、及びユーザｓ１がファイル名ｏ９
の情報を含むファイル名情報の読み出しを要求をする際
の指示系列を送出した場合、これ等の指示系列は監視ポ
インタＫ_SEC08 、又はＫ _SEC09の何れかに含まれるか
ら、その指示系列で要求される情報読み出しは制御器１
３により全て禁止し、上述したような間接的な情報漏洩
を防止することができる。

【００３１】又、前記条件付禁止要求情報で指定したフ
ァイル名ｏ１０及びｏ１２の情報も、夫々次式（９）の
実線、

【００３２】

【数９】 及び次式（１０）の実線、

【００３３】

【数１０】 で示すように間接的な漏洩経路を辿って、各ユーザが情
報アクセスを希望しないユーザに漏れる可能性があるも
のの、その漏洩の原因となるユーザｓ３及びｓ５がファ
イル名ｏ１０、又はｏ１２の情報を含むファイル名情報
の読み出しを要求する際の指示系列を送出した場合、こ
れ等の指示系列は監視ポインタＫ _SEC10、又はＫ_SEC12
の何れかに含まれるから、その指示系列で要求される情
報読み出しは制御器１３により全て禁止し、上述したよ
うな間接的な情報漏洩を防止することができると共に、
ここで指定した条件付禁止要求情報は上述したように二
つのユーザ夫々の利得値が均衡した場合に限り許可され
るものであるから、従来無条件禁止要求情報で情報アク
セスを所定ユーザに限定したファイル名の情報を各ユー
ザの都合に応じて条件付禁止要求情報で指定するように
すれば、各ユーザの損害を必要最小限に抑えてデータベ
ースシステムの利用を高めることができる。又、本発明
は上述の実施例に限らずセンタの機能の少なくとも一部
を端末に具えてセンタの情報処理機能に係る負担を軽減
するようにしても良い。

【００３４】例えば、図４に示すようにセンタ１８に
は、評価ファイル１９を接続したＳ−Ｏ行列作成判定器
２０、支払行列作成器２１、選択器２２及び伝達経路判
定器２３を具えた情報アクセス制御装置２４を設けると
共に、端末２５、２５、…各々には、Ｓ−Ｏ行列式及び
監視ポインタを格納するための監視ファイル２６及び制
御器２７を具えた情報アクセス制御装置２８と情報蓄積
装置２９とを設け、評価ファイル１９、Ｓ−Ｏ行列作成
判定器２０、支払行列作成器２１、監視ファイル２６、
制御器２７及び情報蓄積装置２９各々の入出力端を互い
に接続してデータベースシステムを構成する。

【００３５】このように構成するデータベースシステム
は以下のように制御し、又動作する。先ず、このデータ
ベースシステムはセンタ１８の情報アクセス制御装置２
４が上述した情報アクセス制御装置と同様にＳ−Ｏ行列
作成判定器２０を使用して、各ユーザの端末２５から処
理要求情報、無条件禁止要求情報及び条件付禁止要求情
報を送信させ、これ等の要求情報に基づくＳ−Ｏ行列式
を作成し評価ファイル１９に格納すると共に、条件付禁
止要求情報の存在を端末２５を介して各ユーザに知らせ
る。又、支払行列作成器２１を使用して、前記条件付禁
止要求情報を送信したユーザ毎に、その要求情報が表す
ファイル名の情報交換に対して利得値を端末２５を介し
て送信させ、その利得値に応じて支払行列を作成し評価
ファイル１９に格納する。

【００３６】次に、情報アクセス制御装置２４は選択器
２２を使用して、評価ファイル１９に格納した支払行列
を二つのユーザの組み合わせ毎に参照することにより、
上述したように両ユーザ夫々の利得が互いに均衡してい
るファイル名の組み合わせを検索し、その情報交換を可
能ならしめるための処理要求情報を前記Ｓ−Ｏ行列式に
追加すると共に、ここで検索したファイル名の情報アク
セスを前記両ユーザに限定する旨を表す無条件禁止要求
情報を評価ファイル１９に格納する。更に、情報アクセ
ス制御装置２４は伝達経路判定器２３を使用して、前記
Ｓ−Ｏ行列式を参照することにより、無条件禁止要求情
報毎に、その要求情報が指定するファイル名情報に於け
る上述したような間接的な漏洩経路の原因となる処理要
求情報を検索し、これを監視ポインタとして評価ファイ
ル１９に格納する。その後、情報アクセス制御装置２４
は、各端末２５の監視ファイル２６に対してその端末が
操作するユーザに関連する前記評価ファイル１９内のＳ
−Ｏ行列式及び監視ポインタを送出し書き込む。

【００３７】即ち、情報アクセス制御装置２４は、評価
ファイル１９に上述したような監視ポインタＫ_SEC08 、
Ｋ _SEC09、Ｋ_SEC10 、Ｋ _SEC12及びＳ−Ｏ行列式（６）
を格納する場合、ユーザｓ１の端末２５の監視ファイル
２６には監視ポインタＫ _SEC09及びＳ−Ｏ行列式（６）
のｓ１列を、ユーザｓ２の端末２５の監視ファイル２６
には監視ポインタＫ_SEC08 及びＳ−Ｏ行列式（６）のｓ
２列を、ユーザｓ３の端末２５の監視ファイル２６には
監視ポインタＫ_SEC10 、Ｋ _SEC12及びＳ−Ｏ行列式
（６）のｓ３列を、ユーザｓ４の端末２５の監視ファイ
ル２６にはＳ−Ｏ行列式（６）のｓ４列を、ユーザｓ５
の端末２５の監視ファイル２６には監視ポインタＫ
_SEC08 、Ｋ_SEC10 、Ｋ _SEC12及びＳ−Ｏ行列式（６）の
ｓ５列を、ユーザｓ６の端末２５の監視ファイル２６に
はＳ−Ｏ行列式（６）のｓ６列を、ユーザｓ７の端末２
５の監視ファイル２６にはＳ−Ｏ行列式（６）のｓ７列
を夫々送出し書き込む。以上が、データベースシステム
運用前の準備処理である。

【００３８】上述した準備処理が完了した状態に於い
て、ユーザはデータベースシステムに対して所望ファイ
ル名情報のアクセスを要求する場合、その旨を表す指示
系列を端末２５の制御器２７に入力する。制御器２７は
その指示系列が示すユーザ名及びファイル名情報を、そ
のユーザ端末２５の監視ファイル２６に格納した監視ポ
インタが示すユーザ名及びファイル名情報が含むか否か
を判定し、含まれていない場合に限り前記指示系列で要
求された情報アクセスを上述したように前記監視ファイ
ルに２６格納したＳ−Ｏ行列式に基づいて行うように情
報蓄積装置２９を制御する。ここで、制御器２７はユー
ザ自身が上述した処理要求情報で希望したファイル名情
報のアクセスを希望する旨を表す指示系列を入力した場
合には、そのユーザ端末２５内の情報蓄積装置２９に対
して前記ファイル名情報をアクセスするように制御す
る。又、制御器２７はユーザが他のユーザが上述した処
理要求情報で希望したファイル名情報のアクセスを希望
する旨を表す指示系列を入力した場合には、前記他のユ
ーザ端末２５内の情報蓄積装置２９に対して前記ファイ
ル名情報をアクセスするように制御する。

【００３９】即ち、上述したように前記無条件禁止要求
情報で指定したファイル名ｏ８及びｏ９の情報に於い
て、間接的な漏洩経路の原因となるユーザｓ２及びｓ５
がファイル名ｏ８の情報を、又ユーザｓ１がファイル名
ｏ９の情報を含むファイル名情報の読み出しを要求する
際の各指示系列に対しては、その指示系列を入力させる
端末２５の監視ファイル２６に前記監視ポインタＫＳＥ
Ｃｏ８又はＫＳＥＣｏ９を格納したから、これ等の指示
系列で要求される情報読み出しは、夫々の制御器２７に
より禁止され、上述した実施例と同様に間接的な情報漏
洩を防止することができる。又、同様に前記条件付禁止
要求情報で指定したファイル名ｏ１０及びｏ１２の情報
に於ける間接的な漏洩経路の原因となる指示系列に対し
ても、これ等の指示系列で要求される情報読み出しを禁
止するための監視ポインタを、指示系列を入力する端末
２５の監視ファイル２６夫々に格納したから、間接的な
情報漏洩を防止することができると共に、ここで指定し
た条件付禁止要求情報は上述したように二つのユーザ夫
々の利得値が均衡した場合に限り許可されるものである
から、各ユーザの損害を必要最小限に抑えてデータベー
スシステムの利用を高めることができる。更に、この実
施例によればセンタ１８の機能の一部、即ち制御器及び
情報蓄積装置夫々の機能を各端末に割り当て、各端末毎
に各ユーザの情報アクセス要求を許可するか否かの判断
を行うようにしたのでセンタの負担を軽減することがで
き、データベースシステムの利用効率を高めることがで
きる。又、この実施例では情報アクセス制御装置が、各
端末の監視ファイルに対してその端末が操作するユーザ
に関連する評価ファイル１９内のＳ−Ｏ行列式及び監視
ポインタを送出し書き込むようにしたが、本発明は前記
Ｓ−Ｏ行列式及び監視ポインタ全てを所要端末の監視フ
ァイルに書き込んでも良く、このような端末によればそ
の操作ユーザを限定する必要がなくなり、端末を有効利
用することができる。

【００４０】更に、本発明では上述した実施例に限らず
前記指示系列、Ｓ−Ｏ行列式及び監視ポインタ等、所謂
ケーパビリティの改ざんに起因するデータベースシステ
ムの不正使用を防止するために、所定の通信文が第三者
に手が加えられたか否かを検出するための公開鍵ディジ
タル署名方式に基づく認証装置をセンタ及び各端末に設
けても良い。

【００４１】この認証装置は従来から利用されているも
のなので詳細な説明は省略するが、図５に示すように後
述するような公開鍵及び秘密鍵を格納するためのキー記
憶部３０と、後述するような符号化したメッセージを格
納するための一時記憶部３１を接続した処理器３２とを
具えたものである。例えば、ユーザＡとＢが互いに所要
メッセージを通信し合う場合、ユーザＡ及びＢ側のキー
記憶部３０には夫々互いに異なる秘密鍵Ｄ_A 及びＤ_B を
格納すると共に、各秘密鍵に対応する公開鍵ＥA 及びＥ
B の二つを前記各キー記憶部３０に格納する。ここで、
秘密鍵は符号化したメッセージを暗号化した通信文に変
換するための関数であり、公開鍵はその通信文を復号す
るための関数である。このような認証装置はユーザＡが
ＢにメッセージＭを伝達する場合、先ずユーザＡ側の処
理器３２が符号化したメッセージＭを秘密鍵Ｄ_A により
暗号化通信文Ｓに変換し、これを通信線を介してユーザ
Ｂ側の処理器３２に伝送する。一方、ユーザＢ側の処理
器３２が暗号化通信文Ｓを公開鍵Ｅ_A により元のメッセ
ージＭに復号する。ここで、前記暗号化通信文Ｓが伝送
途中で第三者に改ざんされた場合、前記公開鍵Ｅ_A によ
る復号が正常に行えないから、この状態を判定すること
により暗号化通信文Ｓが改ざんされたことを検出するこ
とができる。又、同様にユーザＢがＡにメッセージを伝
達する場合も、秘密鍵びＤ_B 及び公開鍵Ｅ_B により第三
者の改ざん行為を検出することができる。

【００４２】本発明では、例えば図６に示すようにこの
ような認証装置３３をセンタ３４及び端末Ｘ₁ 、Ｘ₂ 、
…に設け、各処理器３５の入出力端を互いに接続すると
共に、各処理器３５には上述した情報アクセス制御装置
３６を、又各端末の処理器３５には情報蓄積装置３７を
接続してデータベースシステムを構成し、端末Ｘ₁ 、Ｘ
₂ 、…及びセンタ３４の各キー記憶部３８には、互いに
異なる秘密鍵Ｄ₁ 、Ｄ₂ 、…及びＤ_C 夫々を格納すると
共に、これ等秘密鍵に対応する公開鍵Ｅ₁ 、Ｅ₂ 、…及
びＥ_C 全てを前記各キー記憶部３８に格納する。又、端
末Ｘ₁ 、Ｘ₂ 、…の各キー記憶部３８には、互いに異な
る秘密鍵ｄ₁ 、ｄ₂ 、…に対応する公開鍵ｅ₁ 、ｅ₂ 、
…全てを格納する。

【００４３】このデータベースシステムは、各認証装置
３３がセンタ３４と端末Ｘ₁ 、Ｘ₂、…との間で、及び
各端末間で通信し合うケーパビリティを前記メッセージ
として取り扱うように処理器３５を制御すると共に、セ
ンタ３４及び各端末夫々のキー記憶部３８に格納した秘
密鍵でケーパビリティを暗号化し、その暗号化したケー
パビリティを受ける側はその秘密鍵に対応する公開鍵Ｅ
₁ 、Ｅ₂ 、…及びＥ_Cの何れかで復号するように処理器
３５を制御することにより、上述したように改ざん行為
を検出し、前記情報アクセス制御装置３６及び情報蓄積
装置３７の不正使用を防止することができる。又、この
データベースシステムは端末を操作すべきユーザ毎に互
いに異なる前記秘密鍵ｄ₁ 、ｄ₂ 、…の何れかを予め知
らしめ、各ユーザが端末を操作する際には、端末に入力
すべき前記処理要求情報及び指示系列等のケーパビリテ
ィを各ユーザの前記秘密鍵で暗号化したものを、ユーザ
から図示を省略したデータ処理器を介して処理器３５に
入力させ、その処理器３５を使用して前記暗号化したケ
ーパビリティがキー記憶部３８内の公開鍵ｅ₁ 、ｅ₂ 、
…の何れで正常に復号できるか否かを判定するかにより
端末操作ユーザを認識し、前記情報アクセス制御装置３
６及び情報蓄積装置３７の不正操作を禁止することによ
りデータベースシステムの不正利用を防止することがで
きる。更に、この実施例では前記認識装置、情報アクセ
ス制御装置及び情報蓄積装置夫々が格納するケーパビリ
ティ及びファイル名情報をユーザ及び第三者が変更でき
ないように、前記各装置を一つのＩＣとして構成するよ
うにパッケージ化するか、或いは各装置間とその内部で
ケーパビリティ及びファイル名情報を取り扱う際にこれ
等を全て暗号化すれば、データベースシステムの不正使
用を困難にする上で効果があるであろう。

【００４４】尚、上述の実施例では伝達経路判定器が監
視ポインタを作成する手段として、例えば無条件禁止要
求情報ＳＥＣ（ｏ８，ｒ，ｓ１，ｓ３）に対しては、ポ
インタＧ２_SEC08 の内のポインタＧ１_SEC08 に含まれな
いユーザ名ｓ２及びｓ５とファイル名ｏ８とを示す監視
ポインタＫ_SEC08 を作成したが、本発明はこれに限らず
Ｓ−Ｏ行列式を参照して間接的な漏洩の原因となる処理
要求情報を表すユーザ名及びファイル名を検索し、これ
を監視ポインタとして作成すれば良いことは自明であろ
う。又、上述の実施例では、制御器は各ユーザが送信し
た指示系列が示すユーザ名及びファイル名情報が、評価
ファイル内の監視ポインタが示すユーザ名及びファイル
名情報に含まれている場合に、前記指示系列で要求され
るファイル名情報の読み出しを禁止したが、本発明はこ
れに限る必要はない。例えば、間接的な漏洩の原因とな
るファイル名情報の書き込み行為と同等の処理要求情報
を表すユーザ名及びファイル名を前記伝達経路判定器で
検索し監視ポインタとすれば、制御器は指示系列で要求
されるファイル名の情報の書き込みを禁止しても上述し
た実施例と同様の効果を得ることができる。

【００４５】

【発明の効果】本発明は以上説明したように、従来の無
条件禁止要求情報とは別に条件付禁止要求情報でファイ
ル名情報のアクセス条件をユーザが設定できるようにす
ると共に、条件付禁止要求情報で指定するファイル名情
報のアクセスはこの条件付禁止要求情報を要求した二つ
のユーザ夫々の利得値が均衡した場合に限り許可するよ
うに情報蓄積手段を制御するから、従来無条件禁止要求
情報で情報アクセスを特定ユーザに限定したファイル名
の情報を各ユーザの都合に応じて条件付禁止要求情報で
指定するようにすれば、ユーザの損害を必要最小限に抑
えてデータベースシステムの利用を高めることが可能な
情報アクセス制御方法及び装置を提供する上で著項を奏
する。

【図面の簡単な説明】

【図１】本発明の一実施例を示す構成図。

【図２】従来の情報アクセス制御装置を具えたデータベ
ースシステムの構成図。

【図３】従来の他の情報アクセス制御装置を具えたデー
タベースシステムの構成図。

【図４】本発明の変形実施例を示す構成図。

【図５】本発明の他の実施例に関する認証装置の説明
図。

【図６】本発明の他の実施例を示す構成図である。

【符号の説明】

８ 情報アクセス制御装置、９ 情報蓄積装置、１０
センタ、１１ 端末、１２ 評価ファイル、１３ 制御
器、１４ 伝達経路判定器、１５ 選択器、１６ 支払
行列作成器、１７ Ｓ−Ｏ行列作成判定器

【数１１】

【数１２】

【数１３】

【数１４】

Claims (4)

【特許請求の範囲】
1. 【請求項１】 複数のユーザ各々が情報蓄積手段に対し
   て所要情報のアクセスを希望する旨を表わす処理要求情
   報と、前記希望した情報のアクセスを特定ユーザに対し
   て禁止する旨を表わす無条件禁止要求情報とに基づくＳ
   −Ｏ行列にしたがって、前記ユーザが互いに情報の授受
   を行うように前記情報蓄積手段を制御する手段に於い
   て、所要ユーザ毎に、そのユーザ自身がアクセス可能な
   情報と他のユーザの同様な情報との交換を両ユーザの利
   害損得が均衡する際に希望する旨を表す条件付禁止要求
   情報を送出させた後、条件付禁止要求情報を送出した二
   つのユーザの組み合わせ毎に、各ユーザが条件付禁止要
   求情報で希望した情報を互いに交換する際の利害損得値
   を夫々判断させ、利害損得値が均衡する二つの情報の交
   換を当該両ユーザに対して可能にするための処理要求情
   報を前記Ｓ−Ｏ行列に追加すると共に、利害損得値が均
   衡しない二つの情報の交換を当該両ユーザに対して禁止
   するための無条件禁止要求情報を作成し、その結果のＳ
   −Ｏ行列から、間接的な漏洩の原因となる処理要求情報
   を示すユーザ名及び情報名を監視ポインタとして作成
   し、その後前記情報蓄積装置に対してユーザが情報アク
   セスを要求する際に、そのユーザ名及び情報を前記監視
   ポインタ及びそのポインタが示す情報が含む場合に前記
   情報アクセス要求を禁止したことを特徴とする情報アク
   セス制御方法。
2. 【請求項２】 前記結果のＳ−Ｏ行列から、前記無条件
   禁止要求情報が示す情報のアクセスを許可する第１ユー
   ザ群と、第１ユーザ群に含まれる各ユーザがアクセス可
   能な情報に対してアクセスを許可する第２ユーザ群とを
   検索して、第２ユーザ群に含まれるユーザの内の第１ユ
   ーザ群に含まれないユーザ名と、そのユーザに対してア
   クセスを限定した情報名とを監視ポインタとして作成
   し、その後前記情報蓄積装置に対してユーザが情報アク
   セスを要求する際に、そのユーザ名及び情報を前記監視
   ポインタ及びそのポインタが示す情報が含む場合に前記
   情報アクセス要求を禁止したことを特徴とする請求項１
   記載の情報アクセス制御方法。
3. 【請求項３】 複数のユーザ各々が情報蓄積手段に対し
   て所要情報のアクセスを希望する旨を表わす処理要求情
   報と、前記希望した情報のアクセスを特定ユーザに対し
   て禁止する旨を表わす無条件禁止要求情報とに基づくＳ
   −Ｏ行列にしたがって、前記ユーザが互いに情報の授受
   を行うように前記情報蓄積手段を制御する手段に於い
   て、所要ユーザ毎に、そのユーザ自身がアクセス可能な
   情報と他のユーザの同様な情報との交換を両ユーザの利
   害損得が均衡する際に希望する旨を表す条件付禁止要求
   情報を送出させる手段と、条件付禁止要求情報を送出し
   た二つのユーザの組み合わせ毎に、各ユーザが条件付禁
   止要求情報で希望した情報を互いに交換する際の利害損
   得値を夫々判断させる手段と、利害損得値が均衡する二
   つの情報の交換を当該両ユーザに対して可能にするため
   の処理要求情報を前記Ｓ−Ｏ行列に追加する手段と、利
   害損得値が均衡しない二つの情報の交換を当該両ユーザ
   に対して禁止するための無条件禁止要求情報を作成する
   手段と、その結果のＳ−Ｏ行列から、間接的な漏洩の原
   因となる処理要求情報を示すユーザ名及び情報名を監視
   ポインタとして作成する手段と、その後前記情報蓄積装
   置に対してユーザが情報アクセスを要求する際に、その
   ユーザ名及び情報を前記監視ポインタ及びそのポインタ
   が示す情報が含む場合に前記情報アクセス要求を禁止す
   る手段とを具えたことを特徴とする情報アクセス制御装
   置。
4. 【請求項４】 前記監視ポインタを作成する手段が、前
   記無条件禁止要求情報が示す情報のアクセスを許可する
   第１ユーザ群と、第１ユーザ群に含まれる各ユーザがア
   クセス可能な情報に対してアクセスを許可する第２ユー
   ザ群とを検索して、第２ユーザ群に含まれるユーザの内
   の第１ユーザ群に含まれないユーザ名と、そのユーザに
   対してアクセスを限定した情報名とを監視ポインタとし
   て作成する手段としたことを特徴とする請求項３記載の
   情報アクセス制御装置。