JPH01233543A - 端末と信頼のおける計算ベースのシェル部分との間に信頼のおける経路を形成する方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 Ａ、産業上の利用分野 本発明は、一般的にデータ処理に関し、より具体的には
、データ処理システムの部分相互間に信頼性のある経路
を確立することに関する。

Ｂ、従来技術 システムに接続されたユーザ端末でユーザが情報をタイ
プすることによりデータ処理システムに情報を入力する
、財務アプリケーシヨン、国家安全保障アプリケーシヨ
ンなど、多くのデータ処理アプリケージｅンは、機密性
の高い情報を含んでいる。従来技術は、無許可の人やプ
ログラムがユーザ端末からデータを読み出すのを防止す
る効果的な機構を提供していない。従来技術のデータ処
理システムでは、ユーザが通信しようと思っているプロ
グラムを偽装して、ユーザが自分の端末から入力する機
密情報を流用し複製しあるいは他の方法でその安全保護
を破ることのできる、トロイの木馬と呼ばれる無許可プ
ログラムにより、ユーザの端末とオペレーティング・シ
ステムのソフトウェアの間の通信経路が偽造されたり、
侵入されたりする恐れがある。

国家安全保障アプリケーシヨンに関して、米国政府が、
データ処理システムの安全性を評価するための標準を策
定した。その標準は、「信頼性のあるコンピュータ・シ
ステム評価基準（ＴｒｕｓｔｅｄＣｏｍｐｕｔｅｒ　Ｓ
ｙｓｔｅｍ　Ｅｖａｌｕａｔｉｏｎ　Ｃｒ１ｔｅｒｉａ
）　Ｊ　Ｎ米国防総省、１９８５年１２月、ＤｏＤ刊行
物５２００．２８−８ＴＤ　（本明細書ではＤｏＤ標準
と呼ぶことにする）に発表されている。ＤｏＤ標準では
、信頼性のあるコンピュータ・システムを一連の取扱い
に注意を要する機密扱いの情報を同時に処理するのに使
用できるのに充分なハードウェア及びソフトウェアの保
全性対策を用いたシステムであると定義している。信頼
性のある計算ベース（ＴＣＢ）は、全体として安全保護
政策を実施する役割を担うハードウェア、ファームウェ
ア、ソフトウェアを含めたコンピュータ・システム内部
の保護機構の総体であると定義される。ＴＣＢは、全体
として製品やシステムに対する統一的な安全保護政策を
実施する二つまたは複数の構成要素から構成される。Ｔ
ＣＢが安全保護政策を正し〈実施できるかどうかは、も
っばら、ＴＣＢ内部の機構と、システム管理担当者によ
るユーザの人物証明など安全保護対策に関連するパラメ
ータの正確な入力とによって決まる。信頼性のある経路
は、ＤｏＤ標準により、端末にいる人物が信頼性のある
計算ベースと直接通信できるようにする機構であると定
義される。信頼性のある経路の機構は、その人または信
頼性のある計算ベースによってのみ活動化でき、信頼で
きないソフトウェアが模倣することはできない。信頼性
のあるソフトウェアは、信頼性のある計算ベースのソフ
トウェア部分であると定義される。

複数ユーザに対応するオペレーティング・システムでは
、ユーザ端末と信頼性のある計算ベースの間に信頼性の
ある経路を維持する問題は一層大きくなる。信頼性のあ
る経路を確立するためのを効な機構を提供していない従
来技術のマルチ・ユーザ・オペレーティング・システム
の例には、ＵＮＩＸ（ＵＮＩＸは、ＡＴ＆Ｔベル研究所
の商標）、ＸＥＮＩＸ　（ＸＥＮＩＸは、マイクロソフ
ト社の商標）、ＡＩＸ（ＡＩＸは、ＩＢＭ社の商標）な
どがある。ＵＮＩＸは、広範囲のミニコンピユータ及び
マイクロコンピュータ用のオペレーティング・システム
としてＡＴ＆Ｔにより開発されライセンス供与されてい
る。ＵＮＩＸオペレーティング・システムに関するより
詳しい情報については、ｒＵＮＩＸ　（ＴＭ）システム
、ユーザ・マニュアｊし、システムＶ（ＵＮ　Ｉ　Ｘ　
（ＴＭ）　Ｓｙｓｔｅｍ、Ｕｓｅｒｓ　Ｍａｎｕａｌｓ
　Ｓｙｓｔｅｍ　Ｖ）　Ｊウェスタン０エレクトリック
社（Ｗｅｓｔｅｒｎ　Ｅｌｅｃｔｒｉｃ　Ｃｏｍｐａｎ
ｙ）　５１９８３年１月刊を参照されたい。ＵＮＩＸオ
ペレーティング・システムの良い概説が、ブライアン。

Ｗ、カーニハン（Ｂｒｉａｎ　Ｖ、Ｋｅｒｎｉｇｈａｎ
　）及びロブ・バイラ（Ｒｏｂ　Ｐｉｋｅ）著ｒＵＮＩ
Ｘプログラミング環境（ＬＩＮＩＸ　Ｐｒｏｇｒａｍｍ
ｉｎｇ　Ｅｎｖｉｒｏｎｍｅｎｔ）　Ｊ　１プレンテイ
ス・ホール（Ｐｒｅｎｔｉｃｅ−Ｈａｌｌ　）社、１８
８４年刊に出ている。ＵＮＩＸオペレーティング・シス
テムの設計のより詳しい説明は、モーリス・Ｊ、バｙ　
ハ（Ｍａｕｒｉｃｅ　Ｊ、Ｂａｃｈ）著ｒＵＮＩＸオペ
レーティング・システムの設計（Ｄｅｓｉｇｎ　ｏｆ　
ｔｈｅＵＮＩＸ　Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｇｔ
）　Ｊ　、プレンティス・ホール（Ｐｒｅｎｔ　１ｃｅ
−Ｈａ　ｌ　１　）社、１８８８年刊に出ている。

ＡＴ＆Ｔベル研究所は、ＵＮＩＸオペレーティング・シ
ステムを使用するライセンスを多数の関係者に供与して
来たが、現在利用できるパージ習ンがいくつかある。Ａ
Ｔ＆Ｔからの最も新しいバージロンは、バージョン５．
２である。ＵＮＩＸオペレーティング・システムのバー
クレイ・バージロンと呼ばれるもう一つのバージ１ンが
、カリフォルニア大学バーク１４校で開発された。マイ
クロソフト社は、ＸＥＮＩＸの商標で知られるバージロ
ンを有する。

ＩＢＭ社は、ＩＢＭ　　ＲＴ　　ＰＣ（ＲＴ及びＲＴ　
　ＰＣは、ＩＢＭ社の商標）、（ＲＩＳＣ（縮少命令セ
ット・コンピュータ）技術パーソナル・コンピュータ）
を１９８５年に発表して、ＡＩＸと呼ばれる新式のオペ
レーティング・システムをリリースした。これは、アプ
リケーション・インターフェース・レベルで、ＡＴ＆Ｔ
のＵＮＩＸオペレーティング・システム、バージ１ン５
．２と互換性があり、ＵＮＩＸオペレーティング・シス
テム、バージロン５．２に対する拡張を含んでいる。Ａ
ＩＸオペレーティング・システムのより詳しい説明につ
いては、ｒＡＩＸオペレーティング・システム技術参考
資料（ＡＩＸ　Ｏｐｅｒａｔｉｎｇ　ＳｙｓｔｅｍＴｅ
ｃｈｎｉｃａｌ　Ｒｅｆｅｒｅｎｃｅ）　Ｊ　ｓ第２版
、ＩＢＭ社１１９８６年９月刊を参照されたい。

Ｃ０発明が解決しようとする問題点 本明細書に開示し、特許請求の範囲に記載する発明は、
とくに、ＵＮＩＸｌＸＥＮＩＸ、ＡＩＸなどのマルチ・
ユーザ・オペレーティング・システム中に、無許可のプ
ログラムがユーザ端末からデータを読み取るのを防止す
るような信頼性のある経路を確立するための機構を提供
することに関するものである。従来技術のマルチ・ユー
ザ・オペレーティング・システムはどれも、無許可のプ
ログラムがユーザ端末からデータを読み取るのを防止す
る点で盲動な信頼性のある経路を確立するための機構を
提供していない。

したがって、本発明の目的は、データ処理システム中に
信頼性のある経路を確立するための機構を提供すること
にある。

本発明のもう一つの目的は、マルチ・ユーザ・オペレー
ティング・システム用の信頼性のある経路を確立するた
めの機構を提供することにある。

本発明のなおもう一つの目的は、ＵＮＩＸ（ＴＭ）型オ
ペレーティング・システム用の信頼性のある経路機構を
提供することにある。

Ｄ０問題点を解決するための手段 本明細書で開示する、オペレーティング・システム用の
信頼性のある経路機構により、本発明の上記及びその他
の目的、特徴、利点が達成される。

本発明の信頼性のある経路機構は、端末キーボードでユ
ーザがタイプ入力したデータが無許可プログラムによる
侵入から保護されることを保証する。

この機構を用いて、ユーザは、ユーザの端末と信頼性の
あるオペレーティング・システム・ソフトウェアの間に
、偽造不可能で侵入不能な通信経路を作成することがで
きる。ユーザは、端末キーボードで、機密保護アテンシ
ョン・キー（ＳＡＫ）と呼ばれるキーを押すだけで、信
頼性のある経路を作成することができる。ユーザが、ユ
ーザのパスワードを盗もうとしてログイン・プログラム
を偽装したトロイの木馬プログラムとではなく、真のロ
グイン・プログラムと確実に通信するため、ユーザがシ
ステムにログインするときにこの操作を呼び出すことが
できる。ユーザは、信頼性のある経路を確立した後、パ
スワードなど自分の重要なデータを入力することができ
、侵入者のプログラムによって自分の六スワードが確か
に盗まれないようにすることができる。次いで、ユーザ
は、ログアウトした後、信頼性のある経路によって実際
に自分がシステムからログアウトされ、ユーザが開始し
たセッシジンを確かにトロイの木馬プログラムが続行で
きないようにすることができる。

本発明は、少なくとも１つの端末が機密保護アテンショ
ン・キーを有するキーボードを含む、複数の端末が接続
されたメモリを内蔵しているデータ処理システムに含ま
れる。本発明は、ＵＮＩＸ型のオペレーティング・シス
テムにおいて、機密保護アテンション・キーに応答して
、端末と信頼性のある計算ベース中の信頼性のあるシェ
ル部分（オペレーティング・システムのもとでｉｎｉｔ
プロセスの子プロセスになっている）との間に、信頼性
のある経路を作成する方法である。この方法は、キーボ
ードに接続されたキーボード・デバイス・ドライバにお
いて機密保護アテンシヨン・キーを検出して、キーボー
ド・デバイス・ドライバから機密保護アテンシヨン・キ
ー・シグナル６ジエネレータに、機密保護アテンション
・キーが検出されたという情報を出力することを含んで
いる。

さらに、機密保護アテンション・キー・ジェネレータか
ら、端末プロセス・グループで動作中の全プロセスに、
端末プロセス・グループ中の全プロセスを終了させるＳ
　Ｉ　ＧＳＡＫシグナルを出力することも含んでいる。

この方法は、さらに、端末とインターフェースするすべ
てのデバイス・ドライバに関連するアクセス許可テーブ
ルに５ＩＧＳＡＫシグナルを印加して、データ処理シス
テムにおけるｉｎｉｔプロセス以外の全プロセスに対し
てアクセス許可を拒否することも含んでいる。この方法
は、さらに、ファイル・アクセス・テーブルに５ＩＧＳ
ＡＫシグナルを印加して、端末とインターフェースする
デバイス・ドライバをデータ処理システムにおける１ｎ
ｆｔプロセス以外の全プロセスと関係付ける、すべての
アドレス指定情報を除去することも含んでいる。この方
法は、さらに、新しい子プロセスを起動するためにＮ　
ｉｎｉｔ、プロセスによるｆｏｒｋシステム・コールを
実行することを含んでいる。この方法は、端末とインタ
ーフェースするデバイス・ドライバに対するアクセス許
可を存し、端末とインターフェースするデバイス・ドラ
イバに対して、ファイル・アクセス・テーブルで定義さ
れたアドレス指定関係を有する信頼性のあるシェル・プ
ロセスを、新しい子プロセスにオ＋　、（−レイするた
めにｅｘｅｃシステム・コールを実行することも含んで
いる。それによって、端末と信頼性のあるシェル・プロ
セスとの間に信頼性のある経路が確立される。

このようにして、ユーザの重要データを受は入れて処理
するための信頼性のある経路が確立され、その後、信頼
性のある経路を終了させ、次いで、ユーザはトロイの木
馬プログラムに自分のシステムの機密保護の裏をかかれ
る心配なしに先に進むことができる。

Ｅ、実施例 本発明の信頼性のある経路機構発明について全般的に説
明するため、第２図に、ＵＮＩＸ類似のマルチ・ユーザ
・オペレーティング・システムで動作するデータ処理装
置の概略図を示す。第２図の配置は、ＵＮＩＸ類似のオ
ペレーティング・システムで、同じデータ処理装置を共
有する複数のユーザが出会う典型的な状況を示す。第２
図は、ランダム・アクセス・メモリ２に接続されたマイ
クロプロセッサ１を含む、゛データ処理装置を示す。

ランダム・アクセス・メモリ２には、オペレーティング
・システム・ファイル及びメモリ中に選択的に読み込ま
れるユーザ・ファイルを維持するディスク記憶装置３も
接続されている。ＵＮＩＸ型オペレーティング・システ
ムの主要なファイルはメモリにロードされ、初期化動作
を行なって、システムを編成し、マルチ・ユーザ動作を
続行するのに必要なファイルをオープンするカーネル４
である。メモリには、端末Ａ及び端末Ｂを含む複数の端
末も接続されている。メモリを初期化するに当って、カ
ーネルは、端末Ａの表示装置Ｄ　（Ａ）とのインターフ
ェースを与える第１の表示デバイス・ドライバＤＤ　（
Ａ）、及び表示デバイス・ドライバＤＤ　（Ａ）に送ら
れる文字を緩衝記憶する対応する文字バッフｙＤＢ（Ａ
）を用意する。同様に、カーネルは、端末Ａのキーボー
ドＫ　（Ａ）に接続された（伝送制御手順ドライバとも
呼ばれる）キーボード・デバイス・ドライバＫＤ　（Ａ
）を確立する。端末Ａのキーボードから受は取った文字
を緩衝記憶するため、キーボード・デバイス・ドライバ
ＫＤ　（Ａ）に文字バッファＫＢ　（Ａ）が接続されて
いる。同様に、カーネルは、端末Ｂの表示装置Ｄ　（Ｂ
）及びキーボードＫ　（Ｂ）用のサポート構造、すなわ
ち、表示デバイス・ドライバＤＤ（Ｂ）、文字バッフｙ
ＤＢ　（Ｂ）　、キーボード・デバイス・ドライバＫＤ
（Ｂ）、文字バッフＩＫＢ　（Ｂ）を確立する。

ＵＮＩＸ類似環境で動作するオペレーティング・システ
ム・プログラム及びアプリケージ「ン・プログラムはプ
ロセスと呼ばれ、プログラム・テキスト部、データ部、
スタック及びユーザ・ブロックの３つの基本部分から構
成される。プロセスが端末などの入出力装置とインター
フェースするには、その端末にサービスする文字バッフ
ァと呼ばれるファイルが、呼出しプロセスのためにオー
プンされなければならない。すなわち、第２図のプロセ
スＡ１など、端末Ａとインターフェースしようとするプ
ロセスは、表示デバイス・ドライバＤＤ　（Ａ）用の文
字バッファＤＢ（Ａ）とインターフェースする第１のフ
ァイル、及びキーボード曝デバイス・ドライバＫＤ　（
Ａ）用の文字バッファＫＢ　（Ａ）とインターフェース
する第２のファイルの少なくとも２個のファイルをオー
プンしなければならない。プロセスとそのインターフェ
ースすべき対応する文字バッファの間の実際の通信は、
第２図に示すような、特定のプロセスを対応する文字バ
ッファと関連付けるファイル・アクセス・テーブル５を
介して実行される。

第２図に示すように、端末Ａは、関連する２個のプロセ
ス、プロセスＡ１及びプロセスＡ２を有し、これらを端
末Ａプロセス・グループと総称する。同様に、端末Ｂも
、２個のプロセス、プロセスＢ１及びプロセスＢ２を育
し、それらを端末Ｂプロセス・グループと総称する。第
２図に示したファイル・アクセス書テーブルを見ると分
かるように、プロセスＡ１は、端末Ａ用の表示装置文字
バッファ及びキーボード装置文字バッフ１に対する入出
カフアイルをオープンし、同様に、プロセスＢ１は、端
末Ｂ用の表示装置文字バッフ１及びキーボード装置文・
字バッフ１に対する入出カフアイルをオープンしている
。マルチ・ユーザーオペレーティング・システムでは、
もう一つの端末との通信を可能とするためにプロセスを
第１の端末プロセス・グループ・オープン・ファイルと
関連させることが稀ではない。端末Ａの表示装置文字バ
ッファＤＢ　（Ａ）及びキーボード装置文字バッフｙＫ
Ｂ（Ａ）に対するファイルをブロセ曵Ｂ１がオープンし
ている、第２図のファイル−アクセス・テーブルを参照
するとそれがわかる。このファイル・オープンにより、
端末Ｂのユーザが端末Ａのユーザと通信することが可能
になる。

プロセスによる装置ドライバ（デバイス・ドライバ）へ
のアクセスを制御するため、アクセス許可テーブルで許
可されているプロセスだけが、特定の装置ドライバ及び
その文字バッファと通信することが許される。第２図を
見るとわかるように、表示装置ドライバＤＤ（Ａ）は、
２個のプロセス、すなわちＡ１とＢ１を許可されたプロ
セスであると指定する、アクセス許可テーブルＡＴ　（
Ａ）を有する。同様に、キーボード装置ドライノ（ＫＤ
（Ａ）は、プロセスＡ１及びＢ１がこのドライバ及びそ
の文字バッファＫＢ　（Ａ）にアクセスするのを許可す
る、アクセス許可テーブルＡＴ（Ａ”）を存する。同様
に、装置ドライバＤＤ　（Ｂ）は、プロセスＢ１に対す
る許可だけを有するアクセス許可テーブルＡＴ　（Ｂ）
を有する。同様に、キーボード装置ドライバＫＤ　（Ｂ
）は、プロセスＢ１に対する許可だけを含むアクセス許
可テーブルＡＴ　（Ｂ）を有する。アクセス許可テーブ
ルの内容を修正できるのは、経路を確定するためのｉｎ
ｉｔプロセス６など特権プロセスだけである。ただし、
非機密保護モードでは、ユーザがアクセス許可テーブル
にアクセスして修正することも可能である。

第２図に示したプロセス・テーブル７は、メモリ中に格
納されメモリ中に存在する各当該プロセスの状態の最新
の記録を、ユーザＩＤ１及びそのプロセスの実行を許可
されたユーザに対する端末指定と共に維持する。第２図
を見るとわかるように、４つのプロセスＡｌ、Ａ２、Ｂ
ｌ、Ｂ２はすべて、走行可能状態にある。すなわち、オ
ペレーティング・システムによるタイム・スライス・マ
ルチ・プログラミング動作で、各プロセスはすぐにも走
行できる状態にあり、オペレーティング・システムによ
ってサービスを受けるように選択されたと゛き、走行状
態すなわち活動状態になる。

第２図に示したＵＮＩＸ類似オペレーティング・システ
ムに伴う機密保護上の問題点は、端末Ｂにいるユーザが
、端末Ａ用の文字バッファＤＢ　（Ａ）及びＫＢ　（Ａ
）をモニタできるファイルを自分の端末Ｂプロセス・グ
ループの１プロセスで容易にオープンさせることができ
るので、端末Ａにいるユーザが、自分のキーボードＫ　
（Ａ）での自分の機密保護データ入力を、確かに端末Ｂ
にいるユーザによってその表示装置Ｄ　（Ｂ）で盗み間
きされないようにすることができないことである。確か
に、前述のように、また第２図のファイル・アクセス・
テーブルに示すように、事実、こうしたことが起ってい
る。

端末Ａにいるユーザにとってのもう一つの機密保護上の
問題点は、端末Ａプロセス・グループのユーザ自身のプ
ロセスの１つにトロイの木馬プログラムが取り付いてい
る可能性があることである。

このようなトロイの木馬プログラムは、−見したところ
宵月な機能を有するように思われるが、端末Ａプロセス
・グループ中の呼出し側プロセスまたはホスト・プロセ
スの合法的許可を不正に利用して端末Ａの機密保護を損
なう、隠れた機能を含んでいるはずである。たとえば、
このようなトロイの木馬プログラムが取扱いに注意を要
するファイルの「ブラインド・コピー」をとって、トロ
イの木馬プログラムを作成した無許可ユーザが端末Ａの
機密保護を侵害する可能性がある。

ＵＮＩＸ類似マルチ・ユーザ・オペレーティング・シス
テムにおけるこれらの機密保護上の問題点は、第１図に
その特徴及び機能を示した信頼性のある経路機構によっ
て解決される。第１図は、本発明による信頼性のある経
路を呼び出すための機密保護アテンシジン・キー機能を
さらに含んでいる、第２図のデータ処理装置の概略図で
ある。

第１図を見るとわかるように、端末ＡのキーボードＫ　
（Ａ）は、本発明による機密保護アテンション・キー（
ＳＡＫ）を有する。キーボード装置ドライバＫＤ　（Ａ
）は、機密−［１アテンシ日ン・キーによって表わされ
る一義的な文字の組合せを検出し、機密保護アテンショ
ン・キーを押したとき、機密保護アテンシジン・キー・
シグナル・ジェネレータ８にシグナルを出力するように
修正しである。キーボード装置ドライバＫＤ　（Ａ）か
ら受は取った信号に応答して、機密保護アテンション・
キー・シグナル・ジェネレータによって機密保護アテン
シロン・キー・シグナル（ＳＩＧＳＡＫ）が発生する。

機密保護アテンシせン・キー・シグナル・ジェネレータ
は、ＵＮＩＸ類似オペレーティング・システム用の修正
されたカーネルの一部である。

本発明によれば、メモリに記憶された各プロセスと関連
するユーザ・ブロックが、ＵＮＩＸ類似シグナルに対す
るシグナル応答のリストを含んでいる。これらのシグナ
ル応答の中には、機密保護アテンシＶン・キー・シグナ
ル（ＳＩＧＳＡＫ）用に設けられた特別の応答が含まれ
ている。機密保護アテンシロン・キー・シグナル・ジェ
ネレータが特定のプロセス・グループまたは端末プロセ
ス・グループにＳ　ＩＧＳＡＫシグナルを送ると、その
プロセスに関するユーザ・ブロック中に記憶されている
応答は、そのプロセスを終了させることを要求する。機
密保護アテンシＨン・キー・シグナル・ジェネレータは
、キーボ゛−ド装置ドライバＫＤ（Ａ）から、キーボー
ドＫ　（Ａ）で機密保護アテンシ鱈ン・キーが押された
との指示を受は取ると、それに応答して、特定の端末プ
ロセス・グループ中の全プロセス、たとえば第１図で端
末Ａプロセス・グループのプロセスＡ１とプロセスＡ２
に５ＩＧＳＡＫシグナルを送ることができる。端末Ａで
機密保護アテンシ■ン・キーが押されたとき、この状況
に応答してステップ１が実行され、端末Ａのプロセス・
グループの全プロセスが終了され、ステップ１１によっ
て、プロセス・テーブル７で端末Ａの全プロセスが終了
したことを示す対応する状態入力が行なわれる。

さらに、本発明によれば、機密保護アテンシロン・キー
・シグナル・ジェネレータが５ＩＧＳＡＫシグナルを出
力すると、ステップ２で、それがアクセス許可テーブル
Ａ　Ｔ　−（Ａ　）及びＡＴ（Ａ”）に送られて、プロ
セスＡ１及びプロセスＡ２の許可を取り消し、その代り
に、装置ドライバＤＤ（Ａ）及びＫＤ　（Ａ）　、なら
びにそれらの対応するバッファＤＢ（Ａ）及びＫＢ（Ａ
）に対するアクセスを許可された唯°−のプロセスがｉ
ｎｉｔプロセス６であることを挿入する。

さらに、本発明によれば、機密保護アテンシロン・キー
・シグナル・ジェネレータがＳ　Ｉ　ＧＳＡＫシグナル
を出力すると、それもステップ３によってファイル・ア
クセス・テーブル５に送られ、端末Ａの文字バッフｙＤ
Ｂ（Ａ）及びＫＢ　（Ａ）とインターフェースする全フ
ァイルに対するファイル・アクセス・テーブルの記入項
目を変更する働きをする。すなわち、以前にプロセスＢ
１と端末Ａの間のインターフェースを使用可能にしてい
た端末Ｂに対する項目が取り消されて、端末Ｂプロセス
・グループ中のどのプロセスも文字バッフＩＤＢ（Ａ）
及びＫＢ　（Ａ）を介して端末Ａと通信できないように
なる。ｖｈａｎｇｕｐ　と呼ばれるコマンドが、この動
作を実行する。

カーネル、及びシステム内の他の全プロセスの親プロセ
スに当たるｉｎｉｔプロセス１が、信頼性のあるプロセ
スとして維持される。すなわち、本発明によれば、ファ
イル・アクセス・テーブルの項目が修正されて、ｉｎｉ
ｔ　プロセスがファイル・アクセス・テーブルを介して
端末Ａの文字バッフＩＤＢ（Ａ）及びＫＢ　（Ａ）とイ
ンターフェースできる唯一のプロセスになる。すなわち
、第１図に示した段階では、データ処理装置のメモリ中
のｉｎｉｔプロセスθ以外の他のプロセスは、端末Ａと
インターフェースできない。

第８図は、信頼性のあるシェルへの信頼性のある経路の
確立を示す、第１図のデータ処理装置の概略図である。

本発明によれば、カーネルは、信頼性のあるシェル・プ
ロセスＴＳＨを含んでいる。

これは、ディスク記憶装置から読み込む場合、カーネル
の一部としてもよく、またカーネルのコマンドによって
読み込まれるディスク記憶装置上の単独の信頼性のある
ファイルでもよい。ＵＮＩＸ類似オペレーティング・シ
ステムでは、ｆｏｒｋシステム・コールが、あるプロセ
スの相等しいコピー２部を新たに作成する。コピー１部
は親プロセス、もう一部は子プロセスと呼ばれる。オー
プン・ファイルを含めて、親プロセスのイメージの全部
が子に受は継がれる。ｆｏｒｋプロセスは、それ自身の
データ及びスタックまたはユーザ・ブロック部分を有す
る。親プロセスと子プロセスが共存する資源は、親フロ
セスがｆｏｒｋ　システム・コールを行なったときにオ
ープンされていたファイルだけである。本発明によれば
、第３図のステップ４で、ｉｎｉｔプロセス６はｆｏｒ
ｋ　システム・コールを実行して、ｉｎｉｔプロセスの
ほぼ等しいコピーである子プロセスを生成する。信頼性
のあるシェル・プロセス（ＴＳＨ）のイメージを自分自
身にオーバーレイするのは、この子プロセスである。オ
ーバーレイ動作は、もう一つのＵＮＩＸ類似システム・
コールであるｅｘｅｃシステム・コールによって行なわ
れる。ｅｘｅｃシステム・コールは、現在走行している
プロセスを新しいプログラムでオーバーレイして、その
入口点でプログラムの実行を開始スル。プロセスＩＤは
、ｅｘｅｃ　システム・コールニよって変更されない。

このシステム・コールは、成功した場合にはリターンせ
ず、呼出し側プログラムのイメージは失われる。すなわ
ち、本発明によれば、子ｉｎｉｔプロセスが、呼出され
るプログラムとして、（カーネルによって（またはカー
ネルを用いて）ディスク記憶装置から読み込まれる）信
頼性のあるシェル・プロセス（ＴＳＨ）９を用いて、ｅ
ＸｅＣシステム・コールを行なう。信頼性のあるシェル
（ＴＳＨ）９はｉｎｉｔ　８の子プロセスなので、信頼
性のあるシェルＴＳＨはアクセス許可テーブルＡＴ　（
Ａ）及びＡＴ　（Ａ　’　）で、デバイス・ドライバＤ
Ｄ（Ａ）及びＫＤ　（Ａ）に対するアクセスを許可され
る。端末Ａのプロセス・グループに関連する他の全プロ
セスが終了して、メモリから除去されており、かつファ
イル・アクセス・テーブル５が修正されて、信頼性のあ
るシェル・プロセス（ＴＳＨ）９以外の他のプロセスが
端末Ａの文字バッファとインターフェースできないよう
になっているので、端末Ａから信頼性のあるシェル・プ
ロセス（ＴＳＨ）９への信頼性のある経路がこれで確立
された。

信頼性のあるシェル・プロセス（ＴＳＨ）は、完全に安
全な方法で端末Ａから呼び出すことができる、様々なコ
マンド、機能、補助プログラムを、その内部に含むこと
ができる。その−例は、端末Ａにいるユーザが自分のＩ
Ｄをログインし、無許可のユーザに盗聴される心配なし
に自分のパスワードを入力することができるという、機
密保護ログイン機能である。

すなわち、このようにして、本発明の信頼性のある経路
機構は、進行中のデータ処理動作が、同じデータ処理装
置に接続された他の端末から悪影響を受けることなく、
ユーザ端末とデータ処理装置内部の信頼性のあるプロセ
スとの間で安全な通信を可能にする。

本明細書に開示した本発明の特定の実施例は、ＡＩＸオ
ペレーティング・システムに適用されるものである。し
たがって、本明細書に開示し特許請求の範囲に記載した
本発明を理解する助けとなるように、ＡＩＸオペレーテ
ィング・システムの動作原理に関する若干の基礎知識を
示す。ＡＩＸオペレーティング・システムに関するより
詳しい情報は、上記に引用したＩＢＭの刊行物ｒＡＩＸ
オペレーティング・システム技術参考資料」を参照され
たい。

ＡＩＸ、オペレーティング・システムに関する基ＡＩＸ
オペレーティング・システム及びその他のＵＮＩＸ類似
オペレーティング・システムでは、一連の専門用語を使
用しているので、それらの用語の一部について下記の定
義を示す。

プロセス：コマンドを入力し、シェル・プログラムを走
行させ、あるいは他のプロセスによって起動されること
によって開始する、システム内部の活動など、所望の結
果をもたらす一連の活動。

パスワード：ユーザＩＤと一緒に入力したとき、オペレ
ータがシステムにサイン・オンできるようにする文字ス
トリング。

オペレーティング・システム：プログラムの走行を制御
するソフトウェア。さらに、オペレーティング・システ
ムは、資源割振り、スケジューリング、入出力制御、デ
ータ管理などのサービスも提供できる。

カーネル：ＵＮＩＸ型オペレーティング・システムで、
カーネルはシステム・コール番インターフェースを実現
する。

ｉｎｉｔ：カーネルは、初期化の基本プロセスを完了す
ると、ｔｎｉｔプロセスと呼ばれるシステム中の他の全
プロセスの先祖であるプロセスを起動させる。ｉｎｉｔ
プロセスは、システムが走行している状態、通常は、保
守モードまたはマルチ・ユーザ・モードを制御するプロ
グラムである。

ｇｅｔｔｙ　：　ｉｎｉｔプロセスは、システムに対す
る各ポートごとに、ｇｅｔｔｙ　コマンドを実行する。

その主要機能は、指定したポートの特性を設定すること
である。

ｌｏｇｉｎ　：　ｌｏｇｉｎプログラムは、ユーザをシ
ステムにログオンし、ユーザのパスワードの妥当性を検
査し、適当なログ項目を作成し、処理環境をセットアツ
プし、パスワード・ファイル中で指定されるコマンド・
インタープリタ、通常はシェル（ＳＨ）プログラムを走
行させる。

シェル（ＳＨ）ニジエル・コマンドは、システム・コマ
ンド・インタープリタ、かつプログラミング言語である
。これは、キーボードで入力されたコマンドを読み取っ
て、その実行の手配をする通常のユーザ・プログラムで
ある。

ｆｏｒｋ　：　ｆｏｒｋ　システム・コールは、呼出シ
側フロセス（親プロセス）の正確なコピーである、子プ
ロセスと呼ばれる新しいプロセスを作成する。作成すれ
た子プロセスは、親プロセスの属性の大部分を受は継ぐ
。

ｅｘｅｃ　：　ｅｘｅｃシステム・コールは、呼出し側
プロセス中で、新しいプログラムを実行する。ｅｘｅｃ
は新しいプログラムを作成するのではなく、現在のプロ
グラムに新プロセス・イメージと呼ばれる新しいプログ
ラムをオーバーレイする。新プロセス・イメージ・ファ
イルは、実行可能な２進フアイル、シェル手順を含む実
行可能なテキスト・ファイル、または実行可能２進フア
イルとシェル手順のどちらを走行させるかを指定するフ
ァイルでよい。

シグナル：シグナルは１．活動プロセスへの通信を行な
い、現プロセス環境が保管され新しいプロセス環境が生
成されるという１組の事象を起こさせる。シグナルは、
プロセスの正常な実行に割り込む事象であり、シグナル
が発生したときに呼び出すことのできるシグナル処理サ
ブルーチンを指定できる。

ＲＴ　　ＰＣシステム・ソフトウェアは、仮想資源マネ
ージャ（ＶＲＭ）　、仮想計算機インターフェース（Ｖ
ＭＩ）、ＡＩＸオペレーティング・システムの各層で構
成されている。仮想資源マネージャは、プロセッサのハ
ードウェア機能とメモリ管理を拡張して、仮想計算機環
境でオペレーティング・システム用のハードウェア装置
に高水準のサポートを行なう。仮想計算機インターフェ
ースは、オペレーティング・システムと仮想資源マネー
ジャの間のプロトコル境界である。仮想資源マネージャ
によって定義される仮想計算機は、高水準ではあるもの
が実計算機型のインターフェースを有する。

仮想資源マネージャは、本質的に実計算機と同じ特性を
有する仮想計算機環境をもたらす。仮想計算機は、問題
（非特権）状態で走行し、実計算機の監視（特権）特性
を直接には反映しない。これらの機能は、仮想資源マネ
ージャによって処理される。

仮想計算機は、ユーザ（非特権）状態とオペレーティン
グ・システム（特権）状態の、２種の記憶保護状態を宵
する。オペレーティング・システム状態とＡＩＸカーネ
ル状態は、同意語である。仮想計算機が（ユーザ状態ま
たはオペレーティング・システム状態で）命令を実行し
ているとき、処理装置は実際には問題状態にある。仮想
資源マネージャだけが（ＡＩＸオペレーティング・シス
テムによって仮想資源マネージャ中に導入されたコード
も含めて）、実監視杖愈で実行できる。

ユーザ状態のとき、仮想計算機は、任意の問題状態命令
を出すことができる。仮想計算機が使用できる命令の一
つは、ＳＶＣ（スーパーバイザ呼出し）命令である。Ｓ
ｖＣ命令は、どのスーパーバイザ機能を望むのかを示す
１　Ｂ　＋：　−／　）のフィールドを含む。このフィ
ールドの最高位ビットは、その呼出しが仮想資源マネー
ジャに対して行なわれた（ビットを設定する）のか、そ
れとも仮想計算機スーパーバイザであるＡＩＸオペレー
ティング・システムに対して行なわれた（ビットをクリ
アする）のかを決定する。仮想資源マネージャは、仮想
計算機ユーザ状態で仮想資源マネージャに対して行なわ
れる呼出しを受は入れない。仮想計算機中で走行してい
るアプリケーションから仮想計算機スーパーバイザにＳ
ｖＣ型システム・コールを出すことにより、仮想計算機
ユーザ状態からオペレーティング・システム状態への移
行が行なわれる。

仮想計算機は、ユーザ状態プロセスからＳＶＣが送られ
るか、あるいは仮想資源マネージャから仮想割込みが送
られると、オペレーティング・システム状態に入る。オ
ペレーティング・システム状態のとき、仮想計算機はユ
ーザ状態で使用可能なすべての命令を使用できる。さら
に、オペレーティング・システム状態の仮想計算機は、
仮想資源マネージャにＳＶＣを出すことができる。

各仮想計算機は記憶位置０から始まる別々の仮想記憶空
間を有するので、これらの記憶位置は、すべての仮想計
算機で有効である。仮想計算機と仮想資源マネージャの
間の通信用に、０ｘｃＯと０ｘ２ｄｃの間の仮想計算機
記憶位置が予約されている。これらの記憶位置は、メモ
リ・マツプされたタイマ値、ＳｖＣ及び割込み用のプロ
グラム状況ブロック（ＰＳＢ）及びその他の種々雑多な
値に使用される。

プログラム・チエツク、マシン通信、ＳｖＣの各優先側
込みレベルごとに別々のＰＳＢがある。

ＰＳＢは、割込み点、割込み制御フィールド、割込み状
況フィールド、サブレベルの定義、及びその割込みに特
有な状況とデータの４ワード用の命令アドレス・レジス
タ（ＩＡＲ）を含んでいる。

仮想資源マネージャ（ＶＲＭ）は、仮想計算機で走行す
るオペレーティング・システムに対して、仮想記憶のペ
ージング・サポートを行なう。ＡＩＸは、ＶＲＭによっ
て行なわれる仮想記憶サポートを活用するように設計さ
れている。ＶＲＭ仮想記憶サポートは、ハードウェア・
メモリ管理機能をＡＩＸが利用できるようにし、それを
ページング手順の細部（ページ置換アルゴリズム、ペー
ジング入出力管理など）から解放する。

仮想記憶装置へのインターフェースは、１組のＳＶＣ，
プログラム・チエツク割込み（アドレス指定例外及び記
憶保護例外）、及びマシン通信割込み（ページ不在発生
及びクリア）から構成される。仮想計算機に提示される
メモリの基本モデルは、セグメントによる。

セグメントを作成し、複写し、破壊し、セグメント特性
を操作する（サイズ及び記憶保護状況を変更することや
、セグメン）ＩＤをハードウェア・メモリ管理セグメン
ト・レジスタにロードすることなどがその例である）た
めに、ＳｖＣが設けられている。また、ＡＩＸに仮想資
源マネージャ・ページ置換アルゴリズムに影響を及ぼす
能力を与えるために、ＳＶＣインターフェースも設けら
れている。このインターフェースを使って、ＡＩＸは、
１次記憶域からいくつかのページを除去し、１次記憶域
にいくつかのページを配置（ｐｉｎ）　シ、あるいは以
前に配置されていたページを解除（ｕｎｐｉｎ　）する
ように、仮想資源マネージャに指令する。

ＡＩＸオペレーティング・システムは、ＵＮＩＸシステ
ムＶ　（ＴＭ）の拡張である。その拡張機能の中には、
仮想記憶装置を利用する機能がある。

ＡＩＸは、仮想計算機内で仮想資源マネージャで走行す
る。カーネルは、ＡＩＸの仮想計算機オペレーティング
・システムの核心部であり、したがって、その常駐して
いる仮想計算機を構成する様々な装置及び資源のマネー
ジャである。要するに、これはあらゆる仮想計算機活動
及び仮想計算機資源の集中制御点である。

ＡＩＸの内部は、仮想計算機中で走行でき、拡張プロセ
ス環境をもたらし、有用で安定なファイル・システムを
もたらすことができるように修正し拡張されている。シ
ステム・コール及びサブルーチン・インターフェースは
、ＵＮＩＸ互換システム用の多くのプログラム及びユー
ティリティがＡＩＸで走行できるようにする。

カーネルの実行する主な機能は、次の通りである。

ファイル・システム管理ニ ーファイル：オープン、クローズ、読取う、書込み、所
有者変更、統計ゲット／変更、シーク。

−ファイル・システム：マウント、マウント解除、統計
ゲット。

−ディレクトリ：作業用ディレクトリ変更、ルート・デ
ィレクトリ変更、ディレクトリ作成、ファイルへのリン
ク、ファイルのリンク解除。

−安全保護：アクセス許可。

プロセス管理ニ ー起動及び終了：プロセスのフォーク、このプロセスの
終了、別のプロセスのキル、プロセスｅグループのキル 一プロセス・グループ設定 一情報的：アカウンティングのエネーブル／ディスエー
ブル、ｉｄ　（プロセス、親、グループ）ゲット、時間
ゲット 一優先順位提案 一子プロセスの終了待機 一メモリ中のデータやテキストやスタックをロック 一シグナル：シグナルの、エネーブル／ディスエーブル
、シグナルをユーザ・ルーチンまで経路指定、シグナル
待機 一セマフォア：セマフォア作成、セマフオアｆｄのゲッ
ト、セマフオア動作実行、セマフオア削除 メモリ管理ニ ー専用メモリ：拡大、縮小 一共用メモリ二作成、追加、削除 時間管理ニ ー時間設定 一時間ゲット プログラム管理ニ ー新しいプログラムの実行 一メモリ中のプログラムをロック 資源管理ニ ーユーザＩＤとグループＩＤの設定とゲット、−ユーザ
限界の設定とゲット カーネルを走行させる前に、まず、カーネルを仮想計算
機のセグメントＯ中にロードしなければならない。ブー
トストラップ・プログラムが、ルート・ファイル・シス
テムでカーネルを探し出し、それをメモリに読み込み、
最後にそれに制御権を渡す役割を果す。

ブートストラップ・プログラムは、ルート・ファイル・
システムを捜索してファイル／ｕｎｉｘを見つけ、その
テキスト及びデータ・セグメントをメモリに読み込み、
セグメントを拡張する。ブートストラップ・プログラム
は、道をゆずりカーネルをアドレス０から始まるように
移動させ、次いで、カーネルにそのスタート入口点で制
御を渡し、それによってブート・プロセスを完了する。

オペレーティング−システムにおける「プロセス」とは
、走行中のプログラムの現状態である。

それには、メモリ・イメージ（メモリ中にあるその部分
の論理的レイアウト）、プログラム・テキスト、プログ
ラム・データ、使用される変数、−汎用レジスタ値、使
用するオープン・ファイルの状態、及び現ディレクトリ
が含まれる。あるプロセスで走行するプログラムは、オ
ペレーティング・システム・プログラムでもユーザープ
ログラムでもよい。カーネルが実行すべきサービスを要
求するには、プロセスが活動状態でなければならない。

プロセスは、必要に応じて、メモリにページ・インされ
、メモリからページ・アウトされる。現在走行していな
いプロセスは、メモリからディスクにページ・アウトさ
れる資格がある。

同じプロセスが、「ユーザ」モードにも、「カーネル」
モードにもなり得る。通常、実行中のユーザ・プログラ
ムをユーザ・プロセスと呼び、「ユーザ・モード」にあ
ると見なす。あるプロセスがシステムによって実行され
る機能を必要とする場合、システムをサブルーチンとし
て呼び出す。ユーザ・モードのプロセスは、システム・
コールを使って、システム資源にアクセスする。これは
、カーネル・コールと呼ばれることもある。ユーザ・プ
ロセスがシステム・コールを出すと、環境はユーザ・モ
ードからカーネル・モードに切り替わる。システムは、
同じプロセスを走行している。違いは、ユーザ・プロセ
スで走行しているコードが、この場合にはカーネル・コ
ードであることである。今、プロセスは、「カーネル・
モード」にある。カーネル・モードにあるプロセスは、
システムの完全な制御権をもつ。カーネルは、要求され
たサービスを完了すると、通常、そのプロセスのユーザ
・モードに制御を戻す。ユーザ・モードにあるプロセス
は、いつでも、優先使用（ｐｒｅｅｍｐｔｅｄ　）可能
である。一方、カーネル・モードにあるプロセスは、通
常、優先使用不可能である。通常、カーネル・モードに
あるプロセスは、処理装置の制御権を自発的に放棄する
まで走行する。

ユーザ・モードからカーネル・モードへの切替えを促が
すことができる機構がいくつかある。切替えを起こす１
つのメカニズムは、システム・タイマである。システム
・タイマは、周期的に毎秒一定の間隔で処理装置に割り
込む。割込みとは、処理装置を特別なソフトウェア・ル
ーチンへ切り換える信号である。システム・タイマ用サ
ービス・ルーチンの間、カーネルは、プロセスの優先順
位を検査して、プロセスの変更があるかどうか調べる。

システム・スケジューラは、基本タイム・スライシング
を実行して、多数のユーザの間で処理装置を共用できる
ようにする。

入出力要求にサービスすることも、切替えをひき起こす
。割込みルーティンは、入出力動作の終了を通知する。

割込みルーティンは、デバイス待ち行列にある次の入出
力動作を開始させ、サービスを待っているすべてのプロ
セスに走行準備完了とマークし、必要に応じて、カーネ
ル・モードからユーザ・モードに戻るとき、プロセス・
スイッチをトリガするフラグを設定する。

仮想資源マネージャ（ＶＲＭ）によって、オペレーティ
ング・システムにメモリ管理権が与えられる。ＶＲＭは
、オペレーティング・システムにページ付は仮想記憶域
を与える。ページ不在は、オペレーティング・システム
に割り込み、他のタスクに切り換えることができるよう
にする。仮想記憶機能は、割込みを適切に使用して、主
としてオペレーティング・システムからｖＲＭへめＳＶ
Ｃによって制御される。

プロセスがユーザ・モードまたはカーネル・モードで走
行中のとき、プロセスの一部分をアドレスすることがで
きる。３２ビツトの仮想アドレス空間が１６個のセグメ
ントに分割される。各セグメントは、長さが２”２８バ
イトである。セグメント・レジスタは、仮想計算機をセ
グメント化仮想記憶域に対してアクセス可能にする。仮
想記憶ハードウェアは同時に最大１６個のセグメントへ
のアクセスを可能にする。ＲＴ　　ＰＣインプリメンテ
ーシｅンでは、ユーザ・モードのプロセスが、同時に１
４個のセグメントへのアクセスに制限されている。カー
ネル・モードのプロセスは、仮想計算機がアクセス可能
なすべてのセグメントに同時にアクセスすることを許さ
れている。セグメント・レジスタは、セグメント・アド
レスをセグメント・レジスタに選択的にロードし、各セ
グメント・レジスタでページ保護ビットを設定すること
によって、記憶セグメントを保護するためのいくつかの
機構を備えている。記憶保護設定は、どちらの計算機状
態でも、読取り保護または書込み保護あるいはその両方
を呼び出すための機構をもたらす。

各セグメント・レジスタは、論理的ＲＴ　　ＰＣプログ
ラム・セグメントの一部または全部をマツプする。すべ
てのアドレスは、全部で３２ビツトの仮想アドレスであ
り、セグメント番号が左端の４ビツトを占める。セグメ
ント・レジスタは、プロセス・イメージの一部であり、
したがって、各プロセスのディスパッチ時に切り替えら
れる。カーネルは、セグメント・レジスタ０によって、
マツプされる。このレジスタは、カーネル・プログラム
のテキスト、データ、及びすべての入出力バッファを含
む。このマツピングは、固定されている。

ユーザ・プログラム・テキスト・セグメントはセグメン
ト・レジスタ１によってアクセスされ、ユーザ・プログ
ラム・データ・セグメントはセグメント・レジスタ２に
よってアドレスされる。ユーザ・プロセス・スタック及
びユーザ構造（ユーザ・ブロック）は、セグメント・レ
ジスタ３によってアトレスサれる。ユーザ・プロセス・
スタブ°りは、高位のセグメント・アドレスから最低位
セグメント・アドレスへと（下方へ）成長して行く。セ
グメント・レジスタ４ないし１３は、ユーザ・プログラ
ムにおける共用データの操作用に使われる。

ＲＴ　　ＰＣは、共用セグメント・システム・コールに
よってこれらのレジスタを操作するためのプログラム・
インターフェースをもたらす。

ＶＲＭは直接メモリ・アクセス（ＤＭＡ）用にセグメン
ト・レジスタ１４を予約し、ノくス入出力用にセグメン
ト・レジスタ１５を予約する。このレジスタを使って、
入出力通信チャネル（ＩＯＣＣ）、浮動小数点アダプタ
（ＦＰＡ）、メモリ・マツプ式アダプタがアドレスされ
る。

ユーザ・モードにあるプロセスは、走行中に下記の論理
区域にアクセスする。これらの区域を使って、そのプロ
セスが使用する情報が記憶される。

テキスト・セグメント：このセグメントは、セグメント
・レジスタ１によってマツプされ、ユーザ・モードにあ
るプロセスによりアドレス可能である。「テキスト」セ
グメントは、プロセスの仮想アドレス空間の低位アドレ
スを占める。通常、このセグメントは、実行されるユー
ザ・プログラム・コードを含んでいる。このセグメント
中の情報は、ｅＸｅｃシステム・コールを実行したロー
ド・モジュールに由来する。（ｅｘｅｃシステムｅコー
ルについては、後段で簡単に論じる。）実行中、このセ
グメントは読取り専用であり、そのひとつのコピーが、
同じコードを実行する全プロセスに共用される。

データ・セグメント：このセグメントは、セグメント・
レジスタによってマツプされ、ユーザ・モードのプロセ
スによりアドレス可能である。ユーザ・プロセスの「デ
ータ」セグメントは、そのテキスト・セグメントより上
の論理境界で始まる。

プロセスは、このセグメントに対して読取りアクセス及
び書込みアクセスできる。このセグメント　“は他のプ
ロセスに共用されず、そのサイズは拡張できる。このセ
グメントは、アレイなどのデータ変数用に使用される初
期化部分を含む。

スタック・セグメント：このセグメントは、セグメント
・レジスタ３によってマツプされ、ユーザ・モードにあ
るプロセスにより部分的にアドレス可能である。このセ
グメントは、ユーザ・プロセス舎スタック及びユーザ構
造（ｒｕ、ｂｌｏｃｋＪ　）を含む。ユーザ構造は、ユ
ーザ・モードにあるプロセスによりアドレス可能でない
。ユーザ・プロセスのこのセグメントは、プロセスの仮
想アドレス空間の高位アドレスから始まり、必要に応じ
て、データ・セグメントに向かって自動的にサイズが増
大する。このセグメントは、プログラム用の実行時スタ
ックを含んでおり、それにユーザ・プログラムが書き込
むことができる。プロセスは、このセグメントの最上部
を使って、入出力情報をカーネルに渡す。

各プロセスが使用するテキスト・セグメント、データ・
セグメント、スタック・セグメントに加えて、プロセス
は、その他のプロセスからアクセス可能なセグメントを
作成しまたは自身に付加することができる。共用セグメ
ントを使用するために１組のシステム・コールが使用で
きる。共用セグメントが生成または付加されると、その
共用セグメントは、要求側プロセスのアドレス空間の一
部となる。

共用セグメントは、読取り専用モードでも読み書きモー
ドでも使用できる。２つ以上のプロセスが同じ共用セグ
メントにアクセスする場合、暗黙の直列化サポートはな
いことに留意されたい。あるプロセスが共用セグメント
の特定の区域から読み取る場合、共用区域に対するそれ
らのアクセスの調整は、その２つ以上のプロセスが担当
する。

セグメントの共用以外に、プロセスが、マウントされた
ファイルφシステム中の通常のファイルの上に共用セグ
メントのアドレス範囲を論理的に重ね合わすことができ
るようにする、システム・コールが使用可能である。次
いで、そのセグメントにアクセスす葛ことにより、その
ファイルへのアクセスが可能となる。セグメントをその
他のプロセスと共用することもでき、１つのプロセスだ
けで使用することもできる。セグメントごとにファイル
にマツプするモードが３つある。それは、読み書きモー
ド、読取り専用モード、書込み時複写（ｃｏｐｙ−ｏｎ
−ｗｒ　ｉｔｅ　）モードである。

ファイル・マツプ式読み書きモードは、セグメントに対
するロード及び記憶を、対応するファイルへの読取り及
び書込みのように振舞わせる。プロセスがファイルの論
理的路りを越えたセグメントの部分を読み取る場合、プ
ロセスはゼロを読み取ることになる。プロセスがファイ
ルの終りを越えたセグメントの部分に書き込む場合、フ
ァイルが拡張される。

ファイル・マツプ式読取専用モードは、ファイルを読み
取りだけさせる。セグメントに記憶することによってフ
ァイルに書き込もうと試みると、プロセスにエラーが知
らされる。読み書きモードと同じように、ファイルの終
りを越えたセグメントの部分にアクセスしたプロセスは
、ゼロを読取る。

ファイル・マツプ式書込み時複写モードは、書込みが一
時的なことを除けば、セグメントに対するロード及び記
憶を、対応するファイルの読取り及び書込みのように振
舞わせる。すなわち、書込み時複写セグメントに記憶す
ると、セグメントは修正されるが、対応するファイルは
修正されない。

ｆｓｙｎｃシステム・コールは、セグメントの変更され
た部分を対応するファイルに書き込み、それにより、マ
ツプ済みファイルをセグメントの正確なコピーにする。

このシステム・コールが出ない場合、ファイルは変更さ
れず、その変更が必要でないとプロセスが判定する場合
、プロセスがファイルに対して行なった変更を取り消す
ことを可能にする。

次のような区域が、カーネル・モードのプロセスによっ
てアドレス可能である。特に言及する場合を除き、これ
らの区域はレジスタ０によってマツプされる。プロセス
に直接関連するデータは、そのプロセスとともにメモリ
からページ・アウトされる。これらの区域は、プロセス
が活動状態のときカーネルが必要とするプロセスに関す
るあらゆるデータを含む。その４つの区域は、次の通り
である。

テキスト：これは、実行されるカーネル・プログラム・
コードを含んでおり、ユーザ・プロセスには読み取り専
用である。

グローバル・データ：このデータは、カーネル・モード
中にどのプロセスでもアドレスできる。これは、オープ
ン・ファイル・テーブルやプロセス・テーブルなどのテ
ーブル、及びカーネルが維持しているバッファ・ポイン
タなどの他のデータを含む。

プロセス別データ：これは、「ユーザ構造」、「ユーザ
区域」、ｒｕ、ａｒｅａＪ、「ユーザ・ブロック」、ｒ
ｕ、ｂｌｏｃｋＪとも呼ばれ、ユーザ・プロセス・スタ
ックの一部である。この区域は、プロセスニよってペー
ジ付けされ、カーネル・モードでプロセスまたは入出力
によってオープンされたファイルの現ディレクトリなど
のプロセス情報を含む。

この情報は、スタック・セグメントの最上部を占める。

スタック：この区域は、ユーザ・プロセスによってペー
ジ付けされる。カーネルは各プロセスごとに１つのスタ
ックを維持する。スタックは、コール鎖やユーザ・プロ
セスのためカーネルが使用するローカル変数などのプロ
セス情報を保管する。

カーネルが実行する大部分のプロセス管理は、テーブル
の探索及び修正である。カーネルは、多数のプロセスの
走行を調整するためのいくつかのテーブルを維持する。

第４図は、プロセスを管理するためにカーネルが維持す
るテーブルを示す。

「プロセス・テーブル」は、各プロセスごとに生成され
る項目を含む。このテーブルは、プロセスが走行中でな
い場合に必要な項目を含む。このテーブルは、カーネル
がプロセスに対する事象を管理できるように、常にメモ
リ中にある。各テーブル項目はプロセスの状態を詳述す
る。状態情報には、プロセスのセグメントＩＤ１プロセ
スの識別番号、プロセスを走行させるユーザのＩＤが含
まれる。各プロセスごとに、テーブル項目が１個ずつあ
る。したがって、作成できるプロセスの数は、／ｅｔｃ
／璽ａｓｔｅｒ　ファイルで特別設定パラメータｐｒｏ
ｃｓとして指定される、テーブルのサイズによって決ま
る。プロセスが作成されると、プロセス・テーブル中に
項目が生じ、プロセスが終了すると、プロセス・テーブ
ル中の項目が空になる。

「スーパーユーザ」の権限を存するプロセス用に１個の
テーブル項目が予約されている。プロセスは、その有効
ユーザＩＤがＯの場合、「スーパーユーザ」と認識され
、これに特別の特権が与えられる。

各プロセスは、それ自体がプロセスの可変セグメントの
コピーを有するが、テキスト・セグメントは共用できる
。プログラム・テキストが共用されるため、メモリがよ
り有効に利用できる。テキスト・セグメントがプロセス
に共用される場合、システムは「テキスト・テーブル」
を維持する。

このテーブルを使って、あるテキスト・セグメントを共
用している各プロセスごとに共用テキスト・セグメント
を記録する（たとえば、フォーク後に、親プロセスと子
プロセスはテキストを共用できる）。このテーブルの構
造は、ファイル・システム中の／ｕｓｒ　／　１ｎｃｌ
ｕｄｅ／ｓｙｓ　／１ｅｘｔ、ｈに出ている。テキスト
・テーブル項目は、テキスト・セグメントのセグメン）
ＩＤ１及びこの項目を共用するプロセスの数を含む。番
号が０に減少すると、その項目がセグメントと一緒に解
放される。共用テキスト・セグメントを実行する第１の
プロセスが、テキスト・テーブル項目を割り振り、セグ
メントを生成させる。既に割振り済みのテキスト・セグ
メントを実行する第２のプロセスは、テキスト・テーブ
ル中の番号をｉ分させる。

「ユーザ構造」　（プロセス別データ域またはユーザ・
ブロックとも呼ばれる）は、プロセスの実行中にアクセ
ス可能でなければならない情報を含む。

各活動プロセスごとに１個のユーザ構造が割り振られる
。ユーザ構造は、カーネル・ルーチンに直接アクセスで
きる。このブロックは、ファイル・アクセス特権を決定
するためのユーザ識別番号及びグループ識別番号、プロ
セスによってオープンされたファイル用のシステム・フ
ァイル・テーブルを指すポインタ、ｉノード・テーブル
項目を指すポインタ、様々な信号に対する応答のリスト
などの情報を含んでいる。ユーザ構造は、ユーザ・スタ
ック・セグメントの一部である。

「ユーザ・データ・セグメント」は、ユーザ・データを
含む。その情報は、初期化されたデータ変数から構成さ
れる。このセグメントを指すポインタは、プロセス・テ
ーブル項目中にある。ユーザφテキスト・セグメントは
、プログラム・コードを含む。このセグメントを指すポ
インタはプロセス・テーブル中にあり、共用される場合
は、テキスト・テーブル中にある。

作成及び実行：／ｕｎｉｘ　ファイルが見つかると、セ
グメントＯにロードされて、実行される。まず、このフ
ァイルは、自由リスト・ブロック、入出力バッフトフー
ル、文字バッファ・プール、使用可能なｉノードのリス
トなどのディスク・データ構造を初期化する。初期化が
完了した後、カーネルは、第５図に示すように、「スケ
ジューラｊとも呼ばれる第１のプロセス（プロセスＯ）
の作成を開始する。スケジューラは、他のプロセスのよ
うに（後述する）　ｆｏｒｋ　システム・コールによっ
て作成されず、プロセスのすべての部分は含まない。こ
れは、カーネルが使用すべきデータ構造だけを含むユニ
ークなプロセスである。プロセス０は、プロセス・テー
ブル中の最初の項目であり、プロセッサがカーネル・モ
ードのときだけ活動状態になる。

プロセス０は、それ自体を複写することにより、もう一
つのプロセス（プロセス１）を生成する。

プロセスエは、ｒｆｎｉｔＪプロセスとも呼ばれる。

プロセス１のサイズを拡大するために、システムはｂｒ
ｋ　システム・コールの等価コールを出す。

次に、ｅＸｅｅシステム・コールを実行する命令を含む
プログラムが、新たに作成されたプロセス１のテキスト
・セグメント中に複写される。

プロセスＯは、完成したプロセス・イメージではない。

カーネルはこのプロセスを使って、その他のシステム−
プロセスの動作をスケジュールし制御する。プロセス１
は、第１の完成したプロセス・イメージであり、後続の
すべてのプロセスの先祖プロセスである。どちらのプロ
セスも走行していない。スケジューラが、走行の準備の
できた第１のプロセスを指名する。走行準備ができてい
るプロセスは一つだけであり、したがって、プロセス１
が走行する。プロセス１は、直ちにｅｘｅｃシステム・
コールを実行して、それ自体に／ｅｔｃ／ｉｎｉｔ　フ
ァイルからのコードをオーバーレイする。

上記のように、他のすべてのプロセスはこのｉｎｉｔプ
ロセスの子孫である。通常、ｉｎｉｔプロセスがシェル
・スクリプト／ｅｔｃ／ｒｅ　を実行する。

ｒｒｃシェルＪスクリプトは、保全性検査を行ない、必
要な終結処置を行ない、通常のファイル・システムをマ
ウントシ、標準ボートを使用可能にする役割を負う。／
ｅｔｃ／ｒｅがうまく走行した後、ｉｎｉｔプロセスは
、／ｅｔｃ／ｐｏｒｔ　ファイルで指定された各使用可
能ポートごとに、ｆｏｒｋシステム・コールを使ってｇ
ｅｔｔｙを生成する。ｉｎｉｔプロセスは、ｇｅｔｔｙ
に対するｅｘｅｃ　システム・コールを行なって、適当
な端末速度及びモードを決定する。

ｇｅｔｔｙプログラムは、ｌｏｇｉｎに対するｅｘｅｃ
　システム・コールを行なってパスワードを検証し、ユ
ーザＩＤ（■ＩＤ）、グループＩ　Ｄ　（ＧＩＤ）　、
現ディレクトリなどを設定する。ｌｏｇｉｎは、ｌｏｇ
ｉｎ後に走行すべき最初のプログラムとして、シェルま
たは／　ｅｔｃ　／　ｐａｓｓｖｄ　ファイル中で指定
されるプログラムを実行する。シェルは、ｆｎｆｆ；に
よって作成された同じプロセス中で走行する。シェルは
、ｆｏｒｋシステム・コールを実行して、各コマンドご
とに新しいプロセスを作成させ゛る。システムの走行中
、ｉｎｉｔ　プロセスは、そのいずれかの子プロセスの
終了を待ちながら休止している。ユーザがログ・アウト
すると、ｉｎｉｔはｆｏｒｋによって新しいロガーを作
成する。

［７”ロセス及び子プロセス：プロセスは様々の理由か
ら、それ自体のコピーを作成する。そうしたとき、もと
のプロセスは「親プロセス」と呼ばれ、新しく作成され
たプロセスは「子プロセス」と呼ばれる。もとのプロセ
スである親プロセスと、作成されたプロセスである子プ
ロセスの主な違いは、両者のプロセス識別番号、親プロ
セス識別番号、及び時間計測情報が異なることである。

ｆｏｒｋ　システム・コールは、システム・プロセスの
合計数を増加させる。プロセスは、ｆｏｒｋ　システム
・コールを使ってそれ自体のコピーを作成する。ｆｏｒ
ｋ　システム・コールは、新しいプロセスである子プロ
セスを作成させる。上記に挙げた違いの他に、それぞれ
ｆｏｒｋシステム・コールから異なる値を受は取る。（
子プロセスは値０を受は取り、親プロセスは子プロセス
のＩＤを受は取る。）両プロセスはオープン・ファイル
を共用し、各プロセスは、受は取った値によって自身が
親プロセスがそれとも子プロセスか判定することができ
る。親プロセスは、子プロセスの終了を待つことも待た
ないこともある。

ｅｘｅｃ　システム・コールは、プロセスにそれが含む
情報に新しい情報をオーバーレイさせる。

ｅｘｅｃ　システム・コール中に、プロセスハ、現テキ
スト・セグメント及び現データ・セグメントを新テキス
ト・セグメント及び新データ・セグメントと交換する。

システム・プロセスの合計数は変化せず、ｅｘｅｃを出
したプロセスだけが影響を受ける。ｅｘｅｃシステム・
コールの後、プロセス識別番号は同じであり、オープン
・ファイルは（実行時にクローズされているファイルを
除き）オープンしたままになる。

ｅｘｉｔ　システム・コールは、ｅｘｉｔを出したプロ
セスを終了させる。そのプロセスによるファイル・アク
セスはすべてクローズされ、待機中の親プロセスに通知
される。ゾンビ・プロセスは、その項目がプロセス・テ
ーブル中に残っている終了したプロセスである。親プロ
セスは、プロセス・テーブルから項目をクリアする役割
を担う。その親プロセスが終了した子プロセスの場合、
１ｎ５ｔが親プロセスとなり、項目をクリアする。アカ
ウンティングが使用可能な場合・、ｅｘｉｔはアカウン
ティング・レコードを書き込む。

ｗａｉｔ　システム・コー、ルは、子プロセスが脱出す
るか、子プロセスが（その親プロセスによってトレース
される）トレース・モードで停止するか、あるいは呼出
し側プロセスがシグナルを受は取るまで、呼出し側プロ
セスを中断させる。ｗａｉｔ　システム・コールは終了
状況、すなわちｅｘｉｔから渡された１バイト（ハイ）
及びシステムの１バイト（ロー）を親プロセスに渡す。

このシステム・コールはまた、プロセス・テーブルから
ゾンビ・プロセスを除去する。

第６図に示す次のようなシナリオは、親プロセスと子プ
ロセスの関係、及びそれらを同期させるためのシステム
・コールを示したものである。親プロセスが子プロセス
よりも前に終了できることに留意されたい。この場合は
、ｉｎｉｔプロセスが親プロセスの役割を果す。

親プロセスは、ｆｏｒｋシステム・コールヲ実行して、
新しいプロセスを作成する。新しいプロセスは、ｅＸｅ
Ｃシステム・コールを実行して、新しいＩＤをもつ子プ
ロセスを作成する。これは、「シェル」がプログラムを
実行するときに使用する手順に類似している。ｗａｉｔ
　システム・コールは親プロセスに子プロセスが処理を
終えるのを待たせる。対話式に走行するとき、シェル・
プロセスはｆｏｒｋシステム・コールを実行し、子プロ
セス（新プロセス中で走行するシェル）は、必要なプロ
グラムに対するｅｘｅｃシステム・コールを実行し、親
プロセス（シェル）は、ｗａｉｔシステム・コールを実
行して子プロセスが走行し終えるのを待つ。子プロセス
がｅｘｉｔシステム・コールヲ実行すると、親プロセス
は子プロセス用のプロセス・テーブル項目を移動させ、
次のコマンドを求めるプロンプトを出す。背景で′走行
中のとき、シェル・プロセスは子プロセスのプロセスＩ
Ｄを印刷スるだけで、子プロセスが終了するのを待たな
い。両者が対話式に走行する場合の親プロセスと子プロ
セスの関係については、第６図を参照されたい。

プロセスの状態：第７図に示すように、プロセスは、多
くの状態のうちの１つの状態をとり得る。

プロセスは、走行準備完了、走行中、（事象を待つて）
休止中、停止または、終了の状態をとり得る。

スケジューラは、競合プロセスがどの順序で実行される
かを決定する。第７図に、プロセス状態、及びそれらの
状態を変更する事象を示す。

ある時点で、１つのユーザ・プロセスだけが活動状態ま
たは走行状態である。他のすべてのユーザ・プロセスは
走行を中断される。たとえば、その子プロセスのいずれ
かが終了するのを待っているプロセスは、それ自体のプ
ロセス・テーブル項目のアドレスであるある事象を待つ
。プロセスが終了すると、その親プロセスのプロセス−
テーブル項目で表わされる事象を知らせる。その事象が
発生すると、そのプロセスは覚醒する。プロセスが覚醒
すると、プロセスは走行の準備ができており、すなわち
そのプロセスはディスパッチされる資格がある。通常、
プロセスは、休止しない限り、完了するまで走行する。

プロセスが休止する理由としては、入力または出力が終
了するのを待つ、タイム・スライス、事象の発生を待つ
、あるいは他のプロセスからのシグナルなどがある。各
タイマ割込み時に、タイマ割込みルーチンがプロセス待
ち行列を調べ、プロセス切替えを起こすことができる。

プロセスは、休止中にメモリからページφアウトされる
ことがある。プロセス切替えルーチンはページ・アウト
されたプロセスを再始動させない。この切替えルーチン
は、プロセスを再始動させる前に、カーネルとそのプロ
セス用ユーザ・データがアドレス可能かどうか検査する
。

処理装置の制御権を放棄するプロセスは、通常、いくつ
かの入出力が実行されるのを待っている。

その場合、プロセスは通常、カーネル・データ構造のア
ドレスとなっていて、覚醒優先順位を指定するｃｈａｎ
を指定する５ｌｅｅｐコールを出す。通常、同じｃｈａ
ｎを指定するｖａｋｅｕｐコールが出されるまで、プロ
セスは休止したままでいる。覚醒優先順位がシグナルを
処理するのに充分な低さの場合、プロセスは覚醒し、休
止前と同じモードで再始動される。′多数のプロセスが
、メモリ割振りなど、同じ事象が発生するのを待つこと
がある。

このことがありうるので、プロセスが休止から戻るとき
、プロセスはまず、事象または資源が同じｃｈａｎ　を
待っている別のプロセスによって捕捉されていないかど
うか検査しなければならない。資源が使用可能でない場
合、プロセスは、別の５ｌｅｅｐ　コールを出す０ シグナル：シグナルは、活動プロセスとの通信を行なっ
て、現プロセス環境が保管され新しいプロセス環境が生
成されるという１組の事象を引き起こす。プロセスは、
シグナルに応答するため、シグナル処理機能を指定する
ことができる。これらのシグナルは、すべて同じ優先順
位を有し、重要な機能はシグナル干渉から自身を保護す
ることができる。

シグナルとは、プロセスの通常の実行を中断する事象で
ある。割込みに関する５ＩＧＩＮＴなど１組のシグナル
がＡＩＸシステムによって定義されている。すべてのシ
グナルは、同じ優先順位を有する。

プロセスは、シグナルの発生する時に呼び出されるシグ
ナル処理サブルーチンを指定することができる。プロセ
スはまた、シグナルをブロックまたは無視することを指
定し、あるいはシグナルの発生時にシステムが省略時動
作をとることを指定することもできる。

グローバル・シグナル・マスクは、現在プロセスへの転
送からブロックされている１組のシグナルを定義する。

プロセス用のシグナル・マスクは、その親プロセスのシ
グナル・マスクから初期設定される。これは、ｓｉｇｂ
ｌｏｃｋ　またはｓｉｇｓｅｔｍａｓｋシステム・コー
ルで変更することができる。シグナル処理プログラムの
実行中、それを呼び出させるシグナルはブロックされて
いるが、他のシグナルは発生できる。シグナル処理プロ
グラムが終わると、そのシグナルは再びブロック解除さ
れる。

通常、シグナル処理プログラムは、プロセスの現スタッ
ク上で実行される。これをシグナルごとに変更してシグ
ナル処理プログラムが特別なシグナル・スタック上で実
行されるようにすることができる。

シグナルがプロセスに送られると、このシグナルはその
プロセス用に保留されている１組のシグナルに加えられ
る。そのシグナルが現在ブロックされていない場合、そ
のシグナルはプロセスに渡される。シグナルが渡される
と、下記の動作が行なわれる。

１６　プロセス実行コンテキストの現状態が保管される
。

２、プロセスのシグナル処理プログラムの継続中、ある
いはｓ　ｉｇｂ　１ｏｃｋまたはｓｉｇｓｅｔｍａｓｋ
システム・コールが行なわれるまで有効な新しいシグナ
ル・マスクが計算される。新しいマスクは、現シグナル
・マスクと転送されるシグナル・マスクと呼び出される
処理プログラムに関連するシグナル・マスクとを論理的
ＯＲすることによって形成される。

３、シグナル処理プログラムがシグナル・スタック上で
実行される場合は、現スタックがシグナル・スタックに
変更される。

４、シグナル処理プログラムが呼び出される。

処理プログラムに渡されるパラメータは、下記の記述で
定義される。

シグナル処理プログラムを、次のように宣言することが
できる。

処理プログラム名（ｓｆｇ、　ｃｏｄｅ、　５ｃｐ）ｆ
ｎｔ　　ｓｉｇ、　ｃｏｄｅ　； ５ｔｒｕｃ　ｓｉｇｃｏｎｔｅｘｔ　　：ｓｃｐ；ｓｔ
ｇパラメータは、シグナル番号である。

ｃｏｄｅパラメータは他のＵＮＩＸ互換システムとの互
換性のためにだけ設けられており、その値が常にゼロで
ある。Ｓｅｐパラメータは、あとでプロセスの以前の実
行コンテキストを復元するのに使用するｓ　ｉｇｃｏｎ
ｔｅｘｔ構造を指す。

５、シグナル処理ルーチンが正常にリターンすると、以
前のコンテキストが復元され、プロセスがその中断した
点から再開する。処理プログラムは、ＩＯｎｇＪＩＩＩ
Ｐサブルーチンを呼び出すことにより、プロセスを異な
るコンテキストで再開させることができる。

ｆｏｒｋ　システム−コールの後、子プロセスは、その
親プロセスから、すべてのシグナル、シグナル・マスク
、シグナル・スタックを引き継ぐ。

ｅｘｅｃ　システム・コールが、捕捉されたすべてのシ
グナルを省略時動作にリセットする。省略時動作をひき
起こすシグナルはそれを続行する。無視されたシグナル
は、引き続き無視され、シグナル・マスクは同じままで
あり、シグナル・スタック状態がリセットされる。

１ｏｎｇｊｍｐサブルーチンが呼び出されると、プロセ
スは、それ自体が現在シグナル・スタック上にある場合
はそこを離れ、シグナル・マスクを対応するｓｅｔｊｍ
ｐ　コールが行なわれたときの状態に復元する。オペレ
ーティング・システムは、次の５つのシグナルｅクラス
をもつ。

１、ハードウェア・シグナルは、演算例外、違法命令例
外、メモリ保護違反などの状態の結果として発生する。

２、ソフトウェア拳シグナルは、一般に、ユーザによっ
て開始される割込みである。終了、クイツト、キルは、
プロセスに対するユーザまたはプログラムによって開始
される様々なレベルのシグナルを表わすシグナル・タイ
プである。さらに、タイマ満了は、ソフトウェア駆動「
アラーム」シグナルで合図できる。

３、プロセスは、ある種の記述子または非ブロツク動作
の終了に基づいて発生した事象の通知を受は取ることが
できる。プロセスはまた、破局状態シグナルを要求する
こともできる。

４、プロセスは、停止させ、再始動させ、子プロセスに
おける状態変化の通知を受は取ることができる。

５、プロセスは、処理ユニット時限またはファイル・サ
イズ限界に達したとき、しきい値警告を受は取ることが
できる。

カーネルはまた、カーネル・プロセス間゛通信で、非送
信請求（ｕｎｓｏｌｉｃｉｔｅｄ）割込みシグナル・シ
ステムの機能を強化するための追加及び修正も含んでい
る。

ＡＩＸオペレーティング・システムにおける本マルチ・
ユーザ嗜オペレーティング・システムとして、ＵＮＩＸ
（ＴＭ）（ＵＮＩＸは、ＡＴ＆Ｔベル研究所の商標）は
、無許可プログラムがユーザ端末からデータを読み取る
のを防止できる機構を必要とする。信頼性のある経路機
構が、ユーザが端末キーボードでタイプしたデータが無
許可プログラムによる侵入から保護されることを保証す
る。信頼性のある経路機構により、ユーザは、ユーザの
端末と「信頼性のある」オペレーティング・システム・
ソフトウェアの間に偽造不可能かつ侵入不可能な経路を
作成することができる。ユーザは、システムにログイン
する前に端末キーボード上で機密保護アテンション・キ
ー（ＳＡＫ）と呼ばれるキーを押すだけで、信頼性のあ
る経路を作成して、パスワードを盗むことを目的とする
、ログイン偽装プログラムでなく、真のログイン・プロ
グラムと通信していると確信することができる。

ユーザは、ログインしてパスワードなど自分の重要なデ
ータを入力した後、それが侵入者のプログラムによって
盗まれていないと確信することができる。ユーザは、ロ
グアウトした後、信頼性のある経路が実際にシステムか
ら自分をログアウトしたと確信することができる。

信頼性のある経路機構の設計は、Ｕ’Ｎ　Ｉ　Ｘまたは
ＵＮＩＸ類似（ＸＥＮＩＸｌＡＩＸその他）のどのオペ
レーティング・システムにも適用される。

信頼性のある経路機構を実現するため、ＸＥＮＩＸ及び
ＡＩＸオペレーティング・システムに以下の変更を加え
る。

１、機能保護アテンション・キー（ＳＡＫ）　と認識さ
れる１個またτま複数のＡＳＣＩＩキーから構成される
新しいキー・シーケンスを定義する。システム設計者は
、自分の好みのＳＡＫを選ぶことができる。複数のＡＳ
ＣＩＩ文字から構成されるまれなＡＳＣＩＩシーケンス
をＳＡＫ用に選ぶことが望ましい。

２．８ＩＧＳＡＫと呼ばれる新しいタイプのＵＮＩＸシ
グナルを追加する。このシグナルは、特権プログラムの
みが、処理する（無視または捕捉する）ことができる。

５ＩＧＳＡＫシグナルが非特権ユーザ・プログラムに送
られた場合、このシグナルは非特権ユーザ・プログラム
を終了させる。

３、ＵＮＩＸシステムでは、０（ルート）の有効ユーザ
ＩＤ（ＵＩＤ）を有するプログラムが、特権プログラム
（スーパーユーザ特権を有するプログラムとも呼ばれる
）である。スーパーユーザ特権をサポートしないある種
のＵＮＩＸシステムは、たとえば特権をプログラムと関
連付ける他の機構を提供する。機密保ｍＸＥＮＩＸは、
プログラムに特権を割り当てる非スーパーユーザ汎用特
権機構（ＧＰＭ）を提供する。

４、伝送制御手順ドライバを修正して、ユーザのハード
ウェア割込み端末からＳＡＫを検出し、５ＩＧＳＡＫシ
グナルを制御端末プロセス・グループ内の全プロセスに
送るようにする。

５、ＵＮＩＸプログラムｉｎｉｔを修正して、（ｉ）Ｓ
　ＩＧＳＡＫシグナルによるその子プロセスの終了を検
出し、（ｉｉ）ユーザの端末を信頼性のある経路の間、
無許可アクセスから保護し、（市）信頼性のある経路を
作成した後、ユーザ端末に対する信頼性のあるプロセス
を走行させ、（ＩＶ）ユーザ端末に対する信頼性のある
経路の存在を示すように／ｅｔｃ／ｕｔｍｐ　ファイル
中のユーザ端末項目を更新し、（Ｖ）信頼性のある経路
の終了を検出し、ユーザのログイン環境を作成するよう
にする。

６　、　／　ｅｔｃ　／　ｕｔｍｐ　ファイルの構造を
修正して、ユーザ端末に対する端末特性（ｔｅｒｍｉｏ
）パラメータを含むようにする。また、ｕｔｍｐ構造の
ｕｔ　ｔｙｐｅ　フィールド用にＴＳＨ−ＰＲＯＣＥＳ
Ｓと呼ばれる新しいフラグを付は加える。このフラグは
、ユーザ端末とオペレーティング嘩システム・ソフトウ
ェアの間に信頼性のある経路が作成されたこと、及び端
末に対する走行ユーザ・プロセスが信頼性のあるシェル
であることを示す。

信頼性のあるシェルとは、ユーザがパスワードを変更す
るためのｐａｓｓｖｄコマンドなど、１組の安全保護に
重要なコマンドを実行できるようにする、限定コマンド
解釈プログラムである。

７、ＵＮＩＸプログラムのｌｏｇｉｎ及びｇｅｔｔｙを
修正して、／ｅｔｃ／ｕｔｍｐ　ファイルに端末に対す
る端末特性パラメータを保管するようにする。

スＪＣ１檄 ユーザは、自分の非同期端末キーボードで機密保護アテ
ンシロン・キー（ＳＡＫ）を押すことにより、いつでも
信頼性のある経路を作成することができる。ＳＡＫは、
直接（ｒａｗ）または処理済（ｃｏｏｋｅｄ　）端末入
出力モードで動作する。ユーザは、ログイン時にＳＡＫ
キーを押して、ｌｏｇｉｎ偽装プログラムでなく真のｌ
ｏｇｉｎ　プログラムと自分が通信していることを確認
することができる。

あるいは、ログイン後にＳＡＫキーを押して、パスワー
ド変更などの機密保護動作を実行することができる。あ
るいは、ログアウトしてからＳＡＫを押して、自分が実
際にシステムからログアウトしたことを確認することが
できる。下記のものが、信頼性のある経路機構の層化設
計をもたらす。

ＳＡＫキーの検出 ユーザがＳＡＫキーを押すと、端末ドライバはキー（Ａ
ＳＣＩＩ文字）を受は取り、これを伝送制御手順ドライ
バに渡す。伝送制御手順ドライバは、キーを受は取ると
、次のような動作を実行する。

１．８ＡＫキーとして複数のキーを選んだ場合、ＳＡＫ
用のすべてのキーをタイプするか、キー・シーケンスが
切れるか、ＳＡＫタイムアウトと呼ばれる所与のタイム
アウトが発生するまで、伝送制御手順ドライバはもとの
キーを保持する。タイプしたキー・シーケンスがＳＡＫ
でない場合、伝送制御手順ドライバは、通常行なうよう
に、そのキーをアプリケーションに渡す。

２、電送制御手順ドライバは、ＳＡＫキーを検出すると
、５ＩＧＳＡＫシグナルを制御端末プロセスφグループ
内のすべてのプロセスに送る。Ｓ　ＩＧＳＡＫシグナル
を受は取ったが、それを無視または捕捉できない（ユー
ザの最上位プロセス、通常はシェルを含めて）どのプロ
セスも終了する。

Ｓ　ＩＧＳＡＫシグナルの検出 伝送制御手順ドライバからの５ＩＧＳＡＫシグナルによ
って、ｉｎｉｔプロセスの子プロセスになっているプロ
セスが終了すると、ｉｎｉｔは、子プロセスのｅｘｉｔ
状況と共に、５ＩＧＣＬＤ（子プロセスの死）を受は取
る。次いでｉｎｉｔは、その子プロセスのｅｘｉｔ状況
を読み取ることにより、５ＩＧＳＡＫシグナルの発生を
検出する。ｉｎｉｔプロセスは、１つのプロセスＩＤを
有する。ｉｎｉｔの子フロセス（すなわち、１つの親プ
ロセスＩＤを有するプロセス）を最上位プロセスと呼ぶ
ことにする。

信頼性のある経路の作ｈ ｉｎｉｔは、子プロセスのｅｘｉｔ状況から５ＩＧＳＡ
Ｋシグナルを検出すると、ユーザの端末と「信頼性のあ
る」オペレーティング・システム・ソフトウェアの間に
信頼性のある経路を作成し、ＳＡＫキーを押す前の端末
上での走行プロセスの状態に応じて、端末で信頼性のあ
るプログラムを走行させる。次に、信頼性のある経路を
作成し、信頼性のあるプロセスを実行するためにｉｎｉ
ｔが行なう動作について検討する。

ログイン前 ユーザがログイン前にＳＡＫキーを押した場合、使用可
能端末に対する最上位プロセスはｇｅｔｔｙまたはｌｏ
ｇｉｎのいずれかであり、やはりこの端末プロセス・グ
ループ中に入っている。／ｅｔｃ／ｕｔｍｐ　ファイル
中の各レコードごとのｕｔ　ｔｙｐｅフィールドは、そ
の端末に対する走行プロセスのタイプを示す。ｇｅｔｔ
ｙ及びｌｏｇｉｎに対するｕｔ　ｔｙｐｅフィールドは
、それぞれ／ｅｔｃ／ｕｔｍｐ　ファイル中のＩＮＩＴ
　　ＰＲＯＣＥＳＳ及びＬＯＧ　ＩＮ　　ＰＲＯＣＥＳ
Ｓである。ユーザがＳＡＫキーを押すと、伝送制御手順
ドライバが制御端末プロセス・グループ内の全プロセス
にＳ　ＩＧＳＡＫシグナルを送る。その結果、ｇｅｔｔ
ｙやｌｏｇｉｎプロセスを含めて、その端末で走行して
いる全プロセスが終了する。

ｉｎｉｔは、子プロセスのｅｘｉｔ状況を読み取ること
により、子プロセスがＳ　ＩＧＳＡＫシグナルによって
終了したことを検出する。次いで、ｉｎｉｔは、／　ｅ
ｔｃ　／　ｕｔｍｐ　ファイル中の端末項目に対するｕ
ｔ　ｔｙｐｅ　フィールドを読み取ることにより、走行
プロセスのタイプを見つける。この場合、ｕｔ−ｔｙｐ
ｅは、ｇｅｔｔＹが走行中ならＩＮＩＴ　　ＰＲＯＣＥ
ＳＳであり、あるいはｌｏｇｉｎが走行中ならＬＯＧＩ
Ｎ　　ＰＲＯＣＥＳＳである。次いで、ｉｎｉｔは、新
しい子プロセスを作成（ｆｏｒｋ）する。

この子プロセス中で、ｔｎｉｔは、端末のアクセス・モ
ードを−ｒｖ−−−−　（所有者のみ読取り可能かつ書
込み可能）に変更し、所有者ＩＤ及びグループＩＤをル
ート（ＵＩＤ＝Ｏ１ＧＩＤ＝Ｏ）に変更し、端末をオー
プンし、ｖｈａｎｇｕｐシステム・コールを使って全プ
ロセスに対してその端末に関する読み書きアクセスを取
り消す。こうすると、端末がプログラムによる以前のア
クセスからクリアされる。

これによって、ユーザの端末に対す名信顆性のある経路
が作成され、無許可プログラムによる読取り及び書込み
から端末が保護される。

アクセス・モード及び所有権のゆえに、今やスーパーユ
ーザ（ルート）だけが端末をオープンできる。スーパー
ユーザ・プログラムであるｉｎｉｔが端末を再オープン
し、ユーザに新しいログインを促すｇｅｔｔｙプロセス
（信頼性のあるプロセス）を実行する。

ログイン後 ユーザがログイン後にＳＡＫキーを押した場合、最上位
プロセスは、ユーザ・プロセスである。これも端末のプ
ロセス・グループ中に入っている。

ユーザ・プロセスに対するｕｔ　ｔｙｐｅフィールド、
／ｅｔｃ／ｕｔ＋＋＋ｐ　ファイル中のＵＳＥＲＰＲＯ
ＣＲＳＳまたはＴＳＨＰＲＯＣＥＳＳのいずれかである
。ユーザがＳＡＫキーを押すと、伝送制御手順ドライバ
が制御端末プロセス・グループ内の全プロセスに５ＩＧ
ＳＡＫシグナルを送る。その結果、最上位のユーザ・プ
ロセスを含めて、その端末で走行しているすべてのプロ
セスが終了する。

ｉｎｉｔは、その子（ユーザ）プロセスのｅｘｉｔ状況
を読み取ることにより、子プロセスが５ＩＧＳＡＫシグ
ナルによって終了したことを検出する。

次いで、ｉｎｉｔは、／　ｅｔｃ　／　ｕｔｍｐ　ファ
イル中の端末項目に対するｕｔ　ｔｙｐｅ　フィールド
を読み取ることにより、その走行プロセスのタイプを見
つける。この場合、ｕｔ　ｔｙｐｅは、信頼性のある経
路が作成されていなかった場合はＵＳＥＲＰＲＯＣＥＳ
Ｓであり、あるいは信頼性のある経路がすでに作成され
ている場合にはＴＳＨＰＲＯＣＥＳＳである。次いで、
ｉｎｉｔは新しい子プロセスを生成（ｆｏｒｋ）する。

子プロセス中で、ｆｎｌｔは、端末のアクセス・モード
を−ｒｗ−−−−　（所有者のみ読取り可能かつ書込み
可能）に変更し、所有者■Ｄ及びグループＩＤをルート
（ＵＩＤ＝Ｏ１ＧＩＤ＝０）に変更し、端末をオープン
し、ｖｈａｎｇｕｐシステム・コールを使って全プロセ
スに対してその端末の読み書きアクセスを取り消す。こ
うすると、端末がプログラムによる以前のアクセスから
クリアされる。これによって１．ユーザ端末に対する信
頼性のある経路が作成され、端末が無許可プログラムに
よる読取り及び書込みから保護される。

アクセス・モード及び所存権のゆえに、今や特権プログ
ラムだけが端末をオープンできる。特権プログラムであ
るｉｎｉｔが、端末を再オープンし、／ｅｔｃ／ｕｔｍ
ｐ　ファイル中のその端末項目に対するｕｔ　ｔｙｐｅ
　フィールドをＴＳＨＰＲＯＣＥＳＳに変更し、端末の
端末特性パラメータを／ｅｔｃ／ｕｔｍｐファイルで定
義されているその端末項目に対する端末特性値に設定し
、それから信頼性のあるシェルを実行する。

信頼性のあるシェルにいる間にユーザが再度ＳＡＫを押
した場合、ユーザがログインされ、信頼性のある経路を
作成しなかったときと同じ１組の動作が実行される。す
なわち、現信頼性のあるシェルが終了し、新しい信頼性
のある経路が作成され、その端末に対して再度信頼性の
あるシェルが実行される。

ユーザが信頼性のあるシェルから出ると、ｉｎｉｔは対
応する／ｅｔｃ／ｕｔｍｐ項目を読み取ることにより、
それが信頼性のあるシェルであったことを検出する。次
いで、ｉｎｉｔは、／ｅｔｃ／ｕｔ畦ファイル中畦端ア
イル中対するｕｔ　ｔｙｐｅ　フィールドをＵＳＥＲＰ
ＲＯＣＥＳＳに変更し、端末特性パラメータを含めてユ
ーザに対するｌｏｇｉｎ環境を作成し、ユーザのｌｏｇ
ｉｎプログラム（通常は、ｌｏｇｉｎ　シェル）を走行
させる。

ログアウト後 ユーザがログアウト後にＳＡＫキーを押した場合、上記
のようなログイン前と同じ効果が得られる。

ここで、第８図を参照すると、ＳＡＫキーを押したとき
を示す状態図が示されている。状態Ｓ１は、ログイン前
にシステムが真のｌｏｇｉｎ　プログラムと対話してい
るときである。状態Ｓ２は、ログイン成功後であるが、
信頼性のある経路中にはない。状態Ｓ３は、ログイン成
功後であり、信頼性のある経路中に、すなわち信頼性の
あるシェルＴＳＨ中にある。第８図かられかるように、
ユーザが自分の端末をオンにすると、状態Ｓ１に入る。

この時に、ユーザが機密保護アテンション・キーＳＡＫ
を押すか、あるいはログインが不成功であった場合は、
状態Ｓ１に留まり続ける。あるいは、ユーザがログイン
に成功した場合は、状態Ｓ１から状態Ｓ２に移る。状態
Ｓ２にあるユーザは、選択したキーの組合せを押すこと
により、ログイン・シェルから出て、状態Ｓ１に戻るこ
とができる。

あるいは、状態Ｓ２にあるユーザは、通常の信頼性のな
い作業を行なって、シェルＳＨ内で作業しながら、状態
Ｓ２中に留まり続けることができる。

あるいは、ユーザが信頼性のある経路を使って、自分の
端末と信頼性のある計算ベースの間のトランザクシタン
に従事しようと望む場合、状態Ｓ２にあるときに機密保
護アテンシロン・キー（ＳＡＫ）を押す。そうすると、
ユーザは状態Ｓ３に入る。ユーザは選択したキーの組合
せを押すことにより、状態Ｓ３を離れ、信頼性のあるシ
ェルＴＳＨから出て、状態＄２にある信頼性のないシェ
ルＳＨに戻ることができる。あるいは、状態Ｓ３にある
ユーザは、機密保護アテンシロン・キーを押すことがで
き、また信頼性のあるシェルのコマンドを走行すること
ができる。どちらによっても、ユーザは状態Ｓ３の信頼
性のあるシェルに留まり続ける。ユーザが状態Ｓ３の信
頼性のあるシェル内で実行すべきタスクを完了すると、
ユーザは、信頼性のあるシェルから出て、状態Ｓ２に戻
る。

第９図ないし第１５図は、ユーザの端末と信頼性のある
計算ベースの間にどのようにして信頼性のある経路が確
立されるか、どのように信頼性のある経路を使い、完了
させて、ユーザが自分の信頼性のある経路から出て通常
の信頼性のない動作に戻るかを記載している。第９図は
、ｔｎｉｔプロセスを示す。第１０図は、第９図に続く
もので、ｉｎｉｔがｆｏｒｋ　を呼び出して子プロセス
を作成させ、次いで、ｇｅｔｔｙプロセスを子プロセス
に実行させて初期ログイン・プロンプトを印刷させ端末
特性を決定させるところを示す。第１！図は、第１０図
に続くもので、ユーザが自分のユーザ名をｇｅｔｔｙ　
にタイプしたとき、ｇｅｔｔｙがｌｏｇｉｎ　プロセス
を実行するところを示す。ｌｏｇｉｎプロセスはパスワ
ードの入力を促し、ユーザが入力したパスワードを確認
する。ログインに失敗するとｌｏｇｉｎプロセスにとど
まり、又ログインに成功すると第１２図に移る。第１２
図は、第１１図に続くもので、ログイン成功後に、ＳＨ
など、そのユーザに対して指定されたログイン・シェル
をログイ゛ン・プロセスが実行するところを示す。第１
３図は、第１２図に続くもので、ユーザが機密保護アテ
ンション・キー（ＳＡＫ）を押したとき、伝送制御手順
ドライバが制御端末プロセス・グループ中の全プロセス
にＳ　Ｉ　ＧＳＡＫシグナルを送るところを示す。これ
に応答して、ログイン・シェルＳＨは死に、ｉｎｉｔ　
プロセスが新たな子プロセスをフォークして、それが信
頼性のあるシェル・プロセスＴＳＨを実行する。第１４
図は、第１３図に続くもので、信頼性のあるシェルＴＳ
Ｈ内でパスワード・プロセスを走行させる場合には、Ｔ
ＳＨが子プロセスをフォークし、それがパスワードを実
行するところを示す。パスワード・プロセスが終わって
いる時、信頼性のあるシェルＴＳＨは、なお走行中であ
る。第１５図は、第１４図に続くもので、信頼性のある
シェルＴＳＨがｅｘｉｔ機能を実行し、それによって、
ユーザ端末と信頼性のある計算ベースの間に確立された
信頼性のある経路を終了させるところを示す。

第１６図及び第１７図は、シェルＳＨが複数のアプリケ
−シロン・プロセスを用いて多重処理または多重プログ
ラミング動作を行なうという、本発明のアプリケ−シロ
ンの別の状態を示す。第１６図は、複数のプロセスがシ
ェルＳＨのもとで多重プログラミングまたは多重処理の
動作中に実行されるという、第１２図に示したものと別
の状態を示す。第１７図は、第１６図に続（もので、機
密保護アテンション・キーを押して５ｒＧＳＡＫシグナ
ルを出したとき、シェルＳＨが複数のオペレーティング
・プロセスと共に終了し、ｉｎｉｔプロセスが信頼性の
あるプロセスＴＳＨを作成し、それによって、上記のよ
うに信頼性のある経路を確立するという、第１３図に示
したものと別の状況である。

第１８図、第１９図、第２０図は、多重処理モードまた
は多重プログラミング・モードで動作していて、その中
にトロイの木馬プログラムを含んでいたシェルＳＨが、
どのようにしてユーザによって信頼性のある経路に変換
されて、ユーザが自分の端末と信頼性のある計算ベース
の間で安全な通信を行なうことができるようになるかを
概略図で示す。第１８図は、スプレッドシート・プロセ
ス及びトロイの木馬プログラムが付随するデータベース
（ＤＢ）プロセスの２つのプロセスをシェルＳＨが走行
させているシステムの処理状態の概略図である。第１９
図は、ユーザが自分の機密保護アテンシロン・キー（Ｓ
ＡＫ）　を押り、て、シェルＳＨとその対応するスプレ
ッドシート・プログラム・プロセス、データベース・マ
ネージャ・プロセスを破壊させ、最も重要なことにトロ
イの木馬プログラムを破壊させることによって、どのよ
うにして自分の端末と信頼性のある計算ベースの間に信
頼性のある経路を確立できるかを示す。第１９図は、１
ｎｌｔプロセスが信頼性のあるシェルＴＳＨプロセスを
作成するところを示す。第２０図は、信頼性のあるシェ
ルＴＳＨプロセスがその信頼性のある経路上でユーザが
希望するタスクを遂行した後、信頼性のあるシェルＴＳ
Ｈが自然終了または脱出されて、１ｎｆｔにシェルＳＨ
を再作成させる所を示す。

信頼性のある経路を確実に確立するには、コンピュータ
・システム・ユニットが物理的に安全でなければならな
い。無許可の人がキャビネットを開けてその内部のハー
ド・ディスクにアクセスすることができないように、シ
ステム・ユニットは充分な物理的安全保護を有していな
ければならない。さらに、ユーザが勝手にオペレーティ
ング・システムをロードできないように、システム・ユ
ニットを構成しなければならない。本発明によると、ロ
ードを許されるオペレーティング・システムは、安全な
ＵＮＩＸ類似オペレーティング・システムだけである。

安全でないＵＮＩＸ類似オペレーティング・システムを
ロードさせないようにする１つの方法は、ユーザがシス
テ゛ム・ユニットに挿入しであるフロッピー・ディスケ
ットからオペレーティング・システムをブートするのを
防止することである。これは、システム・ユニット内部
のコネクタを変更して、省略時駆動機構をフロッピー・
ディスク駆動機構ではなく、安全なＵＮＩＸ類似オペレ
ーティング・システムがその中に常駐しているハード・
ディスクにすることにより、簡単に実現できる。さらに
、システム・ユニットの電源がオンになった時点から実
行されるソフトウェア・モジュールは、すべて信頼性の
あるソフトウェア・モジュールでなければならない。読
取専用メモリは、信頼性のあるソフトウェア・モジュー
ルでなければならず、信頼性のある計算ベースの一部と
みなされなければならない。安全なＵＮＩＸ類似オペレ
ーティング・システムをロードする際に実行されるすべ
てのコードは、信頼性のある計算ベースの一部であると
仮定される。こうした手続きを取った場合、ユーザは、
自分のオペレーティング・システムをブート・アップす
るとき、安全な状態から出発していると想定することが
できる。

第１表は、本発明による、ｉｎｉｔプロセスの擬似コー
ド表現を示す。第１表の擬似コードは、機密保護アテン
シジン・キーに関連するｉｎｉｔプロセスの諸態様を示
す。第２１図は、第１表の擬似コードの流れ図である。

ｉｎｉｔは、あるプロセスが終了するまで待つループで
ある。そのプロセスがどのように終了したか、及びどの
プロセスが終了したかに応じて、ｉｎｉｔは、別の処置
をとる。

第１表の最初のステートメントは、あるプロセスが終了
するのを待つことである。実際には、４つのケースがあ
る。つまり、プロセスは、５ＩＧＳＡＫまた°は正常な
ｅｘｉｔによって、終了できる。

Ｓ　ＩＧＳＡＫによる終了の場合には、プロセスはｇｅ
ｔｔｙ　フロセスかｌｏｇｉｎプロセスのいずれかであ
り、あるいは、既にログインしてユーザ・プロセスを走
行させているユーザ・プロセスのこともある。正常なｅ
ｘｉｔの場合には、信頼性のあるシェルまたは何ら°か
の他のプロセスであり得る。何が終了したのかに応じて
ｉｎｉｔは４種の処置の１つをとることができる。正常
なｅｘｉｔによってプロセスが終了し、それが信頼性の
あるシェルでなかった場合には、１ｎｆｔが行なうこと
は、ｇｅｔｔｙの新しいインスタンスを作成することだ
けである。これは、ユーザが既にログアウトしていたケ
ースである。ユーザは、現にシェルを走行させていて、
ログアウトし、そのシェルは終了する。シェルが終了す
ると、ｉｎｉｔは第１表の最初のステートメントでその
ことを検出し、それが正常なｅｘｉｔであり、信頼性の
あるシェルでなかったと判定すると、ｉｎｉｔは、ｇｅ
ｔｔｙの新しいインスタンスを作成して新たなログイン
・プロンプトを表示させる。

これは、正常なログアウトのケースである。ユーザがロ
グインの前に機密保護アテンション・キーを押していた
場合、ユーザは、既にログイン・プロンプトを得ている
ものの、それを信用しておらず、したがって機密保護ア
テンション・キーを押そうとする。このケースでは、ｉ
ｎｉｔは、プロセスが機密保護アテンション・キーによ
って終了したことを検出し、次いで、それがどういう種
類のプロセスであったかをチエツクする。それは、ｇｅ
ｔｔｙまたはｌｏｇｉｎのいずれかであった。そうした
ケースで、ｉｎｉｔが行なうことは、新たな試行プロセ
スをトレードすることである。ｉｎｉｔは、他のプロセ
スが有するユーザ端末に対するアクセス権を盲動に断つ
動作を実行する。ｉｎｉｔは、ユーザの端末に対するア
クセス・モードを所有者のみが読取り可能かつ書込み可
能に変更し、端末の所存権をルートに変更し、　ｖｈａ
ｎｇｕｐで端末に対するアクセスを取り消すことによっ
て、それを実行する。次いで、ｉｎｉｔは、ｅｘｅｃシ
ステム・コールを行なって、ｇｅｔｔｙプログラムの別
のコピーをオーバーレイする。ユーザがログアウトされ
るときに機密保護アテンション・キーを押すと、ｉｎｉ
ｔは、それを検出して、安全性のために環境の終結処置
を行ない、次いで、新しいｇｅｔｔｙのインスタンスを
作成する。

次のケースは、ユーザが既にログインしていて、機密保
護アテンション・キーを押す場゛合である。

このケースでは、ユーザは、通常のプロセスで走行中で
あるか、または既に信頼性のあるシェルを存するかのい
ずれかである。どちらのケースでも、ｉｎｉｔは、環境
の終結処置を行ない、ユーザに信頼性のあるシェルを与
える。ｉｎｉｔは、新しい子プロセスに対するｆｏｒｋ
　システム・コールを行ない、子プロセスはユーザ婚末
上でアクセス・モードを変更して、他の誰もその端末に
アクセスできないようにし、所有者ＩＤを変更し、ｖｈ
ａｎｇｕｐ　コマンドを使ってアクセスを取り消し、次
いで、ｉｎ　ｉｔは、子プロセスが今信頼性のあるシェ
ルを走行中であることを／ｅｔｃ／ｕｔｍｐファイル中
に記録シ、次に、ｅＸｅｃ　システム・コールを実行し
て信頼性のあるシェルをオーバーレイする。このように
して、信頼性のある経路が確立される。

信頼性のあるシェルが終了する方法が、次のケースであ
る。ユーザが今信頼性のあるシェルを走行中であり、そ
れを用いて実行し、たとえばコントロール−Ｄなどの終
了キーを押すと仮定する。こうしたことが起こると、１
ｎｆｔは、第１表のループの最上部で、プロセスが終了
したが、このとき、ユーザがコントロール−Ｄを押した
ので、その終了は正常のｅｘｉｔによるものであること
を検出する。ｉｎｉｔは、終了させたのが誰かを調べて
、それが信頼性のあるシェルであったことを知る。した
がって、ユーザをログアウトするのでなく、１ｎｆｔは
、新しい信頼性のないシェルを作成しようとする。そこ
で、ｉｎｉｔはｌｏｇｉｎ環境を再び作成し、子プロセ
スが今信頼性のないシェルを実行中であることを本質的
に想起させるレコードを、／ｅｔｃ／ｕｔ■ρファイル
に記録し、次いで、ｆｏｒｋ　システム・コールヲ実行
し、続いてｅｘｅｃシステム・コールを行なって、信頼
性のないシェルをオーバーレイする。したがって、４つ
の状況が存在する。

ｉｎｉｔは、プロセスが終了するのを待って、４つの状
況のどれが実際に起こったかを判定し、これら４つの状
況に応じた動作を行なう。

ここで、第１表に関して上記に記載したような、本発明
によるｉｎｉｔプロセスの動作に焦点を合わせて、第８
図ないし第２０図を再検討する。第８図は、プロセスが
とり得る３つの状態のうちの１つを示す状態図である。

状態１は、ログイン前にユーザが真のｌｏｇｉｎプログ
ラムと対話しているときである。状態２は、ユーザがロ
グインに成功した直後に機密保護アテンション・キーを
使用する前に入る状態であり、最後に、状態３は、ユー
ザが機密保護アテンション・キーを押した後、実際に信
頼性のあるシェル中にあるときである。ユーザが、状態
Ｓ１から出発し、真のｌｏｇｉｎに対話しているものと
する。ユーザにできることは、ログインに成功するかそ
れとも機密保護アテンション・キーを押すか２つのうち
の１つである。機密保護アテンション・キーを押す場合
は、直ちに状態１、言い換えれば、ログイン前の状態に
戻る。

ただし、ユーザの名前及び正確なパスワードを指定した
場合は、ログインに成功して、状態２に移り、すなわち
、今通常のシェル（信頼性のないシェル）を有し、通常
の環境にある。状態Ｓ２からは、自分の通常の信頼性の
ない作業を何でもやることができ、自分の通常の作業を
している間は、状態Ｓ２に留まり続ける。しかし、信頼
性のあるシェルに入りたい場合は、機密保護アテンショ
ン・キーを押す。機密保護アテンション・キーを押すと
、状態Ｓ２から、信頼性のあるシェルである状態Ｓ３に
移る。ここからは、たとえ機密保護アテンション・キー
を繰り返し押しても、状態Ｓ３に留まる。

言い換えれば、−たび信頼性のあるシェルに入ると、機
密保護アテンション・キーを繰り返し押しても状態Ｓ３
に留まる。以前の状態に戻るには、コントロール−Ｄを
押すか、または通常の脱出を行なう。したがって信頼性
のあるシェルにいてコントロール−Ｄを用いて通常の脱
出を行なう場合、通常の信頼性のないシェルに戻り、そ
こからコントロール−Ｄを押すと、最初の状態、すなわ
ちログアウト状態に戻る。

第９図に移って、作成され破壊される、プロセスのシー
ケンスを示す。最初に、システムを立ち上げるとき、１
個のプロセスｉｎｉｔが存在し、ｉｎｉｔがシステムの
全プロセスの最上位の親プロセスである。第９図は初期
状態を示し、第１０図は、ｉｎｉｔが最初のプロセスを
生成する時に何が起こるかを示す。このケースでは、そ
れはｇｅｔｔｙであり、ｇｅｔｔｙは画面上に初期ログ
イン・プロンプトを表示するプロセスである。これは、
計算機とログインの名前を示す。このプロセスは、主と
して、端末に耳を傾け、端末がどんな伝送速度で動作し
、ログインしようとするユーザの名前を読み取るかを決
定する責任を負う。

次いで、第１１図は、ｇｅｔｔｙがユーザ名の読取りに
成功し、端末の正確な速度を検出し、次いでｅｘｅｃを
呼び出して、システムがログイン・プログラムを実行す
ることを要求することによりそれ自体をオーバーレイし
た後で、何が起こるかを示す。言い換えれば、ｇｅｔｔ
ｙは、ユーザにパスワードの入力を促し、このパスワー
ドを比較するか、あるいはパスワードを暗号化してから
暗号化したパスワードを／ｅｔｃ／ｐａｓｓｗｄと呼ば
れるシステム・ファイルの１フアイル上にあるパスワー
ドの暗号化リストと比較する。一致した場合、ログイン
は成功であり、第１２図に移る。不成功の場合、ログイ
ンは繰り返しユーザ名とパスワードの入力を促す。

第１２図に移って、ログインが成功の場合、ログイン・
プログラムは、ｅＸｅｃを使って、これにシェル名をつ
けることにより、それ自体をシェルとオーバーレイする
。この時点で、今や親プロセスｉｎ　ｉｔがあり、その
直接の子孫がシェルまたはＵＮＩＸ用のコマンド解釈プ
ログラムを走行中である。この状態で、ユーザは自分の
通常の作業を実行することができ、これは第８図の状態
Ｓ２に対応する。ユーザが信頼性のあるシェル中に入ろ
うと判断したものと仮定する。

第１３図は、３つの段階を示す。第１のステップは、シ
ェルを伴うｉｎ　ｉｔを示し、次いで、ユーザが機密保
護アテンション・キーを押した場合に最初に起こること
は、シェルが終了することである。シェルが終了すると
、ｉｎｉｔ自体が残り、ｉｎｉｔはシェルの終了を検出
し、その代りに信頼性のあるシェルを作成する。このと
き、状態Ｓ３にあり、信頼性のあるシェル中でユーザが
自分の作業をすることができる。それによって、信頼性
のある経路が確立される。

どのようにして信頼性のある経路が確立されるかの詳細
は、擬似コードに入っている。第１３図は、シェルｒｓ
ＨＪを伴うｉｎｉｔを示す。ユーザが機密保護アテンシ
ョン・キーを押した場合、シェルが終了する。第１表の
擬似コードを見るとわかるように、ｉｎｉｔ　はプロセ
スが終了するのを待っており、プロセスはＳ　Ｉ　ＧＳ
ＡＫシグナルによって終了し、この場合、プロセスはユ
ーザ・プロセスまたはシェルであった。こうして、信頼
性のある経路を確立するためにｉｎｉｔが行なうステッ
プは、第１３図で第２ステツプと第３ステツプの間に示
した、新しい子プロセスをフォークすることであり、シ
ステムはｉｎｉｔから子プロセスを伴うｉｎｉｔへと移
る。ユーザ端末のアクセス・モードを所有者のみ読取り
可能かつ書込み可能に変更し、その端末の所存者ＩＤ及
びグループＩＤをルートに変更し％　ｖｈａｎｇｕｐコ
マンドで端末に対するアクセスを呼び出すことによって
、信頼性のある経路が確立される。これらのステップで
信頼性のある経路が確立される。次いで、ｉｎｉｔは、
子プロセスが信頼性のあるシェルを走行中であることを
／ｅｔｃ／ｕｔｍｐファイルに記録し、第１３図の最終
ステップである信頼性のあるシェルのｅｘｅｃを実行す
る。

を 第１３図から、ユーザが信頼性のあるシェルからいくつ
かのコマンドを実行しようとしていると仮定する。たと
えば、ユーザが自分のパスワードを変更したい場合、パ
スワード・コマンドをタイプすると、直接の子孫として
信頼性のあるシェル、その下の子孫としてパスワード・
コマンドを伴っているｉｎｉｔをもつという、第１４図
に示した最初の遷移が生じることになる。次いで、この
パスワード・コマンドが終了すると、ちょうどｉｎ　ｉ
ｔと信頼性のあるシェルだけがある状況に戻る。第１４
図には、信頼性のあるシェルを走行させ、コマンドを出
し、このコマンドを実行させ、次いで信頼性のあるシェ
ルに戻るところを示す。

第１５図に進むに当たって、ユーザが信頼性のあるシェ
ルを用いて仕事を片づけ、通常のシェルに戻ろうとする
ものと仮定する。この図は、第８図の元の状態図で状態
Ｓ３から状態Ｓ２に移るときに何が起こるかを示してい
る。ユーザが信頼性のあるシェルに対するコントロール
−Ｄを押した場合、信頼性のあるシェルが終了し、次い
で、ｉｎｉｔが信頼性のあるシェルを再び作成する。第
１表の擬似コードを参照すると、再びループの最上部か
ら出発して、ｆｎｌｊはプロセスが終了するのを待ち、
プロセスが終了したのを検出すると、どのような状況下
で終了したのかを調べる。ユーザは信頼性のあるシェル
から通常の脱出を行なったので、ｉｎｉｔは、通常脱出
によってプロセスが終了したとのステートメントに達す
る。次いで、１ｎｆｔは、どういう種類のプロセスが終
了したのかを調べる。この場合は、信頼性のあるシェル
であった。したがって、ｉｎｉｔは３つのステップを実
行する。１ｎｆｔが最初に行なうことは、ログイン環境
を再生成することである。すなわち、その特定のユーザ
ＩＤを有するプロセスが、ユーザが最初にログインした
ときの通りに環境を再び初期設定するということである
。ｉｎｉｔは、／ｅｔｃ／ｕｔｍｐファイル中に、子プ
ロセスが今は信頼性のあるシェルと対立するものとして
の信頼性のないシェルを走行させていると記録し、次い
で、ｆｏｒｋ−ｅｘｅｃシステム・コール・シーケンス
を実行シて、信頼性のないシェルをオーバーレイする。

そうすると、第１５図の第３のステップに至ることにな
る。

第１６図は、その下に数個のプロセスを走行させている
シェルｒｓＨＪの一例を示す。たとえば、ユーザがログ
インし終わった後、ユーザが信頼性のあるシェルを有し
ていようと通常のシェルを有していようと、コマンドを
実行する際に、それは、そのシェルの直接の子孫である
プ゛ロセスを作成する。最初の図はスプレッドシートを
走行中のシェルｒｓＨＪを示し、次いでこのスプレッド
シートが他のオペレーティング・システム・コマンドを
走行させるため゛、さらに次のサブシェルを作成する。

第１６図の第２の図は、シェルＳＨと、その特定シェル
から実行されている任意の数のプロセスを表わすプロセ
スのツリーとを伴うｉｎｉｔである。

第１７図は、ユーザが機密保護アテンシ１ン・キーを押
したが、シェルＳＨ以外のものもある場合、どんなこと
が起こるのかを示す。言い換えれば、ユーザが通常の信
頼性のないシェルで作業していて、たとえば様々なアプ
リケ−シロン・プログラムなど、プログラムの全体を走
行させている最中であると仮定する。この図は、シェル
ＳＨが終了するだけでなく、シェルＳＨの下で走行して
いるすべてのプロセス、すなわち全アプリケ−シロン・
プログラムも終了することを示している。

第１８図は、走行するプロセスのタイプの特定の例であ
る、プロセスの集合と端末の間の関係を示す。第１８図
は、スプレッドシート及びデータベースを伴うシェルＳ
Ｈを示し、データベースがトロイの木馬を含んでいるあ
るプログラムを走行させたと仮定する。これらはすべて
、ある特定の端末に接続され、対話している。これらす
べてのプロセスで、ユーザが機密保護アテンション・キ
ーを押すと、シェル、スプレッドシート、データベース
、及びトロイの木馬が直ちに終了し、その代りに信頼性
のあるシェルＴＳＨが端末に接続される。

信頼性のあるシェルを使ってユーザが仕事を片付け、第
２０図の制御りを押すと、ｔｎｉｔは、信頼性のあるシ
ェルを削除し、その代りに通常の信頼性のないシェルＳ
Ｈが端末に接続される。

第　　１　　表 Ｉｎ１ｔ： プロセスが終了するのを待つ； １ｆＳＩＧＳＡＫによってプロセスが終了したｔｈｅｎ ｉｆプロセスがｇｅｔｔｙ　またはｌｏｇｉｎ　であっ
たｔｈｅｎ 新たな子プロセスをフォークする； 子フロセスが端末のアクセス・モードを所存者のみ読取
り可能かつ書込み可能に変更する； 子プロセスが端末の所有者ＩＤ及びグループＩＤをルー
トに変更し；　　ｖｈａｎｇｕｐで端末に対するアクセ
スを無効化する； 子プロセスがｇｅｔｔｙプログラムを実行する； ｅｌｓｅ　ｉｆプロセスがユーザ・プロセスまたはＴＳ
Ｈであったｔｈｅｎ 新しい子プロセスをフォークする； 子フロセスが端末のアクセス・モードを所を者のみ読取
り可能かつ書込み可能に変更する； 子プロセスが端末の所有者ＩＤ及びグループＩＤをルー
トに変更し；　　ｖｈａｎｇｕｐで端末に対するアクセ
スを無効化する； ／ｅｔｃ／ｕｔｍｐ　ファイル中に、子プロセスがＴＳ
Ｈを走行中であると記録する； 信頼性のあるシェル（Ｔ　Ｓ　Ｈ）を実行する； ｅｎｄ　１ｆ ｅｌｓｅ　ｉｆ通常の脱出によってプロセスが終了した
ｔｈｅｎ ｉｆプロセスがＴＳＨであったｔｈｅｎｌｏｇｉｎ環境
を再生成する； ／ｅｔｃ／ｕｔｍｐ　ファイル中に、子プロセスが信頼
性のないシェル上で走行中であることを記録する； 信頼性のないシェルをフォーク／実行する ｅｌｓｅ ｇｅｔｔｙの新しいインスタンスをフォーク／実行する
。

ｅｎｄ　１ｆ ｅｎｄ　１ｏｏｐ Ｆ０発明の効果 本明細書に開示した、オペレーティング・システム用の
信頼性のある経路機構は、無許可プログラムがユーザ端
末からデータを読み取るのを防止することができる信頼
性のある経路機構をもたらす。機構は、ユーザが端末の
キーボードでタイプしたデータが無許可プログラムによ
る侵入から防護されることを保証する。この信頼性のあ
る経路機構により、ユーザは、ユーザ端末と信頼性のあ
るオペレーティング・システム・ソフトウェアの間に偽
造不可能かつ侵入不可能な通信経路を形成することがで
きる。

【図面の簡単な説明】

第１図は、本発明に従って、信頼性のある経路を呼び出
すための機密保護アテンシ１ン・キー機能を中に含む、
ＵＮＩＸ類似のオペレーティング・システムで動作する
データ処理装置の概略図である。 第２図は、ＵＮＩＸ類似のマルチ・ユーザ・オペレーテ
ィング・システムで動作するデータ処理装置の概略図で
ある。 第３図は、信頼性のある経路の確立を示す、第２図のデ
ータ処理装置の概略図である。 第４図は、プロセスを管理するためにカーネルによって
維持されるテーブルを示す図である。 第５図は、システムを初期設定するとき、カーネルがど
のようにプロセスを構築するかを示す図である。 第６図は、親プロセスと子プロセスの関係を示す図であ
る。 第７図は、プロセスが、どのようにしていくつかの状態
のうちの１つの状態をとり得るかを示す図である。 第８図は、機密保護アテンシ１ン・キー（ＳＡＫ）を押
したときの状態図である。 第９図は、ｉｎｉｔプロセスを示す図であゐ。 第１０図は、第９図に続くもので、ｉｎｉｔがｆｏｒｋ
を呼び出して子プロセスを生成し、次いで、子プロセス
に初期ログイン・プロンプトを印刷して端末特性を決定
するｇｅｔｔｙプロセスを実行させるところを示す図で
ある。 第１１図は、第１０図に続くもので、ユーザが自分のユ
ーザ名前をｇｅｔｔｙにタイプしたとき、ｇｅｔｔｙが
ログイン・プロセスを実行するところを示す。 第１２図は、第１１図に続くもので、ログインに成功し
た後に、ログイン・プロセスが、たとえばＳＨなど、こ
のユーザに指定されたログイン・シェルを実行するとこ
ろを示す。 第１３図は、第１２図に続くもので、ユーザが機密保護
アテンシヨン・キー（ＳＡＫ）を押すと、伝送制御手順
ドライバが制御端末プロセス・グループ中の全プロセス
に５ＩＧＳＡＫシグナルを送るところを示す。これに応
答して、ログイン・シェルＳＨは死滅し、ｉｎｉｔプロ
セスが新しい子プロセスをフォークして、これが信頼性
のあるシェル・プロセス（ＴＳＨ）を実行する。 第１４図は、第１３図に続くもので、信頼性のあるシェ
ルＴＳＨ内でパスワード・プログラムを実行させる場合
に、ＴＳＨが子プロセスをフォークし、この子プロセス
がパスワードを実行するところを示す。パスワード・プ
ロセスが終わったとき、信頼性のあるシェルＴＳＨは、
なお実行中である。 第１５図は、第１４図に続くもので、信頼性のあるシェ
ルがｅｘｉｔ機能を実行し、それにより、ユーザ端末と
信頼性のある計算ベースの間に確立されていた信頼性の
ある経路を終了させるところを示す。 第１６図は、複数のプロセスがシェルＳＨの下で、多重
プログラミングまたは多重処理動作で実行されている、
第１２図に示したものと別の状態を示す。 第１７図は、第１６図に続くもので、機密保護アテンシ
１ン・キーを押して、５ＩＧＳＡＫシグナルを出すと、
上記のように、複数のオペレーティング・プロセスを有
するシェルＳＨが終了し、ｉｎｉｔプロセスが信頼性の
あるプロセスＴＳＨを作成し、それによって、信頼性の
ある経路を確立するという、第１３図に示したものとは
別の状況を示す。 第１８図は、シェルＳＨが、スプレッドシート・プロセ
スと、トロイの木馬プログラムが付加されているデータ
ベース（ＤＢ）プロセスの２つのプロセスを実行してい
るシステムにおける処理状態の概略図である。 第１９図は、自分の機密保護アテンシｅン・キー（ＳＡ
Ｋ）を押して、シェルＳＨとその対応するスプレッドシ
ート・プログラム・プロセス及びデータベース・マネー
ジャ・プロセスを破壊させ、最も重要なことには、トロ
イの木馬プログラムを破壊させることにより、ユーザが
、どのように自分の端末と信頼性のある計算ベースの間
に信頼性のある経路を確立することができるかを示す図
である。第１９図は、Ｅｎｌｔｎｌ上スが信頼性のある
シェルＴＳＨプロセスを作成するところを示す。 第２０図は、ユーザが希望するタスクを信頼性のあるシ
ェルＴＳＨプロセスがその信頼性のある経路上で遂行し
た後、信頼性のあるシェルＴＳＨが自然終了または脱出
され、それによってｆｎｉｔにシェルＳＨを再び作成さ
せるところを示す図である。 第２１図は、本発明によるｉｎｉｔプロセスの流れ図で
ある。 出願人　　インターナシロナル・ビジネス・マシーンズ
ーコーポレーシロン 代理人　　弁理士　　頓　　宮　　孝　　−（外１名） システム プロセス　　　プロセス　　　　　　　　　　　１０せ
ス第６＠ プロセス終了 （ＬＯＧＩＮシェ―し八ｔとｌ　　　（ＴＳＨシエし屋
１ね　）第８図 第１２Ｅ ＳＡＫ打健 第１３図 第１４２ 第１５図　　　　ＴＳＨｔ　ＥＸＩＴ 第１９図 第２０図

Claims (2)

【特許請求の範囲】
1. （１）ＵＮＩＸ型のオペレーティング・システムにおい
   て、ｉｎｉｔプロセスを走行させるデータ処理装置に接
   続された端末と上記データ処理装置中の信頼のおける計
   算ベースのシェル部分との間に、要求に応じて、信頼の
   おける経路を形成する方法であって、 上記ｉｎｉｔプロセスの制御の下に走行している既存の
   プロセスの終了をテストし、 上記要求により上記既存のプロセスが終了した時、上記
   ｉｎｉｔプロセスによりｆｏｒｋシステム・コールを実
   行して新しい子プロセスを生成し、端末のアクセス・モ
   ードを、所有者のみに読取り可能且つ書込み可能に変更
   し、 端末の所有者識別情報をルートに変更し、 端末に対するアクセスを取消し、 上記子プロセスが信頼のおけるシェルを走行させている
   ことを記録し、 上記新しい子プロセス上に上記信頼のおけるシェルをオ
   ーバーレイするためにｅｘｅｃシステム・コールを実行
   するステップを含む、 端末とデータ処理装置との間に信頼のおける経路を形成
   する方法。
2. （２）複数の端末が接続され、少なくとも１つの端末が
   機密保護アテンション・キーを有するキーボードを含み
   、ＵＮＩＸ型のオペレーティング・システムが稼働して
   いるデータ処理システムにおいて、上記機密保護アテン
   ション・キーに応答して、上記端末と上記オペレーティ
   ング・システムの下のｉｎｉｔプロセスの子プロセスで
   ある信頼のおける計算ベースのシェル部分との間に信頼
   のおける経路を形成する方法であって、 上記キーボードに接続されたキーボード・デバイス・ド
   ライバにおいて上記機密保護アテンション・キーを検出
   し、 上記キーボード・デバイス・ドライバから機密保護アテ
   ンション・キー・シグナル・ジェネレータに、上記機密
   保護アテンション・キーが検出されたという情報を出力
   し、 上記機密保護アテンション・キー・シグナル・ジェネレ
   ータから、上記端末のプロセス・グループ中で動作して
   いる全てのプロセスにＳＩＧＳＡＫシグナルを出力して
   、上記プロセスの全部を終了させ、 上記ｉｎｉｔプロセス以外の上記データ処理システム中
   の全部のプロセスに対してアクセス許可を拒否するよう
   に、上記端末とインターフェースする全てのデバイス・
   ドライバに関連するアクセス許可テーブルに上記ＳＩＧ
   ＳＡＫ信号を印加し、上記ｉｎｉｔプロセス以外の上記
   データ処理システム中の全部のプロセスに関して、上記
   端末とインターフェースする上記デバイス・ドライバに
   関する全部のアドレシング情報を除去するように、ファ
   イル・アクセス・テーブルに上記ＳＩＧＳＡＫ信号を印
   加し、 上記ｉｎｉｔプロセスによりｆｏｒｋシステム・コール
   を実行して新しい子プロセスを生成し、 ｅｘｅｃシステム・コールを実行して、上記新しい子プ
   ロセス上に、信頼のおけるシェル・プロセスであって上
   記端末とインターフェースする上記デバイス・ドライバ
   に対してアクセス許可を有し且つ上記デバイス・ドライ
   バに対する上記ファイル・アクセス・テーブル中に定義
   されたアドレシング関係を有するものをオーバレイする
   ステップを含む、 端末とデータ処理装置との間に信頼のおける経路を形成
   する方法。