[发明专利]一种访问控制策略优化方法

权利要求书

1.一种访问控制策略优化方法，其特征在于，包含以下步骤：

步骤一 定义冲突、冗余：

拒绝覆盖算法重排序；定义R_s：{R₁,R₂,...,R_n}，一个包含n条规则的策略集，且合并算法为拒绝覆盖，将所有的效用为Deny的规则置于所有的Permit规则前面，变为R_S’：{[R^D,R^D,...R^D],[R^P,R^P,...,R^P]}，其中R^D表示R_S中所有效用为Deny的规则，R^P表示R_S中所有效用为Permit的规则；

允许覆盖算法重排序；我们定义R_S：{R₁,R₂,...,R_n}，一个包含n条规则的策略集，且合并算法为允许覆盖，将所有的效用为Permit的规则置于所有的Deny规则前面，变为R_S’：{[R^P,R^P,...,R^P],[R^D,R^D,...R^D]}，其中R^D表示R_S中所有效用为Deny的规则，R^P表示R_S中所有效用为Permit的规则；

策略内单属性规则冗余；定义R₁，R₂∈R_S，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action且R₁位于R₂的前面，则定义R₂为冗余规则，R₁为被冗余规则；

策略间单属性规则冲突；定义R₁∈R_S1，R₂∈R_S2，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effect≠R₂.effect，则需要查找这两个规则最近的公共组合算法；若组合算法为拒绝覆盖，则定义效用为Permit的规则为冲突规则；若组合算法为允许覆盖，则效用为Deny的规则为冲突规则；

策略间单属性规则冗余；定义R₁∈R_S1，R₂∈R_S2，若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effect＝R₂.effect，则不考虑他们的公共组合算法，定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则；若R₁.subject＝R₂.subject∧R₁.source＝R₂.source∧R₁.action＝R₂.action，R₁.effectR₂.effect且组合算法为唯一适用算法，则定义在策略内排序第一的规则为被冗余规则，其他规则为冗余规则；subject、source和effect分别为主体、资源和行为三个规则元素字符串；

步骤二 对规则进行多属性拆分：

A、选定主体和资源中的第一个属性，然后列举行为中的所有属性，完成第一次拆分；

B、将资源的属性向后遍历一个，然后在列举行为中的所有属性继续拆分；

C、当资源中的属性全部都遍历完了之后，我们将主体中的属性向后遍历一个，然后重复A和B的遍历过程进行拆分；

D、继续执行C中的遍历，直到主体中的属性都被遍历拆分完毕；对于一条规则r，它的主体包含有N_S个属性，资源包含N_R个属性，行为包含有N_A个属性，则它可以拆分为N_S*N_R*N_A条单属性规则；

步骤三 定义规则哈希结构，采用链地址法对哈希冲突进行解决，HASH_TABLE表示为哈希表的散列值分布数组，CON_SET_i表示为哈希函数的冲突处理，每一个CON_SET下面挂着相同的三元组组成的冲突和冗余集合；

将主体、资源和行为三个规则元素字符串进行拼接组成新的三元组规则信息字符串，InfoString＝(subjecti+resourcei+actioni)，然后对此规则信息字符串进行哈希值计算；

采用经典的字符串哈希算法SDBMHash来对字符串进行哈希，将规则的三元素新组成的信息串采用SDBMHash函数对新的三元组规则信息字符串进行哈希值计算，放入相应的CON_SET中去，当CON_SET中的元素大于一个，那么我们就定义这是一个冲突，冗余集合；

步骤四 计算主体元素中的属性个数，属性个数就是第一层的最大匹配次数n₁；然后计算资源元素中的属性个数，属性个数就是第二层的最大匹配次数n₂；接下来计算行为元素中的属性个数，属性个数就是第三层的最大匹配次数n₃；最后将这三层的最大匹配次数进行加和操作就是该条规则的最大匹配次数：

Nsum＝n₁+n₂+n₃ (1)

对于消除冗余后用于匹配最大匹配次数而增加的规则，不进行冗余优化，但是对于策略集之间的唯一适用算法须进行消除；

步骤五 压缩：

A1、我们对于每N_A条子规则进行一次合并；如果在这N_A条规则中有被删除的属性则不合并删除的属性，如果该N_A＝1则无需合并；如果在每次的N_A条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作；如果本层无压缩操作，则压缩结束；

B1、对于A1中合并后的规则，我们再对每N_R条规则进行一次合并；如果这N_R条规则中有被删除的属性则不合并删除的属性，如果该N_R＝1则无需合并；如果每次的N_A条规则中，资源、属性和行为只有一个元素不同，那么我们就将其进行压缩操作；如果本层无压缩行为，则压缩结束；

C1、对于B1中合并后的规则，再对每N_S条规则进行一次合并；如果在这N_R条规则中有被删除的属性则不合并删除的属性，如果该N_S＝1，则无需合并；如果本次N_A条规则中，资源、属性和行为只有一个元素不同，则将其进行压缩操作；至此规则压缩完成。