JPH0315960A - コンピュータ・システムとその保安方法 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 この発明は全般的にディジタル・コンピュータ・システ
ム、更に具体的に云えばコンピュータ・システム内のデ
ータに対する１−ザのアクセスをＩＩＩ御する装誼と方
法に関する。

コンビ１−夕の短かい歴史では、データの保安性は初め
は比較的重要性がなく、コンピュータの物理的な安全性
と同義であった。然し、コンピュータに記憶され、その
操作を受けるデータの量、価値及び重要性が高まるにつ
れて、データの保安性の重要性が着実に増大してきた。

」ンビュータで使われるデータの量、価値及びセ蛭性の
成長速度は急激に増大している。更に、データ通信の重
要性及び普及により、権限のないアクセスからコンピュ
ータ・システム及びその重要なデータを保護するには、
物理的な保安性だけでは不十分になった。

コンピュータ・システムに対する現在の保安措置は、ア
クセス制御リスト（ＡＣＬ）又Ｕ同等のメカニズムを利
用するのが酋通である。ＡＣＬはコンピュータ・システ
ム内の対象と関係する。一般的にこの対象はプログラム
、ファイル又はディレクトリである。ＡＣＬは、誰がそ
の対象のアクセスがでぎるか、そしてどんな形でアクセ
スすることが出来るかを記述するリストである。典形的
な形式のアクセスは読取、書込み、実行及び削除である
。典形的なコンピコータ保安システムの要約が、１９８
５年にアジソン・ウェズレー・パブリッシング・カンパ
ニーから出版された口．ビーターソン及びＡ．シルペル
シャツの著書「オペレーティング・システム・コンセブ
ツ」に記載されている。

サイアンティフィック・ハネウェラ誌，第６巻第２号．
１９８５年７月弓の「安全な計ｎ：安全なＡｄａターゲ
ット方式」に記載されている様に、ＡＣＬを使っても、
コンピュータ・システムをあらゆる種類の侵入から保ｉ
ｉ！ｉることかできない。

特に、「トロイのｌ馬」及び「ビールス」と呼ばれるプ
ログラムは、ＡＣＬが施こす保護作用を側路することか
でぎる。ＡＣＬは、重要な分類された防ＷＩＩ類を保護
するのに必公なレベルの保安性を持たない。

合衆国国防省では、全ての情報は４つの分類レベルのう
ちの１つになっている。即ち、未分類、機密、秘密又は
極秘である。秘密及び極秘の分類では、情報は更に「区
睡」と呼ばれる類に分けられている。例えば、極秘の分
類の中で、情報は軍隊の配置、スター・ウォーズ防衛シ
ステム、核兵器のｔｌ設及び核兵器の配置に関係する区
画に分けられることがある。単に極秘のＱ　ｔｑを持つ
だけでは、或る人間又はコンピュータ・プロセスがこの
全ての情報をアクセスすることは許されない。更に各々
の特定の区画に対するアクセスの認可も受けていなけれ
ばならない。従って、ユーザがコンピュータ・システム
の情報及びプログラムにアクセスづる為には、そのユー
ザは正しい分類及び区自の両方に対するアクセスの認可
を持っていなければならない。

Ｍ　Ｉ　Ｔ’　Ｒ　Ｅデクニカノレ・レポートＶＴＲ２
９９７．１９７５年７月号のベル及びバデューラの論文
「安全なコンピュータ・システム：統一した展示及びマ
ルチックスの解釈」では、国防省の基準に合格するくら
いの保安性を持たせるのに十分な保安警察モデルが間発
されている。このシステムを説明すれば、国防省で使わ
れている保安コンピュータ・システムの基本的な構成が
分かる。

このベル及びバデューラのシステムでは、情報に対する
アクセスがプロセス毎に許再される悉くのノＩイル又は
プログラムは、１つ又はより多くの区画を含む分類を持
ち、その種類の情報及びプログラムに対するアクセスが
認ｒ＋Ｊされているユーザ及びプ［Ｊセスだけがそれを
利用することができる。

この様な従来のシステムがとる一般的な方式は、情報を
「コンテナ」にまとめる。コンテナは、ファイルの様な
関連するデータ、又はプログラム或いはサブプログラム
の様な論理的な実行し得るコードのブロックの集合を収
めてある。コンテナ内の全てのデータは、単にそれがコ
ンテナ内にあると云う理由で、同じレベルに分類される
。コンデナ内の或るデータが、その場所の為に過剰分類
されることは極く普通である。データ項１」を個別に分
類する試みはしない。これは、文書の残りは特に分類し
なくても、印刷された文書全体が１襞な２つのバラグラ
フを含んでいる為に、高レベルに分類されると云うのと
ｌｉ３１様である。

例えば、ファイル内の何らかのデータが高い分類を要求
する程重要である場合、ファイル全体をその様に分類し
なければならない。特定のファイル内の重要なデータ及
び重要でないデータを分離する簡単で信頼性のあるメカ
ニズムはない。この為、ある重要な情報項目がファイル
に入っている時には、重要なデータと関係を持つ為に、
ファイルの大部分が上級に分類されることがある。時間
がたつと、こう云う状況では多数のファイル及びプログ
ラムが畠い分類になるが、この様な高い分類が大部分の
データに対しては不用となっていることがある。未分類
であるか或いは低いレベルの分類であって、１つ又は更
に多くの高い分類の項目との関係を持つ為に一層高いレ
ベルに分類しなければならなくなった情報は、「色付け
した」と云うことができる。

コンピュータ・システムは、必要なレベルだけでデータ
を分類することができることが望ましい。

高い分類にしなければならないデータはその分類にする
ことを保証すべきであるが、それより低い分類のデータ
は色付けされることを避け、低い分類のままにしておく
。

従って、この発明の目的は、全てのデータがその分類を
保持するが、どのデータも上級の分類に変えられない様
にする、コンピュータ・システムに対する保安方式を提
供することである。

即ち、この発明では、コンピュータ・システムで、メモ
リ内の悉くのワードは対応するラベルを持っている。こ
のラベルは保安の分類を示すと共に、それがあれば、そ
のデータ・ワードの区画を示す。何らかの命令によって
ワードがアクセスされる度に、アクセスが許可ざれてい
るかどうかを調べる為に、その分類が検査される。

分類ラベルが、ユーザがアクセス可能なデータ・メモリ
とは別個の保安メモリに入っている．，同じくユーザが
アクセス不可能である保安装置で、各々のワードのラベ
ルが検討される。コンピュータ・システムのメモリ内に
ある何れかのワードを不正にアクセスしようとする試み
は、保安の違反を発生し、現在進行中のブＯセスのそれ
以上の実行を１出する。

この発明を特徴付ける新規な特徴は特許請求の範囲に記
載してある。この発明の上記並びにその他の目的及び利
点は、以下明らかになろう。例として制約するつもりは
ないが、好ましい実施例が図面に示されている。

実　　施　　例 以下の好ましい実施例の説明では、ベル及びバデューラ
形コンピュータ保安モデルによって保安コンピュータ・
システムに要求される２つの性質を用いている。こう云
う性質ｔよ単純な保安性と★−性である。

この方式の１つの特徴は、個々のデータ・ワードに保安
レベルをラベルとして付けることである。

システム内にある悉くの記憶ワード及び悉くのレジスタ
はラベルを持っている。保安の為、システム内の悉くの
データ◆ワードは、ベル及びバデューラが云う意味での
対象になる。

コンピュータ・システムで実行される悉くのプロセスは
主体と呼ばれる。悉くの主体は、オペレーティング・シ
ステムの保安核によってユーザと関係付けられる。これ
は普通、制限された物理的な７クセスと合言葉の様な人
員確認子のある組合せを使うことによって行なわれる。

悉くの主体は最高レベルの認１寸を右する。この最高レ
ベルはプロセス状態の一部分であって、プロセッサ内に
管理される。ＪＩ高レベルの主体は主体によって変更す
ることができない。このレベルは、オペレーテイング・
システムの保安核の信用のある部分のみによって変更す
ることができる。

単純保安性は、主体のレベルが対象のレベルを支配しな
ければ、どんな主体も対象をアクセスでることができな
いことを述べる。支配は、２つの対象の保安分類の間の
２元的な関係であって、次に定義する。

一般的に、★一性は、一ｍ低い分類の対象を修正する為
に、主体が高い分類の対象から直接的又は間接的に求め
た情報を使ってはならないことを意味する。これはもつ
と形式的に云えば、「対象１のレベルが対象２のレベル
によって支配されなければ、ＥＩＥ＋４は対象１に対す
るアクセスを「守る」と同時に対１ａ２に対するアクセ
スを「変更する」ことができない」と云うことができる
。更に、動作中のプロセスの制御状態に間接的に含まれ
ているかも知れない情報を使って、プロセスの現在の１
１１１１１状態を判定する為に使われた対象よりも、層
低い保安分類を持つ対象の内容を修正することはできな
い。これを第２図及び第４図について更に詳しく説明す
る。

主体のレベルは、主体の！＆高分類が対象の分類より高
いか又はそれに等しい場合にだけ対象のレベルを支配し
、主体はその対象が属する悉くの区画に対するアクセス
が許可される。これを形式的に書１プば、次の様に表わ
すことができる。

ａ　　　５　　　ｂ　　　ｉｆｆ 分類（ａ）≧分類（ｂ） 及び区画（ｂ）　ｃ．区画（ａ） 分類レベルは典形的には機密、秘密及び極秘である。区
画は多数の主題のどれであってもよい。

次に例として、以下の説明では、分類を数値レベルで考
え、区画はアルファベットの一文字で単純に表わす。

次に延べるδ関係の例は、表工にある対象に対して示し
た分類と区画を使う。表Ｉの対象では、次の関係が真実
である。ｄ　　６　　ｂ，及びｄδＣ．夫々の場合、こ
の関係の左側の対象の分類レベルが右側の対象の分類レ
ベルより高いか等しく、右側の対象の１組の区画にある
悉くの項目が左側の対象の１組の区画に入っている為、
こう云う関係が真実であることが容易に分る。δ関係は
、表工にある残りの全ての対の対象に対しては虚偽であ
る。例えば、対象ｂが区ｉ！ｉｂに対するアクセスを持
たない為に、ｂ６ａが虚偽であり、ａの分類がｂの分類
より低い為に、ａ　δ　ｂは虚偽である。

ｆｉＩ 対　　象　　　　　分　　類　　　　　　　呈−一亘ａ
　　　１　　　Ｂ．Ｃ ｂ　　　２　　　Ｃ ｃ　　　３　　　Ａ．Ｄ ｄ　　　３　　　Ａ．　Ｃ．　Ｄ 第１図について説明すると、この発明を実施したシステ
ムの高単位ブロック図が示されている。

コンピュータ・システム１０が普通のデータ・メモリを
１２を持っている。データ・メモリ１２内にあるデータ
に対する算術及び論理操作がデータ装置１４で実行され
る。命令装置１６がデータ・メモリ１２から命令を取出
し、メモリ１２にあるデータ対象に対して、データＶＲ
欧１４の機能を行使させる。

データ・メモリ１２の他に、保安メモリ１８がデータ・
メモリ１２の各々のワードに対する分類情報を持ってい
る。保安メモリ１８にある情報に対する保安操作が保安
装置２０によって実行される。保安装＠２０の実際の機
能は、命令装１ｉｆｌ６によって保安装置２０に対して
同定される、現在実行中の命令の種類に関係する。保安
メモリ１８及びデータ・メモリ１２は完全に並列に動作
し、データ装置からアドレス信１”＋　Ａ　Ｄ　Ｌ）　
Ｒを通じて同時にアドレスされる。

第１図から、このシステムの保安の特徴を比較的容易に
殆どどんな普通のコンピュータ・システムにも追加する
ことができることが理解されよう。

保安装置２０はデータ装置１４と並列に動作するが、完
全にそれから独立して動作する。同様に、保安装Ｖａ１
８及びデータ・メモリ１２は完全に独立している。

保安１１２０の更に詳しい機能がブロック図で第２図に
示されている。これから説明するシステムはロード／記
憶プロセッサである。然し、ここで説明するシステムを
若干修正して、当業者に明らかである様に他の形式のブ
Ｏセツサでも作用する様にすることは容易にできる。

保安ラベルのレジスタ・ノ？イル２２が、データ装Ｉ１
１４内にある同様なレジスタ・ファイル（図に示してな
い）に対する全てのラベルを持っている。ＣＤＬレジス
タ２４が、後で説明でる制御領域レベルを持っている。

ＣＤＬは、レジスタ・ファイル２２で使われるのと同一
の形式の保安ラベルである。

Ｉｎ高レベル１１８１（ＭＡＸ）が比較ブロック２６で
実行される。ブロック２６に対する入力はＣＤＬ　　２
４の内容と、レジスタ・ファイル２２からの１つ又は２
つのラベル（現在の命令の実行に使われる数だけ）であ
る。ＭＡＸブロックが、その入力を支配する最低保安レ
ベルを計算する。例えば、表Ｉの対象ａ及びｂに対する
ＭＡＸの出力は、分類（２）及び区画（Ｂ．Ｃ）である
。ＭＡＸブロック２６がデータ装誼のＡＬＵ　（図血に
示していない）と大体並列に動作する。従って、データ
装置がそのレジスタ・ファイルからの２つのレジスタに
対して作用し、その結果をレジスタ・ファイルにある３
番目のレジスタに記憶する時、ＭＡＸ機能は２つの入力
レジスタの最低の支配レベルを見つけ、その結果を３番
目のレジスタに対するラベルに記ａｔる。データ対象が
データ・メモリ１２に書込まれる時、その保安レベル（
ＭＡＸ２６で発生される）が同時に保安メモリ１８に書
込まれる。データ操作に対するＭＡＸ機能の計算が、計
算結果に関係する★一性の一部分を満たす。

ＭＡＸＬレジスタ２８が現在実行中のプロセスに対する
保安認可を持っている。ＣＤＬレジスタ２４と同じく、
ＭＡＸＬは標準保安ラベルに情報を持っている。３つの
論理ブロック３０．３２．３４がδ機能を実行し、論理
的に真及び虚偽の信号を発生し、それらがオア・ゲート
３６でオアされる。

各々の命令を実行した時、主体（ブＯセス）のＭＡＸＬ
が命令に対する各々の人力の保安レベルと比較される。

レジスタ・ファイルから１つの伯を必要とする場合、そ
れが論理ブロック３４で比較され、レジスタから２番目
の値を必要とする場合、それが論理ブロック３２で比較
される。メモリから値を読取る時、それが論理ブロック
３０でＭＡＸＬと比較される。

一般的に１個の命令は、３つの論理ブロック全部を同時
に使うことを必要としない。例えば、単にメモリから値
を読取る時、そのラベルを保安メモリ１８から求め、Ｍ
ＡＸＬと論理ブＯツク３０で比較する。レジスタ・ファ
イルから何も読取らないから、論理ブロック３２．３４
には信号が印加されず、これは欠落により、δ関係が満
たされていることを示す。２つのレジスタを比較する場
合、論理ブロック３０を必飲とせず、欠落によって真の
応答を発生する。

論理ブロック３０．３２．３４の出力が反転されてから
、オア・ゲート３６に印加される。δ閏係が成立しなか
った任意の論理ブロック３０，３２．３４からは、オア
・ゲート３６に論理１が印加される。何れかの論理ブロ
ック３０．３２又は３４が、δ関係が満たされ−でいな
いことを示す場合、オア・ゲート３６の出力は真であり
、保安違反ハードウエアをトリガずる。このハードウエ
アがどう云う性質であるかは、システムの待定の構成に
関係するが、典形的には少なくとも命令の実行の即時停
止と、信用されているオペレーティング・システムの核
による保安違反ハンドラへのトラップが含まれる。論理
ブロック３０，３２．３４に於けるδ関数の計算が、権
限のない主体が何れかのデータをアクセスすることを防
止することにより、単純な保安条件を満たす。

ＣＤＬレジスタ２４を快うのは、対象の伯に関する情報
は、実行中のブ［１セスの現在の制御状態に記憶するこ
とができるからである。もう一度表工の対象を使って単
純な例を示すことができる。

下記のコード断片を実行する場合、対象ｍの値が、対象
Ｃに関連してｉ『ステートメントの制御構造を通じで取
出された情報に基づいて計算される。

つまり、対象Ｃの値がＩｌｌｌＩＩ的に使われて、対象
ｍの釘を計算する。これは、前に説明した★一性の条件
と合わない。

ｉｆ（ｃ≧Ｏ）であれば ｍ：−ａ そうでなければ ｍ：冒ｄ 保安装ｖ！１２０にあるＣＤＬレジスタ２４の伯を使っ
て、制御情報に対する★一性を守る。ＭＡＸ機能２６の
出力を条件つきｉｌｌ　Ｉ動作でＣＤＬレジスタ２４に
入れる。即ち、上に述べた例では、Ｃ及び０の比較を行
なう時、条件つきの先行条件に対する保安ラベルが、Ｃ
及び定数Ｏを支配する最低分類であり、ＣＤＬレジスタ
２４に入れられる．その後、対象ｍに値を割当てる時、
対ＩＣの保安分類に基づく情報が計算に間接的に使われ
た事実がＣＤＬの値によって表わされる。ｍに値を割当
てる時、機能ＭＡＸ　（ａ．ＣＤＬ）が、ｉｆ　　ｃ≧
０であれば、ｍに対するラベルを決定し、機能ＭＡＸ　
（ｄ，ＣＤＬ）が、ｉｆ　　ｃ＜ＯＦあｔＮｆ、ｍに対
するラベルを決定する。

割当てステートメントの結果がｍの鉋を変えるから、レ
ジスタにあると仮定した説明の為、ｍに対りるラベルも
ＭＡＸブロック２６によって決定した値に変更する。こ
の為、対象ｍの保安ラベルは、その値が対象Ｃの分類並
びにａ又はｄの何れかの分類に依存することを示す様に
設定される。

条件つき命令が実行される時、ＭＡＸプＯツク２６がＣ
ＤＬレジスタの現在の値を他の対象と比較し、その全て
の入力を支配する保安ラベルを発生するから、ＣＤＬレ
ジスタ２４の伯は減少しないことが理解されよう。

第３図には、新しいプロセスに対でる開始手順を記述す
るフローチャートが示されている。新しいプロセスを開
始する時、ＣＤＬをーＯに設定１る《工程４０）。これ
は、ＣＤＬレジスタ２４にある餡が可能な最低の愉、即
ち、未分類であることを意味する。次に、工程４２で、
プロセスに対するＭＡＸＬをシステム・ブロメータから
検索し、ＭＡＸＬレジスタ２８に入れる。その後プロセ
スの通常の実行が続けられる。これは、システムの保安
の面に関する限りは、基本ルーブ４４で表わすことがで
きる。

第４図には、命令＆ｆａｌ６及び保安メモリ１８に関連
して、保安装＠２０の動作の背後にある論理ブロヒスを
示すフローチャートが示されている。

次の命令を読取り《Ｌ程５０〉、その種類を判定する（
５１）。命令を４種類のうちの１つ、即ち、データ操作
、条件つき命令、手順の呼出し又は手順からの戻りに分
類する。

命令が２つのレジスタの加算又は減算の様なデータ操作
である場合、ＭＡＸＬが悉くの入力のレベルを支配する
かどうかを調べる為に試験を行なう（工程５４〉。これ
は第２図について述べた様に、論理ブ口ツク３２．３４
で行なわれる。そうでない場合、保安の違反になる。こ
の８！能が満たされた場合、制御作用はプロック５６に
進み、そこでレジスタであっても或はメモリの位置であ
っても、動作結果の保安レベルが、第２図について述べ
た様にＭＡＸブロック２６の出力に等しいと設定される
。このレベルが、全ての人力を支配する最低レベルであ
る。その後ｔＩｌＩＩＩｌ作用はフローチャートの点１
に進み、次の命令を読取ることを許す。

工程５２の判定により、命令の種類が条件つきである場
合、悉くの先行条件のレベルを支配するかどうかを調べ
る為に、ＭＡＸＬを試験１る《工程５８）。支配すれば
、ＣＤＬレジスタ２４の値を前に述べた様に全ての先行
条件を支配するレベルに設定する（工程６６）。同時に
、データ装置１４が条件を評価し、条件が真であれば、
命令装置１６に新しい命令の位置へ飛越す様に命令し、
条件が虚偽であれば、次の命令に進む様に命令する。

命令の形式が手順の呼出しであれば、ＣＤＬレジスタ２
４の現在の値を保護スタックに保管する（工程６２〉。

このスタックは、保安核によって保護されるデータ構造
であり、手順の呼出し及び戻り以外の通常実行されるプ
ロセスによってはアクセスが不可能である。この保管は
、手順の呼出しからの戻りの時に必要な現在のブＯセッ
サの状態が、通常の保護スタックに記憶されるのと同時
に行なわれる。データ装置によって普通の様に手順の呼
出しが行なわれる。

命令の形式が手順からの戻りである場合、保護スタック
からＣＤＬを復元する（工程６４）。同時に、プロセッ
サの状態をデータ装２ｆ１４により、システム・スタッ
クから復元する。今述べた様に保護スタックにＣＤＬを
記憶することにより、手順の呼出しの間、ＣＤＬを一層
高いレベルに高め、手順からの戻りの時、一層低いレベ
ルに復元することができる。手順からの戻りの時、手順
の間に計ｎされたどの情報も、プロセスの現在の制御状
態に入っていないから、手順の呼出しの間に達したかも
しれないどんな一層高い状態にも、ＣＤＬがとどまるこ
とは不必要である。この一騎高い状態が、手順によって
発生された任意の結果に反映している。

データ操作通路又は条件つき通路をたどる時、６機能を
呼出す。この関係が成立しなければ、ＩＩＩ御作用はフ
ローチャートの点２に進む。この点で、現在実行中のデ
ータ操作を中断し、完了を防止する（工程６６〉。そし
てｉｌｌ　ｌ１］作用は保安核の一部分である保安違反
ハンドラへ移る（工程６８）。

保安違反ハンドラは、この動作が許されていないことを
ユーザに知らせ、ユーザのプロセスを復元することを許
すことができるか、或いはプロセスの動作を中止するこ
とができる。試みられたアクセスの違反を追跡する為に
、計算ファイルに入力することができる。

−・Ｉ条件つきから出てしまえば、本来条件つきの実行
中に分る高い分類の情報を間接的に知ることはもはやで
きない。即ち、上に述べた例で、一旦制御作用がｉｆス
テートメントからすっかり外へ移れば、ｔＩＩＩ１［ｌ
の流れに関する限り、対象Ｃの鉋は忘れられる。他の条
件つきでも同じである。

高い分類の情報を間接的に知ることに関しては、条件つ
きステートメントに入ること及びそれから出ることは、
手舶の呼出し／戻りと同じ効果を持つ。従って、希望に
よっては、特別の手順を呼出すことにより、全ての条件
つきステートメントを実行して、条件つきを完了した時
、ＣＤＬが前の釘に戻る様にすることができる。この方
式は、ＣＤＬがいつも高くなることを防止し、コンパイ
ラによって自動的に実施することができる。

データ保安の違反を防止する為にはコンパイラに頼らな
い。

第５図について交代的な幾つかのラベル形式を説明する
。第５　（ａ）図は、保安ラベルがデータ・ワードの延
長と見做される例を示す。第１図について述べた様に、
これは物理的にはデータ・ワードから分離されているこ
とが奸ましい。第５（ｂ）図は、各々のワードに単に数
値分類を与える様な最も単純なラベル方式を示す。この
形式のラベルでは、δ機能は単純な算術的な比較である
．第５（Ｃ）図は、これより幾分２Ｉ！Ｉｖ＆なうベル
方式を示す。この方式では、ラベルの一部分を数値分類
に使い、残りのビットは区画に加盟していることを示す
為に使われる＝この形式のラベルは、表Ｉに示す対象に
使うのに適している。分類は、例えばレベルＯ乃至３を
示す２ピットの値であってよく、区画フィールドは４ビ
ット（又は更に多くのビット）を持つことができる。各
ビットは、その対象が特定の区画に対する認可を必要と
するかどうかを示す。ビット・フィールドを区蜘Ａ．Ｂ
．Ｃ及びＤと左から右に釣合わせれば、所定の分類に対
する対象ａ，ｂ，ｃ及びｄに対するラベルは表■に示す
様になる。

表　　　　　■ ？　　象　　■一一厘　　　区　　画　　　　　ラ　　
ベ　　ルａ　　１　　Ｂ．Ｃ　　０１／０１１０ｂ　　
２　　Ｃ　　　１０／００１０ Ｃ　　３　　Ａ，Ｄ　　１１／１００１ｄ　　３　　Ａ
．Ｃ．Ｄ　１１／１０１１区画の数が多くなり得る場合
には、多数のピット位置が使われることが理解されよう
。これは１つより多くの区画に所嵐する対象は少なく、
区画の大抵の対は互いに排他的であるから、これは場所
の無駄になる場合が多い。例えば、１６個の区画が考え
られ、分類が４レベルある場合、第５（Ｃ）図の方式で
は、１８ビット幅のラベルが必要である。然し、これら
の区画を夫々４区画づつの４つの群にまとめることがで
きれば、第５（ｄ）図の方式を使って、ラベルの幅は８
ビットに短かくすることができる。この方式を使うには
、群が互いに排他的であること、即ちどのデータ対象も
異なる群に含まれている区画に対する保安レベルを割当
てる必要は絶対ない様に、群を定めることができること
が前以って分っていることを必展とする。

第５（ｄ〉図の方式は前に述べた様に、数値分類、数値
区画群フィールド及び区画に対するビット・フィールド
を使う。全ての区画は、夫々４つより多くの区画を持た
ない群に入る。各々の群にある数が与えられ、各々の群
にある区画は、区画フィールド内のビットと位置が対応
する様な位にする。対象がどの区画をアクセスし得るか
を決定する為に、区画ビット・フィールドを復号する為
に、区画群を決定しなければならない。１６Ｉｌｌの区
画を夫々４区画の４つの群に入れることができ、分類が
４レベルある場合、第５（ｄ）図のラベル形式では、各
々の対象に完全にラベルを付けるのに、８ビットしか必
要としない。

第６図は別の実施例の保安装置２０を示す。この実施例
の大部分の素子は第２図に示すものと同じであり、前に
述べたのと同様に動作する。２つの新しい部品、即ち、
命令ラベル・レジスタ３８とδ関係を試験する為の別の
論理ブロック４０が追加されている。命令ラベル・レジ
スタ３８は、現在実行中の命令に対する保安ラベルを持
っている。ＭＡＸ機能ブロック２６は、単に考慮すべき
もう１つの入力として、命令ラベル・レジスタ２６を使
う。現在の命令に対するラベルが普通の様に論理ブロッ
ク４０でＭＡＸＬと比較され、命令の保安レベルがＭＡ
ＸＬによって支配されない場合、違反のフラグを出す。

命令ラベル・レジスタ３８を含める目的は、実行可能な
コードを、データに使われるのと同じ微細レベルに分類
することができる様にすることである。主体がコードを
実行する正しい認可を持つていれば、この実行が許され
る。

この発明を好ましい実施例について説明したが、当業者
であればここに説明した装置及び方法に種々の変更を加
えることができることが理解されよう。この発明に範囲
はここで説明した実施例にｉｌｌ限されるものではなく
、特許請求の範囲によって定められることを承知された
い。

この発明は以上の説明に関連して、更に下記の実施ｉｔ
ｉを有する。

（１）　　命令装置と、データ・メモリと、餉記命令ｉ
ｉｉ！に結合されたデータ装置とを有し、前記命令装置
は前記データ・メモリから命令を読取って、該データ・
メモリから求めたデータに対して算術及び論理機能を菊
記データ装置に実行させ、更に、前記データ・メモリ内
の各々の位置に対づ゜る保安ラベルを持っていて、前記
データ・メモリと並列の保安メモリと、前記データ装置
で実行される各々の命令に対し、該命令で使われる全て
のデータに対する保安レベルをユーザに対する解除レベ
ルと比較し、悉くの修正メモリ位置に対し、該メモリ位
置の修正値を決定１る為に使われる全てのデータのレベ
ルを左右する保安レベルを割当てる保安装置とを有する
コンピュータ・システム。

（占　コンピュータ・システムに保安性を持たせる方法
に於いて、実行すべき各々の命令に対し、該命令の種類
を決定し、該決定する工程で決定された命令がデータ操
作である場合、ユーザの保女レベルが、前記命令によっ
て使われる各々のデータ・ワードのレベルを支配する場
合、該命令の実行を許して、その結果がでれば、該結果
に対し、命令で使われる全てのデータ・ワードを支配す
る保安レベル及び制Ｗ領域レベルを与え、そうでなけれ
ば前記命令の実行を防止し、前記命令が条件つきであれ
ば、ユーザの保安レベルが該条件に対する全ての先行条
件のレベルを支配する場合、制御領域レベルをこれら全
ての先行条件を支配するレベルに設定すると共に、命令
の実行を許し、そうでなければ前記命令の実行を防止し
、命令が手順の呼出しであれば、現在の制御領域レベル
をスタックに記憶し、命令が手順からの戻りであれば、
制御領域レベルを、その手順が呼出された時にスタック
に記憶されていた値に設定する工程を含む方法。

（３）｛δ項に記戟した方法に於いて、前記条件つき命
令が条件つきステートメントからコンパイラによって発
生し得る方法。

＋４１　　Ｆ３１項に記載した方法に於いて、前記条件
つきステートメントを手順の呼出しに変換でることがで
きる方法。

（５）　　コンピュータ・システムがメモリにある悉く
のワードに対して保安ラベルを使う。メモリ位ｖｌ（１
２．１８）に対する各々のアクヒスは、メモリ位置（１
２．１８）の保安レベルを、そのアクセスをするプロセ
ス（１６）からの保安レベルと比較することを必要とす
る。プロセス（１６〉からの保安レベルがメモリ位＠（
１２．１８＞の保安レベルを支配しない場合、アクセス
を拒絶する。メモリ位置（１２．１８）が修正される度
に、メモリ位ｉｆ（１２．１８）を修正するのに使われ
た全てのデータのレベルと見合った保安レベルが割当て
られる。

【図面の簡単な説明】

第１図はこの発明の保安メモリ及び保安装置を含むシス
テムのブロック図、第２図は好ましい保安装置のブロッ
ク図、第３図は新しいプロセスに対する初期設定工程の
フローヂャートを示す図、第４図は保安装置で行なわれ
る判定を示すフローチャートを示す図、第５図はデータ
・Ｉノードに関連する分類レベルに使うことができる幾
つかの別の方式を示す図、第６図はプログラムで実行さ
れる各々の命令に対する認可レベルの検査を含む別の実
施例の保安装置の図である。 主な符号の説明 １２：データ・メモリ １４：データ装置 １６：命令装置 １８：保安メモリ ２０：保安装置

Claims (2)

【特許請求の範囲】
1. １．命令装置と、データ・メモリと、前記命令装置に結
   合されたデータ装置とを有し、前記命令装置は前記デー
   タ・メモリから命令を読取って、該データ・メモリから
   求めたデータに対して算術及び論理機能を前記データ装
   置に実行させ、更に、前記データ・メモリ内の各々の位
   置に対する保安ラベルを持っていて、前記データ・メモ
   リと並列の保安メモリと、前記データ装置で実行される
   各々の命令に対し、該命令で使われる全てのデータに対
   する保安レベルをユーザに対する解除レベルと比較し、
   悉くの修正メモリ位置に対し、該メモリ位置の修正値を
   決定する為に使われる全てのデータのレベルを左右する
   保安レベルを割当てる保安装置とを有するコンピュータ
   ・システム。
2. ２．コンピュータ・システムに保安性を持たせる方法に
   於いて、実行すべき各々の命令に対し、該命令の種類を
   決定し、該決定する工程で決定された命令がデータ操作
   である場合、ユーザの保安レベルが、前記命令によって
   使われる各々のデータ・ワードのレベルを支配する場合
   、該命令の実行を許して、その結果がでれば、該結果に
   対し、命令で使われる全てのデータ・ワードを支配する
   保安レベル及び制御領域レベルを与え、そうでなければ
   前記命令の実行を防止し、前記命令が条件つきであれば
   、ユーザの保安レベルが該条件に対する全ての先行条件
   のレベルを支配する場合、制御領域レベルをこれら全て
   の先行条件を支配するレベルに設定すると共に、命令の
   実行を許し、そうでなければ前記命令の実行を防止し、
   命令が手順の呼出しであれば、現在の制御領域レベルを
   スタックに記憶し、命令が手順からの戻りであれば、制
   御領域レベルを、その手順が呼出された時にスタックに
   記憶されていた値に設定する工程を含む方法。