オブジェクト指向データベースにおけるアクセス制御に関して,属性名などのデータの静的な名前に基づく制御(名前依存制御),データの値に基づく制御(内容依存制御),およびアクセスの文脈を考慮に入れる制御(文脈依存制御)のための基本機構を開発する.

　名前依存制御は各オブジェクトに複数のインタフェイス,すなわち複数のビューを定義し,ユーザ毎に異なるビューを提供することによって実現する.また,内容依存制御は,条件式によって定義されるオブジェクトのクラスを導入し,ユーザ毎に異なるクラスを提供することによって実現する.そのような枠組のための理論的な基礎として,オブジェクトのビューとクラス間のオブジェクト共有の機能を持つ多相型言語を設計する.この言語では,各クラス定義は他クラスとのオブジェクトの共有関係の定義を含む.この定義は共有すべきオブジェクトの集合を定める条件式と,それらのオブジェクトのインタフェイスを定義するビュー関数からなる.条件式とビュー関数には,この言語で定義可能な任意のプログラムを使用できる.また,相互再帰的クラス定義により,循環する共有関係も定義可能である.これらにより多彩なビュー定義やクラス構成が自然な形で記述できる.この多相型言語は型推論アルゴリズムを持ち,ユーザは繁雑なビューやクラスの型記述を行なう必要がない.このアルゴリズムは安全であり,これによりビューやクラスを含むプログラムの完全な静的型検査が可能である.

　また文脈依存制御のために,データに対する高級関数の起動を制御の単位とするアクセス制御の枠組を開発する.各ユーザのアクセス権限は,基本操作ごとにではなく高級関数ごとに指定される.これらの高級関数の中では基本操作が起動されることになるが,ユーザはこれらの基本操作を与えられた高級関数を通してのみ,すなわち一定の文脈でのみ起動できる.しかし,もしこのユーザが,それらの基本操作を直接実行できるのと実質的には同じ能力を得るならば,これらの関数は基本操作を実質的には隠していないことになる.関数のカプセル化を利用してアクセス制御を行なう場合,このようなセキュリティの破れが容易に生じる.我々はこのようなセキュリティの破れを静的に検出する技術を開発する.そのためにまず,セキュリティ上満たされるべき要求を記述するための枠組を設計する.この枠組では要求を「推論可能性」と「制御可能性」という概念を使って記述する.これらの概念は古典的な「読み出し」,「書き込み」の能力の一般化であり,ユーザのデータベースアクセスにおける能力を適切に表現している.そして次に,各関数のプログラムを静的に解析して,与えられた要求が満たされているかどうかを判定するアルゴリズムを設計する.このアルゴリズムは安全である.すなわち,セキュリティの破れがある時は必ずこれを検出する.

　本論文は、オブジェクト指向データベースにおけるアクセス制御に関するものである。本論文は2部からなり、第1部では属性名などのデータの静的な名前に基づく制御(名前依存制御)とデータの値に基づく制御(内容依存制御)のための基本機構が論じられている。第2部では,アクセスの文脈を考慮に入れる制御(文脈依存制御)のための基本機構が論じられている。

　第1部では、名前依存制御および内容依存制御を実現するため,条件式によって定義されるオブジェクトのクラスを導入し,各クラスに適当なインタフェイスを定義する。そのような枠組のための理論的な基礎として,クラス間のオブジェクト共有とオブジェクトのビューの機能を持つ多相型言語を設計する.この言語では,各クラス定義は他クラスとのオブジェクトの共有関係の定義を含む.この定義は共有すべきオブジェクトの集合を定める条件式と,それらのオブジェクトのインタフェイスを定義するビュー関数からなる.条件式とビュー関数には,この言語で定義可能な任意のプログラムを使用できる.また,相互再帰的クラス定義により,循環する共有関係も定義可能である.これらにより多彩なビュー定義やクラス構成が自然な形で記述できる.この多相型言語は型推論アルゴリズムを持ち,ユーザは繁雑なビューやクラスの型記述を行なう必要がない.このアルゴリズムは安全であり,これによりビューやクラスを含むプログラムの完全な静的型検査が可能である.

　第2部では、文脈依存制御のために,データに対する高級関数の起動を制御の単位とするアクセス制御の枠組を開発する.各ユーザのアクセス権限は,基本操作ごとにではなく高級関数ごとに指定される.これらの高級関数の中では基本操作が起動されることになるが,ユーザはこれらの基本操作を与えられた高級関数を通してのみ,すなわち一定の文脈でのみ起動できる.しかし,関数のカプセル化を利用してアクセス制御を行なう場合,ユーザがカプセル化をバイパスし,内部の基本操作を悪用できてしまうようなセキュリティの破れが容易に生じる.我々はこのようなセキュリティの破れを静的に検出する技術を開発する.そのためにまず,セキュリティ上満たされるべき要求を記述するための枠組を設計する.そして,各関数のプログラムを静的に解析して,与えられた要求が満たされているかどうかを判定するアルゴリズムを設計する.このアルゴリズムは安全である.すなわち,セキュリティの破れがある時は必ずこれを検出する.

　なお、本論文の第1部(第2章)は、大堀淳氏との共同研究に基づいているが、論文提出者が主体となて分析および検証を行ったもので、論文提出者の寄与が十分であると判断する。

　したがって、博士(理学)を授与できると認める。