Caroline Vibert
email: caroline.m.vibert@gmail.com

Bruno Fayolle

Denise Ricard

Anne-Laurence Dupont
email: anne-laurence.dupont@mnhn.fr.

Decoupling hydrolysis and oxidation of cellulose in permanent paper aged under atmospheric conditions

Keywords: Accelerated aging, Kinetics, Acidification, Alkaline reserve, Degree of polymerization, Coloration

à la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d'enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

INTRODUCTION

Degradation of books and other paper documents is an essential issue in libraries and archives, especially with acidic papers, some of whom present a catastrophic state in terms of mechanical behaviour. These institutions follow climate guidelines for the conservation of their paper-based documents and can resort to treatments to tackle both chemical and mechanical degradation. In particular, several deacidification treatments that leave an alkaline reserve have been proven effective for hindering the decrease of pH of paper, a threatening issue for paper degradation [START_REF] Arney | The influence of deacidification on the deterioration of paper[END_REF][START_REF] Barrow | Permanence in Book Papers[END_REF][START_REF] Hubbe | Deacidification of Acidic Books and Paper by Means of Non-aqueous Dispersions of Alkaline Particles : A Review Focusing on Completeness of the Reaction[END_REF]. In a review article, Baty mentioned that these treatments are even more effective on least degraded papers [START_REF] Baty | Deacidification for the conservation and preservation of paper-based works : A review[END_REF]. The use of mechanically resistant alkaline paper in the first place is thus recommended to prevent cellulose degradation.

Such paper, known as permanent paper, is commercially available and is used in many applications for conservation storage and for printing archival documents. However, its degradation in terms of mechanisms and kinetics still needs to be understood and characterized, which is the aim of the present research.

The ISO 9706 standard for paper permanency was developed in the late 1990s to address the problem of the long-term conservation of archival documents. It is based on four criteria that tackle both chemical and mechanical degradation of the paper over time. The pH of the paper should lie between 7.5 and 10, its alkaline content (called alkaline reserve) above 2 % in weight of calcium carbonate or equivalent, and its content in oxidative compounds less than 1 %. The fourth criterion relates to mechanical strength and will not be discussed here.

These criteria aim at avoiding paper acidification since acid-catalysed hydrolysis of cellulose is the main degradation reaction that occurs during paper ageing under archival conservation conditions, i.e. at ambient conditions of temperature, humidity, and pressure. The hydrolysis occurs at the glycosidic bonds in the cellulose macromolecule and leads to random scissions. Under archival conditions, this reaction is mainly governed by water and acidity of paper [START_REF] Gehlen | Kinetics of autocatalytic acid hydrolysis of cellulose with crystalline and amorphous fractions[END_REF][START_REF] Tétreault | Modelling considerations for the degradation of cellulosic paper[END_REF]. The water content, which depends on the relative humidity (RH) in the environment, acts as a solubilization medium for both acids and solid particles of alkaline reserve [START_REF] Emsley | Degradation of cellulosic insulation in power transformers. Part 3 : Effects of oxygen and water on ageing in oil[END_REF]. The acids arise from the paper fabrication process and as by-products of secondary reactions of the hydrolytic degradation. The criterium of pH basicity aims to tackle the former, and the alkaline reserve the latter. In permanent paper, calcium carbonate is the most common alkaline reserve.

The efficiency of the alkaline reserve deposited through deacidification treatments in old books and acidic papers has been proved, and the amount of calcium carbonate has been related to a reduction of the hydrolysis rate [START_REF] Ahn | Is cellulose degradation due to β-elimination processes a threat in mass deacidification of library books?[END_REF][START_REF] Ahn | The influence of alkaline reserve on the aging behavior of book papers[END_REF][START_REF] Horst | Accelerated Aging of Deacidified and Untreated Book Paper in 1967 Compared with 52 Years of Natural Aging[END_REF][START_REF] Malesic | Effect of pH and Carbonyls on the Degradation of Alkaline Paper Factors Affecting Ageing of Alkaline Paper[END_REF]. However, whether a modern permanent paper behaves similarly as a naturally aged and deacidified paper is still unknown. Is the degradation halted until the alkaline reserve is consumed or does the acidification continue at a slow pace? This is one of the questions addressed in this research.

To this purpose, all the degradation pathways need to be examined. In particular, besides acid-catalysed hydrolysis, cellulose is also prone to oxidation by the oxygen in air due to its high content in hydroxyl groups [START_REF] Kolar | Mechanism of Autoxidative Degradation of Cellulose[END_REF]. Oxidative degradation of cellulose has been studied by many authors and several mechanisms have been proposed. Oxidation is responsible for the introduction of carbonyl and carboxyl on the glucose ring [START_REF] Margutti | Hydrolytic and Oxidative Degradation of Paper[END_REF][START_REF] Potthast | On the Nature of Carbonyl Groups in Cellulosic Pulps[END_REF]. At alkaline pH, oxidized cellulose can undergo β-alkoxy elimination reactions, which lead to chain cleavage. If these reactions have been shown to happen in oxidized model pulps during an alkalinisation treatment, they have barely been found in naturally oxidized papers [START_REF] Ahn | Is cellulose degradation due to β-elimination processes a threat in mass deacidification of library books?[END_REF][START_REF] Glaus | Degradation of Cellulose under Alkaline Conditions : New Insights from a 12 Years Degradation Study[END_REF][START_REF] Hosoya | Insights into degradation pathways of oxidized anhydroglucose units in cellulose by β-alkoxy-elimination : A combined theoretical and experimental approach[END_REF]. On the other hand, it has been shown that random cellulose cleavage was also enhanced at acidic pH in chemically oxidized pulps. The most agreed upon explanation is that oxidized moieties, and essentially carbonyls, could modify the reactivity of the glycosidic linkage towards hydrolysis. The so-called weak-bonds (glycosidic bonds with neighbouring oxidized groups) lead to a higher hydrolysis rate [START_REF] Rånby | Weak links" in polysaccharide chains as related to modified groups[END_REF]. Lastly, by combining wet conditions with oxygen, a synergetic effect has been shown [START_REF] Emsley | Degradation of cellulosic insulation in power transformers. Part 3 : Effects of oxygen and water on ageing in oil[END_REF]. While this phenomenon was proven under highly oxidative artificial ageing conditions, there is to our knowledge little evidence of that happening in archival conditions. Zou reported that the degradation of an acidic cotton paper was similar under nitrogen atmosphere and in air at 40 % RH [START_REF] Zou | Accelerated aging of papers of pure cellulose : Mechanism of cellulose degradation and paper embrittlement[END_REF]. However, the hypothesis that because a reduction in the hydrolytic reaction rate in the case of alkaline papers, the oxidative environment may take a more prominent role and become a key factor in the degradation cannot be ruled out.

Taking all these factors into consideration, the aim of this research was to study the degradation pathways of permanent paper in archival conditions compared to acidic paper. We addressed the question by taking into account the two main degradation mechanisms: acid-catalysed hydrolysis and oxidation, and by decoupling them to identify their respective roles. Hydrolysis was studied using various RH, and oxidation through the presence or absence of oxygen as ageing parameters. Light, pollutants, and biochemical reactions were not considered, as climate-controlled storage rooms are dark and often ventilated. Vibert et al., Carbohydrate Polymers, 2023https://doi.org/10.1016/j.carbpol.2023.120727 In order to reach various degraded states, accelerated ageing was used. It consists in reproducing the reactions that occur in ambient conditions in archival storage rooms, but at higher temperatures, and often, higher humidity. Among the proposed methods, studies usually mention temperatures from 50 to 100 °C to avoid thermal degradation or high temperature alkaline scissions [START_REF] Brillard | Thermal degradations of used cotton fabrics and of cellulose : Kinetic and heat transfer modeling[END_REF][START_REF] Knill | Degradation of cellulose under alkaline conditions[END_REF].

Relative humidity conditions can also be controlled, 50 % RH reproduces the conditions of an archive storage room. Paper degradation produces volatile acids that can auto-catalyse cellulose hydrolysis, as shown by the large differences in the degradation of a confined versus a free-surface paper in a stack [START_REF] Carter | Migration of Volatile Compounds through Stacked Sheets of Paper during Accelerated Ageing -Part 1 : Acid Migration at 90°[END_REF]. The use of closed vessel or vials allows to better reproduce this phenomenon [START_REF] Bégin | Thermal Accelerated Ageing Test Method Development[END_REF]. This being the most suitable accelerated ageing method for paper, it was chosen for this study. However, tightening of the tubes must be adequate because leakage of humidity can occur. Some authors propose to monitor the weight of the tubes during the ageing to evaluate the possible flows of humidity and to correct the actual hygrothermal conditions with time [START_REF] Jeong | Improving the accuracy of estimating paper permanence for accelerated degradation in closed vials[END_REF][START_REF] Sawoszczuk | On the use of ASTM closed vessel tests in accelerated ageing research[END_REF]. Here, to ensure trustworthy experimental results, we evaluated the robustness and reliability of the accelerated ageing technique in closed tubes beforehand.

Paper degradation can be assessed using different parameters, either chemical, mechanical, or physical. Among these, the decrease in the average length of the cellulose macromolecules and hence in its degree of polymerisation (DP) is the most representative. It is used to define the number of scissions per glucose monomer S [START_REF] Calvini | The role of the Ekenstam equation on the kinetics of cellulose hydrolytic degradation[END_REF][START_REF] Ding | On the degradation evolution equations of cellulose[END_REF][START_REF] Ekenstam | The behaviour of cellulose in mineral acid solutions : Kinetic study of the decomposition of cellulose in acid solutions[END_REF]:

S = 1/DP -A/DP 0 (1)
The DP was thus the main parameter used in this study. Other chemical and physical measurements at the paper macroscopic level were also used. These include pH, alkaline reserve, and colour. The pH and alkaline reserve gave information about the acids production [START_REF] Ahn | The influence of alkaline reserve on the aging behavior of book papers[END_REF][START_REF] Carter | Migration of Volatile Compounds through Stacked Sheets of Paper during Accelerated Ageing -Part 1 : Acid Migration at 90°[END_REF][START_REF] Horst | Accelerated Aging of Deacidified and Untreated Book Paper in 1967 Compared with 52 Years of Natural Aging[END_REF].

Equilibrium moisture content (EMC) was taken into consideration as an indirect measure of the crystallinity and polarity of the cellulose and the paper porosity [START_REF] Driemeier | Dynamic vapor sorption and thermoporometry to probe water in celluloses[END_REF][START_REF] Kerekes | Equilibrium moisture content in wet pressing of paper[END_REF]. Lastly, colour measurement provided evidence of the chromophores production and is particularly relevant in the case of lignin containing papers. This measurement is moreover widely used for paper conservation assessment [START_REF] Ahn | Yellowing and brightness reversion of celluloses : CO or COOH, who is the culprit?[END_REF][START_REF] Rosenau | 2,4′:2′,4 Dianhydride of 3-keto-glucoside, a precursor to chromophores of aged, yellow cellulose, and its weak interactions[END_REF][START_REF] Zervos | Cotton Cellulose Ageing in Sealed Vessels. Kinetic Model of Autocatalytic Depolymerization[END_REF][START_REF] Zou | The role of lignin in the mechanical permanence of Paper-Part I: Effect of lignin content[END_REF]. In the following, the reliability of the accelerated ageing method will first be evaluated. The state of degradation of the two papers in different accelerated ageing conditions will be assessed, then the chemical consequences will be analysed and interpreted.

MATERIALS AND METHODS

Paper samples

Two papers were selected for this study: a permanent paper and a cotton paper as control. The permanent paper is a bleached kraft pulp paper from Canson® (Canson® barrier paper) made with a mix of hardwood and softwood fibres. Its pH, alkaline reserve (AR) and Kappa number comply with the ISO 9706 standard for paper permanency. Filter paper Whatman No. 40 made of cotton linters was used as acidic paper reference and it is referred hereafter as Whatman paper. It is exclusively composed of cellulose. This paper has been widely tested in the literature and can easily serve for comparisons. The main characteristics of the two papers are specified in added between the tube and the septum.

The tubes were preconditioned opened at 23 °C at the given RH and gas atmosphere as reported in Table 2, then closed directly in the conditioning atmosphere. Humid air tubes were preconditioned at 50 % RH and 23.0 °C for 48 h in a climatic room (CTS®) with controlled humidity and temperature. Humid nitrogen tubes were stored for 48 h in a glove box (Jacomex®) with controlled humidity, temperature, and partial pressure in oxygen. The glovebox instrument indicated 48 % RH and 0.0 ppm of oxygen partial pressure at 23.0 °C. Dry air tubes were dried in an oven at 105 °C for 2 h, as recommended in TAPPI T 573 pm. The humidity inside the tubes after closure was 10 % as measured by hygro-buttons.

After closure, the tubes were placed at 90 °C. Humid air and humid nitrogen tubes were aged in a climatic chamber set at 50 % RH (Weiss® WK3) and dry air tubes in an oven (Air Performance® AP60). Fixing the same RH in and out the tubes prevented water vapour flows. The tubes were kept in the dark during the whole ageing period. They were removed after 2, 4 and 10 weeks. After ageing, the paper was kept in a climatic room at 23 °C and 50 % RH until testing. Two replicate tubes were prepared for each paper, condition, and ageing time. The diffusion of oxygen or nitrogen in paper was considered negligible due to the low thickness and density, as indicated by the low grammage. The degradation was therefore considered homogenous through the paper sheets.

A validation method was developed to assess eventual water vapour leakage during the ageing. Two tubes were filled with 4.22 g of Whatman paper, preconditioned for 48 h at 50 % RH and 23 °C in air in the controlled climate room and the ageing was conducted at 70 °C in an oven (Memmert® UN55). Hygrobuttons from Plug&Track® (accuracy of 0.1 °C and 0.5 % RH, 1 measure per hour) were placed in the tubes to record temperature and humidity during the ageing period. The temperature of 70 °C is below the working limits of the hygrobuttons. An oven (the RH in the oven at 70 °C is 3 %) was chosen over a climate chamber (humid atmosphere) to emphasize the RH gap between inside and outside the tubes.

Analytical characterization

The degree of polymerisation (DP) was measured by size-exclusion chromatography (SEC). The samples were prepared according to Dupont [START_REF] Dupont | Cellulose in lithium chloride/N,N-dimethylacetamide, optimisation of a dissolution method using paper substrates and stability of the solutions[END_REF]. Paper (10.40 mg) was ground in water, followed by solvent exchange in methanol, then in DMAc (N,N-dimethylacetamide). It was dissolved in DMAc/LiCl (8 % w/v) and diluted 16 times in DMAc to the approximate concentration of 0.625 mg•mL -1 . Before the analysis, the samples were filtered on a 0.45 µm pore PTFE membrane. The following set-up was used: isocratic HPLC pump (515, Waters®), autosampler (UltiMate 3000, Dionex), MALS detector (Wyatt Technologies® Dawn EOS, 60 °C) and differential reflective index detector (Waters® 2414, 55 °C). Each sample was run three times on 4 PLGel miniMIX A columns (Agilent®, 20 µm, 4.6 × 250 mm, 60 °C). The injected volume was 100 µL and the flow rate 0.4 mL•min -1 . The chromatograms are analysed with Astra® software (Astra® 5.3.4.14,Wyatt Technologies®). The bimodal molar mass distribution graphs were analysed by manually separating at the valley between the two peaks, as proposed by Dupont [START_REF] Dupont | Accurate molar masses of cellulose for the determination of degradation rates in complex paper samples[END_REF].

Chemical parameters were obtained using standard TAPPI methods. The cold extraction pH of paper was measured according to TAPPI method T 509 om. 100 mg of paper was used instead of 1 g because of the low quantity of available paper, and the volume of water was adjusted proportionally. Alkaline reserve (AR) was evaluated according to TAPPI method T 553 om. The results are expressed in calcium carbonate equivalent.

Similarly as for pH, 100 mg of paper was used. Kappa number was measured according to TAPPI method T 236 om with 1.3 g of paper. At least 3 replicas were prepared for each sample. All reactants used for DP, pH, AR and Kappa number determination were of analytical grade.

EMC was measured by dynamic vapour sorption (DVS). Isotherms at 30 °C in the range from 0 % to 90 % RH were carried out on the samples (5 to 10 mg). For practical reasons, two Surface Measurement Systems® DVS instruments were used: a DVS Advantage for the measurements on Whatman paper and a DVS-1000 for permanent paper. Control unaged papers were tested on each machine.

The coloration of paper was measured in L*a*b* CIE 1976 colour space with a spectrophotometer (Konica Minolta® CM-26d) coupled with the SpectraMagic NX software, using 8 mm diameter aperture, specular component included (SCI, 10° angle). L* coordinate varies from black to white, a* from green to red and b* from blue to yellow. Six paper strips from each ageing tube were used for a total of 10 measurements. Thickness was measured with a digital micrometer (Mitutoyo® Digimatic) on several paper sheets and the mean value is reported.

RESULTS AND DISCUSSION

Validation of the accelerated ageing method

The experimental work was based on the accelerated ageing of two different types of paper under three ageing conditions to discriminate the role of water and oxygen on the degradation of permanent and acidic paper. To ensure the reliability of the results, the accelerated ageing method was tested through the monitoring of water vapour in control tubes. The reproducibility of the method was evaluated using a deviation index to quantify the differences between two tubes aged in the same conditions.

Monitoring of the relative humidity inside the tubes

No leaks of water were measured during the 10-week ageing of the control tubes. Figure 1 shows the evolution of the RH inside the control tubes filled with Whatman paper and aged at 70 °C. Unexpectedly, humidity increased from 49 % to 52 % in 10 weeks. This difference is significant regarding the fact that 4 hygro buttons, two in two tubes, recorded the same variation with an accuracy of 0.5 % RH. The small increase in RH observed over 70 days in Figure 1 was investigated. Three phenomena were examined in relation to this observation. Firstly, the hydrolysis of amorphous cellulose releases water as amorphous zones account for water adsorption sites [START_REF] Jeong | Improving the accuracy of estimating paper permanence for accelerated degradation in closed vials[END_REF][START_REF] Tétreault | Modelling considerations for the degradation of cellulosic paper[END_REF]. In contrast, this reaction consumes a water molecule per bond scission. Thirdly, water vapour leakage could eventually happen through the cap of the tubes. All the following calculations are described in the Appendix. A. One the one hand, the raise from 49 to 52 % RH corresponds to an increase of n RH = 0.05 ± 0.01 mmol of water per tube. On the other hand, the first hypothesis, i.e., the release of water from cellulose degradation, was estimated as n EMC = 0.4 ± 0.2 mmol of water per tube from DVS measurements at 70 °C and 50 % RH, in sorption regime. The second hypothesis accounts for water consumption through hydrolysis. As the DPn of Whatman paper dropped from 360 to 310, this corresponds to n S = 0.01 mmol of water consumed during the ageing. In total, the balance of flows can be evaluated as the difference between the released and consumed water. Considering the standard deviation, no more than n flows = 0.6 mmol of water might have possibly leaked outside the tubes in 70 days. Since about 8 mmol of water are contained in a tube during ageing, leaks seem negligible.

Interestingly, other authors showed an important drop of RH during ageing in closed vials at similar temperature, with a decrease of 30 % in 80 days at 65 °C [START_REF] Jeong | Improving the accuracy of estimating paper permanence for accelerated degradation in closed vials[END_REF]. They linked this decrease with the presence of water vapour flows outside the closed vials and, as the concentration in water influences the hydrolysis rate, they proposed a recalculation method to account for the loss of water. Their result can be explained by the fact that they used only 400 mg of paper in a similar tube volume, thus limiting the production of water due to change in EMC. The tightening of the tubes and the absence of impermeable film could also be called into question. In the present work, it will not be useful to take into account an evolution of RH in the tubes as part of the degradation process.

Reproducibility of the ageing method

To control the reproducibility of the ageing, a deviation index is introduced. It quantifies the differences between the two replicate tubes prepared for each paper, condition, and time. This deviation index (DI) is based on the colour coordinate b*. The detail of the calculation is explained in the Appendix. B. The coordinate b* was chosen because it is highly sensitive to small changes and its measurement is reproducible and easy to perform.

The closer the deviation index to 1, the less likely errors in the ageing method. DI is plotted Figure 2 for each condition and duration. DI was close to 1 in all cases, showing that there was no significant difference between two replicate tubes aged in the same conditions. The index did not increase with ageing time either, as it would have in the presence of flows. This is another evidence of the absence of All in all, the accelerated ageing method used in this study was robust and reproducible, as no flow was evidenced in 10 weeks. Water was the only assessed parameter for flows evaluation, but it can be assumed that neither oxygen, nitrogen nor volatile acid compounds could flow during the ageing thanks to the multi-layered barrier film added between the tube and the septum ( §2.2.). Additionally, the use of two ageing tubes for each paper, condition and time insures the reliability of the results.

Macromolecular changes

As reported in the introduction, the degradation of paper can be directly related to the scissions of the cellulose chains, measured with the degree of polymerisation (DP) as analysed by SEC. This enables the comparison of the hydrolysis reaction rates between the different conditions. Molar Mass Distribution (MMD) of cellulose for the samples aged under humid air is shown Figure 3. For unaged Whatman paper, the distribution is monomodal with one unique peak that corresponds to cellulose molecules size distribution. The MMD evolved to lower molar masses with ageing and the peaks became sharper (Mw = 110,000, DPw = 700, DPn = 360 to Mw = 34,000, DPw = 210, DPn = 90). This indicates cellulose scissions at random positions in the chain, as reported in the literature [START_REF] Dupont | Accurate molar masses of cellulose for the determination of degradation rates in complex paper samples[END_REF][START_REF] Nevell | Cellulose Chemistry and its Applications[END_REF][START_REF] Stephens | Hydrolysis of the Amorphous Cellulose in Cotton-Based Paper[END_REF]. The dispersity increased from 2.0 to 2.4 in 10 weeks, which is consistent with a shoulder appearing at low molar masses side already after 4 weeks. Stephens et al. had the same observation and attributed it to the progressive appearance of small cellulose chains [START_REF] Stephens | Hydrolysis of the Amorphous Cellulose in Cotton-Based Paper[END_REF]. The molar mass of the shoulder being centred below 50, it is consistent with cellulose oligomers. The MMD for permanent paper exhibited a bimodal distribution (Figure 3b): indeed, wood fibres contain hemicelluloses of lower molar masses that are not present in cotton fibres [START_REF] Knill | Degradation of cellulose under alkaline conditions[END_REF]. As for Whatman paper, the cellulose peak shifted to low molar masses with ageing (Mw = 890,000, DPw = 5500, DPn = 1870 to Mw = 460,000, DPw = 2800, DPn = 360), similarly to literature data for wood pulp paper cellulose [START_REF] Dupont | Accurate molar masses of cellulose for the determination of degradation rates in complex paper samples[END_REF][START_REF] Hill | A study of degradation of cellulosic insulation materials in a power transformer, part 1. Molecular weight study of cellulose insulation paper[END_REF]. The peak also widened as the paper aged, with a dispersity increasing from 2.9 to 3.6 due to the formation of shorter cellulose chains and the progressive merger of cellulose and hemicelluloses peaks. The tendency was similar for all the ageing conditions.

The DPn of cellulose as a function of time is plotted for both papers Figure 4 (1). The shape of all six curves is similar and shows a maximal decrease rate at the beginning of the ageing, followed by a deceleration for longer exposure times. This shape is characteristic for cellulose ageing [START_REF] Tétreault | Modelling considerations for the degradation of cellulosic paper[END_REF][START_REF] Zou | Accelerated aging of papers of pure cellulose : Mechanism of cellulose degradation and paper embrittlement[END_REF]. In humid air conditions, DPn decreased by 60 % for Whatman paper and by 30 % for permanent paper. For both papers, the 10-week ageing is sufficient to reach a significant degradation state, allowing further comparisons of the DPn evolution. Moreover, it can be noticed that the DPn of Whatman paper under humid air remained constant between 4 and 10 weeks, at a plateau value of 90. It corresponds to the levelling-off degree of polymerisation (LODP), defined as the asymptotic value indicating that the amorphous zones have been significantly hydrolysed (Battista et al., 1956). The LODP value is usually found around 100 to 150 depending on the fibres, which is consistent with our value [START_REF] Calvini | The Influence of Levelling-off Degree of Polymerisation on the Kinetics of Cellulose Degradation[END_REF]. The plateau was not reached for other ageing conditions nor for permanent paper.

Figure 4 (2) shows that the evolution of the number of cellulose scissions with time, calculated according to Eq. 1, was almost linear provided that the last data point for Whatman paper in humid air ageing is not taken into account since LODP is reached. The constant rate of cellulose scissions is consistent with a degradation reaction at order 1 according to Ekenstam equation [START_REF] Ekenstam | The behaviour of cellulose in mineral acid solutions : Kinetic study of the decomposition of cellulose in acid solutions[END_REF]. No acceleration of the degradation for longer ageing time was observed, as expected in closed tubes where auto-catalysis is supposed to take place [START_REF] Calvini | On the kinetics of cellulose degradation : Looking beyond the pseudo zero order rate equation[END_REF][START_REF] Emsley | Degradation of cellulosic insulation in power transformers. Part 3 : Effects of oxygen and water on ageing in oil[END_REF][START_REF] Hill | A study of degradation of cellulosic insulation materials in a power transformer, part 1. Molecular weight study of cellulose insulation paper[END_REF][START_REF] Poggi | Calcium hydroxide nanoparticles for the conservation of cultural heritage : New formulations for the Vibert et al[END_REF]. As a result, it is possible to compare the ageing conditions through the scission rates. The degradation rates (k) are given in Table 3. As expected, permanent paper degraded more slowly than Whatman paper. The rates for Whatman paper were close to the values found in the literature. For example, for the same Whatman No. 40, Zou found 82 × 10 6 scissions per day under air at 40 % RH, 52 × 10 6 under nitrogen at 40 % RH and 18 × 10 6 under dry air [START_REF] Zou | Accelerated aging of papers of pure cellulose : Mechanism of cellulose degradation and paper embrittlement[END_REF]. Although the ageing conditions were not identical, the rates are in the same order of magnitude. Moreover, the rates found for the ageing at 50 % RH are higher than those at 40 % RH, which agrees with a water-controlled acid-catalysed hydrolysis degradation model. The predominance of humid nitrogen over dry air in the case of Whatman paper was also observed in other studies, for example for kraft paper aged in oil at 140 °C, where the amount of water plays an extended role compared to the amount of oxygen [START_REF] Emsley | Degradation of cellulosic insulation in power transformers. Part 3 : Effects of oxygen and water on ageing in oil[END_REF]. However, for permanent paper the rates for humid nitrogen and dry air were similar. Permanent paper is thus more sensitive to oxygen degradation than Whatman paper. All the degradation rates were lower for permanent paper than for Whatman paper. However, with the rate being 25 times lower in humid air and 23 times lower in humid nitrogen conditions, dry air condition is the least slowed down, being reduced by a factor of only 3. The strong reduction in humid conditions means that permanent paper is less sensitive to humidity-driven reactions than Whatman paper. This can be attributed to a smaller hydrolysis catalysis, due to the difference in initial acidity of the papers [START_REF] Bégin | The Impact of Lignin on Paper Permanence[END_REF] and to the presence of the alkaline reserve in permanent paper. As a result, the ratio between the rate in humid nitrogen and dry air shifts from 5 for Whatman paper to 1 for permanent paper. Water and oxygen have similar impact on its degradation.

Moreover, the results also show that the degradation in humid air is enhanced compared to the sum of dry air and humid nitrogen conditions, the rate for humid air being higher by 60 % for permanent paper and by 270 % for Whatman paper than the cumulated rates in dry air and humid nitrogen. This leads to consider a synergetic process driven by water and oxygen in the degradation of the two papers. Although it has been demonstrated earlier and only in the case of chemical oxidation [START_REF] Wilson | An Analysis of the Aging of Paper : Possible Reactions and their Effects on Measurable Properties[END_REF], the synergy between hydrolysis and oxidation by the oxygen in the air is clearly evidenced here for the two papers.

Table 3. Degradation rate constants k at 90 °C expressed as a number of scissions per glucose unit per day, equilibrium moisture content (EMC) measured at 30 °C, pH and alkaline reserve (AR) for initial state and after 10-week ageing.

Paper

Ageing conditions k (×10 6 day

Macroscopic changes

The water and acids content are essential parameters in the degradation reactions, as well as the quantity of alkaline reserve in neutralizing the acids in the case of permanent paper. The coloration of paper was also monitored, as a clue for chromophores production, in relation with the degradation.

Water content

The equilibrium moisture content (EMC) of papers at initial and final ageing stages are presented Table 3. For both papers, EMC decreased with time in all ageing conditions: humid air caused the fastest decrease, and dry air the slowest. Moreover, the decrease in 10 weeks under humid air was more important for Whatman paper: by 30 % of the initial value versus 10 % for permanent paper. ■, humid nitrogen •, dry air ▲; empty symbols for Whatman paper and full symbols for permanent paper). Literature data for acidic and neutral cotton paper are superimposed (in green crosses, data from [START_REF] Tétreault | Modelling considerations for the degradation of cellulosic paper[END_REF]). The progress of ageing is indicated by the arrows.

Given these observations, we investigated the relation between water content and degradation (Figure 5). In a first approximation, a linear correlation between EMC and DPn appears independently of the ageing conditions.

The observed decrease of EMC can be attributed to the progressive degradation of the amorphous zones of the cellulose, due to the scissions preferentially occurring in these areas [START_REF] Gehlen | Kinetics of autocatalytic acid hydrolysis of cellulose with crystalline and amorphous fractions[END_REF]. The data of Tétreault et al. for neutral and acidic cotton papers (same as Whatman paper used here) aged at 100 °C in humid air [START_REF] Tétreault | Modelling considerations for the degradation of cellulosic paper[END_REF] are displayed on the same graph. Our data followed the same trend showing a higher slope at lower molar masses. The evolution of EMC indicates that the degradation mechanisms are similar for both papers and therefore that only the kinetics are different.

Acidification

The degradation of cellulose is accompanied by an acidification of the paper via the production of acid compounds as degradation by-products [START_REF] Dupont | Comprehensive characterisation of cellulose-and lignocellulose-degradation products in aged papers : Capillary zone electrophoresis of low-molar mass organic acids, carbohydrates, and aromatic lignin derivatives[END_REF][START_REF] Glaus | Degradation of cellulosic materials under the alkaline conditions of a cementitious repository for low and intermediate level radioactive waste Part I: Identification of degradation products[END_REF][START_REF] Lundgaard | Aging of kraft paper by acid catalyzed hydrolysis[END_REF]. A decrease in pH was observed with a difference of 0.4 units for the permanent paper and 1.3 units for the Whatman paper in 10 weeks under humid air conditions (Table 3). This variation is significant since the latter value corresponds to one order of magnitude in terms of hydronium concentration.

The acidification is linear with the decrease in DPn for each paper, depending only slightly on the degradation conditions (Figure 5). For Whatman paper, the values superimposed well with Tétreault's data, and other studies on the same paper have also shown similar acidification [START_REF] Tétreault | Modelling considerations for the degradation of cellulosic paper[END_REF][START_REF] Zervos | Cotton Cellulose Ageing in Sealed Vessels. Kinetic Model of Autocatalytic Depolymerization[END_REF].

For the permanent paper, as expected, acidification is slower, as shown by the lower slope.

The presence of alkaline reserve (AR) in permanent paper is supposed to neutralize the acids formed during the degradation [START_REF] Ahn | The influence of alkaline reserve on the aging behavior of book papers[END_REF][START_REF] Bégin | The Impact of Lignin on Paper Permanence[END_REF][START_REF] Poggi | Calcium hydroxide nanoparticles for the conservation of cultural heritage : New formulations for the Vibert et al[END_REF]. For this reason, the AR of permanent paper after ageing was investigated (Table 3). No consumption of the AR was detectable. This might be explained by a large excess of alkaline content, overriding its consumption. This hypothesis was tested by calculating the production of acids and comparing to the alkaline reserve. Let us consider the number of acids formed per cellulose scission in Whatman paper as reference. Under the 10-week humid air ageing, around 4 × 10 -5 mol•g -1 of hydroniums and 5 × 10 -5 mol•g -1 of cellulose scissions were produced, giving the ratio of one acid per scission. Considering permanent paper, the number of scissions under the same conditions is 4 × 10 -6 mol•g -1 , assuming that cellulose and hemicelluloses have a similar hydrolysis rate and represent the whole dry mass [START_REF] Mäki-Arvela | Synthesis of Sugars by Hydrolysis of Hemicelluloses-A Review[END_REF]. According to the acids production ratio determined for Whatman paper, it is equivalent to 4 × 10 -6 mol•g -1 of hydroniums formed in the permanent paper. Knowing that the amount of AR is 3.3 %, i.e., 7 × 10 -4 mol•g -1 , one can conclude that the alkaline reserve is largely in excess compared to the acids formation. Vibert et al., Carbohydrate Polymers, 2023https://doi.org/10.1016/j.carbpol.2023.120727 However, the results showed that the acidification of permanent paper was not totally stopped despite the presence of AR. Some studies show no acidification of paper in presence of an alkaline content, but others indicate a continued acidification in paper treated with deacidification methods. For example, Horst showed a decrease of the pH from 10 to 7 during 50 years of natural ageing, whereas some AR still remained [START_REF] Horst | Accelerated Aging of Deacidified and Untreated Book Paper in 1967 Compared with 52 Years of Natural Aging[END_REF]. Moreover, several studies point out the question of diffusion and reactivity of AR since the particles are heterogeneously distributed in the paper [START_REF] Bégin | The Impact of Lignin on Paper Permanence[END_REF][START_REF] Hubbe | Deacidification of Acidic Books and Paper by Means of Non-aqueous Dispersions of Alkaline Particles : A Review Focusing on Completeness of the Reaction[END_REF]. As a result, they could diffuse and react slower than the production of acids. All these reasons could explain an acidification without modification of the alkaline content.

Coloration

The coloration of paper with ageing was investigated measuring the L*a*b* coordinates (Figure 6). A global trend to darkening (L*) and yellowing (b*) was evidenced. The shapes of the slopes are similar between the two papers indicating analogous behaviour. In particular, the yellowing decelerates for extended ageing. This is consistent with the data of Bülow for acidic paper aged in stacks at 90 °C [START_REF] Bülow | Migration of Volatile Compounds through Stacked Sheets of Paper during Accelerated Ageing Part II : Variable Temperature Studies[END_REF]. This is however in contradiction with the observations of Zervos and Moropoulou who showed that the yellowing (b*) increased with time, although in much more humid exposure conditions [START_REF] Zervos | Cotton Cellulose Ageing in Sealed Vessels. Kinetic Model of Autocatalytic Depolymerization[END_REF]. According to the literature, the yellowing is related to chromophores arising primarily from the degradation of lignin and, to a lower extent, of cellulose [START_REF] Korntner | Chromophores in lignin-free cellulosic materials belong to three compound classes. Chromophores in cellulosics[END_REF][START_REF] Menart | Dose-response functions for historic paper[END_REF]. The stronger yellowing of permanent paper compared to Whatman can be explained by the presence of residual lignin, as evidenced by the Kappa number of 2.6. The coloration of the paper is not directly correlated with cellulose scissions but was shown to depend on the ageing conditions. In particular, b* of permanent paper aged in humid air and humid nitrogen conditions superimposed despite the different cellulose scission rate. Dry air condition led to the lowest coloration, which is in contradiction to a yellowing driven by oxidation of the cellulose chains [START_REF] Ahn | Yellowing and brightness reversion of celluloses : CO or COOH, who is the culprit?[END_REF][START_REF] Łojewska | Carbonyl groups development on degraded cellulose. Correlation between spectroscopic and chemical results[END_REF]. Pre-oxidation of the papers before the ageing could explain the fact that only water would be needed to complete the formation of chromophoric products. Oxidative conditions could also induce a counteracting effect of chromophores degradation and subsequent disappearance of the yellowing.

Interestingly, a* coordinate of both papers showed a trend towards red for humid conditions and towards green for dry air conditions. Horst also found a tendency to greening in the case of deacidified papers naturally aged under humid air conditions [START_REF] Horst | Accelerated Aging of Deacidified and Untreated Book Paper in 1967 Compared with 52 Years of Natural Aging[END_REF]. Given the fact that several chromophores may be formed during degradation [START_REF] Arts | Hydrogen peroxide and oxygen in catalytic oxidation of carbohydrates and related compounds[END_REF][START_REF] Korntner | Chromophores in lignin-free cellulosic materials belong to three compound classes. Chromophores in cellulosics[END_REF][START_REF] Rosenau | Discoloration of cellulose solutions in N-methylmorpholine-N-oxide (Lyocell). Part 2 : Isolation and identification of chromophores[END_REF], it can be assumed that different conditions lead to different chromophores. By plotting the two coordinates a* and b* on the same graph, the colour is uniquely defined (Figure 7). The correlation between a* and b* accounts for a colour whose concentration increases with degradation. A colour is defined by a group of chromophores at a given proportion produced at a same rate. Given the different slopes on Figure 7, it appears that humid conditions led to one group of chromophores, and dry air to another. Either two distinct pathways produce the two groups, or the same mechanisms account for the chromophores production, and some of the chromophores are subsequently degraded depending on the conditions. These mechanisms having their own kinetics, the coloration of paper under archival conditions cannot be extrapolated from cellulose degradation.

CONCLUSION

In conclusion, three different accelerated ageing conditions were successfully established thanks to a method that was able to maintain stable conditions for prolonged periods. The absence of flows was achieved for 70 days demonstrating the reproducibility of the ageing. This method enabled to determine the rate of cellulose degradation at 90 °C under humid air, humid nitrogen, and dry air.

Both papers were sensitive to humidity and oxidation, and a synergetic process between water and oxygen was exhibited. Permanent paper degradation rate was reduced in all the conditions compared to Whatman paper, and more considerably so in humid conditions. As a result, if the rate of degradation in dry air conditions is about five times lower than in humid nitrogen for Whatman paper, it turns out to be of the same order of magnitude for permanent paper. Oxidation cannot be neglected, even in archival conditions. Acidification of the permanent paper was slower compared to Whatman paper, as expected from the presence of an alkaline reserve in the former. However, as the AR consumption was not detectible, the neutralization reaction Vibert et al., Carbohydrate Polymers, 2023https://doi.org/10.1016/j.carbpol.2023.120727 between calcium carbonate and acids was either partial or slower than the acids production. The heterogeneity of the reaction between a solid phase and volatile compounds could be held responsible for this observation.

The coloration of paper was dependent on the ageing conditions. Indeed, for both papers, a yellowing towards red was observed in the presence of water, and towards green in dry air. These colours characterize two different groups of chromophores. These could be produced either by a condition-dependent reaction scheme or by a preferential degradation of some types of chromophores over others whether in the presence of water or dry air.

In summary, we have demonstrated that both oxygen and acid-driven reactions are reduced for permanent paper compared to acidic cotton paper. We report no difference in the chemical and physical consequences of the degradation between the two papers, showing that the degradation mechanisms follow the same route but with different kinetics.

ACKNOWLEDGEMENT

The work was financially supported by the French National Agency for Radioactive Waste Management (Andra). with:

• n RH the quantity of water corresponding to the RH increase per tube with:

• n EMC the quantity of water released by the paper during ageing

• EMC before and EMC after the equilibrium moisture content in paper at 0 and 70 days of ageing respectively, as measured by DVS, i.e. 4.22 % and 4.17 %

• m paper the total mass of paper per tube, i.e. 4.22 g

• M water the molar mass of water, i.e. 18 g•mol -1

These DVS measurements were conducted in the ageing conditions, i.e., 70 °C and 50 % RH, in sorption regime.

Figure 1 .

 1 Figure 1. Evolution of the relative humidity inside closed tubes aged in an oven at 70 °C for 70 days in presence of 4 g of Whatman paper, standard deviation in grey.

Figure 2 .

 2 Figure 2. Deviation index (inter over intra-tubes standard deviation ratio) calculated from the b* coordinate measurements. Grey zone corresponds to DI = 1 ± 10 %.

Figure 3 .

 3 Figure 3. Molar mass distribution for the Whatman paper (a) and permanent paper (b) aged under humid air condition for different ageing times.

Figure 4 .

 4 Figure 4. Effect of ageing conditions on the depolymerisation of cellulose expressed in terms of DPn (1) and of number of scissions (S) per glucose unit (2) for Whatman paper (a) and permanent paper (b)

Figure 5 .

 5 Figure 5. Equilibrium moisture content (measured at 30 °C for 50 % RH) and pH of paper as a function of DPn (initial values ★, humid air

Figure 6 .

 6 Figure 6. L*a*b* coordinates as a function of time for Whatman paper (a) and permanent paper (b).

Figure 7 .

 7 Figure 7. Correlation between the colour coordinates a* and b* (initial values ★, humid air ■, humid nitrogen •, dry air ▲; empty symbols for Whatman paper and full symbols for permanent paper).

  of relative humidity in the control tubes n RH = P sat V/RT • (RH after -RH before ) (A.1)

3.

  Consumption of water though hydrolysis reaction n S = (1/DP 70 -1/DP 0 ) • m cellulose / M cellulose (A.3)with:• n S the quantity of cellulose scissions per tube, equivalent to the quantity of water consumed• DP 0 and DP 70 the degree of polymerisation of cellulose at 0 and 70 days of ageing, respectively, i.e. 360 and 310• m cellulose the total mass of cellulose per tube, i.e. 4.0 g• M cellulose the molar mass of cellulose, i.e. 162 g•mol -14. Estimation of water vapour flowsn flows = n EMC -n RH (A.4)with n flows the quantity of water that might have leaked outside the tubeAPPENDIX. B -Deviation indexThe deviation index DI used to determine the reproducibility of the ageing method is calculated as the standard deviation of the b* colour-coordinate measurements for both tubes of a same ageing condition over the mean standard deviation of the b* values of a single tube. Ten measurements were used for every standard deviation calculation: DI = 2Δ 10,mix / (Δ 10,tube1 + Δ 10,tube2 ) (B.1)with:• Δ 10,mix the standard deviation of ten b* measurements on paper randomly issued of tube 1 or 2• Δ 10,tubei the standard deviation of ten b* measurements on paper issued of tube i• Tube 1 and tube 2 being aged in the same condition, paper, and time.

Table 1 .

 1 Properties of the two selected papers at initial state: nature of the fibres, grammage, pH, alkaline reserve (AR), Kappa index, equilibrium moisture content (EMC) at 23 °C and 50 % RH, and thickness.

	Paper	Fibres	Grammage (g

•m -²) pH AR (%) Kappa number EMC (%) Thickness (µm)

	Whatman	cotton	95	5.7 ± 0.2	/	/	4.9 ± 0.1	210 ± 10
	permanent	wood	80	8.9 ± 0.2	3.3 ± 0.3	2.6	6.2 ± 0.1	100 ± 10
	2.2. Accelerated ageing
	Accelerated ageing experiments were conducted at 90 °C under three different atmospheres: humid air, humid
	nitrogen, and dry air. Relative humidity (RH) for humid conditions was set to 50 %, as recommended for
	archival paper storage and accelerated ageing (TAPPI T544 sp).
	Samples were aged in 15 cL Wheaton® glass tubes. 4.00 ± 0.01 g equivalent of dry paper cut in strips
	(1.5 × 12 cm) was introduced in each tube, i.e. 4.28 g of permanent paper or 4.22 g of Whatman paper. The tubes
	were closed with a polypropylene screw cap and a PTFE septum (Duran Groups®, max. 140 °C). A three-
	layered gas impermeable film (IN SITU Museum & Archive Services®, PET, aluminium and polyethylene) was

Table 2 .

 2 Conditioning and ageing method in the tested conditions.

Conditions Preconditioning at 23 °C Target RH at 23 °C Measured RH at 23 °C Ageing at 90 °C

	Humid air	Climatic room (48 h)	50 %	50 %	Climatic chamber at 50 % RH
	Humid nitrogen Glove box (48 h)	50 %	48 %	Climatic chamber at 50 % RH
	Dry air	Oven at 105 °C (2 h)	0 %	10 %	Oven
	Control	Climatic room (48 h)	50 %	50 %	Oven

  Vibert et al., Carbohydrate Polymers, 2023 https://doi.org/10.1016/j.carbpol.2023.120727

  Vibert et al., Carbohydrate Polymers, 2023 https://doi.org/10.1016/j.carbpol.2023.120727

  Vibert et al., Carbohydrate Polymers, 2023 https://doi.org/10.1016/j.carbpol.2023.120727 significant leakage from or into the tube.

  Vibert et al., Carbohydrate Polymers, 2023 https://doi.org/10.1016/j.carbpol.2023.120727

  Vibert et al., Carbohydrate Polymers, 2023 https://doi.org/10.1016/j.carbpol.2023.120727

  Vibert et al., Carbohydrate Polymers, 2023 https://doi.org/10.1016/j.carbpol.2023.120727

			--1 )	EMC at 30 °C (%)	pH	AR (%)
	Whatman	unaged	/	4.9	5.7	/
		humid air	250 ± 1.4	3.5	4.4	/
		humid nitrogen	56 ± 11.8	4.0	5.3	/
		dry air	12 ± 4.8	4.4	5.3	/
	permanent	unaged	/	6.2	8.9	3.3
		humid air	10 ± 1.2	5.6	8.5	2.9
		humid nitrogen	2.4 ± 1.0	5.8	8.8	3.1
		dry air	3.8 ± 1.2	6.0	8.8	3.2

  Vibert et al., Carbohydrate Polymers, 2023 https://doi.org/10.1016/j.carbpol.2023.120727

  • P sat the equilibrium vapour pressure of water at 70 °C, i.e. 31.2 kPa • V the total volume of the tube, i.e. 15 cL• T the temperature of the experiment, i.e. 343 K• RH before and RH after the relative humidity in the tube at 0 and 70 days of ageing respectively, as measured by hygro buttons, i.e. 0.49 % and 0.52 %

2. Release of water thought EMC evolution n EMC = (EMC before -EMC after ) • m paper / M water (A.2)


Anas Abou

El Kalam

Rania El Baida

Philippe Balbiani

Salem Benferhat

Frederic Cuppens

Yves Deswarte

Alexandre Miege

Claire Saurel

Gilles Trouessin

Frédéric Cuppens

Alexandre Miège

Cril

ORBAC : un modèle de contrôle d'accès basé sur les organisations

à la diffusion de documents scientifiques de niveau recherche, publiés ou non, émanant des établissements d'enseignement et de recherche français ou étrangers, des laboratoires publics ou privés.

Introduction

Plusieurs modèles de contrôle d' accès ont été proposés : DAC [START_REF] Lampson | Protection. 5th Princeton Symposium on Information Sciences and Systems[END_REF], MAC [START_REF] Bell | Secure computer systems: Unified exposition and multics interpretation[END_REF][START_REF] Biba | Integrity consideration for secure computer systems[END_REF], RBAC [START_REF] Sandhu | Role-based access control models[END_REF][START_REF] Gavrila | Formal Specification for Role Based Access Control User/Role and Role/Role Relationship Management[END_REF][START_REF] Ferraiolo | Proposed NIST Standard for Role-Based Access Control[END_REF], TBAC [START_REF] Thomas | Task-based Authorization Controls (TBAC): A Family of Models for Active and Enterprise-oriented Authorization Management[END_REF] ou TMAC [START_REF] Roshan | TMAC: A primitive for Applying RBAC in collaborative environment[END_REF]. Aucun de ces modèles n' est entièrement satisfaisant au regard des difficultés rencontrées pour mettre en oeuvre, au sein d' une organisation, une politique de sécurité qui prendrait en compte les points suivants :

1. Des règles qui spécifient des permissions ou des interdictions contextuelles. En effet, il est fréquent d' avoir des règles de sécurité spécifiques à un certain contexte. Dans le domaine médical par exemple, les médecins ont des permissions spéciales dans des contextes spécifiques comme l' urgence (voir section 5).

2. Des règles qui spécifient des obligations ou des recommandations. Les modèles de contrôles d' accès classiques sont généralement restreints aux permissions. Certains incluent des interdictions, et plus récemment des modèles de politique de sécurité ont ajouté des obligations [START_REF] Damianou | The Ponder Policy Specification Language[END_REF][START_REF] Bettini | Obligation Monitoring in Policy Management[END_REF].

3. Des règles spécifiques à l' organisation. En particulier, l' organisation peut être structurée en plusieurs sous organisations qui ont chacune leur propre politique de sécurité. Le modèle devra ainsi proposer un moyen de spécifier au sein d' une même organisation plusieurs politiques de sécurité. L' objet de cet article est de présenter un modèle qui tente de prendre en compte ces différents points. Le concept d' organisation est central dans ce nouveau modèle. L' organisation est un des paramètres des règles de sécurité de sorte qu' il soit possible de gérer à la fois plusieurs politiques de sécurité associées à différentes organisations. Le modèle n' est pas restreint aux permissions mais permet également de définir des interdictions, des obligations et des recommandations.

L' article est organisé comme suit : les sections 2 et 3 présentent des modèles de contrôle d' accès discrétionnaire et basé sur les rôles. La section 4 décrit notre modèle ORBAC. Dans la section 5, nous définissons un langage basé sur la logique du premier ordre utilisé pour définir une politique de sécurité ORBAC. La section 6 développe un exemple de politique de sécurité basé sur ce langage. Dans la section 7 nous évoquons comment exprimer différents types de contraintes. Enfin, la section 8 conclut l' article.

Le contrôle d'accès discrétionnaire

Harrison, Ruzzo et Ullman [START_REF] Harrison | Protection in Operating Systems[END_REF] définissent un modèle de politique de sécurité, le modèle HRU, qui s' applique sur des sujets, des objets et des actions. De manière intuitive, un sujet est une entité active alors qu' un objet est un conteneur d' information. Dans le contexte d' un système d' information, les sujets incluent les utilisateurs du système et généralement les processus exécutés pour le compte de ces utilisateurs. De plus, l' ensemble des objets inclut les entités actives, ainsi que les entités passives telles qu' un système d' information, des fichiers ou des répertoires. Les actions offrent aux sujets un accès direct aux objets. Elles correspondent généralement à des actions élémentaires comme "lire" ou "écrire". Dans ce modèle, la politique de sécurité est réduite à l' expression des permissions ; ces dernières étant des relations entre les sujets, les objets et les actions. Elles sont représentées dans la matrice A des permissions. Si s est un sujet et o est un objet alors, A(s, o) définit l' ensemble des actions α que le sujet s est autorisé à faire sur l' objet o. Dans le modèle HRU, la politique de sécurité s' exprime à travers l' énumération dans la matrice des permissions de tous les triplets <s, o, α>. Si de nouveaux objets, de nouveaux sujets ou de nouvelles actions sont ajoutés au système d' information, il est alors nécessaire d' enregistrer toutes les permissions accordées à ces nouvelles entités. Par conséquent, la mise à jour d' une politique de sécurité exprimée par ce modèle est quelque peu fastidieuse. Enfin, ce modèle ne permet pas d' exprimer des interdictions, des obligations ou des recommandations.

Le contrôle d'accès basé sur les rôles

Dans le modèle de contrôle d' accès basé sur les rôles, ou RBAC, la politique de sécurité ne s' applique pas directement à des utilisateurs comme dans le modèle précédent. Le rôle est ici le concept central de la politique de sécurité [START_REF] Gavrila | Formal Specification for Role Based Access Control User/Role and Role/Role Relationship Management[END_REF]. D' un côté des permissions sont accordées aux rôles ; de l' autre les utilisateurs se voient affecter un ou plusieurs rôles. Les utilisateurs obtiennent les permissions accordées aux rôles qu' ils jouent (figure 2).

Les actions et les activités

Les politiques de sécurité spécifient les accès autorisés aux entités passives par des entités actives et régulent les actions opérées sur le système. Dans notre modèle, l' entité Action englobe principalement les actions informatiques comme " lire" , " écrire" , " envoyer" , etc. De la même manière que dans les sections 4.2 et 4.3 où les rôles et les vues sont des abstractions des sujets et des objets, nous définissons une nouvelle entité utilisée comme abstraction des actions : l' entité Activité. Ainsi, les rôles associent des sujets qui remplissent les mêmes fonctions, les vues regroupent des objets qui satisfont une propriété commune et par analogie les activités correspondent à des actions qui ont un objectif commun. Dans notre modèle, les activités pourront être " consulter" , " modifier" , " transmettre" , etc. Dans la mesure où des organisations différentes peuvent considérer qu' une même action est employée à la réalisation d' activités différentes, la relation Considère (figure 5) sera utilisée pour associer les entités Organisation, Action et Activité. Plus précisément, si org est une organisation, α est une action et a est une activité, alors Considère(org, α, a) signifie que l' organisation org considère l' action α comme faisant partie de l' activité a. Remarquons que là encore nous définissons une relation ternaire. L' objectif est de pouvoir caractériser des organisations qui structurent différemment les mêmes activités. Si nous considérons l' activité " consultation" . Cette activité peut correspondre, dans l' organisation hôpital Purpan, à l' action " lire" un fichier, mais peut tout aussi bien correspondre à l' action " select" sur une base de données dans l' hôpital Rangueil. ,r,a,v,c) signifie que l' organisation org accorde au rôle r la permission de réaliser l' action a sur la vue v dans le contexte c. Par exemple, la politique de sécurité de l' hôpital Purpan peut comporter les faits suivants : Permission(Purpan, médecin, consulter, dossier_médical, urgence) qui signifie que " l' hôpital Purpan accorde aux médecins la permission de consulter n' importe quel dossier médical dans le contexte de l' urgence" et Permission(Purpan, médecin, consulter, dossier_médical, médecin_traitant) qui signifie que " l' hôpital Purpan accorde aux médecins la permission de consulter les dossiers médicaux des patients dont ils sont les médecins traitants" .

Rôle

Les autorisations concrètes

La relation Ces types de formules seront aussi considérés comme des formules atomiques. Ainsi les formules de sont définies comme suit :

• Une formule atomique est une formule,

• si A est une formule alors ¬A " non A" est une formule, L' axiome 1 décrit comment des permissions abstraites entre des rôles, des vues et des activités peuvent être transformées en permissions concrètes entre des sujets, des objets et des actions. Les axiomes pour les obligations, les recommandations et les interdictions sont définis de la même manière.

• si A et B sont des formules alors (A ∧ B) " A et B" et (A ∨ B) " A ou B"

Exemple de politique de sécurité

Dans cette section nous montrons comment exprimer un exemple simple de politique de sécurité dans notre langage.

Les sujets et les rôles

Dans cet exemple, nous ne considérons que l' organisation " hôpital Purpan" (figure 9). Nous supposons que l' hôpital Purpan habilite plusieurs sujets : Jean dans le rôle de directeur, Marie dans le rôle d' assistante administrative, ST1 dans le rôle d' équipe chirurgicale et RT2 dans le rôle d' équipe radiologique. Dans notre langage, ces faits sont représentés par des instances de la relation Habilite :

• Habilite(Purpan, Jean, directeur),

• Habilite(Purpan, Marie, assistante_administrative),

• Habilite(Purpan, ST1, équipe_chirurgicale) et

• Habilite(Purpan, RT2, équipe_radiologique).

Dans ces faits, directeur, assistante_administrative, équipe_chirurgicale et équipe_radiologique sont des rôles.

Les objets et les vues

Considérons les objets appartenant aux vues suivantes :

• dossier_administratif : Les objets qui appartiennent à cette vue fournissent des informations administratives concernant les patients comme leur nom, leur adresse, leur âge, etc,

• dossier_médical : Cette vue correspond au dossier médical des patients et,

• dossier_chirurgical : Cette vue correspond aux dossiers confidentiels gérés par l' équipe chirurgicale.

Nous supposons que les objets appartenant à ces vues ont un attribut Nom. Ainsi, si F31.doc est un dossier appartenant à une de ces vues, alors Nom(F31.doc) fournit le nom du patient correspondant. Nous supposons également que les dossiers sont directement gérés par l' hôpital Purpan, dans une base de données relationnelle par exemple. Ceci se traduit dans notre modèle par des faits de la forme :

• Utilise(Purpan, F31.doc, dossier_administratif),

• Utilise(Purpan, F32.doc, dossier_médical) et

Les actions et les activités

Nous ne considérons ici que les activités correspondant à des accès directs aux dossiers, c' est-à-dire la création, la consultation et l' écriture, etc. Si nous supposons que les dossiers sont gérés par l' hôpital dans une base de données relationnelle, ces activités correspondent respectivement aux actions insert, select, update, etc. Ceci est représenté par les trois faits suivants :

• Considère(Purpan, select, creation),

• Considère(Purpan, select, consulter) et

• Considère(Purpan, update, écriture).

Les contextes

Nous modélisons trois contextes dans notre exemple : " médecin traitant" , " équipe traitante" et " urgence" . Le contexte " médecin traitant" est défini dans ST1, l' équipe chirurgicale, comme suit : • Le concept de Rôle permet de modéliser comment l' organisation habilite les sujets,

• le concept de Vue permet de modéliser comment l' organisation utilise les objets,

• le concept d' Activité permet de modéliser comment l' organisation réalise des actions, et Plusieurs problèmes n' ont pas été abordés dans cet article. Tout d' abord, des conflits peuvent apparaître dans la politique de sécurité. Par exemple, pour un sujet donné, une action donnée, et un objet donné, il nous faut détecter et résoudre une situation dans laquelle il serait possible de dériver à la fois une permission et une interdiction. Cette question a fait l' objet de diverses propositions [START_REF] Bertino | Supporting Multiple Access Control Policies in Database Systems[END_REF][START_REF] Dinolt | Combining Components and Policies[END_REF][START_REF] Roshan | TMAC: A primitive for Applying RBAC in collaborative environment[END_REF]. L' approche que nous suggérons s' appuie sur la logique possibiliste, et doit permettre de dériver automatiquement des niveaux de priorité entre les règles de la politique de sécurité [START_REF] Benferhat | Modélisation des politiques de sécurité dans le cadre de la théorie des possibilités[END_REF]. Si nous n' avons pas discuté ici de la question de l' administration de la politique de sécurité, il est bien évidemment nécessaire de développer un modèle complet incorporant l' administration. Un tel modèle a été présenté avec ARBAC [START_REF] Sandhu | The ARBAC97 Model for Role-Based Administration of Roles[END_REF] pour l' administration du modèle RBAC. Le modèle d' administration de notre modèle sera abordé dans un futur article. Enfin, il nous faut aussi montrer comment spécifier des propriétés de sécurité dans le modèle ORBAC. En particulier, nous devons définir des moyens pour détecter une violation de la politique de sécurité et spécifier la décision à prendre dans un tel cas ; comme par exemple dans le cas d' un sujet qui ne remplirait pas ses obligations.

Figure 1 :

 1 Figure 1 : le modèle HRU

Figure 2 :

 2 Figure 2 : Le modèle RBAC

Figure 5 :

 5 Figure 5 : La relation Considère

Figure 7 :

 7 Figure 7 : Les relations Permission, Interdiction, Obligation et Recommandation.

Figure 8 :•

 8 Figure 8 : le modèle ORBAC

1 .

 1 ∀s∀α∀o∀r∀a∀v∀c Permission(org, r, a, v, c) ∧ Habilite(org, s, r) ∧ Utilise(org, o, v) ∧ Considère(org, α, a) ∧ Définit(org, s, α, o, c) → Est_permis(s, α, o) : " si l' organisation org, dans le contexte c, accorde la permission au rôle r de réaliser l' activité a sur la vue v, si org habilite le sujet s dans le rôle r, si org utilise l' objet o dans la vue v, si org considère l' action α comme faisant partie de l' activité a et si au sein de l' organisation org le contexte c est vraie entre s, α et o, alors le sujet s a la permission de réaliser l' action α sur l' objet o" , 2. ∀r∀a∀v∀c (Obligation(org, r, a, v, c) → Recommandation(org, r, a, v, c) : " toutes les obligations sont aussi des recommandations" , 3. ∀r∀a∀v∀c (Recommandation(org, r, a, v, c) → Permission(org, r, a, v, c) : " toutes les recommandations sont aussi des permissions" , 4. ∀r∀a∀v∀c (Permission(org, r, a, v, c) → ¬Interdiction(org, r, a, v, c) : " une permission implique une non interdiction" .

Figure 9 :

 9 Figure 9 : Exemple d' organisation La sous organisation ST1 habilite d' autres sujets : Jeanne dans le rôle de chef de l' équipe chirurgicale, Paul dans le rôle de chirurgien, Pierre dans le rôle d' infirmier et Max dans celui d' anesthésiste. Nous obtenons ainsi de nouvelles instances de la relation Habilite : • Habilite(ST1, Jeanne, chef_chirurgien),

  au dossier médical d' un patient que si ce dernier est son patient[START_REF] Barkley | Supporting Relationships in Access Control Using Role Based Access Control[END_REF][START_REF] Cheng | An Object-Oriented Organizational Model to Support Dynamic Rolebased Access Control in Electronic Commerce Applications[END_REF]. De plus, comme nous l' avons déjà évoqué dans le cas du modèle HRU, il est uniquement possible de définir des permissions. Enfin, l' application du modèle RBAC à la définition d' une politique de sécurité d' un système contenant plusieurs organisations fait apparaître d' autres limites de ce modèle.

	Il est possible de raffiner ce modèle en incluant les
	concepts de session et de hiérarchie de rôles. Dans
	une même session, un utilisateur a la possibilité de
	ne pas activer tous ses rôles, mais uniquement le
	sous-ensemble de ses rôles nécessaires à la
	réalisation de la tâche à accomplir. La hiérarchie de
	rôles a cela d' utile qu' elle permet de mettre en
	place un mécanisme d' héritage des permissions
	Le groupe est un concept qui a été introduit avant la
	définition du modèle RBAC. Il y eut beaucoup de
	discussion à propos des différences entre le contrôle
	d' accès basé sur les groupes et RBAC. Le modèle
	ORBAC propose, dans la section 4, de clarifier ce
	point.
	Ajoutons qu' il n' est pas possible dans le modèle
	RBAC d' exprimer des permissions qui dépendent

entre les rôles et simplifie d' autant l' administration de ce modèle. Le modèle RBAC est complété par des contraintes. La séparation des pouvoirs, par exemple, peut être exprimée à l' aide d' une contrainte indiquant qu' un utilisateur n' est pas autorisé à jouer simultanément certains rôles dans une même session, comme ceux d' anesthésiste et de chirurgien lors d' une opération.

Les inconvénients du modèle RBAC sont les suivants. Tout d' abord, le concept de permission est primitif. En effet, dans le modèle RBAC, rien n' est dit sur l' usage ou la structure des permissions, considérant qu' ils sont dépendants de l' application concrète du modèle. Nous pensons à l' inverse qu' il serait préférable d' ajouter au modèle une structure générique de permission. Le concept de hiérarchie de rôles est quelque peu ambigu. Il est en général incorrect de considérer que la hiérarchie de rôles correspond à la hiérarchie organisationnelle. Par exemple, le directeur d' un hôpital a un rôle administratif supérieur au rôle de médecin. Pour autant, un directeur d' hôpital n' est pas nécessairement un médecin. Ainsi, il serait incorrect de considérer que le directeur de l' hôpital hérite des permissions du rôle de médecin, comme celle d' opérer par exemple. Enfin, la distinction entre le concept de rôle et celui de groupe est floue. du contexte. Plus précisément, si une certaine permission est accordée à un rôle, alors tous les utilisateurs qui jouent ce rôle héritent de cette permission. Par conséquent, il n' y a aucun moyen de spécifier qu' un médecin n' a la permission d' accéder

.2 Les sujets et les rôles

  Notre modèle définit donc une nouvelle relation ternaire entre les organisations, les objets et les vues. Ainsi une même vue peut être définie différemment suivant l' organisation considérée. Le but est de caractériser des organisations qui donnent des définitions différentes à une même vue. La vue " dossier médical" peut être définie à l' hôpital Purpan comme un ensemble de documents Word, et comme un ensemble de documents Latex à l' hôpital Rangueil :

	et r est un rôle, alors Habilite(org, s, r) signifie que
	org habilite le sujet s à jouer le rôle r.
			4 Le contrôle d'accès basé sur
				l'organisation
		Figure 3 : La relation Habilite	Dans cette section, nous présentons notre modèle
	Contrairement aux modèles TMAC et RBAC qui ne considèrent que des relations binaires entre les organisations et les sujets ou entre les sujets et les rôles, notre modèle définit une relation ternaire entre les organisations, les sujets et les rôles. Les deux exemples suivants illustrent le fait que les sujets sont soit des utilisateurs, soit des organisations : • Habilite(Purpan, Jean, cardiologue) : " l' hôpital	ORBAC en s' appuyant sur un langage diagramatique basé sur le modèle entité-relation. La section 5 présente le même modèle en utilisant un langage formel basé sur la logique du premier ordre. En conformité avec le modèle entité-relation, des attributs peuvent être associés aux entités et aux relations. Considérant que ces attributs sont généralement spécifiques au domaine d' application, nous n' en faisons pas état ici.
		Purpan habilite Jean dans le rôle cardiologue" et
	• Habilite(Rangueil, ICU31, unité_des_soins_intensifs) :	4.1	Les organisations
		" l' hôpital Rangueil habilite l' unité ICU31 dans	L' entité centrale dans notre modèle est
		le rôle d' unité des soins intensifs" .	l' organisation. Dans le domaine médical, nous
			pouvons considérer les organisations suivantes : " la
			clinique privée du Languedoc" , " le service des
	4.3	Les objets et les vues	urgences de l' hôpital Purpan" , " l' unité des soins
	Dans notre modèle, l' entité Objet représente principalement les entités non actives comme les fichiers, les courriers électroniques, les formulaires imprimés, etc. Dans le domaine médical, nous aurons ainsi à considérer des objets comme les dossiers administratifs, les dossiers médicaux et les dossiers chirurgicaux des patients. Les rôles nous permettent de structurer les sujets et de faciliter la mise à jour de la politique de sécurité quand un	intensifs de l' hôpital Rangueil" , etc. Une organisation peut être vue comme un groupe structuré d' entités actives, c' est-à-dire de sujets jouant certains rôles. Notons qu' un groupe de sujets n' est pas nécessairement considéré comme une organisation. Autrement dit, le fait que chaque sujet joue un rôle dans l' organisation correspond à un certain accord entre les sujets pour former une organisation.
	nouvel utilisateur est ajouté. Dans la mesure où il
	est également nécessaire de structurer les objets et d' ajouter de nouveaux objets au système, nous considérons qu' une entité comparable au rôle pour	4L' entité Sujet est utilisée différemment selon les
	les sujets est nécessaire pour les objets. Nous	modèles de sécurité. Dans notre modèle ORBAC,
	l' appelons : entité Vue. De manière intuitive, une	un sujet peut être soit une entité active, c' est-à-dire
	vue correspond, comme dans les bases de données	un utilisateur, soit une organisation. Par exemple,
	relationnelles, à un ensemble d' objets qui satisfait	" Jean" , " Marie" , " Pierre" , etc., peuvent être des
	une propriété commune. Par exemple dans un	sujets, tout comme les organisations " département
	système de fichier administratif, la vue " dossiers	comptable de la clinique privée du Languedoc" , " le
	administratifs" correspond à l' ensemble des	service des urgences de l' hôpital Purpan" , etc. Dans
	dossiers administratifs des patients, alors que la vue	notre modèle, l' entité Rôle est utilisée pour
	" dossiers médicaux" correspond aux dossiers	structurer le lien entre les sujets et les organisations.
	médicaux des patients. Dans la mesure où les vues	Dans le domaine médical, les rôles " cardiologue" ,
	caractérisent la manière dont les objets sont utilisés	" infirmière" ou " médecin" , sont joués par des
			utilisateurs alors que les rôles " service des
			urgences" ou " unité des soins intensifs" sont joués
			par des organisations. Comme les sujets jouent des
			rôles dans des organisations, nous introduisons une
			relation entre ces entités : la relation Habilite
			(figure 3). Si org est une organisation, s est un sujet

dans l' organisation, nous avons besoin d' une relation qui lie ces trois entités : la relation Utilise (figure 4). Si org est une organisation, o est un objet et v est une vue, alors Utilise(org, o, v) signifie que org utilise l' objet o dans la vue v.

Figure 4 : La relation Utilise • Utilise(Purpan, F31.doc, dossier_médical) : " L' hôpital Purpan utilise F31.doc comme un dossier médical" et • Utilise(Rangueil, F32.tex, dossier_médical) : " L' hôpital Rangueil utilise F32.tex comme un dossier médical" .

  Purpan permet aux médecins de consulter les dossiers médicaux. Pourtant, il est très probable que l' hôpital Purpan ne souhaite pas exprimer exactement cette règle, mais plutôt que dans des circonstances normales, un médecin à la permission de consulter les dossiers médicaux de ses propres patients uniquement. Le modèle ORBAC ne permet pas en l' état d' exprimer une telle règle. Nous proposons, pour résoudre ce problème, d' ajouter une nouvelle entité à notre modèle : l' entité Contexte. Si org est une organisation, r est un rôle, a est une activité, v est une vue et c est un contexte, alors Permission(org

	Activité patient dont le dossier médical est F32.tex : dans un Considère contexte normal comme " médecin traitant" , les
	médecins ont uniquement l' autorisation de
	consulter les dossiers médicaux de leurs patients.
	4.7	Politique de sécurité (définition finale)
	Maintenant que nous avons présenté l' entité
	• Considère(Purpan, " l' hôpital Purpan considère lire comme une lire, consultation) : consultation" et Prenons l' exemple de l' hôpital Purpan qui accorde au rôle " secrétaire médicale" la permission de réaliser l' activité " création" sur la vue " dossier administratif" . Cette règle de sécurité est exprimée comme suit : Permission(Purpan, secrétaire_médicale, création, dossier_administratif). Considérons à présent la règle suivante : Permission(Purpan, médecin, consultation, dossier_médical) ; elle indique que Contexte, nous pouvons à présent donner la définition finale d' une politique de sécurité dans le modèle ORBAC. La relation Permission correspond à une relation entre les organisations, les rôles, les vues, les activités et les contextes. Les relations Interdiction, Obligation et Recommandation sont définies de la même manière l' hôpital 4.6 Les contextes sont utilisés pour spécifier les Les contextes circonstances concrètes dans lesquelles les organisations accordent des permissions de réaliser des activités sur des vues. Dans le domaine médical, une nouvelle entité Contexte permettra " médecin traitant" , etc. Les contextes peuvent être vus comme des relations ternaires entre les sujets, Figure 6 : La relation Définit Les conditions requises pour qu' un contexte donné soit lié, dans une certaine organisation, aux sujets, aux objets et aux actions sera formellement spécifié par des règles logiques. Ceci sera abordé dans la section 5. Pour l' heure, considérons les faits suivants : Définit(Purpan, Jean, lire, F31.doc, urgence) et Définit(Rangueil, Marie, lire, F32.tex, médecin_traitant). Si le premier fait est vrai, alors Jean n' a pas besoin d' être le médecin traitant du patient correspondant au dossier médical F31.doc Définit d' exprimer des circonstances telles que " urgence" , (figure 7).

• Considère(Rangueil, select, consultation) :

" l' hôpital Rangueil considère select comme une consultation" .

4.5 Politique de sécurité (première définition)

En utilisant les entités et les relations introduites dans les sections précédentes, nous pouvons à présent définir des politiques de sécurité appliquées à telle ou telle organisation. Une politique de sécurité réglemente les accès au système à travers des permissions, des interdictions, des obligations et des recommandations. Nous ne traitons que les permissions, en considérant que les mêmes raisonnements s' appliquent aux interdictions, aux obligations et aux recommandations. L' objectif est ici d' ajouter une nouvelle entité Permission afin de relier entre eux les organisations, les rôles, les vues et les activités. Plus précisément, si org est une organisation, r est un rôle, a est une activité et v est une vue, alors Permission(org, r, a, v) signifie que l' organisation org accorde au rôle r la permission de réaliser l' activité a sur la vue v. les objets et les actions définis dans une certaine organisation. Par conséquent, les entités Organisation, Sujet, Objet, Action et Contexte sont liées par une nouvelle relation appelée Définit (figure 6) telle que : si org est une organisation, s est un sujet, α est une action, o est un objet et c est un contexte, alors Définit(org, s, α, o, c) signifie qu' au sein de l' organisation org, le contexte c est vraie entre le sujet s, l' objet o et l' action α. pour consulter son dossier. En effet, il est raisonnable de considérer que dans un contexte d' urgence, les médecins ont un accès immédiat à tous les dossiers médicaux. Si le second fait est vrai, alors Marie doit être le médecin traitant du

  permettre de décrire les actions concrètes que réalisent les sujets sur les objets. Dans le but de modéliser des permissions concrètes, nous introduisons dans notre modèle la relation Est_permis entre les sujets, les objets et les actions : si s est un sujet, α est une action et o est un objet, alors Est_permis(s, α, o) signifie que le sujet s a la permission de réaliser l' action α sur l' objet o. Les relations Est_interdit, Est_obligatoire et Est_recommandé sont définies de la même manière. Notre relation Est_permis est similaire à la notion de permission évoquée dans le modèle HRU (voir section 1). Il y a tout de même une différence de taille : dans le modèle HRU, les triplets d' autorisation <s, α, o> doivent être explicitement décrit ; alors que dans notre modèle, les triplets, qui sont des instances de la relation Est_permis, sont dérivés logiquement des permissions accordées aux rôles, aux vues et aux activités par la relation Permission. Ceci est modélisé par une règle générale présentée dans la section 5. Les instances explicites de la relation Est_permis peuvent être considérées comme des exceptions à la politique de sécurité générale spécifiée par la relation Permission.

	La figure 8 résume notre modèle de sécurité. Il
	contient huit entités (Organisation, Sujet, Rôle,
	Objet, Vue, Action, Activité et Contexte) et douze
	relations (Habilite, Utilise, Considère, Permission,
	Interdiction,	Obligation,	Recommandation,
	Est_permis,	Est_interdit,	Est_obligatoire,
	Est_Recommandé et Définit).

Permission permet à une organisation donnée de spécifier les permissions accordées suivant le contexte. De telles permissions correspondent à une relation entre les rôles, les vues et les activités. Pour autant, le contrôle d' accès bas niveau doit

  et l' objet o si et seulement si s joue un rôle dans ST1 et si o est un dossier correspondant à un patient traité par le sujet s. Ainsi, un rôle qui a la permission de réaliser une activité sur la vue dossier_patient, a également la permission de réaliser la même activité sur les sous vues précédemment citées. Ceci s' exprime dans notre langage par la règle suivante : ∀s (Habilite(Purpan, s, équipe_chirurgicale) → (∃s 1 Habilite(s, s 1 , chirurgien) ∧ ∃s 2 Habilite(s, s 2 , anesthésiste) ∧ ∃s 3 Habilite(s, s 3 , infirmier)) : Cette règle indique que si l' hôpital Purpan habilite s comme équipe chirurgicale, alors s habilite un chirurgien, un anesthésiste et une infirmière. Dans cet article, nous avons présenté un nouveau modèle de politique de sécurité dont le but est d' apporter des réponses aux limites des modèles existants. Ce modèle, appelé ORBAC, est centré sur le concept d' organisation. En effet, tous les autres concepts que nous avons définis et qui permettent de spécifier une politique de sécurité dépendent d' une organisation donnée :

			La première permission indique que l' organisation
			RT2 permet aux médecins de consulter les dossiers
	• ∀s∀o∀α (Définit(ST1, s, α, o, médecin_traitant) ↔ Nom(o) ∈ Patient(s)) : dans ST1, le contexte " médecin traitant" est vrai entre le sujet s, l' action α Le contexte " équipe traitante" est défini de la manière suivante : • ∀s∀o∀α (Définit(ST1, s, α, o, equipe_traitante) ↔ ∃r (Habilite(ST1, s, r) ∧ Nom(o) ∈ Patient(ST1)) : dans ST1, le contexte " équipe traitante" est vrai entre le sujet s, l' action α et l' objet o si et seulement si s joue un rôle dans ST1 et si o est un dossier correspondant à un des patients traité par l' organisation ST1. De même, le contexte " urgence" est définit comme suit : • ∀s∀o∀α (Définit(ST1, s, α, o, urgence) ↔ vrai): dans ST1, le contexte " urgence" est toujours vrai entre les sujets, les actions et les objets. 6.5 La politique de sécurité Nous ne pouvons dans cet article entrer dans le développement complet de la spécification d' une politique de sécurité d' un établissement hospitalier. Nous ne présentons que quelques exemples illustrant comment une telle politique de sécurité peut être exprimée à l' aide de notre modèle. Considérons les trois permissions suivantes : • Permission(RT2, médecin, consulter, dossier_médical, medecin_traitant), • Permission(RT2, médecin, consulter, dossier_médical, équipe_traitante) et (Permission(Purpan, r, a, dossier_patient, c) → Permission(Purpan, r, a, dossier_administratif, c)). Il en est de même pour les vues dossier_médical et dossier _chirurgical. 7 Les contraintes L' utilisation de contraintes a été proposée dans le modèle RBAC [15]. Les contraintes sont exprimées dans notre modèle par des règles s' appliquant à diverses relations. Nous donnons ici quelques exemples : Il est ainsi possible d' exprimer de nombreuses contraintes sur les relations Utilise, Considère, Définit, Permission, Obligation, Interdiction, Prohibition ou Recommandation. dossier_patient. • ∀r∀a∀c médicaux des patients dont ils sont les médecins traitants. Les deuxième et troisième permissions spécifient que l' organisation RT2 permet aux médecins de consulter un dossier médical ou chirurgical si ce dossier correspond à un patient de RT2. Notons que les permissions associées aux rôles médecin peuvent changer d' une organisation à une autre, et les contextes respectifs sont aussi susceptibles d' être différents. Cette possibilité est en particulier intéressante dans notre exemple dans la mesure où les conditions dans lesquelles un médecin à la permission de consulter un dossier peut varier selon s' il exerce dans une équipe chirurgicale ou une équipe radiologique. 6.6 Les hiérarchies Jusqu' à présent nous n' avons pas abordé la notion de hiérarchie de rôles. Cette notion à d' abord été introduite dans le modèle RBAC [15]. L' idée est de mettre en place un mécanisme d' héritage des permissions à travers la hiérarchie de rôle. Dans notre approche, la hiérarchie de rôle n' est pas considérée comme un concept de base. L' héritage des permissions dans ST1 entre un rôle r 1 (par exemple médecin) et un rôle r 2 (par exemple chirurgien) est spécifié par la règle suivante : Nous pouvons ajouter à notre langage une relation Sous-rôle(ST1, r 1 , r 2 ). Les instances d' une telle relation étant simplement définies par la règle que nous venons de définir. Précisons toutefois que dans notre modèle il est possible de spécifier que l' héritage entre deux rôles donnés ne s' applique qu' à certaines organisations. Nous pouvons par exemple spécifier qu' à l' hôpital Purpan, le rôle directeur hérite des permissions du rôle médecin. : Bien sur, nous n' aurions pas cette règle si, au lieu de considérer l' hôpital Purpan, nous considérons un autre établissement au sein duquel le directeur n' est pas un médecin. Il est également possible d' exprimer dans notre modèle l' héritage, entre rôles, d' interdictions, d' obligations et de recommandations. Nous pouvons également une hiérarchie entre les vues et considérer que les permissions sont héritées à travers cette hiérarchie. Le même principe peut être appliqué à une hiérarchie entre les activités. Par exemple, les vues dossier_administratif, dossier_médical et dossier_chirurgical sont des sous vues de la vue 8 Conclusion
	• Permission(RT2,	médecin,	consulter,
	dossier_chirurgical, équipe_traitante).

• ∀a∀v∀c (Permission(ST1, r 1 , a, v, c) → Permission(ST1, r 2 , a, v, c).

• ∀a∀v∀c (Permission(Purpan, médecin, a, v, c) → Permission(Purpan, directeur, a, v, c)). • • ∀s ¬(Habilite(Purpan, s, chirurgien) ∧ Habilite(Purpan, s, anesthésiste)) : Au sein de l' hôpital Purpan, aucun sujet s ne peut être habilité à la fois comme chirurgien et comme anesthésiste. • ∀s∀s' Habilite(Purpan, s, directeur) ∧ Habilite(Purpan, s', directeur) → s = s' : Au sein de l' hôpital Purpan, un seul sujet s peut être employé comme directeur.

  Définit permet de modéliser comment l' organisation définit des contextes dans lesquels des utilisateurs réalisent des actions sur des objets. En s' appuyant sur ces concepts, nous pouvons exprimer une politique de sécurité comme un ensemble de permissions, d' interdictions, d' obligations et de recommandations. Une permission correspond à un fait ayant la forme Permission(org, r, a, v, c) qui signifie que l' organisation org, dans le contexte c, permet au rôle r de réaliser l' activité a sur la vue v. Les faits Interdiction, Obligation et Recommandation sont définis de façon analogue. Nous avons également montré comment dériver des permissions, des interdictions, des obligations et des recommandations concrètes qui s' appliquent à des sujets, des actions et des objets.

• la relation

Remerciements

Le travail présenté dans cet article a été effectué dans le cadre du projet RNRT MP6 (Modèles et Politiques de Sécurité des Systèmes d' Informations et de Communication en Santé et en Social).