JPH02205915A

JPH02205915A - レコード単位セキュリティ制御方式

Info

Publication number: JPH02205915A
Application number: JP1025219A
Authority: JP
Inventors: Katsutoshi Muramatsu; 勝利村松
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 1989-02-03
Filing date: 1989-02-03
Publication date: 1990-08-15

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】〔概要〕カウント部、キー部、データ部を有する記録フォーマッ
トによって、レコード情報の記憶が行われる直接アクセ
ス記憶装置におけるレコードの機密保護を行うレコード
単位セキュリティ制御方式レコード単位の高密度のセキ
ュリティシステムを実現可能とすることを目的とし。

直接アクセス記憶装置をコントロールする制御装置内に
、レコード単位にアクセス可否の決定に使用されるセキ
ュリティ情報を付加して直接アクセス記憶装置内に記録
する制御手段と、レコードの読み出しおよび書き込み時
に、指定されたセキュリティ情報と、アクセス対象とな
るレコードに付加されたセキュリティ情報との照合によ
り、アクセス可否を決定するセキュリティ情報検査手段
とを備えるように構成する。

〔産業上の利用分野〕

本発明は、カウント部、キー部、データ部を有する記録
フォーマットによって、レコード情報の記憶が行われる
直接アクセス記憶装置におけるレコードの機密保護を行
うレコード単位セキュリティ制御方式に関する。

計算機システムの高度な利用により、真に権限を持つ者
だけがデータを読み書きできるようなデータの機密保護
の技術がますます重要になってきている。応用分野によ
っては１機密保護の単位を。

ファイルのようなデータの大きな集合だけではなく、レ
コード単位とすることが必要になる場合がある。

〔従来の技術〕

計算機システムが扱うデータに対して、不当なアクセス
を防ぐために、アクセス制御、フロー制御、暗号化など
１種々のセキュリティ方式が考えられている。

データのセキュリティは、データを使用する正当な権限
のある処理主体にのみ、そのデータの使用を許可するこ
とにより実現される。データが。

磁気ディスク装置などの直接アクセス記憶装置（ＤＡＳ
Ｄ）に記録されたものである場合には。

その直接アクセス記憶装置に対するＩｌｏを発行し、そ
れに記憶されたデータを参照したり、変更したりするこ
とが、正しい権限のもとで行われる必要がある。

このような機密保護の単位としては、ボリュームやファ
イルなどがあり、従来、主としてオペレーティング・シ
ステム（Ｏ８）の制御によって実現されている。しかし
ながら、直接アクセス記憶装置に記録されている各レコ
ード単位に、セキュリティ機能を設定する手段は実現さ
れていなかった。

〔発明が解決しようとする課題〕

１つのファイルが、多数の可変長レコードから構成され
る場合に２個々のレコードの種類ごとに。

そのデータに対する参照または更新を許可したり。

禁止したりすることができるようにすることが必要にな
る場合がある。

しかし、従来方式では、レコード単位にセキュリティ機
能を設定することができないため１機密保護レベルに応
じてファイルを分割し、それぞれ機密保護レベルが同等
なレコード群をまとめて。

別々なファイルとして作成する必要があった。

この場合、一連のデータ処理において、多数のファイル
をアクセスしなければならないようなことが起こり、処
理が複雑化するとともに、処理時間やメモリが多（必要
になるという問題があった。

また、ソフトウェアによる論理操作によって主記憶装置
に展開されたレコード内のデータの使用可否を決定する
ことも考えられているが１本体系処理装置のソフトウェ
アによる対処だけでは。

直接アクセス記憶装置におけるレコードの不当なアクセ
スを、直接禁止することができないので。

機密保護が十分ではないという問題があった。

また、セキュリティ情報を、その機密保護対象となるレ
コードとは別の場所で記憶し管理する場合には、セキュ
リティ情報自体の改ざん防止のために、さらにその機密
保護手段が必要になるという問題があった。

本発明は上記問題点の解決を図り、レコード単位の高密
度のセキュリティシステムを実現可能とすることを目的
としている。

〔課題を解決するための手段〕

第１図は本発明の原理ブロック図を示す。

第１図において、１０はＣＰＵおよびメモリなどからな
る処理装置、１１は各レコードに対するアクセス要求を
行うアクセス要求部、１２はオペレーティング・システ
ムにおける入出力動作を管理する入出力管理部、１３は
チャネル装置、１４は配下に接続される装置をコントロ
ールする制御装置、１５はマイクロプロセッサ（ＭＰＵ
）、１６はセキュリティ情報記録制御部、１７はセキュ
リティ情報検査部、１８はディスクパック装置などの直
接アクセス記憶装置を表す。

直接アクセス記憶装置１８−は２本発明において機密保
護の対象とするレコードを記憶する装置であって、カウ
ント部Ｃ，キー部に、データ部りを有する記録フォーマ
ットにより、レコード情報を記憶するようになっている
。なお、ＨＡはトラックの先頭を示すホームアドレスで
ある。

本発明では、各レコードにセキュリティラベルＳが付加
されるようになっている。セキュリティラベルＳは２機
密度の程度を示すレベル（Ｌ）と。

適用範囲を示すカテゴリ　（Ｃ）とからなる、この例で
は、セキュリティラベルＳは、キー部にとデータ部りと
に、同内容のものが格納されるようになっている。キー
部にとデータ部りとに、セキュリティラベルＳを持つの
は、レコードへの位置付けやデータの読み書きにおける
セキュリティの検査を１位置付は時または位置付は後に
それぞれ独立に行うことができるようにし、処理を高速
化するためである。

このセキュリティラベルＳにより、レコード単位のセキ
ュリティを実現するために、制御装置１４は、ファーム
ウェアによるセキュリティ情報記録制御部１６と、セキ
ュリティ情報検査部１７とを持つ。

セキュリティ情報記録制御部１６は、レコードのカウン
ト部Ｃ，キー部に、データ部りを、直接アクセス記憶装
置１８に書き込むときに、セキュリティラベルＳを付与
して記録する制御を行う。

セキュリティ情報検査部１７は、レコードの読み出しお
よび書き込み時に、先行するチャネルコマンドによって
指定されたセキュリティ情報と。

レコードに付加されたセキュリティラベルＳとの照合に
より、そのレコードに対するアクセス可否を決定する制
御を行うようになっている。

〔作用〕

本発明では、直接アクセス記憶装置１８に格納されたレ
コード自体に、セキュリティ情報が付加され、レコード
の読み出しおよび書き込み・時には。

制御装置１４によって、各レコードに対するアクセス可
否のチエツクが行われる。したがりて、セキュリティ情
報を無視した入出力要求は、制御装置１４により、その
実行が抑止され、直接アクセス記憶装置１８における各
レコードの機密保護が達成される。

アクセス可否の決定に使用するセキュリティ情報の指定
は、ユーザのチャネルプログラム（ＣＣＷ）の前に、入
出力管理部１２が、セキュリティ情報を設定するチャネ
ルプログラムを付加するようにすれば、現状のユーザの
チャネルプログラムを変更することなく、レコード単位
の機密保護を図ることができる。

セキュリティの検査は、制御ｌ装置１４によって自動的
に行われるので、処理装置１０におけるソフトウェアの
オーバヘッドはほとんどない。

［実施例〕第２図は本発明の実施例によるレコード形式の例、第３
図は本発明の実施例に係るディスク制御装置構成図、第
４図は本発明の実施例によるデータ読み込みコマンドの
例、第５図は本発明の実施例によるデータ読み込み制御
の例、第６図は本発明の実施例によるデータ読み込み時
のセキュリティ・チエツクの例、第７図は本発明の実施
例によるデータ書き込みコマンドの例、第８図は本発明
の実施例によるデータ書き込み制御の例、第９図は本発
明の実施例によるデータ書き込み時のセキュリティ・チ
エツクの例を示す。

本発明は、可変長レコードを記録する直接アクセス記憶
装置、いわゆるＣＫＤ−ＤＡＳＤにおけるレコード情報
の機密保護を扱う、そのレコード形式は、第２図に示す
ようになっている。セキュリティラベルＳに関する情報
が付加されること以外は、従来と同様な構成である。

カウント部Ｃは１次の情報を持つ。

・Ｆ：フラグ（このフラグとして、従来形式であるか、
セキュリティラベルＳを持つ拡張形式であるかの表示が
追加される）。

・ＣＣニジリンダ番号。

・ＨＨＦヘッド番号。

・Ｒニレコード番号。

・Ｓ：セキュリティラベルの長さく新設）。

・Ｋ：キー部の長さ。

・ＤＤ：データ部の長さ。

また、キー部にとデータ部りの先頭に、それぞれセキュ
リティラベルＳが記録される。キー部Ｋにおけるセキュ
リティラベルＳの内容と、データ部りにおけるセキュリ
ティラベルＳの内容とは同じである。

第３図（イ）は１本発明の実施例であるディスク制御装
置２０の構成例を示している。

ディスク制御装置２０は、上位のチャネル装置と、直接
アクセス記憶装置であるディスクバック装置２４との間
に接続され、ディスクバンク装置２４をコントロールす
る。チャネル装置側にチャネル・インタフェース２１を
有し、ディスクパック装′ｒＩ１２４側にデバイス・イ
ンタフェース２３を有する。また、これらのインタフェ
ースをマイクロプログラムによって制御するマイクロプ
ロセッサ１５と、データバッファ２２とを持つ。

データバッファ２２には、第３図（ロ）に示すように、
セキュリティ情１セーブ域２５．チャネルコマンドカｔ
ａ　納されるコマンドバッファ２６゜セキュリティ情報
の判定結果を記憶するセキュリティ情報判定結果記憶部
２７および入出力レコードに関するカウントバッファ２
８．キーバッファ２９、データバッファ３０が設けられ
る。

第４図は、セキュリティラベルＳが付加されたレコード
のデータを読み込む場合に使用するチャネルコマンドの
例を示している。ここでは、以下のような（ａ）〜Ｉｓ
）のコマンドによってチャネルプログラムが作成されて
いる。

（ａ）ＳＳＤ：セキュリティ情報設定コマンド新しくセ
キュリティ情報を指定するために設けられたコマンドで
ある。このＳＳＤコマンドでは。

セキュリティラベルＳに対応するレベルとカテゴリとを
指定する。レベルおよびカテゴリの長さは。

それぞれ用途に応じて変化し、可変長である。

伽Ｉ　　ＴｒＣ：分岐コマンドここ、から、ユーザが作成したチャネルプログラム（Ｃ
ＣＷ）に分岐する。すなわち、この（ａｌ、　（ｂ）の
コマンドは、第１図に示す入出力管理部１２が。

アクセス要求部１１が作成したチャネルプログラムに付
加するようにしたコマンドである。

ｆｃｌｓＩＤ：サーチＩＤコマンド（ｄｌＴＩｃ：分岐コマンド１ＱＩＲＤ：リードデータコマンドこの（Ｃ１〜ｔｅ）のコマンドは、ＣＫＤ−ＤＡＳＤに
対するアクセスに、従来から使用されているコマンドで
ある。

第４図に示すようなチャネルコマンドに対し。

第３図に示すディスク制御装置２０のマイクロプロセッ
サ１５は、第５図に示すような制御を行う。

（ｊｌｌｓｓＤコマンドに対して、データバッファ２２
におけるセキュリティ情報セーブ域２５に、コマンドで
指定されたセキュリティ情報を退避する。

〜）　次にＴＩＣコマンドに対して、データ読み込みを
行う以下のユーザＣＣＷへ分岐する。

（Ｃ）ＳＩＤコマンドに対して、直接アクセス記憶装置
から、レコードのカウント部をデータバッファ２２へ読
み込み、指定されたレコードのカウント部かどうかを検
査する。指定された位置ではない場合、サーチが終了す
るまで、カウント部の検査を繰り返す。

指定された位置のカウント部である場合１次にキー部ま
たはデータ部のセキュリティラベルＳと。

セキュリティ情報セーブ域２５に退避したセキュリティ
情報とを比較照合し１位置付けの可否を決定する。

１ｄｌ　　位置付けが「可」である場合、Ｔｉｃコマン
ドの次に移る。「不可」であれば、（Ｃ）のサーチを繰
り返す。

（ｅｌＲＤコマンドに対し、データ部のセキュリティ情
報を比較して、アクセス可であれば、データ部のデータ
を読み込む。アクセス不可の場合、Ｉ１０エラーとする
。ここでのセキュリティ情報のチエツクは、このＲＤコ
マンドが、ＳＩＤ＋ＴＩＣのコマンドにチエインされて
いた場合には、省略することができる。ＲＥＡＤ系また
はＷＲＩＴＥ系のコマンドにチエインされていた場合に
は。

必ずチエツクを行う。

例えば、データの読み込み時に、第６図（イ）に示すセ
キュリティ情報を、ＳＳＤコマンドで指定したとする。

レベル情報りは、値が大きいほうが機密度が高い、カテ
ゴリ情報Ｃは、ここでは情報の種類ごとに、１ビツトの
フラグで定義している。今、ＳＳＤコマンドで指定した
レベルおよびカテゴリを、５ＳＤ−Ｌ、５ＳＤ−Ｃとし
、レコード内に設定されているセキュリティラベルＳの
レベルおよびカテゴリを、レコード−Ｌ、レコード−Ｃ
とすると、データ読み込みが可能である条件は、以下の
とおりである。

５ＳＤ−Ｌ≧レコード−Ｌ　かつ５ＳＤ−ＣＤレコード−Ｃ第６図（イ）に示すセキュリティ情報の指定により、第
６図（ロ）に示すようなレコードに対するデータの読み
込みが行われた場合、上記セキュリティ条件により、１
番目と２番目のレコードは。

読み込み可となる。３番目のレコードに対して。

読み込みが指示されたとすると、レベルが合わないため
、夏１０エラーとなる。

第６図（ハ）、（ニ）は、他の例を示している。

第６図（ハ）に示すセキュリティ情報の指定により、第
６図（ニ）に示すようなレコードに対するデータの読み
込みが行われた場合、１番目のレコードは、カテゴリが
満足しないので、読み込み不可である。３番目のレコー
ドは、レベルが合わないので、読み込み不可である。し
たがって、２２番目だけが読み込み可能なレコードとな
る。

第７図は、セキュリティラベルＳが付加されたレコード
に、データを書き込む場合に使用するチャネルコマンド
の例を示している。　（ａｌ〜ｌｄｌのコマンドは、第
４図に示したデータ読み込み時におけるコマンドと同様
であり、（ｅ）のＷＤコマンドは。

データを書き込むことを指示するコマンドである。

この第７図に示すチャネルコマンドに対し、第３図に示
すディスク制御装置２０のマイクロプロセッサ１５は、
第８図に示すような制御を行う。

（ａｌｓｓＤコマンドに対して、データバッファ２２に
おけるセキュリティ情報セーブ域２５に、コマンドで指
定されたセキュリティ情報を退避する。

山）　次にＴＩＣコマンドに対して、データ読み込みを
行う以下のユーザＣＣＷへ分岐する。

（ｅ）ＳＩＤコマンドに対して、直接アクセス記憶装置
から、レコードのカウント部をデータバッファ２２へ読
み込み、指定されたレコードのカウント部かどうかを検
査する。指定された位置ではない場合、サーチが終了す
るまで、カウント部の検査を繰り返す。

セキュリティ情報セーブ域２５に退避したセキュリティ
情報とを比較照合し２位置付けの可否を決定する。

ｆｄ＋　　位置付けが「可」である場合、ＴｒＣコマン
ドの次に移る。「不可」であれば、（Ｃ）のサーチを繰
り返す。

（ｅ＋ＷＤコマンドに対し、データ部のセキュリティ情
報を比較して、アクセス可であれば、データ部のデータ
を書き込む、アクセス不可の場合、Ｉ１０エラーとする
。ここでのセキュリティ情報のチエツクは、このＷＤコ
マンドが、ＳＩＤ＋ＴＩＣのコマンドにチエインされて
いた場合には、省略することができる。ＲＥＡＤ系また
はＷＲＩＴＥ系のコマンドにチエインされていた場合に
は。

必ずチエツクを行う。

例えば、データの書き込み時に、第９図（イ）に示すセ
キュリティ情報を、ＳＳＤコマンドで指定したとする。

ＳＳＤコマンドで指定したレベルおよびカテゴリを、５
ＳＤ−Ｌ、５ＳＤ−Ｃとし。

レコード内に設定されているセキュリティラベルＳのレ
ベルおよびカテゴリを、レコード−Ｌ、レコード−Ｃと
すると、データ書き込みが可能である条件は、以下のと
おりである（ＲＥＡＤ時の条件とは逆の関係になる）。

５ＳＤ−Ｌ≦レコード−Ｌ　かっ５ＳＤ−ＣＣレコード−Ｃ第９図（イ）に示すセキュリティ情報の指定により、第
９図（ロ）に示すようなレコードに対するデータの書き
込みが行われた場合、上記セキュリティ条件により、２
番目と３番目のレコードは。

書き込み可となる。１番目のレコードに対して。

書き込みが指示されたとすると、レベルが合わないため
、■１０エラーとなる。

第９図（ハ）、（ニ）は、他の例を示している。

第９図（ハ）に示すセキュリティ情報の指定により、第
９図（ニ）に示すようなレコードに対するデータの書き
込みが行われた場合、結果として書き込み可能なレコー
ドは、３番目のレコードだけとなる。

なお、セキュリティ情報の扱いについて、ＳＳＤコマン
ド以外に、必要に応じて種々のコマンドをサポートする
ことは、制ｊＢ装置におけるファームウェアの変更によ
り、容易に対処することができる０例えば、互換性のた
め、カウント部、キー部、データ部を合わせて読み込む
コマンド（ＲＥＡＤ　　ＣＫＤコマンド）では、セキュ
リティラベルＳの情報を取り除いて通知する。セキュリ
ティラベルＳを読むために１次のようなコマンド。

■　ＲＥＡＤ　　Ｃ＆Ｓコマンド ■　ＲＥＡＤ　　Ｋ＆Ｓコマンド ■　ＲＥＡＤ　　ＫＤ＆Ｓコマンド ■　ＲＥＡＤ　　ＣＫＤ＆Ｓコマ７ドなどを新設する。ＷＲＩＴＥ系のコマンドに対しても、
同様にセキュリティラベルＳを設定するフォーマット用
のコマンドを用意する。

〔発明の効果〕

以上説明したように１本発明によれば、レコードにセキ
ュリティ情報を付加することにより、権限を持つ処理主
体だけが、読み書きできるようになるので、セキュリテ
ィ保護範囲をレコード単位として、高密度のセキュリテ
ィシステムを実現することができるようになる。また、
セキュリティ情報をレコードに持つので、データの移動
に対しても保護が外れることがなくなり、コピーなどの
不正使用についても防止することができる。

【図面の簡単な説明】

第１８図は本発明の原理ブロック図。第２図は本発明の実施例によるレコード形式の例。第３図は本発明の実施例に係るディスク制御ＩＩ装置構
成図。第４図は本発明の実施例によるデータ読み込みコマンド
の例。第５図は本発明の実施例によるデータ読み込み制御の例
。第６図は本発明の実施例によるデータ読み込み時のセキ
ュリティ・チエツクの例。第７図は本発明の実施例によるデータ書き込みコマンド
の例。第８図は本発明の実施例によるデータ書き込み制御の例
。第９図は本発明の実施例によるデータ書き込み時のセキ
ュリティ・チエツクの例を示す。図中、１０は処理装置、１１はアクセス要求部１２は入
出力管理部、１３はチャネル装置、１４は制御装置、１
５はマイクロプロセッサ、１６はセキュリティ情報記録
制御部、１７はセキュリティ情報検査部、１８は直接ア
クセス記憶装置、Ｓはセキュリティラベルを表す。

Claims

【特許請求の範囲】カウント部、キー部、データ部を有する記録フォーマッ
トによって、レコード情報の記憶が行われる直接アクセ
ス記憶装置（１８）におけるレコードの機密保護を行う
レコード単位セキュリティ制御方式であって、上記直接アクセス記憶装置をコントロールする制御装置
（１４）内に、レコード単位にアクセス可否の決定に使用されるセキュ
リティ情報を付加して直接アクセス記憶装置内に記録す
る制御手段（１６）と、レコードの読み出しおよび書き込み時に、指定されたセ
キュリティ情報と、アクセス対象となるレコードに付加
されたセキュリティ情報との照合により、アクセス可否
を決定するセキュリティ情報検査手段（１７）とを備え
たことを特徴とするレコード単位セキュリティ制御方式
。